Projekt — wersja do weryfikacji prawnej
Polityka prywatności serwisu WuWA²
Ta informacja spełnia obowiązek z art. 13 rozporządzenia (UE) 2016/679 (RODO). Dotyczy serwisu WuWA² pod adresem https://wuwakwadrat.pl i jego wersji testowej pod adresem https://wuwa.mikrus.dev („Serwis”): strony głównej, trybu demo, listy powiadomień o premierze oraz kont w teście zamkniętym. Piszemy prostym językiem; jeśli coś jest niejasne, napisz do nas.
1. Kto jest administratorem Twoich danych
Administratorem danych jest Krystian Adamowicz, przedsiębiorca prowadzący jednoosobową działalność gospodarczą pod firmą „Krystian Adamowicz” (CEIDG), ul. Życzliwa 16C lok. 2D, 53-030 Wrocław, NIP 8851585737, REGON 367187340 („my”, „Administrator”).
Serwis jest nieoficjalnym serwisem mieszkańców. Nie jest projektem miasta Wrocławia ani organizatorów wystawy WuWA2.
2. Jak się z nami skontaktować
- w sprawach danych osobowych: [email protected];
- w innych sprawach: [email protected];
- pocztą: ul. Życzliwa 16C lok. 2D, 53-030 Wrocław.
Nie wyznaczyliśmy inspektora ochrony danych, bo nie mamy takiego obowiązku (art. 37 RODO) [DO POTWIERDZENIA przez prawnika].
3. Jakie dane zbieramy
Działamy według zasady minimalizacji: nie prosimy o nazwisko, adres ani numer mieszkania.
| Kategoria | Co dokładnie | Skąd |
|---|---|---|
| Dane konta | adres e-mail, identyfikator konta, data utworzenia; hasło w postaci skrótu (jeśli ustawione) | od Ciebie / nadaje system |
| Profil | imię lub pseudonim widoczny dla sąsiadów; członkostwo w osiedlu; ustawienia (np. powiadomień, wyciszenia, ciche godziny) | od Ciebie |
| Dobrowolne dane profilu | opis w katalogu „Poznaj sąsiadów” (do 200 znaków), zainteresowania, kategorie pomocy, które oferujesz – tylko jeśli je dodasz i włączysz ich pokazywanie | od Ciebie |
| Aktywność w Serwisie | wydarzenia, zapisy, obecność, liczba dzieci towarzyszących (bez imion i wieku); pożyczki i prośby o pomoc; grupy, wiadomości, wyniki (z imionami graczy); ankiety (w jawnych – Twój wybór, w tajnych – tylko fakt udziału); gospodarstwo domowe; propozycje miejsc i inicjatywy; blokady innych osób | od Ciebie i innych Użytkowników |
| Wiadomości | rozmowy przy wydarzeniu, przy sprawie (pożyczka, pomoc), w grupie | od Ciebie i innych Użytkowników |
| Powiadomienia | powiadomienia w Serwisie i informacja, czy je przeczytałeś | system |
| Moderacja | zgłoszenia, decyzje z uzasadnieniem, odwołania, dziennik działań moderatorów | od Ciebie, innych Użytkowników, moderatorów |
| Korespondencja | e-maile do nas (reklamacje, zgłoszenia treści, żądania dotyczące danych) | od Ciebie lub osób trzecich |
| Dane techniczne | adres IP, informacje o przeglądarce, czas logowania, zdarzenia związane z bezpieczeństwem (logi); nieudane próby wpisania kodu do gospodarstwa (tylko osoba i czas); przy zapisie na listę premierową – skrót adresu IP utworzony kluczem tajnym (bez samego adresu IP), służący limitowi prób | system i dostawcy |
| Lista powiadomień o premierze (bez konta) | adres e-mail, wybrany język, czas wyrażenia zgody, wersja pokazanej klauzuli, skrót (hash) tokenu do usunięcia zapisu; do potwierdzenia adresu – skrót jednorazowego tokenu potwierdzającego, termin jego ważności, czas wysłania wiadomości z prośbą o potwierdzenie i czas potwierdzenia; „Zestaw sąsiada” (po potwierdzeniu): losowy kod polecający, skrót (hash) tokenu strony zestawu, informacja, czy zapisałeś/zapisałaś się przez czyjś kod (powiązanie z zapisem tej osoby), czas zaliczenia polecenia, czas wysłania wiadomości z zestawem i najwyższy status, o którym już napisaliśmy | od Ciebie |
| Tryb demo (bez konta) | losowy identyfikator fikcyjnej osoby demo w podpisanym pliku cookie; treści, które sam wpiszesz w trybie demo | od Ciebie / nadaje system |
Nie zbieramy danych o lokalizacji urządzenia i nie używamy narzędzi analitycznych ani reklamowych (np. Google Analytics, Google Tag Manager, piksele).
