Przejdź do treści

Polityka prywatności

Ostatnia aktualizacja:

To jest tłumaczenie. Wiążąca jest wersja angielska.

Groopla to system rezerwacji dla osób prowadzących zajęcia grupowe. Ta polityka wyjaśnia, jakie dane osobowe przetwarzamy, w jakim celu, na jakiej podstawie prawnej i jak długo, kto jeszcze je widzi i jakie prawa przysługują Ci na podstawie ogólnego rozporządzenia o ochronie danych (RODO). Pojęcia takie jak „organizacja”, „klient” i „członek zespołu” mają znaczenie nadane im w naszym regulaminie.

1. Kto odpowiada za dane

Grooplę udostępnia Piotr Okoński, przedsiębiorca prowadzący jednoosobową działalność gospodarczą, ul. Romana Dmowskiego 19C/60, 50-203 Wrocław, NIP 7393733618 („my”). Z pytaniami o swoje dane lub aby skorzystać ze swoich praw, napisz na [email protected] lub na ten adres. Nie wyznaczyliśmy inspektora ochrony danych, ponieważ prawo tego od nas nie wymaga; na pytania o ochronę danych odpowiadamy sami.

2. Nasze dwie role

  • Jesteśmy administratorem danych związanych z naszą własną relacją z Tobą: kont właścicieli i członków zespołu, rozliczeń, naszych stron i katalogu, logowania klientów do portalu, bezpieczeństwa i wiadomości, które do nas wysyłasz. Ta polityka w pełni opisuje to przetwarzanie.
  • Jesteśmy podmiotem przetwarzającym dane, które każda organizacja prowadzi o swoich klientach: dane kontaktowe, rezerwacje, miejsca na listach oczekujących, karnety, płatności i obecności. To organizacja decyduje, co i w jakim celu przechowuje, i jest administratorem. Przetwarzamy te dane wyłącznie na jej polecenie, na podstawie umowy powierzenia przetwarzania danych z Załącznika 1 do naszego regulaminu. Jeśli rezerwujesz zajęcia, z pytaniami o te dane zwróć się najpierw do organizacji, u której rezerwujesz; obowiązuje też jej własna informacja o ochronie prywatności.

3. Odwiedzający nasze strony

  • Co: Twój adres IP, dane przeglądarki i urządzenia oraz strony, o które prosisz, tak jak otrzymuje je każdy serwer WWW. Na stronie groop.la/classes nasz dostawca sieci Cloudflare szacuje na podstawie adresu IP Twoją przybliżoną lokalizację (mniej więcej z dokładnością do miasta), żebyśmy mogli pokazać zajęcia w pobliżu. Jeśli szukasz miejsca, wpisany tekst trafia do naszego dostawcy wyszukiwania adresów.
  • Cel i podstawa prawna: pokazanie stron i wyników, o które prosisz, oraz zapewnienie bezpieczeństwa i działania usługi, co jest naszym prawnie uzasadnionym interesem (art. 6 ust. 1 lit. f RODO).
  • Jak długo: nie przechowujemy Twojej przybliżonej lokalizacji ani wyszukiwań; używamy ich tylko do odpowiedzi na zapytanie. Logi serwerów i sieci z adresami IP przechowujemy przez krótki czas ze względów bezpieczeństwa, maksymalnie 30 dni.

Nie używamy narzędzi analitycznych ani reklamowych i nie śledzimy Cię na innych stronach.

4. Osoby rezerwujące zajęcia

Co przechowuje organizacja, u której rezerwujesz

Gdy rezerwujesz, dane organizacji o Tobie są przechowywane w Groopli: Twoje imię i nazwisko, numer telefonu lub adres e-mail (albo oba), to, które z nich potwierdziłeś kodem, Twoje ustawienia powiadomień oraz rezerwacje, miejsca na listach oczekujących, karnety, płatności (status i kwoty, nigdy numery kart) i obecności, w tym opuszczone zajęcia. Administratorem tych danych jest organizacja (punkt 2). Może ona też widzieć historię wiadomości z Groopli do Ciebie, np. przypomnień, które zostały wysłane lub nie dotarły.

Dane te są przechowywane tak długo, jak organizacja ma Cię wśród swoich klientów. Usuwamy je, gdy usunie je organizacja, gdy zamknie ona konto (w ciągu 30 dni, a z kopii zapasowych w ciągu kolejnych 30 dni) albo gdy nas o to poprosi. Historia wysłanych do Ciebie wiadomości jest usuwana po 12 miesiącach.

