Polityka prywatności

1. Kto odpowiada za dane

Administratorem danych osobowych przetwarzanych w serwisie myblisko.com jest [UZUPEŁNIJ: pełna nazwa firmy albo imię i nazwisko], [UZUPEŁNIJ: adres], NIP [UZUPEŁNIJ: NIP], REGON [UZUPEŁNIJ: REGON].

Kontakt w sprawach danych osobowych: [UZUPEŁNIJ: adres e-mail do kontaktu].

Nie wyznaczyliśmy inspektora ochrony danych. [DO DECYZJI PRAWNIKA: czy przy tej skali i przy danych o zdrowiu IOD jest wymagany.]

2. Czym jest blisko i skąd biorą się dane

blisko to tag NFC z unikalnym kodem. Po zbliżeniu telefonu do tagu (albo po zeskanowaniu kodu QR) otwiera się karta pod adresem myblisko.com/v/kod-tagu, na której widać informacje wpisane wcześniej przez właściciela tagu.

Dane trafiają do serwisu z trzech źródeł: od kupującego (adres e-mail podany przy zakupie), od właściciela konta (treść profilu) oraz od osoby, która znalazła tag i dobrowolnie wysłała swoją lokalizację.

3. Dane konta

W serwisie nie ma publicznej rejestracji — konta zakłada sprzedawca po zakupie. Aplikacja nie wysyła żadnych wiadomości e-mail: dane do pierwszego logowania przekazuje sprzedawca [UZUPEŁNIJ: w jaki sposób, np. e-mailem z adresu … albo w opakowaniu z tagiem].

Na koncie przechowujemy:

• adres e-mail podany przy zakupie — służy jako login i jedyny sposób identyfikacji konta,
• hasło — przechowywane wyłącznie jako skrót kryptograficzny (scrypt z losową solą); z zapisu w bazie nie da się odtworzyć hasła,
• znacznik „hasło tymczasowe do zmiany" — aktywny do chwili, gdy użytkownik zmieni hasło nadane przez sprzedawcę,
• numer wersji sesji — pozwala wylogować wszystkie urządzenia po zmianie hasła,
• data utworzenia konta.

Adresu e-mail nie wykorzystujemy do marketingu i nie przekazujemy go innym firmom.

4. Dane w profilu — o ich zakresie decyduje właściciel

W profilu przechowujemy wyłącznie to, co właściciel sam wpisze:

• nazwa profilu i jego rodzaj (osoba dorosła, dziecko, senior, osoba z niepełnosprawnością, zwierzę, walizka, plecak, torba, klucze, portfel, rower, inne),
• do dwóch numerów telefonu wraz z krótkim opisem, np. „Mama", „Właściciel",
• do dwudziestu dowolnych informacji — właściciel sam wpisuje tytuł i treść; serwis nie narzuca ani nie podpowiada żadnych pól,
• ustawienie, czy znalazca może wysłać właścicielowi swoją lokalizację,
• opcjonalny PIN do karty — przechowywany wyłącznie jako skrót kryptograficzny, wraz z licznikiem nieudanych prób i czasem blokady.

Każdy numer telefonu i każda informacja ma osobny przełącznik „widoczne". Po zeskanowaniu tagu pokazujemy wyłącznie elementy oznaczone jako widoczne — pozostałe nie opuszczają bazy danych.

Treść informacji wpisuje właściciel. Jeżeli wpisze dane o zdrowiu (choroby, leki, alergie, grupa krwi), będą to dane szczególnej kategorii w rozumieniu art. 9 RODO. [DO DECYZJI PRAWNIKA: podstawa ich przetwarzania — zgoda (art. 9 ust. 2 lit. a) czy ochrona żywotnych interesów (art. 9 ust. 2 lit. c) — oraz treść zgody, którą powinien zaakceptować użytkownik przy zapisie profilu.]

Jeżeli profil dotyczy innej osoby — dziecka, seniora, podopiecznego — dane wprowadza osoba uprawniona: rodzic, opiekun prawny albo osoba, która wyraziła na to zgodę. [DO DECYZJI PRAWNIKA: jak to udokumentować i czy wymagać oświadczenia w formularzu.]

