Polityka prywatności

1. Kto odpowiada za dane

1. Administratorem danych osobowych przetwarzanych przez PRZEDSIĘBIORSTWO WIELOBRANŻOWE "KARF" Karol Frąk we własnych celach związanych z prowadzeniem Serwisu jest PRZEDSIĘBIORSTWO WIELOBRANŻOWE "KARF" Karol Frąk, NIP: 5213875015, REGON: 384232069, adres: ul. Konstruktorska 9/149, 02-673 Warszawa, e-mail: kontakt@theday.pl.

2. W niniejszej Polityce zwroty „my”, „Usługodawca” lub „TheDay” odnoszą się do PRZEDSIĘBIORSTWO WIELOBRANŻOWE "KARF" Karol Frąk.

3. W sprawach ochrony danych można kontaktować się na adres: kontakt@theday.pl lub telefonicznie: tel. 789 789 099.

2. Kiedy jesteśmy administratorem, a kiedy podmiotem przetwarzającym

1. Działamy jako administrator w szczególności w odniesieniu do danych Organizatorów potrzebnych do założenia i obsługi Konta, zawarcia i rozliczenia umowy, obsługi płatności, kontaktu, reklamacji, bezpieczeństwa, zapobiegania nadużyciom i obrony roszczeń.

2. Działamy jako administrator także w odniesieniu do danych technicznych użytkowników Serwisu przetwarzanych we własnych celach bezpieczeństwa, diagnostyki i ochrony przed nadużyciami oraz, w zakresie odpowiedniej funkcji, danych nadawców zaproszeń na randkę niezbędnych do wykonania tej funkcji.

3. W odniesieniu do danych Gości, które Organizator wprowadza do Wydarzenia albo które są zbierane dla Organizatora poprzez RSVP, galerię, listę prezentów i inne funkcje, co do zasady przetwarzamy dane w imieniu Organizatora jako podmiot przetwarzający. Szczegółowe zasady powierzenia określa Załącznik nr 2 do Regulaminu.

4. Jeżeli Organizator jest osobą fizyczną i przetwarza dane wyłącznie w ramach czynności osobistych lub domowych, do jego własnego przetwarzania może mieć zastosowanie wyjątek domowy z art. 2 ust. 2 lit. c RODO. Nie oznacza to automatycznie wyłączenia obowiązków ochrony danych po stronie dostawców technologicznych zapewniających środki przetwarzania.

3. Jakie dane możemy przetwarzać

Konto Organizatora: adres e-mail, identyfikatory Konta, dane o logowaniu i bezpieczeństwie, ustawienia oraz dane Wydarzeń.

Dane rozliczeniowe: dane wymagane do płatności, rozliczenia i wystawienia dokumentów księgowych. Płatność odbywa się na stronie operatora płatności ING Pay: dane karty płatniczej i dane logowania do bankowości obsługuje wyłącznie operator, Usługodawca ich nie otrzymuje.

Lista Gości: imię i nazwisko, opcjonalny e-mail i telefon, liczba miejsc, treść imiennego powitania, notatki Organizatora i inne informacje wprowadzone przez Organizatora.

RSVP: imię i nazwisko albo odpowiedź powiązana z linkiem imiennym, liczba osób, preferencje żywieniowe, opcjonalnie numer telefonu, opcjonalna wiadomość dla Organizatora.

Galeria: zdjęcia i opcjonalne podpisy. Przed wysłaniem do Serwisu metadane zdjęcia, w tym EXIF z lokalizacją GPS i danymi aparatu, są usuwane na urządzeniu użytkownika; zachowywana jest wyłącznie informacja o orientacji zdjęcia, potrzebna do jego prawidłowego wyświetlenia.

Lista prezentów: pozycje listy i techniczne informacje o rezerwacji. Rezerwacja jest powiązana z Gościem z linku imiennego albo z losowym identyfikatorem urządzenia; tożsamość rezerwującego nie jest ujawniana Organizatorowi, który widzi wyłącznie liczbę zarezerwowanych sztuk.

Zaproszenia na randkę: adres e-mail nadawcy, treść pytania, odpowiedź i wybory odbiorcy w zakresie niezbędnym do przekazania odpowiedzi nadawcy.

Dane techniczne: adres IP, znaczniki czasu, informacje o przeglądarce i urządzeniu, logi serwera, identyfikatory sesji, identyfikator urządzenia w localStorage oraz dane diagnostyczne i bezpieczeństwa.

4. Cele i podstawy prawne

5. Dane o diecie i inne informacje wrażliwe

1. Preferencja żywieniowa nie zawsze stanowi szczególną kategorię danych, jednak informacja o alergii, chorobie, stanie zdrowia albo określonych praktykach religijnych może ujawniać dane szczególnie chronione.

