Polityka prywatności

1. Czego dotyczy ta polityka

Polityka opisuje dane osobowe, których administratorem jest Oleks Tech OÜ — czyli te, co do których to my decydujemy, po co i jak są przetwarzane. Chodzi o osoby prowadzące salon korzystający z miraride, osoby piszące do nas oraz odwiedzających tę stronę.

Nie opisuje tego, co salon robi z danymi swoich własnych klientów wewnątrz miraride. O tym nie decydujemy my, tylko salon. Zobacz następny punkt.

2. Dwie odrębne role

Jesteśmy administratorem w odniesieniu do konta Twojego salonu, dokumentów rozliczeniowych i korespondencji z nami. To my decydujemy, po co je przechowujemy, i to my za nie odpowiadamy.

Jesteśmy podmiotem przetwarzającym w odniesieniu do wszystkiego, co przechowujesz o swoich klientach — imion i nazwisk, danych kontaktowych, danych prawa jazdy, umów najmu i dokumentów. Tam administratorem jesteś Ty, my działamy wyłącznie na Twoje polecenie, a umowa powierzenia określa warunki w formie wymaganej przez art. 28 RODO.

Jeśli jesteś kupującym lub najemcą, który miał do czynienia z salonem korzystającym z miraride, punktem kontaktu jest ten salon. Napisz mimo to do nas, jeśli tak jest łatwiej — powiemy Ci, kto jest administratorem, i przekażemy mu Twój wniosek, zamiast zostawić go bez odpowiedzi.

3. Co zbieramy

Jako administrator przechowujemy:

• Dane konta: imię i nazwisko, adres e-mail, język pracy, rolę w salonie oraz kryptograficzny skrót hasła — nigdy samego hasła.
• Dane salonu: nazwę firmy, dane rejestrowe, adres, dane kontaktowe i podłączoną domenę.
• Dane rozliczeniowe: wystawione Ci faktury, ich przedmiot i informację o zapłacie.
• Korespondencję: wiadomości, które do nas wysyłasz, i nasze odpowiedzi, w tym wnioski dotyczące bezpieczeństwa i ochrony danych.
• Dane techniczne: logi serwera zawierające adres IP, identyfikator żądania, znacznik czasu i identyfikator przeglądarki (user agent), przechowywane na potrzeby bezpieczeństwa i diagnostyki.
• Dane demonstracyjne: wpisane nazwy firmy i osoby; odrębne dane bezpieczeństwa i techniczne żądania opisano powyżej.
• Wyszukiwanie panelu: podany adres e-mail służy wyłącznie do znalezienia rzeczywistych salonów, do których możesz mieć dostęp i — jeśli jest dopasowanie — wysłania jednogodzinnego linku tylko do odczytu. Przechowujemy wyłącznie skrót tego linku, nie sam link; nieznane adresy nie są zachowywane.
• Dane bezpieczeństwa i rejestracji: status MFA i skróty kodów odzyskiwania, znaczniki czasu akceptacji nadane przez serwer, stan oferty rejestracyjnej i wyniki Cloudflare Turnstile chroniące formularze publiczne.
• Zgłoszenia treści: zgłoszony adres w miraride, wyjaśnienie, opcjonalna podstawa prawna, podane dane osoby i kontakt, potwierdzenie, ocena człowieka, decyzja, uzasadnienie, powiadomienia i zapis środków odwoławczych.

4. Po co przetwarzamy i na jakiej podstawie prawnej

Każdy poniższy cel jest powiązany z podstawą prawną z art. 6 RODO.