5. Kto widzi dane z profilu

Karta pod adresem myblisko.com/v/kod-tagu jest publiczna: otworzy ją każdy, kto trzyma tag w ręku i ma telefon z NFC albo aparatem. Nie ma logowania ani listy osób uprawnionych — taki jest sens tej usługi.

Jeżeli właściciel ustawi PIN, karta prosi o niego, zanim cokolwiek pokaże. Do czasu podania PIN-u nie widać nawet nazwy ani rodzaju profilu. PIN blokuje dostęp również ratownikom i przypadkowym znalazcom — to świadomy wybór właściciela między prywatnością a szybkim kontaktem.

Strony kart mają ustawiony znacznik noindex i nie trafiają do wyszukiwarek, a serwer wysyła je z zakazem zapisywania w pamięci podręcznej. Nie chroni to jednak przed osobą, która fizycznie ma tag.

Techniczny dostęp do bazy danych ma administrator serwisu — w zakresie potrzebnym do utrzymania, naprawy i obsługi zgłoszeń.

6. Lokalizacja wysyłana przez znalazcę

Jeżeli właściciel na to zezwolił, karta pokazuje przycisk wysłania lokalizacji. Kliknięcie jest w pełni dobrowolne — przeglądarka najpierw pyta znalazcę o zgodę na dostęp do położenia.

• zapisujemy szerokość i długość geograficzną, deklarowaną dokładność w metrach, czas oraz nazwę i rodzaj profilu, którego dotyczy powiadomienie,
• nie zapisujemy niczego, co identyfikuje znalazcę — ani numeru telefonu, ani adresu IP,
• powiadomienie widzi wyłącznie właściciel konta, do którego przypisany jest tag, po zalogowaniu w panelu,
• powiadomienia kasują się automatycznie po 90 dniach; właściciel może usunąć każde wcześniej,
• lokalizacja nie jest wysyłana e-mailem ani przekazywana innym firmom.

7. Bezpieczeństwo

• Hasła i PIN-y przechowujemy wyłącznie jako skróty scrypt z losową solą — nie znamy ich i nie potrafimy odczytać ani przypomnieć.
• Cały ruch idzie po HTTPS, a sesja logowania siedzi w ciasteczku niedostępnym dla skryptów strony (httpOnly).
• Ograniczamy liczbę prób logowania, prób PIN-u i wysyłek lokalizacji. Adresy IP potrzebne do tych limitów trzymamy wyłącznie w pamięci serwera przez kilkanaście minut — nie zapisujemy ich w bazie danych.
• Nieudane próby PIN-u liczymy w bazie przy konkretnym profilu, żeby blokada działała także po restarcie serwera. Po pięciu błędnych próbach karta blokuje się na dwie minuty, a każda kolejna podwaja ten czas, maksymalnie do godziny.
• Serwer hostingu prowadzi standardowe logi dostępowe (adres IP, czas, adres strony). [UZUPEŁNIJ: okres ich przechowywania — do sprawdzenia u Hostingera.]

8. Pliki cookie

Serwis używa wyłącznie ciasteczek niezbędnych do działania. Nie ma analityki, pikseli reklamowych, profilowania ani śledzenia między stronami — dlatego nie wyświetlamy okna zgody na ciasteczka. [DO DECYZJI PRAWNIKA: potwierdzenie, że przy tym zestawie ciasteczek baner zgody nie jest wymagany.]

• blisko_session — utrzymuje zalogowanie właściciela; ważne 30 dni, httpOnly, w produkcji wysyłane tylko po HTTPS,
• NEXT_LOCALE oraz NEXT_LOCALE_DEVICE — zapamiętują ręcznie wybrany język i język urządzenia z chwili wyboru; ważne rok. Bez nich język ustawia się automatycznie według ustawień telefonu,
• blisko_card_kod-tagu — potwierdza poprawne podanie PIN-u do jednej konkretnej karty; ważne 30 minut i tylko pod adresem tej karty.

