Polityka prywatności Fundacji Fungazza

Wersja: 1.0 — DRAFT, oczekuje na rejestrację KRS Data wejścia w życie: [DATA_PUBLIKACJI] Ostatnia aktualizacja: [DATA_PUBLIKACJI]

§1 Wprowadzenie

Niniejsza polityka opisuje, w jaki sposób Fundacja Fungazza ("Fundacja", "my", "nas") przetwarza Twoje dane osobowe, gdy korzystasz z naszej strony internetowej, zapisujesz się do newslettera, kontaktujesz się z nami, korzystasz z konfiguratora usług, robisz zakupy w sklepie lub pobierasz materiały edukacyjne (freebies).

Staramy się pisać przystępnie, jednocześnie zachowując precyzję wymaganą przez RODO. Jeśli interesuje Cię kwestia plików cookies, zajrzyj do osobnego dokumentu: Polityka cookies.

§2 Administrator danych

Administratorem Twoich danych osobowych jest:

Fundacja Fungazza Tęczowa 65, 53-601 Wrocław KRS: XXXXXXXXXX (do uzupełnienia po rejestracji) NIP: XXXXXXXXXX REGON: XXXXXXXXX

Kontakt w sprawach RODO:

• Email: fundacja@fungazza.com
• Telefon: +48 662 288 023
• Adres pocztowy: jak wyżej

Inspektor Ochrony Danych (IOD): Fundacja nie powołała IOD, ponieważ nasza działalność nie spełnia kryteriów art. 37 ust. 1 RODO (przetwarzanie nie odbywa się na dużą skalę i nie obejmuje szczególnych kategorii danych). W sprawach związanych z ochroną danych prosimy kontaktować się bezpośrednio z administratorem.

Reprezentant administratora: Michał Wysocki, Prezes Zarządu.

Charakter działalności: Fundacja nie prowadzi działalności gospodarczej. Sprzedaż materiałów oraz świadczenie usług odbywa się w ramach działalności odpłatnej pożytku publicznego (art. 8 ustawy z 24 kwietnia 2003 r. o działalności pożytku publicznego i o wolontariacie).

§3 Definicje

Pojęcia używane w polityce zgodnie z RODO:

• Dane osobowe — informacje pozwalające zidentyfikować osobę fizyczną (imię, email, adres IP itp.).
• Przetwarzanie — każda operacja na danych: zbieranie, przechowywanie, udostępnianie, usuwanie itd.
• RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
• Administrator — podmiot decydujący o celach i sposobach przetwarzania (czyli my, Fundacja).
• Podmiot przetwarzający (procesor) — zewnętrzny dostawca, któremu powierzamy przetwarzanie (np. ConvertKit dla newslettera).
• Zgoda — dobrowolne, świadome i jednoznaczne potwierdzenie woli na przetwarzanie danych.
• Odbiorca — podmiot, któremu udostępniamy dane (np. operator pocztowy przy wysyłce zamówienia).
• Profilowanie — automatyczna analiza danych w celu oceny cech osoby (nie stosujemy).

§4 Cele, podstawy i okresy przetwarzania

4.1 Newsletter i freebies

Gdy zapisujesz się do newslettera (bezpośrednio lub poprzez pobranie freebie), zbieramy:

• Twój adres email
• Preferencję językową (PL/EN)
• Tag wejścia przez sekcję freebies (freebies-access)

Cel: Wysyłka newslettera (informacje o nowych treściach, wydarzeniach, materiałach edukacyjnych) oraz dostarczenie zamówionych freebies w ramach welcome incentive.

Podstawa prawna: art. 6 ust. 1 lit. a RODO (Twoja dobrowolna zgoda potwierdzona w mechanizmie double opt-in) oraz art. 10 ust. 1 ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (zgoda na komunikację marketingową).

Okres przechowywania: Do momentu cofnięcia zgody (link "Wypisz się" w każdej wiadomości) plus do 30 dni technicznego buffer w bazie naszego dostawcy newslettera.

Odbiorca: ConvertKit (dostawca platformy newsletterowej, USA — patrz §6 Transfery poza EOG).

4.2 Formularz kontaktowy

Gdy piszesz do nas przez formularz kontaktowy, zbieramy:

• Imię
• Adres email
• Numer telefonu (jeśli podajesz)
• Temat zapytania
• Treść wiadomości

Cel: Odpowiedź na Twoje zapytanie i prowadzenie korespondencji.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (działania na żądanie osoby przed zawarciem umowy, jeśli pytanie dotyczy naszych usług) lub art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora w odpowiadaniu na pytania ogólne).

Okres przechowywania: 1 rok od ostatniej korespondencji. Po tym terminie wiadomości są usuwane z naszego archiwum email.

Odbiorca: Google (Gmail/Google Workspace, USA — patrz §6).

