Polityka prywatności

Administratorem danych osobowych przetwarzanych w ramach platformy Sztuka na Sprzedaż, dostępnej pod adresem sztuka-na-sprzedaz.pl, jest Sztuka na Sprzedaż Grzegorz Szwaja z siedzibą pod adresem Kolejowa 93, 24-220 Niedrzwica Duża, woj. lubelskie.

Niniejsza polityka opisuje, w jaki sposób Administrator gromadzi, wykorzystuje i chroni dane osobowe Artystów oraz Odwiedzających, zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.

Kontakt w sprawach związanych z ochroną danych osobowych: [email protected]. Administrator nie wyznaczył Inspektora Ochrony Danych. Wszelkie zapytania kierowane na powyższy adres rozpatrywane są bez zbędnej zwłoki, nie później niż w terminie 30 dni.

Przetwarzamy wyłącznie te dane, które są niezbędne do świadczenia usługi. Zakres zależy od rodzaju aktywności użytkownika na platformie.

Dane konta Artysty

• adres e-mail oraz skrót (hash bcrypt) hasła, jeśli logowanie odbywa się hasłem;
• identyfikator konta dostawcy logowania zewnętrznego (Google) oraz adres e-mail powiązany z tym kontem;
• imię, nazwisko, opcjonalna nazwa wyświetlana, opis profilu, zdjęcie profilowe;
• publiczne dane kontaktowe podane dobrowolnie w profilu: e-mail, numer telefonu;
• opublikowane sztuki wraz z tytułem, opisem, techniką, wymiarami, ceną oraz zdjęciami;
• powiązanie konta z subskrypcją (identyfikatory appUserId RevenueCat oraz customerId Stripe).

Dane techniczne i logi

• adres IP, typ przeglądarki, system operacyjny, identyfikator żądania;
• data i czas logowania, identyfikator sesji odświeżającej tokeny;
• logi serwerowe niezbędne dla bezpieczeństwa, diagnostyki i wykrywania nadużyć.

Dane Odwiedzających (bez konta)

Od osób, które przeglądają platformę bez logowania, gromadzimy wyłącznie podstawowe dane techniczne (adres IP, typ przeglądarki) zapisywane w logach serwera. Nie tworzymy profili reklamowych ani nie śledzimy zachowania między sesjami.

Dane płatności

Pełne dane kart płatniczych Artystów nigdy nie są przekazywane ani przechowywane przez Administratora. Obsługuje je wyłącznie operator płatności Stripe Payments Europe Ltd. Administrator przechowuje jedynie identyfikator klienta Stripe oraz status subskrypcji raportowany przez RevenueCat.

Dane osobowe przetwarzamy wyłącznie w określonych celach, na podstawie wskazanych poniżej przepisów RODO.

Świadczenie usługi i prowadzenie konta

Założenie i utrzymanie konta, publikacja profilu i sztuk, weryfikacja adresu e-mail, resetowanie hasła. Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Obsługa płatności i subskrypcji

Łączenie konta z usługą Stripe i RevenueCat, weryfikacja aktywnego dostępu, obsługa odnowień i anulowań. Art. 6 ust. 1 lit. b RODO oraz, w zakresie obowiązków księgowych, art. 6 ust. 1 lit. c RODO (obowiązek prawny wynikający z ustawy o rachunkowości i ustawy o VAT).

Komunikacja transakcyjna

Wysyłka wiadomości e-mail z kodami weryfikacyjnymi, kodami resetu hasła, potwierdzeniami aktywacji dostępu oraz informacjami o wygasającej subskrypcji. Art. 6 ust. 1 lit. b oraz f RODO (wykonanie umowy oraz uzasadniony interes w utrzymaniu kontaktu z użytkownikiem).

Bezpieczeństwo i wykrywanie nadużyć

Logowanie zdarzeń, ograniczanie liczby zapytań (rate limiting), wykrywanie ponownego użycia tokenów sesyjnych, blokowanie kont naruszających regulamin. Art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora w zapewnieniu bezpieczeństwa platformy).

Rozpatrywanie reklamacji

Korespondencja związana z reklamacjami, zwrotami i sporami. Art. 6 ust. 1 lit. b, c oraz f RODO.

Obowiązki podatkowe i rachunkowe

Wystawianie faktur, archiwizacja dokumentów księgowych. Art. 6 ust. 1 lit. c RODO w związku z przepisami ustawy o rachunkowości oraz ustawy o VAT.

