Polityka prywatności

1. Postanowienia ogólne

Niniejsza Polityka Prywatności („Polityka”) określa zasady przetwarzania i ochrony danych osobowych użytkowników serwisu internetowego Wombato („Serwis”). Jest zgodna z obowiązującymi przepisami, w szczególności z:

• Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO),
• Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych,
• Ustawą z dnia 16 lipca 2004 r. Prawo telekomunikacyjne.

2. Administrator danych osobowych

Administratorem Twoich danych osobowych jest Kamil Grabowski, prowadzący działalność pod adresem: ul. Bydgoska 6, 30-056 Kraków, Polska, NIP: 6612220368, REGON: 260231175.

Wszelkie zapytania w sprawie przetwarzania danych osobowych kieruj na adres: support@wombato.com.

3. Rodzaje przetwarzanych danych

W ramach świadczenia usług przetwarzamy następujące kategorie danych:

3.1. Dane podawane przez Ciebie

Dane obowiązkowe podczas rejestracji konta:

• nazwa wyświetlana (pseudonim),
• adres e-mail,
• hasło (przechowywane wyłącznie jako skrót kryptograficzny).

Dane podawane dobrowolnie w trakcie korzystania:

• zdjęcie profilowe (avatar) i opis profilu,
• dodawane miejsca, recenzje, komentarze i meldunki,
• materiały fotograficzne.

Nie wymagamy i nie zbieramy numeru telefonu ani daty urodzenia.

3.2. Dane zbierane automatycznie

• adres IP,
• typ przeglądarki i system operacyjny, informacje o urządzeniu,
• data i godzina wizyty, odwiedzone podstrony, źródło ruchu (referrer),
• przybliżona lokalizacja na podstawie adresu IP (patrz sekcja 4.8),
• współrzędne GPS - wyłącznie po Twoim wyraźnym działaniu i zgodzie (patrz sekcja 4.7),
• minimalne dane weryfikacji antybotowej (ochrona formularzy przed botami) oraz dane diagnostyczne błędów aplikacji przetwarzane na naszym własnym serwerze.

3.3. Dane pozyskiwane przez pliki cookies

Zgodnie z odrębną Polityką cookies przetwarzamy dane z cookies w celu utrzymania sesji, bezpieczeństwa oraz - wyłącznie za zgodą - analityki.

Nie oferujemy logowania przez konta społecznościowe (Google, Facebook). Rejestracja i logowanie odbywają się wyłącznie przez adres e-mail, więc nie pobieramy danych od zewnętrznych dostawców tożsamości.

4. Cele i podstawy prawne przetwarzania

4.1. Świadczenie usługi

Dane: nazwa, e-mail, treści, dane subskrypcji. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy). Cel: prowadzenie konta, publikacja Twoich treści, obsługa planu Pro.

4.2. Komunikacja z użytkownikami

Dane: e-mail. Podstawa: art. 6 ust. 1 lit. b RODO. Cel: odpowiedzi na zapytania, wsparcie techniczne, powiadomienia o istotnych zmianach.

4.3. Newsletter

Dane: e-mail. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda). Cel: przesyłanie newslettera (nowości, porady, polecane miejscówki) wysyłanego w naszym imieniu przez dostawcę usług e-mail. Subskrypcja możliwa też bez konta. Zgodę wycofasz w ustawieniach lub linkiem w każdej wiadomości.

4.4. Analiza i optymalizacja

Dane: IP, dane o przeglądarce, statystyki użycia. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda na cookies analityczne). Cel: analiza ruchu i doskonalenie serwisu. Narzędzia: Google Analytics (USA, SCC), Microsoft Clarity (USA, SCC - nagrania sesji i mapy cieplne), PostHog (region UE) oraz nasza instancja Umami hostowana w UE. Uruchamiane wyłącznie po zgodzie.

4.5. Wykonanie obowiązków prawnych

Podstawa: art. 6 ust. 1 lit. c RODO. Cel: rozliczenia podatkowe, archiwizacja, rozpatrywanie zgłoszeń treści niezgodnych z prawem (DSA).

