Polityka prywatności

Administratorem Twoich danych osobowych jest Mateusz Król, NIP 5732923161, operator serwisu Ruszaki.pl (dalej: my). We wszystkich sprawach dotyczących danych osobowych (w tym realizacji praw opisanych niżej) napisz na adres: kontakt@ruszaki.pl. Pozostałe dane kontaktowe: strona Kontakt.

• Świadczenie usług (konto, katalog ofert z mapą, profile dzieci, ulubione, opinie, czat, zapisy, panel organizacji, powiadomienia) - art. 6 ust. 1 lit. b RODO (umowa, czyli regulamin serwisu);
• Komunikacja techniczna (reset hasła, powiadomienia o koncie i organizacji) - art. 6 ust. 1 lit. b RODO;
• Bezpieczeństwo, moderacja i przeciwdziałanie nadużyciom (limity prób logowania, logi, raporty błędów, rozpatrywanie zgłoszeń) - art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes: bezpieczny i zgodny z prawem serwis) oraz obowiązki prawne dotyczące moderacji - art. 6 ust. 1 lit. c RODO;
• Ustalenie, dochodzenie lub obrona roszczeń - art. 6 ust. 1 lit. f RODO;
• Lokalizacja urządzenia i powiadomienia push - zgoda wyrażana przez uprawnienia systemowe (art. 6 ust. 1 lit. a RODO); możesz ją wycofać w każdej chwili w ustawieniach systemu.

Dane powierzamy podmiotom, które świadczą dla nas usługi niezbędne do działania serwisu (na podstawie umów powierzenia, art. 28 RODO):

• Railway - hosting backendu, bazy danych i komunikacji real-time; region UE (Holandia),
• Cloudflare - przechowywanie zdjęć (R2 w jurysdykcji UE), DNS, przekierowanie poczty kontakt@ruszaki.pl,
• Vercel - hosting strony internetowej; funkcje w regionie UE (Frankfurt), część ruchu przechodzi przez globalną sieć edge,
• Brevo - wysyłka e-maili transakcyjnych (reset hasła, decyzje o organizacji, zaproszenia); spółka z UE,
• Sentry - raporty błędów; region UE (Niemcy),
• Expo - doręczanie powiadomień push; USA,
• Mapbox - mapa i geokodowanie na stronie www; USA.

Niezależnymi administratorami Twoich danych w swoich usługach są: Google (logowanie Google, podpowiedzi adresów Places, Mapy Google w aplikacji na Androidzie, doręczanie powiadomień na Androidzie - FCM) oraz Apple (logowanie Apple, Apple Maps, doręczanie powiadomień na iOS). Dane mogą być też udostępniane uprawnionym organom, gdy wymaga tego prawo.

Publiczne API osadzania (embed) udostępnia stronom trzecim wyłącznie dane biznesowe organizacji (nazwa, oferty, adresy zajęć); nie zawiera danych osobowych rodziców ani dzieci.

Część dostawców przetwarza dane w USA. Przekazywanie odbywa się na podstawie decyzji Komisji Europejskiej o adekwatności dla podmiotów certyfikowanych w ramach EU-US Data Privacy Framework (art. 45 RODO) - m.in. Google LLC, Apple Inc., Cloudflare Inc. i Vercel Inc. - albo na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję (art. 46 ust. 2 lit. c RODO), z których korzystają pozostali dostawcy spoza EOG (w tym Expo i Mapbox). Railway i Sentry przechowują dane w regionie UE, a ewentualny dostęp z USA odbywa się na podstawie DPF lub standardowych klauzul umownych danego dostawcy. Status certyfikacji możesz sprawdzić na dataprivacyframework.gov; kopię odpowiednich zabezpieczeń możesz uzyskać, kontaktując się z nami.