Co robimy jako administrator

  • Logowanie. Aby Cię zalogować, wysyłamy jednorazowy kod SMS-em lub e-mailem i przechowujemy zapis tej prośby i Twojej sesji: numer telefonu lub adres e-mail, adres IP i przeglądarkę oraz czas logowania. Podstawa prawna: świadczenie usługi portalu, z której chcesz korzystać na podstawie naszego regulaminu (art. 6 ust. 1 lit. b), oraz zapewnienie bezpieczeństwa kont (art. 6 ust. 1 lit. f). Sesja wygasa po 30 dniach nieużywania albo gdy się wylogujesz. Prośby o logowanie i zakończone sesje są usuwane po 90 dniach.
  • Twoje rezerwacje w jednym miejscu. Jeśli rezerwujesz u kilku organizacji, portal pokazuje wszystkie Twoje rezerwacje razem, a strona groop.la/classes proponuje nadchodzące zajęcia organizacji, u których już rezerwowałeś. Twoich rezerwacji używamy tylko w tym celu; każda organizacja nadal widzi tylko własne dane. Podstawa prawna: świadczenie usługi portalu (art. 6 ust. 1 lit. b) oraz nasz prawnie uzasadniony interes w pokazywaniu Ci odpowiednich zajęć (art. 6 ust. 1 lit. f). Możesz w każdej chwili wnieść sprzeciw; wylogowanie również wyłącza propozycje.
  • Odnajdywanie Twojego konta w różnych regionach. Groopla może działać w kilku regionach. Aby skierować Cię do właściwego, przechowujemy jednokierunkowy, zakodowany odcisk Twojego numeru telefonu i adresu e-mail (skrót z kluczem) wraz z nazwą regionu, a nie sam numer czy adres. Podstawa prawna: nasz prawnie uzasadniony interes w niezawodnym działaniu usługi (art. 6 ust. 1 lit. f). Odcisk jest usuwany, gdy żadna organizacja nie ma Cię już wśród swoich klientów.

Aby rezerwować przez Grooplę, musisz podać numer telefonu lub adres e-mail, bo w ten sposób potwierdzamy, że to Ty, a organizacja kontaktuje się z Tobą w sprawie rezerwacji. Możesz też zamiast tego rezerwować bezpośrednio u organizacji.

5. Właściciele i członkowie zespołu

  • Co: Twoje imię i nazwisko, adres e-mail i organizacja, Twoja rola i to, czy możesz prowadzić zajęcia, skrót hasła (nigdy nie widzimy samego hasła), dane zaproszenia, ustawienia powiadomień i skrzynki, sesje logowania z adresem IP i przeglądarką oraz zapis Twoich działań w aplikacji, np. edycji zajęć lub odwołania rezerwacji, który Twój zespół widzi w dzienniku aktywności.
  • Cel i podstawa prawna: świadczenie usług Groopli na podstawie naszej umowy z organizacją. W przypadku właściciela, który założył konto, jest to umowa z nami (art. 6 ust. 1 lit. b). W przypadku zaproszonych członków zespołu jest to nasz i organizacji prawnie uzasadniony interes w zapewnieniu jej zespołowi kont, o które poprosiła (art. 6 ust. 1 lit. f). Bezpieczeństwo, zapobieganie nadużyciom i dziennik aktywności to również prawnie uzasadnione interesy.
  • Wsparcie: gdy poprosisz nas o pomoc albo gdy musimy usunąć problem, zadbać o bezpieczeństwo Groopli lub wypełnić obowiązek prawny, możemy przeglądać konto Twojej organizacji w trybie tylko do odczytu. Każde takie przeglądanie jest rejestrowane.
  • Jak długo: tak długo, jak organizacja ma konto. Wpisy w dzienniku aktywności są usuwane po 12 miesiącach. Sesje kończą się, gdy się wylogujesz, a nieużywane są usuwane po 90 dniach. Jeśli właściciel usunie Cię z zespołu, Twoje logowanie zostaje natychmiast zakończone; Twoje imię i nazwisko pozostaje w historii Twoich działań i prowadzonych przez Ciebie zajęć do zamknięcia konta organizacji. Logi dostarczeń webhooków, które mogą zawierać dane rezerwacji, są usuwane po 30 dniach.
  • Adresy e-mail członków zespołu są unikalne we wszystkich regionach, dlatego przechowujemy zakodowany odcisk Twojego adresu wraz z regionem, taki jak opisany w punkcie 4.

