To jest archiwalna wersja tego dokumentu (pl-2026-08-24b). Obowiązuje ona umów zawartych w czasie, gdy była opublikowana. Zobacz wszystkie wersje.
Polityka prywatności i plików cookies Joanasi
Wersja: pl-2026-08-24b Obowiązuje od: 24 sierpnia 2026
Ta polityka dotyczy dwóch miejsc:
- strony joanasi.com (strona informacyjna, bezpłatny plan treningowy, newsletter),
- aplikacji app.joanasi.com (zakup i korzystanie z zestawu „Dieta na Start”).
1. Administrator danych
Administratorem Twoich danych osobowych jest Joanna Sirak, działalność nierejestrowana, ul. Tkacka 5/5, 30-050 Kraków, sprzedaż w ramach działalności nierejestrowanej (art. 5 ust. 1 Prawa przedsiębiorców), bez wpisu do CEIDG i bez numeru REGON.
Kontakt w sprawach danych osobowych: hello@joanasi.com, adres do korespondencji: ul. Tkacka 5/5, 30-050 Kraków.
Inspektor ochrony danych nie został powołany.
2. Jakie dane przetwarzamy
W związku z zakupem i korzystaniem z aplikacji:
- Adres e-mail, podany przy płatności i przy logowaniu.
- Dane zamówienia: identyfikator zamówienia, kupiony produkt i wersja edycji, kwota, waluta, kwota podatku, status płatności i status dostępu, identyfikatory transakcji i klienta po stronie operatora płatności.
- Zapis oświadczeń złożonych przy zakupie: dokładna treść i wersja oświadczeń, informacja, czy zostały złożone, oraz moment złożenia.
- Imię, nazwisko i adres rozliczeniowy zbiera operator płatności na swojej stronie, na potrzeby rozliczenia podatku. My ich nie zapisujemy. W naszej bazie zostaje adres e-mail zamówienia oraz identyfikator klienta po stronie operatora, i nic poza tym.
- Identyfikator użytkowniczki w systemie uwierzytelniania, sześciocyfrowe kody dostępu i sesje.
- Twoje wybory w aplikacji: zaplanowane dni i posiłki, stan listy zakupów.
- Dzienna aktywność w aplikacji: identyfikator klientki, dzień aktywności i informacja, czy otworzyła jedną z głównych funkcji aplikacji. Nie zapisujemy dokładnego czasu, odwiedzonej strony, liczby kliknięć, urządzenia, adresu IP ani treści planu.
- Zdarzenia pobrania ebooka.
- Korespondencja z nami, gdy do nas napiszesz.
- Dane techniczne i logi: adres IP i informacje o przeglądarce przetwarzane przez naszych dostawców przy obsłudze żądań, a także skróty kryptograficzne adresu e-mail, adresu IP i identyfikatora użytkowniczki, używane do ograniczania liczby prób.
- Zgoda marketingowa przy zakupie. Jeżeli ją zaznaczysz, zapisujemy treść zgody i moment jej udzielenia jako dowód. Nie tworzymy na jej podstawie wiadomości marketingowej i nie przekazujemy Twojego adresu do Klaviyo.
W związku ze stroną joanasi.com i newsletterem:
- Adres e-mail podany w formularzu zapisu.
- Dane przekazywane do Klaviyo: adres e-mail, źródło zapisu, status subskrypcji oraz zdarzenia zapisu, potwierdzenia zapisu, pobrania planu i ponownego wygenerowania linku.
- Zaszyfrowany token zawierający Twój adres e-mail, zapisywany w Twoim profilu w Klaviyo i używany do zbudowania osobistego linku do pobrania planu, ważny 14 dni.
- Jednorazowe znaczniki pobrania zapisywane na serwerze, w postaci skrótu kryptograficznego, aby ten sam link nie działał wielokrotnie.
- Logi serwera oraz liczniki ograniczające liczbę zapisów z jednego adresu IP.
Czego nie zbieramy. Nie zbieramy danych o zdrowiu, wynikach badań, wadze, obwodach ani o stosowanych lekach. Twój profil w aplikacji nie ma miejsca na takie dane i nie budujemy profilu ciała.
