Polityka prywatności

Administratorem danych osobowych użytkowników portalu zasmakujszczawnicy.pl jest:

• Norbert Aleksander
• siedziba: ul. Ruchu Ludowego 3a, 33-300 Nowy Sącz
• NIP: 7343607231
• REGON: 521406262
• e-mail: kontakt [at] zasmakujszczawnicy.pl
• telefon: 18 262 21 75

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD) — we wszystkich sprawach związanych z przetwarzaniem danych prosimy o kontakt na adres e-mail wskazany powyżej.

W zależności od sposobu korzystania z portalu możemy przetwarzać:

• Dane konta: adres e-mail, imię lub nazwa oraz numer telefonu - wymagany przy rejestracji adresem e-mail, bo wysyłamy na niego kod SMS. Przy logowaniu kontem Google - identyfikator konta Google, e-mail i imię z profilu (szczegóły w §4).
• Dane uwierzytelniające: zaszyfrowany skrót hasła (algorytm bcrypt) — nigdy nie przechowujemy haseł w postaci jawnej.
• Treści przesyłane przez użytkownika: oferty, propozycje atrakcji, szlaków, wydarzeń, zdjęcia, banery reklamowe.
• Dane techniczne: adres IP, typ przeglądarki, system operacyjny, logi serwera (przechowywane przez okres niezbędny do zapewnienia bezpieczeństwa).
• Dane płatności: w przypadku zakupu punktów lub kampanii banerowych — transakcje obsługuje operator CashBill S.A.; nie przechowujemy danych karty płatniczej.
• Newsletter: adres e-mail, opcjonalnie imię oraz dane zgody (§5).
• Zgłoszenia mieszkańców: imię, e-mail, opcjonalnie telefon i treść zgłoszenia (§6).
• Dane firm z publicznych źródeł: dane kontaktowe firm, które zapraszamy do portalu (§7).

Dane przetwarzamy w następujących celach (art. 6 ust. 1 RODO):

• świadczenie usług w portalu (rejestracja, logowanie, w tym kontem Google, publikacja ofert i ogłoszeń, udział w akcji „Zasmakuj po sezonie”) — lit. b;
• weryfikacja numeru telefonu kodem SMS przy rejestracji — lit. b i f;
• wysyłka newslettera — lit. a (zgoda);
• wykazanie, że zgoda na newsletter została wyrażona — lit. c w związku z art. 7 ust. 1 RODO;
• obsługa zgłoszeń mieszkańców — lit. f;
• zaproszenia dla lokalnych firm do portalu — lit. f;
• realizacja płatności i wystawianie dokumentów — lit. b i c;
• zapewnienie bezpieczeństwa i wykrywanie nadużyć — lit. f (uzasadniony interes);
• kontakt w sprawach związanych z portalem — lit. f;
• wysyłka powiadomień systemowych — lit. b lub a (zgoda).

Konto możesz założyć na dwa sposoby.

• Adresem e-mail. Podajesz imię, adres e-mail, hasło i numer telefonu. Numer jest wymagany - wysyłamy na niego jednorazowy kod SMS ważny 10 minut. Tak sprawdzamy, że konto zakłada prawdziwa osoba, i ograniczamy zakładanie fałszywych kont. SMS wysyłamy przez bramkę OVHcloud, której przekazujemy numer telefonu i treść wiadomości z kodem. Podstawa: art. 6 ust. 1 lit. b RODO (założenie konta) oraz lit. f (bezpieczeństwo portalu).
• Kontem Google. Po Twojej zgodzie na ekranie logowania Google (Google Ireland Limited) przekazuje nam identyfikator konta Google, adres e-mail z informacją, czy jest potwierdzony, oraz imię i nazwisko z profilu. Nie dostajemy hasła do konta Google ani dostępu do innych danych z tego konta. Podstawa: art. 6 ust. 1 lit. b RODO.

• Newsletter wysyłamy wyłącznie osobom, które wyraziły zgodę na otrzymywanie od Administratora informacji handlowych drogą elektroniczną (art. 6 ust. 1 lit. a RODO i art. 398 Prawa komunikacji elektronicznej).
• Zapis ma dwa kroki (tzw. double opt-in): po wypełnieniu formularza wysyłamy wiadomość z linkiem potwierdzającym, ważnym 7 dni. Dopóki go nie klikniesz, nie wyślemy Ci newslettera.
• Zapisujemy adres e-mail, imię (jeśli je podasz), datę zgody, adres IP, miejsce zapisu i datę potwierdzenia - żeby móc wykazać, że zgoda została wyrażona (art. 7 ust. 1 RODO).
• Z newslettera wypiszesz się w każdej chwili - linkiem w każdej wiadomości albo pisząc na adres Administratora. Wycofanie zgody nie wpływa na zgodność z prawem wysyłek sprzed jej wycofania.
• Zarejestrowanym użytkownikom, którzy nie zapisali się na newsletter, wysyłamy wyłącznie wiadomości serwisowe dotyczące konta i usługi (np. zmiana regulaminu), bez treści reklamowych - art. 6 ust. 1 lit. b RODO.

