Polityka Prywatności

§1. Administrator danych i kontakt

1. Administratorem danych osobowych w rozumieniu art. 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”) jest Damian „Kuljo” Kuliś („Administrator”), osoba fizyczna zamieszkała w Polsce, z następującymi danymi kontaktowymi:

   • adres do korespondencji: ul. Jarosława Dąbrowskiego 18/6, 02-561 Warszawa, Polska
   • e-mail: [email protected]
   • telefon: +48 600 130 255
   • adres e-mail do spraw ochrony danych osobowych (wnioski z art. 15–22 RODO, zgłoszenia incydentów, sprawy pokrewne): [email protected]

2. Brak Inspektora Ochrony Danych. Administrator nie wyznaczył Inspektora Ochrony Danych zgodnie z art. 37 RODO. Administrator dokonał oceny i stwierdził, że żadna z przesłanek obligatoryjnego wyznaczenia, określonych w art. 37 ust. 1 RODO, do niego nie znajduje zastosowania: Administrator nie jest organem ani podmiotem publicznym; główna działalność Administratora nie polega na operacjach przetwarzania wymagających regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę; ani główna działalność Administratora nie polega na przetwarzaniu na dużą skalę szczególnych kategorii danych. Korespondencję w sprawach ochrony danych należy kierować na adres wskazany w ust. 1.

§2. Definicje i zasady podstawowe

1. Pojęcia używane w niniejszej Polityce Prywatności mają znaczenie nadane im w art. 4 RODO. W szczególności:

   • dane osobowe — wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;
   • przetwarzanie — operacja wykonywana na danych osobowych;
   • osoba, której dane dotyczą — osoba fizyczna, której dane są przetwarzane;
   • podmiot przetwarzający — zewnętrzny podmiot przetwarzający dane w imieniu Administratora;
   • dane szczególnej kategorii — kategorie wymienione w art. 9 ust. 1 RODO, w tym dane dotyczące zdrowia;
   • zgoda — dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego przyzwala na przetwarzanie.

2. Zasada domyślna: zero danych. Serwis zaprojektowany jest w taki sposób, że nie zbiera żadnych danych odwiedzającego, chyba że odwiedzający podejmie aktywną czynność wymagającą takiego zebrania (wysłanie formularza kontaktowego, zapis na newsletter po jego uruchomieniu). Serwis nie używa analityki, nie używa ciasteczek śledzących, nie używa technologii reklamowych, nie zawiera zewnętrznych elementów osadzanych w trakcie ładowania, nie ładuje czcionek z serwerów zewnętrznych w trakcie ładowania, nie posiada kont użytkowników, logowania ani systemu komentarzy.

3. Zasady przetwarzania. Administrator przetwarza dane osobowe zgodnie z zasadami określonymi w art. 5 ust. 1 RODO: zgodności z prawem, rzetelności i przejrzystości; ograniczenia celu; minimalizacji danych; prawidłowości; ograniczenia przechowywania; integralności i poufności; rozliczalności.

§3. Przetwarzane dane — zestawienie

Dla każdej powierzchni, na której Administrator przetwarza dane osobowe, poniższa tabela wskazuje: przetwarzane dane, cel, podstawę prawną w rozumieniu art. 6 RODO (i art. 9 tam, gdzie ma zastosowanie) oraz okres przechowywania. Szczegółowy opis znajduje się w §§4–7.

§4. Formularz kontaktowy

1. Formularz kontaktowy służy wyłącznie nawiązaniu kontaktu wstępnego między Użytkownikiem a Administratorem. Szczegółowe zasady przetwarzania danych za pośrednictwem formularza określa Regulamin §5; poniżej znajduje się streszczenie na potrzeby osoby, której dane dotyczą.

2. Dane zbierane w pierwszej wiadomości:

   a) adres e-mail (wymagany) — w celu udzielenia odpowiedzi;

   b) treść wiadomości (wymagana, 10–5000 znaków);

   c) wskazanie roli (opcjonalne — pacjent, lekarz, rodzina, badacz, inne);

   d) imię (opcjonalne);

   e) niejawne metadane przetwarzane podczas transmisji: adres IP (w nagłówku żądania, przetwarzany przez Cloudflare dla potrzeb bezpieczeństwa i widoczny dla planowanego dostawcy ochrony anti-spam dla tego samego celu), znacznik czasu, lokalizacja strony wysyłającej (dla ustalenia języka odpowiedzi).

