Polityka prywatności

Ta polityka wyjaśnia, jakie dane osobowe zbieramy w serwisie klientwraca.pl, w jakim celu, jak długo je przechowujemy i jakie masz prawa. Stosujemy przepisy RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) oraz Prawa komunikacji elektronicznej.

1. Administrator danych

Administratorem Twoich danych osobowych jest Netprofile Ariel Tarnowski, 43-300 Bielsko-Biała, ul. Akademii Umiejętności 79/6, NIP 9372500040 (dalej: „my”).

W sprawach dotyczących danych osobowych możesz się z nami skontaktować przez formularz kontaktowy albo e-mailem: kontakt [małpa] klientwraca [kropka] pl.

2. Jakie dane zbieramy i po co

Formularz kontaktowy

Gdy wysyłasz formularz, przetwarzamy: imię i nazwisko, nazwę firmy, numer telefonu, adres e-mail, branżę, treść wiadomości oraz datę wysłania, adres IP i informacje o przeglądarce.

Cel	Podstawa prawna
Odpowiedź na zapytanie, przedstawienie oferty i uruchomienie konta testowego	art. 6 ust. 1 lit. b RODO - działania na Twoje żądanie przed zawarciem umowy
Kontakt telefoniczny lub e-mailowy w sprawie Twojego zapytania	Twoja zgoda (art. 6 ust. 1 lit. a RODO w zw. z Prawem komunikacji elektronicznej), wyrażona zaznaczeniem pola w formularzu
Ochrona przed spamem i nadużyciami (adres IP, przeglądarka), udokumentowanie zgody	art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes
Ustalenie, dochodzenie lub obrona roszczeń	art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes

Podanie danych jest dobrowolne, ale bez imienia i nazwiska oraz telefonu albo e-maila nie będziemy mogli odpowiedzieć.

Konto w aplikacji klientwraca.pl

Gdy zakładasz konto, przetwarzamy: imię i nazwisko, adres e-mail, numer telefonu, nazwę firmy, branżę, a jeśli podasz dane do faktury - także NIP i adres. Do tego dochodzą dane o korzystaniu z konta: data założenia, ostatniego logowania, wybrany plan i historia płatności.

Cel	Podstawa prawna
Założenie i prowadzenie konta, świadczenie usługi, kontakt w sprawach obsługi	art. 6 ust. 1 lit. b RODO - wykonanie umowy
Wystawianie i przechowywanie faktur, rozliczenia podatkowe	art. 6 ust. 1 lit. c RODO - obowiązek prawny (ustawa o rachunkowości, Ordynacja podatkowa)
Rozpatrywanie reklamacji, ustalenie i dochodzenie roszczeń	art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes
Zapewnienie bezpieczeństwa konta (logi logowań, logowanie dwuskładnikowe - jeśli je włączysz)	art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes
Informacje o działaniu usługi: awarie, prace serwisowe, zmiany regulaminu, kończący się abonament	art. 6 ust. 1 lit. b i f RODO

Podanie danych jest dobrowolne, ale bez nich nie da się założyć konta ani wystawić faktury.

Logowanie przez Google lub Facebooka

Jeśli zakładasz konto albo logujesz się przyciskiem „Kontynuuj z Google” lub „Kontynuuj z Facebookiem”, Google Ireland Ltd. albo Meta Platforms Ireland Ltd. przekazuje nam tylko Twój adres e-mail i imię i nazwisko - po to, żeby założyć konto albo Cię zalogować (art. 6 ust. 1 lit. b RODO). Nie dostajemy hasła, listy znajomych, zdjęć ani żadnych innych danych, nie zapisujemy identyfikatora konta Google ani Facebooka i niczego nie publikujemy w Twoim imieniu. Za logowanie po ich stronie odpowiadają Google i Meta, na swoich zasadach.

Usunięcie danych: poza adresem e-mail i imieniem, które stają się danymi Twojego konta, nie przechowujemy niczego z Google ani z Facebooka. Żeby je usunąć, usuń konto w klientwraca.pl - opis jest na stronie usunięcie konta. Połączenie z naszą aplikacją możesz też w każdej chwili usunąć w ustawieniach konta Google albo Facebooka (Ustawienia → Aplikacje i witryny).

Płatności za abonament

Płatności obsługuje PayU S.A. z siedzibą w Poznaniu, która jest odrębnym administratorem danych podanych w formularzu płatności (m.in. danych karty - my ich nie widzimy i nie przechowujemy). My przetwarzamy informację o kwocie, dacie, statusie płatności i identyfikatorze transakcji, żeby rozliczyć abonament i wystawić fakturę (art. 6 ust. 1 lit. b i c RODO). Jeżeli włączysz płatność automatyczną, PayU zapisuje Twoją kartę po swojej stronie, a my przechowujemy wyłącznie token, który pozwala pobrać kolejną opłatę.

