Ta informacja opisuje, jak przetwarzamy dane osobowe na platformie pod adresem [[UZUPEŁNIJ: adres internetowy platformy, np. https://platforma.example.org/]] (dalej: „platforma”). Zawiera informacje wymagane przez art. 13 i 14 rozporządzenia (UE) 2016/679 (dalej: RODO) i art. 399 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej.

W skrócie

- Administrator danych: [[UZUPEŁNIJ: nazwa administratora danych]]. Kontakt w sprawach danych osobowych: [[UZUPEŁNIJ: adres e-mail do spraw danych osobowych]].
- Przetwarzamy dane konta i profilu, Twoje treści oraz dane techniczne (adres IP, przeglądarka, czas działań), aby prowadzić Twoje członkostwo i udostępniać funkcje platformy (umowa), chronić konta i platformę oraz móc wykazać, kto co zrobił (nasz prawnie uzasadniony interes), a także realizować Twoje prawa (obowiązek prawny).
- Zalogowani członkowie widzą Twój profil, a Twój adres e-mail i telefon — tylko jeśli na to pozwolisz; zespół platformy ma szerszy dostęp (pkt 11).
- Nie sprzedajemy danych i nie używamy reklam ani narzędzi analitycznych, a poza kafelkami map, które pochodzą z OpenStreetMap (pkt 7), strony platformy niczego nie pobierają z zewnętrznych serwerów; o tym, jak wysyłamy pocztę i kto jest dostawcą naszego serwera, piszemy w pkt 9 i 12.
- Dane konta przechowujemy, dopóki konto istnieje, zapisy ścieżki audytu, czyli rejestru ważnych działań (z adresami IP) — przez cały czas działania platformy, także po usunięciu konta, a kopie zapasowe — zgodnie z pkt 10.
- Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia, prawo sprzeciwu i prawo skargi do Prezesa UODO; kopię danych pobierzesz, a usunięcia konta zażądasz na swoim profilu, w zakładce „Twoje dane”.

1. Administrator danych

Administratorem Twoich danych osobowych jest [[UZUPEŁNIJ: pełna nazwa administratora danych, adres siedziby, numery rejestrowe — KRS, NIP, REGON, stosownie do formy prawnej]] (dalej: „my”).

W każdej sprawie dotyczącej danych osobowych — także jeśli nie masz konta na platformie — napisz do nas na adres [[UZUPEŁNIJ: adres e-mail do spraw danych osobowych]] albo na adres pocztowy podany wyżej. [[UZUPEŁNIJ: dane kontaktowe inspektora ochrony danych albo zdanie: Nie wyznaczyliśmy inspektora ochrony danych.]]

Osoby, którym nadaliśmy na platformie uprawnienia personelu lub superużytkownika, nazywamy dalej zespołem platformy.

2. Kogo dotyczy ta informacja i skąd mamy dane

Ta informacja dotyczy osób odwiedzających platformę (pkt 3), osób na nią zaproszonych (pkt 4), członków platformy (pkt 5–14) oraz osób, których dane trafiają na platformę od innych (poniżej).

Platforma jest zamknięta: nie ma samodzielnej rejestracji ani logowania przez Google czy Facebook. Konto powstaje tylko wtedy, gdy ktoś przyjmie zaproszenie wystawione przez zespół platformy (pkt 4), albo zakłada je bezpośrednio zespół platformy w konsoli serwera. Bez logowania dostępne są tylko: strona powitalna, logowanie, reset hasła, strona zaproszenia, wybór języka, ta informacja (z wcześniejszymi wersjami), awatary, logo i obrazy dołączone do aktualności społeczności (pod ich adresami) oraz adresy techniczne: strona przerwy technicznej, strona logowania do panelu administracyjnego i adres, który informuje wyłącznie o tym, że serwer działa.

Większość danych pochodzi od Ciebie lub powstaje, gdy korzystasz z platformy; część — od innych:
- od zespołu platformy — wystawione dla Ciebie zaproszenie: Twój adres e-mail, społeczność i notatka, dla kogo jest zaproszenie (pkt 4),
- od osoby, która przyjęła wystawione przez Ciebie zaproszenie — to, że jej konto założono dzięki temu zaproszeniu, przez co jesteś jej patronem (pkt 4),
- od zespołu platformy — konto, które zakłada (nazwa użytkownika, adres e-mail), społeczności i rola w nich, poświadczenia, patron, okresy dostępności i pola profilu, które wypełnia tylko on (pkt 5 i 7),
- od innych członków — treści, w których Cię wymieniono, i zaproszenia na wydarzenia (pkt 7),
- od osób, które wpisały Twoją nazwę użytkownika lub adres e-mail przy próbie logowania (pkt 3).

3. Odwiedzanie platformy

Gdy otwierasz stronę platformy, nasz serwer zapisuje w dzienniku (logu): adres IP, czas, rodzaj żądania, adres strony bez parametrów (części po znaku „?”) i z tajnymi częściami linków zaproszeń i resetu hasła zastąpionymi znacznikiem, kod odpowiedzi, liczbę wysłanych bajtów, adres strony, z której przychodzisz (bez parametrów), identyfikator przeglądarki (User-Agent), dla żądania z uwierzytelnianiem HTTP Basic — podaną w nim nazwę, a przy połączeniu przez serwer pośredniczący — przekazane przez niego adresy IP. Pobrań plików statycznych i plików z katalogu mediów (np. awatarów) ten dziennik nie obejmuje. Dziennik błędów serwera zapisuje tylko poważne awarie samego serwera (np. zapełniony dysk); taki wpis może zawierać pełny adres strony, z parametrami.

Aplikacja platformy zapisuje w swoim dzienniku identyfikator konta przy każdym logowaniu i wylogowaniu, a nieudane logowanie — bez wpisanej nazwy. Dzienniki nie mają stałego okresu przechowywania: każda usługa przechowuje najwyżej ok. 30 MB dziennika, a nowe wpisy zastępują najstarsze — tym szybciej, im większy ruch.

Każde logowanie i każdą nieudaną próbę logowania zapisujemy w ścieżce audytu (pkt 8) z adresem IP i przeglądarką, a nieudaną próbę — także z wpisaną nazwą (nazwą użytkownika albo adresem e-mail); czas takiej próby, adres IP i przeglądarkę osoby, która jej dokonała, przez 30 dni widzi też członek, na którego konto wskazuje wpisana nazwa — jego nazwa użytkownika albo adres e-mail, i tylko wtedy, gdy wskazuje ona jedno konto (pkt 8). Jeśli w polu nazwy przez pomyłkę wpiszesz hasło, zostanie ono zapisane jako wpisana nazwa — zmień wtedy hasło. Gdy logowanie jest opóźniane lub wstrzymane, próby odrzucone z tego powodu zapisujemy najwyżej raz na minutę dla tej samej nazwy i tego samego adresu IP (dla samego adresu, gdy wstrzymany jest cały adres IP). Nieudane próby liczymy w pamięci podręcznej serwera — dla pary „nazwa (jako skrót) i adres IP” oraz dla samego adresu IP — przez 15 minut od ostatniej próby: po 5 kolejne są opóźniane (do 60 sekund), a po 10 dla pary albo 50 z jednego adresu logowanie jest wstrzymywane na 15 minut; konta nie blokujemy. Prośby o link do resetu hasła liczymy w tej samej pamięci podręcznej przez godzinę — według wpisanego adresu e-mail i według adresu IP: powyżej 3 dla jednego adresu e-mail albo 10 z jednego adresu IP prośby nie realizujemy.

