Polityka Prywatności

1. Administrator Danych

Administratorem Twoich danych osobowych jest: Dominik Maćkiewicz, prowadzący jednoosobową działalność gospodarczą pod nazwą Blue Code Dominik Maćkiewicz, NIP: 5273170548, adres: Sokołowska 24/26/32, Warszawa, e-mail: kontakt@sendbloom.io ("Administrator").

W sprawach dotyczących danych osobowych prosimy o kontakt pod adresem: kontakt@sendbloom.io

2. Jakie Dane Zbieramy i Dlaczego

2a. Dane Zamówienia (wykonanie umowy)

• Imię i nazwisko lub pseudonim Kupującego
• Adres e-mail lub numer telefonu (do dostarczenia linku do Kartki)
• Dane podane w celu personalizacji Kartki (np. imię odbiorcy, treść życzeń, zdjęcia, nagrania głosu - jeśli zostały przekazane)

Dane osobowe związane z personalizacją Kartki (np. treść życzeń, zdjęcia, nagrania głosu) przechowywane są przez okres, w którym Kartka pozostaje aktywna zgodnie z § 5.2 Regulaminu, i mogą zostać usunięte wcześniej na żądanie Kupującego lub odbiorcy zgodnie z pkt 6a poniżej. Dane niezbędne do celów rozliczeniowych i podatkowych (np. dowód dokonania transakcji, dane do faktury) przechowywane są przez 5 lat od zakończenia roku podatkowego, w którym dokonano transakcji, zgodnie z obowiązującymi przepisami podatkowymi, niezależnie od wcześniejszego usunięcia pozostałych danych.

2b. Nagrania Głosu i Dane Biometryczne

Funkcja nagrań głosu nie jest udostępniana użytkownikom korzystającym z Usługi z terytorium Stanów Zjednoczonych; dostęp do tej funkcji jest ograniczany na podstawie lokalizacji IP oraz danych deklarowanych w formularzu zamówienia. Podejmujemy techniczne środki, aby funkcja nagrań głosu nie była dostępna dla użytkowników z USA. Klient zobowiązuje się nie obchodzić tych zabezpieczeń. W razie przypadkowego pozyskania nagrania osoby z USA - prosimy o niezwłoczny kontakt, dane zostaną usunięte.

Tam, gdzie takie przepisy mają zastosowanie, przetwarzamy nagrania głosu wyłącznie na podstawie odrębnej, wyraźnej zgody Kupującego udzielonej w momencie przesyłania nagrania, wyłącznie w celu utworzenia i dostarczenia Kartki. Nie sprzedajemy, nie wynajmujemy ani w żaden inny sposób nie czerpiemy korzyści z nagrań głosu, ani nie udostępniamy ich osobom trzecim poza podmiotami przetwarzającymi ściśle niezbędnymi do świadczenia Usługi (patrz punkt 3).

Nagrania głosu przechowywane są wyłącznie przez okres ważności linku do Kartki opisany w punkcie 5, chyba że wcześniej: (a) Kupujący lub odbiorca zażąda ich usunięcia, lub (b) wewnętrzny harmonogram retencji będzie wymagał ich zniszczenia - w zależności od tego, co nastąpi wcześniej. W każdym przypadku dane biometryczne zostaną usunięte w rozsądnym terminie po zrealizowaniu pierwotnego celu zbierania, zgodnie z właściwymi przepisami o ochronie danych biometrycznych. Kupujący lub odbiorcy mogą w każdej chwili zażądać wcześniejszego usunięcia, kontaktując się pod adresem kontakt@sendbloom.io.

2c. Dane Płatnicze (Stripe - odrębny administrator)

Dane karty płatniczej oraz transakcje obsługiwane są wyłącznie przez Stripe Payments Europe Ltd. Administrator nie ma dostępu do pełnych danych karty. Stripe działa jako odrębny administrator danych - zob. stripe.com/privacy. W przypadku klientów spoza Polski, Stripe działa również jako Merchant of Record (sprzedawca), samodzielnie przetwarzając dane transakcyjne w celu realizacji obowiązków prawnych i podatkowych.

2d. Dane Analityczne (PostHog - uzasadniony interes)

Korzystamy z PostHog, narzędzia analityki produktowej, do zbierania anonimowych danych o zachowaniu użytkowników (np. odwiedzone strony, kliknięcia, czas wizyty) za pośrednictwem serwerów PostHog EU Cloud. Możesz sprzeciwić się przetwarzaniu danych analitycznych w ustawieniach prywatności/cookies na stronie lub kontaktując się z nami.

