Polityka Prywatności

1. Administrator danych

1. Administratorem Twoich danych osobowych jest Next Orbit OÜ, działająca pod marką LocaYo ("LocaYo", "my", "nas" lub "nasz"), spółka z ograniczoną odpowiedzialnością (osaühing) zarejestrowana w Republice Estońskiej, numer rejestrowy 17501338, adres siedziby: Sepapaja 6, 15551 Tallinn, Estonia.
2. W sprawach dotyczących ochrony danych osobowych prosimy o kontakt z naszą osobą odpowiedzialną za ochronę danych pod adresem [email protected] lub przez formularz kontaktowy w Centrum Pomocy.
3. Przetwarzamy dane osobowe zgodnie z:
   • UE/Estonia: Ogólne Rozporządzenie o Ochronie Danych (RODO) 2016/679, bezpośrednio obowiązujące w Estonii
   • UE/EOG: Ogólne Rozporządzenie o Ochronie Danych (RODO) 2016/679
   • Polska: RODO oraz powiązane polskie przepisy o ochronie danych osobowych, w tym ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

2. Informacje, które zbieramy

2.1 Informacje podawane przez Ciebie

• Dane konta: imię i nazwisko, adres e-mail, numer telefonu, hasło, zdjęcie profilowe
• Informacje profilowe: opis, lokalizacja, dane firmowe (dla kont firmowych)
• Informacje o ogłoszeniach: opisy, zdjęcia, ceny, dostępność
• Lokalizacja ogłoszenia: zapisujemy podany adres, a publicznie pokazujemy tylko przybliżoną lokalizację — ok. 500 m od prawdziwej. Dokładny adres najmu widzi najemca po potwierdzeniu rezerwacji.
• Ogłoszenia lokalne (sprzedam, zamienię, oddam): treść i zdjęcia ogłoszenia, cena, lokalizacja, oświadczenie, czy ogłaszasz jako osoba prywatna czy przedsiębiorca, zgoda na pokazanie numeru telefonu lub adresu e-mail oraz liczniki ogłoszenia (wyświetlenia, odsłonięcia numeru, rozpoczęte rozmowy). Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO); moderacja i ochrona przed nadużyciami — nasz prawnie uzasadniony interes (lit. f). Ogłoszenie usunięte znika z części publicznej od razu, jego zdjęcia kasujemy z CDN w ciągu 24h, a sam zapis przechowujemy do 12 miesięcy na potrzeby zgłoszeń i sporów, po czym usuwamy go trwale
• Komunikacja: wiadomości z innymi Użytkownikami, zgłoszenia do wsparcia
• Rozmowy z Bobrem Lokalsem (asystent AI): pytania wpisane w okno rozmowy. Gdy Bober sam nie zna odpowiedzi, ostatnie wiadomości z tej rozmowy trafiają do Anthropic, który przygotowuje odpowiedź — bez Twojego imienia, adresu e-mail i numeru telefonu. U nas zapisujemy treść pytania (do 300 znaków) i odpowiedź Bobra, bez adresu IP, żeby uczyć Bobra nowych tematów i wyłapywać nadużycia, i usuwamy je po 180 dniach. Wybrane pytania i odpowiedzi o ogólnym charakterze — bez danych, które pozwalają Cię zidentyfikować — możemy zachować na stałe jako wzorce odpowiedzi Bobra. Podstawa: nasz prawnie uzasadniony interes w obsłudze i ulepszaniu Platformy (art. 6 ust. 1 lit. f RODO). Nie wpisuj w rozmowie danych, których nie chcesz przekazać. Bobra wyłączysz w ustawieniach (sekcja Wygląd)
• Recenzje: oceny i treści recenzji
• Dane weryfikacyjne: dokumenty tożsamości (jeśli zdecydujesz się na weryfikację)
• Informacje płatnicze: dane płatnicze dotyczące funkcji premium (Boosty) przetwarzane przez naszego dostawcę płatności Stripe — nie przechowujemy pełnych danych kart płatniczych

2.2 Informacje dotyczące zgodności podatkowej (tylko Dostawcy)

Jesteśmy prawnie zobowiązani do zbierania poniższych informacji od Dostawców na podstawie dyrektywy Rady UE 2021/514 (DAC7) wdrożonej do prawa estońskiego.