Kalkulator kalorii (/kalkulator-kalorii). Kalkulator jest bezpłatny i dostępny bez zakupu, bez konta i bez podawania adresu e-mail. Wiek, płeć używana we wzorze, masa ciała, wzrost i poziom aktywności oraz wynik obliczenia pozostają wyłącznie w Twojej przeglądarce:
- nie są wysyłane na nasz serwer ani do żadnego dostawcy,
- nie są zapisywane w bazie danych, w plikach cookie, w
localStorage, wsessionStorageani wIndexedDB, - nie trafiają do adresu strony ani do żadnego zdarzenia analitycznego; po zgodzie możemy zmierzyć samo odwiedzenie strony kalkulatora, ale nie wpisane wartości ani wynik,
- nie są zapisywane w logach,
- znikają po odświeżeniu strony i po jej zamknięciu.
Ponieważ dane te nas nie dochodzą, nie stajemy się ich administratorem. Wynik jest orientacyjnym oszacowaniem, a nie poradą medyczną ani dietetyczną.
3. Cele, podstawy prawne i okresy przechowywania
Dwa okresy poniżej są już egzekwowane przez system i nie wymagają decyzji:
- Dane licznika zapytań (ochrona przed nadużyciem formularzy): usuwane po 24 godzinach od zamknięcia okna pomiaru. Robi to automatyczne zadanie systemowe.
- Identyfikatory wygenerowanych plików PDF: usuwane razem z Twoim kontem przez powiązane automatyczne usuwanie danych.
Okresy oznaczone niżej jako usuwane automatycznie są egzekwowane przez nasz system: codzienne zadanie usuwa albo trwale pozbawia danych identyfikujących rekordy, którym upłynął termin. Nie zależy to od tego, czy ktoś o tym pamięta.
Tam, gdzie okres zależy od ustawień dostawcy albo od naszej obsługi korespondencji, piszemy to wprost, zamiast podawać liczbę, której nie jesteśmy w stanie wyegzekwować.
| Co robimy | Jakie dane | Podstawa prawna | Jak długo |
|---|---|---|---|
| Sprzedaż zestawu i utrzymanie dostępu | zamówienie, adres e-mail, edycja, status dostępu | art. 6 ust. 1 lit. b RODO (wykonanie umowy) | 6 lat od końca roku kalendarzowego, w którym umowa się zakończyła. Po tym terminie usuwamy automatycznie adres e-mail z zamówienia; samo zamówienie, kwota i dowód zawarcia umowy zostają, bo są dokumentem finansowym |
| Zapis oświadczeń złożonych przy zakupie | treść i wersja oświadczeń, moment złożenia | zebranie i przekazanie Ci potwierdzenia: art. 6 ust. 1 lit. c RODO (obowiązek z art. 21 ust. 1 ustawy o prawach konsumenta). Późniejsze przechowywanie dowodu: art. 6 ust. 1 lit. f RODO. Uzasadniony interes: możliwość wykazania, co dokładnie Ci pokazaliśmy i kiedy | 6 lat od końca roku kalendarzowego, w którym umowa się zakończyła. Samego zapisu oświadczeń nie usuwamy wcześniej: to dowód, od którego zależy Twoje prawo odstąpienia i nasza zgodność z prawem |
| Logowanie bez hasła | adres e-mail, kod, sesja | art. 6 ust. 1 lit. b RODO | kod i sesja: tylko do wygaśnięcia, wylogowania lub unieważnienia (nie robimy ich drugiej kopii). Adres e-mail konta: przez czas aktywnego dostępu, a potem usuwamy go automatycznie w ciągu 30 dni, chyba że masz jeszcze inny aktywny dostęp |
| Wysyłka wiadomości o dostępie | adres e-mail, treść wiadomości | art. 6 ust. 1 lit. b RODO | naszą kopię wysłanej wiadomości, razem z jej treścią, usuwamy automatycznie po 90 dniach. Niezależny zapis, że przekazaliśmy Ci umowę na trwałym nośniku i kiedy, zostaje na zasadach z pierwszego wiersza tej tabeli. U dostawcy wysyłki: 30 dni |
| Planer i lista zakupów | Twoje wybory w aplikacji | art. 6 ust. 1 lit. b RODO | przez czas aktywnego dostępu, a potem usuwamy automatycznie w ciągu 30 dni. Zanim to nastąpi, możesz pobrać swoje dane z planera do pliku |
