Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Wojciech Skrzek, prowadzący działalność gospodarczą pod firmą Wojciech Skrzek WebMoose, ul. Zapolskiej 22/12, 43-100 Tychy, Polska, NIP 6462926700, prowadzący serwis Kury w Ogrodzie pod adresem https://kurywogrodzie.pl, dalej „Administrator”.

W sprawach związanych z prywatnością i realizacją praw można skontaktować się pod adresem kontakt@kurywogrodzie.pl, telefonicznie pod numerem 605 077 833 lub przez formularz kontaktowy.

2. Zakres i źródła danych

W zależności od sposobu korzystania z serwisu możemy przetwarzać:

• dane z formularza kontaktowego - imię, adres e-mail, treść wiadomości oraz dane dobrowolnie zawarte w niej przez nadawcę;
• dane potrzebne do wysłania bezpłatnego materiału - adres e-mail, data i źródło żądania oraz informacje techniczne konieczne do sprawdzenia poprawności i ochrony formularza;
• dane zamówienia płatnego e-booka - identyfikator i numer zamówienia, imię i nazwisko, adres e-mail, adres rozliczeniowy, kraj, ewentualnie numer telefonu, potwierdzenie miejsca zamieszkania albo siedziby na terytorium Polski, produkt, wersja, cena, waluta, status i daty realizacji, identyfikatory sesji płatniczej i płatności Stripe, wersja regulaminu, treść i czas wymaganych oświadczeń, informacja o opcjonalnej zgodzie marketingowej oraz dane techniczne dostępu do pliku, takie jak hash tokenu, termin ważności i liczba pobrań;
• dane dotyczące opcjonalnego newslettera - adres e-mail, źródło zapisu, data złożenia i potwierdzenia oświadczenia, wersja i treść zgody, wybrany materiał, status subskrypcji lub rezygnacji, daty wysyłek oraz kryptograficzne hashe tokenów potwierdzenia i rezygnacji; jeżeli w kampanii zostaną włączone takie funkcje, także techniczne informacje o dostarczeniu wiadomości;
• dane techniczne - adres IP, data i czas żądania, odwiedzany adres, adres odsyłający, typ urządzenia, system i przeglądarka; dane te mogą znajdować się w logach hostingu i mechanizmach bezpieczeństwa, w tym w usłudze Cloudflare Turnstile;
• dane analityczne - informacje o sesji, oglądanych podstronach, zdarzeniach, przybliżonej lokalizacji i parametrach urządzenia, jeśli użytkownik wyrazi wymaganą zgodę;
• dane reklamowe i identyfikatory internetowe - pliki cookies, identyfikatory urządzenia lub przeglądarki oraz dane o interakcjach z reklamami, gdy reklamy są aktywne i istnieje odpowiednia podstawa lub zgoda.

Dane otrzymujemy bezpośrednio od użytkownika, automatycznie od jego urządzenia albo od Stripe i Link po zakończeniu płatności. Nie otrzymujemy i nie zapisujemy pełnego numeru karty, kodu CVC ani danych logowania bankowego. Podanie adresu e-mail w celu otrzymania materiału lub realizacji zakupu jest dobrowolne, ale bez niego nie możemy wysłać pliku ani potwierdzenia umowy. Pozostałe dane wymagane na stronie płatności są konieczne do obsługi transakcji, podatków, dokumentu transakcyjnego, bezpieczeństwa albo wybranej metody płatności.