• Dane identyfikacji podatkowej: Numer Identyfikacji Podatkowej (NIP), w tym PESEL/NIP (Polska), Steuer-IdNr (Niemcy), Isikukood (Estonia) lub odpowiednik w kraju rezydencji podatkowej
• Data urodzenia (dla Dostawców będących osobami fizycznymi)
• Rezydencja podatkowa: kraj lub kraje rezydencji podatkowej
• Pełny adres: główny adres zamieszkania lub prowadzenia działalności
• Rodzaj podmiotu: czy jesteś osobą fizyczną czy podmiotem gospodarczym
• Numer rejestrowy firmy (dla kont firmowych, jeśli dotyczy)
• Numer identyfikacyjny VAT (jeśli dotyczy)
• Dane rachunku bankowego — wyłącznie dla Partnerów Programu Partnerskiego, w celu wypłaty prowizji za polecenia; nie zbieramy ich w związku z wynajmem, ponieważ nie pośredniczymy w płatnościach między Użytkownikami

2.3 Informacje zbierane automatycznie

• Informacje o urządzeniu: adres IP, typ przeglądarki, system operacyjny, identyfikatory urządzenia
• Informacje o użytkowaniu: przeglądane strony, używane funkcje, zapytania wyszukiwania, kliknięcia
• Dane lokalizacyjne: ogólna lokalizacja na podstawie IP, precyzyjna lokalizacja, jeśli ją włączysz
• Pliki cookie i podobne technologie: patrz nasza Polityka Cookies
• Wiadomości przez zakładkę „Pomoc”: gdy piszesz do nas z panelu, dołączamy stronę, z której piszesz, oraz rodzaj urządzenia i przeglądarki, a także zrzuty ekranu, jeśli je dodasz — wyłącznie po to, żeby sprawdzić zgłoszony problem. Te dane kasujemy po załatwieniu sprawy (zrzuty najpóźniej po 30 dniach), a samą rozmowę — razem z kontem.

2.4a Zdjęcia, awatary i dokumenty — co jest publiczne, a co prywatne

Ważne: rozróżniamy materiały publiczne (widoczne dla każdego użytkownika i przez Internet) i prywatne (dostęp tylko dla administracji LocaYo).

🌍 Materiały publiczne — widoczne dla każdego:

• Nazwa widoczna publicznie: przy Twoich ogłoszeniach, zapytaniach i opiniach pokazujemy wybraną przez Ciebie nazwę użytkownika, a gdy jej nie ustawisz — Twoje imię. Nie pokazujemy nazwiska ani adresu e-mail — wyjątkiem jest adres e-mail, który sam zdecydujesz się udostępnić w swoim Ogłoszeniu lokalnym (odsłaniany zalogowanym Użytkownikom po kliknięciu „Pokaż e-mail"). Konto, które nie podało imienia (np. założone kodem e-mail lub SMS), widnieje jako „Użytkownik".
• Twój avatar (zdjęcie profilowe): widoczny na Twoim publicznym profilu, przy Twoich ogłoszeniach i recenzjach. Wgrywając avatar wyrażasz zgodę na jego publiczną dostępność. Możesz go usunąć w ustawieniach w każdej chwili.
• Zdjęcia ogłoszeń: widoczne dla każdego użytkownika i robotów wyszukiwarek (Google, Bing). Po usunięciu ogłoszenia zdjęcia są kasowane z naszego CDN w ciągu 24h.
• Logo i banner firmy (konta biznesowe): widoczne na publicznym profilu firmy.
• Wizytówka fachowca (katalog fachowców): nazwa, opis, specjalizacje, obszar działania, godziny pracy i zdjęcia realizacji są publiczne. Numer telefonu nie jest umieszczany w treści strony — odsłaniany jest dopiero po kliknięciu „Pokaż numer" przez zalogowanego Użytkownika, a liczba odsłonięć podlega limitom antyspamowym.

