Polityka prywatności

1. Czego dotyczy ta polityka

Polityka opisuje dane osobowe, których administratorem jest Oleks Tech OÜ — czyli te, co do których to my decydujemy, po co i jak są przetwarzane. Chodzi o osoby prowadzące komis korzystający z miraride, osoby piszące do nas oraz odwiedzających tę stronę.

Nie opisuje tego, co komis robi z danymi swoich własnych klientów wewnątrz miraride. O tym nie decydujemy my, tylko komis. Zobacz następny punkt.

2. Dwie role, trzymane osobno

Jesteśmy administratorem w odniesieniu do konta Twojego komisu, dokumentów rozliczeniowych i korespondencji z nami. To my decydujemy, po co je przechowujemy, i to my za nie odpowiadamy.

Jesteśmy podmiotem przetwarzającym w odniesieniu do wszystkiego, co przechowujesz o swoich klientach — imion i nazwisk, danych kontaktowych, danych prawa jazdy, umów najmu i dokumentów. Tam administratorem jesteś Ty, my działamy wyłącznie na Twoje polecenie, a umowa powierzenia określa warunki w formie wymaganej przez art. 28 RODO.

Jeśli jesteś kupującym lub najemcą, który miał do czynienia z komisem korzystającym z miraride, punktem kontaktu jest ten komis. Napisz mimo to do nas, jeśli tak jest łatwiej — powiemy Ci, kto jest administratorem, i przekażemy mu Twój wniosek, zamiast zostawić go bez odpowiedzi.

3. Co zbieramy

Jako administrator przechowujemy:

• Dane konta: imię i nazwisko, adres e-mail, język pracy, rolę w komisie oraz kryptograficzny skrót hasła — nigdy samego hasła.
• Dane komisu: nazwę firmy, dane rejestrowe, adres, dane kontaktowe i podłączoną domenę.
• Dane rozliczeniowe: wystawione Ci faktury, ich przedmiot i informację o zapłacie.
• Korespondencję: wiadomości, które do nas wysyłasz, i nasze odpowiedzi, w tym wnioski dotyczące bezpieczeństwa i ochrony danych.
• Dane techniczne: logi serwera zawierające adres IP, identyfikator żądania, znacznik czasu i user agent, przechowywane na potrzeby bezpieczeństwa i diagnostyki.
• Dane demo: nazwę firmy i imię wpisane przez odwiedzającego w celu utworzenia komisu demonstracyjnego, i nic więcej o tej osobie.
• Wyszukiwanie panelu: podany adres e-mail służy wyłącznie do znalezienia kwalifikujących się rzeczywistych komisów i — jeśli jest dopasowanie — wysłania jednogodzinnego linku tylko do odczytu. Przechowujemy wyłącznie skrót tego linku, nie sam link; nieznane adresy nie są zachowywane.
• Dane bezpieczeństwa i rejestracji: status MFA i skróty kodów odzyskiwania, znaczniki czasu akceptacji nadane przez serwer, stan oferty rejestracyjnej i wyniki Cloudflare Turnstile chroniące formularze publiczne.
• Zgłoszenia treści: zgłoszony adres w miraride, wyjaśnienie, opcjonalna podstawa prawna, podane dane osoby i kontakt, potwierdzenie, ocena człowieka, decyzja, uzasadnienie, powiadomienia i zapis środków odwoławczych.

4. Po co przetwarzamy i na jakiej podstawie prawnej

Każdy poniższy cel jest powiązany z podstawą prawną z art. 6 RODO.

• Świadczenie usługi i prowadzenie Twojego konta — wykonanie umowy z Tobą (art. 6 ust. 1 lit. b).
• Wystawianie faktur i prowadzenie ksiąg — obowiązek prawny wynikający z estońskich przepisów o rachunkowości i podatkach (art. 6 ust. 1 lit. c).
• Utrzymanie bezpieczeństwa usługi, badanie nadużyć i diagnozowanie awarii — nasz prawnie uzasadniony interes w tym, by usługa działała i nie była atakowana (art. 6 ust. 1 lit. f).
• Odpowiadanie na Twoje wiadomości i informowanie o zmianach wpływających na korzystanie z usługi — wykonanie umowy oraz nasz prawnie uzasadniony interes w komunikacji z klientami biznesowymi (art. 6 ust. 1 lit. b oraz f).
• Tworzenie i usuwanie komisów demonstracyjnych — nasz prawnie uzasadniony interes w umożliwieniu potencjalnemu klientowi oceny produktu bez zakładania konta (art. 6 ust. 1 lit. f).
• Odbieranie, ocena, rozstrzyganie i komunikowanie zgłoszeń nielegalnej treści — wykonanie obowiązków z aktu o usługach cyfrowych (art. 6 ust. 1 lit. c).