2. Organizator powinien ograniczyć zakres zbieranych informacji do danych rzeczywiście potrzebnych do organizacji Wydarzenia. Nie zalecamy wpisywania diagnoz, historii leczenia ani innych szczegółowych danych zdrowotnych.

3. Jeżeli Organizator jako administrator decyduje się zbierać szczególne kategorie danych, odpowiada za istnienie odpowiedniej podstawy prawnej i spełnienie wymaganych obowiązków informacyjnych. My przetwarzamy takie dane wyłącznie w zakresie funkcji Serwisu i poleceń Organizatora.

6. Odbiorcy danych i dostawcy infrastruktury

1. Możemy korzystać z dostawców świadczących na naszą rzecz hosting, bazę danych i uwierzytelnianie, przechowywanie plików, CDN, wysyłkę e-mail, obsługę płatności, monitoring bezpieczeństwa, kopie zapasowe i wsparcie techniczne.

2. Przy prowadzeniu Serwisu korzystamy z następujących dostawców: Vercel (hosting aplikacji), Supabase (baza danych, uwierzytelnianie i przechowywanie skanów umów), Cloudflare (przechowywanie plików, CDN i obsługa domeny), Resend (wysyłka wiadomości e-mail) oraz ING Bank Śląski S.A. (obsługa płatności ING Pay).

3. Dostawcy otrzymują wyłącznie taki zakres danych, jaki jest konieczny do wykonania ich usług, i są objęci odpowiednimi zobowiązaniami umownymi w zakresie ochrony danych, jeżeli działają jako podmioty przetwarzające.

4. Operator płatności może działać jako odrębny administrator danych w zakresie wymaganym przez przepisy dotyczące płatności, przeciwdziałania oszustwom i obowiązków regulacyjnych; informacje o przetwarzaniu danych przez operatora płatności udostępnia ING Bank Śląski S.A. na swojej stronie płatności.

7. Transfery danych poza EOG

1. Niektóre podmioty z grup kapitałowych naszych dostawców mogą mieć siedzibę lub zaplecze techniczne poza Europejskim Obszarem Gospodarczym.

2. Jeżeli w związku z korzystaniem z danego dostawcy dochodzi do transferu danych poza EOG, transfer odbywa się wyłącznie przy zastosowaniu mechanizmu przewidzianego w rozdziale V RODO, w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, Data Privacy Framework w zakresie podmiotów objętych takim mechanizmem albo standardowych klauzul umownych wraz z dodatkowymi środkami, gdy są wymagane.

8. Okresy przechowywania

Wydarzenie i dane Wydarzenia: 12 miesięcy od daty Wydarzenia w pakietach Start, Premium i Pro, 21 dni w pakiecie Free (nie krócej niż 21 dni od publikacji), + do 90 dni trybu tylko do odczytu, następnie usunięcie zgodnie z cyklem życia.

Dane o diecie: Informacje o diecie i alergiach zapisane w przeznaczonym do tego polu odpowiedzi RSVP, wraz z historią zmian tego pola, są automatycznie usuwane z aktywnych systemów Serwisu najpóźniej w terminie 30 dni od daty Wydarzenia, chyba że zostaną usunięte wcześniej. Dane te nie są przechowywane przez cały okres dostępności Wydarzenia.

Oryginały zdjęć w galerii: najdłużej 365 dni od dodania, po czym są usuwane automatycznie. Jeśli Wydarzenie zostanie usunięte wcześniej (po upływie okresu przechowywania albo na wniosek Organizatora, także razem z Kontem), zdjęcia są usuwane razem z nim.

Wersje do przeglądania: najdłużej 455 dni od dodania. Przy wcześniejszym usunięciu Wydarzenia są usuwane razem z nim.

Konto Organizatora: do czasu usunięcia Konta, a wybrane dane dłużej, jeżeli wymagają tego obowiązki prawne lub obrona roszczeń.

Dokumenty rozliczeniowe: przez okres wynikający z przepisów podatkowych i rachunkowych.

Logi bezpieczeństwa: Logi zapytań i uwierzytelniania u dostawcy bazy danych (Supabase): 1 dzień. Logi funkcji serwerowych u dostawcy hostingu (Vercel): 1 godzina. Własne wpisy limitów tempa (skrót adresu IP powiązany z wydarzeniem): 24 godziny, chyba że konkretny log jest potrzebny dłużej do wyjaśnienia incydentu lub obrony roszczeń.

Zaproszenia na randkę: Strona randki wraz z odpowiedzią jest usuwana automatycznie 30 dni po dacie randki (po wyborze terminu przez odbiorcę: po wybranej dacie); zaproszenie bez odpowiedzi jest usuwane 90 dni po publikacji, a nieopublikowany szkic 14 dni od utworzenia.

