Dokumenty prawne

Polityka Prywatności Bywalec

Wersja: 1.0Obowiązuje od: 2026-05-20

§ 1. Kim jesteśmy

  1. Administratorem danych osobowych przetwarzanych w związku z usługą Bywalec jest Mikołaj Mrózek prowadzący jednoosobową działalność gospodarczą pod firmą Mikołaj Mrózek Creative, NIP: 6351878808, REGON: 543642092, adres głównego miejsca wykonywania działalności: ul. Równoległa 45B, 43-190 Mikołów (zwany dalej „Bywalec" lub „Administrator").
  2. Kontakt w sprawach ochrony danych osobowych:
    • e-mail: [email protected]
    • adres korespondencyjny: Mikołaj Mrózek Creative, ul. Równoległa 45B, 43-190 Mikołów
  3. Inspektor Ochrony Danych (IOD) nie został wyznaczony — Administrator nie spełnia przesłanek z art. 37 RODO. Decyzja będzie weryfikowana po przekroczeniu skali 10 000 aktywnych Pass-ów. Wszelkie zapytania dotyczące ochrony danych prosimy kierować na adres [email protected].

§ 2. Kogo dotyczy ta Polityka

Polityka obejmuje cztery kategorie osób:

KategoriaKim jestSekcja
Klient Biznesowyosoba reprezentująca Lokal — właściciel, manager, osoba akceptująca regulamin w Panelu§ 4
Pracownik Lokaluosoba mająca konto „staff" w Panelu§ 5
Gośćosoba dodająca Pass do portfela cyfrowego§ 6
Odwiedzający stronękażda osoba odwiedzająca bywalec.app (cookies, formularz kontaktowy)§ 7

Niezależnie od kategorii, § 8–11 opisują wspólne zagadnienia: odbiorców danych, transfery międzynarodowe, prawa osób oraz bezpieczeństwo.

§ 3. Podstawowe definicje

  1. RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych).
  2. PKE — ustawa z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221).
  3. DPF — EU-U.S. Data Privacy Framework — decyzja Komisji Europejskiej z dnia 10 lipca 2023 r. (2023/1795) o adekwatności poziomu ochrony danych w USA dla organizacji certyfikowanych.
  4. SCC — Standardowe klauzule umowne — wzór umów zatwierdzony decyzją wykonawczą Komisji (UE) 2021/914.
  5. Współadministrowanie — wspólne ustalanie celów i sposobów przetwarzania (art. 26 RODO).

§ 4. Klient Biznesowy (Lokal)

4.1 Zakres danych

Administrator zbiera:

  • imię i nazwisko osoby reprezentującej Lokal,
  • adres e-mail,
  • hasło (przechowywane wyłącznie w postaci skrótu argon2id — Bywalec nie ma dostępu do hasła w postaci jawnej),
  • nazwa firmy, NIP, REGON, adres siedziby,
  • numer telefonu (opcjonalnie),
  • dane do faktury (jeżeli inne niż dane firmy),
  • w przyszłości: stripeCustomerId (po wdrożeniu Stripe).

4.2 Cele i podstawy prawne

CelPodstawaCzas
Zawarcie i wykonanie umowy SaaSart. 6 ust. 1 lit. b) RODOprzez czas obowiązywania umowy
Wystawianie i archiwizacja faktur VATart. 6 ust. 1 lit. c) RODO + Ordynacja podatkowa art. 86 § 15 lat od końca roku wystawienia
Komunikacja transakcyjna (potwierdzenia, powiadomienia o stanie usługi)art. 6 ust. 1 lit. b) RODOprzez czas umowy
Newsletter Bywalca i marketing produktuart. 6 ust. 1 lit. a) RODO + art. 398 PKEdo wycofania zgody
Bezpieczeństwo, antyfraud, dochodzenie roszczeńart. 6 ust. 1 lit. f) RODOdo upływu terminów przedawnienia
Analityka produktowa (zagregowana)art. 6 ust. 1 lit. f) RODOdane identyfikujące — 24 m-ce, następnie agregacja

