Polityka prywatności miejsca.ZENtripo

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest ATENTA Spółka z ograniczoną odpowiedzialnością z siedzibą pod adresem ul. Juliusza Słowackiego 7a, 05-816 Michałowice, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0000993214, NIP 5342655474 — operator serwisu miejsca.ZENtripo.

Wszelkie pytania dotyczące ochrony danych osobowych kieruj na adres: prywatnosc@zentripo.pl.

Dane osobowe przetwarzamy zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz polską ustawą o ochronie danych osobowych.

2. Jakie dane zbieramy

W zależności od sposobu korzystania z Serwisu zbieramy następujące kategorie danych:

Dane rejestracyjne

imię, nazwisko, adres e-mail, hasło (przechowywane wyłącznie w postaci skrótu kryptograficznego), opcjonalnie numer telefonu i adres strony internetowej

Dane obiektu

nazwa, adres i lokalizacja, opis, zdjęcia, pojemność, sale, noclegi, wyposażenie, ceny — wprowadzane przez zarządcę i widoczne publicznie po akceptacji

Wiadomości

treść zapytań i odpowiedzi wymienianych między Organizatorami a Zarządcami

Dane rozliczeniowe

rodzaj kontrahenta, NIP lub numer podatkowy, nazwa firmy, adres — podawane przed zakupem promowania i potrzebne do wystawienia dokumentu księgowego

Dane zamówień

rodzaj i cena zamówionej usługi, użyty kod rabatowy, status i data płatności, identyfikator zamówienia w systemie operatora płatności

Dane techniczne

adres IP, typ przeglądarki, system operacyjny, czas i data odwiedzin, odwiedzone podstrony

Statystyka własna

odsłony podstron i kliknięcia w udostępnianie — zapisywane bez plików cookies i bez adresu IP (szczegóły w sekcji 9 poniżej)

Pliki cookies

szczegóły w sekcji 8 poniżej

3. Cele i podstawy prawne przetwarzania

Twoje dane przetwarzamy w następujących celach:

1. Świadczenie usług Serwisu — rejestracja konta, prowadzenie karty obiektu, wyszukiwanie obiektów, wysyłanie zapytań. Podstawa: art. 6 ust. 1 lit. b RODO.
2. Weryfikacja obiektów zgłoszonych do publikacji oraz moderacja treści. Podstawa: art. 6 ust. 1 lit. b RODO.
3. Wysyłanie powiadomień e-mail o nowych wiadomościach, statusie obiektu i operacjach na koncie. Podstawa: art. 6 ust. 1 lit. b RODO.
4. Obsługa usług płatnych — przyjęcie zamówienia na promowanie, rozliczenie kodu rabatowego, realizacja płatności. Podstawa: art. 6 ust. 1 lit. b RODO.
5. Wypełnienie obowiązków księgowych i podatkowych. Podstawa: art. 6 ust. 1 lit. c RODO.
6. Zapewnienie bezpieczeństwa Serwisu i wykrywanie nadużyć. Podstawa: art. 6 ust. 1 lit. f RODO.
7. Zliczanie odsłon stron i kliknięć w udostępnianie, aby wiedzieć, które obiekty są oglądane i udostępniane, oraz pokazywać te liczby Zarządcom i administratorowi Serwisu (szczegóły w sekcji 9). Podstawa: art. 6 ust. 1 lit. f RODO.
8. Analityka i marketing w narzędziach zewnętrznych (Google Tag Manager i połączone narzędzia Google), uruchamiane dopiero po wyrażeniu zgody w banerze. Podstawa: art. 6 ust. 1 lit. a RODO.
9. Dochodzenie i obrona roszczeń. Podstawa: art. 6 ust. 1 lit. f RODO.