Nie stosujemy zautomatyzowanego podejmowania decyzji, w tym profilowania wywołującego skutki prawne. Treści profili widoczne są takie, jak opublikował je Artysta.

W celu świadczenia usługi powierzamy przetwarzanie danych wyłącznie zaufanym dostawcom (procesorom). Z każdym z nich łączy nas umowa powierzenia przetwarzania (DPA).

Stripe Payments Europe Ltd. (Irlandia, grupa Stripe Inc.)

Operator płatności kartowych. Przetwarza dane karty, adres e-mail i identyfikator klienta. Część operacji odbywa się w grupie Stripe Inc. w USA. Transfer odbywa się na podstawie Standardowych Klauzul Umownych (SCC) Komisji Europejskiej.

RevenueCat, Inc. (USA)

Zarządzanie subskrypcjami i uprawnieniami. Otrzymuje identyfikator konta Artysty oraz informacje o statusie subskrypcji. Transfer na podstawie SCC oraz na podstawie certyfikacji Data Privacy Framework.

Resend, Inc. (USA)

Dostawca usługi wysyłki transakcyjnych wiadomości e-mail. Przetwarza adres e-mail odbiorcy i treść wiadomości (kody weryfikacyjne, powiadomienia). Transfer na podstawie SCC.

Cloudflare, Inc. (USA, infrastruktura globalna z preferencją regionów UE)

Świadczy nam dwie usługi. Po pierwsze przechowywanie zdjęć sztuk i avatarów w usłudze R2 (object storage) oraz dystrybucja CDN. Po drugie Cloudflare Web Analytics, czyli anonimowe statystyki ruchu na stronie. Usługa analityczna nie zapisuje plików cookies ani innych danych na urządzeniu, nie tworzy profilu użytkownika i nie śledzi go między stronami. Przetwarzane są wyłącznie zagregowane informacje o odwiedzinach, takie jak kraj, typ urządzenia czy źródło wejścia. Transfer na podstawie SCC oraz Data Privacy Framework.

Railway Corp. (USA)

Hosting aplikacji frontendowej, backendowej oraz bazy danych PostgreSQL. Transfer na podstawie SCC.

Google Ireland Ltd. (Irlandia)

Logowanie zewnętrzne (Google Identity Services). Otrzymuje informację o próbie logowania na platformę. Operacje na poziomie grupy Google Inc. odbywają się na podstawie SCC i Data Privacy Framework.

Dane mogą być również ujawniane organom państwowym na żądanie zgodne z przepisami prawa. Nie sprzedajemy ani nie udostępniamy danych w celach marketingowych podmiotom trzecim.

Dane przechowujemy nie dłużej niż wymaga tego cel ich przetwarzania oraz przepisy prawa.

• Konto i profil Artysty: przez czas korzystania z usługi. Po samodzielnym usunięciu konta przez Artystę dane są trwale usuwane z bazy oraz z magazynu plików (R2);
• Sztuki i zdjęcia: do momentu usunięcia przez Artystę lub usunięcia konta. Po samodzielnym usunięciu pliki są nieodwracalnie kasowane;
• Sztuki ukryte przez moderację Administratora: przechowywane przez okres do 12 miesięcy w stanie ukrytym, w celu udokumentowania naruszeń. Po tym czasie są nieodwracalnie usuwane;
• Tokeny odświeżające sesję: do czasu wygaśnięcia (domyślnie 30 dni) lub wcześniejszego unieważnienia, następnie usuwane;
• Logi techniczne i logi zdarzeń bezpieczeństwa: do 90 dni, chyba że dłuższy okres jest uzasadniony wykrytym naruszeniem;
• Dokumenty księgowe (faktury): przez 5 lat od końca roku obrotowego, zgodnie z art. 74 ustawy o rachunkowości oraz przepisami podatkowymi;
• Korespondencja reklamacyjna: przez okres przedawnienia roszczeń, zwykle 6 lat.

Zgodnie z RODO przysługują Ci następujące prawa, które możesz wykonać w każdej chwili kontaktując się z nami na adres [email protected] lub samodzielnie w panelu Artysty:

1. prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO);
2. prawo sprostowania nieaktualnych lub niepoprawnych danych (art. 16 RODO);
3. prawo usunięcia danych, tzw. prawo do bycia zapomnianym (art. 17 RODO), z zastrzeżeniem danych, których przechowywanie wymagane jest przepisami prawa, np. faktur;
4. prawo ograniczenia przetwarzania (art. 18 RODO);
5. prawo przenoszenia danych do innego administratora (art. 20 RODO);
6. prawo sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie Administratora (art. 21 RODO);
7. prawo cofnięcia zgody w dowolnym momencie, jeśli przetwarzanie odbywa się na podstawie zgody (cofnięcie nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej);
8. prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Większość operacji, w tym edycję profilu i usunięcie konta wraz ze wszystkimi sztukami, możesz wykonać samodzielnie w panelu Artysty.

