Polityka prywatności Chcetoo

1. Administrator i kontakt

Administratorem danych osobowych związanych z Chcetoo jest Paulina Otczyk prowadząca działalność gospodarczą pod firmą My Bizu Paulina Otczyk, NIP 937-245-43-34, ul. Szczytowa 34D, 43-370 Szczyrk. Kontakt w sprawach danych, konta i realizacji praw: info@chcetoo.pl lub pisemnie na wskazany adres. Nie wyznaczono odrębnego inspektora ochrony danych; wnioski kieruj do administratora.

Dokument dotyczy nowej aplikacji Chcetoo, jej kont, list, zapisów i rezerwacji. Nie zastępuje polityk zewnętrznych sklepów ani dokumentacji starego serwisu, który może działać odrębnie do czasu migracji. Data dokumentu nie oznacza uzyskania zgody na dodatkowe przetwarzanie.

2. Jakie dane otrzymujemy

Od użytkownika konta otrzymujemy adres e-mail, podane imię lub nazwę, dane uwierzytelniania, ustawienia widoczności, zapisane linki, nazwy, opisy, zdjęcia, kategorie i tagi oraz zawartość list. System przechowuje identyfikatory, daty operacji i informacje o zaakceptowanej wersji regulaminu oraz oświadczeniu o pełnoletności. Hasło jest obsługiwane przez system uwierzytelniania; nie udostępniamy administratorowi jego jawnej treści.

Przy rezerwacji przetwarzamy identyfikator pozycji, stan, czas ważności i prywatny token zarządzania. Opcjonalny adres do przypomnienia jest zbierany tylko w związku z zamówioną i dostępną funkcją. Właściciel listy nie otrzymuje od Chcetoo tożsamości rezerwującego.

Przy korzystaniu ze strony infrastruktura może przetwarzać adres IP, czas żądania, adres żądanej strony, typ przeglądarki i urządzenia, status odpowiedzi oraz informacje o błędach. Otrzymujemy także treść korespondencji, zgłoszeń, reklamacji i związane z nimi dane kontaktowe.

Dane produktów pochodzą z linków lub treści podanych przez użytkownika oraz informacji pobieranych ze wskazanych sklepów. Dokładny adres e-mail wpisany w wyszukiwarce list służy wykonaniu wyszukiwania; funkcja nie tworzy książki adresowej. Nie wpisuj danych wrażliwych ani niepotrzebnych danych innych osób do opisów i adresów produktów.

3. Cele i podstawy prawne

Założenie konta, uwierzytelnianie, odzyskanie dostępu, przechowywanie pomysłów, tworzenie list, udostępnianie zgodnie z ustawieniami, rezerwacje i zamówione wiadomości związane z usługą: art. 6 ust. 1 lit. b RODO, czyli wykonanie umowy lub działania na Twoje żądanie przed jej zawarciem. Dotyczy to również usługi rezerwacji dla osoby bez konta.

Dobrowolne włączenie wyszukiwania publicznych list po e-mailu: art. 6 ust. 1 lit. a RODO, czyli zgoda wyrażona w odrębnym ustawieniu. Możesz ją cofnąć w Koncie, bez wpływu na prywatną Przechowalnię. Włączenie publiczności listy samo w sobie nie włącza tej wyszukiwarki.

Bezpieczeństwo, ograniczanie nadużyć i liczby zapytań, diagnostyka, ochrona prywatnych linków, zwykła korespondencja oraz ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO. Naszym uzasadnionym interesem jest bezpieczne i prawidłowe działanie serwisu, odpowiedź na kontakt oraz ochrona praw. Uwzględniamy prawa i interesy osób, których dane dotyczą.

Realizacja praw osób, obowiązki dotyczące reklamacji, zgłoszeń bezprawnych treści, nakazów właściwych organów oraz wymaganej dokumentacji: art. 6 ust. 1 lit. c RODO, w zakresie konkretnego obowiązku prawnego. Sama deklaracja w regulaminie nie tworzy dowolnej podstawy przetwarzania.

