Polityka prywatności ZAJMIJ.TO

1. Czego dotyczy ta polityka

Ta polityka opisuje, jak ZAJMIJ.TO przetwarza dane osobowe jako administrator:

osób odwiedzających stronę zajmij.to (część A),
osób wysyłających formularz zgłoszenia jednostki i piszących lub dzwoniących do nas (część A),
przedstawicieli i osób kontaktowych jednostek, z którymi zawieramy umowy, w tym osób wskazanych do kontaktu w sprawach ochrony danych i cyberbezpieczeństwa, oraz pracowników jednostek, którzy kontaktują się z nami przez helpdesk (część B).

Polityka nie dotyczy danych mieszkańców i pracowników jednostek wprowadzanych do kont jednostek w usłudze ZAJMIJ.TO (adresy nazwa.zajmij.to). Ich administratorem jest jednostka, a ZAJMIJ.TO przetwarza je wyłącznie na jej polecenie, na podstawie umowy powierzenia (część C). Informacje o tym przetwarzaniu podaje jednostka w polityce prywatności swojego portalu.

2. Administrator

Administratorem danych opisanych w częściach A i B jest ZAJMIJTO spółka z ograniczoną odpowiedzialnością z siedzibą w Poznaniu, ul. Święty Marcin 29/8, 61-806 Poznań, KRS 0001229059 (sąd rejestrowy: Sąd Rejonowy Poznań - Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego), NIP 7831949762 (dalej: „ZAJMIJ.TO”, „my”).

Nie wyznaczyliśmy inspektora ochrony danych - nie mamy takiego obowiązku (art. 37 RODO). W sprawach danych osobowych kontaktuj się z naszą osobą kontaktową ds. ochrony danych: e-mail dane@zajmij.to albo pisemnie na adres siedziby.

Część A. Strona zajmij.to i formularze

3. Hosting strony

Strona zajmij.to (WordPress) jest utrzymywana na serwerze VPS w OVH (OVH Sp. z o.o., ul. Swobodna 1, 50-088 Wrocław; serwer w Unii Europejskiej), które przetwarza dane na nasze zlecenie jako dostawca hostingu. Serwer strony zapisuje w logach dane techniczne każdego zapytania: adres IP, datę i godzinę, adres strony, kod odpowiedzi i informacje o przeglądarce.

Cel	Podstawa prawna	Okres
Udostępnienie strony, bezpieczeństwo, wykrywanie nadużyć	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (działanie i bezpieczeństwo strony)	do 30 dni

Czcionki i skrypty motywu strony są hostowane na jej serwerze. Zasoby z serwerów innych firm ładują się tylko w trzech przypadkach: skrypt banera zgody - z serwerów CookieYes, przy każdej wizycie, bo to on pyta o zgodę (pkt 4 i 9), tag Google Analytics - wyłącznie po Twojej zgodzie w banerze (pkt 4) - oraz zdjęcia ofert i logo jednostek w katalogu ofert (pkt 6a): Twoja przeglądarka pobiera je bezpośrednio z serwerów usługi ZAJMIJ.TO, z adresów portali jednostek (nazwa.zajmij.to). Serwery te otrzymują wtedy techniczne dane zapytania (adres IP, przeglądarka, adres strony odsyłającej) - tak jak przy każdym pobraniu obrazka. Te serwery prowadzimy my (OVH, pkt 9); dane zapytań trafiają do logów serwera usługi (pkt 7a).

Ochrona panelu logowania i kopia strony. Przy nieudanej próbie logowania do panelu WordPress wtyczka Limit Login Attempts Reloaded zapisuje adres IP, użytą nazwę użytkownika i czas próby, a po kilku próbach blokuje adres na określony czas. Strona nie ma stałych kopii zapasowych - jej wygląd i działanie odtwarzamy z naszego repozytorium, a treści z gotowej paczki. Przed większą zmianą strony robimy jednorazową kopię bazy i plików WordPress (treści i konta naszych redaktorów); formularze strony nie zapisują w niej zgłoszeń ani wiadomości (pkt 5-6).