2e. Dane Osobowe Osób Trzecich na Kartce

Jeżeli Kupujący przekazuje dane dotyczące osoby trzeciej (np. imię odbiorcy, zdjęcie lub głos), oświadcza, że posiada zgodę tej osoby lub inną ważną podstawę prawną do przekazania jej danych. Administrator przetwarza takie dane na podstawie swojego uzasadnionego interesu, jakim jest prawidłowe zrealizowanie zamówienia Kupującego. Ze względu na charakter usługi (tworzenie cyfrowych kartek-niespodzianek), bezpośrednie poinformowanie osoby trzeciej przed dostarczeniem Kartki podważyłoby cel zamówienia; w zakresie, w jakim ma to zastosowanie, Administrator opiera się na właściwym wyjątku ustawowym dotyczącym danych zbieranych pośrednio, polegając na zapewnieniu Kupującego o zgodnym z prawem upoważnieniu do ich przekazania.

2f. Komunikacja Marketingowa i Przypomnienia o Niedokończonych Zamówieniach

Jeśli rozpoczniesz tworzenie Kartki i podasz swój adres e-mail, lecz nie dokończysz zakupu, możemy wysłać przypomnienie oraz inne treści marketingowe na podstawie Twojej dobrowolnej zgody. Zgodę możesz wycofać w dowolnym momencie poprzez link rezygnacji w każdej wiadomości e-mail lub kontaktując się z nami; nie wpływa to na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

3. Podmioty Przetwarzające

• Supabase Inc. - baza danych, serwery UE - dane zamówień, życzenia, metadane Kartek
• Cloudflare, Inc. - Cloudflare R2, serwery UE - pliki multimedialne (np. nagrania głosu)
• Stripe Payments Europe Ltd. - obsługa płatności (odrębny administrator)
• PostHog Inc. - analityka produktowa, dane zanonimizowane, EU Cloud
• Cloudflare, Inc. - hosting strony internetowej
• Resend, Inc. - dostarczanie linków do Kartek

Każdy podmiot przetwarzający działa na podstawie umowy powierzenia przetwarzania danych (DPA) i stosuje odpowiednie zabezpieczenia zgodne z RODO.

4. Międzynarodowy Transfer Danych

Dane przechowywane są co do zasady na terenie Europejskiego Obszaru Gospodarczego (EOG). W przypadku, gdy podmiot przetwarzający (np. Stripe, Cloudflare, Resend) ma siedzibę w Stanach Zjednoczonych lub przekazuje tam dane, transfer taki odbywa się na podstawie odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne zatwierdzone przez Komisję Europejską i/lub certyfikacja w ramach Data Privacy Framework UE-USA.

5. Okresy Przechowywania Danych

• Treść Kartki (pliki multimedialne, nagrania głosu, życzenia): przechowywana tak długo, jak Kartka pozostaje aktywna zgodnie z § 5.2 Regulaminu; nagrania głosu podlegają dodatkowo krótszemu okresowi retencji opisanemu w punkcie 2b, tam gdzie zastosowanie mają przepisy o ochronie danych biometrycznych.
• Dane transakcyjne i rozliczeniowe: przechowywane zgodnie z przepisami podatkowo-księgowymi, zwykle 5 lat od zakończenia właściwego roku podatkowego
• Dane związane z reklamacjami: przechowywane do czasu przedawnienia roszczeń (co do zasady do 6 lat)
• Dane analityczne PostHog: zanonimizowane, niepowiązane z konkretną osobą

6. Twoje Prawa

6a. Prawa wynikające z RODO (użytkownicy z UE/EOG/UK)

• Prawo dostępu do danych (art. 15)
• Prawo do sprostowania danych (art. 16)
• Prawo do usunięcia danych (art. 17), z zastrzeżeniem obowiązków prawnych Administratora. W odniesieniu do zawartości Kartki, prawo to Kupujący może zrealizować w dowolnym momencie w sposób zautomatyzowany, korzystając z linku usuwającego zawartego w e-mailu potwierdzającym zamówienie.
• Prawo do ograniczenia przetwarzania (art. 18)
• Prawo do przenoszenia danych (art. 20)
• Prawo sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21), w tym danych analitycznych
• Prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (www.uodo.gov.pl) lub właściwego lokalnego organu nadzorczego

6b. Prawa wynikające z amerykańskich przepisów stanowych (np. CCPA/CPRA i podobne)

Jeżeli jesteś mieszkańcem Kalifornii lub innego stanu USA posiadającego porównywalne przepisy o ochronie prywatności, i w zakresie, w jakim przepisy te mają wobec nas zastosowanie, możesz mieć prawo do:

