POLITYKA PRYWATNOŚCI SERWISU RENTOWNIK.PL I APLIKACJI MOBILNEJ RENTOWNIK

§1 Informacje ogólne

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych w związku z korzystaniem z serwisu internetowego https://rentownik.pl oraz z aplikacji mobilnej Rentownik, dostępnej w sklepach Google Play i App Store (dalej łącznie „Serwis", a sama aplikacja mobilna — „Aplikacja").

Serwis i Aplikacja to dwa interfejsy tej samej usługi i tego samego Konta użytkownika, prowadzone przez tego samego Administratora (§2). Niniejszy dokument obowiązuje w całości dla obu z nich; postanowienia dotyczące wyłącznie Aplikacji zebrano dodatkowo w §9.

Polityka opracowana została w szczególności w oparciu o:

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO),
• ustawę o świadczeniu usług drogą elektroniczną,
• ustawę Prawo telekomunikacyjne.

§2 Administrator danych osobowych

Administratorem danych osobowych jest:

Wiktor Balcerek Rozwiązania IT
Dęba 9B
97-510 Ręczno
NIP: 7282913493

Kontakt w sprawach dotyczących przetwarzania danych: development@rentownik.pl

§3 Zakres przetwarzanych danych

Dane konta użytkownika

• adres e-mail,
• hasło (przechowywane w postaci zaszyfrowanej, niemożliwej do odczytania przez Administratora),

Dane firmowe (w przypadku płatnej subskrypcji)

• nazwa firmy, NIP, adres firmy, kod pocztowy, miejscowość — w celu wystawienia faktury.

Dane techniczne / urządzenia (aplikacja mobilna)

• identyfikator urządzenia i token push, przekazywane do usługi Firebase Cloud Messaging w celu dostarczania powiadomień push w aplikacji mobilnej (Google Play / App Store).

Dane kupujących pozyskane z Platform zewnętrznych

Wyłącznie w zakresie niezbędnym do realizacji zamówienia oczekującego na wysyłkę: imię i nazwisko, adres dostawy, numer telefonu. Dane te są usuwane z Serwisu po nadaniu przesyłki i nie są odtwarzane przez kolejne synchronizacje z Platformą zewnętrzną.

§4 Dane z platform sprzedażowych i operatorów kurierskich

Serwis umożliwia integrację z kontem Klienta na Platformach zewnętrznych, w szczególności: Allegro, Empik, Erli, Kaufland, eBay, Amazon, Temu, PrestaShop, WooCommerce, a także z Operatorami kurierskimi: InPost, DHL, DPD, GLS, UPS, Apaczka.

Integracja odbywa się wyłącznie poprzez oficjalny mechanizm autoryzacji (OAuth) lub klucz API danego podmiotu, po wyrażeniu zgody przez Klienta.

W ramach integracji Serwis przetwarza dane ofert, zamówień i statystyk sprzedażowych (zob. §3 oraz §5 Regulaminu), a w przypadku nadawania przesyłek — przekazuje dane adresowe kupującego właściwemu Operatorowi kurierskiemu, w zakresie niezbędnym do doręczenia przesyłki.

Administrator nie jest powiązany kapitałowo ani organizacyjnie z żadną z powyższych platform ani operatorów.

§5 Rola Administratora wobec danych kupujących

W zakresie danych osobowych kupujących pozyskiwanych z Platform zewnętrznych, administratorem tych danych pozostaje Klient (sprzedawca), a Administrator Serwisu działa jako podmiot przetwarzający w rozumieniu art. 28 RODO, przetwarzający dane wyłącznie w celu i zakresie niezbędnym do świadczenia usług Serwisu na rzecz Klienta (m.in. nadanie przesyłki, obsługa wiadomości, obsługa zwrotu).

Szczegółowe zasady tego przetwarzania określa umowa powierzenia przetwarzania danych osobowych, akceptowana elektronicznie przy założeniu Konta.

§6 Cele i podstawy przetwarzania danych

Świadczenie usług Serwisu (obsługa Konta, integracje, wysyłki, automatyzacje)

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Obsługa płatnej subskrypcji i rozliczeń

Podstawa prawna: art. 6 ust. 1 lit. b i c RODO (wykonanie umowy, obowiązki podatkowo-księgowe).

Komunikacja techniczna, powiadomienia web/push, reset hasła

Podstawa prawna: art. 6 ust. 1 lit. b i f RODO (wykonanie umowy, prawnie uzasadniony interes Administratora).

Analiza ruchu w Serwisie i widoczności w wyszukiwarce

Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona poprzez ustawienia cookies).

Marketing (opcjonalnie)

Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda użytkownika), o ile została udzielona.