Prosimy, nie wpisuj w Serwisie informacji o zdrowiu, poglądach, wyznaniu ani danych innych osób. Jeśli takie informacje się pojawią, mogą zostać ukryte przez moderację.
4. Po co i na jakiej podstawie przetwarzamy dane
| Cel | Dane | Podstawa prawna |
|---|---|---|
| Założenie i prowadzenie konta, logowanie | dane konta, profil | art. 6 ust. 1 lit. b RODO – wykonanie umowy (Regulamin) |
| Świadczenie funkcji Serwisu (wydarzenia, pożyczanie, pomoc, grupy, ankiety, gospodarstwo, miejsca, inicjatywy, katalog sąsiadów, powiadomienia) | profil, aktywność, wiadomości, powiadomienia | art. 6 ust. 1 lit. b RODO |
| Wysyłanie e-maili niezbędnych do logowania (jednorazowy link) [oraz komunikatów serwisowych, jeśli zostaną włączone] | adres e-mail | art. 6 ust. 1 lit. b RODO |
| Moderacja: przyjmowanie i rozpatrywanie zgłoszeń, uzasadnianie decyzji, odwołania | moderacja, zgłoszona treść, korespondencja | art. 6 ust. 1 lit. c RODO w zw. z art. 16–17 rozporządzenia 2022/2065 (DSA) [DO POTWIERDZENIA, czy DSA ma zastosowanie – pytanie 1]; w pozostałym zakresie art. 6 ust. 1 lit. f – nasz prawnie uzasadniony interes: bezpieczeństwo społeczności i egzekwowanie Regulaminu |
| Zawiadomienie organów o podejrzeniu przestępstwa zagrażającego życiu lub bezpieczeństwu | niezbędne dane | art. 6 ust. 1 lit. c RODO w zw. z art. 18 DSA |
| Rozpatrywanie reklamacji | korespondencja, dane konta | art. 6 ust. 1 lit. c RODO w zw. z art. 8 ust. 3 pkt 4 uśude oraz lit. b |
| Realizacja Twoich praw z RODO i prowadzenie rejestru żądań | korespondencja, dane konta | art. 6 ust. 1 lit. c RODO w zw. z art. 12–22 RODO |
| Bezpieczeństwo Serwisu: logi, ochrona przed nadużyciami, limit prób kodu do gospodarstwa, wykrywanie i obsługa naruszeń | dane techniczne | art. 6 ust. 1 lit. f RODO – interes: bezpieczeństwo usługi i danych; obsługa naruszeń: lit. c w zw. z art. 33 RODO |
| Statystyki zbiorcze z bazy danych (np. liczba wydarzeń, pożyczek, aktywnych osób tygodniowo), bez śledzenia w przeglądarce | dane aktywności, wyłącznie w postaci zbiorczej | art. 6 ust. 1 lit. f RODO – interes: ocena, czy pilotaż pomaga mieszkańcom |
| Kopie zapasowe | wszystkie dane w bazie aplikacji (bez danych logowania) | art. 6 ust. 1 lit. f RODO – interes: możliwość odtworzenia Serwisu po awarii |
| Ustalenie, dochodzenie lub obrona roszczeń | niezbędne dane | art. 6 ust. 1 lit. f RODO |
| Lista powiadomień o premierze: wiadomość z prośbą o potwierdzenie adresu, jedna wiadomość z „Zestawem sąsiada” po potwierdzeniu, najwyżej trzy wiadomości o osiągniętym statusie i jednorazowa wiadomość o uruchomieniu Serwisu | adres e-mail, język, czas zgody, wersja klauzuli, dane potwierdzenia adresu | art. 6 ust. 1 lit. a RODO – Twoja zgoda |
| Ochrona listy powiadomień przed nadużyciami (limit prób zapisu) | skrót adresu IP | art. 6 ust. 1 lit. f RODO – interes: ochrona formularza przed zalewem zgłoszeń |
