Polityka Prywatności

1. Administrator danych

Administratorem danych osobowych jest firma STRAWBERRY Dariusz Pajestka, NIP 5532368915, z siedzibą przy ul. Piekarskiej 6, 34-360 Milówka.

Kontakt: poprzez formularz kontaktowy.

2. Jakie dane zbieramy

W ramach działania serwisu cowbeskidach.pl zbieramy następujące dane:

• Dane rejestracyjne: adres email, nazwa użytkownika, hasło (przechowywane w formie zaszyfrowanej).
• Dane z logowania przez Facebook (opcjonalnie): jeśli wybierzesz logowanie przez Facebook, otrzymujemy od Meta Platforms Ireland Ltd. wyłącznie: Twój adres email, imię i nazwisko podane w profilu FB oraz publiczny identyfikator konta. Nie pobieramy listy znajomych, postów, polubień ani historii aktywności.
• Dane profilu: zdjęcie profilowe, opis bio, data urodzenia, numer telefonu — podawane dobrowolnie.
• Dane o aktywności: utworzone wydarzenia, uczestnictwo w wydarzeniach, wiadomości na czacie.
• Dane techniczne: rodzaj przeglądarki, system operacyjny — zbierane automatycznie w celach technicznych. Adres IP nie jest przechowywany.
• Dane geolokalizacyjne: przy dodawaniu wydarzenia użytkownik może dobrowolnie udostępnić swoją lokalizację GPS (za pomocą przycisku “Moja lokalizacja”). Dane te służą wyłącznie do wskazania miejsca wydarzenia na mapie i nie są przechowywane poza formularzem.

3. Cele przetwarzania danych

Dane osobowe przetwarzamy w celu:

• Świadczenia usług serwisu — tworzenie konta, publikacja wydarzeń, zarządzanie uczestnictwem (art. 6 ust. 1 lit. b RODO).
• Komunikacji z użytkownikami — powiadomienia email, wiadomości systemowe (art. 6 ust. 1 lit. b RODO).
• Wysyłki newslettera — wyłącznie za wyraźną zgodą użytkownika (art. 6 ust. 1 lit. a RODO).
• Automatycznej oceny atrakcyjności wydarzeń oraz generowania treści promocyjnych (posty w mediach społecznościowych, grafiki) za pomocą narzędzi sztucznej inteligencji — na podstawie prawnie uzasadnionego interesu administratora, jakim jest promowanie wydarzeń kulturalnych i turystycznych w regionie (art. 6 ust. 1 lit. f RODO). Przetwarzane są wyłącznie dane dotyczące wydarzeń (tytuł, opis, kategoria, lokalizacja, data, zdjęcia), a nie dane osób korzystających z serwisu.
• Zapewnienia bezpieczeństwa serwisu i zapobiegania nadużyciom (art. 6 ust. 1 lit. f RODO).

4. Udostępnianie danych

Dane osobowe mogą być udostępniane następującym podmiotom:

• Brevo (Sendinblue) — usługa wysyłki emaili transakcyjnych (potwierdzenia, powiadomienia).
• OVH — hosting serwera.
• Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin, Irlandia) — wyłącznie wtedy, gdy świadomie wybierzesz logowanie przez Facebook. Korzystamy z oficjalnego Facebook Login SDK (Facebook JavaScript SDK + OAuth 2.0). W ramach tej operacji:
  • Meta dostaje informację, że dany użytkownik FB zalogował się do aplikacji „Co w Beskidach" (identyfikator aplikacji FB).
  • My otrzymujemy od Meta: adres email, imię i nazwisko, publiczny identyfikator konta — wyłącznie po wyrażeniu przez Ciebie zgody w okienku Facebooka.
  • Po stronie domeny facebook.com Meta może ustawić własne pliki cookies (np. datr) zgodnie ze swoją polityką — nie mamy nad nimi kontroli ani do nich dostępu.
  • Nie korzystamy z Facebook Pixel, Conversions API ani innych narzędzi marketingowych Meta. Nie przekazujemy Meta danych o Twoim ruchu w serwisie, przeglądanych wydarzeniach ani zapisach.

  Pełne informacje: Polityka prywatności Meta. Transfer danych do USA (w przypadku globalnej infrastruktury Meta) odbywa się na podstawie Data Privacy Framework oraz standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO).