Jeśli bez logowania wywołasz adres pobrania pliku, pliku nie otrzymasz — trafisz na stronę logowania — a próbę zapisujemy w ścieżce audytu wraz z Twoim adresem IP i przeglądarką.

Platforma zapisuje w Twojej przeglądarce plik cookie chroniący formularze, a po zalogowaniu albo gdy musi zapamiętać przerwę po nieudanej próbie lub otwarty przez Ciebie link resetu hasła — także plik cookie sesji, a jeśli wybierzesz język w nagłówku strony — plik cookie, który go zapamiętuje (pkt 19).

Podstawa prawna: art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes, czyli zapewnienie działania i bezpieczeństwa platformy, wykrywanie prób włamań i nadużyć oraz wyjaśnianie incydentów. Jak długo: dzienniki — jak wyżej; zapisy w ścieżce audytu — przez cały czas działania platformy (pkt 8); liczniki nieudanych prób — 15 minut; liczniki próśb o reset hasła — godzinę.

4. Zaproszenie

Na platformie nikt nie rejestruje się samodzielnie. Osoba z zespołu platformy wystawia zaproszenie do jednej społeczności: link, który działa jeden raz, przez 72 godziny. Link pokazujemy raz osobie, która wystawiła zaproszenie, a jeśli podała dla niego adres e-mail — wysyłamy go także na ten adres (pkt 9). Zaproszenie zawiera: adres e-mail, dla którego je wystawiono (jeśli go podano), społeczność, notatkę, dla kogo jest zaproszenie (na potrzeby listy zespołu platformy; strona zaproszenia jej nie pokazuje), kto je wystawił, kiedy je wystawiono i kiedy wygasa, a później — kiedy zostało przyjęte i które konto dzięki niemu założono albo kiedy je cofnięto. Z tajnej części linku przechowujemy tylko skrót kryptograficzny.

Na stronie zaproszenia wybierasz nazwę użytkownika (posłuży Ci do logowania), wyświetlaną nazwę i hasło, podajesz adres e-mail — jeśli zaproszenie go wskazuje, jest to adres Twojego konta i nie można go tam zmienić, a w przeciwnym razie jego podanie jest dobrowolne — oraz zaznaczasz pole „Znam treść informacji o prywatności i akceptuję ją”. O inne dane nie pytamy. Zaznaczając to pole, potwierdzasz tylko, że znasz tę informację — nie wyrażasz zgody na przetwarzanie danych ani nie zawierasz umowy; zapisujemy numer wersji tej informacji i czas, przy Twoim profilu. Otwarcia linku zaproszenia, które nie jest otwarte (błędnego, wykorzystanego, cofniętego albo wygasłego), liczymy w pamięci podręcznej serwera według adresu IP przez godzinę: po 20 strona prosi o odczekanie. Liczymy także wysłania formularza otwartego zaproszenia, osobno dla każdego zaproszenia: po 20 w ciągu godziny jego strona prosi o odczekanie.

Po wysłaniu formularza od razu zakładamy Twoje konto i logujemy Cię. Tworzymy Twój profil z podaną wyświetlaną nazwą (i adresem e-mail konta, jeśli konto go ma), dodajemy Cię do społeczności wskazanej w zaproszeniu, zapisujemy członka, który wystawił zaproszenie, jako Twojego patrona, jeśli ma on profil (to, kto jest Twoim patronem, widzą inni członkowie — zgodnie z pkt 6), zapisujemy akceptację tej informacji i oznaczamy zaproszenie jako wykorzystane.

Wystawienie, cofnięcie i przyjęcie zaproszenia oraz akceptację tej informacji zapisujemy w ścieżce audytu (pkt 8) z numerem zaproszenia i społecznością — oraz z informacją, czy podano adres, nigdy z samym adresem — a krok wykonany za pośrednictwem strony także z adresem IP i przeglądarką. Zapisujemy tam również założenie Twojego konta i pierwsze logowanie — z Twoją nazwą użytkownika — oraz dołączenie do społeczności — z wyświetlaną nazwą i adresem profilu.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — działania podejmowane na Twoje żądanie przed zawarciem umowy o członkostwo, zawieranej na zasadach, na których członkowie korzystają z platformy ([[UZUPEŁNIJ: regulamin lub inna umowa, na podstawie której członkowie korzystają z platformy, i jej adres]]); zaproszenie wystawione dla osoby, która go nie przyjęła, oraz zapis o tym, kto wystawił zaproszenie — art. 6 ust. 1 lit. f RODO (nasz interes: przyjmowanie nowych członków na zaproszenie zespołu platformy oraz wiedza o tym, kto kogo zaprosił); zapisy w ścieżce audytu — art. 6 ust. 1 lit. f RODO (pkt 8).

Jak długo:
- Link zaproszenia działa jeden raz, przez 72 godziny; później albo po cofnięciu zaproszenia jego strona informuje tylko, że zaproszenie nie jest otwarte.
- Zaproszenie — wykorzystane, wygasłe lub cofnięte — usuwamy w nocnych porządkach 30 dni po wygaśnięciu jego linku.
- Zaproszenia, które są Twoje — to, dzięki któremu założono Twoje konto, i te wystawione dla Twojego adresu e-mail — usuwamy wcześniej, jeśli Twoje konto zostanie usunięte (pkt 13); do tego czasu znajdziesz je w kopii swoich danych (pkt 14).
- Po usunięciu zaproszenia zostają zapisy w ścieżce audytu (pkt 8); Twoje konto, akceptacja tej informacji i członkostwo w społeczności nie zależą od zaproszenia.

5. Konto i profil

Dane konta: nazwa użytkownika, adres e-mail, hasło (przechowujemy tylko jego skrót kryptograficzny), data założenia konta i ostatniego logowania oraz informacja, czy konto jest aktywne i czy ma uprawnienia personelu lub superużytkownika; imię i nazwisko — tylko jeśli wpisze je osoba z zespołu platformy.

Profil: wyświetlana nazwa (wymagana), „O sobie”, awatar, telefon, adres e-mail (przy tworzeniu profilu kopiujemy go z konta), data „Członek od”, adres profilu, preferowany język, strefa czasowa, społeczności i rola w nich, poświadczenia oraz patron — członek, który Cię zaprosił. Adres profilu powstaje raz, z wyświetlanej nazwy z chwili założenia profilu (tej, którą podajesz na stronie zaproszenia), i później się nie zmienia. Poświadczenia to poziomy zaufania, które nadają wyłącznie superużytkownicy: decydują one, które pliki możesz czytać (pkt 7).

Adres podajesz dobrowolnie, na karcie „Edytuj profil” swojego profilu: to tekst, który wpisujesz tak, jak na kopercie. Przechowujemy go dokładnie tak, jak go wpiszesz — niczego na jego podstawie nie wyszukujemy. O tym, czy inni członkowie widzą adres, decydujesz Ty — przełącznikiem przy adresie (domyślnie wyłączonym). Adres możesz w każdej chwili samodzielnie zmienić albo usunąć. W planie Team możesz też zaznaczyć na mapie, gdzie mieszkasz, w sekcji „Gdzie mieszkasz” na swoim profilu: to punkt, a jeśli użyjesz wyszukiwania adresu — także ulica, numer budynku, miejscowość, region i kraj (pkt 7). O tym, kto go widzi, decydujesz Ty: „Niewidoczne dla nikogo” (domyślnie), „Tylko przybliżona okolica” (punkt podany z dokładnością do ok. 1,1 km i sama miejscowość) albo „Dokładny adres”. Punkt możesz przesunąć albo ukryć, ale nie możesz go samodzielnie usunąć — w tej sprawie napisz do nas.