6. Rozliczenia

  • Co: dane do faktury wpisane przez właściciela (nazwa firmy lub imię i nazwisko, adres, e-mail do faktur i numer identyfikacji podatkowej), plan, faktury, płatności i zwroty. Dane kart trafiają bezpośrednio do Stripe; nie widzimy ich i nie przechowujemy.
  • Cel i podstawa prawna: pobieranie opłat za płatne plany (art. 6 ust. 1 lit. b); wystawianie i przechowywanie faktur i dokumentacji księgowej oraz weryfikacja unijnych numerów VAT, czego wymaga prawo podatkowe (art. 6 ust. 1 lit. c); ustalenie i obrona roszczeń (art. 6 ust. 1 lit. f).
  • Jak długo: faktury i dokumentację księgową przez 5 lat od końca roku, w którym powstał obowiązek podatkowy, zgodnie z polskim prawem podatkowym, także po zamknięciu konta. Pozostałe dane do faktur są usuwane wraz z kontem.

7. Gdy do nas piszesz

Jeśli wysyłasz nam e-mail, także ze zgłoszeniem treści lub reklamacją, przechowujemy Twoją wiadomość, adres e-mail i naszą odpowiedź, żeby móc odpowiedzieć i mieć zapis tego, co ustalono. Podstawa prawna: nasz prawnie uzasadniony interes w odpowiedzi (art. 6 ust. 1 lit. f) albo obowiązek prawny, gdy prawo wymaga od nas rozpatrzenia sprawy. Przechowujemy te wiadomości do 3 lat od zakończenia sprawy, co odpowiada ogólnemu terminowi przedawnienia roszczeń.

8. Wiadomości, które wysyłamy

Groopla wysyła wiadomości potrzebne do korzystania z niej: klientom kody logowania, potwierdzenia rezerwacji, zmiany, przypomnienia i informacje z list oczekujących, SMS-em lub e-mailem, zgodnie z wyborem organizacji i klienta. Właściciele i członkowie zespołu dostają wiadomości dotyczące ich konta, takie jak zaproszenia, resetowanie hasła, wskazówki na start po rejestracji, zamówione podsumowania skrzynki, informacje o planie i płatnościach oraz ostrzeżenia o niedziałających webhookach.

Nie wysyłamy treści marketingowych. Jeśli kiedyś zechcemy wysyłać informacje o nowościach, najpierw poprosimy o Twoją zgodę, zgodnie z polskim prawem, a Ty będziesz mógł ją w każdej chwili wycofać.

9. Kto jeszcze ma dostęp do danych

Nie sprzedajemy danych osobowych. Następujący dostawcy przetwarzają je dla nas na podstawie umów, które zobowiązują ich do ich ochrony i korzystania z nich wyłącznie na nasze potrzeby:

  • Hetzner Online GmbH utrzymuje nasze serwery i bazę danych, w Niemczech lub Finlandii.
  • Nasz dostawca poczty e-mail wysyła e-maile, więc otrzymuje adresy e-mail i treść wiadomości.
  • Cloudflare, Inc. przesyła i chroni ruch do Groopli oraz szacuje przybliżoną lokalizację odwiedzających, więc przechodzi przez niego cały ruch.
  • Twilio Inc. wysyła SMS-y i kody logowania, więc otrzymuje numery telefonów i treść wiadomości.
  • komoot GmbH (Photon) lub Unwired Labs (LocationIQ) zamieniają adresy i wpisane miejsca na pozycje na mapie. Otrzymują wyłącznie tekst, a nie informację, kto go wpisał.
  • Stripe przetwarza płatności za plany Groopli i oblicza należny od nich podatek.
  • InFakt prowadzi naszą księgowość i wystawia nasze faktury.

Niektórzy odbiorcy są samodzielnymi administratorami:

  • Organizacje widzą dane własnych klientów oraz imiona i nazwiska i działania swojego zespołu.
  • Stripe, gdy klient płaci organizacji online. Płatność trafia na własne konto Stripe organizacji, na podstawie jej umowy ze Stripe i polityki prywatności Stripe.
  • Narzędzia, które organizacja łączy przez nasze API lub webhooki, otrzymują dane, które im wysyła, na odpowiedzialność tej organizacji.
  • Polskie organy podatkowe, które otrzymują nasze faktury przez Krajowy System e-Faktur (KSeF), oraz usługa VIES Komisji Europejskiej, która weryfikuje unijne numery VAT.
  • Sądy, organy i doradcy zawodowi, gdy wymaga tego prawo albo w celu ustalenia lub obrony roszczeń.

Jeśli Grooplę przejmie spółka, dane przejdą do niej na zasadach tej polityki, o czym poinformujemy Cię z wyprzedzeniem.