• OpenStreetMap, CARTO, Esri — mapy wyświetlane w serwisie korzystają z kafelków (tile) pobieranych z serwerów OpenStreetMap (tile.openstreetmap.org), CARTO (basemaps.cartocdn.com) oraz Esri ArcGIS (services.arcgisonline.com — warstwa cieniowania terenu). Dodatkowo serwis korzysta z usługi Nominatim (nominatim.openstreetmap.org) do rozpoznawania adresów na podstawie współrzędnych geograficznych wskazanych przez użytkownika na mapie. Serwery te mogą rejestrować adres IP użytkownika w ramach standardowych logów serwera. Nie ustawiają plików cookies. Szczegóły: Polityka prywatności OSMF.
• OpenAI, Inc. (San Francisco, USA) — serwis korzysta z interfejsu API OpenAI w dwóch celach:
  • Ocena atrakcyjności wydarzeń — tytuł, opis, kategoria, lokalizacja, data, nazwa organizatora oraz ewentualny adres URL źródła wydarzenia są przekazywane do modelu językowego w celu automatycznego oszacowania jakości i atrakcyjności wpisu.
  • Generowanie treści promocyjnych — tytuł, fragment opisu (do 400 znaków), kategoria, lokalizacja, data oraz zdjęcia dołączone do wydarzenia są przekazywane w celu wygenerowania postów na media społecznościowe i towarzyszących im grafik.

  Do OpenAI nie są przekazywane: adresy email, hasła, dane uczestników wydarzeń, adresy IP ani inne dane identyfikujące osoby korzystające z serwisu.

  Zgodnie z polityką OpenAI dotyczącą interfejsu API, dane przesyłane przez API nie są wykorzystywane do trenowania modeli i są przechowywane wyłącznie przez okres do 30 dni w celu monitorowania bezpieczeństwa, po czym są usuwane. Szczegóły: OpenAI Enterprise Privacy.

  Transfer danych do USA odbywa się na podstawie standardowych klauzul umownych (SCC) zgodnie z art. 46 ust. 2 lit. c RODO.

Nie sprzedajemy danych osobowych podmiotom trzecim.

5. Okres przechowywania danych

• Dane konta — przechowywane do momentu usunięcia konta przez użytkownika lub administratora.
• Dane o wydarzeniach — przechowywane przez okres działania serwisu w celach archiwalnych.
• Zgoda na newsletter — do momentu jej wycofania.

6. Prawa użytkownika

Na podstawie RODO przysługują Ci następujące prawa:

• Prawo dostępu — możesz żądać informacji o przetwarzanych danych.
• Prawo do sprostowania — możesz poprawić swoje dane w panelu użytkownika.
• Prawo do usunięcia — możesz żądać usunięcia konta i powiązanych danych.
• Prawo do ograniczenia przetwarzania — w określonych przypadkach.
• Prawo do przenoszenia danych — otrzymanie danych w formacie nadającym się do odczytu maszynowego.
• Prawo do sprzeciwu — wobec przetwarzania danych na podstawie prawnie uzasadnionego interesu.
• Prawo do wycofania zgody — w dowolnym momencie, bez wpływu na zgodność przetwarzania przed wycofaniem.

W celu realizacji powyższych praw skontaktuj się z nami przez formularz kontaktowy.

7. Pliki cookies

W ramach standardowego korzystania z serwisu (przeglądanie wydarzeń, mapy, treści) nie ustawiamy żadnych plików cookies podmiotów trzecich — ani analitycznych, ani marketingowych. Korzystamy wyłącznie z niezbędnych cookies funkcjonalnych pierwszej strony (na domenie cowbeskidach.pl):

• jwt, refreshToken — sesja logowania (HttpOnly, Secure).
• cwb_join_intent, cwb_join_client_token — zapamiętanie zamiaru zapisu na wydarzenie pomiędzy etapami rejestracji/logowania (krótkotrwałe, funkcjonalne).
• cookieConsent, ustawienia preferencji interfejsu (motyw, język).

Wyjątek — logowanie przez Facebook. Jeśli świadomie klikniesz przycisk „Kontynuuj z Facebook", uruchamiany jest oficjalny Facebook Login SDK. W rezultacie:

• Na naszej domenie pojawia się cookie fblo_<id_aplikacji> ustawiane przez SDK Meta — służy wyłącznie do utrzymania stanu procesu logowania (cookie funkcjonalne, nie marketingowe).
• Domena facebook.com może ustawić własne pliki cookies (np. datr — identyfikator przeglądarki używany przez Meta do bezpieczeństwa i przeciwdziałania nadużyciom). Są to cookies podmiotu trzeciego, którego administratorem jest Meta — szczegóły w Polityce plików cookies Meta.