Program partnerski

Jeżeli korzystasz z programu poleceń, przetwarzamy: Twój kod polecający, informację o tym, które konta założono z Twojego linku i kiedy, oraz o tym, czy mają opłacony abonament - bo od tego zależy wysokość Twojej zniżki. Firmie poleconej nie pokazujemy Twoich danych, a Tobie nie pokazujemy jej danych kontaktowych - widzisz skróconą nazwę firmy (np. „Kominiarz J.”), datę dołączenia i to, czy polecenie liczy się do zniżki. Podstawą jest wykonanie umowy i nasz prawnie uzasadniony interes w rozliczeniu programu (art. 6 ust. 1 lit. b i f RODO).

Program partnerski dla hurtowni i sklepów

Jeżeli Twoja firma zgłosi się do programu partnerskiego (partner.klientwraca.pl) albo zostanie do niego przyjęta, przetwarzamy dane podane w zgłoszeniu i w portalu partnera: nazwę firmy, NIP, adres, imię i nazwisko osoby do kontaktu, e-mail, telefon, adres strony lub sklepu i numer rachunku do wypłat, a także numery faktur za prowizje. Robimy to, żeby rozpatrzyć zgłoszenie, prowadzić program i rozliczać prowizje (art. 6 ust. 1 lit. b, c i f RODO). Partnerowi pokazujemy wyłącznie skróconą nazwę firm, które założyły konto z jego kodem, datę założenia konta i to, czy mają opłacony abonament - bez danych kontaktowych. Dane zgłoszenia przechowujemy przez czas prowadzenia programu partnerskiego albo do czasu, aż poprosisz o ich usunięcie; dane rozliczeniowe - przez okres wymagany przepisami podatkowymi.

Hurtownie i sklepy, do których piszemy pierwsi (adres z publicznej strony)

Jeżeli Twoja firma dostała od nas e-mail z adresu [email protected] z pytaniem, czy możemy przesłać propozycję współpracy partnerskiej, jej adres pochodzi z publicznie dostępnego źródła: strony internetowej firmy, jej wizytówki w wyszukiwarce albo katalogu firm. Przetwarzamy: nazwę firmy, firmowy adres e-mail, adres strony i miejscowość, adres źródła, z którego pochodzi e-mail, oraz treść naszej korespondencji i jej daty.

Cel	Podstawa prawna
Jednorazowe zapytanie, czy wyrażasz zgodę na otrzymanie informacji handlowej (propozycji współpracy), i obsługa odpowiedzi	art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes (nawiązanie współpracy z firmami)
Przesłanie propozycji współpracy - wyłącznie po Twojej zgodzie	art. 6 ust. 1 lit. a RODO w zw. z art. 398 Prawa komunikacji elektronicznej
Zapamiętanie, że nie chcesz wiadomości, żeby nie napisać ponownie	art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes i obowiązek uszanowania sprzeciwu

Każdą wiadomość do Ciebie czyta i wysyła człowiek. Twojej korespondencji nie przekazujemy nikomu poza dostawcą serwera (punkt 4). Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu.

Jeśli nie odpowiesz, nie wyślemy kolejnych wiadomości. Możesz w każdej chwili wnieść sprzeciw albo cofnąć zgodę: klikając link „wypisz” w wiadomości albo odpisując „nie” lub „wypisz”. Wtedy zachowujemy tylko adres e-mail z informacją o sprzeciwie, żeby nigdy więcej do Ciebie nie napisać. Pozostałe prawa opisuje punkt 5.

Połączenie z kontem Google (wysyłka z Gmaila)

Jeżeli zdecydujesz się wysyłać wiadomości do swoich klientów z własnego adresu Gmail lub Google Workspace, poprosimy Cię o zgodę na dostęp do zakresu gmail.send. Otrzymujemy wtedy wyłącznie token pozwalający wysyłać wiadomości w Twoim imieniu oraz adres e-mail konta, które podłączyłeś. Token przechowujemy w postaci zaszyfrowanej i używamy go tylko do wysyłki wiadomości zleconych przez Ciebie w aplikacji.

Nie czytamy Twojej poczty, nie pobieramy jej treści ani listy kontaktów. Korzystanie przez klientwraca.pl z informacji otrzymanych z interfejsów API Google odbywa się zgodnie z Google API Services User Data Policy, w tym z wymogami Limited Use: danych z Google nie wykorzystujemy do reklamy, nie sprzedajemy ich, nie przekazujemy osobom trzecim ani nie używamy do trenowania modeli sztucznej inteligencji. Połączenie możesz w każdej chwili zerwać w panelu („Dane firmy” → „Odłącz konto”) albo w ustawieniach swojego konta Google; usuwamy wtedy token.

