1. Administrator Danych Osobowych
Administratorem danych osobowych zbieranych za pośrednictwem strony aizumi.pl jest:
- Nazwa firmy: [NAZWA_FIRMY] — prowadząca działalność pod marką Aizumi
- Forma prawny: Jednoosobowa Działalność Gospodarcza (JDG)
- NIP: [NIP]
- REGON: [REGON]
- Adres siedziby: [ADRES_SIEDZIBY]
- Email kontaktowy (RODO): [EMAIL_RODO]
(Dane rejestracyjne zostaną uzupełnione po otrzymaniu NIP/REGON z CEIDG.)
2. Zasada Zero Personal Data (ZPD)
Platforma Aizumi została zaprojektowana zgodnie z zasadą Privacy by Design (art. 25 RODO). Nie przechowywamy danych osobowych użytkowników w naszej bazie danych — chyba że jest to niezbędne do realizacji transakcji, a wówczas dane są automatycznie usuwane po 30 dniach.
2.1 Jak to działa?
- Logowanie wyłącznie przez Google OAuth — nie ma formularza rejestracji z hasłem
- Dane osobowe (email, imię, nazwisko, zdjęcie) są przechowywane wyłącznie przez Google
- Nasza baza danych przechowuje tylko: pseudonim (nickname), URL avatara (cache), rolę, ocenę reputacji
- Dane kontaktowe (telefon, adres wysyłki) są przechowywane tylko na czas trwania transakcji i automatycznie usuwane po 30 dniach
3. Cele i Podstawy Prawne Przetwarzania
| Cel | Podstawa | Dane | Okres |
|---|---|---|---|
| Świadczenie usługi marketplace | Art. 6.1.b RODO | nickname, avatarUrl | Do usunięcia konta |
| Realizacja transakcji | Art. 6.1.b RODO | Kontakt, adres, telefon | 30 dni |
| Reklamacje i spory | Art. 6.1.b RODO | Dane transakcji | 30 dni od rozstrzygnięcia |
| Obowiązek prawny (księgowość) | Art. 6.1.c RODO | Kwota, data transakcji | 5 lat (KUP) |
| Bezpieczeństwo platformy | Art. 6.1.f RODO | Logi techniczne (IP) | 90 dni |
| Newsletter | Art. 6.1.a RODO (zgoda) | Email (MailerLite) | Do wycofania zgody |
4. Prawa Użytkownika
4.1 Prawo dostępu do danych (art. 15 RODO)
Możesz w każdej chwili uzyskać dostęp do swoich danych w aplikacji: Ustawienia → Eksport danych (format JSON). Dane przechowywane przez Google możesz pobrać przez Google Takeout.
4.2 Prawo do sprostowania danych (art. 16 RODO)
- Nickname: edytowalny w Ustawieniach profilu
- Dane z Google: zmieniane w ustawieniach konta Google
- Dane kontaktowe: uzupełniane przy każdej transakcji
4.3 Prawo do usunięcia danych (art. 17 RODO)
W aplikacji: Ustawienia → Usuń konto. Usunięcie konta powoduje kaskadowe usunięcie rekordu użytkownika, ogłoszeń, wiadomości, recenzji, ulubionych, koszyka, ContactData oraz powiązań z kontem Google. Sesja zostaje zakończona.
Dane w Google (email, imię) pozostają — aby je usunąć, musisz usunąć konto Google lub zarządzać danymi przez ustawienia Google.
4.4–4.6 Ograniczenie, przenoszenie, sprzeciw
Możesz wystąpić o ograniczenie przetwarzania, przeniesienie danych (eksport JSON w Ustawieniach) lub sprzeciw — kontaktując się na adres [EMAIL_RODO]. Nie profilujemy użytkowników i nie stosujemy zautomatyzowanego podejmowania decyzji.
4.7 Prawo do wycofania zgody (art. 7.3 RODO)
Zgodę na newsletter możesz wycofać w każdej chwili, klikając link „Wypisz się” w każdym mailu lub kontaktując się na [EMAIL_RODO]. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem.
