Ten dokument wyjaśnia, jakie dane osobowe przetwarzamy w serwisie zapisum.com i w aplikacji app.zapisum.com, w jakim celu, jak długo i jakie masz prawa. Został sporządzony zgodnie z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).
1. Administrator danych osobowych
- Administratorem danych osobowych jest Rebel Code sp. z o.o., pl. Bankowy 2, 00-095 Warszawa, KRS: 0000962361, NIP: 1182239077 („Operator”, „my”).
- Administrator nie wyznaczył Inspektora Ochrony Danych. We wszystkich sprawach dotyczących danych osobowych możesz pisać na adres gdpr@zapisum.com.
2. Kogo dotyczy ta polityka
- Osób odwiedzających stronę zapisum.com.
- Firm i osób, które założyły konto w Zapisum („Klienci”), oraz osób, którym Klient dał dostęp do panelu („Użytkownicy”).
- Osób, które rezerwują wizyty u Klientów przez stronę rezerwacji Zapisum („Osoby rezerwujące”). Administratorem ich danych jest Klient, u którego rezerwują wizytę, a my przetwarzamy je w jego imieniu jako podmiot przetwarzający (zob. punkt 13).
3. Cele i podstawy prawne przetwarzania
- Założenie i prowadzenie konta, świadczenie usługi i realizacja umowy, w tym okresu próbnego — art. 6 ust. 1 lit. b RODO.
- Wystawianie faktur i prowadzenie rozliczeń — art. 6 ust. 1 lit. c RODO w związku z przepisami podatkowymi i o rachunkowości.
- Odpowiadanie na wiadomości i zgłoszenia, obsługa reklamacji, zapewnienie bezpieczeństwa usługi, dochodzenie roszczeń i obrona przed nimi — art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes).
- Wiadomości e-mail związane z kontem (potwierdzenie adresu, zmiana hasła, koniec okresu próbnego, zmiany regulaminu) — art. 6 ust. 1 lit. b i f RODO.
- Integracja z kalendarzem Google, Microsoft lub Apple — wyłącznie na Twoje polecenie, gdy sam połączysz kalendarz w panelu — art. 6 ust. 1 lit. b RODO.
- Analiza ruchu na stronie zapisum.com (Matomo) — wyłącznie za Twoją zgodą — art. 6 ust. 1 lit. a RODO.
- Przechowywanie dowodu Twojej decyzji w sprawie zgód — art. 6 ust. 1 lit. c RODO w związku z art. 7 ust. 1 RODO (obowiązek wykazania zgody).
4. Jakie dane przetwarzamy
- Dane konta: nazwa firmy, imię, adres e-mail, skrót hasła (samego hasła nie przechowujemy), język panelu.
- Logowanie przez Google — jeśli zakładasz konto lub logujesz się przez Google, prosimy wyłącznie o uprawnienia openid, email i profile. Otrzymujemy identyfikator konta Google, adres e-mail i imię z nazwiskiem; używamy ich tylko do założenia konta i zalogowania Cię, a zapisujemy identyfikator konta Google i adres e-mail. Zdjęcia profilowego nie zapisujemy. Dane te podlegają zasadom opisanym w punkcie 5 dla informacji z interfejsów API Google.
- Dane rozliczeniowe: nazwa firmy, adres, NIP, historia płatności.
- Dane, które Klient wprowadza do systemu: usługi i ceny, grafiki pracy, osoby i stanowiska, logo, zdjęcia, treści wiadomości.
- Dane Osób rezerwujących (w imieniu Klienta): imię i nazwisko, adres e-mail, numer telefonu, wybrana usługa i termin, odpowiedzi w formularzu rezerwacji, historia zmian rezerwacji.
- Dane techniczne: adres IP i informacje o przeglądarce w dziennikach serwera, pliki cookie opisane w punkcie 10, a za Twoją zgodą — informacje o wizytach na stronie zbierane przez Matomo.
5. Dane z kalendarzy Google, Microsoft i Apple
- Połączenie kalendarza jest dobrowolne. Robi to Klient lub Użytkownik w panelu, dla wybranej osoby z zespołu. Bez połączenia Zapisum działa normalnie, tylko nie widzi zajętości z zewnętrznego kalendarza.
- Kalendarz Google — prosimy o następujące uprawnienia: adres e-mail konta Google (userinfo.email), aby pokazać, które konto jest połączone; listę kalendarzy (calendar.calendarlist.readonly), abyś mógł wybrać kalendarz; informacje o zajętości (calendar.freebusy), czyli wyłącznie przedziały czasu, w których jesteś zajęty — bez tytułów, opisów i uczestników Twoich wydarzeń; oraz zarządzanie wydarzeniami utworzonymi przez Zapisum (calendar.events.owned), aby dodawać do wybranego kalendarza wizyty zarezerwowane w Zapisum, aktualizować je przy przełożeniu i usuwać przy odwołaniu, a jeśli usługa jest wizytą online — dołączać do nich link Google Meet.
