Polityka prywatności
CheapTripps planuje tanie tripy przez kilka miast w Europie i wyszukuje loty. Ta polityka wyjaśnia, kto przetwarza Twoje dane osobowe, w jakim celu, na jakiej podstawie prawnej, jak długo je przechowujemy i czego możesz od nas żądać. Spełnia wymogi art. 13 i 14 RODO (rozporządzenie UE 2016/679).
Nie sprzedajemy Twoich danych osobowych, nie wykorzystujemy ich do reklamy i nie udostępniamy ich sieciom reklamowym.
1. Kto jest administratorem Twoich danych
Administratorem jest naSpotted sp. z o.o., al. Jana Pawła II 43A/37B, 01-001 Warszawa, Polska, 5273228667, KRS 0001255909, REGON 545316965; sąd rejestrowy: Sąd Rejonowy dla m.st. Warszawy w Warszawie, Wydział Gospodarczy Krajowego Rejestru Sądowego („my”) – operator serwisu CheapTripps.
Kontakt we wszystkich sprawach dotyczących danych osobowych: support@cheaptripps.com lub listownie na adres wskazany wyżej.
Inspektor ochrony danych: nie wyznaczyliśmy inspektora ochrony danych - nie mamy takiego obowiązku (art. 37 RODO). Wszystkie żądania dotyczące Twoich danych kieruj na powyższy adres kontaktowy.
2. Jakie dane zbieramy, po co i na jakiej podstawie
Każda kategoria danych ma swój cel, własną podstawę prawną z art. 6 ust. 1 RODO i własny okres przechowywania.
| Kategoria danych | Cel | Podstawa prawna (art. 6 ust. 1 RODO) | Okres przechowywania |
|---|---|---|---|
| Adres e-mail | Założenie i prowadzenie konta, logowanie bez hasła (magic link), wiadomości serwisowe dotyczące konta | lit. b) – wykonanie umowy (nasz Regulamin) | Przez czas istnienia konta, następnie 30 dni od jego usunięcia (szyfrowane kopie zapasowe: do 90 dni) |
| Anonimowy identyfikator urządzenia (losowy ID w przeglądarce) | Zliczanie darmowych planów tripa przed rejestracją i zapobieganie obchodzeniu darmowego limitu | lit. f) – prawnie uzasadniony interes: ochrona darmowego planu przed nadużyciami | Do wyczyszczenia pamięci przeglądarki; po naszej stronie nie dłużej niż 12 miesięcy od ostatniego zapytania |
| Dane o korzystaniu (liczba wyszukiwań i planów, rodzaj planu, parametry wyszukiwania) | Świadczenie usługi limitowanej, egzekwowanie limitów planu, diagnostyka awarii | lit. b) – wykonanie umowy; lit. f) – prawnie uzasadniony interes: stabilność i bezpieczeństwo usługi | 12 miesięcy od zdarzenia |
| Dane płatnicze i abonamentowe (identyfikator klienta i subskrypcji w Stripe, plan, status płatności). Nigdy nie otrzymujemy numeru karty. | Obsługa planów płatnych, wystawianie faktur, obsługa reklamacji i odstąpień | lit. b) – wykonanie umowy; lit. c) – obowiązek prawny: przepisy o rachunkowości i podatkowe | 5 lat od końca roku obrotowego, w którym nastąpiła płatność, albo przez okres wymagany w kraju siedziby sprzedawcy |
| Alerty cenowe (trasa, daty, próg ceny) | Wysyłka e-maila lub powiadomienia push, gdy cena spadnie | lit. b) – wykonanie umowy; lit. a) – zgoda dla kanału push | Do usunięcia alertu lub konta |
| Subskrypcja web push (endpoint i klucze przeglądarki) | Dostarczanie powiadomień o spadku ceny, o które poprosiłeś | lit. a) – zgoda (art. 6 ust. 1 lit. a RODO oraz art. 5 ust. 3 dyrektywy ePrivacy) | Do cofnięcia zgody albo unieważnienia endpointu przez przeglądarkę |
| Adres e-mail podany w celach marketingowych (lista oczekujących, newsletter) | Wysyłka okazji i informacji o produkcie | lit. a) – zgoda | Do cofnięcia zgody lub wypisania się |
| Analityka produktowa (pseudonimowe zdarzenia: odwiedzone ekrany, używane funkcje, typ urządzenia, przybliżony region z adresu IP) | Zrozumienie, jak używa się serwisu, i ulepszanie go | lit. a) – zgoda: zbierane dopiero po akceptacji analityki w banerze cookies | 12 miesięcy |
| Zdanie wpisane do plannera (np. „2 tygodnie po Włoszech z Krakowa”) | Zamiana zapytania na plan tripa; tekst trafia do Claude API (Anthropic) w celu interpretacji | lit. b) – wykonanie umowy | Do 30 dni w logach zapytań; nie służy do trenowania żadnego modelu |
| Logi serwera (adres IP, user agent, czas i typ zapytania) | Bezpieczeństwo, zapobieganie nadużyciom i oszustwom, diagnostyka awarii | lit. f) – prawnie uzasadniony interes: dostępność i bezpieczeństwo usługi | Do 12 miesięcy |
| Korespondencja (wiadomości do nas, reklamacje, oświadczenia o odstąpieniu) | Udzielenie odpowiedzi, obsługa reklamacji i odstąpień, dowód na wypadek sporu | lit. b) – wykonanie umowy; lit. c) – obowiązek prawny; lit. f) – ustalenie i dochodzenie roszczeń lub obrona przed nimi | Do 3 lat od zakończenia sprawy |
Tam, gdzie podstawą jest zgoda (lit. a), możesz ją cofnąć w każdej chwili; cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia. Tam, gdzie podstawą jest nasz prawnie uzasadniony interes (lit. f), możesz wnieść sprzeciw – patrz punkt 6. Podanie adresu e-mail jest dobrowolne, ale bez niego nie założymy konta ani nie uruchomimy planu płatnego.
