Polityka prywatności
Wersja z dnia 9 września 2026 r.. Obowiązuje od tej daty.
Zobacz też: Regulamin · Polityka cookies
Ta Polityka wyjaśnia, jakie dane osobowe przetwarzamy w serwisie Lista Marzeń (www.listamarzen.app), po co, na jakiej podstawie, jak długo, komu je powierzamy i jakie masz prawa. Dotyczy zarówno osób posiadających konto (Właścicieli list), jak i Gości, którzy korzystają z listy bez konta.
Staramy się przetwarzać jak najmniej danych: nie prowadzimy analityki behawioralnej, nie wyświetlamy reklam, nie sprzedajemy danych i nie profilujemy Użytkowników.
1.Administrator danych
Administratorem Twoich danych osobowych jest BINARY BRAIN TECHNOLOGIES SP. Z O.O., KRS 0001207918, NIP 7133142056, REGON 54334690400000 („Administrator”, „my”).
We wszystkich sprawach dotyczących danych osobowych skontaktuj się z nami e-mailem: [email protected] albo pisemnie na adres siedziby ujawniony w Krajowym Rejestrze Sądowym. Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie mamy takiego obowiązku; zapytania obsługuje bezpośrednio zarząd Administratora.
2.Jakie dane przetwarzamy, po co i jak długo
Poniższa tabela opisuje kategorie danych, cele, podstawy prawne z art. 6 ust. 1 RODO oraz okresy przechowywania. Podanie danych jest dobrowolne, ale bez danych oznaczonych jako niezbędne nie możemy świadczyć danej usługi.
Właściciele list (osoby z kontem)
| Dane | Cel i podstawa | Okres |
|---|---|---|
| Dane konta: adres e-mail, hasło (przechowywane wyłącznie jako skrót kryptograficzny przez Supabase Auth), identyfikator konta; przy logowaniu Google — identyfikator, e-mail, imię i nazwisko oraz zdjęcie profilowe udostępnione przez Google; data i wersja akceptacji Regulaminu. | Założenie i prowadzenie konta, logowanie, odzyskiwanie hasła, komunikacja serwisowa — wykonanie umowy (art. 6 ust. 1 lit. b). | Przez czas posiadania konta, następnie do 30 dni na usunięcie z systemów produkcyjnych i kopii zapasowych. |
| Treści list: tytuły, opisy, data, godzina i adres wydarzenia, zdjęcia okładek, prezenty (nazwa, zdjęcie, link, cena, kolejność), wybrany motyw, ustawienia widoczności, wygenerowane karty podglądu linku. | Świadczenie usługi list prezentów i ich udostępnianie — wykonanie umowy (lit. b). | Do usunięcia listy lub konta przez Ciebie. Listy wygasłe nie są usuwane automatycznie — pozostają w Twoim koncie do czasu usunięcia. |
| Koperta: tytuł i opis zbiórki, kwota docelowa, metoda i dane do wpłaty podane przez Ciebie (numer telefonu BLIK, numer rachunku albo link PayPal). | Wyświetlenie danych do wpłaty Gościom Twojej listy — wykonanie umowy (lit. b). Dane widzi każdy, kto zna link do listy. | Do usunięcia koperty, listy lub konta. |
| Dane płatności i rozliczeń: identyfikator klienta i subskrypcji w Stripe, status subskrypcji, data końca okresu, rodzaj i data zakupu Event Passa, identyfikatory zdarzeń płatniczych. Stripe przekazuje nam tylko te dane — nie otrzymujemy numeru karty ani kodu BLIK. | Realizacja zakupu i przyznanie uprawnień — wykonanie umowy (lit. b); księgowość, faktury i podatki — obowiązek prawny (lit. c); ochrona przed nadużyciami i dochodzenie roszczeń — uzasadniony interes (lit. f). | Dokumenty księgowe: 5 lat od końca roku podatkowego, w którym dokonano płatności. Techniczne zapisy zdarzeń płatniczych: 30 dni. |
| Korespondencja: treść wiadomości e-mail wysłanych na adres support@ (reklamacje, zgłoszenia, pytania) i nasze odpowiedzi. | Obsługa zgłoszeń i reklamacji — wykonanie umowy (lit. b) oraz uzasadniony interes (lit. f) w dokumentowaniu ustaleń. | 3 lata od zakończenia sprawy (okres przedawnienia roszczeń). |
Goście (osoby korzystające z listy bez konta)
| Dane | Cel i podstawa | Okres |
|---|---|---|