• Dane konta i treści - przez czas posiadania konta;
• po usunięciu konta (usuwanie następuje niezwłocznie): trwale usuwamy profile dzieci wraz z zapisami, ulubione, Twoje opinie, członkostwa w organizacjach i tokeny push; konto jest anonimizowane - e-mail, telefon, imię i nazwisko, zdjęcie i powiązanie z logowaniem Apple/Google są usuwane, a Twoje wiadomości w czacie przestają być powiązane z Tobą (druga strona rozmowy widzi je jako pochodzące od usuniętego użytkownika);
• dane, które musimy zachować mimo usunięcia konta: dane dotyczące naruszeń, zgłoszeń i sporów - do upływu terminów przedawnienia roszczeń, oraz dane, których zachowania wymaga prawo;
• tokeny resetu hasła - ważne 1 godzinę, jednorazowe, w bazie wyłącznie jako skrót SHA-256;
• logi techniczne i raporty błędów - zgodnie z polityką retencji dostawców (standardowo do 90 dni);
• kopie zapasowe bazy danych - wykonywane automatycznie przez dostawcę hostingu i usuwane w cyklu rotacji (obecnie do 7 dni).

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych (dane przetwarzane na podstawie umowy lub zgody),
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania).

Z praw skorzystasz, pisząc na kontakt@ruszaki.pl; część z nich zrealizujesz samodzielnie w aplikacji (edycja profilu, usunięcie konta). Odpowiadamy najpóźniej w ciągu miesiąca.

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa (uodo.gov.pl), jeżeli uznasz, że przetwarzanie Twoich danych narusza przepisy.

Konto usuniesz bezpośrednio w aplikacji (Profil, sekcja Konto, przycisk „Usuń konto”) albo na stronie ruszaki.pl/usun-konto po zalogowaniu. Usunięcie jest natychmiastowe i nieodwracalne; skutki opisuje sekcja 6. Jeżeli jesteś właścicielem organizacji, usunięcie konta zostanie wstrzymane do czasu przekazania lub zamknięcia organizacji - napisz do nas na kontakt@ruszaki.pl, a przekażemy organizację wskazanej przez Ciebie osobie albo ją zamkniemy; potem usuniesz konto samodzielnie.

Podanie danych jest dobrowolne, ale podanie adresu e-mail (lub użycie konta Google/Apple) oraz imienia i nazwiska jest warunkiem założenia konta, a podanie danych organizacji - warunkiem publikowania ofert. Dane dziecka podajesz tylko, jeśli chcesz korzystać z dopasowania ofert i zapisów. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały; nie profilujemy Cię w celach marketingowych.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka: szyfrowanie transmisji (TLS/HTTPS), przechowywanie haseł wyłącznie w postaci skrótów (Argon2id/bcrypt), tokeny sesji ważne 1 godzinę przechowywane w cookie httpOnly (strona www) lub w szyfrowanym magazynie systemowym urządzenia (aplikacja mobilna), ograniczenie liczby prób logowania (5 prób na 5 minut na adres e-mail), jednorazowe hashowane tokeny resetu hasła oraz ograniczenie dostępu do danych.

Serwis jest narzędziem dla rodziców i opiekunów; konto może założyć wyłącznie osoba pełnoletnia. Nie kierujemy serwisu do dzieci i dzieci nie powinny samodzielnie zakładać kont. Dane dziecka (imię, data urodzenia) wpisuje wyłącznie rodzic lub opiekun prawny; profile dzieci nie są publiczne, a ich zakres ogranicza się do minimum potrzebnego do dopasowania ofert wiekowo i obsługi zgłoszeń na zajęcia.

Strona ruszaki.pl używa wyłącznie niezbędnych mechanizmów: cookie sesyjnego z tokenem logowania (httpOnly) oraz zapamiętania preferencji (miasto, filtry). Nie używamy cookies reklamowych ani analitycznych. Aplikacja mobilna zamiast cookies używa bezpiecznego magazynu systemowego (iOS Keychain / Android Keystore) oraz lokalnej pamięci urządzenia na preferencje.

O istotnych zmianach tej polityki poinformujemy w aplikacji lub e-mailem przed ich wejściem w życie. Aktualna wersja jest zawsze dostępna pod adresem ruszaki.pl/polityka-prywatnosci.