4.3 Retencja

  • Konto aktywne — przez czas trwania umowy.
  • Konto zamknięte — 30 dni soft delete, następnie usunięcie z bazy produkcyjnej.
  • Dane do faktur VAT — 5 lat od końca roku wystawienia (obowiązek ustawowy).
  • Backupy — dane wygasają wraz z naturalną rotacją (do 6 miesięcy), bez przywracania do produkcji po wykonanym żądaniu usunięcia.

4.4 Profilowanie i decyzje zautomatyzowane

Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowania, wywołujących skutki prawne wobec Klienta Biznesowego.

§ 5. Pracownik Lokalu (konto „staff")

5.1 Zakres danych

  • imię i (opcjonalnie) nazwisko,
  • adres e-mail,
  • hasło (skrót),
  • rola (manager / staff),
  • logi działań w Panelu (data, godzina, akcja, adres IP).

5.2 Cele i podstawy

CelPodstawa
Utrzymanie konta i autentykacjaart. 6 ust. 1 lit. b) RODO (umowa Bywalec ↔ Lokal) i art. 6 ust. 1 lit. f) RODO
Logi audytowe (kto dodał pieczątkę, kto wydał nagrodę)art. 6 ust. 1 lit. f) RODO (uzasadniony interes — bezpieczeństwo programu)

5.3 Retencja

  • Konto aktywne — przez czas zatrudnienia Pracownika w Lokalu i czas obowiązywania umowy Bywalec ↔ Lokal.
  • Konto zdezaktywowane — 12 miesięcy, następnie anonimizacja danych identyfikujących (logi audytowe pozostają z anonimizowanym identyfikatorem).

5.4 Obowiązek informacyjny

Lokal, jako pracodawca, jest zobowiązany na podstawie umowy z Bywalcem do poinformowania Pracownika o zasadach przetwarzania jego danych przez Bywalca. Bywalec udostępnia gotową treść klauzuli informacyjnej w Panelu.

§ 6. Gość (osoba dodająca Pass)

6.1 Zakres danych — MVP

Bywalec zbiera minimum niezbędne do działania Passu:

  • deviceLibraryIdentifier (Apple) lub pushToken / savedPasses ID (Google) — identyfikator urządzenia w portfelu;
  • serialNumber Passu — UUID generowany przez Bywalca;
  • numer karty lojalnościowej (wewnętrzny identyfikator Gościa w ramach programu danego Lokalu);
  • historia pieczątek / punktów (data, identyfikator pracownika Lokalu, identyfikator Lokalu);
  • adres IP w logach serwera (security, ograniczona retencja);
  • User-Agent;
  • zdarzenia analityczne (impresja, intencja dodania, wygenerowanie Passu, instalacja, dodanie pieczątki, odebranie nagrody) wraz z timestampem.

6.2 Czego NIE zbieramy

W obecnym zakresie usługi (MVP) Bywalec nie zbiera od Gościa:

  • imienia ani nazwiska,
  • adresu e-mail,
  • numeru telefonu,
  • adresu zamieszkania,
  • daty urodzin,
  • rzeczywistej geolokalizacji urządzenia (geo-targeting w portfelach jest realizowany po stronie Apple / Google, Bywalec nie otrzymuje danych geolokalizacyjnych),
  • jakichkolwiek danych szczególnych kategorii (art. 9 RODO — dane wrażliwe).