| Udostępnianie ebooka do pobrania | uprawnienie do edycji, zdarzenie pobrania | art. 6 ust. 1 lit. b RODO | przez czas aktywnego dostępu; zapisy o wydanych kopiach usuwamy automatycznie 3 lata po jego zakończeniu |
| Oznaczanie wygenerowanych plików PDF (przepis, lista zakupów) identyfikatorem kopii | identyfikator kopii, powiązanie z kontem, rodzaj dokumentu i wersja edycji, moment wygenerowania. Nie zapisujemy treści pliku, adresu e-mail ani adresu IP | art. 6 ust. 1 lit. f RODO. Uzasadniony interes: ustalenie źródła kopii udostępnionej bez uprawnienia oraz ustalenie, dochodzenie lub obrona roszczeń | przez czas aktywnego dostępu, a następnie 3 lata od jego zakończenia; po tym terminie usuwamy automatycznie, chyba że trwa konkretny spór |
| Obsługa pytań i reklamacji | korespondencja | art. 6 ust. 1 lit. b i lit. c RODO | 6 lat od końca roku kalendarzowego, w którym sprawa została zamknięta. Korespondencja jest w skrzynce pocztowej, a nie w naszej bazie, więc usuwamy ją ręcznie, w przeglądzie wykonywanym raz na kwartał, a nie automatycznie |
| Ograniczanie liczby prób logowania, płatności i pobrań | skróty adresu e-mail, adresu IP i identyfikatora użytkowniczki, liczniki | art. 6 ust. 1 lit. f RODO. Uzasadniony interes: ochrona kont klientek i naszej usługi przed nadużyciami i automatycznymi atakami | wpisy usuwane po 24 godzinach od otwarcia okna licznika |
| Podstawowe statystyki uruchomienia produktu: rozpoczęcie zakupu i pobranie ebooka | rodzaj zdarzenia, czas, identyfikator klientki w naszej bazie | art. 6 ust. 1 lit. f RODO. Uzasadniony interes: sprawdzenie, czy zakup i dostarczenie materiałów działają poprawnie | 180 dni |
| Dzienne statystyki korzystania z aplikacji przez klientki | identyfikator klientki w naszej bazie, dzień aktywności oraz informacja, czy otworzyła jedną z głównych funkcji aplikacji. Nie zapisujemy odwiedzonej strony, dokładnego czasu, liczby kliknięć, sesji, urządzenia, adresu IP ani treści planu | art. 6 ust. 1 lit. f RODO. Uzasadniony interes: sprawdzenie, czy dostęp i główne funkcje aplikacji działają oraz są faktycznie używane, wykrywanie problemów z uruchomieniem usługi i jej ulepszanie | 180 dni; panel obsługi pokazuje wyłącznie wyniki zbiorcze |
| Logi serwerów i hostingu | adres IP, czas, adres strony, informacje o przeglądarce | art. 6 ust. 1 lit. f RODO. Uzasadniony interes: utrzymanie i bezpieczeństwo serwisu, diagnostyka awarii | te logi powstają i są usuwane po stronie naszych dostawców hostingu, zgodnie z ich własnymi warunkami. Nie ustalamy i nie kontrolujemy tego okresu, więc nie podajemy tu liczby, której nie moglibyśmy dotrzymać |
| Pomiar skuteczności banera zgody: liczba wyświetleń, akceptacji i odrzuceń | wyłącznie dzienne liczniki w postaci „data: ile pokazano, ile zaakceptowano, ile odrzucono”. Adres IP jest przetwarzany przejściowo przy obsłudze żądania i nie trafia do tego pliku | art. 6 ust. 1 lit. f RODO. Uzasadniony interes: wykazanie, że baner działa i że odrzucenie jest równie łatwe jak akceptacja | przechowujemy bezterminowo, bo są to dane zbiorcze, po których nie da się Cię rozpoznać |