Korzystamy wyłącznie z plików cookies oraz mechanizmów pamięci przeglądarki, które są niezbędne do świadczenia usługi. Nie używamy plików cookies marketingowych, analitycznych ani technologii reklamy behawioralnej. Statystyki ruchu zbieramy poprzez Cloudflare Web Analytics, które działa bez plików cookies i bez identyfikatorów po stronie urządzenia (szczegóły w sekcji 04).

Cookie sesji dostępowej

accessToken. Flagi: HttpOnly, Secure, SameSite=Lax, ścieżka /. Czas życia: 15 minut. Przechowuje krótkotrwały token uwierzytelniający (JWT).

Cookie sesji odświeżającej

refreshToken. Flagi: HttpOnly, Secure, SameSite=Strict, ścieżka /. Czas życia: 30 dni. Przechowuje losowy identyfikator sesji powiązany w bazie z hashem (SHA-256).

Obie wartości są ustawione jako HttpOnly, co oznacza, że nie są dostępne dla skryptów JavaScript działających w przeglądarce. Tokeny dostępowe są rotowane przy każdym użyciu, a wykryte ponowne użycie unieważnia całą rodzinę tokenów.

Przeglądarka Google podczas logowania przez Google Identity Services może ustawić własne pliki cookies w domenie accounts.google.com. Te pliki są zarządzane przez Google i podlegają jego polityce prywatności.

Stosujemy techniczne i organizacyjne środki ochrony danych dostosowane do ryzyka i charakteru przetwarzania:

• hasła użytkowników przechowujemy wyłącznie w postaci skrótu bcrypt z parametrem rounds=12;
• cała komunikacja z platformą szyfrowana jest protokołem TLS 1.2 lub nowszym;
• kody weryfikacyjne i kody resetu hasła są jednorazowe, mają ograniczony czas ważności i są porównywane w sposób odporny na ataki czasowe;
• stosujemy nagłówki bezpieczeństwa: HSTS, X-Frame-Options, Content-Security-Policy, Permissions-Policy;
• uwierzytelnianie webhooków Stripe i RevenueCat opiera się na podpisie kryptograficznym i porównaniu odpornym na ataki czasowe;
• limit zapytań (rate limiting) chroni przed atakami siłowymi na konta;
• dostęp do baz danych mają wyłącznie zaufane osoby techniczne związane z umową o zachowaniu poufności.

Pomimo zastosowanych zabezpieczeń żaden system informatyczny nie jest w pełni odporny na włamanie. W przypadku wykrycia naruszenia ochrony danych osobowych, które może powodować wysokie ryzyko naruszenia praw lub wolności osób, Administrator poinformuje zainteresowane osoby zgodnie z art. 34 RODO.

Podanie danych osobowych przy rejestracji konta Artysty jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy o świadczenie usługi. Bez podania adresu e-mail nie jest możliwe założenie konta ani komunikacja transakcyjna.

Podanie publicznych danych kontaktowych (e-mail kontaktowy, telefon) w profilu Artysty jest dobrowolne i decydujesz o tym samodzielnie. Dane te są widoczne dla Odwiedzających, dlatego podawaj tylko te, którymi świadomie chcesz dzielić się publicznie.

Polityka może być zmieniana wraz z rozwojem platformy lub w wyniku zmian przepisów prawa. O istotnych zmianach poinformujemy z co najmniej 14-dniowym wyprzedzeniem na adres e-mail przypisany do konta Artysty oraz poprzez komunikat na stronie.

Aktualna wersja jest zawsze dostępna pod adresem sztuka-na-sprzedaz.pl/polityka-prywatnosci. Data ostatniej aktualizacji znajduje się w nagłówku dokumentu.

W sprawach związanych z ochroną prywatności, realizacją Twoich praw lub innych pytaniach dotyczących przetwarzania danych osobowych, skontaktuj się z nami:

E-mail

[email protected]

Adres korespondencyjny

Sztuka na Sprzedaż Grzegorz Szwaja, Kolejowa 93, 24-220 Niedrzwica Duża

Odpowiedzi udzielamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania zgłoszenia. W przypadkach złożonych termin ten może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy w ciągu miesiąca od otrzymania zgłoszenia.