6.3 Rozszerzenia planowane

W przyszłości Bywalec może wprowadzić opcjonalne zbieranie imienia i adresu e-mail Gościa za pośrednictwem osobnego formularza uruchamianego z poziomu Passu. Funkcja ta będzie:

  • całkowicie opcjonalna (Pass działa pełnoprawnie bez tych danych);
  • udostępniana wyłącznie biernie — dostęp do formularza poprzez back face Passu lub stronę programu Lokalu, bez aktywnego nakłaniania Gościa poprzez powiadomienie push (kontakt zachęcający do podania danych mógłby zostać zakwalifikowany jako marketing bezpośredni w rozumieniu art. 398 PKE);
  • wymagała osobnej zgody i osobnej klauzuli informacyjnej;
  • aktywowana tylko po publicznej aktualizacji niniejszej Polityki.

6.4 Cele i podstawy prawne

CelPodstawaKomentarz
Wydanie Passu, prowadzenie programu lojalnościowego, obsługa pieczątek, realizacja nagrodyart. 6 ust. 1 lit. b) RODOwykonanie umowy Bywalec ↔ Gość oraz programu Lokalu
Powiadomienia transakcyjne (push: dodanie pieczątki, dostępna nagroda, status programu)art. 6 ust. 1 lit. b) RODOnie wymagają zgody — to wykonanie umowy
Powiadomienia marketingowe od Lokalu (push wallet)art. 6 ust. 1 lit. a) RODO + art. 398 PKEwymagana osobna, wyraźna zgoda Gościa; współadministrowanie z Lokalem (art. 26 RODO)
Analityka lejka (impresja → instalacja → użycie)art. 6 ust. 1 lit. f) RODOuzasadniony interes — rozwój produktu
Bezpieczeństwo, antyfraud, logi IPart. 6 ust. 1 lit. f) RODOuzasadniony interes

6.5 Retencja

StanCzas
Pass aktywny w portfeluprzez czas aktywności
Pass usunięty z portfela12 miesięcy, następnie anonimizacja
Zdarzenia analityczne24 miesiące w formie zidentyfikowanej, następnie agregacja anonimowa
Logi IP / User-Agent12 miesięcy

6.6 Współadministrowanie w kampaniach marketingowych

W przypadku kampanii marketingowych uruchamianych przez Lokal z Panelu Bywalca, Bywalec i Lokal są współadministratorami danych Gościa w rozumieniu art. 26 RODO. Podział obowiązków:

  • Lokal — decyduje o celu kampanii, jej treści, czasie wysyłki i kryteriach odbiorców; odpowiada za zgodność treści z prawem (PKE, prawo reklamy, ustawa o zwalczaniu nieuczciwej konkurencji).
  • Bywalec — odpowiada za techniczną infrastrukturę wysyłki, mechanizm zgód i cofania zgód, retencję danych, bezpieczeństwo.
  • Punkt kontaktu dla Gościa — Bywalec ([email protected]); sprawy merytoryczne dotyczące treści kampanii Bywalec przekazuje Lokalowi.

Pełna treść Umowy o współadministrowaniu dostępna jest pod adresem bywalec.app/wspoladministrowanie.

§ 7. Odwiedzający stronę bywalec.app

7.1 Cookies i podobne technologie

Szczegóły reguluje Polityka Cookies dostępna pod bywalec.app/cookies. Skrótowo:

  • Niezbędne (sesja, autentykacja, CSRF) — przetwarzane na podstawie art. 6 ust. 1 lit. f) RODO bez konieczności zgody;
  • Analityczne / marketingowe (jeśli wdrożone) — wyłącznie po wyrażeniu zgody przez Odwiedzającego za pośrednictwem banera cookies.

7.2 Formularz kontaktowy

Dane podawane w formularzu (imię, e-mail, treść wiadomości) przetwarzane są w celu odpowiedzi na zapytanie — podstawa: art. 6 ust. 1 lit. f) RODO. Retencja: 24 miesiące od ostatniego kontaktu lub do czasu wniesienia sprzeciwu.