| Newsletter i wiadomości marketingowe | adres e-mail, zdarzenia zapisu i pobrania planu | art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 398 ust. 1 i 2 Prawa komunikacji elektronicznej | profil marketingowy trzymamy tak długo, jak trwa Twoja zgoda. Po jej wycofaniu natychmiast przestajemy wysyłać, a profil w Klaviyo usuwamy w ciągu 30 dni, chyba że mamy inny udokumentowany, zgodny z prawem cel. Usunięcie wykonujemy w ramach przeglądu kwartalnego, ręcznie. Odrębnie i w minimalnym zakresie trzymamy 6 lat sam dowód udzielenia i wycofania zgody, żeby móc wykazać, że wysyłka miała podstawę |
| Udostępnienie bezpłatnego planu treningowego | zaszyfrowany token z adresem e-mail, znaczniki pobrania | art. 6 ust. 1 lit. b RODO | token 14 dni |
| Statystyki publicznych stron joanasi.com i app.joanasi.com oraz zakupów i zwrotów | identyfikator pliku cookie i sesji, odwiedzona publiczna strona, identyfikator transakcji, produkt, kwota i waluta; bez adresu e-mail, danych płatności, danych kalkulatora i aktywności w planerze | art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 399 Prawa komunikacji elektronicznej | dane na poziomie użytkownika i zdarzenia: 14 miesięcy, bez przedłużania przy kolejnej wizycie. Standardowe raporty zbiorcze Google Analytics nie zawierają tych danych i mogą być dostępne dłużej, niezależnie od tego ustawienia |
| Obowiązki podatkowe i księgowe | dokumenty rozliczeniowe | art. 6 ust. 1 lit. c RODO | podatek pośredni od transakcji rozlicza operator płatności jako merchant of record. Nasze własne dokumenty rozliczeniowe przechowujemy 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku |
| Ustalenie i obrona roszczeń | dane zamówienia, zapis oświadczeń, korespondencja | art. 6 ust. 1 lit. f RODO. Uzasadniony interes: możliwość wykazania przebiegu transakcji i obrony przed roszczeniami | 6 lat od końca roku kalendarzowego, w którym sprawa została zamknięta. Jeżeli sprawa jest w toku, zatrzymujemy dane do jej prawomocnego zakończenia, nawet gdy zwykły termin już minął |
Podanie adresu e-mail jest konieczne, żeby kupić zestaw i otrzymać do niego dostęp. Bez niego nie możemy zrealizować umowy. Imię, nazwisko i adres rozliczeniowy są wymagane przez operatora płatności do rozliczenia podatku i bez nich płatność nie dojdzie do skutku. Zapis na newsletter jest w pełni dobrowolny.
Jeżeli kiedykolwiek zechcemy przetwarzać Twoje dane w innym celu niż opisany wyżej, poinformujemy Cię o tym wcześniej.
4. Zakup i płatność
Płatność obsługuje Stripe w modelu Stripe Managed Payments, występujący wobec Ciebie pod marką Link. Płacisz na stronie Stripe, nie w naszej aplikacji. Nie widzimy i nie przechowujemy numeru Twojej karty.
Stripe zbiera Twoje imię, nazwisko, adres rozliczeniowy, adres e-mail i dane płatności, wylicza i rozlicza podatek oraz wysyła Ci potwierdzenie transakcji. Do nas wraca informacja o powodzeniu płatności, kwocie, walucie, podatku, adresie e-mail zamówienia i identyfikatorze transakcji.
Stripe przetwarza dane częściowo jako podmiot przetwarzający na nasze zlecenie, a częściowo we własnych celach, decydując samodzielnie o celach i sposobach przetwarzania (przeciwdziałanie oszustwom, obowiązki prawne, rozwój usług).
W tym modelu Stripe (jako „Sold through Link, LLC”) jest merchant of record transakcji. Oznacza to, że o celach i sposobach przetwarzania danych transakcyjnych, podatkowych oraz związanych z przeciwdziałaniem oszustwom i sporami płatniczymi decyduje samodzielnie, jako odrębny administrator. My pozostajemy administratorem danych, które przetwarzamy po naszej stronie: adresu e-mail zamówienia, statusu dostępu i Twoich danych w aplikacji.