4.3 Konfigurator usług

Gdy korzystasz z konfiguratora usług w celu uzyskania wyceny, zbieramy:

• Imię
• Email
• Telefon (opcjonalnie)
• Parametry konfiguracji: rodzaj usługi, ilość utworów/godzin, gatunek, deadline, dodatkowe uwagi

Cel: Przygotowanie wyceny i kontynuacja rozmowy w sprawie potencjalnej realizacji usługi w ramach działalności odpłatnej pożytku publicznego.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (działania na żądanie przed zawarciem umowy).

Okres przechowywania: 1 rok od ostatniej korespondencji.

Odbiorca: Google (Gmail, USA).

4.4 Sklep

Przy złożeniu zamówienia w naszym sklepie zbieramy:

• Imię i nazwisko
• Adres email
• Numer telefonu
• Adres dostawy i adres do faktury
• NIP (jeśli zamawiasz na firmę)
• Notatki do zamówienia (opcjonalnie)
• Listę zakupionych produktów, kwotę, status zamówienia

Cel: Realizacja umowy sprzedaży materiałów Fundacji w ramach działalności odpłatnej pożytku publicznego, wysyłka, obsługa reklamacji, obowiązki księgowo-podatkowe.

Podstawa prawna:

• art. 6 ust. 1 lit. b RODO (wykonanie umowy)
• art. 6 ust. 1 lit. c RODO (obowiązek prawny — przepisy podatkowe i księgowe)

Okres przechowywania: 6 lat od końca roku, w którym dokonano transakcji. Wynika to z najdłuższego z obowiązków: 5 lat dokumentów księgowych (Ordynacja podatkowa art. 86) oraz 6 lat na potencjalne roszczenia (Kodeks cywilny art. 118). Po tym terminie zamówienie jest anonimizowane — usuwamy dane osobowe (imię, nazwisko, email, telefon, adresy, notatki), zostawiając wyłącznie dane statystyczne (kwota, data, status, lista produktów).

Odbiorcy:

• Google (Gmail — wysyłka potwierdzeń email, USA)
• W przyszłości: Vercel (hosting, USA) i Neon (baza danych) — po migracji infrastruktury

4.5 Bezpieczeństwo serwisu

W celu zapewnienia bezpieczeństwa i prawidłowego działania strony przetwarzamy:

• Anonimizowany adres IP (z wyzerowaną ostatnią okteta) w mechanizmie ochrony przed spamem zamówień. Podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes — bezpieczeństwo). Okres: 15 minut w pamięci serwera.
• Sesje administratora (email administratora, token JWT w bezpiecznym cookie) — wyłącznie dla osób zarządzających serwisem. Podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes — administracja). Okres: 30 dni lub do wylogowania.
• Logi serwera (metadane żądań HTTP — URL, status, czas odpowiedzi, bez pełnego adresu IP) — w celu debugowania i monitoringu. Podstawa: art. 6 ust. 1 lit. f RODO. Okres: zgodnie z domyślną retencją Vercel (~24 godziny).

Tabela podsumowująca

§5 Odbiorcy i podmioty przetwarzające

W realizacji powyższych celów współpracujemy z następującymi dostawcami:

• ConvertKit — platforma newsletterowa. Przetwarza adresy email subskrybentów. Polityka prywatności ConvertKit
• Google (Gmail / Google Workspace) — wysyłka i archiwizacja email związanych z formularzami i zamówieniami. Polityka prywatności Google
• Cloudinary — hosting obrazów (zdjęć produktów, banerów, freebies thumbnail). Nie przetwarza danych osobowych klientów, jedynie obrazy ładowane przez administratora. Polityka prywatności Cloudinary
• Sentry — monitoring błędów i wydajności aplikacji oraz Session Replay (próbkowanie 5% sesji w środowisku produkcyjnym). Mamy ustawione sendDefaultPii: false, dzięki czemu Sentry nie otrzymuje adresów IP, ciasteczek ani nagłówków żądań. Replay rejestruje interakcje z DOM bez treści pól wejściowych (maskowanie domyślne). Podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes — utrzymanie stabilności serwisu). Polityka prywatności Sentry
• Google Maps — osadzanie mapy z lokalizacją studia. Po akceptacji bannera cookie Google może przetwarzać adres IP i identyfikatory urządzenia użytkownika. Polityka prywatności Google
• Vercel (po migracji) — hostowanie aplikacji. Przetwarza standardowe metadane żądań HTTP. Polityka prywatności Vercel
• Neon Postgres (po migracji) — baza danych. Przechowuje dane zamówień i ustawień serwisu. Polityka prywatności Neon

Z każdym dostawcą zawarliśmy lub zawrzemy umowę powierzenia przetwarzania (DPA — Data Processing Agreement) zgodną z art. 28 RODO.

