Ta polityka dotyczy serwisu strefaparafii.pl i panelu, w którym parafia prowadzi swoją stronę. Osobnym dokumentem jest umowa powierzenia — opisuje dane parafian, które przechodzą przez stronę parafii i za które odpowiada parafia.
§ 1. Kto odpowiada za dane
Administratorem danych jest CODENODE Paweł Kajdas, ul. Władysława Łokietka 5, 48-385 Otmuchów, NIP 7532280570, REGON 524195788.
Kontakt w sprawach danych osobowych: [email protected]. Nie powołaliśmy inspektora ochrony danych — pisma w tych sprawach trafiają na ten sam adres.
§ 2. Jakie dane zbieramy
| Czyje | Co |
|---|---|
| Osoby zakładającej konto i osób pracujących w panelu | imię i nazwisko, adres e-mail, numer telefonu, hasło (w postaci zaszyfrowanego skrótu), język panelu, data ostatniego logowania, ustawienia logowania dwuskładnikowego |
| Parafii jako klienta | nazwa, adres, NIP, dane do faktury, historia płatności i faktur, wybrany pakiet |
| Osób, które zaczęły zakładać stronę i jej nie dokończyły | to, co wpisały w formularzu rejestracji: imię i nazwisko, adres e-mail, numer telefonu, nazwę parafii, adres strony, NIP — bez hasła; na którym kroku przerwały i skąd przyszły (oznaczenia kampanii, strona odsyłająca) |
| Osób kontaktujących się z nami | treść wiadomości, adres e-mail lub telefon, notatki z rozmowy (gdy dzwonimy w sprawie obsługi) |
| Odwiedzających serwis | adres IP, informacje o przeglądarce, data i adres żądania (log serwera) |
| Dziennika w panelu | kto, co i kiedy zmienił w panelu, wraz z adresem IP i przeglądarką |
Nie zbieramy danych o zdrowiu, poglądach ani przekonaniach osób korzystających z panelu. Dane, które parafia zbiera od parafian przez swoją stronę (np. prośby o intencje), są danymi parafii — my jedynie je przechowujemy (patrz umowa powierzenia).
§ 3. Po co i na jakiej podstawie
| Cel | Podstawa |
|---|---|
| Prowadzenie konta i świadczenie usługi | art. 6 ust. 1 lit. b RODO — wykonanie umowy |
| Rozliczenia, faktury, księgowość | art. 6 ust. 1 lit. c RODO — obowiązek prawny |
| Wiadomości o usłudze: przypomnienia o płatności, zmianach regulaminu, awariach | art. 6 ust. 1 lit. b RODO |
| Bezpieczeństwo: logi, dziennik zmian, ochrona przed nadużyciami | art. 6 ust. 1 lit. f RODO — nasz uzasadniony interes |
| Kontakt z osobą, która zaczęła zakładać stronę i jej nie dokończyła — żeby pomóc ją dokończyć | art. 6 ust. 1 lit. f RODO — nasz uzasadniony interes |
| Statystyka odwiedzin strony sprzedażowej po wyrażeniu zgody | art. 6 ust. 1 lit. a RODO — zgoda |
| Nagrania i mapy kliknięć strony sprzedażowej i formularza rejestracji (Microsoft Clarity), po wyrażeniu zgody — żeby zobaczyć, w którym miejscu zakładanie strony sprawia kłopot. W nagraniu formularza rejestracji widać wpisywane dane (imię i nazwisko, e-mail, telefon, dane parafii), bez hasła i kodu SMS; formularz logowania jest zamaskowany | art. 6 ust. 1 lit. a RODO — zgoda |
| Rozmowa na czacie na stronie sprzedażowej i przy rejestracji (Tidio), po wyrażeniu zgody — odpowiadamy na pytania; widzimy to, co ktoś napisze na czacie (i adres e-mail, jeśli go poda), oraz stronę, na której jest | art. 6 ust. 1 lit. a RODO — zgoda |
| Dochodzenie roszczeń i obrona przed nimi | art. 6 ust. 1 lit. f RODO |