3. Automatyczne potwierdzenie. Bezpośrednio po wysłaniu formularza na podany adres e-mail wysyłane jest automatyczne potwierdzenie otrzymania wiadomości. Zawiera ono numer referencyjny zgłoszenia oraz kopię treści przesłanej przez Użytkownika — Administrator nie prowadzi bazy zgłoszeń, więc jest to jedyny egzemplarz pozostający w dyspozycji Użytkownika. Potwierdzenie wysyłane jest w języku, w którym wypełniono formularz, przez tego samego dostawcę i w tym samym regionie, co wiadomość kierowana do Administratora (§9 ust. 2 lit. b). Potwierdzenie nie jest wiadomością marketingową i nie wiąże się z zapisem na jakąkolwiek listę wysyłkową.

4. Cel. Dane przetwarzane są wyłącznie w celu udzielenia odpowiedzi Użytkownikowi — w tym wysłania automatycznego potwierdzenia, o którym mowa w ust. 3 — a w odpowiednich przypadkach w celu prowadzenia korespondencji wstępnej prowadzącej do procedury współpracy, o której mowa w §5.

5. Podstawa prawna. Wyraźna zgoda osoby, której dane dotyczą, udzielona poprzez wyraźny checkbox zgody w formularzu kontaktowym przed wysyłką, łącznie na podstawie art. 6 ust. 1 lit. a RODO (dane osobowe ogólnie) oraz art. 9 ust. 2 lit. a RODO (dane o zdrowiu, w minimalnym zakresie samoujawnienia dopuszczonym przez Regulamin §5 ust. 2 lit. c).

6. Reguła minimalizacji danych. Zgodnie z Regulaminem §5 ust. 2 Użytkownik jest zobowiązany nie przesyłać w pierwszej wiadomości załączników, dokumentacji medycznej ani szczegółowych informacji o stanie zdrowia. Procedura postępowania z wiadomościami wykraczającymi poza ten zakres określona jest w Regulaminie §5 ust. 4: takie wiadomości usuwane są bez pełnego zapoznawania się z nimi i bez dalszego przetwarzania, zgodnie z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO) oraz obowiązkiem usunięcia danych przetwarzanych bez ważnej podstawy prawnej (art. 17 ust. 1 lit. d RODO).

7. Retencja. Korespondencja przechowywana jest w skrzynce Administratora przez okres maksymalnie 12 miesięcy od daty ostatniej wiadomości w wymianie. Po upływie tego okresu korespondencja jest usuwana, niezależnie od tego, czy sprawa została formalnie zakończona. Administrator nie prowadzi żadnej bazy danych zgłoszeń z formularza kontaktowego odrębnej od skrzynki pocztowej.

8. Podanie danych jest dobrowolne, ale niezbędne do udzielenia odpowiedzi przez Administratora. Bez adresu e-mail Administrator nie ma możliwości udzielenia odpowiedzi.

§5. Etapowa współpraca w sprawie publikacji historii pacjenta lub wkładu klinicystycznego

1. W przypadku gdy Użytkownik i Administrator przechodzą — poza kontakt wstępny — do procedury współpracy w celu opublikowania historii pacjenta, wkładu klinicystycznego lub powiązanego materiału, przetwarzanie danych odbywa się zgodnie z pięcioetapowym protokołem określonym w Regulaminie §6. Procedura jest stosowana niezależnie od tego, czy Użytkownik występuje w charakterze osoby dzielącej się własnym doświadczeniem pacjenckim, czy w charakterze lekarza, innego pracownika ochrony zdrowia lub badacza dzielącego się wiedzą i doświadczeniem zawodowym; różnice na poziomie podstaw prawnych przetwarzania określone są w ust. 2.

