Polityka Prywatności Stancja

Kto odpowiada za Twoje dane (administrator i podmiot przetwarzający)

W Stancja występują dwie różne role w zakresie danych osobowych. Rozróżnienie jest istotne, bo od niego zależy, do kogo kierujesz swoje żądania.

1.1. Administrator danych — usługodawca. Administratorem danych związanych z kontem, działaniem platformy oraz danych technicznych wszystkich użytkowników jest:

• MICHAŁ KUKIEŁKA MIDDLY
• NIP: 5833449726, REGON: 521901211
• Adres: ul. prof. Romualda Cebertowicza 8D/38, 80-809 Gdańsk
• E-mail kontaktowy w sprawach danych: hello@stancja.app

(dalej: Usługodawca lub my).

Jako administrator odpowiadamy m.in. za: dane konta Wynajmującego, dane techniczne i diagnostyczne wszystkich użytkowników (w tym Najemcy), obsługę wiadomości e-mail (np. zaproszeń do podpisu) oraz bezpieczeństwo i działanie platformy.

1.2. Podmiot przetwarzający — w zakresie treści protokołu. W odniesieniu do treści protokołu zdawczo-odbiorczego (zdjęcia, opisy, oceny stanu, dane osobowe stron wprowadzone do protokołu) administratorem danych jest Wynajmujący, czyli użytkownik zakładający konto i tworzący protokół. Usługodawca działa wówczas jako podmiot przetwarzający, wykonujący operacje na zlecenie Wynajmującego, na podstawie umowy powierzenia przetwarzania danych zawartej w Regulaminie (§15).

Po zakończeniu świadczenia usług na rzecz Wynajmującego (np. po usunięciu konta), w zakresie zatrzymanych podpisanych protokołów (§4.3) Usługodawca przetwarza zawarte w nich dane jako odrębny administrator — wyłącznie w celu wskazanym w §4.3 (konstrukcję zmiany roli opisuje Regulamin §15 ust. 10).

1.3. Co to oznacza w praktyce.

• Jeżeli jesteś Najemcą i chcesz skorzystać z praw dotyczących treści konkretnego protokołu (np. dostępu, sprostowania), skieruj żądanie do Wynajmującego, który jest jego administratorem. Usługodawca udzieli Wynajmującemu niezbędnej pomocy technicznej.
• W sprawach dotyczących danych technicznych, konta lub działania Aplikacji administratorem jest Usługodawca i to do niego kierujesz żądanie.

1.4. Inspektor Ochrony Danych. Usługodawca nie ma obowiązku wyznaczenia Inspektora Ochrony Danych i go nie wyznaczył. We wszystkich sprawach dotyczących danych możesz kontaktować się na adres wskazany w §1.1.

Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie

2.1. Dane Wynajmującego (posiadacza konta)

Logowanie zewnętrzne (Zaloguj się przez Google / Zaloguj się przez Apple). Konto możesz założyć i logować się do niego adresem e-mail z hasłem albo za pośrednictwem usługi logowania Google lub Apple. Przy logowaniu zewnętrznym otrzymujemy od dostawcy wyłącznie dane niezbędne do uwierzytelnienia i założenia Konta: adres e-mail, unikalny identyfikator użytkownika u dostawcy oraz — jeżeli je udostępnisz — imię i nazwisko. W przypadku usługi Apple możesz skorzystać z opcji „Ukryj mój e-mail" — zamiast adresu rzeczywistego otrzymujemy wówczas prywatny adres przekazujący (relay), który służy jako Twój adres kontaktowy i adres Konta. Podstawą przetwarzania tych danych jest art. 6 ust. 1 lit. b) RODO (wykonanie umowy o prowadzenie Konta).

2.2. Dane wprowadzane do protokołu (dotyczą obu stron — Wynajmującego i Najemcy)

W tym zakresie administratorem jest Wynajmujący (§1.2); poniżej opis dla przejrzystości.