3. Cele i podstawy przetwarzania

• wysłanie zamówionego bezpłatnego PDF - art. 6 ust. 1 lit. b RODO, czyli podjęcie działania na żądanie użytkownika i wykonanie nieodpłatnej usługi polegającej na dostarczeniu materiału;
• przyjęcie, rozliczenie i wykonanie zamówienia płatnego e-booka - art. 6 ust. 1 lit. b RODO, czyli działania przed zawarciem umowy oraz jej wykonanie;
• potwierdzenie umowy, obsługa reklamacji, zwrotów i sporów, obowiązki podatkowe i rachunkowe oraz wystawienie dokumentu transakcyjnego - art. 6 ust. 1 lit. c RODO w związku z właściwymi przepisami oraz art. 6 ust. 1 lit. f RODO w zakresie ustalenia, dochodzenia lub obrony roszczeń;
• opcjonalny newsletter oraz informacje o produktach, w tym e-booku - art. 6 ust. 1 lit. a RODO, czyli zgoda, oraz zgoda na użycie adresu e-mail do marketingu bezpośredniego zgodnie z art. 398 ustawy Prawo komunikacji elektronicznej;
• udokumentowanie złożenia, potwierdzenia albo wycofania zgody - obowiązek rozliczalności wynikający z art. 5 ust. 2 i art. 7 ust. 1 RODO, w związku z art. 6 ust. 1 lit. c RODO, a w zakresie ustalenia, dochodzenia lub obrony roszczeń także art. 6 ust. 1 lit. f RODO;
• udzielenie odpowiedzi i obsługa korespondencji - art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes polegający na komunikacji z czytelnikami; gdy wiadomość zmierza do zawarcia umowy, także art. 6 ust. 1 lit. b RODO;
• zapewnienie bezpieczeństwa, diagnostyka błędów i przeciwdziałanie nadużyciom - art. 6 ust. 1 lit. f RODO;
• pomiar korzystania z serwisu i rozwój treści - art. 6 ust. 1 lit. a RODO, jeśli przepisy wymagają zgody na zapis lub odczyt danych z urządzenia;
• wyświetlanie, pomiar i personalizacja reklam - na podstawie zgody w zakresie, w którym jest ona wymagana; bez właściwej zgody opcjonalne skrypty Google nie są ładowane;
• wykonanie innych obowiązków prawnych oraz ustalenie, dochodzenie lub obrona roszczeń - art. 6 ust. 1 lit. c lub lit. f RODO, odpowiednio do sytuacji.

4. Bezpłatny PDF, zakup e-booka i opcjonalny newsletter

Jednorazowa wysyłka materiału

Po poprawnym wysłaniu formularza na podany adres wysyłamy jednorazową wiadomość z PDF w załączniku oraz awaryjnym odnośnikiem do pobrania. Wysyłkę technicznie obsługuje Cloudflare Email Sending. Samo zamówienie materiału nie jest zapisem do newslettera, nie stanowi zgody na marketing i nie powoduje zapisania adresu w bazie listy mailingowej. Jeżeli opcjonalna zgoda nie została zaznaczona, adres nie trafia do tej bazy.

Płatny e-book i Stripe Managed Payments

Po użyciu przycisku zakupu użytkownik przechodzi na hostowaną stronę Stripe Managed Payments oznaczoną Sold through Link. Stripe i spółka Sold through Link, LLC (dalej „Link”) przetwarzają dane wymagane do obsługi płatności, ustalenia i rozliczenia właściwych podatków pośrednich, wystawienia dokumentu transakcyjnego, zapobiegania oszustwom, obsługi klienta w sprawie transakcji, zwrotów i sporów. Link może również utworzyć albo wykorzystać konto Link zgodnie z informacjami wyświetlonymi podczas płatności. Stripe lub Link przekazują serwisowi wynik płatności, adres e-mail potrzebny do wykonania umowy oraz techniczne identyfikatory transakcji.

W prywatnej bazie Cloudflare D1 zapisujemy zamówienie i dowody wymaganych oświadczeń, natomiast plik e-booka przechowujemy w prywatnym Cloudflare R2. W bazie znajduje się hash tokenu pobrania, a nie jego jawna wartość. Cloudflare Email Sending wysyła w imieniu WebMoose wiadomość z potwierdzeniem umowy i prywatnym linkiem do e-booka. Ten sam mechanizm obsługuje ponowne wysłanie linku w procesie odzyskiwania dostępu. Link wysyła osobno dokument transakcyjny dotyczący płatności. Liczba pobrań oraz czas pierwszego i ostatniego pobrania mogą zostać zapisane w celu realizacji umowy, ochrony pliku i obsługi problemów technicznych.

WebMoose odpowiada za e-book, jego dostarczenie i reklamacje dotyczące treści cyfrowej. Link obsługuje płatność, dokument transakcyjny, zwrot i spór płatniczy. Stripe i Link mogą przetwarzać dane jako odrębni administratorzy w zakresie celów określonych w ich własnych dokumentach. Wnioski dotyczące danych przetwarzanych przez Link w związku z kontem Link albo Sold through Link należy kierować także do Link zgodnie z polityką prywatności Link i kanałami wskazanymi w potwierdzeniu transakcji.

Żądanie usunięcia danych złożone w Link może objąć konto Link i obiekty Stripe powiązane z transakcją Managed Payments. Nie usuwa ono automatycznie danych, które WebMoose przechowuje osobno w celu wykonania umowy albo realizacji obowiązków prawnych. Żądanie dotyczące tych danych należy przesłać również do WebMoose na adres kontakt@kurywogrodzie.pl.