Awatar może być obrazem JPEG, PNG, GIF lub WebP o wielkości do 2 MB; przed zapisaniem tworzymy z niego nowy plik obrazu, co usuwa metadane, takie jak położenie GPS i dane aparatu, i zapisujemy go pod losową nazwą. Profil ma też pola, które może wypełnić wyłącznie zespół platformy, np. datę urodzenia; nie są one pokazywane innym członkom.

Na swoim profilu zmienisz wyświetlaną nazwę, „O sobie”, awatar i telefon, to, czy inni członkowie widzą Twój adres e-mail i telefon, oraz adres zamieszkania i jego widoczność, a w jego zakładce „Konto” — strefę czasową i język. Adres e-mail zmienisz w tej samej zakładce, przez link potwierdzający wysłany na nowy adres (pkt 9). Nazwy użytkownika, społeczności, poświadczeń ani patrona nie zmienisz samodzielnie — w tej sprawie napisz do nas. W zakładce „Bezpieczeństwo” możesz też utworzyć „Magazyn kluczy” chroniony hasłem, którego nie zapisujemy: jeśli je zapomnisz, nikt — także my — nie otworzy zawartości magazynu. Jego utworzenie zapisujemy z adresem IP i przeglądarką w ścieżce audytu i w dzienniku operacji kryptograficznych (pkt 13). Zakładki „Konto”, „Bezpieczeństwo” i „Twoje dane” na Twoim profilu widzisz tylko Ty.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — wykonanie umowy o członkostwo (pkt 4) i udostępnianie funkcji platformy; na tej samej podstawie przetwarzamy dane wpisywane przez zespół platformy (np. społeczności, poświadczenia, patron). Jak długo: dopóki istnieje Twoje konto — także jeśli przestaniesz z niego korzystać albo zostanie ono dezaktywowane; nie usuwamy kont automatycznie z powodu braku aktywności. Po zmianie danych profilu poprzednich wartości (np. poprzedniego awatara) nie przechowujemy na platformie — poza wcześniejszymi zapisami ścieżki audytu (np. o dołączeniu do społeczności), które zachowują wyświetlaną nazwę z chwili ich powstania; zapis samej zmiany zawiera nazwy zmienionych pól, bez ich poprzednich wartości. Poprzednie wartości mogą też pozostać w kopiach zapasowych (pkt 10).

6. Co widzą inni członkowie

Wszyscy zalogowani członkowie — z każdej społeczności — widzą na Twoim profilu i na liście członków: wyświetlaną nazwę, adres profilu (utworzony z pierwszej podanej przez Ciebie wyświetlanej nazwy), awatar, „O sobie”, datę „Członek od” i Twojego patrona, a adres e-mail i telefon — tylko jeśli pozwolisz je pokazywać (domyślnie są ukryte). Społeczności są prywatne: to, kto należy do społeczności — listę jej członków i jej schemat organizacyjny, na którym widoczny jest także Twój patron — widzą tylko członkowie tej społeczności, osoba nią kierująca i zespół platformy, a Twój profil pokazuje innemu członkowi tylko te społeczności, do których należycie oboje; liczbę członków społeczności widzi każdy zalogowany. Na Twoim profilu widać też nadchodzące wydarzenia, które organizujesz lub na które masz przyjęte zaproszenie (tytuł, czas i miejsce) — każdy tylko te, które sam może zobaczyć (pkt 7). Członkowie, których zespół platformy doda do grupy data_mesh, mogą też odczytywać listę członków, społeczności i ich schematy organizacyjne jako dane oraz wydarzenia z zaproszeniami na nie, przez interfejs programistyczny platformy (API) — z adresami e-mail i telefonami, które członkowie pokazują innym, nigdy z ukrytymi.

Adres inni członkowie widzą tylko wtedy, gdy go włączysz — na Twoim profilu; wyłączenie działa od razu. Gdy jest wyłączony, widzisz go tylko Ty i zespół platformy. Twoje miejsce zamieszkania na mapie inni członkowie widzą tylko wtedy, gdy włączysz jego udostępnianie, i tylko ci, którzy mają mapę (plan Team) — na Twoim profilu i na mapie „Osoby w pobliżu miejsca” w Lokalizacjach, a jeśli wybierzesz „Dokładny adres”, także wśród adresów na wspólnej mapie Lokalizacji i na listach, z których wybiera się miejsce; wyłączenie działa od razu. Gdy udostępnianie jest wyłączone, nie pokazujemy Twojego punktu innym członkom nigdzie na platformie — z jednym wyjątkiem: jeśli pod tym samym adresem mieszka na platformie ktoś jeszcze i udostępnia go jako „Dokładny adres”, ten adres widać wśród adresów na wspólnej mapie Lokalizacji, bez nazwy żadnej z mieszkających tam osób.

Platforma przechowuje dla Ciebie powiadomienia tylko o zasobnikach, których jesteś właścicielem: o tym, że inny członek wgrał tam plik, zastąpił go, przeniósł do Kosza albo przywrócił. Powiadomienie zawiera nazwę pliku, nazwę zasobnika i to, kto to zrobił; każde jest przechowywane do chwili przeczytania i 30 dni dłużej, a potem usuwane. Tak samo, gdy Ty zrobisz jedną z tych rzeczy w zasobniku należącym do kogoś innego, jego właściciel dostaje powiadomienie z Twoją wyświetlaną nazwą. Nikt nie jest powiadamiany o tym, że się logujesz, wylogowujesz albo dołączasz do społeczności, i nie ma listy osób będących online.

Widoczne tylko dla Ciebie i zespołu platformy są Twoje poświadczenia (zobaczysz je w kopii swoich danych, pkt 14). Plik awatara jest dostępny bez logowania pod losowym adresem — może go pobrać każdy, kto zna ten adres, a przeglądarki i serwery pośredniczące mogą go przechowywać do 7 dni.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — wspólny katalog członków, w którym członkowie widzą się nawzajem, jest częścią usługi członkostwa, a pokazywanie adresu e-mail, telefonu i adresu zamieszkania to ustawienia, które wybierasz.

7. Twoje treści i funkcje platformy

Przechowywanie (pliki): przechowujemy pliki, które wgrywasz, z nazwą, notatkami, rozmiarem, typem, czasem wgrania, właścicielem, zasobnikiem i folderem, a także ich zapisane wersje z autorem i czasem (do 20 ostatnich wersji bez nazwy; wersje nazwane i kopie zachowane przy konflikcie zapisu — dopóki istnieje plik). Zespół platformy może utrzymywać zasobnik w zewnętrznej usłudze przechowywania plików zgodnej z S3; pliki w takim zasobniku przechowuje dostawca tej usługi.

Pliki są domyślnie prywatne: otwiera je właściciel pliku, właściciel zasobnika i osoby, którym dano dostęp do folderu, a plik oznaczony jako publiczny — każdy zalogowany członek, nigdy osoba niezalogowana. Plik jest publiczny, gdy wgrano go przez punkt wgrywania, który zespół platformy ustawił tak, by pliki były publiczne, gdy oznaczy go tak zespół platformy albo gdy odszyfrujesz go na stronie; zaszyfrowanie pliku znów czyni go prywatnym. Pliki z zasobnika chronionego poświadczeniami otwierają tylko osoby mające jedno z poświadczeń tego zasobnika — bez niego nie otworzy ich nawet właściciel. Superużytkownicy mogą otworzyć każdy plik.