🔒 Materiały prywatne — dostęp tylko administracja LocaYo, podpisane linki z czasem wygaśnięcia:

• Dokumenty weryfikacji adresu: rachunki za media, umowy najmu — przechowywane na CDN z dostępem autoryzowanym (signed URLs z TTL 5 minut). Usuwane natychmiast po decyzji administratora (zatwierdzenie / odrzucenie).
• Dokumenty weryfikacji tożsamości: skan dowodu, paszportu, selfie z dokumentem — j.w., signed URLs + delete po decyzji.
• Dokumenty firmowe: NIP, KRS, REGON, OC, licencje zawodowe — j.w. Przechowywane podczas weryfikacji + okres niezbędny do realizacji obowiązków prawnych (np. DAC7).
• Skany umów partnerskich: dla Partnerów Programu Polecającego — przechowywane przez okres trwania umowy + 5 lat po jej zakończeniu (obowiązki podatkowo-księgowe).

Wszystkie materiały prywatne są zaszyfrowane podczas transferu (HTTPS/TLS) i przechowywane na infrastrukturze Cloudinary w trybie "authenticated delivery". Surowy adres URL pliku nie wystarcza do dostępu — wymagana jest autoryzacja LocaYo + podpis kryptograficzny z czasem wygaśnięcia.

2.4 Informacje od stron trzecich

• Dostawcy logowania społecznościowego (Google, Facebook): jeśli zakładasz konto lub logujesz się przez Google albo Facebooka, otrzymujemy od tego dostawcy imię, nazwisko, adres e-mail, zdjęcie profilowe oraz identyfikator Twojego konta u niego. Podstawa prawna: art. 6 ust. 1 lit. b RODO (założenie i prowadzenie konta na Twoje żądanie). Publicznie na Platformie pokazujemy z tego wyłącznie imię — albo wybraną przez Ciebie nazwę użytkownika — oraz zdjęcie profilowe; nazwiska ani adresu e-mail nie ujawniamy innym użytkownikom. Widoczną nazwę zmienisz, a zdjęcie usuniesz w ustawieniach konta w każdej chwili.
• Procesor płatności: Stripe może przekazywać nam potwierdzenia transakcji i ograniczone informacje o koncie dotyczące zakupów funkcji premium
• Inni Użytkownicy: recenzje i zgłoszenia dotyczące Ciebie
• Publicznie dostępne źródła (szkice wizytówek firm): możemy przygotować szkic wizytówki firmy na podstawie publicznie dostępnych danych (np. rejestry działalności gospodarczej, strona internetowa firmy). Szkic nie jest publiczny — widzi go wyłącznie właściciel firmy pod dedykowanym linkiem i to on decyduje o jego przejęciu; może też zażądać usunięcia szkicu (kontakt: [email protected])
• Biura nieruchomości i źródła publiczne (treści importowane): od biura nieruchomości, które zleciło automatyczny import ofert ze swojego programu, otrzymujemy treść oferty wraz z imieniem i nazwiskiem agenta prowadzącego; publikujemy je w ofercie na koncie biura, w zakresie przesłanym przez biuro (podstawa prawna: art. 6 ust. 1 lit. f RODO — prezentacja oferty na zlecenie biura; agent może zażądać usunięcia swoich danych przez biuro albo bezpośrednio u nas). Z publicznych ogłoszeń o zamówieniach (Biuletyn Zamówień Publicznych, Baza Konkurencyjności) zapisujemy wyłącznie nazwę zamawiającego i treść ogłoszenia — bez imion, adresów e-mail i telefonów osób kontaktowych. Z rejestru cen deweloperów (dane.gov.pl) zapisujemy dane dewelopera i opublikowane przez niego dane kontaktowe inwestycji.

2.5 Dane transakcyjne

• Dane rezerwacji: szczegóły potwierdzonych rezerwacji, w tym daty, czas trwania, podana cena, status rezerwacji i liczba transakcji na Dostawcę na kwartał
• Adresy odbioru/dostawy: po dokonaniu rezerwacji adresy mogą być udostępniane między Dostawcą a Klientem
• Minimalizacja danych: zalecamy podawanie przybliżonej lokalizacji zamiast dokładnego adresu domowego
• Automatyczne usuwanie: dane adresowe z zakończonych rezerwacji są automatycznie anonimizowane po 30 dniach

2.6 Dane klientów Usługodawcy — przetwarzamy je w jego imieniu

Usługodawcy (firmy i osoby wykonujące usługi) mają w panelu własną bazę klientów i grafik wizyt. Mogą dopisać do niej również osoby, które nie mają konta w LocaYo.