9. Gdzie są przechowywane dane i komu je powierzamy

Serwis działa na hostingu firmy Hostinger International Ltd. (Cypr) — tam też stoi baza danych MySQL z kontami, profilami, tagami i powiadomieniami. Hostinger jest w tym zakresie podmiotem przetwarzającym dane na nasze zlecenie.

Lokalizacja centrum danych: [UZUPEŁNIJ: sprawdź w hPanelu, w szczegółach planu hostingowego — np. Niderlandy albo Litwa].

Poza Hostingerem nie korzystamy z żadnej innej usługi przetwarzającej dane: nie ma systemu analitycznego, systemu wysyłki e-maili ani narzędzi marketingowych. Kroje pisma serwujemy z własnego serwera, więc przeglądarka nie łączy się w tym celu z Google.

Kliknięcie w panelu przycisku otwierającego mapę przenosi do Map Google — od tej chwili obowiązuje polityka prywatności Google.

[UZUPEŁNIJ: jeśli sprzedaż idzie przez sklep internetowy, dopisz operatora płatności, firmę kurierską i program do faktur — one także przetwarzają dane kupujących.]

[DO DECYZJI PRAWNIKA: czy potrzebna jest umowa powierzenia przetwarzania z Hostingerem (art. 28 RODO) i jak ją udokumentować.]

10. Jak długo trzymamy dane

• konto i profile — do czasu usunięcia konta,
• powiadomienia o lokalizacji — 90 dni, potem kasują się automatycznie,
• tagi i przypisane do nich kody aktywacyjne — przez czas korzystania z usługi,
• dokumentacja sprzedaży — [UZUPEŁNIJ: okres wynikający z przepisów podatkowych, zwykle 5 lat].

Usunięcie profilu w panelu kasuje jego dane od razu, a tag przestaje cokolwiek pokazywać. Usunięcia całego konta nie da się dziś wykonać samodzielnie w panelu — robimy to ręcznie po zgłoszeniu na adres [UZUPEŁNIJ: adres e-mail do kontaktu], w terminie [UZUPEŁNIJ: termin, np. do 30 dni].

11. Podstawy przetwarzania

Dane przetwarzamy na następujących podstawach z RODO:

• umowa (art. 6 ust. 1 lit. b RODO) — prowadzenie konta i działanie tagu,
• zgoda (art. 6 ust. 1 lit. a, a przy danych o zdrowiu art. 9 ust. 2 lit. a) — informacje, które właściciel sam wpisuje do profilu, oraz lokalizacja wysyłana przez znalazcę,
• prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — bezpieczeństwo serwisu, limity prób i ochrona przed nadużyciami,
• obowiązek prawny (art. 6 ust. 1 lit. c) — dokumentacja sprzedaży.

[DO DECYZJI PRAWNIKA: ostateczny dobór podstaw prawnych i opis prawnie uzasadnionego interesu.]

12. Prawa osób, których dane dotyczą

Każdej osobie, której dane przetwarzamy, przysługuje prawo do:

• dostęp do danych i otrzymanie ich kopii,
• sprostowanie danych,
• usunięcie danych,
• ograniczenie przetwarzania,
• sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• przeniesienie danych,
• wycofanie zgody w dowolnym momencie — bez wpływu na to, co działo się wcześniej.

Żądania przyjmujemy pod adresem [UZUPEŁNIJ: adres e-mail do kontaktu] i odpowiadamy na nie w terminie [UZUPEŁNIJ: termin zgodny z art. 12 RODO — co do zasady miesiąc].

Przysługuje również skarga do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

13. Dzieci

Konto w serwisie zakłada osoba pełnoletnia. Profil dziecka tworzy rodzic albo opiekun prawny i to on decyduje, które informacje są widoczne po zeskanowaniu tagu. [DO DECYZJI PRAWNIKA: granica wieku i sposób potwierdzania opieki.]

14. Zmiany polityki

Aktualna wersja dokumentu jest zawsze na tej stronie, z datą ostatniej aktualizacji u góry. [DO DECYZJI PRAWNIKA: sposób informowania użytkowników o zmianach i termin ich wejścia w życie.]