| Tryb demo: pokazanie fikcyjnego osiedla i zapamiętanie sesji demo | identyfikator sesji demo, wpisane treści | art. 6 ust. 1 lit. b RODO – świadczenie usługi, o którą prosisz (Regulamin, § 4 ust. 1) |
„Zestaw sąsiada” – kody polecające przed premierą
Po potwierdzeniu adresu na liście powiadomień dostajesz „Zestaw sąsiada”: grafiki i kartki do druku z Twoim kodem QR oraz link do strony zestawu (wysyłamy go jedną wiadomością). Zasady:
- Kod polecający to 7 losowych znaków (np. w adresie
wuwakwadrat.pl/z/K7M2QX9). Nie zawiera Twojego adresu e-mail ani imienia i nie pozwala ustalić, kim jesteś. Jest publiczny, bo widnieje na grafikach i kartkach, które sam/sama udostępniasz. - Liczymy tylko potwierdzone zapisy osób, które weszły przez Twój kod. Nie liczymy Twojego własnego adresu, ten sam adres liczymy raz, a w ciągu jednego dnia zaliczamy najwyżej 30 osób. Gdy osoba polecona usunie swój zapis, przestaje być liczona.
- Nikomu nie ujawniamy, kto dołączył przez Twój kod – Tobie też nie. Na stronie zestawu widzisz tylko liczbę osób i swój status (Współprojektant WuWA², Fundament – 3 osoby, Konstrukcja – 10, Dach – 25). Osoba, która zapisała się przez Twój kod, nie dowiaduje się od nas, kim jesteś.
- Wiadomości: jedna z zestawem po potwierdzeniu i najwyżej trzy o osiągniętym statusie (po jednej na status). Nie wysyłamy reklam ani newslettera.
- Link do strony zestawu działa jak klucz: przechowujemy tylko jego skrót. Nie przekazuj go dalej – udostępniaj grafiki i krótki adres.
- Okres przechowywania: kod, skrót tokenu, powiązanie z osobą polecającą i liczniki usuwamy razem z zapisem na listę (patrz rozdział o okresach przechowywania). Usunięcie Twojego zapisu usuwa też powiązanie osób, które zapisały się przez Twój kod.
- Plan na premierę: status ma przejść na Twoje konto jako odznaka, jeśli założysz konto tym samym adresem. Tego połączenia jeszcze nie ma; opiszemy je w tej polityce, zanim zacznie działać.
- Liczniki źródeł: osobno liczymy, ile nowych zapisów dziennie przyszło z linków sąsiadów (znacznik
pol) – tylko liczba na dzień, bez adresów i bez kodów.
Na podstawie zgody przetwarzamy wyłącznie adres na liście powiadomień o premierze. Zgodę możesz wycofać w każdej chwili – linkiem do usunięcia zapisu, który dostajesz po zapisie, albo e-mailem na [email protected]. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem. Nie wysyłamy informacji handlowych.
5. Kto widzi Twoje dane
- Inni Użytkownicy widzą Twoje imię lub pseudonim i Treści, które publikujesz, w zakresie wynikającym z funkcji i Twoich ustawień (np. wiadomości w grupie widzą jej członkowie; liczbę dzieci – tylko organizator; gospodarstwo – tylko jego członkowie). Twój adres e-mail nie jest widoczny dla innych Użytkowników.
- Moderatorzy – osoby upoważnione przez nas i zobowiązane do poufności – widzą zgłoszoną Treść i przebieg sprawy.
- Dostawcy usług IT, którzy przetwarzają dane na nasze zlecenie (podmioty przetwarzające, pkt 6).
- Organy publiczne (np. sąd, prokuratura, policja, Prezes UKE), jeśli obowiązek przekazania danych wynika z prawa.