Platforma nie szyfruje plików, chyba że zabezpieczysz plik hasłem. Zaszyfrowanie pliku i usunięcie jego szyfrowania, zlecone na stronie, zawsze wykonuje działający w tle proces serwera, nigdy w czasie, gdy strona czeka na odpowiedź: hasło trafia do niego razem z zadaniem, przez wewnętrzną kolejkę serwera, i nie jest zapisywane — ani przy pliku, ani w zapisie zadania. Dla pliku większego niż 50 MB zadanie jest uruchomieniem przepływu pracy, które zespół platformy widzi na stronie Przepływy pracy — z informacją, kto je zlecił, z numerem pliku, czasem i wynikiem, nigdy z hasłem — i które nie ma automatycznego terminu usunięcia; dla mniejszego pliku stan zadania (kto je zlecił, którego pliku dotyczy, wynik) przechowujemy w pamięci podręcznej serwera przez godzinę. Gdy pobierasz zaszyfrowany plik, podając hasło, serwer odszyfrowuje go tylko na potrzeby tego pobrania. W ścieżce audytu (pkt 8) zapisujemy, z kontem, adresem IP i przeglądarką, operacje na plikach w Przechowywaniu (m.in. wgranie, przeniesienie, zmianę nazwy, usunięcie, przywrócenie i zaszyfrowanie) i każde pobranie pliku — także próbę zakończoną odmową.

Usunięty plik trafia do Kosza na 30 dni (wcześniej możesz go przywrócić albo usunąć na stałe); potem w nocnych porządkach usuwamy go trwale, razem z wersjami. Platforma nie sprawdza zawartości plików, które wgrywasz lub zapisujesz: przechowuje je bez zmian i oddaje jako pliki do pobrania, nigdy jako własną stronę.

Strony Markdown (pliki .md): to zwykłe pliki w Przechowywaniu, trzymane w zasobnikach, i obowiązują je opisane wyżej zasady dla plików — kto może je otworzyć, ich wersje, poświadczenia zasobnika, Kosz i ścieżka audytu.

Aktualności społeczności (tytuł, treść, tematy, autor) zapisują zespół platformy i uprawnieni członkowie (np. kierujący społecznością). Dołączone do nich obrazy zapisujemy pod losową nazwą, bez metadanych (np. położenia GPS); może je pobrać bez logowania każdy, kto zna ich adres, przeglądarki i serwery pośredniczące mogą je przechowywać do 7 dni, a na naszym serwerze zostają także po usunięciu aktualności.

Limity użycia: zespół platformy może ograniczyć, ile każdy członek wgrywa w danym okresie (liczbę i rozmiar plików) oraz ile danych jest pobieranych. Niezależnie od tego, czy limit ustalono, przechowujemy zapisy użycia — rodzaj czynności, ilość, czas, konto i jej przedmiot (np. identyfikator pliku); pobranie pliku liczymy na poczet jego właściciela. Na platformie nic nie kosztuje pieniędzy, więc nie przetwarzamy danych płatniczych.

Mana: wgranie pliku i uruchomienie przepływu pracy zużywają manę — liczbę przypisaną do Twojego konta. Jest jeden jej rodzaj. Mana odnawia się co godzinę — z aury społeczności, do której należysz (najszybszej, gdy jest ich kilka), oraz z każdego sygilu przypisanego Ci przez superużytkownika — do pułapu aury, a superużytkownik może przyznać Ci więcej; many się nie kupuje i nie ma ona wartości pieniężnej. Przechowujemy Twój stan many, każdą jego zmianę (czas, kwotę, stan po zmianie i jej rodzaj: odnowienie, stan początkowy, zużycie, zwrot albo przyznanie; czego dotyczyło zużycie, np. identyfikator pliku; przy przyznaniu — podany powód i przyznającego) oraz, dla każdego sygilu, który masz lub miałeś, kiedy został Ci przypisany i kiedy cofnięty, i przez kogo.

Plany: to, które strony możesz otworzyć, zależy od posiadanego planu (Free, Team albo, dla superużytkowników, Superuser). Twoje społeczności wyznaczają górną granicę: gdy po raz pierwszy dołączasz do społeczności oferującej wyższy plan, zostajesz na niego przeniesiony, potem możesz na stronie planów wybrać dowolny plan oferowany przez Twoje społeczności, a odejście ze społeczności, której plan masz, przenosi Cię na najlepszy z pozostałych; plany nic nie kosztują. Przechowujemy Twoją subskrypcję (plan, jej stan, daty rozpoczęcia i zmiany oraz powód wygaśnięcia, jeśli wygasła) i wiersz za każdy miesiąc jej trwania (zawsze rozliczony zerową liczbą jednostek, bo niczego nie naliczamy); strona planów pokazuje, przez którą społeczność masz swój plan.

Historia plików i zasobników: dla każdego pliku przechowujemy historię tego, kto go utworzył, kto go edytował (zmieniła się jego zawartość), kto go otworzył i kto go pobrał, oraz kiedy; ponowne otwarcie lub pobranie tego samego pliku w ciągu dziesięciu minut to jeden wpis. Historię pliku czyta każdy, kto może czytać plik, więc inni członkowie, którzy mogą czytać Twój plik albo plik, który otworzyłeś lub pobrałeś, widzą, że to zrobiłeś, z Twoją nazwą użytkownika. Dla każdego zasobnika przechowujemy ponadto to, że plikowi w nim zmieniono nazwę, że go przeniesiono, zaszyfrowano lub odszyfrowano, upubliczniono lub ustawiono jako prywatny, przeniesiono do Kosza, przywrócono albo usunięto, oraz że zasobnik utworzono lub zmieniono, że skopiowano z niego lub do niego pliki albo że zmieniono jego poświadczenia; historię zasobnika czytają jego właściciel i superużytkownicy. Każdy wpis zawiera czas i konto, które to zrobiło, nigdy adres IP ani przeglądarkę. Historia nie ma automatycznego terminu usunięcia i znika razem z zasobnikiem; Twoją nazwę usuwamy z niej razem z Twoim kontem.

Wydarzenia (na platformie nazywane „Zdarzenia”): przechowujemy tytuł, opis, czas, kategorię, właściciela, organizatorów, miejsce i limit uczestników, a przy zaproszeniach na wydarzenia — osobę zaproszoną, jej odpowiedź, notatkę i czas odpowiedzi. Wydarzenia są domyślnie publiczne i widzi je każdy zalogowany członek; prywatne widzą właściciel, organizatorzy i zaproszeni. Okresy dostępności (np. zajęty, poza biurem) wraz z powodem wprowadza zespół platformy; przy planowaniu wydarzenia jego właściciel i organizatorzy mogą zobaczyć okresy osób na nie zaproszonych, przypadające na czas wydarzenia — ich rodzaj i czas, a powód dopiero wtedy, gdy osoba przyjęła zaproszenie — a każdy inny członek widzi tylko własne.

Lokalizacje (w planie Team): członkowie dodają na wspólnej mapie adresy i trasy z notatkami; zespół platformy dodaje terytoria, strefy i warstwy mapy oraz może łączyć elementy mapy w domeny mapy. Widzi je każdy członek z dostępem do Lokalizacji, chyba że należą do domeny mapy chronionej poświadczeniami. Wydarzenie można powiązać z jednym z adresów jako jego miejscem, a społeczność — z jednym jako jej siedzibą: kto ma mapę i może zobaczyć ten adres, widzi go na stronie wydarzenia oraz na mapie na stronie społeczności.