Jak chronimy dane z konta Google

• Zakres danych: z Google otrzymujemy tylko token odświeżania dla zakresu gmail.send i adres e-mail podłączonego konta. Nie mamy dostępu do skrzynki odbiorczej, treści poczty, kontaktów ani kalendarza.
• Szyfrowanie w spoczynku: token jest zapisany w bazie danych w postaci zaszyfrowanej (AES-256). Klucz szyfrujący jest przechowywany poza bazą danych, w konfiguracji serwera.
• Szyfrowanie w transmisji: cała komunikacja między Twoją przeglądarką, naszą aplikacją i serwerami Google odbywa się przez szyfrowane połączenie HTTPS (TLS).
• Dostęp: dostęp do serwera i bazy danych ma wyłącznie administrator serwisu. Token nie jest wyświetlany w panelu, nie trafia do logów ani do aplikacji mobilnej; pracownicy wsparcia nie mają do niego dostępu.
• Ochrona serwera: serwer znajduje się w Unii Europejskiej, ruch do niego jest ograniczony zaporą sieciową, a kopie zapasowe są szyfrowane.
• Przechowywanie i usuwanie: token przechowujemy tylko tak długo, jak długo połączenie jest aktywne. Po odłączeniu konta w panelu albo po usunięciu konta w serwisie unieważniamy token w Google i trwale usuwamy go z bazy. Możesz też w każdej chwili cofnąć dostęp w ustawieniach swojego konta Google.
• Udostępnianie: danych otrzymanych z Google nie przekazujemy nikomu, poza przypadkami, gdy wymaga tego prawo.

Opinie o aplikacji

Jeżeli dodasz opinię w panelu, przetwarzamy: ocenę, treść opinii, imię i nazwisko, nazwę firmy, branżę oraz powiązanie z Twoim kontem. Opinię wykorzystujemy do rozwoju aplikacji (art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes), a jeżeli wyrazisz na to zgodę - pokazujemy ją na stronie klientwraca.pl w formie skróconej: imię, pierwsza litera nazwiska, nazwa firmy i branża (art. 6 ust. 1 lit. a RODO). Zgodę możesz wycofać w każdej chwili, pisząc do nas - wtedy usuwamy opinię ze strony.

Aplikacja mobilna

Aplikacja na telefon jest częścią usługi i działa na tym samym koncie. Oprócz danych, które wprowadzasz tak samo jak w panelu, przetwarza:

• zdjęcia robione aparatem przy wizycie lub dokumencie - trafiają na nasz serwer i do karty klienta albo wizyty,
• nagrania głosowe dyktowanych notatek - zamieniamy je na tekst na naszym własnym serwerze (bez udziału zewnętrznych usług rozpoznawania mowy) i przechowujemy przy notatce, dopóki ich nie usuniesz. Bez zasięgu telefon może zamienić notatkę na tekst sam, usługą rozpoznawania mowy zainstalowaną w telefonie,
• polecenia głosowe - tylko gdy włączysz „Sterowanie głosem”. Mowę na tekst zamienia usługa rozpoznawania mowy w Twoim telefonie (zwykle Google, na zasadach jej dostawcy i Twoich ustawień telefonu); my nie otrzymujemy ani nie zapisujemy nagrań poleceń. Aplikacja rozpoznaje polecenie na telefonie, a na nasz serwer trafia wyłącznie wynik - np. dodana notatka albo zaplanowana wizyta,
• lokalizację telefonu - tylko wtedy, gdy sam naciśniesz przycisk „Uzupełnij z GPS”. Współrzędne (bez adresu IP użytkownika i bez danych konta czy klienta) wysyłamy z naszego serwera do usługi OpenStreetMap Nominatim (OpenStreetMap Foundation, Wielka Brytania - kraj z decyzją Komisji Europejskiej o odpowiednim stopniu ochrony), która zamienia je na adres; nie przekazujemy przy tym danych konta ani klienta. Aplikacja nie śledzi położenia w tle,
• identyfikatory urządzenia potrzebne do powiadomień push - token Firebase Cloud Messaging, nazwę i system telefonu oraz wersję aplikacji; bez nich nie da się doręczyć powiadomienia,
• raporty o awariach (Firebase Crashlytics) - model telefonu, wersję systemu i aplikacji, datę i przebieg błędu oraz losowy identyfikator instalacji; nie zawierają danych Twoich klientów.

Dane potrzebne do pracy bez zasięgu aplikacja przechowuje na telefonie w zaszyfrowanej bazie i usuwa je przy wylogowaniu. Logowanie odciskiem palca lub twarzą obsługuje system telefonu - danych biometrycznych nie otrzymujemy. Z uprawnień do aparatu, mikrofonu, lokalizacji i powiadomień korzystamy wyłącznie do opisanych funkcji; każde możesz cofnąć w ustawieniach telefonu.

Podstawą jest wykonanie umowy (art. 6 ust. 1 lit. b RODO), a w przypadku raportów o awariach - nasz prawnie uzasadniony interes w utrzymaniu działającej i bezpiecznej aplikacji (art. 6 ust. 1 lit. f RODO). Dane Twoich klientów zawarte w zdjęciach, nagraniach i adresach przetwarzamy w Twoim imieniu, na zasadach umowy powierzenia. Token powiadomień usuwamy, gdy wylogujesz aplikację albo odbierzesz telefonowi dostęp w panelu, a na telefon nieaktywny od 180 dni przestajemy wysyłać powiadomienia; raporty o awariach Google przechowuje przez 90 dni.