Newsletter Chcetoo jest dobrowolny i wymaga osobnej, domyślnie niezaznaczonej zgody przy rejestracji lub w Koncie. Obejmuje pomysły na prezenty, nowości produktowe i oferty, także afiliacyjne, wysyłane przez My Bizu Paulina Otczyk na podany adres e-mail. Podstawą przetwarzania adresu jest art. 6 ust. 1 lit. a RODO; zgoda obejmuje przesyłanie informacji handlowych zgodnie z art. 398 Prawa komunikacji elektronicznej. Zapisujemy treść i wersję zgody, czas, miejsce jej udzielenia lub wycofania. Wysyłka dotyczy tylko potwierdzonych adresów z aktualną zgodą. Możesz wycofać zgodę w Koncie równie łatwo jak ją włączyć, bez wpływu na podstawowe funkcje serwisu i legalność wcześniejszego przetwarzania. Akceptacja regulaminu nie oznacza zgody marketingowej.

4. Co jest wymagane, a co dobrowolne

Podanie danych potrzebnych do konta i uwierzytelniania jest dobrowolne, ale bez nich nie można utworzyć konta i korzystać z jego funkcji. Dla zapisu potrzebne są dane identyfikujące pomysł, a dla wyszukania publicznych list — dokładny e-mail wyszukiwanej osoby. Bez danych kontaktowych nie zawsze można odpowiedzieć na zgłoszenie.

Publiczne udostępnianie, wyszukiwanie po e-mailu, dodatkowe opisy oraz opcjonalne przypomnienia są wyborem użytkownika. Odmowa opcjonalnej zgody nie blokuje podstawowej prywatnej Przechowalni. Chcetoo jest przeznaczone dla pełnoletnich; rodzic może prowadzić listę prezentów dla dziecka ze swojego konta bez tworzenia konta dziecka i podawania jego pełnych danych.

5. Widoczność list i odbiorcy

Prywatne zapisy nie są udostępniane innym użytkownikom. Upoważniony administrator serwisu ma w zabezpieczonym panelu dostęp do rejestru prezentów, w tym prywatnych: nazwy i linku produktu, autora, daty dodania, widoczności i stanu oraz zarejestrowanych przejść do sklepu. Odczyty są rejestrowane i wymagają uwierzytelniania dwuetapowego. Dostęp służy obsłudze i diagnostyce serwisu. Treści publicznych list lub list udostępnionych linkiem widzą odbiorcy w zakresie wybranej widoczności. Link może być przekazany dalej; Chcetoo nie kontroluje kopii wykonanych samodzielnie przez odbiorców. Wycofanie udostępnienia nie usuwa automatycznie takich kopii.

Po włączeniu wyszukiwania po e-mailu zalogowana osoba z potwierdzonym adresem, znająca dokładny e-mail właściciela, może znaleźć jego aktywne publiczne listy. Nie pokazujemy w ten sposób list prywatnych ani dostępnych wyłącznie przez link. Możesz wyłączyć wyszukiwanie i zmienić widoczność listy.

Z danych w niezbędnym zakresie korzystają dostawcy infrastruktury: Supabase (baza i uwierzytelnianie), Netlify i Vercel (hosting i obsługa żądań podczas przejścia między wdrożeniami) oraz dostawcy doręczania wiadomości, w tym Resend dla wiadomości wysyłanych przez tę usługę. Dostawca skrzynki administratora obsługuje korespondencję wysłaną na info@chcetoo.pl. Upoważnione osoby, doradcy prawni i dostawcy wsparcia mają dostęp tylko w zakresie potrzebnym do swojej roli. Organy publiczne otrzymują dane, jeżeli istnieje właściwa podstawa prawna.

Otwarcie oferty sklepu prowadzi do zewnętrznej strony, której operator odpowiada za własne przetwarzanie. Także bezpośrednie wczytanie zdjęcia z serwera sklepu może ujawnić temu serwerowi IP i dane żądania. Przycisk sklepowy przekazuje po kliknięciu adres produktu i jego nazwę; nie powinien przekazywać danych osobowych klienta. Nie udostępniamy sklepom haseł ani prywatnych list w ramach zwykłego przejścia.

6. Infrastruktura i przekazywanie poza EOG

Główna baza aktualnej aplikacji jest utrzymywana w regionie Frankfurt w Niemczech. Nie oznacza to, że wszystkie czynności dostawców odbywają się wyłącznie w Polsce lub EOG. Globalny hosting, wysyłka e-mail, wsparcie, logi i podwykonawcy mogą wiązać się z przekazywaniem danych poza EOG, w szczególności do USA.

