Polityka prywatności
Ostatnia aktualizacja:
InWishlist jest darmowy i nie ma reklam. Zbieramy tylko to, czego potrzebujemy do prowadzenia Twoich list, ochrony serwisu i — jeśli się zgodzisz — do zrozumienia, jak korzystasz ze strony. Nigdy nie sprzedajemy Twoich danych.
1. Kim jesteśmy
Administratorem Twoich danych osobowych jest [nazwa firmy], [adres siedziby], [numer rejestrowy (np. KRS / NIP)] („InWishlist”, „my”).
We wszystkich sprawach dotyczących danych napisz na [adres e-mail ds. prywatności]. [Jeśli wyznaczono inspektora ochrony danych: imię i nazwisko oraz kontakt. Jeśli wymagane dla użytkowników z UK: przedstawiciel w UK zgodnie z art. 27 UK GDPR.]
2. Jakie dane przetwarzamy
- Konto: adres e-mail, skrót (hash) hasła — samego hasła nigdy nie przechowujemy — informacja o potwierdzeniu e-maila oraz ustawienia: język, kraj, waluta, strefa czasowa i preferencje alertów.
- Twoje treści: listy życzeń, zapisane produkty (nazwa, link, cena, link do zdjęcia, notatki), alerty cenowe i ustawienia udostępniania.
- Udostępnione listy i rezerwacje prezentów: gdy ktoś zarezerwuje prezent na udostępnionej przez Ciebie liście, zapisujemy rezerwację oraz — jeśli zechce je podać — imię tej osoby. Goście nie potrzebują konta; ich przeglądarka przechowuje token, aby mogli anulować własną rezerwację.
- Monitorowanie cen: w obsługiwanych sklepach nasze serwery pobierają strony zapisanych produktów, by sprawdzać ceny i dostępność. Sklep widzi zapytanie z naszego serwera, nie od Ciebie, i nie przekazujemy mu żadnych danych osobowych. Ceny i ich historia nie są danymi osobowymi.
- Wysyłane e-maile: wiadomości dotyczące konta (potwierdzenie, reset hasła) oraz — jeśli je włączysz — alerty cenowe. Prowadzimy rejestr wysłanych powiadomień.
- Dane techniczne i bezpieczeństwa: adres IP (do ograniczania nadużyć, np. powtarzanych prób logowania, oraz w logach serwera), sesja i informacje o nieudanych logowaniach.
- Statystyki produktu: proste zdarzenia powiązane z kontem, np. „utworzono konto”, „utworzono listę” czy „próba importu produktu” (z domeną sklepu i wynikiem), żebyśmy wiedzieli, które funkcje działają.
- Analityka — tylko jeśli zaakceptujesz analityczne pliki cookie: Google Analytics zapisuje oglądane strony (bez prywatnych linków i danych osobowych), typ przeglądarki i urządzenia, przybliżoną lokalizację (kraj/region) oraz losowy identyfikator w pliku cookie.
- Gdy ustawiasz lub zmieniasz hasło, sprawdzamy, czy nie pojawiło się w znanym wycieku (Pwned Passwords). Poza nasze serwery trafia tylko 5 pierwszych znaków skrótu SHA-1 hasła — ani hasło, ani e-mail.
Nie prosimy o dane szczególnie wrażliwe. Nie wpisuj ich w notatkach ani nazwach list.
3. Cele i podstawy prawne
| Cel | Podstawa prawna (RODO / UK GDPR) |
|---|---|
| Założenie i prowadzenie konta, list, udostępniania, sprawdzania cen i włączonych alertów; e-maile dotyczące konta | Art. 6 ust. 1 lit. b — wykonanie umowy (regulaminu) |
| Rezerwacje prezentów przez gości na udostępnionych listach | Art. 6 ust. 1 lit. f — prawnie uzasadniony interes gościa i właściciela listy w uniknięciu zdublowanych prezentów; podanie imienia jest dobrowolne |
| Bezpieczeństwo: limity zapytań, zapobieganie nadużyciom, logi serwera, sprawdzanie wycieków haseł | Art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes w ochronie serwisu i Twojego konta |
| Statystyki produktu (własne zdarzenia) | Art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes w ulepszaniu serwisu; możesz wnieść sprzeciw (punkt 8) |
| Google Analytics i jego pliki cookie | Art. 6 ust. 1 lit. a — Twoja zgoda wyrażona w banerze cookies; zapisywanie plików cookie na urządzeniu wymaga zgody także na podstawie art. 399 Prawa komunikacji elektronicznej (oraz reg. 6 UK PECR) |
| Odpowiedzi na żądania organów i obsługa roszczeń | Art. 6 ust. 1 lit. c — obowiązek prawny oraz art. 6 ust. 1 lit. f — ustalenie, dochodzenie lub obrona roszczeń |
Nie używamy Twoich danych do reklam, nie tworzymy profili marketingowych i nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne.