Osobna zgoda marketingowa i double opt-in

Zgoda na newsletter jest dobrowolna, opcjonalna i domyślnie niezaznaczona. Brak zgody nie ogranicza dostępu do bezpłatnego PDF, nie wpływa na cenę ani nie uniemożliwia zakupu e-booka. Jeżeli użytkownik zaznaczy zgodę, zapisujemy adres e-mail oraz informacje dokumentujące jej brzmienie ze statusem oczekującym w prywatnej bazie Cloudflare D1 przypisanej do konta Administratora. Następnie Cloudflare Email Sending wysyła osobną wiadomość transakcyjną z odnośnikiem do strony potwierdzenia. Ten proces nazywa się double opt-in. Samo otwarcie odnośnika nie kończy zapisu; dopiero świadome użycie przycisku na stronie zmienia status na potwierdzony. Bez potwierdzenia adres nie może być użyty do newslettera ani informacji o produktach wskazanych w zgodzie.

Cloudflare Email Sending nie jest używane do kampanii marketingowych. Potwierdzone adresy pozostają na własnej liście Administratora w Cloudflare D1, a masowa wysyłka newslettera jest obecnie wyłączona. Jej przyszłe uruchomienie będzie wymagało osobnego dostawcy obsługującego wiadomości marketingowe oraz odpowiedniej aktualizacji tej polityki.

Tokeny potwierdzenia i rezygnacji są przekazywane w odnośnikach, natomiast w bazie zapisujemy wyłącznie ich kryptograficzne hashe, a nie jawne wartości. Token potwierdzenia jest ważny przez 48 godzin. Indywidualny odnośnik wypisania znajduje się w każdej wiadomości marketingowej i może zostać użyty ręcznie albo przez funkcję one-click klienta pocztowego.

Zgodę można w każdej chwili wycofać za pomocą odnośnika rezygnacji umieszczonego w każdej wiadomości marketingowej albo pisząc na kontakt@kurywogrodzie.pl. Wycofanie jest bezpłatne, nie wpływa na zgodność wcześniejszego przetwarzania i nie odbiera dostępu do już otrzymanego PDF.

5. Formularz kontaktowy

Pola oznaczone jako wymagane są potrzebne, aby dostarczyć wiadomość i umożliwić odpowiedź. Przed wysłaniem Cloudflare Turnstile ocenia żądanie w celu ograniczenia automatycznego spamu, a formularz przekazuje wiadomość do skrzynki kontaktowej przez Cloudflare Email Sending. Prosimy nie umieszczać w treści danych szczególnych kategorii, dokumentacji medycznej ani innych informacji, które nie są konieczne do załatwienia sprawy.

6. Google Analytics 4

Serwis może używać Google Analytics 4 (GA4), aby mierzyć ruch i sposób korzystania z podstron. Usługę dostarcza Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Skrypt GA4 nie jest pobierany przed wyrażeniem zgody analitycznej. Po wyrażeniu zgody GA4 może używać cookies i zbierać dane o sesji, zdarzeniach, urządzeniu oraz przybliżonej lokalizacji.

Jeśli zgoda analityczna nie została udzielona albo została wycofana, serwis nie ładuje skryptu GA4. Więcej informacji: Polityka prywatności Google oraz ochrona danych w Google Analytics.

7. Google AdSense, zgody i reklamy

Na stronach zawierających właściwą treść redakcyjną kod Google AdSense może zostać załadowany dopiero po wyrażeniu zgody reklamowej. Reklamy nie są ładowane na stronie kontaktu, politykach, regulaminie, stronie „O nas” ani stronie błędu 404. Google i jego partnerzy mogą przetwarzać identyfikatory internetowe, dane urządzenia oraz informacje o interakcjach z reklamą w celu emisji, zabezpieczenia i pomiaru reklam.

Przy pierwszej wizycie serwis wyświetla panel zgód, w którym można zaakceptować lub odrzucić wszystkie technologie opcjonalne albo osobno wybrać analitykę i reklamy. Opcje te są domyślnie wyłączone. Ustawienia można w dowolnym momencie ponownie otworzyć przez link „Ustawienia prywatności i cookies” w stopce.