Cel	Podstawa prawna	Okres
Ochrona panelu logowania przed włamaniem (nieudane próby logowania)	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (bezpieczeństwo strony)	do 30 dni
Jednorazowa kopia strony przed większą zmianą	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (odtworzenie strony, gdyby zmiana się nie udała)	najwyżej 30 dni od wykonania; kopia jest zaszyfrowana i zostaje w EOG

4. Pliki cookies i podobne technologie

Pełny opis cookies i wtyczek jest w Polityce cookies (/polityka-cookies/).

Bez zgody przeglądarka zapisuje tylko: Twój wybór w banerze (cookieyes-consent) i - dopiero po kliknięciu przełącznika wyglądu - wpis zajmijto-theme w pamięci lokalnej przeglądarki (localStorage, wartość light, dark albo system). Nie służą one do rozpoznawania Cię, a zajmijto-theme nie jest wysyłany na serwer.

Statystyki odwiedzin (Google Analytics 4) - tylko po zgodzie. Jeżeli zgodzisz się w banerze na kategorię „Analityczne”, Twoja przeglądarka ładuje tag Google i wysyła do Google Analytics: losowy identyfikator przeglądarki (ciasteczka _ga, _ga_<identyfikator>), adresy odwiedzonych stron, czas wizyty, stronę, z której przyszedłeś, typ urządzenia i przeglądarki oraz przybliżoną lokalizację (kraj, region, miasto), ustaloną przez Google na podstawie adresu IP. Google Analytics 4 nie zapisuje adresu IP w raportach. Widzimy tylko zbiorcze statystyki; nie łączymy ich z danymi z formularzy i nie używamy do reklam. Bez zgody tag Google się nie ładuje i żadne z tych danych nie są zbierane.

Cel	Podstawa prawna	Okres
Statystyki odwiedzin strony (które treści są czytane, skąd przychodzą odwiedzający)	art. 6 ust. 1 lit. a RODO - zgoda; zgoda na zapis i odczyt informacji w urządzeniu (art. 399 Prawa komunikacji elektronicznej)	dane na poziomie zdarzeń: 2 miesiące w Google Analytics; ciasteczka `_ga`: do 2 lat albo do ich usunięcia lub wycofania zgody
Zapamiętanie Twojej decyzji o zgodzie	art. 6 ust. 1 lit. c RODO w zw. z art. 7 ust. 1 RODO (wykazanie zgody)	1 rok (ciasteczko `cookieyes-consent` w Twojej przeglądarce)

Zgodę wycofasz w każdej chwili przyciskiem „Ustawienia cookies” na stronie (Polityka cookies pkt 6). Wycofanie nie wpływa na zgodność z prawem przetwarzania przed wycofaniem.

Źródło zgłoszenia (np. z której podstrony przyszło) mierzymy bez cookies: przekazujemy je w adresie odnośnika i w ukrytych polach formularza (oznaczenie strony, parametry kampanii z adresu, domena strony odsyłającej).

Wyniki wyszukiwania w Google analizujemy w Google Search Console (przez wtyczkę Site Kit). To narzędzie pokazuje zagregowane dane o wyszukiwaniach w Google; na stronie jest tylko znacznik potwierdzający własność strony, bez kodu śledzącego.

Panel administracyjny WordPress używa cookies niezbędnych do logowania, ale tylko dla naszych redaktorów (lista w Polityce cookies pkt 3).

W usłudze ZAJMIJ.TO (konta jednostek) przeglądarka zapisuje niezbędne ciasteczko sesji (HttpOnly, Secure, SameSite=Strict) dla zalogowanych użytkowników. O technologiach w portalu jednostki informuje jednostka.