5. Dostęp do aplikacji
Nie zakładasz konta z hasłem. Podajesz adres e-mail użyty przy zakupie, dostajesz sześciocyfrowy kod i wpisujesz go w aplikacji. Kod jest jednorazowy i ważny przez ograniczony czas.
Odpowiedź na prośbę o kod jest zawsze taka sama, niezależnie od tego, czy dany adres widnieje w naszej bazie. Nie ujawniamy, kto u nas kupił.
Wiadomości z dostępem nie zawierają kodu w adresie strony ani gotowych linków do plików. Link do pobrania ebooka jest generowany na 60 sekund i tylko dla osoby, która ma aktywne uprawnienie do danej edycji.
6. Newsletter i marketing
Na stronie joanasi.com możesz zapisać się na wiadomości e-mail i bezpłatny plan treningowy. Zapis obsługujemy przez Klaviyo, które działa jako podmiot przetwarzający na nasze zlecenie.
Formularz wysyłamy z naszego serwera do API Klaviyo. Na stronie joanasi.com nie osadzamy skryptu śledzącego Klaviyo, więc Klaviyo nie zapisuje własnych plików cookie w Twojej przeglądarce.
Do Twojego profilu w Klaviyo zapisujemy zaszyfrowany token zawierający Twój adres e-mail, z którego budowany jest osobisty link do pobrania planu. Token traci ważność po 14 dniach. Rejestrujemy też zdarzenia: zapis, prośbę o potwierdzenie zapisu, pobranie planu i ponowne wygenerowanie linku.
Zgodę możesz wycofać w każdej chwili, klikając link rezygnacji w wiadomości albo pisząc do nas. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
Przy zakupie w aplikacji możesz osobno zaznaczyć zgodę na wiadomości marketingowe. Jest ona dobrowolna i nie wpływa na możliwość zakupu.
Zgodę marketingową zaznaczoną przy zakupie zapisujemy dziś wyłącznie jako dowód jej udzielenia. Nie przekazujemy jej do Klaviyo i nie wysyłamy na jej podstawie żadnych wiadomości. Jeżeli kiedykolwiek uruchomimy ten przepływ, poinformujemy Cię o tym wcześniej i zaktualizujemy tę politykę. Do tego czasu wiadomości marketingowe otrzymujesz wyłącznie wtedy, gdy zapisałaś się na newsletter na stronie joanasi.com.
7. Analityka, bezpieczeństwo i logi
Publiczne strony joanasi.com i app.joanasi.com. Używamy Google Analytics 4 wyłącznie po Twojej zgodzie. Jedna krótka decyzja działa na obu domenach, więc nie pytamy ponownie przy przejściu do zakupu. Mierzymy odwiedziny publicznych stron, wyświetlenie produktu, rozpoczęcie zakupu oraz potwierdzone przez Stripe zakupy i zwroty. Nie wysyłamy do Google adresu e-mail, danych płatności, wartości wpisanych w kalkulatorze, wyniku kalkulatora ani treści planera.
Aplikacja po zalogowaniu. Google Analytics nie jest w niej wczytywane. W naszej bazie zapisujemy tylko, czy danego dnia korzystałaś z aplikacji i czy otworzyłaś jedną z jej głównych funkcji. Nie zapisujemy, co otworzyłaś, czego szukałaś, ile razy kliknęłaś ani co umieściłaś w planerze lub na liście zakupów. Odmowa lub wycofanie zgody na Google Analytics nigdy nie blokuje zakupu, logowania, pobierania plików, planera ani pomocy. Decyzję zmienisz przez „Cookies” w stopce publicznej strony.
Logi. Nasi dostawcy hostingu przetwarzają standardowe logi żądań (adres IP, czas, adres strony, informacja o przeglądarce), co jest niezbędne do udostępnienia serwisu, diagnostyki i wykrywania nadużyć.