Korespondencja e-mail

Gdy piszesz do nas e-mailem albo odpowiadamy na Twój formularz, przetwarzamy Twój adres e-mail, treść wiadomości i dane, które w niej podasz - żeby odpowiedzieć i prowadzić z Tobą sprawę (art. 6 ust. 1 lit. b lub f RODO). Poczta do adresów w domenie klientwraca.pl przechodzi przez Cloudflare (wyłącznie przekazanie) i trafia do naszej skrzynki w usłudze Google (Gmail). Korespondencję przechowujemy przez czas potrzebny do załatwienia sprawy, a potem przez okres przedawnienia roszczeń.

Dyktowanie w panelu w przeglądarce może korzystać z rozpoznawania mowy wbudowanego w przeglądarkę (np. Chrome) - wtedy mowę na tekst zamienia dostawca przeglądarki, na swoich zasadach.

Czat pomocy

Gdy piszesz na czacie (ikona w prawym dolnym rogu strony, „Pomoc” w panelu albo w aplikacji), przetwarzamy treść rozmowy, adres podstrony, z której piszesz, adres IP, a jeśli go podasz - Twój adres e-mail; u zalogowanych także dane konta (imię, firma, plan). Robimy to, żeby odpowiedzieć na Twoje pytanie (art. 6 ust. 1 lit. b RODO, a przed założeniem konta - lit. f: nasz interes w odpowiadaniu na pytania o usługę) i chronić czat przed nadużyciami (lit. f).

Na pierwsze pytania odpowiada automatyczny asystent (model językowy Claude firmy Anthropic). Do Anthropic trafia wyłącznie treść rozmowy - bez Twojego adresu e-mail, imienia i danych konta - a gdy asystent nie jest pewien odpowiedzi albo poprosisz o człowieka, rozmowę przejmuje nasz zespół. Nie podawaj na czacie danych, których nie potrzebujemy (np. danych swoich klientów).

Wzory dokumentów do pobrania

Gdy na stronie ze wzorami dokumentów podajesz adres e-mail, żeby dostać wzór w PDF, przetwarzamy: adres e-mail, nazwę wybranego wzoru, datę zgłoszenia, informację, czy plik został pobrany, oraz adres IP i dane przeglądarki. Adresu używamy do wysłania jednej wiadomości z linkiem do wzoru - to usługa, o którą prosisz (art. 6 ust. 1 lit. b RODO). Adres IP i dane przeglądarki służą ochronie formularza przed nadużyciami (art. 6 ust. 1 lit. f RODO).

Kolejne wiadomości - porady dla firm serwisowych i informacje o klientwraca.pl - wysyłamy tylko wtedy, gdy zaznaczysz na to osobną, dobrowolną zgodę pod formularzem (art. 6 ust. 1 lit. a RODO w zw. z art. 398 Prawa komunikacji elektronicznej). Wzór dostaniesz także bez niej. Zgodę możesz wycofać w każdej chwili, pisząc na [email protected]; nie wpływa to na zgodność z prawem wcześniejszych wysyłek.

Korzystanie ze strony

Serwer, na którym działa strona, zapisuje techniczne dane o połączeniach (adres IP, data i godzina, adres podstrony, informacje o przeglądarce). Robimy to, żeby strona działała bezpiecznie i żeby można było wykrywać awarie i ataki (art. 6 ust. 1 lit. f RODO).

3. Jak długo przechowujemy dane

• Dane z formularza kontaktowego - do 12 miesięcy od ostatniego kontaktu, chyba że zawrzemy umowę (wtedy przez czas jej trwania i okres przedawnienia roszczeń).
• Dowód wyrażenia zgody na kontakt - do czasu jej wycofania, a potem przez okres przedawnienia roszczeń.
• Dane techniczne z serwera (logi) - do 90 dni.
• Rozmowy na czacie pomocy - do 12 miesięcy od ostatniej wiadomości, chyba że są potrzebne dłużej do obsługi konta lub reklamacji.
• Zgłoszenia po wzory dokumentów - do 12 miesięcy od zgłoszenia, a przy zgodzie na kolejne wiadomości - do jej wycofania; dowód zgody przechowujemy potem przez okres przedawnienia roszczeń.
• Opinie o aplikacji - przez czas korzystania z konta, a opinie pokazane na stronie - do wycofania zgody.
• Dane konta i dane wprowadzone do aplikacji - przez czas obowiązywania umowy. Po usunięciu konta usuwamy je w terminie opisanym w regulaminie (obecnie 30 dni od zgłoszenia), a kopie zapasowe wygasają w ciągu kolejnych 30 dni.
• Faktury i dokumenty księgowe - 5 lat licząc od końca roku, w którym upłynął termin płatności podatku (wymóg przepisów podatkowych).
• Dane potrzebne do obrony przed roszczeniami - do upływu terminu przedawnienia (zwykle 3 lata w obrocie gospodarczym).
• Rozliczenia programu partnerskiego - przez czas jego trwania i okres przedawnienia roszczeń.
• Dane firm, do których napisaliśmy pierwsi z propozycją współpracy - przez czas prowadzenia wysyłki, a jeśli firma zostanie partnerem - jak dane partnera. Firma, która nie odpowiedziała, odmówiła albo się wypisała, zostaje na liście jako wpis blokujący, żebyśmy nie napisali do niej ponownie. Usunięcia danych możesz zażądać w każdej chwili - zostawimy wtedy tylko adres e-mail jako blokadę.
• Statystyki Google Analytics (tylko za zgodą) - 14 miesięcy od zebrania, potem Google je usuwa; nagrania Microsoft Clarity - do 30 dni, jego zestawienia - do 13 miesięcy; pliki cookie Google Ads - do 90 dni, listy remarketingowe - do 540 dni; pliki cookie Meta Pixel - do 90 dni, grupy odbiorców Meta - do 180 dni od ostatniej wizyty; zapisany wybór dotyczący plików cookie - 12 miesięcy; własne statystyki odwiedzin bez plików cookie - 400 dni (klucz, z którego powstaje skrót odwiedzającego - 1 dzień).