6. Podmioty przetwarzające (dostawcy)
| Dostawca | Usługa | Gdzie są dane | Podstawa przekazania poza EOG |
|---|---|---|---|
| Supabase Pte. Ltd (Singapur) | baza danych i logowanie (Supabase Auth); [wysyłka e-maili logowania, jeśli używany jest domyślny nadawca Supabase] | serwery w UE: region Frankfurt (eu-central-1) | możliwy dostęp spoza EOG (wsparcie, podwykonawcy): standardowe klauzule umowne (decyzja Komisji (UE) 2021/914) |
| UW-TEAM.org Jakub Mrugalski (Mikr.us) – podwykonawca: Hetzner | serwer aplikacji (VPS) i pośrednik HTTPS adresu testowego wuwa.mikrus.dev [DO POTWIERDZENIA] | serwer w Finlandii | brak przekazania poza EOG [DO POTWIERDZENIA w umowie powierzenia] |
| Plus Five Five, Inc. (Resend), USA – tylko gdy wysyłka e-maili przez Resend zostanie włączona | wysyłka e-maili (jednorazowy link do logowania; potwierdzenie zapisu na listę premierową i wiadomość o premierze) | USA | EU-US Data Privacy Framework (decyzja Komisji (UE) 2023/1795) oraz standardowe klauzule umowne |
| [DOSTAWCA POCZTY E-MAIL] | skrzynki kontakt@, dane@ i [email protected] (korespondencja, zgłoszenia treści, żądania) | [DO UZUPEŁNIENIA] | [DO UZUPEŁNIENIA] |
Kopię zabezpieczeń (np. standardowych klauzul umownych) możesz otrzymać, pisząc na [email protected].
7. Jak długo przechowujemy dane
| Dane | Okres przechowywania |
|---|---|
| Powiadomienia w Serwisie (wraz z informacją o przeczytaniu) | 30 dni od utworzenia |
| Rozmowa przy wydarzeniu | 31 dni (30 dni + 1 dzień) od rozpoczęcia wydarzenia, także odwołanego |
| Wiadomości w grupie | 6 miesięcy od wysłania |
| Materiał dla nowych członków grupy (wiadomość oznaczona) | dopóki jest oznaczony; usuwany 6 miesięcy po zdjęciu oznaczenia (nie wcześniej niż 6 miesięcy od wysłania) |
| Wiadomość w grupie, której dotyczy zgłoszenie | do usunięcia zgłoszenia |
| Rozmowa przy pożyczce lub prośbie o pomoc (i pytania do oferty) | 7 dni od zamknięcia sprawy; zostaje zapis operacyjny sprawy (bez treści rozmowy) przez [OKRES – O-011] |
| Zamknięte zgłoszenia moderacyjne (zgłoszenie, decyzje z uzasadnieniem, odwołanie, powiadomienia o sprawie) | 6 miesięcy od ostatecznej decyzji (decyzji albo decyzji po odwołaniu); później zostaje tylko anonimowy zapis w dzienniku (rodzaj działania, wynik, czas – bez osób i numeru sprawy) |
| Sprawy moderacyjne otwarte | do zamknięcia sprawy, potem jak wyżej |
| Nieudane próby wpisania kodu do gospodarstwa (osoba i czas) | 1 godzina |
| Lista powiadomień o premierze (z danymi „Zestawu sąsiada”: kodem, skrótem tokenu zestawu, powiązaniem polecenia) | adres potwierdzony: najdłużej do 30 dni po dniu premiery Serwisu, albo krócej – do usunięcia zapisu linkiem lub na żądanie; adres niepotwierdzony: 48 godzin od wysłania wiadomości z prośbą o potwierdzenie. Jeśli w tym czasie założysz konto, adres zostaje u nas wyłącznie jako adres konta (na zasadach dla konta), a nie na liście |
| Skrót adresu IP przy zapisie na listę premierową | 1 dzień |
| Liczba zapisów z danego źródła kampanii (np. plakat, Facebook) w danym dniu | bez danych osobowych – sam licznik, niepowiązany z adresem ani osobą |
| Tryb demo: sesja | 2 godziny (plik cookie portal_demo) albo do kliknięcia „Zakończ demo” |
| Tryb demo: fikcyjna osoba i wpisane treści | do najbliższego codziennego czyszczenia trybu demo (nie dłużej niż ok. 24 godziny) |