• Administratorem tych danych jest Usługodawca, nie LocaYo. My jesteśmy wyłącznie podmiotem przetwarzającym (art. 28 RODO) i działamy na jego polecenie — szczegóły w Regulaminie, § 8a.
• Jakie dane: imię i nazwisko, telefon, e-mail, notatki i oznaczenia wpisane przez Usługodawcę, tagi oraz historia wizyt, rezerwacji i zleceń.
• Do czego ich NIE używamy: nie wykorzystujemy ich do własnych celów — żadnego marketingu, profilowania ani odsprzedaży. Nie są też widoczne dla innych Użytkowników ani w panelu administracyjnym LocaYo.
• Przypomnienia o powrocie klienta wysyłamy do Usługodawcy, nigdy do jego klienta.
• Jak długo: do usunięcia karty przez Usługodawcę albo do usunięcia jego konta — wtedy, po upływie 14-dniowego okresu na wycofanie decyzji, znika cała baza wraz z grafikiem.
• Jeśli jesteś klientem Usługodawcy i chcesz sprawdzić, poprawić albo usunąć swoje dane z jego bazy — zwróć się bezpośrednio do niego. My przekażemy takie żądanie i pomożemy mu je wykonać, ale sami nie możemy decydować o cudzych danych.

3. Jak wykorzystujemy Twoje informacje

Uwaga dotycząca danych podatkowych: Przetwarzanie danych dotyczących zgodności podatkowej (NIP, data urodzenia, adres, rezydencja podatkowa) opiera się na naszym obowiązku prawnym wynikającym z dyrektywy UE DAC7 (dyrektywa Rady 2021/514) wdrożonej do prawa estońskiego i nie wymaga Twojej zgody. Zostaniesz jednak poinformowany przed zebraniem tych danych i masz prawo wiedzieć, jak są wykorzystywane. Dane te będą używane wyłącznie w celu wypełnienia naszych obowiązków sprawozdawczości podatkowej i nie będą wykorzystywane do celów marketingowych ani innych niezwiązanych celów.

4. Komu udostępniamy Twoje dane

1. Inni Użytkownicy: informacje niezbędne do realizacji transakcji:
   • Wynajem / rezerwacja: imię, zdjęcie profilowe oraz dane kontaktowe udostępniane drugiej stronie po potwierdzeniu rezerwacji.
   • Numer telefonu w ogłoszeniu: jeżeli wystawiający wyraził na to zgodę przy dodawaniu ogłoszenia, zalogowany Użytkownik może odsłonić jego numer przyciskiem „Pokaż numer" — jeszcze przed rezerwacją. W treści ogłoszenia numer nie występuje; widoczny jest wyłącznie podgląd typu „+48 500 ••• •••". Liczba odsłonięć podlega limitom antyspamowym. Bez tej zgody kontakt odbywa się wyłącznie przez czat.
   • Zbiorcze statystyki dla wystawiającego: właściciel ogłoszenia widzi w panelu liczbę wyświetleń, odsłonięć numeru, rozmów i rezerwacji oraz to, jaką drogą i z jakiego typu urządzenia trafili odwiedzający. Nie przekazujemy mu danych identyfikujących konkretną osobę — bez tożsamości, adresu IP i historii przeglądania.
   • Tablica zapytań (zlecenia): gdy publikujesz zapytanie, jego treść (kategoria, opis, miasto, orientacyjny budżet) jest widoczna dla pasujących wykonawców — bez Twoich danych kontaktowych. Wykonawcy zgłaszają się wiadomością w aplikacji. Dopiero gdy wybierzesz konkretnego wykonawcę, numery telefonów są udostępniane wzajemnie (Ty widzisz numer wykonawcy, wykonawca widzi Twój), aby umożliwić bezpośredni kontakt. Do momentu wyboru kontakt odbywa się wyłącznie przez czat w aplikacji. Podstawa prawna: art. 6 ust. 1 lit. b RODO (podjęcie działań na Twoje żądanie / wykonanie usługi).
2. Dostawcy usług (podwykonawcy przetwarzania): korzystamy z następujących kategorii usług zewnętrznych do obsługi Platformy:
   • Hosting aplikacji (Hetzner Online GmbH, Niemcy) — infrastruktura serwerowa w UE
   • Hosting bazy danych (MongoDB, Inc., USA — dane przechowywane w UE/Niemcy) — przechowywanie danych konta i ogłoszeń
   • Hosting obrazów (Cloudinary Ltd., Izrael) — zdjęcia ogłoszeń, awatary, dokumenty weryfikacyjne
   • Procesor płatności (Stripe Payments Europe Ltd., Irlandia) — obsługa płatności za funkcje premium
   • Weryfikacja SMS (Twilio Inc., USA) — kod jednorazowy do potwierdzenia numeru telefonu
   • Email transakcyjny (Resend Inc., USA) — wysyłka maili systemowych (potwierdzenie, reset hasła, powiadomienia)
   • Asystent AI (Anthropic, PBC, USA) — odpowiedzi Bobra Lokalsa na pytania wpisane w okno rozmowy; Anthropic nie wykorzystuje tych danych do trenowania modeli
   • Logowanie społecznościowe i analityka (Google LLC, USA) — Google OAuth oraz Google Analytics (analityka tylko za zgodą)
   • Logowanie przez Facebooka (Meta Platforms Ireland Ltd., Irlandia) — Facebook Login; od Meta otrzymujemy imię, nazwisko, adres e-mail, zdjęcie profilowe i identyfikator konta wyłącznie wtedy, gdy sam klikniesz „Kontynuuj z Facebook"
   • Reklama i pomiar konwersji (Google Ireland Ltd. / Google LLC, USA) — Google Ads i pomiar skuteczności reklam (tylko za zgodą)
   • Piksel marketingowy (Meta Platforms Ireland Ltd.) — mierzenie skuteczności kampanii w serwisach Meta (uruchamiany wyłącznie po wyrażeniu zgody)
   • Monitoring błędów aplikacji (Functional Software, Inc. dba Sentry, USA) — diagnostyka awarii i błędów technicznych
   • Ochrona przed botami i wydajność (Cloudflare, Inc., USA) — zabezpieczenie formularzy (Turnstile), ochrona przed nadużyciami i dostarczanie treści