4.6. Dochodzenie roszczeń

Podstawa: art. 6 ust. 1 lit. f RODO. Cel: dochodzenie roszczeń i egzekwowanie regulaminu.

4.7. Geolokalizacja GPS (na Twoje działanie)

Dane: współrzędne GPS. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda). Cel: meldunek w miejscu oraz wyszukanie miejsc w pobliżu. Zgodę pobiera przeglądarka lub system podczas konkretnego działania. Nie prowadzimy śledzenia w tle ani historii lokalizacji - pozycja jest używana jednorazowo do wykonania Twojej akcji.

4.8. Przybliżona lokalizacja z adresu IP

Dane: adres IP, przybliżony region. Podstawa: art. 6 ust. 1 lit. f RODO. Cel: wstępne dopasowanie języka/regionu i rekomendacja pobliskich miejsc. Region wyznaczamy z lokalnej bazy geolokalizacyjnej działającej na naszym serwerze - Twój adres IP nie jest przekazywany do zewnętrznego dostawcy. Przysługuje Ci prawo sprzeciwu.

4.9. Ochrona przed nadużyciami

Dane: minimalne sygnały weryfikacji. Podstawa: art. 6 ust. 1 lit. f RODO. Cel: sprawdzenie, że logowanie, rejestracja czy reset hasła wykonuje człowiek, a nie bot. Stosujemy prywatnościowe rozwiązanie antybotowe, które nie śledzi Cię między stronami i nie buduje profilu reklamowego.

4.10. Mapy i wyszukiwanie adresów

Podstawa: art. 6 ust. 1 lit. b RODO. Cel: wyświetlanie map oraz wyszukiwanie adresów. Zapytania geokodowania przechodzą przez nasz serwer (proxy), więc zewnętrzny dostawca map nie otrzymuje Twojego adresu IP.

4.11. Monitorowanie błędów

Podstawa: art. 6 ust. 1 lit. f RODO. Cel: diagnozowanie błędów i stabilność serwisu. Monitoring działa na naszym własnym serwerze w UE - dane o błędach nie trafiają do zewnętrznego dostawcy.

4.12. Formularz kontaktowy

Dane: e-mail, temat i treść wiadomości. Podstawa: art. 6 ust. 1 lit. a RODO. Cel: udzielenie odpowiedzi na Twoje zapytanie.

5. Okres przechowywania danych

5.1. Dane konta

• Aktywne konto: przez cały okres jego posiadania.
• Usunięte konto: dane osobowe są kasowane, a autorstwo opublikowanych treści (miejsca, recenzje, zdjęcia) zanonimizowane natychmiast po usunięciu. Zanonimizowane treści zostają w Serwisie jako zasób społeczności.

5.2. Dane marketingowe i newsletter

Przechowywane do wycofania zgody; po wycofaniu usuwane lub anonimizowane bez zbędnej zwłoki.

5.3. Dane analityczne (za zgodą)

• Google Analytics: 26 miesięcy od ostatniej interakcji,
• Microsoft Clarity: 13 miesięcy,
• PostHog / Umami (UE): do 12 miesięcy,
• logi bezpieczeństwa serwera: 12 miesięcy.

5.4. Dane prawne

• faktury i dokumenty rozliczeniowe: przez okres wymagany przepisami podatkowymi,
• korespondencja: do 3 lat od zakończenia sprawy.

6. Odbiorcy i przekazywanie danych

6.1. Dostawcy infrastruktury

Do działania Serwisu korzystamy z zaufanych dostawców przetwarzających dane w naszym imieniu na podstawie umów powierzenia (art. 28 RODO):

• dostawca hostingu - z centrami danych w Unii Europejskiej,
• dostawca CDN, ochrony i weryfikacji antybotowej,
• dostawca usług e-mail - wiadomości transakcyjne oraz newsletter (za zgodą),
• Paddle - obsługa płatności jako Merchant of Record; jest to sprzedawca widoczny na Twoim wyciągu, a my nie otrzymujemy numerów Twoich kart.