2. Podstawa prawna na poszczególnych etapach.

   Etap	Działanie	Podstawa prawna
   1	Kontakt wstępny	art. 6 ust. 1 lit. a RODO; art. 9 ust. 2 lit. a RODO w minimalnym zakresie samoujawnionych danych o zdrowiu (Regulamin §5 ust. 2 lit. c)
   2	Ustalenia indywidualne; uzyskanie wyraźnej zgody na konkretny zakres materiałów	art. 6 ust. 1 lit. a RODO (dla konkretnie uzgodnionego zakresu); art. 9 ust. 2 lit. a RODO w zakresie, w jakim materiały obejmują dane o zdrowiu Użytkownika lub dane szczególnej kategorii dotyczące osób trzecich
   3	Przekazanie materiałów	art. 6 ust. 1 lit. a RODO; art. 9 ust. 2 lit. a RODO w zakresie, w jakim dotyczy danych szczególnej kategorii — zgoda uzyskana na Etapie 2
   4	Opracowanie i podgląd	art. 6 ust. 1 lit. b RODO — niezbędność do wykonania ustalonej kooperacji z Etapu 2
   5	Akceptacja, korekta lub rezygnacja	art. 7 ust. 3 RODO — prawo wycofania zgody

3. Prawo do wycofania zgody. Użytkownik może wycofać zgodę na każdym etapie bez podania przyczyny. Po wycofaniu:

   a) wszystkie materiały otrzymane od Użytkownika oraz wszystkie wersje robocze treści opracowanej na ich podstawie są trwale usuwane w terminie 30 dni od otrzymania oświadczenia o wycofaniu;

   b) Administrator nie publikuje żadnej treści odnoszącej się do Użytkownika;

   c) Administrator zachowuje poufność co do faktu prowadzenia rozmów oraz co do treści korespondencji;

   d) minimalny zapis może być zachowany przez Administratora przez okres do 3 lat w celu wykazania zgodności z RODO (art. 5 ust. 2 RODO — zasada rozliczalności);

   e) wycofanie nie wpływa na zgodność z prawem przetwarzania przed wycofaniem (art. 7 ust. 3 RODO).

4. Po publikacji. Treść opublikowana w Serwisie za zgodą Użytkownika na Etapie 5 procedury współpracy pozostaje dostępna na licencji CC BY-SA 4.0, która jest nieodwołalna w odniesieniu do rozpowszechnionych kopii. Wycofanie zgody po publikacji skutkuje usunięciem treści z Serwisu i z materiałów pozostających pod kontrolą Administratora, jednak nie wycofuje retroaktywnie licencji w odniesieniu do kopii już rozpowszechnionych przez osoby trzecie na podstawie CC BY-SA 4.0.

§6. Newsletter (planowany, obecnie nieaktywny)

1. Newsletter jest planowaną usługą okresowego informowania o rozwoju wiedzy na temat M35.4. Na dzień wejścia w życie niniejszej Polityki Prywatności newsletter nie jest aktywny. Niniejszy ustęp opisuje zasady, które znajdą zastosowanie po uruchomieniu.

2. Dane zbierane: adres e-mail i (opcjonalnie) wskazanie roli.

3. Cel: wysyłka okresowego newslettera na adres subskrybenta.

4. Podstawa prawna: zgoda osoby, której dane dotyczą, udzielona poprzez mechanizm podwójnej weryfikacji (double opt-in: formularz zapisu + potwierdzenie subskrypcji poprzez kliknięcie linku przesłanego na wskazany adres e-mail), łącznie na podstawie:

   a) art. 6 ust. 1 lit. a RODO;

   b) art. 10 UŚUDE — wyraźna zgoda na otrzymywanie informacji handlowej drogą elektroniczną;

   c) art. 172 ustawy z dnia 16 lipca 2004 r. — Prawo telekomunikacyjne — wyraźna zgoda na marketing bezpośredni z wykorzystaniem elektronicznych środków komunikacji.

5. Retencja: do wycofania zgody (rezygnacji z subskrypcji).

6. Prawo wycofania: subskrybent może wycofać zgodę w każdym czasie bez podania przyczyn, poprzez kliknięcie linku rezygnacji znajdującego się w każdej wiadomości newslettera albo poprzez powiadomienie skierowane na adres Administratora wskazany w §1 ust. 1. Procedura rezygnacji wymaga jednego kliknięcia.