Przez formularz na stronie „Dla mieszkańców” zbieramy imię, adres e-mail, opcjonalnie numer telefonu oraz kategorię, temat i treść zgłoszenia. Wykorzystujemy je wyłącznie do obsługi zgłoszenia i odpowiedzi na nie - na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Formularz chroni przed spamem usługa Cloudflare Turnstile, która sprawdza przeglądarkę i adres IP.

Ta część realizuje obowiązek informacyjny z art. 14 RODO wobec osób prowadzących firmy, których danych nie otrzymaliśmy bezpośrednio od nich.

• Źródło danych: publicznie dostępne wpisy w katalogach firm (np. Panorama Firm), wizytówki firm w Mapach Google i strony internetowe firm.
• Zakres: nazwa firmy, rodzaj działalności, adres, służbowy adres e-mail, numer telefonu i adres strony internetowej.
• Cel i podstawa: zaproszenie firmy do bezpłatnego wpisu w portalu i do akcji dla lokalnych firm - na podstawie naszego prawnie uzasadnionego interesu, czyli rozwoju lokalnego portalu turystycznego (art. 6 ust. 1 lit. f RODO).
• Odbiorcy: dostawca poczty wychodzącej i bramka SMS OVHcloud.
• Sprzeciw: w każdej chwili - linkiem wypisu w wiadomości albo pisząc na adres Administratora. Po sprzeciwie nie kontaktujemy się ponownie. Zachowujemy tylko dane potrzebne do oznaczenia, że nie wolno wysyłać kolejnych wiadomości.
• Okres: do wniesienia sprzeciwu albo do czasu, gdy firma założy konto w portalu lub dane przestaną być potrzebne do zaproszenia.

Dane firm biorących udział w akcji „Zasmakuj po sezonie” (wysokość rabatu, jego opis i data akceptacji zasad akcji) przetwarzamy w celu prezentacji oferty w katalogu akcji - art. 6 ust. 1 lit. b RODO.

Portal wykorzystuje pliki cookies w trzech celach. Na pliki inne niż niezbędne zapisujemy je dopiero po uzyskaniu Twojej zgody.

• Niezbędne — utrzymanie sesji zalogowanego użytkownika (cookie zsz-session), zapamiętanie Twoich decyzji dotyczących zgód, bezpieczeństwo formularzy. Działają zawsze, bo bez nich portal nie funkcjonuje.
• Analityczne — anonimowa statystyka odwiedzin (Google Analytics), dzięki której wiemy, które treści są przydatne. Zapisywane wyłącznie za zgodą.
• Reklamowe — pliki dostawców reklam, w tym Google AdSense oraz Meta Pixel (cookie _fbp). Zapisywane wyłącznie za zgodą.

Reklamy Google AdSense

Na portalu wyświetlane są reklamy dostarczane przez Google. Google, jako zewnętrzny dostawca, wykorzystuje pliki cookies do wyświetlania reklam na podstawie wcześniejszych wizyt użytkownika na tej i innych stronach internetowych. Reklamy pomagają utrzymać portal — pokrywają koszty serwera, domeny i certyfikatu.

Możesz w każdej chwili zrezygnować ze spersonalizowanych reklam Google w ustawieniach reklam Google. Zasady przetwarzania danych przez Google opisuje polityka Google dotycząca witryn partnerskich. Reklamy od wielu dostawców naraz wyłączysz na youronlinechoices.com.

Meta Pixel (Facebook)

Na portalu działa narzędzie pomiarowe Meta Pixel dostarczane przez Meta Platforms Ireland Limited. Rejestruje ono odwiedziny podstron i pozwala nam sprawdzić, czy nasze posty i reklamy na Facebooku faktycznie przyprowadzają czytelników, a także skierować reklamę do osób, które już odwiedziły portal. Meta może łączyć te informacje z Twoim kontem na Facebooku lub Instagramie, jeśli je posiadasz.

Zakresem danych zbieranych przez Metę zarządzasz w preferencjach reklam Meta. Zasady przetwarzania opisuje polityka prywatności Meta.

Zarządzanie zgodą

Przy pierwszej wizycie pokazujemy okno zgody, w którym decydujesz o plikach analitycznych i reklamowych. Zgodę możesz zmienić lub wycofać w każdej chwili, a także wyłączyć obsługę cookies w ustawieniach przeglądarki — część funkcji portalu (np. logowanie) wymaga wtedy ich ponownego włączenia.

