Polityka prywatności

§ 1. Administrator danych

Administratorem danych osobowych przetwarzanych w Serwisie oddamgruz.pl jest OddamGruz sp. z o.o. z siedzibą w Polsce (dane spółki zostaną uzupełnione po rejestracji KRS). Kontakt w sprawach RODO: rodo@oddamgruz.pl.

§ 2. Zakres przetwarzanych danych

Przetwarzamy dane podane przez Użytkownika oraz generowane podczas korzystania z Serwisu:

• Dane konta: adres e-mail, nazwa wyświetlana, hasło (przechowywane w postaci skrótu bcrypt — nigdy w czystej formie), typ konta (osoba prywatna/firma).
• Dane kontaktowe: numer telefonu, miejscowość, województwo, preferowany kanał kontaktu.
• Dane firmowe: NIP, REGON, adres siedziby, numer BDO, nazwa prawna — dla kont typu „firma". Część danych pochodzi z weryfikacji w bazie GUS BIR.
• Treści generowane przez użytkownika: ogłoszenia (tytuł, opis, zdjęcia, lokalizacja, ceny), oferty, opinie, zgłoszenia naruszeń.
• Dane techniczne: adres IP (zanonimizowany do /24 dla statystyk wyświetleń ogłoszenia), znacznik czasu rejestracji i ostatniej aktywności, identyfikator sesji.
• Dane płatności: przechowujemy wyłącznie identyfikator transakcji Stripe oraz dane wymagane do wystawienia faktury (NIP, nazwa firmy, adres). Numery kart i dane uwierzytelniające płatności są obsługiwane przez Stripe i nigdy nie docierają do naszych serwerów.

§ 3. Cele i podstawy prawne przetwarzania

§ 4. Odbiorcy danych

Dane osobowe przekazujemy wyłącznie podmiotom, które są nam niezbędne do prowadzenia Serwisu:

• Supabase (Supabase Inc., USA — region EU) — hosting bazy danych, autentykacja i przechowywanie plików (zdjęcia ogłoszeń). Standardowe Klauzule Umowne (SCC) jako podstawa transferu poza EOG.
• Vercel (Vercel Inc., USA) — hosting frontu i edge proxy. SCC jak wyżej.
• Stripe (Stripe Payments Europe, Ltd., Irlandia) — operator płatności.
• Resend (Resend, Inc., USA) — dostawca poczty transakcyjnej (potwierdzenia rejestracji, powiadomienia o ofertach i opiniach). SCC jak wyżej.
• Fakturownia (Radgost sp. z o.o., Polska) — wystawianie faktur VAT.
• hCaptcha (Intuition Machines, Inc., USA) — ochrona przed spamem.
• Sentry (Functional Software, Inc., USA) — monitoring błędów aplikacji (zanonimizowane stack-trace'y; bez treści ogłoszeń).

Z każdym z dostawców mamy zawartą umowę powierzenia przetwarzania (DPA / SCC). Dane przekazujemy organom państwowym wyłącznie na podstawie odpowiedniej podstawy prawnej.

§ 5. Twoje prawa

Na mocy art. 15–22 RODO przysługują Ci następujące prawa:

• Dostęp do swoich danych — pełną kopię możemy udostępnić w 30 dni od żądania.
• Sprostowanie nieprawidłowych danych — większość pól zaktualizujesz samodzielnie w „Moim koncie".
• Usunięcie danych („prawo do bycia zapomnianym") — usunięcie konta z poziomu „Strefa ryzyka" anonimizuje Twój profil natychmiast. Faktury VAT pozostają w archiwum księgowym przez 5 lat zgodnie z Ordynacją podatkową.
• Ograniczenie przetwarzania — np. na czas weryfikacji poprawności danych.
• Przenoszenie danych — eksport w formacie JSON na żądanie.
• Sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu (statystyki, marketing).
• Cofnięcie zgody w dowolnym momencie (np. zgoda marketingowa) — bez wpływu na zgodność przetwarzania sprzed cofnięcia.
• Skarga do Prezesa Urzędu Ochrony Danych Osobowych (UODO, uodo.gov.pl), jeśli uznasz, że przetwarzanie narusza Twoje prawa.

Wszystkie żądania kierujemy odpowiadać w ciągu 30 dni. Dane kontaktowe inspektora ochrony danych: rodo@oddamgruz.pl.

§ 6. Cookies i technologie podobne

Serwis używa wyłącznie niezbędnych plików cookie:

• Cookie sesji (auth_token) — utrzymanie zalogowanej sesji.
• Cookie hCaptcha — ochrona formularza rejestracji przed botami; pliki ustawiane przez dostawcę captcha.

Nie używamy cookies marketingowych, śledzących ani analitycznych innych firm. Statystyki ruchu liczymy sami, bez plików cookie: przy każdej odsłonie zapisujemy adres strony, domenę, z której przyszedłeś, typ urządzenia i jednorazowy identyfikator wyliczony z adresu IP i przeglądarki, który zmienia się co dobę. Samego adresu IP nie zapisujemy, a identyfikatora nie da się powiązać między dniami. Gdy jesteś zalogowany, odsłonę wiążemy z Twoim kontem i zapisujemy czas ostatniej aktywności. Dane o odsłonach usuwamy po 13 miesiącach.

§ 7. Bezpieczeństwo

• Połączenia z Serwisem szyfrowane TLS 1.3.
• Hasła przechowywane jako skróty bcrypt (Supabase Auth, koszt 10).
• Dostęp do bazy zarządzany Row Level Security (PostgreSQL RLS) — domyślnie „deny all", policy-by-policy whitelist.
• Backup bazy (Supabase) wykonywany codziennie, retencja 7 dni; backup tygodniowy przechowywany 4 tygodnie.
• Logi dostępu administratorów rejestrowane w tabeli audit_log.

§ 8. Naruszenia ochrony danych

W razie wystąpienia naruszenia ochrony danych osobowych skutkującego ryzykiem dla Użytkowników, niezwłocznie (nie później niż w ciągu 72 godzin) zgłaszamy naruszenie Prezesowi UODO oraz informujemy Użytkowników, których naruszenie dotyczy.

§ 9. Zmiany polityki

O istotnych zmianach Polityki informujemy mailowo z 14-dniowym wyprzedzeniem. Mniejsze poprawki redakcyjne (literówki, doprecyzowania) wprowadzamy bez dodatkowego powiadomienia, ale każdorazowo aktualizujemy pole „Wersja" u góry dokumentu.