7. Brak komercyjnego użycia listy subskrybentów. Adresy e-mail subskrybentów nie są przekazywane osobom trzecim w celu innym niż techniczna wysyłka newslettera za pośrednictwem dostawcy poczty, nie są łączone z żadnym innym zbiorem danych, nie są używane do celów innych niż newsletter, ani nie są sprzedawane czy udostępniane partnerom marketingowym lub reklamowym.

§7. Logi serwerowe i bezpieczeństwo

1. Serwis hostowany jest na platformie Cloudflare Pages, usłudze świadczonej przez Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA), działającą jako podmiot przetwarzający na rzecz Administratora w rozumieniu art. 28 RODO.

2. Dane przetwarzane w logach serwerowych: adres IP, znacznik czasu, ścieżka żądania, metoda HTTP, user-agent, referer oraz standardowe metadane żądania HTTP.

3. Cel: bezpieczeństwo Serwisu, zapobieganie nadużyciom i ich wykrywanie (ataki typu denial-of-service, próby eksploitów, scraping treści w celach złośliwych) oraz obsługa sieci dostarczania treści.

4. Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora (i Cloudflare jako podmiotu przetwarzającego) w zapewnieniu integralności i dostępności Serwisu. Administrator dokonał oceny, że interesy osoby, której dane dotyczą, nie przeważają nad tym prawnie uzasadnionym interesem, uwzględniając: minimalny charakter przetwarzanych danych, brak łączenia z innymi zbiorami po stronie Administratora, brak profilowania, krótki okres przechowywania stosowany przez Cloudflare oraz cel bezpieczeństwa, któremu przetwarzanie służy.

5. Retencja: stosowana jest standardowa retencja logów Cloudflare. Administrator nie konfiguruje dodatkowej retencji logów, nie włącza usługi Cloudflare Log Push do własnego magazynu i nie konsultuje surowych logów w zwykłym toku eksploatacji Serwisu. Administrator może konsultować panele zbiorcze dostarczane przez Cloudflare dla celów wskazanych w ust. 3.

6. Nagłówek CF-IPCountry. Cloudflare wstrzykuje do przychodzących żądań nagłówek CF-IPCountry zawierający dwuliterowy kod kraju odpowiadający geolokalizacji IP rozstrzygniętej przez Cloudflare. Administrator wykorzystuje ten nagłówek w funkcji Cloudflare Pages Function uruchomionej pod adresem /, w celu przekierowania odwiedzających na odpowiednią lokalną podstronę (PL → /pl/, FR → /fr/, DE → /de/, IT → /it/, pozostałe → /en/). Nagłówek konsumowany jest per żądanie na krawędzi sieci; nie jest przechowywany, nie jest łączony z żadnymi innymi danymi, nie jest dostępny dla JavaScriptu Serwisu po stronie klienta, ani nie jest wykorzystywany do żadnego celu innego niż wskazane przekierowanie.

7. Limit zgłoszeń z formularza kontaktowego. W celu przeciwdziałania nadużyciom formularz kontaktowy przyjmuje najwyżej dwa zgłoszenia na dobę z jednego adresu IP. Aby to wyegzekwować, Administrator przechowuje w magazynie Cloudflare Workers KV wyłącznie skrót kryptograficzny (SHA-256) adresu IP połączonego z tajną wartością solącą oraz znaczniki czasu przyjętych zgłoszeń. Adres IP nie jest zapisywany w postaci jawnej, wpis nie jest łączony z treścią wiadomości ani z adresem e-mail nadawcy i wygasa automatycznie po 24 godzinach. Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes w ochronie formularza przed nadużyciem. Zastosowanie skrótu stanowi pseudonimizację w rozumieniu art. 4 pkt 5 RODO, wdrożoną jako środek zabezpieczający zgodnie z art. 32 ust. 1 lit. a RODO. Po wyczerpaniu limitu Użytkownik otrzymuje komunikat o osiągnięciu dziennego limitu; Serwis nie informuje wcześniej o liczbie pozostałych zgłoszeń.