§ 4. Jak długo trzymamy dane
| Co | Jak długo |
|---|---|
| Konto i dane parafii | przez czas trwania umowy; po jej zakończeniu do czasu usunięcia parafii (opisanego w regulaminie) |
| Faktury i dokumenty księgowe | 5 lat licząc od końca roku podatkowego (obowiązek prawny) |
| Dowód akceptacji regulaminu i umowy powierzenia | przez czas trwania umowy i 6 lat po niej |
| Dziennik zmian w panelu | 12 miesięcy |
| Logi serwera (z pełnym adresem IP) | 30 dni |
| Statystyka odwiedzin (dane zbiorcze, bez identyfikatorów) | 24 miesięcy |
| Prośby o intencje zamawiane przez stronę parafii | 12 miesięcy (szczegóły w umowie powierzenia) |
| Dane z niedokończonej rejestracji | do założenia strony (wtedy usuwamy je od razu), najdłużej 90 dni od ostatniej zmiany w formularzu |
| Kopie zapasowe | 14 dni na serwerze, 31 dni w chmurze, kopie miesięczne do 400 dni |
§ 5. Komu powierzamy dane
Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu. Poniżej pełna lista — także tych, którzy są przygotowani, ale dziś nieużywani:
| Firma | Do czego | Gdzie | Stan |
|---|---|---|---|
| OVH Sp. z o.o. | serwer, na którym działa Strefa Parafii | Polska | korzystamy |
| Resend, Inc. | wysyłka wiadomości e-mail | USA (SCC) | korzystamy |
| JustSend.pl (Linkhouse S.A.) | wysyłka SMS-ów (kody potwierdzające) | Polska | korzystamy |
| Cloudflare, Inc. | DNS, ochrona przed atakami, certyfikaty | USA (SCC) | korzystamy |
| Google Cloud EMEA Limited | przechowywanie plików parafii i kopii zapasowych | Polska (Warszawa), kopie: Niemcy (Frankfurt) | korzystamy |
| BunnyWay d.o.o. | kroje pisma na stronach parafii | Słowenia (UE) | korzystamy |
| Stripe Payments Europe, Ltd. | obsługa płatności (BLIK, Przelewy24, karta) | Irlandia | korzystamy |
| Fakturownia Sp. z o.o. | wystawianie faktur | Polska | korzystamy |
| OpenAI Ireland Ltd. | poprawa tekstu, logo parafii, import ze starej strony | Irlandia | korzystamy |
| DeepL SE | tłumaczenie treści strony | Niemcy | dostępny, obecnie nieużywany |
| Microsoft Ireland Operations Ltd. (Clarity) | nagrania i mapy kliknięć strony sprzedażowej (tylko za zgodą) | Irlandia, USA (SCC) | korzystamy |
| Tidio LLC | czat na stronie sprzedażowej i przy rejestracji (tylko za zgodą) | USA (SCC) | korzystamy |
Serwer, na którym działa Strefa Parafii, stoi w Polsce. Pliki parafii przechowujemy w Google Cloud w Warszawie, a kopie zapasowe we Frankfurcie (Niemcy). Dane nie są przekazywane poza Europejski Obszar Gospodarczy z wyjątkiem usług Resend, Cloudflare, Microsoft Clarity i Tidio, których spółki mają siedzibę w USA lub przekazują tam dane — w tych przypadkach podstawą przekazania są standardowe klauzule umowne zatwierdzone przez Komisję Europejską.
Danych nie sprzedajemy i nie udostępniamy nikomu do celów marketingowych.
§ 6. Ciasteczka i statystyka
Strony parafii nie używają ciasteczek. Nie ma tam narzędzi analitycznych, pikseli ani skryptów reklamowych; liczbę odwiedzin liczymy sami, bez ciasteczek i bez zapisywania adresów IP w statystykach. Ciasteczko sesji pojawia się wyłącznie wtedy, gdy ktoś otworzy formularz (np. prośbę o intencję) — jest potrzebne do jego bezpiecznego wysłania.