• Konta i świadczenie usługi — art. 6 ust. 1 lit. b wobec osoby fizycznej będącej stroną umowy; art. 6 ust. 1 lit. f, nasz uzasadniony interes w obsłudze relacji biznesowej, wobec przedstawicieli i personelu klienta biznesowego.
• Wystawianie faktur i prowadzenie ksiąg — obowiązek prawny wynikający z estońskich przepisów o rachunkowości i podatkach (art. 6 ust. 1 lit. c).
• Utrzymanie bezpieczeństwa usługi, badanie nadużyć i diagnozowanie awarii — nasz prawnie uzasadniony interes w tym, by usługa działała i nie była atakowana (art. 6 ust. 1 lit. f).
• Odpowiadanie na Twoje wiadomości i informowanie o zmianach wpływających na korzystanie z usługi — wykonanie umowy oraz nasz prawnie uzasadniony interes w komunikacji z klientami biznesowymi (art. 6 ust. 1 lit. b oraz f).
• Tworzenie i usuwanie salonów demonstracyjnych — nasz prawnie uzasadniony interes w umożliwieniu potencjalnemu klientowi oceny produktu bez zakładania konta (art. 6 ust. 1 lit. f).
• Odbieranie, ocena, rozstrzyganie i komunikowanie zgłoszeń nielegalnej treści — wykonanie obowiązków z aktu o usługach cyfrowych (art. 6 ust. 1 lit. c).

5. Ciasteczka i ta strona

Zwykłe przeglądanie nie ustawia ciasteczek, chyba że wyraźnie wybierzesz język. Wtedy ustawiamy jedno funkcjonalne ciasteczko językowe tylko dla bieżącego hosta, na maksymalnie rok; nie przechodzi ono na adres innego salonu. Rozpoczęcie rejestracji, poproszenie o link do panelu lub wysłanie zgłoszenia nielegalnej treści ustawia ściśle niezbędne ciasteczko CSRF; chronione formularze publiczne ładują też Cloudflare Turnstile przeciw automatycznym nadużyciom. Nie używamy analityki, reklam, pikseli śledzących ani nagrywania sesji, więc nie ma banera zgody na opcjonalne śledzenie.

W samym produkcie po zalogowaniu ustawiane są dwa ciasteczka: ciasteczko sesji HTTP-only oraz odczytywalny token ochrony przed CSRF, który klient musi odesłać przy każdej zmianie. Oba są ściśle niezbędne, poza lokalnym środowiskiem deweloperskim oznaczone jako secure, używają SameSite=Lax i żadne nie ma skonfigurowanej domeny ciasteczka — więc sesja wydana pod adresem jednego salonu nie jest czytelna pod adresem innego.

Pamięć lokalna przechowuje wybrany motyw, adres panelu dealera zapamiętany na Twoje wyraźne życzenie, ulubione i porównania, aby zapewniać te funkcje; nie zawiera tokenów wyszukiwania ani rejestracji i nie służy marketingowi ani pomiarom. Możesz ją usunąć w ustawieniach przeglądarki. Zweryfikowana przybliżona informacja o kraju, z którego odwiedzasz stronę, może sugerować początkowy język i kraj konfiguracji; możesz je zmienić. Nie ustala cen ani nie zastępuje zapisanego kraju salonu.

Jeśli kiedykolwiek dodamy analitykę, napiszemy o tym tutaj, zanim ją włączymy, i wybierzemy rozwiązanie, które nie wymaga odczytu ani zapisu czegokolwiek na Twoim urządzeniu — albo poprosimy o zgodę.

6. Kto jeszcze to widzi

Nie sprzedajemy danych osobowych, nie udostępniamy ich sieciom reklamowym i nie profilujemy Cię na ich podstawie.

Korzystamy z niewielkiej liczby podprocesorów, żeby usługa działała — hosting, magazyn plików i poczta. Każdy z nich jest wymieniony na naszej stronie podprocesorów wraz z celem, lokalizacją i podstawą ewentualnego przekazywania danych.

Opcjonalne działania AI wysyłają materiał i kontekst potrzebny do wydobycia danych pojazdu, tłumaczenia lub pracy z pustym szablonem dokumentu oraz pseudonimowy identyfikator bezpieczeństwa do OpenAI. Żądania używają store=false, co nie oznacza zerowej retencji. Dane API domyślnie nie służą treningowi; standardowe logi nadużyć mogą być przechowywane do trzydziestu dni, dłużej, gdy wymaga tego prawo lub jest to racjonalnie niezbędne do ochrony usług OpenAI lub osób trzecich przed szkodą. Nie przekazuj zbędnych danych osobowych ani poufnych.

Podpowiedzi adresów korzystają z naszego serwera, który przekazuje wpisane zapytanie, język, filtry kraju, token sesji i identyfikator wybranego miejsca do Google Maps Platform. W tym wyszukiwaniu nie przekazujemy Google adresu IP Twojej przeglądarki. Google przetwarza żądanie serwera jako niezależny administrator na własnych warunkach prywatności. Dostępne jest ręczne wpisanie.