§8. Pliki cookies i podobne technologie

1. Serwis nie używa plików cookies wymagających zgody w rozumieniu art. 5 ust. 3 dyrektywy 2002/58/WE (ePrivacy) ani art. 173 Prawa telekomunikacyjnego. Nie istnieje banner zgody na cookies, ponieważ nie istnieje nic, na co należałoby uzyskać zgodę.

2. sessionStorage. Serwis używa pojedynczego wpisu w sessionStorage pod kluczem disclaimer-dismissed w celu zapamiętania, czy Użytkownik odrzucił banner zastrzeżenia medycznego w bieżącej sesji przeglądania. Stanowi to ściśle niezbędną pamięć funkcjonalną dla funkcji zażądanej przez Użytkownika (odrzucenie bannera) i jest objęta wyjątkiem z art. 5 ust. 3 zdanie drugie dyrektywy ePrivacy. Wpis usuwany jest z chwilą zamknięcia karty przeglądarki lub przejścia Użytkownika na stronę o treściach medycznych (zgodnie z polityką ponownego pojawiania się bannera).

3. Brak technologii analitycznych — zawsze. Serwis nie korzysta z żadnych narzędzi analityki — ani teraz, ani w przyszłości w obecnym kształcie projektu. Stanowi to ustaloną decyzję Administratora, a nie domyślną konfigurację, którą można zmienić samym przekonfigurowaniem: ewentualne uruchomienie jakiejkolwiek analityki w przyszłości będzie wymagało zmiany istotnej niniejszej Polityki Prywatności i poinformowania osób, których dane dotyczą, zgodnie z §13.

4. Czcionki self-hosted. Czcionki internetowe wykorzystywane na Serwisie (Newsreader, Geist, JetBrains Mono) są pobierane z Google Fonts w czasie budowania Serwisu przez Administratora i serwowane z własnej domeny Serwisu w czasie korzystania z niego. Nie wysyłane jest żadne żądanie do serwerów Google Fonts w trakcie ładowania Serwisu przez Użytkownika. Eliminuje to bezprawną transmisję adresu IP do Google zidentyfikowaną w niemieckim orzecznictwie (LG München, 20.01.2022, sygn. 3 O 17493/20).

5. hCaptcha (planowane). Po uruchomieniu warstwy serwerowej formularza kontaktowego i jego ochrony anti-spam, widget hCaptcha dostarczany przez Intuition Machines, Inc. może wykorzystywać pliki cookies lub inną pamięć po stronie klienta, ściśle niezbędne do jego działania w ramach wysyłki formularza. Administrator zamierza wdrożyć widget w trybie lazy-load — widget ładuje się dopiero w chwili rozpoczęcia przez Użytkownika wysyłki formularza — oraz przekazuje krótką informację o uruchomieniu hCaptcha. Uruchomienie hCaptcha wymagać będzie aktualizacji niniejszej Polityki Prywatności o informacje dotyczące przetwarzania prowadzonego przez Intuition Machines, Inc.

§9. Odbiorcy danych i przekazania do państw trzecich

1. Administrator nie udostępnia danych osobowych osobom trzecim innym niż podmioty przetwarzające wyraźnie wskazane poniżej, z wyjątkiem przypadków, w których jest do tego zobowiązany na podstawie bezwzględnie obowiązujących przepisów prawa właściwego (w szczególności: na podstawie żądań organów publicznych właściwych na podstawie prawa polskiego).

2. Podmioty przetwarzające zaangażowane przez Administratora:

   a) Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) — hosting Serwisu (Cloudflare Pages), obsługa DNS, sieć dostarczania treści (CDN), przetwarzanie logów dostępowych. Polityka prywatności Cloudflare: https://www.cloudflare.com/privacypolicy/.

   b) Mailgun Technologies, Inc. — spółka z grupy Sinch AB (publ) — w celu transmisji wiadomości wysłanych przez formularz kontaktowy do skrzynki Administratora, a w przyszłości również wysyłki newslettera po jego uruchomieniu. Domena wysyłająca Serwisu skonfigurowana jest w regionie europejskim usługi (api.eu.mailgun.net), co oznacza, że treść wiadomości przetwarzana jest na infrastrukturze zlokalizowanej w Europejskim Obszarze Gospodarczym. Polityka prywatności: https://www.mailgun.com/legal/privacy-policy/; inspektor ochrony danych grupy Sinch: [email protected].

   c) Intuition Machines, Inc. (operator hCaptcha; adres zgodnie z https://www.hcaptcha.com/) — ochrona formularza kontaktowego przed spamem po jego uruchomieniu.