Na stronie strefaparafii.pl i w panelu używamy:
| Nazwa | Po co | Jak długo |
|---|---|---|
strefa-parafii-session |
zalogowanie i bezpieczeństwo formularzy | do zamknięcia sesji (120 minut bezczynności) |
XSRF-TOKEN |
ochrona formularzy przed nadużyciem | jak wyżej |
remember_web_* |
opcja „zapamiętaj mnie” przy logowaniu | do wylogowania |
two_factor_trust |
„nie pytaj o kod na tym urządzeniu” | 30 dni |
sp_consent |
zapamiętanie odpowiedzi na pytanie o ciasteczka | 12 miesięcy |
Google Analytics / Google Ads (_ga, _gcl_au) |
statystyka i skuteczność reklam strony sprzedażowej | tylko za zgodą, do 24 miesięcy |
Microsoft Clarity (_clck, _clsk, CLID) |
nagrania i mapy kliknięć strony sprzedażowej i formularza rejestracji (hasła, kod SMS i logowanie zamaskowane) | tylko za zgodą, do 12 miesięcy |
Tidio (tidio_state_* w pamięci przeglądarki) |
czat na stronie sprzedażowej i przy rejestracji - zapamiętanie rozmowy | tylko za zgodą, do usunięcia danych przeglądarki |
Zgodę można w każdej chwili wycofać odnośnikiem „Ustawienia prywatności” w stopce. Do czasu wyrażenia zgody narzędzia Google nie zapisują żadnych identyfikatorów (tryb zgody Google). Microsoft Clarity i czat Tidio do tego czasu w ogóle się nie wczytują. Nagranie z formularza rejestracji oznaczamy w Clarity tym samym losowym identyfikatorem co wpis formularza (bez imienia i adresu e-mail), a po założeniu strony — numerem parafii, żeby zespół mógł zobaczyć, w którym miejscu ktoś utknął.
Formularz rejestracji zapamiętuje w pamięci przeglądarki losowy identyfikator (sp_registration_draft), żeby po powrocie do formularza uzupełniać ten sam wpis — usuwamy go po założeniu strony. Oznaczenia kampanii i stronę odsyłającą przekazujemy w adresie odnośnika do formularza; strona sprzedażowa nie zapisuje ich w przeglądarce.
§ 7. Prawa osób, których dane dotyczą
Każda osoba ma prawo do: dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Zgodę na statystykę można wycofać w każdej chwili, co nie wpływa na zgodność z prawem wcześniejszego przetwarzania.
Wystarczy napisać na [email protected] — odpowiadamy w ciągu 30 dni. Przysługuje też skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Jeśli sprawa dotyczy danych zebranych przez stronę parafii (np. prośby o intencję), prosimy o kontakt z parafią — to ona jest administratorem tych danych; my przekażemy zgłoszenie dalej i pomożemy je obsłużyć.
§ 8. Bezpieczeństwo
- Połączenia wyłącznie szyfrowane (HTTPS/TLS), także między naszymi serwerami.
- Hasła przechowujemy jako skróty (bcrypt), nie znamy ich treści; klucze logowania dwuskładnikowego są zaszyfrowane.
- Dane każdej parafii są odseparowane na poziomie aplikacji; dostęp do panelu wyznaczają role i uprawnienia.
- Zaplecze (backoffice) i podgląd monitoringu są zamknięte dodatkową warstwą logowania i obowiązkowym logowaniem dwuskładnikowym.
- Prowadzimy dziennik zmian w panelu i logi dostępowe; wykonujemy codzienne kopie zapasowe do drugiej lokalizacji.
- O naruszeniu ochrony danych powiadamiamy organ nadzorczy w ciągu 72 godzin, a osoby, których dotyczy — bez zbędnej zwłoki, jeśli wiąże się z wysokim ryzykiem.
§ 9. Zmiany polityki
O istotnych zmianach uprzedzamy mailem i komunikatem w panelu co najmniej 14 dni wcześniej. Każda wersja zostaje pod własnym adresem, więc zawsze da się sprawdzić, jak brzmiała wcześniej.