4. Okres przechowywania danych

Dane konta

przez czas istnienia konta; po jego usunięciu dane osobowe są nadpisywane — szczegóły w sekcji 10

Dane obiektu

przez czas aktywności konta zarządcy

Treść wiadomości

przez czas istnienia konta; po usunięciu konta treść zostaje w skrzynce drugiej strony rozmowy, bez danych identyfikujących usunięte konto

Dane rozliczeniowe i dokumenty księgowe

5 lat od końca roku podatkowego, którego dotyczą

Dane zamówień

przez okres przedawnienia roszczeń, nie dłużej niż 6 lat

Dane techniczne / logi

do 12 miesięcy

Statystyka własna — pojedyncze zdarzenia

180 dni

Statystyka własna — liczniki zbiorcze

bezterminowo (wyłącznie sumy dzienne, bez identyfikatorów)

5. Odbiorcy danych

Twoje dane udostępniamy wyłącznie w niezbędnym zakresie:

1. Replit (Replit, Inc.) — platforma hostingowa, baza danych i magazyn plików (zdjęcia obiektów i profilowe).
2. Resend (Resend, Inc.) — dostawca wysyłki e-maili transakcyjnych; przekazujemy adres e-mail oraz imię potrzebne do dostarczenia wiadomości.
3. PayU S.A. — operator płatności za promowanie; przekazujemy adres e-mail, imię i nazwisko kupującego, kwotę oraz adres IP, z którego składane jest zamówienie. PayU jest odrębnym administratorem tych danych w zakresie obsługi transakcji.
4. Google Ireland Limited — Google Tag Manager i połączone narzędzia analityczno-marketingowe. Skrypt ładuje się na każdej stronie, ale do czasu wyrażenia zgody działa w trybie ograniczonym (Google Consent Mode v2): nie zapisuje cookies i nie tworzy identyfikatorów. Po zgodzie mogą trafiać do Google dane o Twojej wizycie wraz z adresem IP.
5. Biuro rachunkowe — w zakresie dokumentów sprzedaży, jeżeli Operator korzysta z obsługi księgowej.
6. Inni Użytkownicy Serwisu — dane widoczne w karcie obiektu są publiczne. W rozmowie druga strona widzi Twoje imię, nazwisko i adres e-mail wraz z treścią wiadomości.
7. Organy państwowe (sądy, policja, organy podatkowe) — gdy jest to wymagane przepisami prawa.

Nie sprzedajemy Twoich danych osobowych podmiotom trzecim.

6. Przekazywanie danych poza EOG

Część naszych dostawców (Replit, Resend, Google) może przetwarzać dane na serwerach poza Europejskim Obszarem Gospodarczym, przede wszystkim w USA. Współpracujemy wyłącznie z podmiotami, które zapewniają odpowiedni poziom ochrony danych — na podstawie decyzji Komisji Europejskiej o adekwatności (EU–US Data Privacy Framework) lub standardowych klauzul umownych.

7. Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa:

1. Prawo dostępu — możesz zażądać informacji o tym, jakie dane przechowujemy i w jakim celu.
2. Prawo do sprostowania — możesz poprawić nieprawidłowe lub uzupełnić niekompletne dane, także samodzielnie w ustawieniach konta.
3. Prawo do usunięcia — konto usuwasz samodzielnie w panelu; zakres i skutki opisuje sekcja 10.
4. Prawo do ograniczenia przetwarzania — możesz żądać wstrzymania przetwarzania Twoich danych w określonych sytuacjach.
5. Prawo do przenoszenia danych — możesz otrzymać swoje dane w formacie nadającym się do odczytu maszynowego.
6. Prawo sprzeciwu — możesz sprzeciwić się przetwarzaniu opartemu na prawnie uzasadnionym interesie, w tym statystyce własnej.
7. Prawo do cofnięcia zgody — zgodę na cookies analityczne i marketingowe cofniesz przyciskiem „Ustawienia cookies" w stopce Serwisu. Cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia.

Aby skorzystać z powyższych praw, napisz na: prywatnosc@zentripo.pl. Odpowiemy w ciągu 30 dni.

Masz również prawo złożenia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

8. Pliki cookies i Local Storage

Przy pierwszej wizycie wyświetlamy baner z wyborem zgody. Twój wybór zapisujemy w pamięci przeglądarki (Local Storage) pod kluczem mnw_cookie_consent — sam baner nie zapisuje żadnych cookies.