Jeżeli emisja reklam Google dla użytkowników z EOG, Wielkiej Brytanii lub Szwajcarii zostanie uruchomiona, serwis będzie dodatkowo korzystał z platformy zarządzania zgodami certyfikowanej przez Google i zgodnej z IAB Transparency and Consent Framework. Włączenie takiego narzędzia może zmienić wygląd panelu, lecz nie ograniczy prawa do odmowy ani późniejszej zmiany decyzji.

Niezależnie od ustawień tej strony można zarządzać personalizacją na koncie w Google My Ad Center. Informacje o tym, jak Google wykorzystuje dane w serwisach partnerów, znajdują się na stronie Google - dane z witryn partnerów.

8. Pliki cookies i podobne technologie

Serwis może używać następujących kategorii technologii:

• niezbędne i związane z bezpieczeństwem - potrzebne do prawidłowego działania infrastruktury, ochrony formularzy przez Cloudflare Turnstile i zapisania wyborów prywatności;
• postęp w checkliście - zaznaczone punkty checklisty przed kurnikiem zapisujemy lokalnie w Twojej przeglądarce, aby pozostały dostępne po powrocie. Nie wysyłamy tych zaznaczeń na serwer i nie używamy ich do profilowania. Możesz je usunąć przyciskiem „Wyczyść odhaczenia” przy liście;
• analityczne - pomagają mierzyć korzystanie z serwisu; uruchamiane zgodnie z wyborem użytkownika;
• reklamowe - służą emisji, pomiarowi i, po wyrażeniu odpowiedniej zgody, personalizacji reklam.

Cookies i dane lokalne można usuwać lub blokować w ustawieniach przeglądarki. Zablokowanie wszystkich mechanizmów pamięci może wpłynąć na działanie niektórych funkcji i zapamiętanie wyborów.

9. Odbiorcy danych

Dane mogą otrzymywać wyłącznie podmioty potrzebne do działania serwisu, w szczególności:

• Cloudflare jako dostawca hostingu, infrastruktury sieciowej, bezpieczeństwa, logów, ochrony formularzy Turnstile, baz D1 dla zamówień i własnej listy newslettera, prywatnego magazynu R2 z płatnym plikiem oraz technicznej wysyłki wiadomości transakcyjnych przez Email Sending;
• Stripe Payments Europe, Limited, Stripe Technology Europe, Limited oraz właściwe podmioty z grupy Stripe w zakresie technicznej obsługi Stripe Managed Payments, płatności, bezpieczeństwa, automatycznej oceny ryzyka i przekazania wyniku transakcji;
• Sold through Link, LLC, działająca jako merchant of record, w zakresie obsługi transakcji, podatków pośrednich, dokumentu transakcyjnego, zwrotów, sporów, obsługi klienta dotyczącej płatności i ewentualnego konta Link;
• Google Ireland Limited i powiązane podmioty w zakresie GA4, AdSense oraz narzędzia zarządzania zgodami;
• osoby świadczące wsparcie techniczne, księgowe lub prawne - wyłącznie w zakresie niezbędnym i na odpowiedniej podstawie;
• organy publiczne, gdy obowiązek przekazania danych wynika z prawa.

Nie sprzedajemy ani nie wynajmujemy danych osobowych użytkowników.

10. Przekazywanie danych poza EOG

Niektórzy dostawcy technologii lub ich podwykonawcy, w tym Google, Cloudflare, Stripe i Link, mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. W takim przypadku podstawą transferu powinien być mechanizm przewidziany w rozdziale V RODO, np. decyzja stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne, wraz z dodatkowymi zabezpieczeniami, gdy są wymagane. Szczegóły mechanizmów i listy podwykonawców dostawcy opisują w swoich dokumentach prywatności i umowach powierzenia.