Dane osobowe ujawniamy organowi publicznemu wyłącznie wtedy, gdy wymaga tego prawo, i powiemy Ci o tym, o ile wolno nam powiedzieć.

7. Przekazywanie poza EOG

Główna aplikacja, baza i zadania w tle są hostowane w Niemczech. Nie stanowi to obietnicy wyłącznie unijnego przetwarzania: globalna sieć dostarczania treści, poczta i opcjonalni dostawcy mogą przetwarzać dane poza EOG zgodnie ze stroną dostawców.

Niektórzy dostawcy mają siedzibę w Stanach Zjednoczonych lub mogą tam przetwarzać dane. Tam, gdzie dochodzi do przekazania danych osobowych poza Europejski Obszar Gospodarczy, opiera się ono na standardowych klauzulach umownych Komisji Europejskiej wraz ze środkami uzupełniającymi opisanymi w naszej dokumentacji bezpieczeństwa, a także na decyzji o odpowiednim stopniu ochrony tam, gdzie ma ona zastosowanie. Strona dostawców podaje mechanizm i rolę każdego z nich.

8. Jak długo przechowujemy

Nie przechowujemy danych osobowych dłużej, niż wymaga tego cel.

• Dowody zamknięcia: trzy lata od usunięcia lub cofnięcia zamknięcia. Jeśli anulowanie odnowienia pozostaje nierozwiązane, zachowujemy minimalny dowód subskrypcji potrzebny do rozwiązania sprawy. Instrukcje ponowienia usunięć zawierają ograniczone identyfikatory i wygasają po dziewięćdziesięciu dniach; po błędach usuwania plików ponawiamy odpowiednie operacje.
• Operacyjne dane salonu pozostają przez czas utrzymywania konta, także przy zawieszeniu rozliczeń. Właściciel może zamówić zamknięcie; aktywne dane są następnie usuwane po właściwych trzydziestu dniach na pobranie, chyba że konkretny obowiązek wymaga zachowania. Samo anulowanie płatności nie zamyka konta. Potrzeby retencji nieaktywnych kont podlegają przeglądowi.
• Ukończone lub wygasłe zgłoszenia rejestracyjne i zamknięte zaproszenia: trzydzieści dni. Użyte lub wygasłe tokeny resetu hasła i przekazania sesji: dwadzieścia cztery godziny.
• Niezmienny dowód akceptacji dokumentów prawnych: trzy lata po zakończeniu umowy. Obejmuje zaakceptowane wersje, skrót pakietu, język, czas, osobę i zaszyfrowane dane rejestrowe organizacji z chwili akceptacji, ale nie adres IP.
• Nasze własne zapisy księgowe i podatkowe: siedem lat od końca właściwego roku obrotowego lub ustawowego początku okresu. Ten estoński obowiązek dostawcy nie stanowi zasady retencji dokumentów każdego salonu.
• Korespondencja: trzy lata od ostatniej wiadomości w wątku.
• Zgłoszenia nielegalnej treści i zapisy decyzji: przez czas obsługi zgłoszenia i trzy lata od ostatecznej decyzji, aby wykazać zgodność oraz obsłużyć środki odwoławcze lub roszczenia.
• Logi aplikacyjne i bezpieczeństwa: nie dłużej niż dziewięćdziesiąt dni. Oczyszczone zdarzenia błędów Sentry: nie dłużej niż trzydzieści dni.
• Salony i sesje demonstracyjne: usuwane automatycznie po wygaśnięciu okresu demonstracji, zawsze w ciągu dwudziestu czterech godzin.
• Szyfrowane kopie bazy: cztery pełne tygodniowe zestawy odzyskiwania i powiązane WAL. Starsze zestawy są usuwane po utworzeniu i zweryfikowaniu nowych kopii; błędy wymagają uwagi operatora. Służą odzyskiwaniu, a nie zwykłemu dostępowi, i usunięcia są ponawiane po odtworzeniu. To harmonogram zestawów, a nie gwarantowana granica trzydziestu dni.