Nie trzymamy danych „na wszelki wypadek” bez końca: RODO wymaga, żeby każdy zbiór miał określony czas przechowywania, a po jego upływie dane były usuwane albo zanonimizowane.

4. Komu przekazujemy dane

Nie sprzedajemy danych. Mogą mieć do nich dostęp wyłącznie podmioty, które świadczą dla nas usługi i przetwarzają dane w naszym imieniu na podstawie umowy powierzenia:

Podmiot	Rola	Miejsce przetwarzania
OVH Sp. z o.o.	Hosting serwera i kopii zapasowych	Polska (Warszawa)
Digital Virgo Polska Sp. z o.o. (Justsend), rondo Ignacego Daszyńskiego 1, 00-843 Warszawa, KRS 0001068391	Wysyłka wiadomości SMS (bramka SMS) i obsługa reklamacji dotyczących wysyłek	Polska
Cloudflare, Inc.	Ochrona przed atakami, szyfrowanie połączeń i przekazywanie poczty do adresów w domenie klientwraca.pl - dane wyłącznie w trakcie przesyłania	UE / USA (SCC, DPF)
PayU S.A.	Obsługa płatności za abonament	Polska
Google Ireland Ltd.	Wysyłka e-maili z konta Gmail - tylko jeśli firma sama podłączy swoje konto Google	UE / USA (SCC, DPF)
Google Ireland Ltd. (Firebase Cloud Messaging)	Doręczanie powiadomień push do aplikacji mobilnej - identyfikator urządzenia i treść powiadomienia	UE / USA - Google LLC (SCC, DPF)
Google Ireland Ltd. (Firebase Crashlytics)	Raporty o awariach aplikacji mobilnej - model telefonu, wersje systemu i aplikacji, przebieg błędu, bez danych klientów	UE / USA - Google LLC (SCC, DPF)
OpenStreetMap Foundation (Nominatim)	Zamiana współrzędnych GPS na adres, tylko po naciśnięciu „Uzupełnij z GPS” - wyłącznie współrzędne, wysyłane z naszego serwera, bez danych konta, klienta i adresu IP użytkownika	Wielka Brytania (decyzja KE o adekwatności)
Google Ireland Ltd. (Gmail)	Nasza skrzynka e-mail - korespondencja z Tobą	UE / USA - Google LLC (SCC, DPF)
Anthropic (Claude API)	Automatyczny asystent na czacie pomocy - tylko treść rozmowy	USA (standardowe klauzule umowne)
Biuro rachunkowe	Księgowość i rozliczenia podatkowe	Polska
Google Ireland Ltd. (Google Analytics, Google Tag Manager)	Statystyki odwiedzin strony - tylko za Twoją zgodą (pkt 6); w Google Ads - odrębny administrator, tylko za zgodą na marketing	UE / USA - Google LLC (SCC, DPF)
Meta Platforms Ireland Ltd. (Meta Pixel)	Pomiar skuteczności reklam na Facebooku i Instagramie oraz remarketing - odrębny administrator, tylko za zgodą na marketing (pkt 6)	UE / USA - Meta Platforms, Inc. (SCC, DPF)
Microsoft Ireland Operations Ltd. (Microsoft Clarity)	Mapy kliknięć i nagrania przewijania strony - tylko za Twoją zgodą (pkt 6)	UE / USA - Microsoft Corp. (SCC, DPF)

Aktualna lista podwykonawców, którym powierzamy dane wprowadzone do aplikacji, jest częścią umowy powierzenia. PayU S.A. przy obsłudze płatności występuje jako odrębny administrator. Dane do faktury (nazwa firmy, NIP, adres) wysyłamy w fakturze do Krajowego Systemu e-Faktur (KSeF), prowadzonego przez Ministra Finansów - tego wymagają przepisy o VAT. Dane możemy też przekazać innym organom publicznym, jeśli wymagają tego przepisy.