Ograniczanie liczby prób. Aby chronić Cię przed nadużyciami, ograniczamy liczbę prób logowania, rozpoczęcia płatności i pobrań. W aplikacji zapisujemy przy tym wyłącznie skróty kryptograficzne adresu e-mail, adresu IP i identyfikatora użytkowniczki, nigdy samych adresów; wpisy usuwamy po 24 godzinach od otwarcia okna licznika. Na stronie joanasi.com analogiczne liczniki opierają się na skrócie adresu IP i adresu e-mail.
Na stronie joanasi.com liczniki zapisujemy jako tymczasowe pliki robocze w katalogu plików tymczasowych serwera. Zawierają wyłącznie skrót oraz licznik dla danego okna czasowego, nigdy samego adresu e-mail ani adresu IP, i nie są powiązane z Twoim kontem. Usuwa je serwer w ramach własnej obsługi plików tymczasowych.
8. Odbiorcy danych
| Dostawca | Po co | Rola | Gdzie |
|---|---|---|---|
| OVHcloud | hosting strony joanasi.com i skrzynki pocztowej hello@joanasi.com | podmiot przetwarzający | OVHcloud świadczy tę usługę na podstawie swoich europejskich warunków; przetwarzanie odbywa się w Unii Europejskiej |
| Vercel (Vercel Inc., USA) | hosting aplikacji app.joanasi.com | podmiot przetwarzający | region docelowy Dublin; Vercel zastrzega przetwarzanie także w USA i innych krajach |
| Supabase (Supabase Pte. Ltd, Singapur) | baza danych, uwierzytelnianie, przechowywanie plików | podmiot przetwarzający | dane projektu w regionie eu-west-1 (Irlandia, EOG); sama spółka i część podwykonawców poza EOG |
| Stripe (w tym Link) | płatność, podatek, potwierdzenia transakcji, spory płatnicze | częściowo podmiot przetwarzający, częściowo odrębny administrator | Irlandia (Stripe Payments Europe) oraz USA |
| Resend (Plus Five Five, Inc.) | wysyłka wiadomości transakcyjnych | podmiot przetwarzający | USA. Resend wskazuje w swojej umowie powierzenia, że jego podstawowe operacje przetwarzania odbywają się w Stanach Zjednoczonych |
| Klaviyo (Klaviyo, Inc., USA) | newsletter i wiadomości marketingowe zapisywane na stronie joanasi.com | częściowo podmiot przetwarzający, częściowo odrębny administrator | USA |
| statystyki publicznych stron joanasi.com i app.joanasi.com oraz zakupów i zwrotów, wyłącznie po zgodzie | częściowo podmiot przetwarzający, częściowo odrębny administrator | UE oraz USA |
Nie korzystamy dziś ze stałej obsługi księgowej ani prawnej, której przekazywalibyśmy Twoje dane. Jeżeli to się zmieni, dopiszemy taki podmiot do tabeli powyżej, zanim przekażemy mu jakiekolwiek dane.
Dane mogą też zostać udostępnione uprawnionym organom, jeżeli wymagają tego przepisy.
9. Przekazywanie danych poza EOG
Część danych jest przetwarzana poza Europejskim Obszarem Gospodarczym, przede wszystkim w Stanach Zjednoczonych. Dotyczy to w szczególności Klaviyo (przechowuje dane w USA), Resend (dane konta, metadane i logi wiadomości przechowuje w USA), Stripe (przekazuje dane do Stripe, LLC w USA), Google w zakresie Google Analytics oraz podwykonawców Vercela i Supabase.
Podstawą takich przekazań są, odpowiednio do odbiorcy: decyzja o adekwatności, w tym decyzja wykonawcza Komisji (UE) 2023/1795 w sprawie EU-U.S. Data Privacy Framework, jeżeli dany odbiorca jest certyfikowany w tym programie, albo standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914.