§ 8. Odbiorcy danych — sub-procesorzy

  1. Aktualna lista wszystkich sub-procesorów (podwykonawców przetwarzających dane na zlecenie Bywalca) jest dostępna pod adresem bywalec.app/podwykonawcy.
  2. Najważniejsi sub-procesorzy:
PodmiotCelLokalizacjaMechanizm transferu
Apple Inc.Apple Wallet, PassKit, push do urządzeniaUSADPF + SCC
Google LLC / Google Ireland Ltd.Google Wallet API, push, Google WorkspaceUSA / IrlandiaDPF + SCC
Cloudflare Inc.CDN, R2 storage (grafiki Pass-ów)USA / globalnaDPF + SCC
Hostinger International Ltd.hosting VPS aplikacji + bazyEOG (Cypr)DPA, w obrębie EOG
Resend Inc.wysyłka e-maili transakcyjnychUSA / region EU (Frankfurt)DPF + SCC
Stripe Inc. / Stripe Payments Europe Ltd.płatności (po wdrożeniu)Irlandia / USADPF + SCC
  1. Każdy nowy sub-procesor będzie ogłaszany pod bywalec.app/podwykonawcy z 30-dniowym wyprzedzeniem — Klient ma prawo wypowiedzieć umowę bez kary, jeśli sprzeciwia się nowemu sub-procesorowi.

§ 9. Transfery międzynarodowe

  1. Część sub-procesorów Bywalca jest zlokalizowana poza Europejskim Obszarem Gospodarczym (głównie USA: Apple, Google, Cloudflare, Resend, Stripe).
  2. Mechanizmy zabezpieczające transfer:
    1. EU-U.S. Data Privacy Framework (DPF) — decyzja adekwatności Komisji Europejskiej z 10 lipca 2023 r. Status decyzji — ważna. W dniu 3 września 2025 r. Sąd UE oddalił skargę o stwierdzenie nieważności DPF (Latombe v. Komisja, T-553/23). Skarżący wniósł apelację do Trybunału Sprawiedliwości UE — sprawa zarejestrowana jako C-703/25 P i obecnie pendująca przed TSUE. Bywalec utrzymuje SCC jako mechanizm zapasowy.
    2. Standardowe klauzule umowne (SCC) — wersja Komisji 2021/914 — stosowane jako mechanizm zapasowy lub dodatkowy względem DPF.
    3. Ocena skutków transferu (TIA) — wykonywana w razie potrzeby w odniesieniu do konkretnych przepływów danych.
  3. Gość, Klient Biznesowy i Pracownik Lokalu mają prawo zapoznać się z dokumentami dotyczącymi zabezpieczeń transferu — zapytanie należy skierować na [email protected].

§ 10. Twoje prawa

Zgodnie z RODO, każda osoba, której dane przetwarza Bywalec, ma prawo:

  1. Dostępu do swoich danych (art. 15 RODO) — w tym otrzymania kopii.
  2. Sprostowania danych (art. 16 RODO) — jeżeli są nieprawidłowe lub niekompletne.
  3. Usunięcia danych („prawo do bycia zapomnianym", art. 17 RODO) — z zastrzeżeniem obowiązków prawnych Administratora (np. archiwizacja faktur).
  4. Ograniczenia przetwarzania (art. 18 RODO).
  5. Przeniesienia danych (art. 20 RODO) — w odniesieniu do danych przetwarzanych na podstawie zgody lub umowy, w formacie ustrukturyzowanym, powszechnie używanym.
  6. Sprzeciwu wobec przetwarzania (art. 21 RODO) — w szczególności wobec przetwarzania na podstawie uzasadnionego interesu oraz wobec marketingu bezpośredniego.
  7. Niepodlegania decyzjom zautomatyzowanym (art. 22 RODO) — Bywalec na obecnym etapie nie podejmuje takich decyzji.
  8. Wycofania zgody w każdym momencie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem.
  9. Złożenia skargi do organu nadzorczego — Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