11. Okres przechowywania

• jednorazowa wysyłka PDF bez zgody marketingowej - serwis nie tworzy z tego tytułu osobnej listy marketingowej; adres jest używany do wysłania materiału, a techniczne logi dostarczenia są przechowywane tylko przez okres potrzebny do realizacji wysyłki, zapewnienia bezpieczeństwa i obsługi ewentualnej reklamacji, zgodnie z ustawieniami oraz umowami z dostawcami;
• zamówienia i płatności - przez okres wykonania umowy, obsługi reklamacji, zwrotów i roszczeń, a dokumenty oraz dane wymagane przepisami podatkowymi lub rachunkowymi przez okres wynikający z tych przepisów; po ustaniu celu zakres danych jest ograniczany albo dane są usuwane;
• dostęp do płatnego pliku - aktywny token standardowo wygasa po 30 dniach lub wykorzystaniu limitu, natomiast minimalne metadane wydania dostępu i pobrań mogą być zachowane razem z zamówieniem do obsługi umowy, bezpieczeństwa i roszczeń;
• niepotwierdzone zgłoszenie do newslettera - nie jest używane marketingowo; po wygaśnięciu tokenu może być użyte wyłącznie do obsługi ponownej prośby o zapis, a po 30 dniach rekord oczekujący kwalifikuje się do usunięcia podczas najbliższego automatycznego lub administracyjnego czyszczenia, z wyjątkiem minimalnych logów bezpieczeństwa lub danych koniecznych do wykazania nadużycia;
• potwierdzona subskrypcja - do wycofania zgody, zakończenia newslettera albo utraty przydatności danych dla wskazanego celu;
• status rezygnacji i dowód zgody - po wypisaniu nie wysyłamy marketingu; minimalny zakres danych możemy zachować na liście wykluczeń oraz przez okres potrzebny do wykazania zgodności z prawem lub do upływu właściwych terminów roszczeń;
• korespondencja - przez czas potrzebny do obsługi sprawy, a następnie co do zasady nie dłużej niż 12 miesięcy; dłużej tylko wtedy, gdy wymaga tego prawo albo zabezpieczenie roszczeń;
• logi techniczne i bezpieczeństwa - przez okres niezbędny do diagnostyki i ochrony serwisu, co do zasady do 30 dni, chyba że konkretny zapis jest potrzebny do wyjaśnienia incydentu;
• dane zdarzeń GA4 - maksymalnie 14 miesięcy, chyba że zostaną usunięte wcześniej lub pozostaną wyłącznie w zagregowanych raportach;
• wybory zgód na cookies i podobne technologie - do ich wycofania, wygaśnięcia albo ponownego zebrania zgodnie z ustawieniami narzędzia;
• dane wymagane do obowiązków prawnych lub roszczeń - przez okres wynikający z właściwych przepisów i terminów przedawnienia.

12. Prawa użytkownika

W granicach przewidzianych przez RODO przysługuje prawo do:

• dostępu do danych i uzyskania ich kopii;
• sprostowania danych;
• usunięcia danych lub ograniczenia ich przetwarzania;
• przeniesienia danych, jeśli podstawą jest zgoda lub umowa i przetwarzanie odbywa się automatycznie;
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
• wycofania zgody w dowolnym momencie, bez wpływu na zgodność wcześniejszego przetwarzania.

Wniosek dotyczący danych przetwarzanych przez WebMoose można przesłać na kontakt@kurywogrodzie.pl. Wniosek dotyczący danych przetwarzanych samodzielnie przez Stripe lub Link, w tym danych konta Link, płatności, dokumentu transakcyjnego, zwrotu albo sporu, należy skierować także do właściwego podmiotu zgodnie z jego polityką prywatności. Dla ochrony danych możemy poprosić o informacje pozwalające potwierdzić tożsamość wnioskodawcy. Jeżeli użytkownik uważa, że dane są przetwarzane niezgodnie z prawem, może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

13. Profilowanie i decyzje automatyczne

Sam serwis nie podejmuje wobec użytkownika decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na niego wpływały. Stripe i Link mogą stosować automatyczne mechanizmy oceny ryzyka, zapobiegania oszustwom oraz podejmowania decyzji o przyjęciu albo odrzuceniu płatności na zasadach opisanych w swoich politykach prywatności. Statystyki dostarczeń lub interakcji z newsletterem, jeśli są włączone, służą ocenie działania wysyłki i treści, a nie podejmowaniu takich decyzji. Po wyrażeniu odrębnej zgody Google może tworzyć profile zainteresowań do personalizacji reklam na zasadach opisanych przez Google.

14. Bezpieczeństwo i zmiany polityki

Stosujemy rozwiązania techniczne i organizacyjne odpowiednie do charakteru serwisu, a dostęp do danych ograniczamy do osób i dostawców, którzy go potrzebują. Formularze są chronione między innymi przez Turnstile, walidację po stronie serwera i ograniczenia przeciwdziałające automatycznym nadużyciom.

Polityka może być aktualizowana po zmianie funkcji strony, dostawców albo przepisów. Obowiązująca wersja wraz z datą aktualizacji jest publikowana na tej podstronie. Zmiana polityki nie rozszerza wstecznie zakresu udzielonej zgody; jeżeli nowy cel wymaga zgody, poprosimy o nią osobno.