Mechanizmy w tabeli niżej odczytaliśmy z aktualnych, publicznie dostępnych umów powierzenia poszczególnych dostawców. Certyfikacja w DPF może wygasnąć, dlatego przy każdym przekazaniu stosujemy ten mechanizm, który jest wtedy właściwy.
| Odbiorca poza EOG | Zastosowany mechanizm |
|---|---|
| Stripe, LLC (USA), po przekazaniu od Stripe Payments Europe, Limited (Irlandia) | standardowe klauzule umowne, moduł 1 i 2, włączone do umowy Stripe o powierzeniu |
| Plus Five Five, Inc. (Resend, USA) | standardowe klauzule umowne włączone do umowy powierzenia; Resend powołuje się także na EU-U.S. DPF |
| Klaviyo, Inc. (USA) | samocertyfikacja w EU-U.S. DPF oraz standardowe klauzule umowne, moduł 2, włączone do umowy powierzenia |
| Supabase Pte. Ltd (Singapur) oraz jej podwykonawcy | standardowe klauzule umowne przyjęte decyzją Komisji (UE) 2021/914 |
| Vercel Inc. (USA) oraz jej podwykonawcy | standardowe klauzule umowne w umowie powierzenia; Vercel deklaruje odrębnie certyfikację w EU-U.S. DPF |
| Google LLC (Google Analytics 4, wyłącznie po Twojej zgodzie na publicznych stronach joanasi.com i app.joanasi.com) | certyfikacja w EU-U.S. DPF, a tam gdzie ma zastosowanie, standardowe klauzule umowne. Google opisuje te mechanizmy w swojej oficjalnej dokumentacji przekazywania danych |
Decyzja o adekwatności dotyczy konkretnych organizacji, a nie Stanów Zjednoczonych jako kraju, a certyfikacja może wygasnąć. Dlatego przy każdym przekazaniu stosujemy ten mechanizm, który jest wtedy właściwy, i sprawdzamy to przy okresowym przeglądzie tej polityki. Mechanizmy wyżej odczytaliśmy z aktualnych, publicznie dostępnych dokumentów dostawców; nie twierdzimy, że podpisaliśmy z nimi odrębne, indywidualnie wynegocjowane umowy.
Kopię zastosowanych zabezpieczeń albo informację o nich udostępnimy Ci na wniosek. Napisz na hello@joanasi.com.
10. Okresy przechowywania
Okresy przechowywania podajemy przy każdym celu w tabeli w punkcie 3. Tam, gdzie nie da się podać konkretnego okresu, wskazujemy kryterium i zdarzenie, od którego liczymy czas.
Co znaczy „usuwamy automatycznie”. Codziennie działa u nas zadanie, które usuwa albo trwale pozbawia danych identyfikujących rekordy, którym upłynął termin z tabeli w punkcie 3. Nie zależy to od tego, czy ktoś o tym pamięta. Jeżeli trwa konkretny spór albo postępowanie, dane objęte tą sprawą zatrzymujemy do jej zakończenia, a usuwanie pozostałych danych toczy się normalnie.
Czego to nie obejmuje. Nie mamy wpływu na kopie zapasowe naszych dostawców. Usunięcie danych z naszej bazy nie usuwa ich natychmiast z kopii zapasowych dostawcy, które wygasają zgodnie z jego własnym cyklem. Piszemy o tym wprost, zamiast obiecywać coś, czego nie jesteśmy w stanie zagwarantować.
Dowody, których nie usuwamy wcześniej. Zapis oświadczeń złożonych przy zakupie oraz potwierdzenie, że przekazaliśmy Ci umowę na trwałym nośniku, są dowodem, od którego zależy Twoje prawo odstąpienia i nasza zgodność z prawem. Nie kasujemy ich przed upływem terminu z tabeli w punkcie 3, nawet na wniosek: bez nich nie dałoby się wykazać, co i kiedy Ci przekazaliśmy.
11. Twoje prawa
Masz prawo do:
- dostępu do swoich danych i otrzymania ich kopii,
- sprostowania danych,
- usunięcia danych,
- ograniczenia przetwarzania,
- przenoszenia danych,
- wycofania zgody w każdej chwili, jeżeli przetwarzamy dane na podstawie zgody. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
Prawo sprzeciwu. W każdej chwili możesz wnieść sprzeciw wobec przetwarzania Twoich danych opartego na naszym uzasadnionym interesie, w szczególności wobec statystyk uruchomienia i korzystania z produktu, logów, liczników banera oraz przetwarzania na potrzeby obrony roszczeń. Po sprzeciwie przestaniemy przetwarzać te dane, chyba że wykażemy ważne prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów, praw i wolności, albo podstawy do ustalenia, dochodzenia lub obrony roszczeń.