- Microsoft Outlook / Microsoft 365 — prosimy o uprawnienia: User.Read (adres e-mail i nazwa konta), Calendars.ReadWrite (odczyt zajętości i zarządzanie wydarzeniami wizyt utworzonymi przez Zapisum) oraz offline_access (utrzymanie połączenia bez ponownego logowania).
- Kalendarz Apple (iCloud) i inne kalendarze CalDAV — łączymy się za pomocą adresu serwera, loginu i hasła aplikacji, które podajesz w panelu.
- Do czego używamy tych danych: wyłącznie do tego, aby strona rezerwacji nie proponowała terminów, w których jesteś zajęty, oraz aby zarezerwowane wizyty pojawiały się w Twoim kalendarzu. Nie używamy ich do żadnego innego celu.
- Co przechowujemy: zaszyfrowane tokeny dostępu lub hasło aplikacji, identyfikator i nazwę wybranego kalendarza, adres e-mail połączonego konta oraz identyfikatory wydarzeń utworzonych przez Zapisum. Informacje o zajętości pobieramy w chwili wyliczania wolnych terminów i nie zapisujemy ich trwale.
- Komu przekazujemy: nikomu. Nie sprzedajemy tych danych, nie wykorzystujemy ich do reklam, profilowania ani do trenowania modeli sztucznej inteligencji i nie przekazujemy ich osobom trzecim, z wyjątkiem sytuacji, gdy wymaga tego prawo. Nasi pracownicy nie mają wglądu w te dane, chyba że wyrazisz na to zgodę (np. przy zgłoszeniu problemu), jest to niezbędne ze względów bezpieczeństwa lub wymaga tego prawo.
- Wykorzystanie i przekazywanie przez Zapisum informacji otrzymanych z interfejsów API Google jest zgodne z zasadami Google API Services User Data Policy, w tym z wymaganiami dotyczącymi ograniczonego użytkowania (Limited Use): https://developers.google.com/terms/api-services-user-data-policy
- Jak odłączyć kalendarz: w panelu Zapisum, w ustawieniach danej osoby z zespołu. Po odłączeniu natychmiast usuwamy tokeny i unieważniamy je u dostawcy. Dostęp możesz też cofnąć bezpośrednio: Google — https://myaccount.google.com/permissions, Microsoft (konto prywatne) — https://account.live.com/consent/Manage, Microsoft (konto służbowe) — https://myapps.microsoft.com, Apple — usuwając hasło aplikacji w ustawieniach Apple ID.
6. Dobrowolność podania danych
- Podanie danych przy rejestracji jest dobrowolne, ale niezbędne do założenia konta i korzystania z usługi.
- Podanie danych rozliczeniowych jest wymogiem ustawowym, jeśli chcesz otrzymać fakturę.
- Połączenie kalendarza jest całkowicie dobrowolne.
7. Twoje prawa
- Prawo dostępu do swoich danych i otrzymania ich kopii.
- Prawo do sprostowania danych.
- Prawo do usunięcia danych. Konto możesz usunąć samodzielnie w panelu (zob. punkt 8).
- Prawo do ograniczenia przetwarzania.
- Prawo do przenoszenia danych.
- Prawo do sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie.
- Prawo do wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem.
- Wnioski prosimy kierować na adres gdpr@zapisum.com. Jeśli rezerwowałeś wizytę u jednego z naszych Klientów, z wnioskiem najlepiej zwrócić się do niego — jest administratorem Twoich danych; przekażemy mu też każdy wniosek, który trafi do nas.
- Prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
- Nie podejmujemy decyzji w sposób zautomatyzowany i nie profilujemy.
8. Jak długo przechowujemy dane
- Dane konta — przez czas trwania umowy. Po zleceniu usunięcia konta w panelu strona rezerwacji przestaje przyjmować wizyty od razu, a konto wraz ze wszystkimi danymi jest trwale usuwane po 30 dniach. Do tego czasu możesz cofnąć decyzję.
- Dane Osób rezerwujących — do czasu usunięcia konta Klienta, nie dłużej jednak niż przez okres ustawiony przez Klienta (domyślnie 3 lata od daty wizyty). Po tym czasie rezerwacja jest automatycznie anonimizowana: usuwamy imię, nazwisko, adres e-mail, telefon i odpowiedzi z formularza.
- Dane z kalendarzy — do czasu odłączenia kalendarza lub usunięcia konta.
- Dokumenty rozliczeniowe — przez okres wymagany przepisami podatkowymi (co do zasady 5 lat od końca roku podatkowego).
- Korespondencja — przez czas potrzebny do obsługi sprawy, a następnie do upływu okresu przedawnienia ewentualnych roszczeń.
9. Odbiorcy danych
- Dostawca infrastruktury serwerowej, na której działa Zapisum.
- Dostawca usługi wysyłki poczty elektronicznej, za pomocą której wysyłamy wiadomości systemowe, potwierdzenia i przypomnienia.
- Analitykę Matomo i rejestr zgód utrzymujemy sami, na własnej infrastrukturze. Danych analitycznych nie udostępniamy nikomu.
- Biuro rachunkowe i dostawca systemu do fakturowania — w zakresie niezbędnym do rozliczeń.
- Google, Microsoft lub Apple — wyłącznie wtedy, gdy sam połączysz kalendarz, i tylko w zakresie opisanym w punkcie 5.