9. Jak je chronimy

Stosujemy uwierzytelnione szyfrowanie pól dla wskazanych danych kontaktowych, tożsamości i poufnych; nie każde pole lub plik korzysta z tego schematu. Ochronę uzupełniają kontrola dostępu, izolacja danych salonów, TLS, prywatne przechowywanie i oczyszczona diagnostyka. Logi techniczne mogą zawierać identyfikatory bezpieczeństwa, np. IP; logowanie aplikacji musi wykluczać kontakty, dane uwierzytelniające i treść dokumentów.

Nasza dokumentacja bezpieczeństwa opisuje środki techniczne i organizacyjne stosowane do ochrony danych kont i klientów.

10. Twoje prawa

Na gruncie RODO możesz żądać kopii swoich danych osobowych, ich sprostowania, usunięcia, ograniczenia przetwarzania albo wydania w formacie nadającym się do przeniesienia. Możesz wnieść sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, a tam, gdzie kiedykolwiek oprzemy się na zgodzie, możesz ją w każdej chwili wycofać bez wpływu na to, co było wcześniej.

Skontaktuj się z nami pod adresem poniżej. Odpowiadamy bez zbędnej zwłoki, zwykle w ciągu miesiąca. Jeśli prawo dopuszcza to ze względu na złożoność lub liczbę żądań, możemy przedłużyć termin o maksymalnie dwa kolejne miesiące, wyjaśniając to w pierwszym miesiącu. Może być potrzebna proporcjonalna weryfikacja tożsamości. Żądania są zwykle bezpłatne; obowiązują ustawowe wyjątki dla żądań ewidentnie nieuzasadnionych lub nadmiernych oraz zgodna z prawem retencja. Jeśli nie możemy zrealizować wniosku, wyjaśniamy przyczyny oraz prawo do skargi do organu nadzorczego i skorzystania z sądowych środków ochrony prawnej.

Jeśli uważasz, że źle obeszliśmy się z Twoimi danymi, powiedz nam o tym najpierw — ale masz prawo pójść od razu do organu nadzorczego. Naszym jest estoński Inspektorat Ochrony Danych; możesz też złożyć skargę do organu w kraju, w którym mieszkasz lub pracujesz.

11. Decyzje automatyczne i profilowanie

Nie podejmujemy wobec Ciebie decyzji w sposób zautomatyzowany, które wywoływałyby skutki prawne lub podobnie istotnie na Ciebie wpływały, i nie profilujemy Cię. Oprogramowanie wylicza ceny najmu i kwoty rozliczenia z reguł skonfigurowanych przez salon; to arytmetyka na umowie, a nie decyzja o człowieku.

Opcjonalne funkcje AI są uruchamiane przez użytkownika i tworzą propozycje. Ich wyniki nie są publikowane, dopóki człowiek ich nie sprawdzi i nie przyjmie. Nie mogą wystawiać dokumentów, publikować ofert, automatycznie zapisywać wyników ani rozstrzygać praw lub dostępu osoby.

12. Dzieci

Konta miraride są przeznaczone dla użytkowników zawodowych. Jeśli uważasz, że dane dziecka przesłano niewłaściwie, skontaktuj się z nami. Ocenimy żądanie w odpowiedniej roli administratora lub podmiotu przetwarzającego, uwzględniając obowiązki retencji.

13. Zmiany tej polityki

Gdy polityka się zmienia, zmieniają się też wersja i data u góry strony. Jeśli zmiana istotnie wpływa na sposób, w jaki postępujemy z Twoimi danymi osobowymi, napiszemy do Ciebie e-mailem przed jej wejściem w życie. Poprzednie wersje udostępniamy na żądanie.

14. Serwisy ogłoszeniowe wybrane przez salon

Gdy salon podłączy OLX lub inny obsługiwany kanał i sprawdzi operację wysyłania, materiały ogłoszenia i wskazane publiczne kontakty są przekazywane do kanału. Niezależne przetwarzanie przez serwis ogłoszeniowy podlega jego własnym warunkom prywatności. Rekordy klientów, prywatne notatki i dane płatnicze nie stanowią danych ogłoszenia. Salon musi wybrać zgodne z prawem kontakty publiczne i zdjęcia, które ma prawo udostępniać.