| Rezerwacje: imię lub pseudonim podany przy rezerwacji (może być anonimowy), data rezerwacji, skrót tokenu anulowania, a jeśli byłeś zalogowany — identyfikator Twojego konta. Opcjonalnie, jeśli poprosisz o potwierdzenie: podany przez Ciebie adres e-mail oraz Twoja ewentualna, odrębna zgoda na wiadomości marketingowe. | Rezerwacja prezentu i możliwość jej samodzielnego anulowania — wykonanie umowy z Gościem (lit. b). Imię widzi wyłącznie Właściciel listy; inni Goście widzą tylko, że prezent jest zarezerwowany. Jeśli podasz adres e-mail, użyjemy go, aby wysłać Ci potwierdzenie rezerwacji i link do jej podglądu lub anulowania z innego urządzenia (wykonanie umowy, lit. b). Adresu e-mail nie widzi Właściciel listy ani inni Goście. Wiadomości marketingowe wysyłamy wyłącznie, jeśli zaznaczysz odrębną zgodę — na podstawie Twojej zgody (lit. a), którą możesz wycofać w każdej chwili. | Do anulowania rezerwacji, usunięcia prezentu lub listy. Token anulowania w Twojej przeglądarce — do jego wyczyszczenia. Adres e-mail i zgodę usuwamy z chwilą anulowania rezerwacji, usunięcia listy albo usunięcia konta osoby rezerwującej (zgodę marketingową — również po jej wycofaniu). |
| Deklaracje wpłat do koperty: zadeklarowana kwota i opcjonalne imię. | Pokazanie postępu zbiórki Właścicielowi — wykonanie umowy (lit. b). Nie przetwarzamy samej płatności — odbywa się ona bezpośrednio między Tobą a organizatorem. | Do usunięcia koperty lub listy. |
Wszyscy odwiedzający (dane techniczne)
| Dane | Cel i podstawa | Okres |
|---|---|---|
| Logi serwerowe i bezpieczeństwa: adres IP, identyfikator przeglądarki (user agent), adres żądanej strony, czas, kody odpowiedzi — po stronie dostawców hostingu (Vercel) i ochrony (Cloudflare). | Utrzymanie, diagnostyka i bezpieczeństwo Serwisu, ochrona przed atakami i botami — uzasadniony interes (lit. f). | Do 30 dni. |
| Ograniczanie liczby żądań (rate limiting): adres IP (dla działań bez logowania, np. rezerwacji) albo identyfikator konta, licznik żądań. | Ochrona przed nadużyciami i masowymi rezerwacjami — uzasadniony interes (lit. f). | Do 60 sekund (okno limitu), następnie automatyczne usunięcie. |
| Dziennik zdarzeń (audit log): rodzaj zdarzenia (np. rezerwacja, anulowanie, usunięcie listy, zmiana planu, rozpoczęcie płatności i zakup), czas, identyfikator lub e-mail osoby działającej (jeśli była zalogowana), identyfikatory listy i prezentu, źródło działania oraz imię podane przy rezerwacji. Bez adresu IP. | Rozstrzyganie sporów („kto anulował rezerwację?”), wykrywanie błędów i nadużyć, obsługa reklamacji — uzasadniony interes (lit. f) oraz obrona roszczeń. | Do 24 miesięcy od zdarzenia. |
| Kliknięcia w linki do sklepów: losowy identyfikator kliknięcia, domena sklepu, identyfikatory listy i prezentu, czas. Bez adresu IP i bez identyfikatora osoby. | Statystyki dla Właścicieli i rozliczenia afiliacyjne — uzasadniony interes (lit. f). Dane nie pozwalają zidentyfikować klikającego. | Bezterminowo, w formie niepozwalającej na identyfikację osoby. |
| Podgląd linku produktu: adres URL sklepu, który wkleisz przy dodawaniu prezentu — pobieramy z tej strony tytuł, zdjęcie i cenę. | Automatyczne uzupełnienie danych prezentu na Twoje żądanie — wykonanie umowy (lit. b). Żądanie do sklepu wysyła nasz serwer, nie Twoja przeglądarka. | URL nie jest zapisywany poza samym prezentem, jeśli go zapiszesz. |
3.Skąd mamy dane
Większość danych podajesz sam — przy rejestracji, tworzeniu listy, rezerwacji lub deklaracji wpłaty. Dodatkowo:
- przy logowaniu przez Google otrzymujemy od Google Twój identyfikator, adres e-mail, imię i nazwisko oraz zdjęcie profilowe;
- od operatora płatności Stripe otrzymujemy potwierdzenie i status płatności oraz identyfikatory klienta i subskrypcji;
- dane o Tobie może wprowadzić inna osoba — Właściciel listy może podać np. adres wydarzenia lub imię osoby obdarowywanej, a Gość — swoje imię przy rezerwacji. Jeśli Twoje dane znalazły się na czyjejś liście bez Twojej zgody, napisz do nas.
