Polityka prywatności

Wprowadzenie

Administrator ("my") prowadzi serwisy Zostali.pl (cyfrowe strony pamięci) oraz Trwamy.pl (cyfrowy skarbiec pamięci dla żyjących) na wspólnej infrastrukturze i jest administratorem Twoich danych osobowych w rozumieniu RODO (Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679). Niniejsza Polityka opisuje, jakie dane gromadzimy, w jakim celu, na jakiej podstawie prawnej, komu je przekazujemy, jak długo je przechowujemy oraz jakie prawa Ci przysługują — niezależnie od tego, z którego z serwisów korzystasz.

Administrator danych

Administratorem danych osobowych użytkowników serwisów Zostali.pl i Trwamy.pl jest Tomasz Smereczyński, Bajkowa 1c, 45-940 Opole, prowadzący te serwisy w ramach działalności nierejestrowanej. Kontakt w sprawach prywatności: kontakt@zostali.pl, tel. 500 098 920.

Jakie dane gromadzimy

Dane osobowe

Gromadzimy dane, które przekazujesz nam bezpośrednio: imię i nazwisko, adres e-mail, numer telefonu i adres dostawy tabliczki (przy paczkomacie — także kod wybranego paczkomatu), dane nabywcy na rachunku (imię i nazwisko albo nazwa i adres — gdy sam wystawisz rachunek w historii zakupów) oraz treści przesyłane na stronę pamięci (zdjęcia, filmy, biografia, wpisy, kondolencje). Treści strony pamięci mogą zawierać dane innych osób — członków rodziny, autorów wspomnień, osób widocznych na zdjęciach. Przy zakupie zapisujemy dowód akceptacji regulaminu i pouczenia o odstąpieniu (data, wersja regulaminu, identyfikator płatności), a gdy odstępujesz od umowy przez formularz — treść oświadczenia z datą i godziną. Gdy zgłaszasz treść, zapisujemy Twoje imię i nazwisko, adres e-mail, adres zgłaszanej strony, opis i wyjaśnienie. Zapalając znicz na stronie pamięci, możesz zostawić podpis i krótkie słowo — oba są opcjonalne i widoczne dla odwiedzających tę stronę. Gdy zapalasz znicz bez konta, przeglądarka przechowuje losowy identyfikator, a my — zaszyfrowany kluczem skrót Twojego adresu IP (nie sam adres i nie da się go z niego odtworzyć); oba służą wyłącznie ograniczaniu nadużyć (jeden znicz na dobę). Dane karty płatniczej trafiają wyłącznie do Stripe — nie widzimy ich i nie przechowujemy. Telefon jest obowiązkowy przy zamówieniu tabliczki — przewoźnik kontaktuje się pod nim w sprawie doręczenia, a InPost wysyła na niego kod odbioru. Przy zamówieniu tabliczki zapisujemy też dowód potwierdzenia danych do wysyłki: datę i godzinę, wersję treści potwierdzenia, sposób dostawy, adres IP i typ przeglądarki.

Dane techniczne

Przy każdym żądaniu nasze serwery i dostawca sieci (Cloudflare) widzą adres IP, typ przeglądarki oraz datę i godzinę dostępu. Logi serwera mogą zawierać adres IP; przechowujemy je do 30 dni, po czym są automatycznie usuwane. Adresów e-mail, kodów aktywacyjnych i linków z tokenami nie zapisujemy w logach w pełnej postaci. Te dane służą wyłącznie bezpieczeństwu, wykrywaniu nadużyć i diagnostyce.