5. Formularz zgłoszenia jednostki (`/zgloszenie/`)

Jakie dane: nazwa jednostki, NIP, REGON (opcjonalnie), kod TERC gminy wybranej z listy (jeżeli dotyczy), imię i nazwisko, stanowisko, służbowy adres e-mail, telefon, proponowany adres konta, liczba mieszkańców i treść wiadomości do nas (oba pola nieobowiązkowe), odpowiedź na pole zgody marketingowej, potwierdzenie zapoznania się z tą polityką (zapisujemy identyfikator jej wersji), źródło zgłoszenia (oznaczenie strony, parametry kampanii, domena odsyłająca). Zgłoszenie nie jest akceptacją regulaminu ani umowy powierzenia - te dokumenty administrator konta akceptuje w panelu po pierwszym zalogowaniu (pkt 7).

Dane techniczne: razem ze zgłoszeniem zapisujemy jednokierunkowy skrót adresu IP (nie sam adres) i informację o przeglądarce - do ochrony przed nadużyciami i jako dowód wysłania zgłoszenia. Do limitu wysyłek strona używa skrótu adresu IP przechowywanego w pamięci podręcznej serwera strony przez najwyżej godzinę (Polityka cookies pkt 5). Jeżeli formularza nie da się wysłać (np. brakuje pola), wpisane dane czekają na serwerze strony najwyżej 15 minut, żeby pokazać je ponownie, i są usuwane od razu po ich wyświetleniu.

Dokąd trafiają: strona zajmij.to (serwer OVH) nie zapisuje zgłoszenia w swojej bazie. Przekazuje je bezpośrednio, szyfrowanym połączeniem, do naszej aplikacji obsługującej zgłoszenia i konta jednostek (admin.zajmij.to), utrzymywanej na serwerach OVH (pkt 8 i 9). Jeśli aplikacja jest chwilowo niedostępna, strona wysyła zgłoszenie e-mailem do naszego zespołu sprzedaży.

Skąd jeszcze mamy dane: dane jednostki (nazwa, adres, REGON, forma prawna) pobieramy z publicznego rejestru REGON prowadzonego przez GUS oraz z rejestru TERYT, aby potwierdzić, że zgłoszenie pochodzi od jednostki.

Zgłoszenie zdublowane: jeżeli jednostka ma już konto albo otwarte zgłoszenie, nie zakładamy drugiego. Zapisujemy próbę jako duplikat powiązany z wcześniejszym zgłoszeniem, informujemy o niej osobę zgłaszającą i nasz zespół, który kontaktuje się z jednostką.

Cel	Podstawa prawna	Okres
Obsługa zgłoszenia: potwierdzenie adresu e-mail, weryfikacja jednostki, uruchomienie konta, kontakt w okresie testowym	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (kontakt z osobą działającą w imieniu jednostki w sprawie zawarcia i wykonania umowy)	zgłoszenie niezakończone umową (odrzucone, niepotwierdzone, wygasłe) - 12 miesięcy od ostatniej czynności; zgłoszenie, które doprowadziło do umowy - razem z dokumentacją umowy (do końca umowy i 6 lat po nim). Są to okresy domyślne; możemy je zmienić w ustawieniach usługi, ale nie skrócić poniżej 6 miesięcy ani 6 lat
Informacje handlowe o ZAJMIJ.TO e-mailem (tylko po zaznaczeniu zgody marketingowej)	art. 6 ust. 1 lit. a RODO - zgoda; zgoda na przesyłanie informacji handlowej na adres elektroniczny (art. 398 ustawy - Prawo komunikacji elektronicznej)	do cofnięcia zgody
Ocena skuteczności treści (źródło zgłoszenia, w zestawieniach zbiorczych)	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (rozwój strony)	jak dane zgłoszenia
Ochrona przed nadużyciami i dowód wysłania (skrót adresu IP, przeglądarka)	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (bezpieczeństwo, wykazanie zgłoszenia)	jak dane zgłoszenia; skrót do limitu wysyłek - najwyżej 1 godzina

Podanie danych oznaczonych jako wymagane jest konieczne do rozpatrzenia zgłoszenia. Zgoda marketingowa jest dobrowolna i nie wpływa na rozpatrzenie zgłoszenia.