- Podmioty uprawnione na podstawie przepisów prawa, w szczególności organy podatkowe, sądy i organy ścigania — wyłącznie na ich żądanie.
- Każdy podmiot przetwarzający dane w naszym imieniu działa na podstawie umowy powierzenia przetwarzania danych i wyłącznie zgodnie z naszymi poleceniami.
10. Pliki cookie i pamięć przeglądarki
- Strona zapisum.com używa plików cookie niezbędnych oraz — wyłącznie za Twoją zgodą — plików analitycznych Matomo. Nie używamy Google Analytics, Google Tag Managera ani narzędzi reklamowych.
- Analitykę prowadzimy w Matomo, które utrzymujemy sami. Do czasu wyrażenia zgody Matomo nie zbiera żadnych danych: nie wysyła żadnego zapytania i nie zapisuje plików cookie.
- cc_cookie — plik niezbędny, przechowywany przez 182 dni. Zapisuje Twój wybór dotyczący zgód oraz identyfikator zgody.
- NEXT_LOCALE — plik niezbędny, zapamiętuje wybrany język strony.
- _pk_id — plik analityczny Matomo, przechowywany przez 13 miesięcy. Rozpoznaje powracającego użytkownika. Tylko po wyrażeniu zgody.
- _pk_ses — plik analityczny Matomo, przechowywany przez 30 minut. Utrzymuje bieżącą wizytę. Tylko po wyrażeniu zgody.
- _pk_ref — plik analityczny Matomo, przechowywany przez 6 miesięcy. Zapamiętuje, skąd trafiłeś na stronę. Tylko po wyrażeniu zgody.
- zapisum:currency — wpis w pamięci przeglądarki (localStorage), zapamiętuje walutę wybraną w cenniku. Nie jest wysyłany na serwer.
- wizyty_session — plik niezbędny w aplikacji app.zapisum.com, utrzymuje zalogowaną sesję w panelu. Jest zaszyfrowany i niedostępny dla skryptów na stronie.
- Pliki niezbędne nie wymagają zgody, bo bez nich strona i panel nie działałyby poprawnie.
- Zgodę możesz zmienić lub wycofać w każdej chwili, klikając „Ustawienia cookies” w stopce strony. Wycofanie jest równie łatwe jak udzielenie zgody i od razu usuwa pliki cookie Matomo. Nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
11. Rejestr zgód
- Każdą Twoją decyzję w sprawie zgód zapisujemy jako dowód jej udzielenia, zmiany lub wycofania (art. 7 ust. 1 i art. 5 ust. 2 RODO).
- Zapisujemy: identyfikator zgody nadany Twojej przeglądarce, wersję tej polityki, wybrane kategorie i usługi, język strony, informację o przeglądarce (User-Agent), adres strony bez parametrów, znacznik czasu oraz skrót adresu IP.
- Adres IP zapisujemy wyłącznie jako nieodwracalny skrót kryptograficzny z tajnym dodatkiem. Samego adresu IP nie przechowujemy.
- Wpisy przechowujemy przez 5 lat od ostatniej zmiany danej zgody, a potem je usuwamy.
- Rejestr nie zawiera danych pozwalających nam bezpośrednio Cię zidentyfikować. Swój identyfikator zgody znajdziesz w „Ustawieniach cookies” — podając go, możesz zażądać wglądu w zapisane zgody lub ich usunięcia.
12. Przekazywanie danych poza EOG
- Dane przetwarzamy na infrastrukturze zlokalizowanej w Europejskim Obszarze Gospodarczym — dotyczy to także analityki Matomo i rejestru zgód.
- Jeśli połączysz kalendarz Google, Microsoft lub Apple, wymiana danych z tym dostawcą odbywa się na Twoje polecenie. Dostawcy ci mogą przetwarzać dane poza EOG na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework).
13. Zapisum jako podmiot przetwarzający
- W zakresie danych Osób rezerwujących i innych danych, które Klient wprowadza do systemu, administratorem jest Klient, a Operator jest podmiotem przetwarzającym na podstawie umowy powierzenia przetwarzania danych zawartej w Regulaminie.
- Dane te przetwarzamy wyłącznie w celu świadczenia usługi i zgodnie z udokumentowanymi poleceniami Klienta.
14. Bezpieczeństwo
- Połączenia ze stroną i aplikacją są szyfrowane (HTTPS). Hasła przechowujemy wyłącznie w postaci skrótu, a tokeny i hasła do kalendarzy — zaszyfrowane.
- Dostęp do danych w panelu ma tylko Klient i Użytkownicy, którym Klient go nadał.
15. Zmiany polityki prywatności
- Polityka może się zmieniać, w szczególności gdy zmienią się funkcje usługi, wykorzystywane narzędzia lub przepisy. Każda wersja ma datę widoczną pod tytułem.
- O istotnych zmianach poinformujemy Klientów e-mailem.
16. Kontakt
- W sprawach ochrony danych osobowych: gdpr@zapisum.com.
- W pozostałych sprawach: support@zapisum.com, telefon +48 507 058 755.