Jeżeli któryś z dostawców przetwarzałby dane poza Europejskim Obszarem Gospodarczym, będzie to możliwe tylko przy zapewnieniu wymaganych przez RODO zabezpieczeń (np. standardowych klauzul umownych).

5. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych,
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie,
• cofnięcia zgody w dowolnym momencie - nie wpływa to na zgodność z prawem przetwarzania przed jej cofnięciem,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Aby skorzystać z tych praw, napisz do nas przez formularz lub e-mailem. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu.

6. Pliki cookie, statystyki i reklamy

Pliki cookie to małe pliki zapisywane w Twojej przeglądarce. Na stronie klientwraca.pl używamy trzech rodzajów: niezbędnych, bez których strona nie działa (na nie zgoda nie jest potrzebna), analitycznych (Google Analytics, Microsoft Clarity) oraz marketingowych (Google Ads, Meta Pixel). Analityczne i marketingowe - tylko wtedy, gdy się na nie zgodzisz, a każdą z tych zgód możesz dać osobno. Nie łączymy statystyk ani danych reklamowych z Twoim kontem w aplikacji. W panelu dla zalogowanych oraz na stronach otwieranych z linków (zgoda, protokół) nie ma żadnych narzędzi analitycznych. Niezależnie od zgód prowadzimy własne, zbiorcze statystyki odwiedzin bez plików cookie (opisane niżej).

Własne statystyki odwiedzin (bez plików cookie)

Żeby wiedzieć, ile osób odwiedza stronę, skąd przychodzi (np. z wyszukiwarki albo z naszej reklamy) i czy zakłada konto, liczymy odwiedziny na własnym serwerze. Nie zapisujemy w Twojej przeglądarce niczego: ani plików cookie, ani danych w pamięci przeglądarki. Nie przechowujemy też Twojego adresu IP ani opisu przeglądarki. Z adresu IP i opisu przeglądarki tworzymy jednorazowy skrót z losowym kluczem, który zmieniamy codziennie, a stary usuwamy. Dzięki temu możemy połączyć kilka stron oglądanych tego samego dnia w jedną wizytę, ale nie da się z niego odczytać, kim jesteś, ani rozpoznać Cię następnego dnia. Statystyki działają na publicznej stronie oraz na stronach rejestracji i logowania, nie w panelu dla zalogowanych.

• Jakie dane: odwiedzone strony, czas, przez który strona była na ekranie, jak daleko ją przewinięto, strona, z której przyszedłeś, parametry linku reklamowego (np. utm_campaign), rodzaj urządzenia (telefon lub komputer, na podstawie szerokości ekranu), kraj ustalony przez naszego dostawcę sieci (Cloudflare) oraz to, czy w trakcie wizyty otworzono formularz rejestracji, konto demo albo założono konto.
• Podstawa prawna: nasz prawnie uzasadniony interes - mierzenie, czy strona i reklamy działają (art. 6 ust. 1 lit. f RODO). Nie zapisujemy ani nie odczytujemy niczego z Twojego urządzenia, więc zgoda z art. 399 Prawa komunikacji elektronicznej nie jest potrzebna.
• Odbiorcy: nikt - dane zostają na naszym serwerze.
• Jak długo: klucz do skrótu - 1 dzień; zbiorcze dane o wizytach - 400 dni.

Niezbędne pliki cookie

Nazwa	Do czego służy	Jak długo
klientwracapl-session	Utrzymuje sesję, np. żeby pokazać potwierdzenie wysłania formularza lub błędy w nim	1440 minut od ostatniej aktywności
XSRF-TOKEN	Chroni formularz przed podszywaniem się pod Ciebie (atakami CSRF)	1440 minut
kw_consent	Zapamiętuje Twój wybór dotyczący plików cookie, żeby nie pytać przy każdej wizycie	12 miesięcy

Gdy statystyki są wyłączone po naszej stronie, zamiast pytania o zgodę pokazujemy sam komunikat o plikach cookie - to, że go zamknąłeś, zapisujemy w pamięci przeglądarki (local storage, kw_cookie_notice_seen).

Google Analytics (za Twoją zgodą)

Jeżeli klikniesz „Akceptuję” albo włączysz statystykę w ustawieniach, uruchamiamy Google Analytics 4 za pośrednictwem Google Tag Manager. Dowiadujemy się z niego, ile osób odwiedza stronę, skąd przychodzą (np. z wyszukiwarki), które podstrony oglądają i ile osób kliknęło „Wypróbuj za darmo” i założyło konto. Widzimy wyłącznie zbiorcze zestawienia.

• Jakie dane: losowy identyfikator przeglądarki zapisany w plikach cookie _ga i _ga_* (ważne do 2 lat), odwiedzone podstrony i kliknięcia, adres strony, z której przyszedłeś, rodzaj urządzenia, system, przeglądarka, język i przybliżona lokalizacja (miasto) ustalona z adresu IP. Google Analytics 4 nie zapisuje adresów IP.
• Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej).
• Odbiorca: Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irlandia), który przetwarza dane w naszym imieniu na podstawie warunków przetwarzania danych Google Ads i Google Analytics. Dane mogą trafić do Google LLC w USA - na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) oraz standardowych klauzul umownych.
• Jak długo: dane o zdarzeniach Google przechowuje przez 14 miesięcy, a następnie usuwa.
• Reklamy: dane z Google Analytics służą reklamom tylko wtedy, gdy osobno zgodzisz się na pliki cookie marketingowe (niżej).