W trybie awaryjnym zgłoszenie trafia na skrzynkę e-mail zespołu prowadzoną przez Zoho (Zoho Corporation B.V., Utrecht, Holandia; centrum danych w UE).

6. Korespondencja e-mail i telefon

Strona nie ma osobnego formularza kontaktowego: pytanie można wpisać w wiadomości formularza zgłoszenia (pkt 5) albo napisać lub zadzwonić do osób z zespołu, których dane są na stronie.

Jakie dane: to, co sam(a) nam przekażesz - zwykle imię i nazwisko, adres e-mail lub numer telefonu, nazwa jednostki lub instytucji i treść wiadomości.

Cel	Podstawa prawna	Okres
Odpowiedź na pytanie i dalsza korespondencja	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (odpowiadanie na zapytania)	12 miesięcy od ostatniej wiadomości, jeżeli korespondencja nie prowadzi do współpracy; jeżeli prowadzi - jak dane w części B

Wiadomości e-mail trafiają na skrzynki zespołu w Zoho (pkt 5).

6a. Katalog ofert jednostek (`/oferty/`)

Katalog pokazuje publiczne oferty jednostek, które się na to zgodziły: nazwy, opisy, zdjęcia, kategorie i ceny „od” obiektów, zajęć i wydarzeń oraz nazwę i logo jednostki (Regulamin serwisu § 4).

Katalog nie zbiera Twoich danych. Nie ma w nim konta, formularza ani cookies. Wyszukiwanie i filtry działają przez adres strony. Strona pobiera oferty od nas po stronie serwera i przechowuje je w pamięci podręcznej serwera (Polityka cookies pkt 5).
Oferty nie zawierają danych osobowych mieszkańców ani prowadzących zajęcia. Do katalogu trafiają tylko informacje, które jednostka sama publikuje w swoim portalu. Dane trenerów, kontakty i rezerwacje nie trafiają do katalogu.
Zdjęcia i logo pobiera Twoja przeglądarka z domen portali jednostek (pkt 3).
Zapytania do strony katalogu trafiają do logów serwera strony (pkt 3).
Przejście do portalu jednostki. Kliknięcie oferty otwiera portal jednostki. Tam administratorem Twoich danych (konto, rezerwacja, płatność) jest jednostka - obowiązuje polityka prywatności i polityka cookies jej portalu.

Cel	Podstawa prawna	Okres
Udostępnienie katalogu i zdjęć ofert, bezpieczeństwo (logi zapytań)	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (działanie i bezpieczeństwo katalogu)	jak logi serwera strony (pkt 3) i logi usługi (pkt 7a)

Część B. Jednostki jako nasi klienci

7. Przedstawiciele i osoby kontaktowe jednostek

Gdy jednostka korzysta z usługi ZAJMIJ.TO, włącza abonament, dokupuje pakiety, zamawia wdrożenie albo płaci za usługę, przetwarzamy dane osób, które działają w jej imieniu lub kontaktują się z nami: imię i nazwisko, stanowisko, służbowy e-mail i telefon, treść korespondencji, a także dane zamówień, płatności i faktur.

Akceptacja dokumentów i zamówienia w panelu. Po pierwszym zalogowaniu administrator konta jednostki akceptuje dokumenty usługi (regulamin usługi, umowę subskrypcji, umowę powierzenia, załącznik SLA i załącznik cenowy), a później składa w panelu zamówienia (włączenie i zakończenie abonamentu, pakiety dodatkowe, wdrożenie). Zapisujemy dowód: identyfikator i wersję dokumentu albo treść zamówienia, datę i godzinę, imię i nazwisko, stanowisko i e-mail osoby, podstawę jej umocowania, treść oświadczenia, dane identyfikujące jednostkę oraz jednokierunkowy skrót adresu IP.