3. Kto jeszcze przetwarza Twoje dane (podprocesorzy)
Korzystamy z poniższych dostawców jako podmiotów przetwarzających. Działają wyłącznie na nasze udokumentowane polecenie i na podstawie umów powierzenia.
| Dostawca | Co robi | Gdzie przetwarzane są dane |
|---|---|---|
| Supabase | Uwierzytelnianie i baza danych aplikacji | UE (region Frankfurt); spółka matka w USA |
| Stripe | Płatności, subskrypcje, faktury. Dane karty trafiają bezpośrednio do Stripe – nigdy ich nie widzimy. | UE (Stripe Payments Europe Ltd., Irlandia) oraz USA |
| Vercel | Hosting strony i sieć brzegowa | Regiony UE dla serwowania aplikacji; spółka matka w USA |
| Railway | Hosting backendu API i bazy cen | UE (region Amsterdam); spółka matka w USA |
| PostHog | Analityka produktowa – ładowana dopiero po akceptacji analityki w banerze cookies | UE (PostHog EU Cloud, Niemcy) |
| Brevo | Maile transakcyjne, alerty cenowe i newsletter | UE (Francja) |
| Anthropic | Claude API – zamienia wpisane zdanie na plan tripa | USA |
To jest aktualna lista. Zmianę podprocesora odnotowujemy na tej stronie. Jeśli chcesz poznać treść umowy powierzenia z konkretnym dostawcą, napisz na adres kontaktowy.
4. Przekazywanie danych poza Europejski Obszar Gospodarczy
Większość danych pozostaje w EOG. Dwie sytuacje mogą wiązać się z przekazaniem do Stanów Zjednoczonych: Claude API (Anthropic, USA), które interpretuje zdanie wpisane do plannera, oraz dostęp wsparcia technicznego i administracyjnego spółek matek Supabase, Stripe, Vercel i Railway.
Przekazania te opierają się na standardowych klauzulach umownych Komisji Europejskiej (art. 46 ust. 2 lit. c RODO) zawartych w umowach powierzenia z każdym dostawcą, a w przypadku dostawców certyfikowanych – na decyzji o adekwatności dla EU-US Data Privacy Framework (art. 45 RODO).
Możesz poprosić nas o kopię zabezpieczeń zastosowanych przy konkretnym przekazaniu, pisząc na adres z punktu 1.
5. Jak długo przechowujemy dane
Okres dla każdej kategorii znajduje się w tabeli w punkcie 2. W skrócie: dane konta żyją tak długo jak konto, dokumentacja księgowa przez okres ustawowy, analityka 12 miesięcy, logi techniczne do 12 miesięcy.
Po usunięciu konta kasujemy dane w ciągu 30 dni, poza tym, co musimy zachować na podstawie przepisów (faktury) albo dla ustalenia, dochodzenia lub obrony roszczeń.
