Polityka prywatności

Jakie dane zbieramy, po co, jak długo je trzymamy i jakie masz prawa. Bez prawniczego żargonu tam, gdzie się da.

Obowiązuje od [data startu serwisu].

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych jest [Imię i nazwisko], działalność gospodarcza pod firmą [Nazwa firmy z CEIDG], [Ulica i numer, kod pocztowy, miejscowość], NIP [NIP], REGON [REGON] (dalej: „my”).

W sprawach danych osobowych napisz na kontakt@bankowacebula.pl albo przez formularz kontaktowy z tematem „Konto i dane osobowe”. Nie mamy wyznaczonego inspektora ochrony danych.

2. Jakie dane, po co i na jakiej podstawie

Konto

Adres e-mail, hasło (przechowujemy wyłącznie jego skrót, nie samo hasło), nick, klucze dostępu (passkeys, a dokładnie ich klucze publiczne i nazwy), data założenia konta. Do tego to, co zapisujesz w serwisie: postęp w promocjach, produkty bankowe w „Moich bankach” z datami otwarcia i zamknięcia, oceny promocji, głosy pod komentarzami. Podstawa: wykonanie umowy o świadczenie usług drogą elektroniczną, czyli regulaminu (art. 6 ust. 1 lit. b RODO).

„Moje banki” porównują Twoje produkty z warunkami promocji i podpowiadają, na które się nie łapiesz. To automatyczna podpowiedź, a nie decyzja. Nie wywołuje skutków prawnych i niczego nie przesądza za Ciebie ani za bank.

Komentarze i oceny

Treść komentarza, nick, data, a u gościa także adres e-mail, którego nikomu nie pokazujemy. Gdy zaznaczysz powiadomienia, używamy adresu do maili o akceptacji komentarza i odpowiedziach. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO), a przy komentarzach gości także nasz prawnie uzasadniony interes w moderowaniu treści (art. 6 ust. 1 lit. f RODO).

Newsletter

Adres e-mail, treść zgody pokazaną przy zapisie oraz daty zapisu i potwierdzenia. Na listę trafiasz dopiero po kliknięciu w link z maila potwierdzającego. Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą wycofasz w każdej chwili linkiem z każdego newslettera albo w profilu. Wycofanie zgody nie zmienia legalności wysyłek sprzed wycofania.

Formularz kontaktowy

Imię albo nick (opcjonalnie), adres e-mail i treść wiadomości. Wiadomość trafia mailem do naszej skrzynki i nie zapisujemy jej w bazie serwisu. Podstawa: prawnie uzasadniony interes w odpowiedzi na Twoją wiadomość (art. 6 ust. 1 lit. f RODO), a gdy piszesz w sprawie swoich danych, także nasz obowiązek prawny (art. 6 ust. 1 lit. c RODO).

Zgłoszenia komentarzy

Powód zgłoszenia, Twój opis, treść zgłoszonego komentarza z chwili zgłoszenia oraz Twoje konto albo adres e-mail, jeśli został podany. Autor usuniętego komentarza dostaje od nas uzasadnienie decyzji. Podstawa: obowiązki dostawcy usług hostingu z aktu o usługach cyfrowych (art. 6 ust. 1 lit. c RODO) i prawnie uzasadniony interes w moderowaniu treści (art. 6 ust. 1 lit. f RODO).

Bezpieczeństwo i działanie serwisu

Adres IP i podstawowe informacje o żądaniu przetwarzamy, żeby ograniczać liczbę prób logowania, rejestracji i wysyłek maili z jednego adresu oraz żeby wykrywać błędy. Adres IP do limitów trzymamy wyłącznie w pamięci serwera przez kilkanaście minut. Błędy aplikacji trafiają do usługi Sentry bez adresów IP, ciastek i treści formularzy. Podstawa: prawnie uzasadniony interes w bezpieczeństwie i sprawnym działaniu serwisu (art. 6 ust. 1 lit. f RODO).

Statystyki odwiedzin

Liczymy odwiedziny narzędziem Umami, które działa na naszym serwerze. Nie używa ciastek ani pamięci przeglądarki i nie śledzi Cię na innych stronach. Zapisuje odwiedzoną stronę, stronę, z której przychodzisz (bez parametrów adresu), parametry kampanii (utm), typ przeglądarki, systemu i urządzenia, rozdzielczość ekranu, język oraz przybliżoną lokalizację (kraj, region, miasto). Do tego kilka zdarzeń: zapis na newsletter, założenie konta, pierwsze odhaczenie warunku w trackerze i kliknięcie linku do oferty banku. Nie zapisuje adresu e-mail ani nicku. Adres IP służy tylko do ustalenia lokalizacji i zmieniającego się co miesiąc identyfikatora wizyty i nie jest zapisywany. Gdy przeglądarka wysyła sygnał „Nie śledź”, nie liczymy Twoich odwiedzin. Podstawa: prawnie uzasadniony interes w poznaniu, które treści są przydatne i skąd przychodzą czytelnicy (art. 6 ust. 1 lit. f RODO).