4.Komu przekazujemy dane (odbiorcy i podmioty przetwarzające)
Nie sprzedajemy danych. Korzystamy z zaufanych dostawców, którzy przetwarzają dane w naszym imieniu na podstawie umów powierzenia (art. 28 RODO) albo — w wyraźnie wskazanych przypadkach — jako samodzielni administratorzy:
| Dostawca | Rola i zakres | Lokalizacja danych |
|---|---|---|
| Supabase, Inc. | Baza danych, uwierzytelnianie (Supabase Auth), przechowywanie wgranych zdjęć (Storage). | Unia Europejska (AWS, region Frankfurt); dostawca z USA — zabezpieczenia poniżej. |
| Vercel, Inc. | Hosting aplikacji, uruchamianie funkcji serwerowych, logi techniczne, zadania cykliczne. | Serwery brzegowe w UE i globalnie; dostawca z USA. |
| Cloudflare, Inc. | DNS, sieć dostarczania treści (CDN), zapora aplikacyjna (WAF) i ochrona przed botami; buforowanie kart podglądu linku. | Globalna sieć, w tym UE; dostawca z USA. |
| Stripe Payments Europe, Ltd. (Irlandia) i Stripe, Inc. (USA) | Obsługa płatności (karta, BLIK, Przelewy24), subskrypcji, panelu zarządzania subskrypcją i potwierdzeń płatności. W zakresie realizacji płatności, zapobiegania oszustwom i własnych obowiązków prawnych Stripe działa jako samodzielny administrator — zob. stripe.com/privacy. | UE i USA. |
| Google Ireland Ltd. | Logowanie kontem Google (samodzielny administrator w zakresie Twojego konta Google) oraz Google Workspace — skrzynka pocztowa support@ (podmiot przetwarzający). | UE i USA. |
| Resend, Inc. | Wysyłka wiadomości e-mail: transakcyjnych (potwierdzenie rejestracji, reset hasła, zmiana e-maila, potwierdzenie rezerwacji z linkiem do niej, potwierdzenie zakupu) oraz — jeśli wyrazisz zgodę — marketingowych. | USA (przetwarzany jest adres e-mail i treść wiadomości). |
| Upstash, Inc. | Pamięć podręczna do ograniczania liczby żądań (adres IP lub identyfikator konta, do 60 s). | UE lub USA. |
| Sovrn, Inc. (Sovrn Commerce) | Sieć afiliacyjna — tylko jeżeli link do sklepu jest przekierowany przez tę sieć: otrzymuje adres docelowy i standardowe dane żądania (adres IP, przeglądarka) jako samodzielny administrator. Nie przekazujemy jej Twojego imienia ani identyfikatora. | USA. |
Ponadto dane mogą być widoczne dla:
- innych Użytkowników — zgodnie z działaniem Serwisu: Właściciel widzi imiona rezerwujących i deklaracje wpłat; każdy, kto zna link, widzi treść listy i dane do wpłat w kopercie; inni Goście nigdy nie widzą, kto zarezerwował prezent;
- sklepów zewnętrznych, do których przechodzisz z listy — na ich własnych zasadach;
- organów publicznych — wyłącznie na podstawie przepisów prawa i na uzasadnione żądanie;
- doradców Administratora (księgowość, obsługa prawna) — w niezbędnym zakresie, na podstawie umów zobowiązujących do poufności.