Niezbędne

zapewniają działanie Serwisu: cookie sesji logowania sid (ważne 7 dni, wyłącznie techniczne) oraz zapamiętany wybór w banerze. Nie wymagają zgody.

Analityczne

Google Tag Manager i połączone narzędzia Google — pomiar ruchu i sposobu korzystania z Serwisu. Wymagają zgody.

Marketingowe

personalizacja treści i reklam w narzędziach Google. Wymagają zgody.

Do czasu wyrażenia zgody narzędzia Google działają w trybie ograniczonym (Consent Mode v2) — nie zapisują cookies ani identyfikatorów. Preferencje zmienisz w każdej chwili przyciskiem „Ustawienia cookies" w stopce Serwisu, a także z poziomu ustawień przeglądarki.

9. Statystyka własna (bez cookies)

Poza narzędziami zewnętrznymi prowadzimy własny licznik odsłon i udostępnień. Zapisujemy w nim: adres odwiedzonej podstrony, informację, którego obiektu, wyjazdu lub organizatora dotyczyła, datę i godzinę, a przy udostępnianiu — rodzaj akcji (otwarcie okna udostępniania, skopiowanie linku, wybór sieci społecznościowej wraz z jej nazwą).

Licznik nie zapisuje w Twojej przeglądarce żadnego pliku cookie ani identyfikatora i nie zależy od zgody wyrażonej w banerze — działa również wtedy, gdy odmówisz zgód analitycznych i marketingowych.

Nie zapisujemy Twojego adresu IP. Aby odróżnić dwie osoby od jednej osoby odświeżającej stronę, zapisujemy nieodwracalny skrót (SHA-256) wyliczony z adresu IP, przeglądarki i losowego ciągu zmienianego codziennie. Skrótu nie da się zamienić z powrotem na adres IP, a po zmianie dziennego ciągu wpisów z dwóch różnych dni nie da się ze sobą powiązać — dlatego zebrane liczby są statystyką, a nie profilowaniem ani śledzeniem.

Pojedyncze zdarzenia usuwamy po 180 dniach. Zostają po nich wyłącznie dzienne sumy (ile odsłon i ilu unikalnych odwiedzających danego dnia), które przechowujemy bezterminowo i które nie zawierają żadnych identyfikatorów.

Przetwarzanie opiera się na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO), wobec którego możesz wnieść sprzeciw — zob. sekcja 7. Zdarzenia wysyła skrypt strony, więc licznik możesz też zablokować, wyłączając JavaScript lub korzystając z blokera skryptów.

10. Usunięcie konta a Twoje dane

Konto usuwasz samodzielnie w panelu, potwierdzając operację hasłem. Konta z przypisanymi obiektami lub wyjazdami trzeba najpierw zamknąć — publiczne karty nie mogą zostać bez opiekuna.

Po usunięciu nadpisujemy dane osobowe przypisane do konta: adres e-mail zastępujemy adresem technicznym, imię i nazwisko — oznaczeniem konta usuniętego, a numer telefonu i avatar kasujemy. Hasło zastępujemy losowym ciągiem, więc konta nie da się odzyskać ani zalogować się na nie ponownie. Kasujemy też ulubione, aktywne sesje i żądania zmiany hasła.

Sam wiersz konta pozostaje w bazie w formie pozbawionej danych osobowych — bez tego z systemu zniknęłyby rozmowy prowadzone z Twoim udziałem, a są one również korespondencją drugiej strony. Z tego samego powodu w skrzynce rozmówcy zostaje treść wymienionych wiadomości.

Niezależnie od usunięcia konta przechowujemy dokumenty księgowe dotyczące zakupionych usług płatnych przez okres wymagany przepisami podatkowymi (sekcja 4).

11. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka: szyfrowanie połączeń (HTTPS), przechowywanie haseł wyłącznie w postaci skrótu z funkcją odporną na łamanie, ograniczenie dostępu do danych po stronie Operatora, ograniczenia liczby prób logowania oraz kontrolę typów przesyłanych plików.