10.1 Realizacja praw — operacyjnie

  • Kanał kontaktu: [email protected].
  • Termin odpowiedzi: do 30 dni (zgodnie z art. 12 ust. 3 RODO), z możliwością wydłużenia o kolejne 2 miesiące w przypadku skomplikowanych żądań — z poinformowaniem osoby o przyczynach przedłużenia. Bywalec stawia sobie cel operacyjny: 7 dni.
  • Klient Biznesowy: dodatkowo dostępne są funkcje samoobsługowe w Panelu (dostęp do danych, eksport, usunięcie konta).
  • Gość: identyfikacja następuje na podstawie serialNumber Passu lub deviceLibraryIdentifier. Bywalec dołoży starań, by zweryfikować tożsamość osoby zgłaszającej żądanie, w sposób proporcjonalny do zakresu danych. Po usunięciu Passu z portfela identyfikacja Gościa może być utrudniona lub niemożliwa — Gość przyjmuje to do wiadomości jako naturalne ograniczenie wynikające z minimalnego zakresu danych zbieranych przez Bywalca.

10.2 „Prawo do bycia zapomnianym" a backupy

  1. Po otrzymaniu żądania usunięcia, dane są niezwłocznie usuwane z bazy produkcyjnej.
  2. W kopiach zapasowych (backupach) dane mogą jeszcze chwilowo istnieć — wygasają wraz z naturalną rotacją backupów (orientacyjnie do 6 miesięcy).
  3. Bywalec nie przywraca danych z backupów do produkcji w sposób, który niweczyłby wykonane żądanie usunięcia. W razie konieczności odtworzenia bazy z backupu, dane objęte żądaniem usunięcia są ponownie usuwane przed wprowadzeniem ich do produkcji.

§ 11. Bezpieczeństwo danych

Bywalec stosuje środki techniczne i organizacyjne zapewniające ochronę danych adekwatną do ryzyka, w szczególności:

  1. Szyfrowanie w spoczynku — baza PostgreSQL oraz storage Cloudflare R2.
  2. Szyfrowanie w transporcie — TLS 1.2+.
  3. Hashowanie haseł — argon2id.
  4. Multi-tenant isolation — logiczna separacja danych Klientów na poziomie tenantId, regularnie weryfikowana.
  5. Kontrola dostępu oparta na rolach (RBAC) — owner, manager, staff.
  6. Logi bezpieczeństwa i audytowe.
  7. Backupy automatyczne z okresowym testem odtworzenia.
  8. Procedura zgłaszania naruszeń: zgłoszenie do UODO w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO), niezwłoczna informacja dla osób, których dane dotyczą, w przypadku wysokiego ryzyka (art. 34 RODO). Wewnętrzna procedura: bywalec.app/incident-response (link tylko dla pracowników i kontrahentów Bywalca).

§ 12. Zmiany Polityki Prywatności

  1. Bywalec aktualizuje Politykę Prywatności w razie:
    1. zmian zakresu zbieranych danych,
    2. wprowadzenia nowych celów przetwarzania,
    3. zmiany sub-procesorów wymagających powiadomienia osób,
    4. zmiany przepisów prawa.
  2. Powiadomienie o zmianie — e-mail do aktywnych Klientów Biznesowych, komunikat na stronie i w Panelu, z co najmniej 14-dniowym wyprzedzeniem (lub dłuższym, jeśli przepisy wymagają).
  3. Aktualnie obowiązująca wersja jest dostępna pod bywalec.app/polityka-prywatnosci. Wcześniejsze wersje są archiwizowane i udostępniane na żądanie.

§ 13. Postanowienia końcowe

  1. Polityka podlega prawu polskiemu i RODO.
  2. W sprawach nieuregulowanych zastosowanie mają w szczególności: RODO, ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, ustawa z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej, ustawa z dnia 30 maja 2014 r. o prawach konsumenta.
  3. W razie pytań — [email protected].

Niniejsza Polityka obowiązuje od dnia 2026-05-20.