Microsoft Clarity (za Twoją zgodą)

Na podstawie tej samej zgody na statystykę uruchamiamy Microsoft Clarity. Pokazuje nam mapy kliknięć i odtworzenia tego, jak ktoś przewijał i klikał stronę - dzięki temu widzimy, który fragment jest niezrozumiały albo gdzie przycisk nie działa. Treści wpisywane w pola formularzy są maskowane i nie trafiają do Clarity. Clarity działa tylko na publicznej stronie klientwraca.pl, nie w panelu ani w aplikacji.

• Jakie dane: losowe identyfikatory w plikach cookie _clck (do 1 roku) i _clsk (1 dzień), ruchy myszy, przewijanie i kliknięcia na stronie, rodzaj urządzenia, przeglądarka i przybliżona lokalizacja ustalona z adresu IP.
• Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej).
• Odbiorca: Microsoft Ireland Operations Ltd. (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlandia). Dane mogą trafić do Microsoft Corporation w USA - na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) oraz standardowych klauzul umownych.
• Jak długo: nagrania sesji - do 30 dni, zestawienia zbiorcze - do 13 miesięcy.

Google Ads

Jeżeli zgodzisz się na pliki cookie marketingowe, tag Google Ads zapisuje swoje pliki cookie. Dzięki niemu wiemy, czy rejestracja nastąpiła po kliknięciu naszej reklamy (żeby nie płacić za reklamy, które nie działają), a Google może pokazywać nasze reklamy osobom, które wcześniej odwiedziły stronę (remarketing).

Jeżeli zgody nie udzielisz, tag Google Ads nie zapisuje ani nie odczytuje żadnych plików cookie i nie służy do remarketingu. Wysyła wtedy do Google tylko sygnał bez plików cookie (tzw. tryb zgody Google): że strona została wyświetlona lub że założono konto, wraz z identyfikatorem kliknięcia reklamy z adresu strony (jeśli wszedłeś z naszej reklamy), rodzajem przeglądarki i adresem IP. Google używa tego wyłącznie do policzenia, ile rejestracji przyniosły nasze reklamy, w formie zbiorczej. Podstawą jest nasz prawnie uzasadniony interes - sprawdzanie skuteczności płatnych reklam (art. 6 ust. 1 lit. f RODO). Możesz się temu sprzeciwić, pisząc do nas.

Jeżeli wszedłeś z naszej reklamy Google, zgodziłeś się na pliki cookie marketingowe i założyłeś konto, przekazujemy Google z naszego serwera informację o rejestracji (a później o dodaniu pierwszego klienta) razem z identyfikatorem kliknięcia reklamy oraz adresem e-mail konta w postaci skrótu SHA-256 (tzw. konwersje rozszerzone). Skrót to ciąg znaków, z którego nie da się odczytać adresu - Google porównuje go jedynie ze skrótami adresów swoich zalogowanych użytkowników, żeby przypisać rejestrację do kliknięcia reklamy, także gdy kliknąłeś ją na innym urządzeniu. Bez tej zgody przekazujemy tylko identyfikator kliknięcia i czas rejestracji, bez adresu e-mail.

• Jakie dane: identyfikator kliknięcia reklamy i losowe identyfikatory w plikach cookie _gcl_au (do 90 dni) i _gcl_aw (do 90 dni) oraz w plikach cookie Google na domenach google.com / doubleclick.net, odwiedzone podstrony i informacja o rejestracji (za zgodą na marketing - także skrót SHA-256 adresu e-mail konta), rodzaj urządzenia i przybliżona lokalizacja ustalona z adresu IP.
• Podstawa prawna: pliki cookie i remarketing - Twoja zgoda (art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej); sygnał bez plików cookie - prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
• Odbiorca: Google Ireland Ltd. Google w zakresie reklam działa jako odrębny administrator danych na podstawie warunków Google Ads Controller-Controller Data Protection Terms. Dane mogą trafić do Google LLC w USA - na podstawie EU-US Data Privacy Framework oraz standardowych klauzul umownych. Jak Google wykorzystuje dane: policies.google.com/technologies/partner-sites.
• Jak długo: pliki cookie - do 90 dni (identyfikatory Google na domenach Google - do 13 miesięcy); listy remarketingowe - do 540 dni.

Meta Pixel (za Twoją zgodą na marketing)

Na podstawie tej samej zgody na marketing uruchamiamy Meta Pixel i przekazujemy Meta informacje o rejestracji z naszego serwera. Dzięki niemu wiemy, czy rejestracja nastąpiła po reklamie na Facebooku lub Instagramie, a Meta może pokazywać nasze reklamy osobom, które wcześniej odwiedziły stronę.