Uwaga dotycząca zdjęć i danych osób trzecich. Zdjęcia i treści wprowadza użytkownik. To użytkownik odpowiada za to, aby nie zawierały one danych osobowych osób trzecich przetwarzanych bezprawnie oraz aby miał podstawę do ich wprowadzenia.

Uwaga dotycząca geolokalizacji zdjęć. Aplikacja nigdy nie prosi o dostęp do lokalizacji urządzenia i nie ustala Twojego położenia. Jeżeli jednak dodawane zdjęcie zawiera w metadanych EXIF współrzędne GPS zapisane wcześniej przez aparat, odczytujemy je i przechowujemy razem ze zdjęciem. Zdjęcie bez tych metadanych działa dokładnie tak samo — podanie tych danych nie jest wymagane do korzystania z Aplikacji. Możesz temu zapobiec, wyłączając zapisywanie lokalizacji w ustawieniach aparatu.

2.3. Dane techniczne i diagnostyczne (dotyczą wszystkich użytkowników)

Odbiorcy danych i podmioty przetwarzające (podprocesorzy)

Korzystamy z zaufanych dostawców, którzy przetwarzają dane w naszym imieniu na podstawie umów powierzenia (DPA). Aktualnie są to:

• Cloudflare, Inc. — przechowywanie zdjęć i plików (Cloudflare R2).
• Resend (resend.com) — wysyłka wiadomości e-mail (zaproszenia, powiadomienia transakcyjne).
• Railway Corp. — hosting aplikacji serwerowej i bazy danych.
• Functional Software, Inc. (Sentry) — monitorowanie błędów i awarii.

Dostawcy logowania zewnętrznego. Jeżeli korzystasz z logowania przez Google lub Apple, dostawcy ci — Google Ireland Limited (oraz Google LLC) i Apple Inc. (oraz Apple Distribution International Ltd.) — działają jako niezależni administratorzy w zakresie procesu uwierzytelniania po swojej stronie; my otrzymujemy od nich wyłącznie dane opisane w §2.1. Zasady przetwarzania danych po stronie tych dostawców określają ich własne polityki prywatności.

Planowane funkcje AI (jeszcze nieaktywne). W przyszłości zamierzamy udostępnić funkcje oparte na sztucznej inteligencji (np. odczyt liczników, rozpoznawanie elementów pomieszczeń) z wykorzystaniem Amazon Web Services (AWS Bedrock) w regionie EU. Do czasu ich uruchomienia dane nie są przekazywane do tego dostawcy. Niniejsza Polityka zostanie zaktualizowana przed uruchomieniem takich funkcji.

Dane mogą być także udostępnione uprawnionym organom, jeżeli wymagają tego przepisy prawa.

3.1. Transfery poza Europejski Obszar Gospodarczy (EOG)

Niektórzy dostawcy mogą przetwarzać dane poza EOG (m.in. w USA). W takich przypadkach transfer odbywa się na podstawie mechanizmów przewidzianych w RODO — w szczególności decyzji o odpowiednim stopniu ochrony (np. EU-U.S. Data Privacy Framework, jeśli dostawca jest certyfikowany) lub standardowych klauzul umownych (SCC), zgodnie z umową powierzenia danego dostawcy.

Jak długo przechowujemy dane (retencja) i co dzieje się po usunięciu konta

Zasady retencji odzwierciedlają charakter Usługi: protokół podpisany przez obie strony może stanowić materiał istotny dla dochodzenia lub obrony roszczeń którejkolwiek ze stron najmu.

4.1. Dane konta i Usługi — przez czas posiadania konta.

4.2. Wersje robocze oraz protokoły niepodpisane lub podpisane tylko przez jedną stronę — usuwane w momencie usunięcia konta (usunięcie trwałe). Możesz je również usunąć samodzielnie w każdej chwili.