Płatności za usługę. Jednostka płaci za usługę wyłącznie w panelu, przez operatora płatności Przelewy24 (PayPro S.A.), z którym umowę zawarliśmy my. Przelewy24 otrzymuje dane potrzebne do płatności: kwotę, tytuł, adres e-mail osoby rozpoczynającej płatność i dane podane przez nią w bramce płatniczej; my otrzymujemy od Przelewy24 status płatności i identyfikator transakcji. Nie przetwarzamy danych kart płatniczych ani danych logowania do banku.

Kontakty w sprawach ochrony danych i bezpieczeństwa. Jednostka może wskazać inspektora ochrony danych i osobę do kontaktu w sprawach cyberbezpieczeństwa (imię i nazwisko, e-mail, telefon). Przechowujemy je poza bazą konta jednostki, żeby móc powiadomić te osoby także przy awarii, i używamy ich tylko do zawiadomień o incydentach, zmianach podmiotów podprzetwarzających i pracach serwisowych.

Cel	Podstawa prawna	Okres
Zawarcie i wykonanie umowy z jednostką, wsparcie, przypomnienia o końcu okresu testowego i o płatności za kolejny miesiąc	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (kontakt z przedstawicielami klienta)	przez czas obowiązywania umowy i do upływu terminu przedawnienia roszczeń
Obsługa płatności za usługę przez Przelewy24 (status, identyfikator transakcji, zwroty)	art. 6 ust. 1 lit. f RODO - rozliczenie umowy z jednostką; art. 6 ust. 1 lit. c RODO - przepisy podatkowe i o rachunkowości	przechowywane bezterminowo, jak faktury; co najmniej 5 lat od końca roku obrotowego, którego dotyczą
Wystawianie faktur i prowadzenie rachunkowości	art. 6 ust. 1 lit. c RODO - obowiązki z przepisów podatkowych i o rachunkowości	faktury i dowody akceptacji dokumentów usługi w Panelu (wraz z danymi osób, które je zaakceptowały lub są w nich wskazane jako kontakt) przechowywane bezterminowo; co najmniej 5 lat od końca roku obrotowego wymagane prawem podatkowym (5 lat od końca roku obrotowego, w którym wystawiono fakturę, nie krócej niż do przedawnienia zobowiązania podatkowego)
Dowód akceptacji dokumentów usługi i zamówień złożonych w panelu	art. 6 ust. 1 lit. f RODO - wykazanie zawarcia umów i rozliczalność (art. 5 ust. 2 i art. 28 RODO)	przechowywane bezterminowo, jak faktury (dowód zawarcia umów); co najmniej do upływu terminu przedawnienia roszczeń
Rejestr wiadomości e-mail wysłanych do jednostki (adresat, rodzaj, data) i historia statusu konta jednostki - rozliczalność i dowód zawiadomień wysłanych na podstawie umowy	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (wykazanie wykonania umowy)	adresy e-mail - do końca umowy i 6 lat po nim, potem usuwane; wpisy bez adresów zostają
Zawiadomienia o incydentach, zmianach podprzetwarzających i pracach serwisowych (kontakty IOD i ds. cyberbezpieczeństwa)	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (wykonanie obowiązków z umowy powierzenia i umowy subskrypcji)	do zmiany lub usunięcia kontaktu przez jednostkę, najdłużej do usunięcia konta jednostki
Dochodzenie i obrona roszczeń	art. 6 ust. 1 lit. f RODO	do upływu terminu przedawnienia roszczeń
Referencje: wypowiedź, imię i nazwisko, funkcja i zdjęcie osoby z jednostki w opisie przypadku lub na stronie (tylko za osobną zgodą tej osoby - wzór zgody)	art. 6 ust. 1 lit. a RODO - zgoda	do cofnięcia zgody; po cofnięciu sama zgoda i data cofnięcia - do upływu terminu przedawnienia roszczeń

Faktury za usługę wystawiamy po każdej płatności w Krajowym Systemie e-Faktur (KSeF), bezpośrednio z naszego systemu; dane z faktur przetwarza Szef Krajowej Administracji Skarbowej na podstawie przepisów o podatku od towarów i usług (pkt 9).