Pełną, aktualną listę podmiotów przetwarzających udostępniamy na życzenie pod adresem support@wombato.com. Monitoring błędów i statystyki analityczne (te ostatnie wyłącznie za zgodą) opisano w sekcjach 4.4 i 4.11.

6.2. Przekazywanie poza EOG

Za Twoją zgodą narzędzia analityczne Google Analytics i Microsoft Clarity (USA) mogą przekazywać dane poza Europejski Obszar Gospodarczy - na podstawie standardowych klauzul umownych Komisji Europejskiej (art. 46 RODO). Umami, PostHog oraz nasz własny monitoring błędów działają w UE - te dane nie opuszczają EOG.

6.3. Inne podmioty

Dane mogą być udostępnione podmiotom uprawnionym na podstawie przepisów prawa (np. organom państwowym). Nie ma sieci reklamowych, pikseli społecznościowych ani brokerów danych. Nie sprzedajemy i nie wynajmujemy danych osobowych.

7. Twoje prawa

• Dostęp (art. 15 RODO) - potwierdzenie i wgląd w dane oraz informacje o przetwarzaniu.
• Sprostowanie (art. 16 RODO) - poprawienie nieprawidłowych danych.
• Usunięcie (art. 17 RODO) - „prawo do bycia zapomnianym”.
• Ograniczenie przetwarzania (art. 18 RODO).
• Przenoszenie danych (art. 20 RODO) - w formacie nadającym się do odczytu maszynowego.
• Sprzeciw (art. 21 RODO) - wobec przetwarzania opartego na prawnie uzasadnionym interesie lub w celach marketingowych.
• Wycofanie zgody - w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

Aby skorzystać z tych praw, napisz na support@wombato.com. Masz również prawo wnieść skargę do organu nadzorczego - w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO, uodo.gov.pl), a w innych krajach lokalny organ ochrony danych.

8. Bezpieczeństwo danych

8.1. Środki techniczne

• szyfrowanie połączeń (TLS),
• hasła przechowywane wyłącznie jako skrót kryptograficzny,
• regularne kopie zapasowe,
• monitoring systemów pod kątem bezpieczeństwa,
• ochrona antybotowa na formularzach logowania i rejestracji.

8.2. Środki organizacyjne

• ograniczony dostęp do danych na zasadzie niezbędności,
• wewnętrzne procedury bezpieczeństwa i reagowania na incydenty,
• umowy o zachowaniu poufności z ewentualnymi podwykonawcami.

9. Pliki cookies

Cookies niezbędne (sesja, bezpieczeństwo, weryfikacja antybotowa, zapamiętanie zgód) działają zawsze i nie wymagają zgody. Cookies analityczne (Google Analytics, Microsoft Clarity, PostHog, Umami) uruchamiamy wyłącznie po Twojej zgodzie i możesz jej odmówić bez utraty funkcji. Nie używamy cookies reklamowych. Szczegóły w Polityce cookies.

10. Zautomatyzowane decyzje

Nie podejmujemy wobec Ciebie decyzji wywołujących skutki prawne lub podobnie istotne wyłącznie w sposób zautomatyzowany, w tym profilowania. O sankcjach dotyczących konta zawsze decyduje człowiek. Ewentualne profilowanie w celach marketingowych wymaga Twojej wyraźnej zgody.

11. Dane osób niepełnoletnich

Serwis jest przeznaczony dla osób, które ukończyły 16 lat. Nie zbieramy świadomie danych osób młodszych. Jeśli uznasz, że dziecko przekazało nam swoje dane, napisz na support@wombato.com - niezwłocznie je usuniemy.

12. Zmiany tej polityki

Polityka może być aktualizowana wraz z rozwojem serwisu. O istotnych zmianach poinformujemy przez baner w Serwisie, a zalogowanych użytkowników również e-mailem. Aktualna wersja jest zawsze dostępna na tej stronie, a data ostatniej zmiany widnieje powyżej.

13. Kontakt i postanowienia końcowe

Kontakt w sprawach danych osobowych: support@wombato.com, adres: ul. Bydgoska 6, 30-056 Kraków, Polska.

Polityka publikowana jest w kilku językach. W razie rozbieżności wiążąca jest wersja polska.