Twoje dane mogą być przekazywane następującym kategoriom odbiorców:

• dostawca infrastruktury hostingowej (serwer aplikacji i bazy danych), z którym Administrator zawarł umowę powierzenia przetwarzania danych;
• dostawca usługi poczty wychodzącej (SMTP) — do wysyłki powiadomień systemowych, potwierdzeń rejestracji, resetowania hasła i newslettera;
• Cloudflare, Inc. — sieć CDN i ochrona przed atakami: przez jej serwery przechodzi ruch do portalu (m.in. adres IP i dane przeglądarki), a na formularzu zgłoszeń działa zabezpieczenie Cloudflare Turnstile;
• OVHcloud — bramka SMS, przez którą wysyłamy kody weryfikacyjne przy rejestracji oraz wiadomości do firm (§7);
• Google Ireland Limited — w zakresie logowania kontem Google, jeśli wybierzesz ten sposób (§4);
• OpenStreetMap Foundation — przy wyświetlaniu map przeglądarka pobiera fragmenty mapy z jej serwerów, co ujawnia im adres IP;
• Google Ireland Limited — w zakresie wyświetlania reklam (Google AdSense) oraz statystyk odwiedzin (Google Analytics), wyłącznie po wyrażeniu przez Ciebie zgody na odpowiednie pliki cookies;
• Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlandia) — w zakresie pomiaru skuteczności działań na Facebooku i Instagramie (Meta Pixel), wyłącznie po wyrażeniu przez Ciebie zgody na pliki reklamowe;
• operator płatności CashBill S.A. z siedzibą w Katowicach (ul. Jana III Sobieskiego 2, 40-082 Katowice, KRS 0000323297) — wyłącznie w zakresie niezbędnym do realizacji zakupu Punktów lub kampanii banerowej;
• podmioty świadczące usługi księgowe i prawne — w zakresie niezbędnym do rozliczenia transakcji i obrony przed roszczeniami;
• uprawnione organy państwowe — wyłącznie na podstawie obowiązujących przepisów (np. organy ścigania, organy podatkowe).

Nie sprzedajemy ani nie udostępniamy danych w celach marketingowych podmiotom trzecim.

Część dostawców, z których korzystamy - Google (logowanie, AdSense, Analytics), Meta (Meta Pixel) i Cloudflare - może przetwarzać dane w Stanach Zjednoczonych. Te podmioty są certyfikowane w ramach programu EU-US Data Privacy Framework, dla którego Komisja Europejska stwierdziła odpowiedni stopień ochrony danych (art. 45 RODO). W zakresie nieobjętym certyfikacją przekazanie odbywa się na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

OpenStreetMap Foundation działa w Wielkiej Brytanii, wobec której Komisja Europejska również stwierdziła odpowiedni stopień ochrony danych. Kopię stosowanych zabezpieczeń możesz otrzymać, pisząc na adres Administratora.

• dane konta — do czasu usunięcia konta; po jego usunięciu wyłącznie w zakresie potrzebnym do ustalenia, dochodzenia lub obrony roszczeń, do upływu terminu ich przedawnienia (art. 118 Kodeksu cywilnego);
• dane transakcji (faktury, dowody zakupu) — 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zgodnie z art. 86 § 1 Ordynacji podatkowej;
• dane przetwarzane na podstawie zgody (newsletter) — do czasu jej cofnięcia; informację o zgodzie i jej wycofaniu przechowujemy do upływu terminu przedawnienia roszczeń związanych z wysyłką;
• niepotwierdzone zapisy na newsletter — link potwierdzający wygasa po 7 dniach;
• zgłoszenia mieszkańców — przez czas obsługi zgłoszenia, a następnie do upływu terminu przedawnienia ewentualnych roszczeń;
• dane firm zapraszanych do portalu — zgodnie z §7;
• logi techniczne i dane bezpieczeństwa — do 12 miesięcy, na podstawie uzasadnionego interesu Administratora (art. 6 ust. 1 lit. f RODO).

Podanie danych osobowych jest dobrowolne, jednak niezbędne do zawarcia i wykonania umowy o świadczenie usług drogą elektroniczną:

• bez adresu e-mail, hasła i numeru telefonu (albo konta Google) nie jest możliwe założenie Konta ani publikacja Ofert, Propozycji i ogłoszeń;
• zapis na newsletter jest w pełni dobrowolny i nie wpływa na korzystanie z portalu;
• bez danych do faktury nie jest możliwe jej wystawienie po zakupie Punktów lub kampanii banerowej;
• niepodanie danych technicznych (adres IP, typ przeglądarki) jest niemożliwe z przyczyn technicznych — są one rejestrowane automatycznie w logach serwera.

W związku z przetwarzaniem danych masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania nieprawidłowych danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania,
• cofnięcia zgody w dowolnym momencie (jeśli przetwarzanie odbywa się na podstawie zgody) — bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Aby skorzystać z tych praw, napisz do nas na adres kontakt [at] zasmakujszczawnicy.pl.

Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na Użytkownika, w rozumieniu art. 22 RODO. Pozycjonowanie Ofert za pomocą Punktów ma charakter techniczny i nie tworzy profilu osobowego Użytkownika.

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka — m.in. szyfrowanie haseł (bcrypt), bezpieczne sesje (JWT, cookies httpOnly), połączenie HTTPS oraz kontrolę dostępu do panelu administracyjnego.

Polityka może być aktualizowana — zmiany publikujemy na tej stronie wraz z nową datą. Korzystanie z portalu po wprowadzeniu zmian oznacza ich akceptację.