Wyszukiwanie miejsca i ustalanie adresu punktu na mapie (także w sekcji „Gdzie mieszkasz”) wykonuje nasz serwer: wysyła wpisany tekst albo współrzędne punktu do usługi Nominatim (nominatim.openstreetmap.org) Przy wyszukiwaniu trasy nasz serwer wysyła współrzędne jej początku i końca do routing.openstreetmap.de. Zapytanie identyfikuje tylko naszą platformę — nie wysyłamy Twojego adresu IP ani danych konta. Odpowiedź na wyszukiwanie miejsca albo ustalenie adresu punktu przechowujemy w pamięci podręcznej serwera przez 24 godziny pod skrótem zapytania; w zapisach użycia zapisujemy tylko rodzaj wyszukiwania — bez tekstu i współrzędnych. Wyszukiwania trasy nie przechowujemy w pamięci podręcznej.

Kafelki map pobiera Twoja przeglądarka bezpośrednio z serwerów tile.openstreetmap.org, które otrzymują Twój adres IP, dane przeglądarki, adres naszej witryny (bez ścieżki strony) i informację, jaki fragment mapy oglądasz. Mapy rysujemy tylko zalogowanym członkom, których plan obejmuje mapę (plan Team; mają ją też administratorzy). Usługi tile.openstreetmap.org i nominatim.openstreetmap.org prowadzi OpenStreetMap Foundation (Zjednoczone Królestwo), a routing.openstreetmap.de — FOSSGIS e.V. (Niemcy); przetwarzają one te dane jako odrębni administratorzy danych, na zasadach opisanych we własnych politykach prywatności.

Wydarzenia (z wpisanym dla nich miejscem), zaproszenia na wydarzenia, okresy dostępności, adresy, trasy, aktualności, zapisy użycia i zapisy many nie mają automatycznego terminu usunięcia; zapisy użycia i zapisy many usuwamy razem z Twoim kontem (pkt 13). Twoje dane umieszczane przez innych członków (np. wzmianka w pliku lub w aktualnościach społeczności, zaproszenie na wydarzenie) pochodzą od nich; przechowujemy je tak długo jak treść, w której się znajdują.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — udostępnianie funkcji, z których korzystasz; zapisy w ścieżce audytu — art. 6 ust. 1 lit. f RODO (nasz interes: rozliczalność i nienaruszalność zapisów); limity i zapisy użycia oraz mana z jej zapisami — art. 6 ust. 1 lit. f RODO (nasz interes: sprawiedliwy podział zasobów serwera między członków); Twoje dane w treściach innych członków — art. 6 ust. 1 lit. f RODO (nasz interes: umożliwienie członkom komunikacji i współpracy); pobieranie kafelków map przez Twoją przeglądarkę z serwerów OpenStreetMap — art. 6 ust. 1 lit. f RODO (nasz interes: wyświetlanie map bez utrzymywania własnego serwera map).

8. Bezpieczeństwo kont i platformy

Każde logowanie tworzy zapis sesji: adres IP, przeglądarkę (User-Agent), rodzaj sesji, czas zalogowania i ostatniej aktywności. Listę sesji widzisz na swoim profilu, w zakładce „Bezpieczeństwo”, w sekcji „Sesje”, gdzie możesz zakończyć wybraną sesję albo wybrać „Wyloguj się wszędzie indziej”. Zmiana hasła lub adresu e-mail kończy Twoje pozostałe sesje, a reset hasła — wszystkie. Sesja wygasa 2 tygodnie po ostatniej zmianie (np. zalogowaniu) albo przy wylogowaniu; jej zapis usuwamy wtedy, przy zakończeniu sesji albo w nocnych porządkach.

Aby rozpoznać logowanie z nowego urządzenia, przechowujemy skróty kryptograficzne par „przeglądarka i adres IP”, z których się logujesz (skrót nieużywany przez 90 dni usuwamy przy kolejnym logowaniu, a wszystkie — razem z kontem); logowanie z pary niewidzianej od 90 dni powoduje wysłanie e-maila „nowe logowanie” z czasem, adresem IP i przeglądarką — z wyjątkiem pierwszego logowania na koncie.

Na swoim profilu, w zakładce „Bezpieczeństwo”, w sekcji „Ostatnie logowania”, widzisz przez 30 dni swoje zdarzenia logowania z adresami IP i przeglądarkami, także nieudane próby logowania na Twoje konto — z Twoją nazwą użytkownika lub adresem e-mail, gdy wpisana nazwa wskazuje tylko Twoje konto (pkt 3) — z adresem IP i przeglądarką osoby, która je wpisała; gdy działanie dotyczące Twojego konta wykonano z innego konta (np. osoby z zespołu platformy), jej adres IP i przeglądarka są ukryte.

Ścieżka audytu to rejestr ważnych działań na platformie: każdy zapis jest powiązany pieczęcią (skrótem kryptograficznym) z poprzednim, a platforma nie pozwala zapisów zmieniać ani usuwać. Zapis zawiera czas, konto i nazwę użytkownika osoby działającej, rodzaj działania, jego przedmiot i opis zmian, a przy działaniach wykonanych za pośrednictwem strony — także rodzaj żądania, adres strony (bez parametrów), adres IP i przeglądarkę. Hasła, klucze i tokeny zastępujemy w zapisach znacznikiem (np. [REDACTED] lub [token]) — z wyjątkiem hasła wpisanego przez pomyłkę w polu nazwy przy logowaniu (pkt 3).

Rejestrujemy w szczególności:
- logowania, wylogowania, nieudane logowania (z wpisaną nazwą) i wstrzymania logowania,
- zmiany hasła i adresu e-mail (adresy są częściowo zamaskowane) oraz zakończenia sesji,
- zakładanie kont i zmiany ich uprawnień,
- wystawienie, cofnięcie i przyjęcie zaproszeń, z akceptacją tej informacji (pkt 4),
- zmiany profilu (nazwy zmienionych pól), członkostwa w społecznościach i poświadczeń,
- wnioski o kopię danych i o usunięcie konta oraz usunięcie konta,
- operacje na plikach w Przechowywaniu, z pobraniami włącznie (pkt 7).

Ścieżkę audytu przegląda zespół platformy (pkt 11); Ty widzisz swoje zdarzenia logowania z ostatnich 30 dni, a pozostałe zapisy o Tobie — w kopii swoich danych (pkt 14). Jak długo: przez cały czas działania platformy — zapisów nie usuwamy ani po usunięciu konta (zostają pod nazwą użytkownika), ani po usunięciu zaproszenia (zostają z numerem zaproszenia, bez adresu e-mail).

Przy błędzie serwera platforma może wysłać e-mailem raport osobom, które ją utrzymują: opis błędu, adres strony, nazwę zalogowanego użytkownika oraz nagłówki żądania z adresem IP i przeglądarką. Wartości plików cookie, dane formularzy i wartości wyglądające na hasła lub klucze są w raporcie zamaskowane. Raporty usuwamy ze skrzynek pocztowych po wyjaśnieniu błędu.

Podstawa prawna: art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes: bezpieczeństwo kont i platformy, wykrywanie nadużyć i prób przejęcia kont, wyjaśnianie incydentów i błędów, możliwość wykazania, kto i kiedy wykonał daną czynność, a także ustalenie, dochodzenie i obrona roszczeń.