   Każdy podwykonawca przetwarza dane wyłącznie na nasze polecenie i jest związany odpowiednimi umowami powierzenia przetwarzania danych. Pełna, aktualna lista podwykonawców (wraz ze szczegółami technicznymi) jest dostępna na żądanie pod [email protected].

3. Organy podatkowe: jesteśmy prawnie zobowiązani do udostępniania informacji o Dostawcach:
   • Maksu- ja Tolliamet (Estoński Urząd Skarbowy i Celny) — roczne raporty na podstawie dyrektywy UE DAC7 wdrożonej do prawa estońskiego
   • Organy podatkowe państw członkowskich UE — Maksu- ja Tolliamet automatycznie wymienia zgłoszone informacje z organami podatkowymi kraju rezydencji podatkowej każdego Dostawcy na podstawie przepisów DAC7

   Informacje udostępniane organom podatkowym obejmują: imię i nazwisko Dostawcy, adres, datę urodzenia, NIP, łączną wartość transakcji (na podstawie podanych cen), liczbę transakcji, opłaty platformowe oraz (w przypadku wynajmu nieruchomości) adresy nieruchomości i liczbę dni wynajmu. Udostępnianie to opiera się na naszym obowiązku prawnym wynikającym z art. 6 ust. 1 lit. c RODO.

4. Zespół Usługodawcy: jeśli Usługodawca korzysta z kont zespołowych, wskazane przez niego osoby widzą dane w zakresie nadanej im roli i uprawnień — w tym grafik i karty klientów z ust. 2.6. O tym, kogo dopuścić i do czego, decyduje wyłącznie Usługodawca i to on odpowiada za działania swojego zespołu.
5. Wymogi prawne i regulacyjne: gdy jest to wymagane przepisami prawa, postanowieniem sądu lub w celu ochrony praw i bezpieczeństwa.
6. Transfery biznesowe: w związku z fuzją, przejęciem lub sprzedażą aktywów.