5. Ciasteczka i ta strona

Zwykłe przeglądanie nie ustawia ciasteczek, chyba że wyraźnie wybierzesz język. Wtedy ustawiamy jedno funkcjonalne ciasteczko językowe tylko dla bieżącego hosta, na maksymalnie rok; nie przechodzi ono na adres innego komisu. Rozpoczęcie rejestracji, poproszenie o link do panelu lub wysłanie zgłoszenia nielegalnej treści ustawia ściśle niezbędne ciasteczko CSRF; chronione formularze publiczne ładują też Cloudflare Turnstile przeciw automatycznym nadużyciom. Nie używamy analityki, reklam, pikseli śledzących ani nagrywania sesji, więc nie ma banera zgody na opcjonalne śledzenie.

W samym produkcie po zalogowaniu ustawiane są dwa ciasteczka: ciasteczko sesji HTTP-only oraz odczytywalny token ochrony przed CSRF, który klient musi odesłać przy każdej zmianie. Oba są ściśle niezbędne, poza lokalnym środowiskiem deweloperskim oznaczone jako secure, używają SameSite=Lax i żadne nie ma skonfigurowanej domeny ciasteczka — więc sesja wydana pod adresem jednego komisu nie jest czytelna pod adresem innego.

Nie przechowujemy w Twojej przeglądarce niczego na potrzeby marketingu ani pomiarów. Strona marketingowa zapisuje w pamięci lokalnej wybór Jasny, Systemowy lub Ciemny oraz — po rejestracji albo wyborze panelu — czysty adres panelu, aby pokazać opcję Powrót do panelu; nigdy nie zapisuje tokenów rejestracji ani wyszukiwania. Ulubione pojazdy i porównania w witrynie również zostają w pamięci lokalnej i nigdy nie są do nas wysyłane. W żądaniu pośredniczonym przez Cloudflare możemy użyć wyłącznie przybliżonego kodu kraju, aby wybrać pierwszy język, gdy nie ma zapisanej ani przeglądarkowej preferencji; nie zapisujemy go ani nie używamy do profilowania, cen, kwalifikacji czy decyzji o Tobie.

Jeśli kiedykolwiek dodamy analitykę, napiszemy o tym tutaj, zanim ją włączymy, i wybierzemy rozwiązanie, które nie wymaga odczytu ani zapisu czegokolwiek na Twoim urządzeniu — albo poprosimy o zgodę.

6. Kto jeszcze to widzi

Nie sprzedajemy danych osobowych, nie udostępniamy ich sieciom reklamowym i nie profilujemy Cię na ich podstawie.

Korzystamy z niewielkiej liczby podprocesorów, żeby usługa działała — hosting, magazyn plików i poczta. Każdy z nich jest wymieniony na naszej stronie podprocesorów wraz z celem, lokalizacją i podstawą ewentualnego przekazywania danych.

Opcjonalne działania AI przekazują wyłącznie materiał przesłany do danej czynności OpenAI Ireland Limited jako podprocesorowi, z store=false; dane API nie służą domyślnie do trenowania modeli, natomiast logi monitorowania nadużyć dostawcy mogą być przechowywane do trzydziestu dni, o ile nie potwierdzimy silniejszych kontroli projektu produkcyjnego.

Gdy wybierasz sugestie adresowe, wyszukiwana fraza i techniczne dane żądania trafiają bezpośrednio do Google Maps Platform. Google działa jako niezależny administrator na własnych warunkach prywatności; nie traktujemy Google jako podprocesora kartotek klientów salonu.

Dane osobowe ujawniamy organowi publicznemu wyłącznie wtedy, gdy wymaga tego prawo, i powiemy Ci o tym, o ile wolno nam powiedzieć.

7. Przekazywanie poza EOG

Aplikacja, baza danych i przetwarzanie w tle działają na serwerach w Niemczech. Dane osobowe są przechowywane w Unii Europejskiej.

Niektórzy dostawcy mają siedzibę w Stanach Zjednoczonych lub mogą tam przetwarzać dane. Tam, gdzie dochodzi do przekazania danych osobowych poza Europejski Obszar Gospodarczy, opiera się ono na standardowych klauzulach umownych Komisji Europejskiej wraz ze środkami uzupełniającymi opisanymi w naszej dokumentacji bezpieczeństwa, a także na decyzji o odpowiednim stopniu ochrony tam, gdzie ma ona zastosowanie. Strona dostawców podaje mechanizm i rolę każdego z nich.

8. Jak długo przechowujemy

Nie przechowujemy danych osobowych dłużej, niż wymaga tego cel.