Napisz do nas na hello@joanasi.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Jeżeli sprawa jest skomplikowana, możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o tym wraz z przyczyną.
Część danych musimy zachować mimo Twojego wniosku, jeżeli wymagają tego przepisy podatkowe albo jeżeli są nam potrzebne do ustalenia lub obrony roszczeń.
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne. Nie profilujemy Cię w celach marketingowych.
12. Pliki cookies i pamięć przeglądarki
Aplikacja app.joanasi.com
| Nazwa | Rodzaj | Po co | Jak długo |
|---|---|---|---|
sb-<identyfikator-projektu>-auth-token (może być podzielony na części z sufiksem .0, .1) | niezbędny | utrzymanie Twojego zalogowania bez hasła | do wylogowania albo do wygaśnięcia sesji. Nie ustawiamy własnego czasu życia tego pliku: obowiązuje ten, który nadaje mu usługa uwierzytelniania. Kliknięcie „Wyloguj” kończy sesję na tym urządzeniu |
Ten plik cookie jest niezbędny do świadczenia usługi, o którą prosisz, czyli do zalogowania i dostępu do zakupionych materiałów, więc zgodnie z art. 399 ust. 3 Prawa komunikacji elektronicznej nie wymaga zgody. Bez niego aplikacja nie może Cię rozpoznać.
Na publicznych stronach aplikacji mogą działać także poniższe cookies decyzji i statystyk. W planerze po zalogowaniu Google Analytics nie jest wczytywane.
Strona joanasi.com
| Nazwa | Rodzaj | Po co | Jak długo |
|---|---|---|---|
joanasi_analytics | niezbędny | zapamiętanie jednej decyzji o analityce dla joanasi.com i app.joanasi.com, żeby nie pytać ponownie | 180 dni |
joanasi-consent-v1 (pamięć lokalna przeglądarki, starsze wizyty) | niezbędny | jednorazowe przeniesienie wcześniejszej decyzji do wspólnego cookie | usuwany od razu po przeniesieniu |
_ga, _ga_<identyfikator> | statystyczny | statystyki odwiedzin (Google Analytics 4) | maksymalnie 2 lata od udzielenia zgody; kolejna wizyta nie przedłuża tego terminu. Możesz usunąć te pliki w ustawieniach przeglądarki albo odrzucić zgodę, wtedy w ogóle nie powstaną |
Cookies statystyczne uruchamiamy wyłącznie po Twojej zgodzie. Możesz ją odrzucić od razu w banerze, a odrzucenie jest tak samo łatwe jak akceptacja. Decyzję zmienisz, klikając „Cookies” w stopce strony.
Możesz też zarządzać cookies w ustawieniach przeglądarki. Wyłączenie plików niezbędnych uniemożliwi zalogowanie się do aplikacji.
Podstawą prawną dla plików cookie jest art. 399 Prawa komunikacji elektronicznej, obowiązujący od 10 listopada 2024 r. w miejsce art. 173 Prawa telekomunikacyjnego.
13. Kontakt i skarga do Prezesa UODO
W sprawach danych osobowych napisz do nas: hello@joanasi.com.
Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do organu nadzorczego:
Prezes Urzędu Ochrony Danych Osobowych ul. Stanisława Moniuszki 1A 00-014 Warszawa uodo.gov.pl
Niezależnie od tego możesz dochodzić swoich praw przed sądem powszechnym.
14. Zmiany polityki
Politykę aktualizujemy, gdy zmienią się nasze usługi, dostawcy albo przepisy. Aktualna wersja jest zawsze dostępna pod tym adresem, wraz z datą jej wejścia w życie. O istotnych zmianach poinformujemy Cię na trwałym nośniku, jeżeli mamy Twój adres e-mail.
Wersja: pl-2026-08-24b, obowiązuje od 25 sierpnia 2026.