§6 Transfery poza EOG (Schrems II)

Niektórzy z naszych dostawców (ConvertKit, Google, Cloudinary, Sentry, Vercel, Neon) mają siedzibę w Stanach Zjednoczonych. Oznacza to, że Twoje dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym.

Podstawa transferu: art. 46 ust. 2 lit. c RODO — Standardowe Klauzule Umowne (Standard Contractual Clauses, SCC) zatwierdzone przez Komisję Europejską decyzją wykonawczą 2021/914.

Dodatkowe zabezpieczenie: Decyzja wykonawcza Komisji 2023/1795 z 10 lipca 2023 r. (EU-US Data Privacy Framework, DPF) — nasi amerykańscy dostawcy są certyfikowani w ramach DPF, co stanowi adekwatny poziom ochrony danych.

Rozważamy wybór regionu UE dla Neon Postgres przy migracji infrastruktury, aby ograniczyć transfery poza EOG dla danych zamówień.

§7 Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa:

• Prawo dostępu (art. 15 RODO) — możesz dowiedzieć się, jakie Twoje dane przetwarzamy.
• Prawo do sprostowania (art. 16) — możesz żądać poprawienia nieprawidłowych danych.
• Prawo do usunięcia ("prawo do bycia zapomnianym", art. 17) — możesz żądać usunięcia swoich danych, jeśli nie ma podstaw do dalszego przetwarzania.
• Prawo do ograniczenia przetwarzania (art. 18) — możesz wnieść o tymczasowe wstrzymanie przetwarzania.
• Prawo do przenoszenia danych (art. 20) — możesz otrzymać swoje dane w ustrukturyzowanym formacie.
• Prawo sprzeciwu (art. 21) — wobec przetwarzania opartego na uzasadnionym interesie.
• Prawo do cofnięcia zgody (art. 7 ust. 3) — w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego wcześniej. W przypadku newslettera wystarczy kliknąć link "Wypisz się" w dowolnej wiadomości.

§8 Jak zrealizować swoje prawa

Aby skorzystać z któregokolwiek z powyższych praw, skontaktuj się z nami:

• Email: fundacja@fungazza.com
• Formularz kontaktowy: /kontakt
• List polecony na adres siedziby

Odpowiadamy na żądania w terminie do 30 dni. W szczególnie skomplikowanych przypadkach termin może zostać przedłużony do 60 dni — poinformujemy Cię o tym z uzasadnieniem w ciągu pierwszych 30 dni.

W celu weryfikacji tożsamości możemy poprosić o dodatkowe informacje (np. potwierdzenie z adresu email użytego do zapisu).

§9 Skarga do PUODO

Masz prawo wnieść skargę do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych:

ul. Stawki 2, 00-193 Warszawa uodo.gov.pl

§10 Zautomatyzowane decyzje i profilowanie

Nie stosujemy zautomatyzowanego podejmowania decyzji ani profilowania w rozumieniu art. 22 RODO. Twoje dane nie są wykorzystywane do automatycznej oceny czy klasyfikacji.

§11 Bezpieczeństwo danych

Stosujemy adekwatne środki techniczne i organizacyjne w celu ochrony Twoich danych:

• Szyfrowanie połączeń (HTTPS na całej stronie)
• Hashowanie haseł administratorów (bcrypt)
• Kontrola dostępu — dane w panelu administratora dostępne wyłącznie po autentykacji
• Umowy powierzenia przetwarzania ze wszystkimi dostawcami (DPA art. 28 RODO)
• Minimalizacja danych — zbieramy tylko to, co konieczne dla każdego z celów

Po Twojej stronie ważne jest dbanie o bezpieczeństwo własnego urządzenia i nieudostępnianie loginów / haseł osobom trzecim.

§12 Cookies, embeddy i linki zewnętrzne

Nasza strona wykorzystuje pliki cookies oraz osadza treści z zewnętrznych serwisów (np. mapę Google, odtwarzacze YouTube i Spotify). Szczegóły dotyczące rodzaju cookies, celów ich stosowania i sposobu zarządzania nimi znajdziesz w osobnym dokumencie: Polityka cookies.

Linki w treści strony mogą prowadzić do witryn zewnętrznych. Po przejściu na taką stronę obowiązuje już polityka prywatności tego serwisu — nie odpowiadamy za sposób przetwarzania danych przez podmioty trzecie.

§13 Zmiany polityki

Zastrzegamy sobie prawo do aktualizacji niniejszej polityki, np. w przypadku zmian w prawie, naszej infrastrukturze technicznej lub zakresie świadczonych usług.

O istotnych zmianach poinformujemy:

• Subskrybentów newslettera — emailem co najmniej 14 dni przed wejściem zmian w życie
• Wszystkich użytkowników — informacją na stronie polityki

Wcześniejsze wersje polityki są dostępne na żądanie (kontakt: fundacja@fungazza.com).

W przypadku rozbieżności między wersją polską a angielską, wiążąca jest wersja polska.