3. Jak długo trzymamy dane

  • Konto: do jego usunięcia. Po prośbie o usunięcie masz 14 dni na zmianę zdania, potem usuwamy konto i powiązane z nim dane. Kopie zapasowe bazy znikają po kolejnych 14 dniach.
  • Komentarze: do usunięcia przez Ciebie albo moderatora. Po usunięciu konta komentarze zostają bez nicku, jako „Usunięty użytkownik”, bo bez nich rozmowy pod promocjami straciłyby sens. Jeśli chcesz, żeby zniknęły, usuń je przed usunięciem konta albo napisz do nas. Komentarz gościa usuniemy na prośbę wysłaną z adresu podanego przy komentarzu.
  • Newsletter: do wypisania się. Niepotwierdzony zapis usuwamy po 7 dniach.
  • Wiadomości z formularza: przez czas obsługi sprawy, a potem nie dłużej niż 2 lata.
  • Zgłoszenia komentarzy: do 2 lat od decyzji moderatora, jako dowód, jak rozpatrzyliśmy zgłoszenie.
  • Statystyki odwiedzin: do 2 lat.
  • Logi techniczne i zgłoszenia błędów: kilka tygodni, z limitem rozmiaru logów na serwerze. Sentry trzyma zgłoszenia błędów do 90 dni.

4. Komu przekazujemy dane

Nie sprzedajemy danych i nie przekazujemy ich bankom. Korzystamy z firm, które przetwarzają dane w naszym imieniu na podstawie umów powierzenia albo swoich warunków świadczenia usług:

  • netcup GmbH (Niemcy): serwer, na którym działa serwis i baza danych.
  • Resend (firma z USA, wysyłka z regionu UE w Irlandii): wysyłka maili, np. potwierdzeń konta, resetu hasła, powiadomień i newslettera.
  • Sentry (Functional Software, Inc., USA, dane w regionie UE): zbieranie błędów aplikacji.
  • ImprovMX: przekierowanie poczty wysłanej na kontakt@bankowacebula.pl, w tym wiadomości z formularza kontaktowego i zgłoszeń.
  • Google (Google Ireland Limited, Irlandia): skrzynka pocztowa Gmail, w której czytamy i przechowujemy tę pocztę.

Przy dostawcach z USA, a także przy Google i ImprovMX, dane mogą trafiać poza Europejski Obszar Gospodarczy, np. przy wsparciu technicznym albo u ich podwykonawców. Sentry przyjmuje dane na podstawie certyfikacji w EU-US Data Privacy Framework, a gdyby ta przestała obowiązywać, na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. U pozostałych dostawców zabezpieczeniem są standardowe klauzule umowne albo certyfikacja w EU-US Data Privacy Framework. Kopię zabezpieczeń dostaniesz na prośbę.

Linki do ofert banków, w tym linki partnerskie, prowadzą na strony banków albo sieci partnerskich. Nie przekazujemy im Twoich danych. Po przejściu na ich stronę obowiązują ich zasady prywatności i ich pliki cookie.

Dane możemy też udostępnić organom publicznym, gdy wymaga tego prawo.

5. Ciastka i pamięć przeglądarki

Używamy wyłącznie tego, co potrzebne do działania serwisu. Nie mamy reklam ani ciastek firm trzecich, a statystyki odwiedzin (sekcja 2) nie zapisują niczego na Twoim urządzeniu, więc nie pytamy o zgodę.

  • cebula.session (ciastko): utrzymuje logowanie. Wygasa po 30 dniach, a bez opcji „Zapamiętaj mnie” po zamknięciu przeglądarki.
  • cebula:theme (pamięć przeglądarki): wybrany motyw jasny albo ciemny.
  • cebula:plan:… (pamięć przeglądarki): postęp w promocjach bez konta. Po założeniu konta przenosimy go na konto.
  • cebula.newsletter (pamięć przeglądarki): informacja, że zapis na newsletter z tej przeglądarki jest potwierdzony, żeby stopka nie proponowała go drugi raz.

Dane z pamięci przeglądarki nie są wysyłane do nas, dopóki nie założysz konta. Usuniesz je, czyszcząc dane strony w przeglądarce.

6. Twoje prawa

Masz prawo:

  • dostępu do swoich danych i otrzymania ich kopii,
  • sprostowania danych, np. zmiany nicku w profilu,
  • usunięcia danych, np. usunięcia konta w profilu,
  • ograniczenia przetwarzania,
  • przeniesienia danych przekazanych nam przez Ciebie, w formacie nadającym się do odczytu maszynowego,
  • sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie,
  • wycofania zgody w każdej chwili, bez wpływu na legalność wcześniejszego przetwarzania,
  • skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Żeby skorzystać z praw, napisz przez formularz albo na kontakt@bankowacebula.pl. Odpowiemy w ciągu miesiąca. Żeby nie wydać danych komuś obcemu, możemy poprosić o potwierdzenie z adresu przypisanego do konta.

Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie założysz konta, a bez adresu e-mail nie zapiszesz się na newsletter.

7. Bezpieczeństwo

Połączenie z serwisem jest szyfrowane (HTTPS). Hasła przechowujemy jako skróty, a tokeny z linków w mailach w większości także jako skróty. Panel administracyjny i baza danych nie są dostępne z internetu. Konto możesz dodatkowo chronić kluczem dostępu (passkey), a o zmianie hasła i dodaniu klucza informujemy mailem.

8. Zmiany polityki

Gdy zmienimy sposób przetwarzania danych, zaktualizujemy tę stronę i datę na górze. O istotnych zmianach właściciele kont dostaną maila.