5.Przekazywanie danych poza Europejski Obszar Gospodarczy
Dane przechowujemy przede wszystkim w Unii Europejskiej (baza danych, uwierzytelnianie i pliki — region Frankfurt). Część dostawców ma siedzibę w USA lub korzysta z globalnej infrastruktury (Vercel, Cloudflare, Resend, Upstash, Stripe, Inc., Sovrn), co może oznaczać przekazanie danych poza EOG.
Każde takie przekazanie odbywa się na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (decyzja 2021/914) wraz z dodatkowymi środkami technicznymi (szyfrowanie w tranzycie i w spoczynku), a w przypadku dostawców certyfikowanych w programie EU-U.S. Data Privacy Framework — również na podstawie decyzji Komisji o odpowiednim stopniu ochrony. Kopię stosowanych zabezpieczeń możesz uzyskać, pisząc na [email protected].
6.Twoje prawa
Na podstawie RODO masz prawo do:
- dostępu do swoich danych i uzyskania ich kopii (art. 15),
- sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych (art. 16),
- usunięcia danych („prawo do bycia zapomnianym”, art. 17),
- ograniczenia przetwarzania (art. 18),
- przenoszenia danych, które nam dostarczyłeś, w ustrukturyzowanym formacie (art. 20),
- sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją (art. 21),
- wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
Jak skorzystać: listy, prezenty, rezerwacje i koperty możesz edytować i usuwać samodzielnie w Serwisie. Konto wraz ze wszystkimi danymi usuniesz samodzielnie w ustawieniach konta (sekcja „Usuń konto"). Pozostałe żądania — albo usunięcie konta, jeśli wolisz — wyślij na [email protected] z adresu e-mail przypisanego do konta (w innym przypadku możemy poprosić o potwierdzenie tożsamości). Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w złożonych sprawach termin może zostać wydłużony o kolejne dwa miesiące, o czym poinformujemy.
Usunięcie konta jest nieodwracalne: usuwamy listy, prezenty, zdjęcia, rezerwacje i koperty. Zachowujemy jedynie dane, których przechowywania wymaga prawo (dokumenty księgowe) lub które są niezbędne do obrony roszczeń (wpisy dziennika zdarzeń, korespondencja) — przez okresy wskazane w pkt 2.
Gość, który zarezerwował prezent bez konta, może anulować rezerwację z tej samej przeglądarki (token anulowania) albo poprosić Właściciela listy lub nas o jej usunięcie.
7.Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, m.in.:
- szyfrowanie połączeń (TLS) i danych w spoczynku u dostawców infrastruktury,
- hasła przechowywane wyłącznie w postaci skrótów kryptograficznych; tokeny anulowania rezerwacji przechowywane jako skróty SHA-256,
- weryfikację uprawnień po stronie serwera przy każdym żądaniu (właściciel listy widzi tylko swoje listy; rezerwujący nigdy nie jest ujawniany innym Gościom),
- reguły dostępu do przechowywanych zdjęć (zapis tylko przez zalogowanego właściciela, limity rozmiaru i typu pliku),
- zaporę aplikacyjną i ochronę przed botami, ograniczanie liczby żądań,
- dostęp administracyjny do danych wyłącznie dla upoważnionych osób, w celach wsparcia i bezpieczeństwa, z zapisem każdego działania administracyjnego w dzienniku zdarzeń.
W razie naruszenia ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, poinformujemy Cię bez zbędnej zwłoki zgodnie z art. 34 RODO.
9.Zautomatyzowane decyzje i profilowanie
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały, i nie profilujemy Użytkowników. Automatyczne są jedynie mechanizmy techniczne (np. ograniczanie liczby żądań, ochrona przed botami), które nie oceniają cech osoby.
10.Dzieci
Serwis jest przeznaczony dla osób, które ukończyły 16 lat. Nie zbieramy świadomie danych młodszych dzieci. Listy prezentów dla dzieci (np. komunia, urodziny) zakładają rodzice lub opiekunowie na własnym koncie. Jeśli uważasz, że dziecko przekazało nam dane bez zgody opiekuna, napisz do nas — usuniemy je.
11.Zmiany Polityki
Możemy aktualizować tę Politykę, gdy zmienią się przepisy, nasi dostawcy albo funkcje Serwisu. O istotnych zmianach poinformujemy Właścicieli e-mailem i w Serwisie co najmniej 14 dni przed ich wejściem w życie. Aktualna wersja jest zawsze dostępna pod adresemwww.listamarzen.app/privacy, a datę wersji podajemy na górze strony.