§7 Podmioty przetwarzające / odbiorcy danych

Administrator korzysta z usług następujących podmiotów zewnętrznych, którym powierza lub udostępnia dane w zakresie niezbędnym do świadczenia usług:

• OVHcloud — hosting infrastruktury i danych Serwisu, serwery na terenie Europejskiego Obszaru Gospodarczego,
• Google Analytics (Google Ireland Ltd. / Google LLC) — statystyki ruchu w Serwisie,
• Google Search Console — dane o widoczności Serwisu w wynikach wyszukiwania Google,
• Firebase Cloud Messaging (Google) — dostarczanie powiadomień push w aplikacji mobilnej,
• Meta Platforms Ireland Limited — piksel Meta, pomiar skuteczności kampanii reklamowych w serwisach Facebook i Instagram; wyłącznie po wyrażeniu zgody na cookies marketingowe (§8),
• Platformy zewnętrzne i Operatorzy kurierscy wskazani w §4 — w zakresie danych przekazywanych im na polecenie Klienta (np. dane adresowe do nadania przesyłki).

Usługi Google (Analytics, Search Console, Firebase) oraz piksel Meta mogą wiązać się z przekazaniem danych poza Europejski Obszar Gospodarczy. Google LLC i Meta Platforms Inc. uczestniczą w programie EU-US Data Privacy Framework, stanowiącym uznany przez Komisję Europejską mechanizm zapewniający odpowiedni stopień ochrony danych przy takim transferze.

§8 Pliki cookies i narzędzia analityczne

Serwis wykorzystuje trzy kategorie plików cookies:

• Niezbędne — utrzymanie sesji, logowanie, ochrona formularzy przed atakami CSRF oraz zapamiętanie samej decyzji o cookies (ciasteczko rentownik_zgody, ważne 12 miesięcy). Bez nich Serwis nie działa, dlatego instalowane są bez zgody, na podstawie art. 173 ust. 3 Prawa telekomunikacyjnego.
• Analityczne — Google Analytics 4: odwiedzane podstrony, źródło wizyty, typ przeglądarki i urządzenia, czas wizyty, adres IP. Służą wyłącznie do analizy sposobu korzystania z Serwisu.
• Marketingowe — piksel Meta (Facebook, Instagram) dostarczany przez Meta Platforms Ireland Limited: mierzy skuteczność kampanii reklamowych i zdarzenia takie jak rejestracja konta czy podłączenie pierwszego kanału sprzedaży.

Żadne pliki cookies analityczne ani marketingowe nie są zapisywane bez zgody (art. 6 ust. 1 lit. a RODO). Zgodę wyraża się w bannerze wyświetlanym przy pierwszej wizycie — osobno dla każdej z tych dwóch kategorii. Do czasu jej wyrażenia:

• Google Analytics działa w trybie ograniczonym (Google Consent Mode v2 z odmową dla analytics_storage, ad_storage, ad_user_data i ad_personalization): nie zapisuje żadnych plików cookies i nie tworzy identyfikatora użytkownika. Do Google trafiają wyłącznie pozbawione cookies informacje o samym wywołaniu strony, na podstawie których Google szacuje zbiorczą statystykę ruchu. Dane te nie pozwalają Administratorowi ani Google na powiązanie wizyty z konkretną osobą ani na rozpoznanie jej przy kolejnej wizycie.
• Piksel Meta nie jest wczytywany w ogóle — Meta nie otrzymuje żadnych danych.

Wyrażenie zgody podnosi Google Analytics do pełnego trybu (z plikiem cookie i identyfikatorem wizyty) oraz uruchamia piksel Meta.

Zgodę można w każdej chwili wycofać, bez podawania przyczyny, korzystając z linku „Ustawienia cookies" w stopce każdej strony. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Cookies można również usunąć i zablokować w ustawieniach przeglądarki.

Szczegóły dotyczące przetwarzania danych przez dostawców: Google, Meta. Obaj dostawcy uczestniczą w programie EU-US Data Privacy Framework, o którym mowa w §7.

§9 Aplikacja mobilna Rentownik

Aplikacja mobilna Rentownik jest wydawana przez Administratora wskazanego w §2 i stanowi mobilny interfejs do tego samego Konta, co wersja internetowa Serwisu. Aplikacja komunikuje się z Serwisem wyłącznie poprzez API zabezpieczone szyfrowanym połączeniem (HTTPS/TLS) i tokenami dostępu (JWT).

9.1 Dane zbierane przez Aplikację

• Adres e-mail i hasło — podawane wyłącznie w celu zalogowania się do istniejącego Konta. Hasło nie jest przechowywane w Serwisie w postaci jawnej (§3).
• Token powiadomień push oraz oznaczenie platformy urządzenia (Android albo iOS) — zapisywane dopiero wtedy, gdy użytkownik włączy powiadomienia. Token pochodzi z usługi Firebase Cloud Messaging i służy wyłącznie do dostarczenia powiadomienia na to urządzenie.
• Dane sprzedażowe Konta (zamówienia, oferty, koszty, przesyłki, wiadomości) — pobierane z API Serwisu w celu wyświetlenia ich w Aplikacji, w zakresie opisanym w §3 i §4.

9.2 Czego Aplikacja nie zbiera

Administrator oświadcza, że Aplikacja:

• nie zbiera identyfikatora reklamowego (Advertising ID / IDFA),
• nie zbiera danych o lokalizacji urządzenia,
• nie uzyskuje dostępu do kontaktów, zdjęć, plików użytkownika, mikrofonu ani aparatu,
• nie zawiera reklam ani zewnętrznych sieci reklamowych,
• nie zawiera pakietów analitycznych ani śledzących — jedyną usługą zewnętrzną wbudowaną w Aplikację jest Firebase Cloud Messaging, wyłącznie w celu dostarczania powiadomień push (§7),
• nie sprzedaje danych osobowych ani nie udostępnia ich podmiotom trzecim w celach marketingowych.