4.8 Prawo do skargi do organu nadzorczego
Masz prawo złożyć skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO): ul. Stawki 2, 00-193 Warszawa · tel. 22 531 03 00 · uodo.gov.pl
5. Odbiorcy Danych (Procesorzy)
Dane osobowe mogą być przekazywane następującym podmiotom przetwarzającym na podstawie umów powierzenia przetwarzania danych (DPA):
| Procesor | Cel | Lokalizacja |
|---|---|---|
| Google LLC | Autentykacja (OAuth 2.0) | USA (Google Cloud EU) |
| Vercel Inc. | Hosting aplikacji, CDN, SSL | USA (EU CDN) |
| Neon | Baza danych PostgreSQL | UE |
| Stripe Inc. | Płatności kartą | USA/UE |
| Przelewy24 (Nexi Payments) | Płatności PL (BLIK, przelew) | Polska |
| InPost S.A. | Logistyka (adresy wysyłki) | Polska |
| Resend | Emaile transakcyjne | USA |
| MailerLite | Welcome series, newsletter | Polska (serwery EU) |
| Sentry | Monitoring błędów | USA |
Transfer danych do USA odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską, zgodnie z wyrokiem TSUE w sprawie Schrems II.
6. Bezpieczeństwo Danych
- 🔒Szyfrowanie w transmisji: HTTPS (TLS 1.3) — certyfikat Let's Encrypt, automatycznie odnawiany przez Vercel
- 🔐Szyfrowanie w spoczynku: ContactData szyfrowane AES-256 (zarządzane przez Neon/Supabase)
- 🛡️Architektura ZPD: brak PII w bazie danych eliminuje ryzyko wycieku danych osobowych
- 🗑️Automatyczne czyszczenie: Cron job usuwa wygasłe ContactData codziennie
- 🔑Sesje JWT: stateless — brak sesji w bazie = brak ataków sesji
- ⚡Rate limiting: ochrona przed brute force i abuse
7. Pliki Cookies
Strona Aizumi wykorzystuje wyłącznie ciasteczka niezbędne — nie wymagają one zgody użytkownika.
next-auth.session-token— sesja użytkownika (JWT), 30 dninext-auth.csrf-token— ochrona CSRF, sesja
Na MVP brak cookies marketingowych, analitycznych i śledzących.
8. Newsletter
Podczas zapisu na newsletter zbierany jest wyłącznie adres email. Zapis wymaga:
- Świadomej zgody — zaznaczony checkbox: „Wyrażam zgodę na przetwarzanie moich danych osobowych w celu przesyłania newslettera, zgodnie z polityką prywatności.”
- Double opt-in — potwierdzenie zgody poprzez kliknięcie linku w mailu potwierdzającym
- Link do polityki prywatności — widoczny przy formularzu
Zgodę możesz wycofać w każdej chwili klikając link „Wypisz się” w każdym mailu. Dane newsletterowe są przechowywane przez MailerLite (serwery UE, polski producent) i nie są synchronizowane z naszą bazą danych.
9. Usługi Trzecie — Google OAuth
Logowanie do Aizumi odbywa się wyłącznie przez Google OAuth 2.0. Google LLC jest niezależnym administratorem Twoich danych osobowych (email, imię, nazwisko, zdjęcie). Przetwarzanie danych przez Google reguluje Polityka Prywatności Google.
Aizumi otrzymuje od Google wyłącznie: Google User ID (unikalny identyfikator), email (wyłącznie przy transakcjach, z TTL 30 dni) oraz Avatar URL (cache, odświeżany przy logowaniu).
10. Zmiany Polityki Prywatności
Zastrzegamy sobie prawo do wprowadzania zmian niniejszej polityki prywatności. O istotnych zmianach użytkownicy zostaną poinformowani poprzez powiadomienie w aplikacji (banner) oraz email (jeśli wyraził zgodę na newsletter). Aktualna wersja polityki jest zawsze dostępna pod adresem: /polityka-prywatnosci
11. Kontakt
W sprawach związanych z ochroną danych osobowych oraz realizacją praw wynikających z RODO, prosimy o kontakt:
- Email: [EMAIL_RODO]
- Formularz kontaktowy: /kontakt
- Adres korespondencyjny: [ADRES_SIEDZIBY]