9. Wiadomości e-mail

Wysyłamy tylko wiadomości związane z członkostwem, kontem i bezpieczeństwem — bez newsletterów i reklam:
- link zaproszenia, na adres, dla którego wystawiono zaproszenie (ważny 72 godziny, pkt 4),
- link do ustawienia nowego hasła (ważny 24 godziny) po wybraniu „Zapomniałeś hasła?” — wiadomość podaje też Twoją nazwę użytkownika,
- powiadomienie „hasło zostało zmienione”, gdy zmienisz hasło na swoim profilu — z czasem, adresem IP, z którego je zmieniono, i liczbą zakończonych sesji,
- powiadomienie „nowe logowanie” — z czasem, adresem IP i przeglądarką (pkt 8),
- link potwierdzający nowy adres e-mail (na nowy adres, ważny 24 godziny) i powiadomienie o zmianie adresu (na dotychczasowy adres, z częściowo zamaskowanym nowym adresem i adresem IP, z którego dokonano zmiany).

Powiadomienia piszemy w Twoim języku, a czas podajemy w Twojej strefie czasowej; wiadomość z linkiem zaproszenia piszemy w domyślnym języku platformy. Powiadomienie może czekać na wysłanie w kolejce na naszym serwerze do ok. godziny; potem zostaje tylko wynik doręczenia (stan, liczba prób, rodzaj błędu, skrót adresu), bez treści i adresu. Niewykorzystaną prośbę o zmianę adresu e-mail (nowy i dotychczasowy adres oraz skrót linku) przechowujemy do czasu jej wykorzystania, zastąpienia nową, otwarcia linku po terminie albo usunięcia konta. [[UZUPEŁNIJ: jak poczta opuszcza serwer — zewnętrzny dostawca usługi poczty elektronicznej (SMTP), gdzie ma siedzibę i serwery, oraz że połączenie jest szyfrowane (TLS); dopóki go nie skonfigurowano, platforma zamiast wysyłać wiadomości zapisuje każdą z nich, z linkami, w dzienniku aplikacji]]

Podstawa prawna: art. 6 ust. 1 lit. b RODO — wiadomości potrzebne do obsługi konta (reset hasła, zmiana adresu); art. 6 ust. 1 lit. f RODO — wiadomość z linkiem zaproszenia (nasz interes: przyjmowanie nowych członków na zaproszenie zespołu platformy) oraz powiadomienia o zmianie hasła, zmianie adresu i nowym logowaniu (nasz interes: ochrona Twojego konta przed przejęciem).

10. Kopie zapasowe

[[UZUPEŁNIJ: co obejmują kopie zapasowe — bazę danych (z kontami, profilami, treściami i ścieżką audytu), pliki w Przechowywaniu, awatary — jak często są wykonywane, gdzie są przechowywane i jak długo]]

Usunięcie danych z platformy, także usunięcie konta, nie obejmuje już wykonanych kopii — dane znikają z nich, gdy kopie wygasną.

Podstawa prawna: art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes, czyli możliwość odtworzenia danych po awarii, błędzie lub ataku (zob. też art. 32 RODO).

11. Co widzi zespół platformy

Zespół platformy ma szerszy dostęp niż członkowie:
- personel z odpowiednimi uprawnieniami i superużytkownicy — w panelu administracyjnym przeglądają i zmieniają m.in. dane kont i profili (także pola niewidoczne dla członków), pliki, wydarzenia, aktualności i zapisy użycia, przeglądają ścieżkę audytu z adresami IP i przeglądarkami oraz dezaktywują konta — konta zakłada się wyłącznie przez zaproszenie (pkt 4) albo w konsoli serwera,
- personel z planem Team oraz superużytkownicy — wystawiają i cofają zaproszenia oraz widzą listę wystawionych (każde z adresem, społecznością i notatką, wystawiającym, czasami i kontem założonym dzięki zaproszeniu), przeglądają ścieżkę audytu na stronie Audyt, widzą limity i zapisy użycia oraz mogą używać zadań automatyzacji, które odczytują dane osób, w tym dane kontaktowe, i mogą je wysyłać do zewnętrznych serwisów (niżej),
- superużytkownicy — otwierają każdy plik, nadają poświadczenia, przyznają manę, tworzą, przypisują i cofają sygile, ustalają aurę każdej społeczności oraz widzą stan many każdego członka z jego zmianami, Kosz wszystkich członków i wnioski o usunięcie konta.

Tworzone przez zespół platformy zadania automatyzacji mogą odczytywać dane z platformy i wysyłać je do zewnętrznych serwisów przez ich interfejs API — na podstawie art. 6 ust. 1 lit. f RODO (nasz interes: automatyzacja pracy); nic nie jest wysyłane, dopóki zespół nie utworzy takiego zadania.

Zmiany wprowadzane w panelu administracyjnym zapisuje jego dziennik: kto i kiedy zmienił który obiekt (zapisany pod nazwą tego obiektu, np. wyświetlaną nazwą lub nazwą użytkownika) i które pola; wpisy te zachowujemy — znikają tylko wpisy osoby z zespołu platformy, której własne konto zostanie usunięte. Konta członków usuwamy wyłącznie poleceniem w konsoli serwera (pkt 13). Z szerszego dostępu zespół platformy korzysta wyłącznie w celach opisanych w pkt 3–10 oraz do obsługi zgłoszeń i próśb członków, wyjaśniania naruszeń i incydentów bezpieczeństwa i moderowania treści — na podstawie art. 6 ust. 1 lit. f RODO (nasz interes: bezpieczeństwo i porządek na platformie oraz ustalenie, dochodzenie i obrona roszczeń).

12. Odbiorcy danych i przekazywanie poza Europejski Obszar Gospodarczy (EOG)

Twoje dane mogą otrzymywać:
- inni członkowie platformy — w zakresie opisanym w pkt 3, 4, 6 i 7,
- każdy, kto zna adres Twojego awatara albo obrazu w aktualnościach — także bez logowania (pkt 6 i 7),
- zespół platformy — pkt 11,
- [[UZUPEŁNIJ: dostawca serwera, na którym działa platforma, i miejsce, w którym znajduje się serwer]] — na którego serwerze są przechowywane wszystkie dane i dzienniki,
- dostawca usługi poczty elektronicznej, przez którego wysyłamy wiadomości — gdy zostanie skonfigurowany (pkt 9),
- [[UZUPEŁNIJ: kto przechowuje kopie zapasowe albo zdanie: Kopie zapasowe przechowujemy na własnym sprzęcie.]] (pkt 10),
- dostawca zewnętrznej usługi przechowywania plików, w której zespół platformy utrzymuje zasobnik — jeśli taki zasobnik istnieje (pkt 7),
- OpenStreetMap Foundation i FOSSGIS e.V. — w zakresie map i wyszukiwania (pkt 7),
- zewnętrzne serwisy, do których dane wysyła zadanie automatyzacji zespołu platformy — jeśli takie zadanie istnieje (pkt 11).
Dostawcy serwera, poczty, przechowywania kopii zapasowych i zewnętrznego przechowywania plików przetwarzają dane w naszym imieniu i na nasze polecenie. Nie sprzedajemy danych i nie używamy reklam ani narzędzi analitycznych; nie korzystamy też z usług sztucznej inteligencji, operatorów płatności ani zewnętrznych usług rozpoznawania tekstu czy wykrywania wirusów. Poza mapami strony platformy nie pobierają niczego z zewnętrznych serwerów — czcionki, skrypty, style i obrazy pochodzą z naszego serwera, a obrazów z innych stron, które członkowie wstawią do swoich treści, Twoja przeglądarka nie wczyta.