3. Przekazania do państw trzecich. Podmioty przetwarzające wskazane w ust. 2 mają siedzibę w Stanach Zjednoczonych i mogą przetwarzać dane osobowe w Stanach Zjednoczonych. W odniesieniu do podmiotu wskazanego w ust. 2 lit. b Administrator wybrał europejski region świadczenia usługi, w związku z czym treść wiadomości przesłanych przez formularz kontaktowy przechowywana i przetwarzana jest na infrastrukturze w Europejskim Obszarze Gospodarczym; okoliczność ta nie wyłącza jednak możliwości dostępu administracyjnego ze strony spółki macierzystej z siedzibą w Stanach Zjednoczonych, wobec czego zabezpieczenia opisane poniżej stosuje się również do tego podmiotu. Przekazania do Stanów Zjednoczonych odbywają się na podstawie:

   a) decyzji wykonawczej Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. w sprawie odpowiedniego stopnia ochrony danych osobowych na podstawie ram ochrony danych UE-USA, w odniesieniu do podmiotów certyfikowanych w tych ramach;

   b) standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r., włączonych do umów powierzenia przetwarzania danych zawartych z każdym z podmiotów przetwarzających jako dodatkowe zabezpieczenie.

   Osoba, której dane dotyczą, może zwrócić się o kopię stosowanych zabezpieczeń, kierując wniosek na adres wskazany w §1 ust. 1.

4. Brak korzystania z usług spoza UE/EOG dla celów dodatkowych. Administrator nie angażuje dostawców analityki, sieci reklamowych, wtyczek mediów społecznościowych, sieci dostarczania osadzanej treści ani żadnych innych usług trzecich, które prowadziłyby do dodatkowych przekazań danych osobowych do państw trzecich.

§10. Okresy przechowywania

Okresy przechowywania stosowane przez Administratora podsumowuje poniższa tabela.

§11. Prawa osoby, której dane dotyczą

1. Osobie, której dane dotyczą, przysługują następujące prawa wynikające z art. 15–22 RODO:

   a) prawo dostępu — do uzyskania potwierdzenia, czy przetwarzane są dane osobowe, a jeżeli tak — dostępu do tych danych i informacji wskazanych w art. 15 ust. 1 RODO;

   b) prawo do sprostowania — do sprostowania danych nieprawidłowych i uzupełnienia danych niekompletnych;

   c) prawo do usunięcia („prawo do bycia zapomnianym”) — do usunięcia danych osobowych bez zbędnej zwłoki w przypadkach określonych w art. 17 ust. 1 RODO;

   d) prawo do ograniczenia przetwarzania — w przypadkach określonych w art. 18 ust. 1 RODO;

   e) prawo do przenoszenia danych — do otrzymania danych osobowych w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie oraz do przesłania ich innemu administratorowi, w przypadkach określonych w art. 20 ust. 1 RODO;

   f) prawo do sprzeciwu — wobec przetwarzania opartego na art. 6 ust. 1 lit. e lub f RODO, z przyczyn związanych ze szczególną sytuacją osoby, której dane dotyczą;

   g) prawa związane z zautomatyzowanym podejmowaniem decyzji, w tym prawo do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołującej skutki prawne (art. 22 RODO); Administrator nie podejmuje takich decyzji.

2. Prawo do wycofania zgody. Jeżeli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a oraz art. 9 ust. 2 lit. a RODO), osobie tej przysługuje prawo do wycofania zgody w każdym czasie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem (art. 7 ust. 3 RODO).

3. Realizacja praw. Osoba, której dane dotyczą, może skorzystać z praw, o których mowa w ust. 1 i 2, kierując wniosek na adres [email protected]. Administrator udziela informacji o działaniach podjętych w związku z wnioskiem bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania wniosku, zgodnie z art. 12 ust. 3 RODO. Termin ten może zostać przedłużony o kolejne dwa miesiące z uwagi na skomplikowany charakter wniosku lub liczbę wniosków; Administrator informuje osobę, której dane dotyczą, o takim przedłużeniu w terminie miesiąca od otrzymania wniosku, wraz z przyczyną opóźnienia.