Kopie zapasowe: przez ograniczony okres rotacji technicznej; po usunięciu z systemu aktywnego dane nie są celowo przywracane do bieżącego użycia.

9. Prawa osób, których dane dotyczą

1. W zależności od podstawy i okoliczności przetwarzania osobie może przysługiwać prawo dostępu do danych, uzyskania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

2. Jeżeli przetwarzanie opiera się na zgodzie, zgodę można wycofać w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem.

3. Wnioski dotyczące danych, których administratorem jesteśmy my, można kierować na kontakt@theday.pl.

4. Jeżeli wniosek Gościa dotyczy danych przetwarzanych przez nas wyłącznie w imieniu Organizatora, możemy przekazać wniosek Organizatorowi lub wesprzeć go w realizacji żądania zgodnie z umową powierzenia.

5. Każdej osobie przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli uważa, że jej dane są przetwarzane niezgodnie z RODO.

10. Dobrowolność podania danych

1. Podanie danych jest co do zasady dobrowolne, jednak brak danych oznaczonych jako wymagane może uniemożliwić założenie Konta, zakup Planu, wysłanie RSVP, dodanie zdjęcia albo skorzystanie z innej funkcji.

2. Pola opcjonalne można pozostawić puste. Organizator powinien projektować Wydarzenie zgodnie z zasadą minimalizacji danych.

11. Cookies, localStorage i podobne technologie

1. Serwis wykorzystuje cookies, localStorage lub podobne mechanizmy niezbędne do zapewnienia funkcji żądanych przez użytkownika, w szczególności logowania, utrzymania sesji, zapamiętania odpowiedzi lub klucza edycji, ochrony przed nadużyciami, limitów galerii i rezerwacji oraz preferencji interfejsu.

2. W zakresie, w jakim zapis lub odczyt informacji z urządzenia jest konieczny do wykonania transmisji albo dostarczenia usługi świadczonej drogą elektroniczną żądanej przez użytkownika, odrębna zgoda na taki zapis lub odczyt nie jest wymagana.

3. Jeżeli Serwis wdroży analitykę, marketing, piksele reklamowe lub inne technologie, które nie są konieczne do świadczenia żądanej usługi, zostaną one uruchomione zgodnie z wymaganiami Prawa komunikacji elektronicznej i RODO, w szczególności po uzyskaniu wymaganej zgody.

12. Bezpieczeństwo

1. Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym szyfrowanie transmisji TLS, kontrolę dostępu, mechanizmy uwierzytelniania, separację uprawnień, zarządzanie sekretami, logowanie zdarzeń, kopie zapasowe i środki ograniczające nadużycia.

2. Metadane EXIF zdjęć są usuwane na urządzeniu użytkownika przed wysłaniem do Serwisu, co stanowi dodatkowy środek minimalizacji danych.

3. Żaden system teleinformatyczny nie daje absolutnej gwarancji bezpieczeństwa. W razie incydentu stosujemy procedury reagowania i wykonujemy obowiązki przewidziane przez RODO.

13. Zautomatyzowane decyzje i profilowanie

1. Nie podejmujemy wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływają.

2. Strona internetowa nie korzysta z profilowania.

14. Powierzenie przetwarzania danych Gości

1. Jeżeli Organizator działa jako administrator danych Gości, powierza ich przetwarzanie PRZEDSIĘBIORSTWO WIELOBRANŻOWE "KARF" Karol Frąk na zasadach określonych w Załączniku nr 2 do Regulaminu.

2. Powierzenie obejmuje wyłącznie przetwarzanie potrzebne do dostarczenia funkcji Serwisu, zapewnienia bezpieczeństwa, wsparcia technicznego oraz usunięcia danych zgodnie z ustalonym cyklem życia.

3. Lista lub kategorie podprocesorów są wskazane w niniejszej Polityce i mogą zmieniać się wraz z rozwojem infrastruktury, z zachowaniem zasad wynikających z art. 28 RODO.

4. Organizator nie powinien wykorzystywać Serwisu do zbierania danych nadmiarowych lub danych szczególnie wrażliwych, jeżeli nie jest to rzeczywiście niezbędne.

15. Zmiany Polityki

1. Polityka może być aktualizowana w szczególności w razie zmian Serwisu, dostawców, technologii, prawa lub sposobów przetwarzania danych.

2. O istotnych zmianach wpływających na użytkowników poinformujemy w Serwisie lub, jeżeli jest to wymagane lub uzasadnione, wiadomością e-mail.

3. Wersja Polityki obowiązuje od dnia 28 września 2026 r.