4.3. Protokoły podpisane przez obie strony — po usunięciu konta przechowywane są jako niezmienny plik PDF przez okres 6 lat od dnia podpisania, po czym są trwale usuwane. Rekordy w bazie danych są w tym czasie ograniczane do niezbędnego minimum (pozostaje techniczny „ślad" konta). Podstawą dalszego przechowywania jest art. 17 ust. 3 lit. e) RODO (dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń) w związku z art. 6 ust. 1 lit. f) RODO.

Zatrzymany dokument może zostać udostępniony stronie Protokołu na jej wniosek złożony e-mailem na adres z §1.1. Weryfikacja wnioskującego polega na potwierdzeniu dostępu do adresu e-mail przypisanego danej stronie w Protokole — na ten adres przesyłany jest jednorazowy odnośnik lub kod potwierdzający, a dokument udostępniany jest wyłącznie po potwierdzeniu.

4.4. Dane diagnostyczne (raporty błędów/awarii) — 90 dni.

4.5. Ograniczenie w zakresie protokołów podpisanych. Ze względów technicznych i dowodowych nie modyfikujemy ani nie usuwamy pojedynczych danych osobowych z treści już podpisanego protokołu — dane podpisujących są trwale zawarte w dokumencie objętym skrótem kryptograficznym, a ich zmiana naruszyłaby integralność (i sens dowodowy) dokumentu. Dotyczy to symetrycznie obu stron.

Twoje prawa

Przysługują Ci prawa wynikające z RODO. Kieruj je do właściwego administratora (patrz §1.3):

• prawo dostępu do danych (art. 15),
• prawo do sprostowania (art. 16),
• prawo do usunięcia — „prawo do bycia zapomnianym" (art. 17), z zastrzeżeniem wyjątków, w tym §4.3 i §4.5,
• prawo do ograniczenia przetwarzania (art. 18),
• prawo do przenoszenia danych (art. 20),
• prawo sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f) (art. 21).

Skarga do organu nadzorczego. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Usunięcie konta i danych

Konto i powiązane dane możesz usunąć samodzielnie:

• w Aplikacji: Ustawienia → Usuń konto,
• przez stronę: stancja.app/usun-konto,
• lub e-mailem na adres z §1.1.

Jeżeli korzystałeś z logowania przez Apple, przy usunięciu Konta występujemy do Apple o unieważnienie powiązanego tokenu.

Skutki usunięcia opisano w §4 (m.in. trwałe usunięcie wersji roboczych oraz retencja podpisanych protokołów przez okres 6 lat).

Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, m.in.: szyfrowanie transmisji, przechowywanie haseł wyłącznie w postaci zahaszowanej, kontrolę dostępu oraz mechanizmy integralności dokumentacji (skróty SHA-256). Żaden system nie gwarantuje jednak pełnego bezpieczeństwa — zalecamy ostrożność przy udostępnianiu danych dostępowych.

Dane przechowywane lokalnie na urządzeniu

Aplikacja przechowuje część danych lokalnie na urządzeniu (m.in. dane sesji i podręczne dane techniczne, np. w pamięci lokalnej urządzenia) w celu poprawnego działania. Usunięcie Aplikacji usuwa te dane z urządzenia.

Pliki cookies (strona internetowa)

Strona internetowa nie wykorzystuje plików cookies innych niż niezbędne do jej podstawowego działania. Nie stosujemy plików analitycznych, marketingowych ani śledzących, w związku z czym nie wyświetlamy bannera zgody na pliki cookies.

Dzieci

Usługa jest przeznaczona dla osób pełnoletnich (18+), posiadających pełną zdolność do czynności prawnych. Nie kierujemy Usługi do dzieci i świadomie nie zbieramy ich danych.

Zmiany Polityki

Możemy aktualizować niniejszą Politykę. O istotnych zmianach poinformujemy w Aplikacji lub e-mailem. Aktualna wersja jest zawsze dostępna pod stałym adresem, pod którym publikowany jest ten dokument.

Kontakt

We wszystkich sprawach dotyczących danych osobowych: hello@stancja.app lub korespondencyjnie na adres z §1.1.