4. Prawo do wniesienia skargi. Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do organu nadzorczego. Organem właściwym w Polsce jest:

   Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2 00-193 Warszawa https://uodo.gov.pl

5. Dobrowolność podania danych. Podanie danych osobowych za pośrednictwem formularza kontaktowego jest dobrowolne. Niepodanie adresu e-mail uniemożliwia Administratorowi udzielenie odpowiedzi; niepodanie pozostałych danych nie uniemożliwia odpowiedzi, ale może ograniczać możliwość merytorycznego odniesienia się do sprawy Użytkownika.

6. Brak zautomatyzowanego podejmowania decyzji i profilowania. Administrator nie stosuje zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach, w tym profilowania, w rozumieniu art. 22 RODO.

§12. Bezpieczeństwo przetwarzania

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, zgodnie z art. 32 RODO. W szczególności:

   a) Serwis serwowany jest przez protokół HTTPS z szyfrowaniem TLS świadczonym przez Cloudflare;

   b) Serwis nie posiada bazy danych na warstwie aplikacyjnej i nie przechowuje danych osobowych w żadnym magazynie danych warstwy aplikacyjnej; korespondencja znajduje się wyłącznie w skrzynce Administratora po dostarczeniu przez dostawcę poczty;

   c) konta Administratora w usługach hostingu, DNS oraz dostawcy poczty chronione są uwierzytelnianiem dwuskładnikowym;

   d) umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO są zawarte z każdym z podmiotów przetwarzających wskazanych w §9 ust. 2;

   e) nagłówki bezpieczeństwa HTTP są skonfigurowane w sposób mitygujący typowe wektory ataków na aplikacje webowe (X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy: camera=(), microphone=(), geolocation=()).

2. Naruszenia ochrony danych osobowych. W przypadku naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO Administrator:

   a) zgłasza naruszenie organowi nadzorczemu (Prezesowi Urzędu Ochrony Danych Osobowych, „UODO”) bez zbędnej zwłoki, a jeżeli jest to wykonalne — nie później niż w terminie 72 godzin od stwierdzenia naruszenia, zgodnie z art. 33 ust. 1 RODO;

   b) jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, zawiadamia osoby dotknięte bez zbędnej zwłoki, zgodnie z art. 34 ust. 1 RODO;

   c) dokumentuje naruszenie zgodnie z art. 33 ust. 5 RODO.

   Wewnętrzna procedura postępowania w razie naruszenia ochrony danych osobowych prowadzona jest w wewnętrznej dokumentacji Administratora i nie jest publikowana na Serwisie.

§13. Zmiany Polityki Prywatności i data wejścia w życie

1. Zmiany. Administrator może zmieniać niniejszą Politykę Prywatności. Zmiany ogłaszane są poprzez:

   a) aktualizację daty wejścia w życie oraz numeru wersji widocznych na początku dokumentu;

   b) prowadzenie historii zmian w publicznie dostępnym repozytorium kodu źródłowego Serwisu;

   c) w przypadku zmian o charakterze istotnym — rozszerzających, ograniczających lub w inny sposób istotnie zmieniających zakres przetwarzania, kategorie odbiorców, okresy retencji lub sposoby realizacji praw osoby, której dane dotyczą — przez umieszczenie ogłoszenia w sposób widoczny w Serwisie przez okres 14 dni przed wejściem zmian w życie;

   d) w przypadku aktywnego newslettera — powiadomienie subskrybentów o zmianach istotnych pocztą elektroniczną.

2. Wersja wiążąca. Polska wersja niniejszej Polityki Prywatności (/pl/privacy) jest wersją wiążącą w celu interpretacji prawnej. W razie rozbieżności pomiędzy wersjami językowymi rozstrzygająca jest wersja polska.

3. Data wejścia w życie. Niniejsza Polityka Prywatności wchodzi w życie z dniem 22 maja 2026.