6. Twoje prawa
Na podstawie RODO masz prawo do:
- dostępu do swoich danych i uzyskania ich kopii (art. 15)
- sprostowania danych nieprawidłowych i uzupełnienia niekompletnych (art. 16)
- usunięcia danych – „prawo do bycia zapomnianym” (art. 17)
- ograniczenia przetwarzania (art. 18)
- przenoszenia danych – otrzymania danych, które nam podałeś, w ustrukturyzowanym formacie nadającym się do odczytu maszynowego i przesłania ich innemu administratorowi (art. 20)
- wniesienia sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, a wobec marketingu bezpośredniego – w każdej chwili i bez podania przyczyny (art. 21)
- cofnięcia każdej zgody w dowolnym momencie, równie łatwo jak jej udzieliłeś, bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia (art. 7 ust. 3)
- niepodlegania decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu i wywołującej wobec Ciebie skutki prawne (art. 22) – takich decyzji nie podejmujemy
Aby skorzystać z któregokolwiek z tych praw, napisz na support@cheaptripps.com. Odpowiadamy w ciągu miesiąca; przy żądaniach złożonych możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o przyczynie. Usunięcie konta w aplikacji również kasuje Twoje dane.
Masz też prawo wnieść skargę do organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl. Skargę możesz złożyć także do organu w kraju UE, w którym mieszkasz lub pracujesz, albo w którym doszło do domniemanego naruszenia.
Organem nadzorczym właściwym dla nas jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl). Skargę możesz złożyć również do organu nadzorczego w kraju swojego miejsca zamieszkania lub pracy.
7. Zautomatyzowane decyzje i profilowanie
Nie profilujemy Cię na potrzeby reklamy i nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne ani podobnie istotnie na Ciebie wpływających (art. 22 RODO).
Planner tripów jest zautomatyzowany, ale porządkuje wyłącznie połączenia lotnicze według ceny i rozkładu. Nie ocenia Cię jako osoby, a wynik jest propozycją, którą możesz zignorować.
Analityka produktowa (PostHog), jeśli ją zaakceptujesz, jest pseudonimowa i używana zbiorczo: patrzymy na to, jak używane są funkcje, a nie na poszczególne osoby.
8. Pliki cookies i pamięć lokalna
Nie stosujemy cookies reklamowych i niczego nie udostępniamy sieciom reklamowym. Wszystko, co nie jest niezbędne, ładuje się dopiero po Twojej akceptacji w banerze cookies.
Decyzję możesz zmienić w każdej chwili przyciskiem poniżej albo czyszcząc dane tej strony w przeglądarce. Odrzucenie analityki usuwa już ustawione cookies PostHoga.
- Niezbędne (nie wymagają zgody, art. 5 ust. 3 ePrivacy): sesja logowania (Supabase), anonimowy identyfikator urządzenia zliczający darmowe plany, zapis Twojej decyzji o cookies oraz cookies Stripe zapobiegające oszustwom podczas płatności.
- Preferencje (tylko pamięć lokalna): język, waluta, zapisane plany i ulubione. To nie opuszcza Twojej przeglądarki.
- Analityczne (wyłącznie za zgodą): PostHog, serwery w UE, identyfikator przechowywany do 12 miesięcy. Ładowane dopiero po kliknięciu „Akceptuję”.
9. Bezpieczeństwo
Dane przesyłamy przez TLS. Nie ma haseł, które mogłyby wyciec – logujemy jednorazowymi linkami. Dostęp do danych produkcyjnych mają wyłącznie osoby prowadzące serwis.
Żaden system nie jest w pełni bezpieczny. Jeżeli naruszenie może powodować ryzyko naruszenia Twoich praw, zawiadamiamy organ nadzorczy oraz – gdy przepisy tego wymagają – Ciebie, zgodnie z art. 33 i 34 RODO.
10. Dzieci
Serwis nie jest kierowany do osób poniżej 16. roku życia i świadomie nie zbieramy ich danych. Jeśli uważasz, że dziecko przekazało nam dane osobowe, napisz do nas – usuniemy je.
11. Skąd pochodzą dane
Wszystkie dane osobowe pochodzą od Ciebie: bezpośrednio (adres e-mail, wpisane zdanie, ustawione alerty) albo automatycznie z Twojej przeglądarki (identyfikator urządzenia, logi techniczne, a po wyrażeniu zgody – zdarzenia analityczne).
Nie kupujemy danych osobowych i nie pozyskujemy ich z zewnętrznych baz ani od brokerów danych. Dane o lotach i cenach pochodzą z publicznych źródeł linii lotniczych i nie zawierają danych osobowych.
12. Zmiany polityki
Możemy aktualizować tę politykę – data na górze zawsze wskazuje aktualną wersję. Jeżeli zmiana istotnie wpływa na Twoje prawa, poinformujemy Cię e-mailem lub w aplikacji, zanim wejdzie w życie.
13. Kontakt
Pytania o tę politykę lub o swoje dane: support@cheaptripps.com, naSpotted sp. z o.o., al. Jana Pawła II 43A/37B, 01-001 Warszawa, Polska.