Takie przekazanie wymaga mechanizmu zgodnego z rozdziałem V RODO: decyzji o odpowiednim stopniu ochrony, gdy obejmuje danego odbiorcę, albo standardowych klauzul umownych i odpowiednich dodatkowych zabezpieczeń, gdy są potrzebne. Nie opieramy transferu niezbędnej usługi na wymuszonej zgodzie użytkownika. Możesz poprosić na info@chcetoo.pl o informacje i kopię właściwych zabezpieczeń, z ochroną tajemnicy oraz praw innych osób.

Dokumentacja dostawców opisuje ich podwykonawców i zasady transferów. Administrator odpowiada za właściwy dobór usług, umowy powierzenia i ocenę transferów; samo korzystanie z europejskiego regionu bazy nie zastępuje tych obowiązków.

7. Jak długo przechowujemy dane

Adres do newslettera wykorzystujemy do wycofania zgody. Historia zgody i jej wycofania służy wykazaniu zgodności, a nie dalszej wysyłce reklam; przechowujemy ją jedynie w niezbędnym zakresie przez okres potrzebny do ochrony przed roszczeniami. Bieżąca wersja zapisuje adresy zdjęć produktów, zamiast pobierać ich kopie do magazynu plików. Nie usuwa ich automatycznie z powodu braku logowania przez rok.

Konto, ustawienia i zapisane treści: przez czas prowadzenia konta i do realizacji jego usunięcia lub usunięcia treści. Przeniesienie do Kosza nie jest trwałym usunięciem — pozycja pozostaje możliwa do przywrócenia. Archiwizacja listy również zachowuje jej zawartość. Aby usunąć konto, napisz na info@chcetoo.pl; żądanie realizujemy zgodnie z zasadami wskazanymi poniżej.

Dane rezerwacji i jej statusu: tak długo, jak służą obsłudze rezerwacji i wskazanej pozycji na liście, w tym oznaczeniu zakupionego prezentu. Wygaśnięcie blokady nie musi oznaczać natychmiastowego usunięcia całego rekordu. Adres zamówionego przypomnienia służy jego realizacji i rozliczeniu doręczenia; dalsze zachowanie wymaga konkretnego uzasadnienia, np. reklamacji.

Logi i liczniki ograniczające nadużycia: przez czas potrzebny do diagnozy, zabezpieczenia i wyjaśnienia zdarzenia, z uwzględnieniem cyklu retencji skonfigurowanego u danego dostawcy. Nie tworzymy z nich bezterminowej historii przeglądania na potrzeby reklam. Kopie zapasowe wygasają zgodnie z cyklem kopii dostawcy; dane objęte usunięciem nie powinny być przywracane do aktywnego użycia po odtworzeniu kopii.

Korespondencja, reklamacje i zgłoszenia: przez obsługę sprawy, a następnie wyłącznie w niezbędnym zakresie do obowiązku prawnego lub upływu właściwego terminu przedawnienia roszczeń. Długość zależy od rodzaju sprawy, zdarzeń wpływających na przedawnienie i szczególnych przepisów. Dokumentacja akceptacji umowy może być zachowana dla wykazania jej treści, ale nie uzasadnia zachowywania wszystkich zapisów użytkownika.

Dane przetwarzane na podstawie zgody: do jej cofnięcia lub wcześniejszego zakończenia celu. Cofnięcie nie usuwa danych, dla których istnieje odrębna zgodna z prawem podstawa. Przy żądaniu informacji możemy wskazać okres lub kryteria retencji dla Twojej konkretnej sprawy.

8. Cookies, pamięć urządzenia i uprawnienia

Używamy niezbędnych cookies uwierzytelniania Supabase, których nazwy mogą zaczynać się od sb- i zawierać identyfikator projektu oraz auth-token; większy token może być podzielony na części. Służą utrzymaniu i odnowieniu sesji. Ich okres zależy od ustawień systemu sesji i mechanizmu odnowienia; aktualną datę wygaśnięcia możesz sprawdzić w przeglądarce. Wylogowanie usuwa sesję przeglądarki, a ważność tokenu jest odrębnie weryfikowana przez serwer.