9.3 Uprawnienia żądane przez Aplikację

• Powiadomienia — uprawnienie opcjonalne. Odmowa jego udzielenia nie blokuje korzystania z Aplikacji; użytkownik traci wyłącznie powiadomienia push. Zgodę można w każdej chwili cofnąć w ustawieniach systemu operacyjnego urządzenia albo wyłączając powiadomienia w ustawieniach Konta.
• Dostęp do internetu — niezbędny do połączenia z API Serwisu.

9.4 Odbiorcy danych z Aplikacji

Dane przekazywane z Aplikacji trafiają do infrastruktury Administratora (OVHcloud, Europejski Obszar Gospodarczy) oraz — w zakresie samego tokenu powiadomień — do Firebase Cloud Messaging. Pełną listę podmiotów przetwarzających zawiera §7.

9.5 Odbiorcy Aplikacji

Aplikacja jest narzędziem przeznaczonym dla przedsiębiorców prowadzących sprzedaż internetową. Nie jest kierowana do dzieci, a Administrator nie zbiera świadomie danych osób poniżej 13 roku życia.

9.6 Usunięcie Konta z poziomu Aplikacji

Użytkownik może usunąć Konto wraz z danymi bez kontaktu z Administratorem — zasady i skutki usunięcia opisuje §11.

9.7 Deklaracje w sklepach z aplikacjami

Deklaracje składane przez Administratora w sekcjach „Bezpieczeństwo danych" (Google Play) oraz „App Privacy" (App Store) są zgodne z treścią niniejszej Polityki. W razie rozbieżności rozstrzygająca jest niniejsza Polityka, a Administrator niezwłocznie koryguje deklarację w sklepie.

§10 Okres przechowywania danych

Dane konta i dane firmowe przechowywane są przez okres posiadania Konta w Serwisie oraz przez okres wymagany przepisami prawa (w szczególności podatkowymi) po jego usunięciu.

Dane kupujących pozyskane z Platform zewnętrznych przechowywane są wyłącznie do czasu nadania przesyłki związanej z danym zamówieniem, a następnie usuwane — zgodnie z zasadą minimalizacji danych.

Po usunięciu Konta pozostałe dane Klienta są usuwane z systemu, z zastrzeżeniem danych, których przechowywanie wynika z obowiązków prawnych Administratora (np. dokumenty księgowe).

§11 Usunięcie Konta i danych

Użytkownik może w każdej chwili usunąć Konto samodzielnie, bez kontaktu z Administratorem.

Jak usunąć Konto

• W aplikacji mobilnej i w serwisie: zaloguj się, przejdź do zakładki Konto, a następnie wybierz Usuń konto i potwierdź operację, wpisując frazę USUŃ KONTO.
• Bez logowania: wyślij żądanie usunięcia Konta z adresu e-mail przypisanego do Konta na adres development@rentownik.pl. Żądanie realizujemy bez zbędnej zwłoki, nie później niż w terminie 30 dni.

Co zostaje usunięte

Usunięcie Konta jest natychmiastowe i nieodwracalne. Usuwane są w szczególności: dane Konta i dane firmowe, wszystkie podłączone integracje z Platformami zewnętrznymi wraz z zapisanymi poświadczeniami dostępu (w przypadku Allegro autoryzacja jest dodatkowo cofana po stronie platformy), dane zamówień i ofert, ceny zakupu, koszty i dane magazynowe, a także dane kupujących przechowywane w związku z niewysłanymi zamówieniami. Token powiadomień push przestaje być wykorzystywany.

Co pozostaje i dlaczego

Zachowujemy wyłącznie dokumenty księgowe już wystawione na rzecz Klienta (faktury, proformy), do czego zobowiązują Administratora przepisy podatkowe — zgodnie z §10. Nie są one wykorzystywane w żadnym innym celu.

§12 Backupy i hosting danych

Administrator wykonuje regularne (codzienne) kopie zapasowe danych w celu zapewnienia bezpieczeństwa i ciągłości działania Serwisu.

Dane przechowywane są na serwerach infrastruktury OVHcloud, znajdujących się na terenie Europejskiego Obszaru Gospodarczego.

§13 Prawa użytkownika

Użytkownikowi przysługuje prawo do: dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora.

§14 Skarga do organu nadzorczego

Użytkownik ma prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

§15 Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne mające na celu ochronę danych, w szczególności: szyfrowanie połączeń (HTTPS/TLS), kontrolę dostępu do systemów, zabezpieczenia serwerów oraz regularne kopie zapasowe.

§16 Zmiany polityki prywatności

Administrator może wprowadzać zmiany w niniejszej Polityce Prywatności, w szczególności w związku ze zmianą funkcjonalności Serwisu lub podmiotów przetwarzających. Nowa wersja dokumentu publikowana jest w Serwisie.