Analityka i monitoring

Statystyki ruchu zbieramy przez Plausible Analytics — narzędzie, które NIE używa plików cookie ani nie identyfikuje odwiedzających. Analitykę produktową PostHog (serwery w UE) uruchamiamy WYŁĄCZNIE po Twojej zgodzie w bannerze cookie: przed zgodą biblioteka w ogóle się nie wczytuje, a po wycofaniu zgody przestaje zbierać dane i usuwa swój identyfikator z Twojego urządzenia. Do PostHog trafia wyłącznie identyfikator konta, nigdy adres e-mail. Do wykrywania błędów i awarii używamy Sentry (dane w UE, we Frankfurcie) na podstawie uzasadnionego interesu; zgłoszenie błędu zawiera identyfikator konta, adres strony bez tokenów i dane techniczne przeglądarki. NIE stosujemy Google Analytics, Facebook Pixel ani trackerów reklamowych.

Cele i podstawy prawne przetwarzania

• Wykonanie umowy (art. 6 ust. 1 lit. b RODO) — utworzenie konta, świadczenie usługi strony pamięci, realizacja zamówień tabliczek QR, obsługa płatności, zapalenie znicza na Twoją prośbę, pomoc AI w pisaniu biografii, gdy z niej skorzystasz.
• Obowiązki prawne (art. 6 ust. 1 lit. c RODO) — wystawianie rachunków i faktur na żądanie, prowadzenie ewidencji sprzedaży i przechowywanie dokumentów podatkowych (ustawa o VAT, Ordynacja podatkowa), obsługa odstąpienia od umowy i reklamacji (ustawa o prawach konsumenta), obsługa zgłoszeń nielegalnych treści (akt o usługach cyfrowych — rozporządzenie UE 2022/2065), odpowiedzi na żądania organów państwa.
• Uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) — moderacja treści publikowanych na stronach pamięci, zapobieganie nadużyciom, bezpieczeństwo serwisu, monitoring błędów (Sentry), statystyka ruchu bez identyfikacji (Plausible), dziennik działań administracyjnych, przechowywanie dowodów akceptacji regulaminu, pouczenia i oświadczeń na wypadek sporu.
• Zgoda (art. 6 ust. 1 lit. a RODO) — analityka produktowa PostHog (cookies, opt-in w bannerze) oraz ewentualna wysyłka komunikatów marketingowych (jeśli zostanie kiedyś uruchomiona). Zgodę możesz wycofać w każdej chwili.

Sztuczna inteligencja

Korzystamy z modelu Claude firmy Anthropic w dwóch celach. Po pierwsze, moderacja: zanim kondolencja, wspomnienie, słowo przy zniczu, biografia albo krótka wiadomość profilu zostaną opublikowane, ich tekst trafia do modelu, który ocenia, czy nie narusza regulaminu. Najpierw działają nasze proste reguły; do Anthropic wysyłamy sam tekst — bez Twojego adresu e-mail, identyfikatora konta i adresu strony — ale tekst może zawierać imiona i inne dane, które w nim wpisano. Treść odrzucona przez moderację nie zostaje opublikowana; jeśli uważasz, że to pomyłka, napisz do nas — sprawdzi ją człowiek. Po drugie, na Twoją prośbę model pomaga napisać biografię albo notę pamięci: wysyłamy wtedy to, co wpiszesz w kreatorze (imię i nazwisko osoby zmarłej, daty, oś czasu, odpowiedzi na pytania). Anthropic przetwarza te dane jako nasz podmiot przetwarzający i według swoich warunków nie wykorzystuje ich do trenowania modeli.

Komu udostępniamy dane

Nie sprzedajemy Twoich danych. Przekazujemy je wyłącznie podmiotom, które pomagają nam świadczyć usługę — większość jako podmioty przetwarzające, działające na nasze polecenie:

• Google Cloud / Firebase (Google Ireland Ltd., Google LLC) — hosting, baza danych, pliki, uwierzytelnianie i logi serwera; dane serwisu produkcyjnego w UE (region europe-central2, Warszawa). Logowanie przez konto Google obsługuje Google jako odrębny administrator.
• Cloudflare, Inc. (USA) — DNS i sieć dostarczania treści dla naszych domen; widzi adres IP i żądania kierowane do serwisu.
• Stripe Payments Europe Ltd. (Irlandia) — płatności kartą, BLIK, Google Pay i Apple Pay. W zakresie zapobiegania oszustwom i obowiązków prawnych Stripe działa jako odrębny administrator, według własnej polityki prywatności.
• Przewoźnicy — Poczta Polska S.A. (Pocztex), InPost sp. z o.o. (paczkomaty i kurier), a przy wysyłce do innego kraju Unii także przewoźnik, który doręcza przesyłkę w tym kraju. Przesyłki nadajemy sami, bez pośredników; przewoźnik dostaje imię i nazwisko, adres, telefon, adres e-mail i kod paczkomatu — wyłącznie po to, żeby doręczyć tabliczkę. Sprawdzając kod paczkomatu, wysyłamy do publicznej bazy punktów InPost wyłącznie ten kod, z naszego serwera, więc InPost nie widzi przy tym Twojego adresu IP. Mapa paczkomatów otwiera się na stronie InPost dopiero po kliknięciu linku i działa według zasad InPost.
• Resend (Plus Five Five, Inc., USA) — wysyłka e-maili transakcyjnych (potwierdzenia, zaproszenia, kondolencje); wysyłka z serwerów w UE (Irlandia).
• Anthropic PBC (USA) — model AI do moderacji treści i pomocy w pisaniu biografii (szczegóły w sekcji „Sztuczna inteligencja”).
• Functional Software, Inc. (Sentry, USA) — monitoring błędów; dane przechowywane w UE (Frankfurt).
• PostHog (dane w UE) — analityka produktowa, wyłącznie za Twoją zgodą.
• Plausible Insights OÜ (Estonia) — statystyka ruchu bez cookies i bez identyfikacji odwiedzających.
• Mapy przy miejscu pochówku — po kliknięciu „Pokaż na mapie” albo przy zaznaczaniu grobu w edytorze Twoja przeglądarka pobiera fragmenty mapy z Geoportalu (Główny Urząd Geodezji i Kartografii, Polska) i z OpenStreetMap, a wyszukiwanie adresu w edytorze korzysta z usługi Nominatim (OpenStreetMap Foundation, Wielka Brytania). Te serwisy widzą adres IP i obszar mapy.
• Organy państwa — wyłącznie na podstawie wiążącego żądania prawnego.

Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne: szyfrowanie TLS dla całej komunikacji, szyfrowanie danych w spoczynku, reguły dostępu do bazy (Firebase Security Rules), regularne kopie zapasowe, kontrolę dostępu opartą na rolach i dziennik działań administracyjnych. Żadna metoda transmisji ani przechowywania nie jest jednak w 100% bezpieczna.

Twoje prawa (RODO)

• Prawo dostępu do danych (art. 15) — możesz w każdej chwili poprosić o kopię wszystkich Twoich danych.
• Prawo do sprostowania (art. 16) — możesz poprawić nieaktualne dane w panelu lub przez kontakt.
• Prawo do usunięcia / „bycia zapomnianym" (art. 17) — usuwamy konto i powiązane dane na żądanie, z wyjątkiem danych, które musimy przechowywać z mocy prawa albo do obrony przed roszczeniami (opisanych niżej w okresach przechowywania).
• Prawo do ograniczenia przetwarzania (art. 18).
• Prawo do przenoszenia danych (art. 20) — eksport JSON Twoich treści.
• Prawo sprzeciwu (art. 21) — wobec przetwarzania opartego na uzasadnionym interesie, także jeśli jesteś osobą wspomnianą lub widoczną na cudzej stronie pamięci.
• Prawo cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania dokonanego wcześniej.
• Prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Okresy przechowywania

Każdą kategorię danych przechowujemy tak długo, jak wymaga tego jej cel:

• Konto i dane profilu — przez czas trwania konta. Po prośbie o usunięcie konto czeka 30 dni (możesz się rozmyślić), po czym usuwamy je razem z treściami. W zamówieniach zostają wyłącznie kwota, data i status — imię, nazwisko, e-mail, telefon i adres dostawy usuwamy.
• Treści strony pamięci — przez okres 30-letniej gwarancji utrzymania, chyba że właściciel usunie stronę lub konto wcześniej.
• Rachunki, ewidencja sprzedaży i dokumenty zakupu — do upływu okresu przedawnienia zobowiązania podatkowego, czyli 5 lat od końca roku, w którym minął termin zapłaty podatku (art. 70 i art. 86 Ordynacji podatkowej, art. 112 ustawy o VAT). Te dane zostają także po usunięciu konta.
• Dowody akceptacji regulaminu i pouczenia o odstąpieniu — przez czas trwania umowy, a po jej zakończeniu (odstąpienie, usunięcie konta) do przedawnienia roszczeń: 6 lat, z końcem roku kalendarzowego. Oświadczenia o odstąpieniu od umowy — tak samo, 6 lat od końca roku złożenia.
• Zgłoszenia treści (dane zgłaszającego, treść zgłoszenia, decyzja) — 6 lat od końca roku złożenia, jako dowód na wypadek sporu o usuniętą lub pozostawioną treść.
• Dziennik działań administracyjnych — 2 lata. Zdarzenia techniczne zamówień i kont (służą powiadomieniom i obsłudze) — 180 dni.
• Logi serwera — do 30 dni. Zgłoszenia błędów w Sentry — zgodnie z planem dostawcy, nie dłużej niż 90 dni.
• Werdykty moderacji — 30 dni, i tylko jako skrót tekstu, bez jego treści.
• Dane analityki produktowej (PostHog) — wyłącznie gdy wyrazisz zgodę; po jej wycofaniu przestajemy je zbierać i możesz poprosić o usunięcie zebranych.
• Znicze (podpis, słowo, identyfikator konta zapalającego) — przez czas utrzymania strony; rodzina prowadząca stronę może ukryć znicz w każdej chwili, a Ty możesz poprosić o jego usunięcie. Znicze usuwamy razem ze stroną i kontem jej właściciela.
• Wpisy ograniczające nadużycia (zaszyfrowany skrót adresu IP, identyfikator przeglądarki) — usuwamy automatycznie po upływie okna limitu, zwykle w ciągu dwóch dni.
• Dane z kroku „Dostawa” zakupu, który nie został opłacony — 7 dni, potem usuwamy je automatycznie.

Transfer danych poza EOG

Część naszych dostawców to firmy z USA: Google, Cloudflare, Resend, Anthropic i Sentry. Nawet gdy dane są przechowywane w UE, firma z USA może mieć do nich dostęp. Transfery opieramy na decyzji Komisji Europejskiej o odpowiednim stopniu ochrony dla Ramy ochrony danych UE–USA (EU–US Data Privacy Framework, art. 45 RODO) w odniesieniu do firm, które do niej przystąpiły, a uzupełniająco i dla pozostałych — na standardowych klauzulach umownych Komisji Europejskiej (art. 46 ust. 2 lit. c RODO). Usługa Nominatim działa w Wielkiej Brytanii, wobec której obowiązuje decyzja Komisji o odpowiednim stopniu ochrony. Kopię zabezpieczeń możesz otrzymać na prośbę wysłaną na adres kontaktowy.

Wersja demonstracyjna

Wersja demonstracyjna serwisu (adresy kończące się na -dev.web.app, oznaczone paskiem „Wersja demonstracyjna”) działa w osobnym projekcie Google Cloud, z danymi w tym samym regionie co serwis produkcyjny (europe-central2, Warszawa), a płatności są w niej testowe. Konto założone w wersji demonstracyjnej i wpisane w niej dane przechowujemy wyłącznie na potrzeby testów i usuwamy po zakończeniu testów, nie później niż po 6 miesiącach. Nie wpisuj tam prawdziwych danych osób, których nie chcesz pokazywać testowo.