7a. Operatorzy, zgłoszenia helpdesku i logi usługi

Operatorzy panelu ZAJMIJ.TO (admin.zajmij.to) to nasi pracownicy i współpracownicy z rolą admin albo mod. Przetwarzamy ich imię i nazwisko, służbowy e-mail, skrót hasła, sekret drugiego składnika logowania (TOTP, zaszyfrowany) oraz wpisy dziennika operacji (kto, co, kiedy, jednokierunkowy skrót adresu IP). Sesja logowania operatora zapisuje skrót adresu IP i informację o przeglądarce do czasu jej wygaśnięcia albo wylogowania.

Sesje wsparcia. Operator wchodzi do panelu jednostki tylko za jej zgodą: administrator jednostki generuje jednorazowy kod (ważny 24 godziny) i przekazuje go zespołowi, a operator wpisuje kod i podaje powód; sesja trwa najwyżej 60 minut, administratorzy jednostki dostają o niej e-mail i mogą ją zakończyć w każdej chwili, a wejście i zmiany są zapisane w dzienniku operacji i w dzienniku aktywności konta jednostki.

Zgłoszenia helpdesku („Pomoc ZAJMIJ.TO” w panelu jednostki) zawierają imię i nazwisko oraz e-mail pracownika jednostki, który je składa, treść wiadomości i załączniki. Jednostka może w nich przekazać dane mieszkańców - w tym zakresie działamy jako podmiot przetwarzający jednostki (umowa powierzenia § 3 ust. 6).

Dane	Cel	Podstawa prawna	Okres
Konto operatora	dostęp do panelu operatora, bezpieczeństwo	art. 6 ust. 1 lit. b i f RODO (umowa ze współpracownikiem, bezpieczeństwo usługi)	do wyłączenia konta; konto wyłączone i bez logowania przez 1 rok jest anonimizowane (imię, nazwisko, e-mail, hasło i TOTP zastąpione)
Dziennik operacji operatorów (`operator_audit_log`)	rozliczalność, wykrywanie nadużyć, dowód dla jednostek	art. 6 ust. 1 lit. f RODO; art. 5 ust. 2 i art. 32 RODO	2 lata od wpisu
Sesje wsparcia (operator, jednostka, powód, czas) i zgody jednostek na dostęp serwisowy	rozliczalność dostępu do kont jednostek	art. 6 ust. 1 lit. f RODO; art. 5 ust. 2 i art. 32 RODO	2 lata od zakończenia sesji
Zgłoszenia helpdesku z wiadomościami i załącznikami	obsługa zgłoszeń jednostek	art. 6 ust. 1 lit. f RODO (pracownicy jednostek); umowa powierzenia (dane mieszkańców)	2 lata od zamknięcia zgłoszenia
Rejestr błędów aplikacji (może zawierać adres IP i identyfikator użytkownika)	diagnoza błędów, bezpieczeństwo	art. 6 ust. 1 lit. f RODO	90 dni
Pliki logów aplikacji na serwerze (adres IP, adres zapytania, identyfikator jednostki)	bezpieczeństwo, diagnoza	art. 6 ust. 1 lit. f RODO	najwyżej 30 dni (logi rotowane według rozmiaru, co miesiąc sprawdzamy, że nie są starsze niż 30 dni)
Logi serwera usługi (nginx, Coolify), w tym zapytania o zdjęcia z katalogu	bezpieczeństwo, diagnoza	art. 6 ust. 1 lit. f RODO	najwyżej 30 dni

Okresy zgłoszeń z pkt 5, rejestru wiadomości z pkt 7 i tabeli powyżej (poza plikami logów i logami serwera) są wartościami domyślnymi ustawień usługi. Możemy je zmienić w ustawieniach, ale nie skrócić poniżej minimów: dziennik operacji operatorów, sesje wsparcia i zgłoszenia helpdesku - 2 lata, rejestr błędów - 30 dni, adresy w rejestrze wiadomości i zgłoszenia zakończone umową - 6 lat po końcu umowy. Każdą zmianę okresu wpisujemy do tej polityki.