W pamięci localStorage klucze zaczynające się od chcetoo:gift-reservation: przechowują prywatny token i termin rezerwacji, abyś mógł nią zarządzać na tym urządzeniu. Są usuwane przez odpowiednie działania interfejsu oraz przy rozpoznaniu wygaśnięcia; localStorage nie ma własnego automatycznego terminu ważności. Możesz usunąć dane strony w przeglądarce, ale stracisz lokalnie zapamiętany dostęp do rezerwacji, jeśli nie masz własnego linku zarządzania.

Te mechanizmy służą usłudze wyraźnie żądanej przez użytkownika, zgodnie z wyjątkiem dla niezbędnych technologii w art. 399 Prawa komunikacji elektronicznej. Nie uruchamiamy obecnie w aplikacji marketingowych cookies ani dodatkowej analityki reklamowej. Jeżeli zostaną dodane opcjonalne narzędzia, przed ich uruchomieniem pojawi się odpowiednia informacja i mechanizm wyboru; odrzucenie musi być możliwe bez blokowania podstawowej usługi.

Przycisk wklejania odczytuje schowek dopiero po kliknięciu i z uwzględnieniem uprawnień przeglądarki. Instalacja aplikacji, udostępnienie linku, zakładka i rozszerzenie uruchamiają przekazanie linku na działanie użytkownika. Nie oznacza to zgody na odczytywanie całej historii przeglądania.

9. Prawa i sposób złożenia wniosku

Na warunkach RODO przysługuje Ci dostęp i kopia danych, sprostowanie, usunięcie, ograniczenie przetwarzania oraz przenoszenie danych przetwarzanych automatycznie na podstawie umowy lub zgody. Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn swojej szczególnej sytuacji; wobec marketingu bezpośredniego sprzeciw jest bezwarunkowy. Zgodę możesz wycofać równie łatwo jak ją wyrazić, bez wpływu na legalność wcześniejszych działań.

W Koncie możesz pobrać dostępny eksport swoich danych i zmienić ustawienie wyszukiwania po e-mailu. Eksport interfejsu nie ogranicza zakresu ustawowego prawa do kopii. Pozostałe wnioski, także o usunięcie konta, kieruj na info@chcetoo.pl. Weryfikujemy tożsamość proporcjonalnie; nie wymagamy automatycznie skanu dowodu osobistego.

Informujemy o działaniach bez zbędnej zwłoki, co do zasady w ciągu miesiąca od otrzymania wniosku. Przy złożonych lub licznych wnioskach termin może zostać przedłużony o dwa kolejne miesiące, z informacją o przedłużeniu i jego przyczynach w pierwszym miesiącu. Odmowa wymaga wskazania przyczyny i środków ochrony. Co do zasady obsługa jest bezpłatna; wyjątki dotyczą wyłącznie sytuacji dopuszczonych w RODO.

Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych; informacje i dane kontaktowe są na uodo.gov.pl. Możesz także skorzystać z ochrony sądowej. Usunięcie nie ma charakteru absolutnego, jeśli konkretne dane są potrzebne z obowiązku prawnego lub dla ustalenia, dochodzenia i obrony roszczeń; takie zachowanie musi być ograniczone i uzasadnione.

10. Automatyzacja i afiliacja

Nie stosujemy decyzji wyłącznie zautomatyzowanych wywołujących skutki prawne lub podobnie istotnie wpływających na osobę w rozumieniu art. 22 RODO. Techniczne limity importu i wyszukiwania oraz stan rezerwacji pomagają utrzymać usługę; nie służą profilowaniu reklamowemu.

Afiliacja nie jest obecnie aktywna. Przed jej uruchomieniem opiszemy konkretnych partnerów, zakres przekazywanych danych i ewentualne technologie śledzące. Linki komercyjne będą oznaczone. Nie będziemy traktować utworzenia listy jako zgody na marketing partnerów.

11. Aktualizacje i bezpieczeństwo

Stosujemy kontrolę dostępu, uwierzytelnianie i zabezpieczenia transmisji oraz ograniczenia dostępu do prywatnych danych. Żaden system nie zapewnia absolutnego bezpieczeństwa. Zachowaj prywatne linki rezerwacji dla siebie i chroń dostęp do skrzynki e-mail.

Aktualizujemy tę informację przy zmianie rzeczywistego przetwarzania lub przepisów. Istotne zmiany komunikujemy w serwisie, a gdy jest to wymagane — indywidualnie. Publikacja zmienionego dokumentu nie zastępuje odrębnej zgody ani wymaganej informacji o zmianie umowy.