• Operacyjne dane konta i salonu: przez czas umowy, następnie trzydziestodniowe okno odzyskania i eksportu oraz usunięcie aktywnych danych z końcem tego okna, chyba że konkretny obowiązek prawny wymaga dłuższego przechowywania.
• Ukończone lub wygasłe zgłoszenia rejestracyjne i zamknięte zaproszenia: trzydzieści dni. Użyte lub wygasłe tokeny resetu hasła i przekazania sesji: dwadzieścia cztery godziny.
• Niezmienny dowód akceptacji dokumentów prawnych: trzy lata po zakończeniu umowy. Obejmuje zaakceptowane wersje, skrót pakietu, język, czas, osobę i zaszyfrowany zapis tożsamości organizacji, ale nie adres IP.
• Dokumentacja księgowa, w tym wystawione faktury: siedem lat, zgodnie z estońską ustawą o rachunkowości.
• Korespondencja: trzy lata od ostatniej wiadomości w wątku.
• Zgłoszenia nielegalnej treści i zapisy decyzji: przez czas obsługi zgłoszenia i trzy lata od ostatecznej decyzji, aby wykazać zgodność oraz obsłużyć środki odwoławcze lub roszczenia.
• Logi aplikacyjne i bezpieczeństwa: nie dłużej niż dziewięćdziesiąt dni. Oczyszczone zdarzenia błędów Sentry: nie dłużej niż trzydzieści dni.
• Komisy i sesje demonstracyjne: usuwane automatycznie po wygaśnięciu okresu demonstracji, zawsze w ciągu dwudziestu czterech godzin.
• Zaszyfrowane kopie zapasowe: usuwane wraz z rotacją okna przechowywania kopii, a nie kasowane rekord po rekordzie.

9. Jak je chronimy

Dane osobowe są szyfrowane w spoczynku szyfrowaniem uwierzytelnionym, kluczem wyprowadzonym dla każdej pojedynczej wartości. Rekordy każdego komisu są odizolowane, a każde zapytanie zawężone do komisu wynikającego z żądania. Sesje są przypisane do hosta, dane kontaktowe nigdy nie trafiają do logów, a dostęp do systemów produkcyjnych mają wyłącznie osoby, które je obsługują.

Nasza dokumentacja bezpieczeństwa opisuje środki techniczne i organizacyjne stosowane do ochrony danych kont i klientów.

10. Twoje prawa

Na gruncie RODO możesz żądać kopii swoich danych osobowych, ich sprostowania, usunięcia, ograniczenia przetwarzania albo wydania w formacie nadającym się do przeniesienia. Możesz wnieść sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, a tam, gdzie kiedykolwiek oprzemy się na zgodzie, możesz ją w każdej chwili wycofać bez wpływu na to, co było wcześniej.

Napisz na adres podany na dole tej strony. Odpowiadamy w ciągu miesiąca i poinformujemy Cię, jeśli potrzebujemy więcej czasu ze względu na złożoność wniosku. Nie pobieramy za to opłat i nie utrudniamy tego bardziej niż wysłanie e-maila.

Jeśli uważasz, że źle obeszliśmy się z Twoimi danymi, powiedz nam o tym najpierw — ale masz prawo pójść od razu do organu nadzorczego. Naszym jest estoński Inspektorat Ochrony Danych; możesz też złożyć skargę do organu w kraju, w którym mieszkasz lub pracujesz.

11. Decyzje automatyczne i profilowanie

Nie podejmujemy wobec Ciebie decyzji w sposób zautomatyzowany, które wywoływałyby skutki prawne lub podobnie istotnie na Ciebie wpływały, i nie profilujemy Cię. Oprogramowanie wylicza ceny najmu i kwoty rozliczenia z reguł skonfigurowanych przez komis; to arytmetyka na umowie, a nie decyzja o człowieku.

Opcjonalne funkcje AI to sugestie uruchamiane przez użytkownika i niewidoczne do czasu sprawdzenia oraz przyjęcia przez człowieka. Nie mogą wystawiać dokumentów, publikować ofert, automatycznie zapisywać wyników ani rozstrzygać praw lub dostępu osoby.

12. Dzieci

miraride to usługa dla przedsiębiorców. Nie jest kierowana do dzieci i świadomie nie zbieramy od nich danych osobowych. Jeśli sądzisz, że dane dziecka do nas trafiły, napisz do nas, a je usuniemy.

13. Zmiany tej polityki

Gdy polityka się zmienia, zmieniają się też wersja i data u góry strony. Jeśli zmiana istotnie wpływa na sposób, w jaki postępujemy z Twoimi danymi osobowymi, napiszemy do Ciebie e-mailem przed jej wejściem w życie. Poprzednie wersje udostępniamy na żądanie.