Poza EOG trafiają dane przekazywane OpenStreetMap Foundation w Zjednoczonym Królestwie (kafelki map i wyszukiwanie miejsc, pkt 7) — na podstawie decyzji Komisji Europejskiej stwierdzającej, że to państwo zapewnia odpowiedni stopień ochrony danych (art. 45 RODO). [[UZUPEŁNIJ: inne przekazywanie danych osobowych poza Europejski Obszar Gospodarczy (EOG) i jego podstawa prawna albo zdanie: Innych danych osobowych nie przekazujemy poza Europejski Obszar Gospodarczy (EOG).]]

13. Usunięcie konta

Usunięcia konta zażądasz na swoim profilu, w zakładce „Twoje dane”: w sekcji „Usuń moje konto” wybierz „Poproś o usunięcie konta” i złóż wniosek. Złożenie wniosku jeszcze niczego nie usuwa: wniosek realizuje osoba z dostępem do konsoli serwera, a do tego czasu konto działa jak dotąd; jeśli wniosek zostanie odrzucony, powód — wraz z informacją o prawie do skargi do Prezesa UODO (pkt 16) i do sądu — zobaczysz w tej samej zakładce. Wniosek realizujemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Zanim złożysz wniosek, możesz pobrać kopię swoich danych (pkt 14).

Usuwamy:
- konto i profil, członkostwo w społecznościach i posiadane poświadczenia, akceptacje tej informacji i sesje,
- Twoje pliki z ich wersjami (także kopie przygotowane przez „Pobierz moje dane”) i plik awatara,
- Twoje zapisy użycia,
- wystawione dla Ciebie zaproszenia na wydarzenia i Twoje okresy dostępności,
- Twoje miejsce zamieszkania na mapie (punkt — chyba że mieszka tam ktoś jeszcze) i dodane przez Ciebie adresy, z których nic innego nie korzysta,
- powiadomienia przechowywane dla Ciebie oraz te przechowywane dla innych o tym, co zrobiłeś,
- Twój stan many, jego zmiany i historię Twoich sygili (sygil, który miałeś, wraca do superużytkowników, którzy mogą przypisać go ponownie),
- Twoją subskrypcję i jej miesięczne wiersze,
- zaproszenia, które są Twoje: to, dzięki któremu założono Twoje konto, i te wystawione dla Twojego adresu e-mail,
- magazyn kluczy i inne dane, które istnieją wyłącznie w związku z Twoim kontem.

Pozostają, już bez powiązania z Tobą:
- wydarzenia dodane z Twojego konta oraz napisane przez Ciebie aktualności społeczności,
- trasy i warstwy mapy dodane z Twojego konta oraz adresy, z których korzystają inne treści,
- historię plików i zasobników — bez wskazania Ciebie jako wykonującego,
- uruchomione przez Ciebie przepływy pracy oraz zasobniki, które należały do Ciebie, z plikami innych osób (Twój zasobnik osobisty — pod nową nazwą, bez Twojej nazwy użytkownika),
- wystawione przez Ciebie zaproszenia — bez wskazania Ciebie jako wystawiającego (do czasu ich usunięcia, pkt 4),
- manę przyznaną przez Ciebie innym oraz sygile przez Ciebie utworzone, przypisane lub cofnięte — bez wskazania Ciebie jako wykonującego,
- zapis utworzenia magazynu kluczy w dzienniku operacji kryptograficznych (czas, adres IP, przeglądarka).

Pozostają też:
- zapisy ścieżki audytu pod Twoją nazwą użytkownika, z adresami IP i przeglądarkami (pkt 8),
- wpisy dziennika panelu administracyjnego (pkt 11),
- zapis Twojego wniosku o usunięcie konta (z nazwą użytkownika, datami i stanem) — bez określonego terminu,
- kopie Twoich plików, które inni członkowie mają jako własne pliki (np. pobrane i wgrane ponownie),
- Twoje pliki przechowywane w zasobniku w zewnętrznej usłudze przechowywania plików, jeśli takie były: ich wpisy usuwamy tutaj, a same pliki usuwamy w tej usłudze osobno, ręcznie,
- kopie zapasowe — do czasu ich wygaśnięcia (pkt 10).

Podstawa prawna zachowania tych danych: art. 6 ust. 1 lit. f RODO — rozliczalność i nienaruszalność ścieżki audytu i dziennika operacji kryptograficznych, ciągłość treści innych członków oraz ustalenie, dochodzenie i obrona roszczeń; zapis wniosku — art. 6 ust. 1 lit. c RODO w związku z art. 12 i 17 RODO (pkt 14).

14. Twoje prawa

Masz prawo dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18) i przenoszenia (art. 20), sprzeciwu (art. 21, pkt 15) oraz wniesienia skargi do organu nadzorczego (pkt 16).

Jak z nich skorzystać:
- Kopia danych: na swoim profilu, w zakładce „Twoje dane”, wybierz „Pobierz moje dane”. Kopię przygotowujemy w tle (o nową możesz poprosić raz na dobę): plik zip z plikami CSV i JSON (w formacie nadającym się do przenoszenia) i plikiem README trafia do Twojego zasobnika osobistego; przechowujemy tylko najnowszą kopię — poprzednią usuwamy. Jeśli nie możesz skorzystać z przycisku, przygotujemy taką samą kopię na Twoją prośbę.
- Sprostowanie: większość danych profilu poprawisz samodzielnie na swoim profilu i w jego zakładce „Konto” (pkt 5); o pozostałe poprawki poproś nas.
- Usunięcie: konta — przez wniosek w zakładce „Twoje dane” na swoim profilu (pkt 13); innych danych, np. wystawionego dla Ciebie zaproszenia, gdy nie masz konta — napisz do nas.
- Ograniczenie przetwarzania, sprzeciw i inne sprawy: napisz na adres [[UZUPEŁNIJ: adres e-mail do spraw danych osobowych]].

Kopia danych zawiera m.in.:
- konto i profil (z awatarem i wpisanym adresem),
- społeczności i posiadane poświadczenia,
- wydarzenia, zaproszenia na wydarzenia i okresy dostępności,
- Twoje miejsce zamieszkania na mapie wraz z tym, co z niego udostępniasz, dodane przez Ciebie adresy i zapisane trasy,
- wiersze historii tego, co zrobiłeś z plikami i zasobnikami,
- Twój plan i jego miesięczne wiersze,
- powiadomienia przechowywane dla Ciebie i to, kiedy każde przeczytałeś,
- Twój stan many, każdą jego zmianę, sygile, które masz, i historię Twoich sygili,
- zaproszenia wystawione dla Twojego adresu e-mail albo przyjęte przez Twoje konto (bez skrótu linku i bez wskazania wystawiającego) oraz akceptacje tej informacji,
- sesje,
- zapisy ścieżki audytu o Twoich działaniach i o działaniach innych osób dotyczących Ciebie (bez adresów IP i przeglądarek tych osób),
- Twoje pliki (pliki zaszyfrowane — tylko w spisie).

Nie zawiera skrótu hasła, kluczy, tokenów ani treści zaszyfrowanych. O dane, których w niej nie ma (np. zapisy użycia), zapytaj nas.

Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca; w razie złożonych lub licznych żądań możemy ten termin przedłużyć o kolejne dwa miesiące — wtedy w ciągu pierwszego miesiąca poinformujemy Cię o tym i o przyczynach. Jeśli nie spełnimy żądania, w tym terminie podamy powody i poinformujemy Cię o prawie do skargi do Prezesa UODO i do sądu. Realizacja praw jest bezpłatna. Jeśli będziemy mieć uzasadnione wątpliwości, kim jesteś, możemy poprosić o dodatkowe informacje.