5. Transfery międzynarodowe

1. Twoje dane mogą być przekazywane poza Europejski Obszar Gospodarczy (EOG). Stosujemy następujące zabezpieczenia:
   • UE/EOG: hosting aplikacji (Hetzner, Niemcy), procesor płatności (Stripe Payments Europe, Irlandia) oraz hosting bazy danych (MongoDB — dane przechowywane w Niemczech) przetwarzają dane w obrębie UE/EOG, gdzie obowiązuje bezpośrednio RODO.
   • Izrael: hosting obrazów (Cloudinary Ltd.) odbywa się w Izraelu, objętym decyzją Komisji Europejskiej o odpowiednim stopniu ochrony danych (adequacy) — transfer odbywa się na tej podstawie.
   • Stany Zjednoczone: weryfikacja SMS (Twilio), email transakcyjny (Resend), asystent AI (Anthropic) oraz logowanie i analityka (Google, Meta) mogą przetwarzać dane w USA. Transfery te są chronione przez Ramy Ochrony Danych UE-USA (EU-US Data Privacy Framework, gdy dostawca jest certyfikowany) i/lub Standardowe Klauzule Umowne (SCCs) zatwierdzone przez Komisję Europejską. MongoDB, Inc. — jako podmiot z siedzibą w USA — może potencjalnie uzyskać dostęp do danych przechowywanych w UE; zabezpieczamy to również SCC/DPF.
2. Dane dotyczące zgodności podatkowej (NIP, adres, data urodzenia) są udostępniane Estońskiemu Urzędowi Skarbowemu i Celnemu (Maksu- ja Tolliamet), który automatycznie wymienia te dane z organami podatkowymi kraju rezydencji Dostawcy na podstawie przepisów DAC7 o automatycznej wymianie informacji. Ponieważ Estonia jest państwem członkowskim UE, transfery te odbywają się w ramach UE/EOG.
3. Możesz poprosić o więcej informacji na temat transferów międzynarodowych i stosowanych zabezpieczeń, kontaktując się z [email protected].

6. Twoje prawa

Na podstawie RODO (UE) przysługują Ci następujące prawa:

1. Prawo dostępu — możesz żądać kopii swoich danych osobowych.
2. Prawo do sprostowania — możesz żądać poprawienia nieprawidłowych danych.
3. Prawo do usunięcia — możesz żądać usunięcia danych w określonych okolicznościach.
4. Prawo do ograniczenia przetwarzania — możesz żądać ograniczenia sposobu wykorzystywania Twoich danych.
5. Prawo do przenoszenia danych — możesz żądać przekazania danych w formacie nadającym się do odczytu maszynowego.
6. Prawo do sprzeciwu — możesz sprzeciwić się przetwarzaniu opartemu na uzasadnionym interesie lub marketingu bezpośrednim.
7. Prawa związane z automatycznym podejmowaniem decyzji — prawa dotyczące zautomatyzowanych decyzji, które istotnie na Ciebie wpływają.
8. Prawo do wycofania zgody — możesz w dowolnym momencie wycofać zgodę, gdy się na niej opieramy.

Jak działa usunięcie konta: po zgłoszeniu żądania Twoja wizytówka, ogłoszenia i zlecenia przestają być widoczne publicznie od razu, a dane usuwamy i anonimizujemy po 14 dniach. Ten okres służy wyłącznie temu, żebyś mógł się rozmyślić — do jego upływu wystarczy zwykłe logowanie, żeby konto wróciło. Po tym terminie usunięcie jest nieodwracalne. Zachowujemy jedynie dane, do których przechowywania zobowiązują nas przepisy (dokumentacja rozliczeniowa i podatkowa).

Informacja dotycząca danych podatkowych: Twoje prawa do usunięcia i ograniczenia przetwarzania mogą być ograniczone w odniesieniu do danych dotyczących zgodności podatkowej (NIP, data urodzenia, adres, rezydencja podatkowa), gdy jesteśmy prawnie zobowiązani do przechowywania i przetwarzania tych danych na potrzeby sprawozdawczości podatkowej. W takich przypadkach wyjaśnimy konkretną podstawę prawną i ewentualne ograniczenia.

Dane w bazie klientów Usługodawcy: jeśli Twoje dane trafiły do bazy konkretnego wykonawcy (ust. 2.6), administratorem jest ten wykonawca — żądanie kieruj do niego. Zgłoszenie wysłane do nas przekażemy mu niezwłocznie.