4. Jak długo przechowujemy dane
| Dane | Jak długo |
|---|---|
| Konto, ustawienia, listy, produkty i alerty | Do czasu ich usunięcia lub usunięcia konta |
| Sesje logowania | 14 dni od ostatniej aktywności lub do wylogowania |
| Linki do resetu hasła i potwierdzenia e-maila | 3 godziny |
| Rejestr wysłanych powiadomień | 180 dni |
| Próby importu produktów (domena sklepu i wynik) | 90 dni |
| Zdarzenia statystyk produktu | 400 dni |
| Rezerwacje prezentów (w tym imię gościa) | Do anulowania albo usunięcia produktu, listy lub konta właściciela |
| Logi serwera i bezpieczeństwa (w tym adresy IP) | [okres przechowywania logów, np. 30 dni] |
| Dane Google Analytics | [2 miesiące — okres przechowywania ustawiony w Google Analytics]; pliki cookie zgodnie z polityką cookies |
| Kopie zapasowe | [okres przechowywania kopii zapasowych]; usunięte dane znikają z kopii po ich wygaśnięciu |
Po usunięciu konta natychmiast kończymy wszystkie sesje, usuwamy listy, produkty, alerty, powiadomienia i rezerwacje na Twoich listach, a rekord konta anonimizujemy (adres e-mail zostaje zastąpiony, a hasło i ustawienia usunięte), więc adresu można użyć ponownie. Dane produktów i cen, które Ciebie nie dotyczą (katalog sklepów i historia cen), zostają.
5. Komu przekazujemy dane
Nigdy nie sprzedajemy danych osobowych. Korzystamy z usługodawców (podmiotów przetwarzających), którzy działają wyłącznie na nasze polecenie, na podstawie umów powierzenia:
- Hosting strony i serwerów: [nazwa dostawcy hostingu, lokalizacja serwerów].
- Hosting bazy danych: [MongoDB Atlas (MongoDB Ltd) lub inny dostawca], dane w [region UE].
- Wysyłka e-maili: [nazwa dostawcy SMTP, lokalizacja].
- Google Analytics, świadczone przez Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia) — tylko jeśli zaakceptujesz analityczne pliki cookie. Zobacz policies.google.com/privacy.
- Pwned Passwords (Have I Been Pwned) — otrzymuje tylko 5-znakowy prefiks skrótu, który nie jest daną osobową.
Osoby, którym udostępnisz listę, widzą jej zawartość. To Ty decydujesz, kto co widzi: listy są prywatne, dopóki ich nie udostępnisz, a w trybie niespodzianki nie widzisz, kto co zarezerwował. Dane możemy też ujawnić organom, gdy wymaga tego prawo.
6. Przekazywanie poza EOG i Wielką Brytanię
Staramy się przechowywać dane w Europejskim Obszarze Gospodarczym. [Potwierdź lokalizację serwerów dostawców hostingu, bazy danych i poczty.]
Google może przetwarzać dane analityczne w Stanach Zjednoczonych. Google LLC ma certyfikację w ramach EU–US Data Privacy Framework i jego rozszerzenia dla UK (dataprivacyframework.gov); w pozostałym zakresie Google stosuje standardowe klauzule umowne Komisji Europejskiej. Wyłączyliśmy Google Signals i funkcje reklamowe, a Google Analytics 4 nie przechowuje adresów IP.
8. Twoje prawa
- Dostęp — otrzymanie kopii danych. Przycisk „Pobierz swoje dane” w Ustawieniach daje kopię w każdej chwili.
- Sprostowanie — poprawienie danych. Większość możesz edytować w aplikacji.
- Usunięcie — przycisk „Usuń konto” w Ustawieniach od razu usuwa konto.
- Przenoszenie — eksport jest w formacie nadającym się do odczytu maszynowego (JSON).
- Ograniczenie — możesz poprosić o ograniczenie przetwarzania na czas rozpatrzenia zastrzeżeń.
- Sprzeciw — wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (np. statystyki produktu).
- Wycofanie zgody — w każdej chwili przez „Ustawienia cookies”, bez wpływu na wcześniejsze przetwarzanie.
W sprawach, których nie załatwisz w aplikacji, napisz na [adres e-mail ds. prywatności]. Odpowiadamy w ciągu miesiąca; możemy poprosić o potwierdzenie tożsamości.
Masz prawo wnieść skargę do organu nadzorczego: w Polsce do Prezesa Urzędu Ochrony Danych Osobowych (PUODO, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), w Wielkiej Brytanii do Information Commissioner’s Office (ico.org.uk) lub do organu w Twoim kraju UE (edpb.europa.eu).
9. Wiek
Konto może założyć osoba, która ukończyła [minimalny wiek, np. 16 lat]. Goście rezerwujący prezent nie potrzebują konta. Jeśli uważasz, że dziecko przekazało nam dane, skontaktuj się z nami — usuniemy je.
10. Jak chronimy dane
Połączenia są szyfrowane (HTTPS). Hasła przechowujemy wyłącznie jako silne skróty, sesje są trzymane na naszym serwerze i można je w każdej chwili zakończyć, liczba prób logowania jest ograniczona, linki do list mają długie losowe tokeny, które możesz unieważnić, a dostęp do bazy danych jest ograniczony. Żaden system nie jest w pełni bezpieczny; jeśli naruszenie będzie stanowić dla Ciebie ryzyko, poinformujemy Cię.
11. Zmiany polityki
Zaktualizujemy tę stronę, gdy zmieni się sposób przetwarzania danych, a na górze pokażemy datę najnowszej wersji. O istotnych zmianach poinformujemy w aplikacji lub e-mailem.