Nie przetwarzamy Twoich danych na podstawie zgody, więc nie ma zgody, którą trzeba by wycofać; pokazywanie adresu e-mail, telefonu i adresu zamieszkania możesz w każdej chwili wyłączyć. Dane związane z obsługą Twoich żądań (zapisy wniosków o kopię danych i o usunięcie konta oraz korespondencję w tych sprawach) przetwarzamy na podstawie art. 6 ust. 1 lit. c RODO w związku z art. 12–22 RODO. Zapisy wniosków o kopię danych usuwamy razem z kontem, zapis wniosku o usunięcie konta przechowujemy bez określonego terminu (pkt 13), a korespondencję — [[UZUPEŁNIJ: jak długo przechowujemy korespondencję w sprawie żądań, np. przez 3 lata od zakończenia sprawy]].

15. Prawo sprzeciwu

Masz prawo w każdej chwili wnieść sprzeciw — z przyczyn związanych z Twoją szczególną sytuacją — wobec przetwarzania Twoich danych na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Dotyczy to w szczególności dzienników, ścieżki audytu i innych zapisów bezpieczeństwa, powiadomień o bezpieczeństwie, raportów o błędach, kopii zapasowych, pobierania kafelków map, limitów i zapisów użycia, dostępu zespołu platformy (pkt 11), nieprzyjętego zaproszenia i zapisu o tym, kto wystawił zaproszenie, Twoich danych w treściach innych członków i danych zachowywanych po usunięciu konta.

Po otrzymaniu sprzeciwu przestaniemy przetwarzać te dane, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw, nadrzędnych wobec Twoich interesów, praw i wolności, albo podstaw do ustalenia, dochodzenia lub obrony roszczeń. Sprzeciw wyślij na adres [[UZUPEŁNIJ: adres e-mail do spraw danych osobowych]]. Nie przetwarzamy Twoich danych w celach marketingowych.

16. Skarga do organu nadzorczego

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl) albo do organu nadzorczego w państwie Unii Europejskiej, w którym mieszkasz, pracujesz lub w którym doszło do naruszenia.

17. Czy musisz podać dane?

Wybór nazwy użytkownika, wyświetlanej nazwy i hasła na stronie zaproszenia oraz zaznaczenie pola są dobrowolne, ale bez nich nie założymy Twojego konta. Adres e-mail jest potrzebny do resetu zapomnianego hasła i do powiadomień; jeśli zaproszenie go nie wskazuje, możesz go nie podawać, a innym członkom pokazujemy go tylko wtedy, gdy na to pozwolisz. Awatar, „O sobie”, telefon, adres zamieszkania, strefa czasowa i język są dobrowolne — bez nich nadal możesz korzystać z platformy. Treści tworzysz według własnego wyboru, a adres IP i dane przeglądarki przesyła automatycznie Twoja przeglądarka — bez nich nie da się korzystać ze strony.

18. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływają, i nie profilujemy Cię. O tym, kogo zaprosić, decyduje zespół platformy, poświadczenia nadają superużytkownicy, a konta członków usuwa człowiek.

Platforma stosuje natomiast proste, z góry określone reguły:
- wstrzymanie logowania po nieudanych próbach (pkt 3),
- wygaśnięcie linku zaproszenia po 72 godzinach, prośbę strony zaproszenia o odczekanie po 20 próbach w ciągu godziny (otwarciach linku, który nie jest otwarty, z jednego adresu IP; wysłaniach formularza jednego zaproszenia) oraz usunięcie zaproszenia 30 dni po wygaśnięciu linku (pkt 4),
- odmowę wgrania lub pobrania pliku po wyczerpaniu limitu użycia — odmowa wskazuje limit, a żadne dane nie są usuwane (pkt 7),
- odmowę wgrania pliku lub uruchomienia przepływu pracy, gdy Twoja mana tego nie pokrywa — odmowa podaje, ile potrzeba, ile masz i kiedy odnowienie wyrówna różnicę, a żadne dane nie są usuwane (pkt 7).

Jeśli uważasz, że któraś z tych reguł zadziałała wobec Ciebie niewłaściwie, napisz do nas — sprawę sprawdzi człowiek.

19. Pliki cookie i pamięć przeglądarki

Zgodnie z art. 399 Prawa komunikacji elektronicznej informujemy, jakie informacje platforma zapisuje w Twoim urządzeniu i odczytuje z niego. Używamy wyłącznie zapisów niezbędnych do działania platformy albo do zapamiętania ustawienia, które wybierasz; nie używamy plików cookie analitycznych, reklamowych ani śledzących, dlatego nie prosimy o zgodę.

Pliki cookie:
- sessionid — utrzymuje zalogowanie i sesję (zawiera tylko jej identyfikator; dane sesji są na serwerze); ustawiany po zalogowaniu (także gdy zakładasz konto na stronie zaproszenia), a u osoby niezalogowanej — gdy platforma musi zapamiętać przerwę po nieudanej próbie logowania albo otwarty link resetu hasła; ważny 2 tygodnie od ostatniej zmiany sesji albo do wylogowania; niedostępny dla skryptów strony, wysyłany tylko przez HTTPS; niezbędny,
- csrftoken — chroni formularze przed atakami CSRF (wysłaniem formularza w Twoim imieniu przez inną stronę); ustawiany przy pierwszej wizycie; ważny przez ok. rok; wysyłany tylko przez HTTPS; niezbędny,
- messages — przenosi na następną stronę jednorazowy komunikat (np. „zapisano”); istnieje tylko wtedy, gdy komunikat czeka, najdłużej do zamknięcia przeglądarki; niezbędny,
- django_language — zapamiętuje język wybrany w nagłówku strony, także przez osobę niezalogowaną; do zamknięcia przeglądarki; ustawienie wybrane przez Ciebie.

Pamięć przeglądarki (localStorage, jeśli nie zaznaczono inaczej; dane zostają, dopóki ich nie usuniesz, i nie są wysyłane na serwer):
- darkMode — tryb jasny lub ciemny, zapisywany po kliknięciu przełącznika w nagłówku,
- vault_view_mode, clearances_view — wybrany widok listy plików i układ strony poświadczeń,
- w panelu administracyjnym (tylko zespół platformy) — stan menu, motyw i filtry list (filtry do zamknięcia karty).

Poza wymienionymi zapisami nie zapisujemy w Twojej przeglądarce niczego innego. Te dane możesz usunąć albo zablokować ich zapisywanie w ustawieniach przeglądarki; bez plików sessionid i csrftoken nie da się jednak zalogować ani wysłać formularza.

20. Dane szczególnych kategorii

Nie zbieramy danych szczególnych kategorii (np. o zdrowiu, poglądach, wyznaniu, pochodzeniu etnicznym, orientacji seksualnej czy przynależności związkowej) i nie analizujemy zdjęć w celu rozpoznawania osób. Takie dane mogą jednak wynikać z tego, co wpiszesz (np. w polu „O sobie”), albo z charakteru społeczności, do której należysz — a przynależność do społeczności widzą wszyscy zalogowani członkowie. Zastanów się, zanim udostępnisz takie dane.

21. Zmiany tej informacji

Każdą zmianę tej informacji publikujemy jako nową, numerowaną wersję; wcześniejszych wersji nie zmieniamy i pozostają one dostępne, każda pod własnym adresem, kończącym się na /socialhub/privacy/v1/, /socialhub/privacy/v2/ itd. Numer wersji zaakceptowanej na stronie zaproszenia zapisujemy przy Twoim profilu. Jeśli zamierzamy przetwarzać dane w nowym celu, poinformujemy Cię o tym, zanim zaczniemy.