| Dane konta i profilu, ustawienia, blokady | do usunięcia konta albo zakończenia Testu zamkniętego [DO DECYZJI – § 3 ust. 4 Regulaminu] |
| Wydarzenia, zapisy, ankiety, wyniki, pożyczki i prośby (bez treści rozmów), gospodarstwo, miejsca, inicjatywy | [OKRES – O-011; nie ustalono] |
| Korespondencja: reklamacje, zgłoszenia od osób spoza Serwisu | [OKRES, propozycja: do 1 roku od zakończenia sprawy – DO DECYZJI] |
| Rejestr żądań dotyczących danych | [OKRES – DO DECYZJI] |
| Logi bezpieczeństwa (Supabase, serwer aplikacji, pośrednik HTTPS) | [OKRES PRZECHOWYWANIA LOGÓW – do potwierdzenia u dostawców] |
| Kopie zapasowe | [OKRES PRZECHOWYWANIA KOPII ZAPASOWYCH]; kopie nie obejmują danych logowania (adresów e-mail) |
| E-maile wysłane przez Resend (dzienniki wysyłki u dostawcy) | [OKRES – wg ustawień Resend, do potwierdzenia] |
Po usunięciu konta usuwamy lub anonimizujemy dane, chyba że musimy je przechowywać dłużej z powodów opisanych w tabeli (np. sprawa moderacyjna w toku). [DO UZUPEŁNIENIA: co dzieje się z Twoimi Treściami w rozmowach innych osób po usunięciu konta – np. anonimizacja jako „Były użytkownik”; aplikacja nie ma jeszcze funkcji usuwania konta.]
8. Twoje prawa
Masz prawo do:
- dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO);
- sprostowania danych (art. 16);
- usunięcia danych (art. 17);
- ograniczenia przetwarzania (art. 18);
- przenoszenia danych, które nam podałeś, w zakresie przetwarzania na podstawie umowy lub zgody (art. 20);
- sprzeciwu wobec przetwarzania na podstawie naszego prawnie uzasadnionego interesu (art. 21) – np. wobec statystyk zbiorczych lub logów;
- wycofania zgody w każdej chwili – dotyczy listy powiadomień o premierze (art. 7 ust. 3).
Aby skorzystać z praw, napisz na [email protected] z adresu przypisanego do konta. Odpowiemy w ciągu miesiąca; w wyjątkowych przypadkach możemy przedłużyć ten termin o dwa miesiące i poinformujemy Cię o tym. Szczegóły opisuje procedura realizacji praw.
Skarga do organu. Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl), jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem.
9. Czy musisz podać dane
Podanie adresu e-mail oraz imienia lub pseudonimu jest warunkiem założenia konta i korzystania z Serwisu (wymóg umowny). Bez nich nie możemy świadczyć usługi. Pozostałe dane (opis w katalogu, zainteresowania, umiejętności, treści) podajesz dobrowolnie. Zapis na listę powiadomień o premierze i korzystanie z trybu demo są całkowicie dobrowolne.
10. Zautomatyzowane decyzje i profilowanie
Nie podejmujemy decyzji wyłącznie w sposób zautomatyzowany, w tym nie profilujemy, w rozumieniu art. 22 RODO. Decyzje moderacyjne podejmują ludzie. Statystyki liczymy wyłącznie zbiorczo.
11. Pliki cookies
Używamy wyłącznie plików cookies i pamięci przeglądarki niezbędnych do działania Serwisu i zapamiętania wyborów, o które prosisz. Nie potrzebujemy Twojej zgody (art. 399 ust. 3 Prawa komunikacji elektronicznej). Pełna lista: Informacja o cookies.
12. Zmiany polityki
O zmianach poinformujemy w Serwisie przed ich wejściem w życie. Poprzednie wersje udostępniamy na żądanie.
Jeżeli prowadzenie Serwisu przejmie inny podmiot (np. spółka założona przez Administratora), poinformujemy Cię o tym z wyprzedzeniem, wskażemy nowego administratora i Twoje możliwości, w tym usunięcie konta lub zapisu przed zmianą.