Cookies związane z logowaniem Facebooka nie są ustawiane dopóki użytkownik świadomie nie zainicjuje logowania przez ten kanał. Sam SDK ładuje się dopiero w momencie otwarcia okna logowania.

Nie korzystamy z Facebook Pixel, Google Analytics, Google Ads, ani innych systemów śledzenia reklamowego.

8. Anonimowe statystyki

W celu poprawy jakości serwisu korzystamy z narzędzia analitycznego Umami, hostowanego na naszym własnym serwerze (stats.cowbeskidach.pl). Dane statystyczne:

• Nie zawierają danych osobowych — adres IP jest wykorzystywany wyłącznie do określenia kraju odwiedzającego i nie jest przechowywany w bazie danych.
• Nie wykorzystują plików cookies — identyfikacja sesji opiera się na skrócie (hash) identyfikatora strony, nazwy hosta, nagłówka przeglądarki oraz losowej soli rotowanej co godzinę/miesiąc.
• Nie umożliwiają identyfikacji konkretnego użytkownika — hash jest nieodwracalny, nie jest łączony z kontem użytkownika i nie pozwala na śledzenie między stronami.
• Służą wyłącznie do tworzenia zbiorczych raportów — popularność stron, podział urządzeń, źródła odwiedzin, interakcje z elementami serwisu.
• Nie są przekazywane podmiotom trzecim — narzędzie działa w pełni na infrastrukturze administratora.

Zbieranie tych danych odbywa się na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO) — poprawy działania serwisu. Brak plików cookies oznacza, że nie jest wymagana zgoda użytkownika zgodnie z dyrektywą ePrivacy.

8a. Zapis na wydarzenie bez konta (gość)

Niektóre wydarzenia umożliwiają zapis bez zakładania konta — tzw. zapis jako gość. Funkcja jest włączana przez organizatora konkretnego wydarzenia (nie wszystkie wydarzenia ją oferują).

Jakie dane zbieramy podczas zapisu jako gość:

• Imię i nazwisko (obowiązkowe) — pojawiają się w panelu organizatora oraz, w skróconej formie („Jan K."), na publicznej liście uczestników.
• Adres email (opcjonalny) — wyłącznie jeśli sam podasz. Używamy go do wysłania potwierdzenia zapisu, pliku kalendarza oraz przypomnienia.
• Zhashowany adres IP i identyfikator przeglądarki — wyłącznie do ochrony przed nadużyciami (rate-limiting i zapobieganie wielokrotnym fałszywym zapisom). IP nie jest zapisywany w postaci jawnej.

Podstawa prawna: wykonanie umowy między Tobą a organizatorem wydarzenia (art. 6 ust. 1 lit. b RODO) oraz prawnie uzasadniony interes administratora i organizatora polegający na umożliwieniu udziału w wydarzeniu osobom, które nie chcą zakładać konta (art. 6 ust. 1 lit. f RODO).

Okres przechowywania: dane zapisu gościa przechowujemy do 60 dni po dacie zakończenia wydarzenia (na potrzeby ewentualnych pytań organizatora i raportowania frekwencji), po czym są one anonimizowane lub usuwane.

Twoje prawa: w każdej chwili możesz anulować zapis i usunąć swoje dane, korzystając z linka „Anuluj zapis" w mailu potwierdzającym lub bezpośrednio z urządzenia, z którego dokonałeś/aś zapisu (przeglądarka pamięta token anulowania). Możesz też skontaktować się z administratorem lub bezpośrednio z organizatorem wydarzenia, by ręcznie usunąć Twój wpis.

Komu udostępniamy: Twoje imię, nazwisko i (jeśli podany) email są widoczne wyłącznie dla organizatora konkretnego wydarzenia, na które się zapisałeś/aś. Publicznie na stronie wydarzenia pojawiasz się jako „Jan K." (imię i pierwsza litera nazwiska) — bez adresu email.

9. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych, w tym:

• Szyfrowanie połączeń (HTTPS/TLS).
• Hashowanie haseł.
• Regularne kopie zapasowe.
• Ograniczony dostęp do danych.

10. Zmiany polityki prywatności

Zastrzegamy sobie prawo do zmiany niniejszej Polityki Prywatności. O istotnych zmianach będziemy informować za pośrednictwem Serwisu.

11. Organ nadzorczy

Jeśli uważasz, że Twoje dane osobowe są przetwarzane niezgodnie z prawem, masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).