• Jakie dane: losowe identyfikatory w plikach cookie _fbp (do 90 dni) i _fbc (identyfikator kliknięcia reklamy, do 90 dni), odwiedzone podstrony, informacja o otwarciu formularza rejestracji i o założeniu konta, rodzaj urządzenia i przeglądarki oraz adres IP. Gdy założysz konto, przekazujemy Meta z naszego serwera (Conversions API) także adres e-mail konta, a jeśli go podałeś - numer telefonu, oba w postaci skrótu SHA-256, oraz skrót numeru Twojej firmy w aplikacji. Skrót to ciąg znaków, z którego nie da się odczytać adresu ani numeru - Meta porównuje go jedynie ze skrótami danych swoich użytkowników, żeby przypisać rejestrację do reklamy. Nie przekazujemy treści formularzy ani żadnych danych z aplikacji. Jeżeli jesteś zalogowany na Facebooku lub Instagramie, Meta może powiązać te dane ze swoim kontem.
• Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej).
• Odbiorca: Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, D04 X2K5, Irlandia). Za zbieranie i przekazanie danych z naszej strony odpowiadamy razem z Meta jako współadministratorzy (umowa: facebook.com/legal/controller_addendum); w dalszym zakresie Meta jest odrębnym administratorem. Prawa wynikające z RODO możesz wykonać wobec nas lub wobec Meta. Dane mogą trafić do Meta Platforms, Inc. w USA - na podstawie EU-US Data Privacy Framework oraz standardowych klauzul umownych. Jak Meta przetwarza dane: facebook.com/privacy/policy.
• Jak długo: pliki cookie - do 90 dni; grupy odbiorców do remarketingu - do 180 dni od ostatniej wizyty.

Sam kontener Google Tag Manager wczytujemy przy każdej wizycie, ale bez zgody nie zapisuje on plików cookie analitycznych ani reklamowych i nie uruchamia Google Analytics, Microsoft Clarity ani Meta Pixel; Google Ads wysyła wtedy jedynie opisany wyżej sygnał bez plików cookie. Jak każde pobranie pliku z zewnętrznego serwera, przekazuje przy tym Google adres IP i informacje o przeglądarce - wyłącznie w celu dostarczenia skryptu.

Jak zmienić lub wycofać zgodę

Swój wybór zmienisz w każdej chwili, klikając „Ustawienia cookies” w stopce strony - wycofanie zgody jest tak samo proste jak jej udzielenie. Po wycofaniu przestajemy zbierać statystyki lub dane reklamowe i usuwamy z Twojej przeglądarki pliki cookie Google Analytics, Microsoft Clarity, Google Ads i Meta Pixel zapisane na naszej domenie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem. Pliki cookie możesz też usunąć lub zablokować w ustawieniach przeglądarki; zablokowanie niezbędnych może jednak uniemożliwić wysłanie formularza. Jeżeli zgody nie udzielisz, strona działa tak samo.

Czcionki i pozostałe skrypty strony są wczytywane z naszego serwera - poza opisanym wyżej Google Tag Manager nie korzystamy z zewnętrznych serwisów (np. Google Fonts), które mogłyby zbierać dane o Twojej wizycie.

7. Dane klientów w aplikacji klientwraca.pl

Gdy firma serwisowa korzysta z aplikacji klientwraca.pl i wpisuje do niej dane swoich klientów, administratorem tych danych jest ta firma. My przetwarzamy je wyłącznie w jej imieniu, na zasadach opisanych w umowie powierzenia przetwarzania danych, którą każda firma akceptuje przy zakładaniu konta. Klient firmy serwisowej, który chce skorzystać ze swoich praw, powinien zwrócić się bezpośrednio do tej firmy - w razie potrzeby pomożemy jej w ich realizacji.

Jeżeli firma wysyła Ci z aplikacji wiadomość SMS, Twój numer telefonu, treść wiadomości i nazwa nadawcy trafiają do dostawcy bramki SMS (Digital Virgo Polska Sp. z o.o., serwis Justsend) i do operatora Twojej sieci komórkowej, który jest w zakresie numeru telefonu odrębnym administratorem. Dostawca bramki przetwarza je także w celu obsługi reklamacji i wykrywania nadużyć. Jeżeli firma wysyła Ci SMS ze swojego telefonu (opcja „SMS z mojego telefonu”), wiadomość nie przechodzi przez bramkę SMS - przygotowujemy ją w aplikacji firmy, a wysyła ją firma ze swojego numeru, przez swojego operatora. Z przypomnień możesz zrezygnować, zgłaszając to firmie albo na stronie zgody, do której link otrzymałeś.

Kopię wszystkich danych z aplikacji firma pobierze w panelu, w zakładce „Twoje dane i konto”; tam też zgłosi usunięcie konta.

8. Zmiany polityki prywatności

Możemy aktualizować tę politykę, np. gdy zmienią się przepisy lub funkcje serwisu. Aktualna wersja jest zawsze dostępna na tej stronie, z datą ostatniej zmiany.