• uzyskania informacji, jakie dane osobowe zbieramy, wykorzystujemy i ujawniamy
• żądania usunięcia danych osobowych, z zastrzeżeniem wyjątków ustawowych
• sprostowania nieprawidłowych danych osobowych
• uzyskania przenośnej kopii swoich danych osobowych
• niedyskryminacji za korzystanie z praw dotyczących prywatności
• rezygnacji ze "sprzedaży" lub "udostępniania" danych osobowych - nie sprzedajemy danych osobowych w zamian za wynagrodzenie ani nie udostępniamy ich w celach reklamy behawioralnej

Wnioski dotyczące realizacji tych praw można kierować na adres kontakt@sendbloom.io. Możemy poprosić o weryfikację tożsamości przed realizacją wniosku. W przypadku odmowy realizacji wniosku możesz mieć prawo do odwołania się poprzez odpowiedź na naszą wiadomość e-mail z decyzją.

6c. Prawa dotyczące danych biometrycznych (np. ustawa BIPA stanu Illinois i podobne przepisy)

Tam, gdzie właściwe przepisy o ochronie danych biometrycznych przyznają Ci prawa dotyczące nagrań głosu lub innych danych biometrycznych, możesz w każdej chwili zażądać dostępu do nich lub ich usunięcia, kontaktując się pod adresem kontakt@sendbloom.io. Zasady przechowywania nagrań głosu opisano w punkcie 2b. Ze względu na ograniczenia opisane w punkcie 2b, funkcja nagrań głosu nie powinna być dostępna dla użytkowników z USA; jeżeli mimo to uważasz, że Twoje nagranie głosu zostało zebrane niezgodnie z tym ograniczeniem, skontaktuj się z nami niezwłocznie pod adresem kontakt@sendbloom.io.

Na zweryfikowane wnioski dotyczące praw odpowiadamy w terminie wymaganym przez obowiązujące przepisy (co do zasady w ciągu 30 dni w przypadku wniosków RODO; przepisy stanowe USA mogą przewidywać inne terminy).

7. Pliki Cookies i Technologie Śledzące

Strona wykorzystuje pliki cookies niezbędne do jej działania (cookies sesyjne) oraz cookies analityczne PostHog. Przy pierwszej wizycie wyświetlamy informację o cookies; możesz zarządzać nimi w ustawieniach przeglądarki. Wyłączenie cookies analitycznych nie wpływa na możliwość korzystania ze strony ani przeglądania Twojej Kartki.

8. Bezpieczeństwo Danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne, w tym szyfrowanie transmisji HTTPS, kontrolę dostępu do bazy danych Supabase oraz ograniczenie dostępu do danych osobowych do zakresu ściśle niezbędnego. Dostęp do treści Kartki jest chroniony poprzez unikalny, trudny do odgadnięcia adres URL (tzw. security through obscurity). Z tego względu Kupujący oraz Odbiorca są odpowiedzialni za nieudostępnianie adresu URL osobom niepowołanym, aby zapobiec nieautoryzowanemu dostępowi.

9. Ochrona Danych Dzieci

Usługa może przetwarzać dane osobowe dziecka (np. imię, treść życzeń zawierającą informacje o dziecku) wyłącznie, jeśli zostały przekazane przez osobę pełnoletnią posiadającą władzę rodzicielską. W ten sposób dorosły udziela zgody na ich wykorzystanie w kartce. Jeśli uważasz, że dane dziecka trafiły do nas bez zgody opiekuna, skontaktuj się z nami pod adresem kontakt@sendbloom.io, abyśmy mogli je usunąć.

10. Użytkownicy z Całego Świata

Usługa skierowana jest do użytkowników na całym świecie. Niezależnie od Twojej lokalizacji, stosujemy RODO jako nasz podstawowy standard ochrony prywatności, dodatkowo respektując szczegółowe uprawnienia ustawowe wynikające z Twojego lokalnego prawa (takie jak CCPA/CPRA w Kalifornii czy BIPA w Illinois), w zakresie, w jakim przepisy te mają wobec nas zastosowanie. Dane przetwarzane są w Polsce i EOG, a w Stanach Zjednoczonych wyłącznie w zakresie korzystania z autoryzowanych podprocesorów, na zasadach opisanych w punkcie 4.

11. Zmiany Niniejszej Polityki

Administrator może zmienić niniejszą Politykę z przyczyn prawnych, regulacyjnych lub technicznych. Aktualna wersja zawsze dostępna jest pod adresem https://sendbloom.io/privacy. O istotnych zmianach powiadomimy drogą e-mailową, jeśli dysponujemy Twoim adresem e-mail.

12. Wersje Językowe

Niniejsza Polityka Prywatności została sporządzona w języku polskim i angielskim. Obie wersje językowe są jednakowo wiążące.