10. Przekazywanie danych poza Europę

Naszą bazę danych przechowujemy w Unii Europejskiej. Twilio i Cloudflare mają siedziby w Stanach Zjednoczonych, a LocationIQ może przetwarzać zapytania poza Europą. Gdy dane opuszczają Europejski Obszar Gospodarczy, opieramy się na decyzji stwierdzającej odpowiedni stopień ochrony, np. ramach ochrony danych UE–USA w przypadku certyfikowanych firm, albo na standardowych klauzulach umownych Komisji Europejskiej. Napisz do nas, aby otrzymać kopię tych zabezpieczeń.

11. Pliki cookie i pamięć przeglądarki

Używamy tylko tego, czego Groopla potrzebuje do działania, na co prawo pozwala bez pytania o zgodę. Nie ma plików cookie analitycznych ani reklamowych.

  • __Host-session_id: utrzymuje zalogowanie właścicieli i członków zespołu w aplikacji, do wylogowania.
  • __Host-client_session_id: utrzymuje zalogowanie klientów w portalu, do 30 dni bez używania.
  • gpl_region: zapamiętuje, w którym regionie jest Twoje konto, żeby zapytania trafiały na właściwe serwery.
  • _groopla_session: przenosi krótkie komunikaty między stronami, np. „Rezerwacja potwierdzona” lub błędy formularza; wygasa po zamknięciu przeglądarki.
  • __Host-admin_session_id: loguje naszych pracowników do naszego panelu administracyjnego, w osobnej domenie.

Jasny lub ciemny motyw oraz to, czy boczne menu aplikacji jest zwinięte, są zapisywane w Twojej przeglądarce (localStorage) i nigdy nie są do nas wysyłane. Pliki cookie i zapisane dane możesz usunąć w ustawieniach przeglądarki; potem trzeba będzie zalogować się ponownie.

12. Zautomatyzowane decyzje

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO). Niektóre rzeczy dzieją się automatycznie, według zasad ustalonych przez organizację: na przykład rezerwacje online mogą zostać wstrzymane po kilku opuszczonych zajęciach, miejsca z listy oczekujących są przydzielane po kolei, a nieopłacone rezerwacje są zwalniane. Organizacja zawsze może je sprawdzić i zmienić, a jej pracownicy nadal mogą Cię zapisać.

13. Twoje prawa

Masz prawo:

  • otrzymać kopię swoich danych i informacje o tym, jak z nich korzystamy;
  • żądać ich sprostowania, jeśli są nieprawidłowe;
  • żądać ich usunięcia lub ograniczenia przetwarzania w przypadkach przewidzianych prawem;
  • otrzymać dane, które nam przekazałeś, w powszechnie używanym formacie nadającym się do odczytu maszynowego, albo żądać ich przesłania komuś innemu;
  • wnieść sprzeciw wobec przetwarzania opartego na naszych prawnie uzasadnionych interesach, z przyczyn związanych z Twoją szczególną sytuacją;
  • w każdej chwili wycofać zgodę, jeśli na niej się opieramy, bez wpływu na wcześniejsze przetwarzanie.

Napisz na [email protected]. Możemy poprosić o potwierdzenie, że to Ty, np. kodem wysłanym na Twój telefon lub e-mail. Odpowiadamy w ciągu miesiąca albo w tym czasie informujemy, że potrzebujemy do dwóch kolejnych miesięcy, bo żądanie jest złożone. W przypadku danych, których administratorem jest organizacja, przekazujemy jej Twoje żądanie i pomagamy na nie odpowiedzieć; możesz też zwrócić się bezpośrednio do organizacji.

Możesz złożyć skargę do organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl. Skargę możesz też złożyć w kraju UE, w którym mieszkasz lub pracujesz.

14. Bezpieczeństwo

Cały ruch do Groopli jest szyfrowany. Hasła są przechowywane wyłącznie jako silne skróty jednokierunkowe, klienci logują się jednorazowymi kodami, dane każdej organizacji są od siebie oddzielone, a dostęp do systemów mają tylko osoby, które go potrzebują, przy czym dostęp administracyjny jest rejestrowany. Regularnie tworzymy kopie zapasowe bazy danych i aktualizujemy oprogramowanie. Jeśli naruszenie ochrony danych wiąże się z wysokim ryzykiem dla Twoich praw, informujemy Cię o nim bez zbędnej zwłoki.

15. Dzieci

Groopla nie jest przeznaczona do samodzielnego korzystania przez dzieci. Klienci muszą mieć co najmniej 16 lat; za młodsze dzieci rezerwuje rodzic lub opiekun, podając własne dane kontaktowe.

16. Zmiany

Jeśli zmienimy tę politykę w istotny sposób, aktualizujemy datę powyżej i przed wejściem zmiany w życie informujemy e-mailem właścicieli organizacji oraz klientów z kontem.