Część C. Dane w kontach jednostek (usługa ZAJMIJ.TO)

8. ZAJMIJ.TO jako podmiot przetwarzający

Dane mieszkańców, klientów, uczestników zajęć, trenerów i pracowników jednostki wprowadzane do konta jednostki przetwarzamy jako podmiot przetwarzający, na podstawie umowy powierzenia (dpa-1.0), wyłącznie w celu świadczenia usługi. Z prawami dotyczącymi tych danych zwróć się do jednostki, która prowadzi dany portal. Jeśli wniosek trafi do nas, przekażemy go jednostce.

Usługa jest utrzymywana na serwerach OVH (serwer aplikacji i baz danych, magazyn kopii zapasowych) w Europejskim Obszarze Gospodarczym. Dane każdej jednostki są przechowywane w osobnej bazie danych. Pełna lista naszych podprzetwarzających jest w liście podmiotów podprzetwarzających. Kopie zapasowe są szyfrowane; każda jest usuwana najpóźniej 90 dni od wykonania, a jej zaszyfrowane dane z magazynu kopii - najpóźniej 31 dni później (umowa powierzenia § 12 ust. 5). Okres przechowywania danych rezerwacji i klientów ustala jednostka w konfiguracji swojego konta (od 12 do 120 miesięcy od ostatniej rezerwacji); jeżeli jednostka go nie ustawi, obowiązuje okres domyślny ustalony przez ZAJMIJ.TO - 36 miesięcy. Po tym okresie dane osobowe są anonimizowane, a dane płatności zostają tak długo, jak wymagają tego przepisy podatkowe (5 lat od końca roku obrotowego). Niezależnie od tego okresu: dziennik aktywności konta jednostki jest po 90 dniach przenoszony do archiwum, a archiwum usuwamy po 2 latach od wpisu; próby logowania mieszkańców i trenerów usuwamy po 90 dniach, rozpatrzone wnioski o PIN niepowiązane z klientem - po 12 miesiącach od decyzji; konta pracowników jednostki i profile trenerów wyłączone i nieużywane przez rok anonimizujemy (szczegóły: umowa powierzenia § 5 ust. 5). Po zakończeniu korzystania z usługi konto działa 30 dni tylko do odczytu, a potem dane trafiają na 30 dni do zaszyfrowanego archiwum i są usuwane (szczegóły: umowa powierzenia § 12 i regulamin usługi § 11).

9. Odbiorcy danych

Dane z części A i B mogą otrzymać:

Odbiorca	Zakres	Rola
OVH Sp. z o.o. (Wrocław)	hosting strony zajmij.to (serwer VPS), logi serwera, jednorazowe kopie strony przed większą zmianą	podmiot przetwarzający
Zoho Corporation B.V. (Utrecht, Holandia)	skrzynki e-mail zespołu (korespondencja, zgłoszenia w trybie awaryjnym) i wysyłka e-maili ze strony zajmij.to przez wtyczkę WP Mail SMTP (kopia awaryjna zgłoszenia)	podmiot przetwarzający
OVHcloud - dostawca serwerów usługi ZAJMIJ.TO (dane w EOG)	hosting aplikacji obsługującej zgłoszenia, konta jednostek, panel operatorów i helpdesk (`admin.zajmij.to`), w tym danych katalogu ofert na zajmij.to (publiczne oferty jednostek, bez danych osobowych) i zdjęć katalogu pobieranych z domen portali jednostek	podmiot przetwarzający
EmailLabs (Vercom S.A., Poznań)	wysyłka e-maili (link weryfikacyjny, powiadomienia, przypomnienia)	podmiot przetwarzający
Przelewy24 - PayPro S.A. (Poznań)	płatności jednostek za usługę: kwota, tytuł, e-mail osoby rozpoczynającej płatność, dane podane w bramce płatniczej, status i identyfikator transakcji, zwroty	odrębny administrator (usługi płatnicze, przepisy o przeciwdziałaniu praniu pieniędzy)
Google Ireland Limited (Irlandia)	statystyki odwiedzin strony zajmij.to (Google Analytics 4) - tylko po zgodzie (pkt 4)	podmiot przetwarzający na podstawie warunków przetwarzania danych Google
CookieYes Limited (Wielka Brytania)	baner zgody na stronie zajmij.to: dostarcza skrypt banera i przechowuje rejestr zgód (identyfikator zgody, data i godzina, wybrane kategorie); przy pobraniu skryptu otrzymuje dane techniczne zapytania, w tym adres IP	podmiot przetwarzający
Szef Krajowej Administracji Skarbowej - Krajowy System e-Faktur (KSeF)	dane z faktur ustrukturyzowanych (dane jednostki jako nabywcy i odbiorcy, a jeżeli są na fakturze - dane osób w niej wskazanych)	odrębny administrator (przepisy o podatku od towarów i usług)
biuro rachunkowe prowadzące księgi ZAJMIJ.TO	dane z faktur i dokumentów rozliczeniowych (dane jednostki, a jeżeli są w dokumentach - dane osób w nich wskazanych)	podmiot przetwarzający
Główny Urząd Statystyczny (rejestr REGON)	zapytanie o dane jednostki po numerze NIP/REGON	źródło danych publicznych
organy publiczne	gdy wymaga tego prawo	odrębni administratorzy

10. Przekazywanie poza EOG

Dostawców usługi wybieramy z przetwarzaniem danych w Europejskim Obszarze Gospodarczym (EOG). Wyjątki są dwa. Statystyki strony zajmij.to: jeżeli zgodzisz się na Google Analytics, dane statystyczne mogą być przekazywane do Google LLC w USA. Podstawą jest decyzja Komisji Europejskiej z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (Google LLC jest w nim certyfikowana), a dodatkowo standardowe klauzule umowne zawarte w warunkach przetwarzania danych Google. Baner zgody na stronie zajmij.to dostarcza CookieYes Limited z Wielkiej Brytanii; podstawą przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony danych w Zjednoczonym Królestwie (odnowiona 19 grudnia 2025 r., obowiązuje do 27 grudnia 2031 r.). Dane z formularzy, zgłoszeń, umów i kont jednostek nie są przekazywane poza EOG.

11. Twoje prawa

Masz prawo do: dostępu do danych (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych przetwarzanych na podstawie zgody lub umowy (art. 20), sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21) oraz do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.

Wnioski rozpatrujemy w terminie miesiąca, który w uzasadnionych przypadkach możemy przedłużyć o dwa miesiące, informując o tym.

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

12. Zautomatyzowane decyzje

Nie podejmujemy decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany. Zgłoszenie akceptuje pracownik ZAJMIJ.TO. Możemy włączyć automatyczną akceptację zgłoszeń, w których rejestr GUS potwierdza, że zgłaszający jest jednostką samorządu terytorialnego; zgłoszenie bez takiego potwierdzenia zawsze sprawdza pracownik. Zgłoszenie dla jednostki, która ma już konto albo otwarte zgłoszenie, system odrzuca automatycznie i przekazuje naszemu zespołowi (pkt 5). Decyzje te dotyczą jednostki, nie osoby zgłaszającej. Nie profilujemy.

13. Zmiany polityki

Każda wersja polityki ma identyfikator i datę oraz wpis w rejestrze zmian. O istotnych zmianach dotyczących jednostek informujemy administratorów kont jednostek e-mailem.