Aby skorzystać ze swoich praw, skontaktuj się z nami pod adresem [email protected] lub przez nasze Centrum Pomocy. Odpowiadamy tak szybko, jak to możliwe — zwykle w ciągu kilku dni (ustawowy termin to miesiąc, w skomplikowanych przypadkach do trzech, z powiadomieniem).

7. Bezpieczeństwo danych

Wdrażamy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych osobowych, w tym:

• Szyfrowanie w transmisji: wszystkie dane przesyłane między Twoim urządzeniem a naszymi serwerami są szyfrowane przy użyciu TLS 1.2 lub wyższego (HTTPS)
• Szyfrowanie w spoczynku: wszystkie dane przechowywane w naszej bazie danych są szyfrowane przy użyciu standardowego szyfrowania zapewnianego przez naszą infrastrukturę chmurową
• Szyfrowanie na poziomie pól: szczególnie wrażliwe dane, takie jak numery identyfikacji podatkowej i dane rachunków bankowych, są dodatkowo szyfrowane na poziomie aplikacji przy użyciu szyfrowania AES-256-GCM przed zapisaniem w bazie danych
• Haszowanie haseł: hasła są haszowane przy użyciu bcrypt i nigdy nie są przechowywane w postaci jawnej
• Regularne kopie zapasowe: automatyczne szyfrowane kopie zapasowe z bezpiecznym przechowywaniem
• Kontrola dostępu: ścisła kontrola dostępu oparta na rolach, ograniczająca dostęp do danych osobowych, z podwyższonymi ograniczeniami dla danych podatkowych
• Monitoring bezpieczeństwa: ciągły monitoring pod kątem nieautoryzowanego dostępu i incydentów bezpieczeństwa
• Ochrona przed wyłudzeniami: automatycznie sprawdzamy, czy wiadomości między Użytkownikami nie zawierają linków do stron zewnętrznych, czy adres e-mail nie pochodzi ze skrzynki jednorazowej oraz czy z jednego połączenia lub urządzenia nie powstaje seria kont (adres IP i identyfikator urządzenia). Wynikiem jest wyłącznie oznaczenie konta do sprawdzenia — o zawieszeniu lub usunięciu konta decyduje człowiek (uzasadniony interes, art. 6 ust. 1 lit. f)
• Zgłoszenia rozmów: gdy uczestnik rozmowy zgłosi ją przyciskiem „Zgłoś”, do zgłoszenia dołączamy ostatnie wiadomości z tej rozmowy (do 30). Widzi je moderator, żeby ocenić zgłoszenie i w razie potrzeby zablokować rozmowę lub konto (uzasadniony interes, art. 6 ust. 1 lit. f)
• Minimalizacja danych: zbieramy tylko dane niezbędne do każdego celu i usuwamy je, gdy nie są już potrzebne

W przypadku naruszenia ochrony danych osobowych, które stwarza ryzyko dla Twoich praw i wolności, powiadomimy odpowiedni organ nadzorczy w ciągu 72 godzin oraz, w razie potrzeby, poinformujemy osoby, których dane dotyczą, bez zbędnej zwłoki.

8. Pliki cookie

Używamy plików cookie i podobnych technologii. Szczegóły znajdziesz w naszej Polityce Cookies.

9. Prywatność dzieci

1. Nasza Platforma wymaga od użytkowników ukończenia co najmniej 16 lat (18 lat, aby zostać Dostawcą).
2. Świadomie nie zbieramy danych od dzieci poniżej 16 roku życia. Jeśli dowiemy się, że to zrobiliśmy, niezwłocznie je usuniemy.

10. Zmiany w niniejszej polityce

1. Możemy aktualizować niniejszą Politykę Prywatności w celu odzwierciedlenia zmian w naszych praktykach lub wymogach prawnych.
2. O istotnych zmianach poinformujemy drogą mailową lub przez widoczne powiadomienie na Platformie co najmniej 15 dni przed ich wejściem w życie. Termin ten nie dotyczy zmian, które musimy wprowadzić od razu, bo wymaga tego prawo albo bezpieczeństwo Użytkowników i Platformy — o takiej zmianie informujemy niezwłocznie.
3. Aktualna wersja jest zawsze dostępna na Platformie.

11. Kontakt

W sprawach dotyczących prywatności:

• Kontakt w sprawie ochrony danych: [email protected]
• Centrum Pomocy: locayo.app/help
• Zapytania ogólne: [email protected]