Polityka prywatności i plików cookies Joanasi

Wersja: pl-2026-08-26 Obowiązuje od: 26 sierpnia 2026

Ta polityka dotyczy dwóch miejsc:

strony joanasi.com (strona informacyjna, bezpłatny plan treningowy, newsletter),
aplikacji app.joanasi.com (zakup i korzystanie z zestawu „Dieta na Start”).

1. Administrator danych

Administratorem Twoich danych osobowych jest Joanna Sirak, działalność nierejestrowana, ul. Tkacka 5/5, 30-050 Kraków, sprzedaż w ramach działalności nierejestrowanej (art. 5 ust. 1 Prawa przedsiębiorców), bez wpisu do CEIDG i bez numeru REGON.

Kontakt w sprawach danych osobowych: hello@joanasi.com, adres do korespondencji: ul. Tkacka 5/5, 30-050 Kraków.

Inspektor ochrony danych nie został powołany.

2. Jakie dane przetwarzamy

W związku z zakupem i korzystaniem z aplikacji:

Adres e-mail, podany przy płatności i przy logowaniu.
Dane zamówienia: identyfikator zamówienia, kupiony produkt i wersja edycji, kwota, waluta, kwota podatku, status płatności i status dostępu, identyfikatory transakcji i klienta po stronie operatora płatności.
Zapis oświadczeń złożonych przy zakupie: dokładna treść i wersja oświadczeń, informacja, czy zostały złożone, oraz moment złożenia.
Imię, nazwisko i adres rozliczeniowy zbiera operator płatności na swojej stronie, na potrzeby rozliczenia podatku. My ich nie zapisujemy. W naszej bazie zostaje adres e-mail zamówienia oraz identyfikator klienta po stronie operatora, i nic poza tym.
Identyfikator użytkowniczki w systemie uwierzytelniania, sześciocyfrowe kody dostępu i sesje.
Twoje wybory w aplikacji: zaplanowane dni i posiłki, stan listy zakupów.
Dzienna aktywność w aplikacji: identyfikator klientki, dzień aktywności i informacja, czy otworzyła jedną z głównych funkcji aplikacji. Nie zapisujemy dokładnego czasu, odwiedzonej strony, liczby kliknięć, urządzenia, adresu IP ani treści planu.
Zdarzenia pobrania ebooka.
Korespondencja z nami, gdy do nas napiszesz.
Dane techniczne i logi: adres IP i informacje o przeglądarce przetwarzane przez naszych dostawców przy obsłudze żądań, a także skróty kryptograficzne adresu e-mail, adresu IP i identyfikatora użytkowniczki, używane do ograniczania liczby prób.
Zgoda marketingowa przy zakupie. Jeżeli ją zaznaczysz, zapisujemy treść zgody i moment jej udzielenia jako dowód. Nie tworzymy na jej podstawie wiadomości marketingowej i nie przekazujemy Twojego adresu do Klaviyo.

W związku ze stroną joanasi.com i newsletterem:

Adres e-mail podany w formularzu zapisu.
Dane przekazywane do Klaviyo: adres e-mail, źródło zapisu, status subskrypcji oraz zdarzenia zapisu, potwierdzenia zapisu, pobrania planu i ponownego wygenerowania linku.
Zaszyfrowany token zawierający Twój adres e-mail, zapisywany w Twoim profilu w Klaviyo i używany do zbudowania osobistego linku do pobrania planu, ważny 14 dni.
Oznaczenie, że masz już dostęp do zestawu „Dieta na Start”, zapisywane wyłącznie na profilu, który już istnieje w Klaviyo, i wyłącznie po to, żeby nie wysyłać Ci oferty produktu, który już masz. Nie przekazujemy przy tym kwoty, daty ani numeru zamówienia. Jeżeli nie masz profilu w Klaviyo, nie zakładamy go w tym celu.
Jednorazowe znaczniki pobrania zapisywane na serwerze, w postaci skrótu kryptograficznego, aby ten sam link nie działał wielokrotnie.
Logi serwera oraz liczniki ograniczające liczbę zapisów z jednego adresu IP.

Czego nie zbieramy. Nie zbieramy danych o zdrowiu, wynikach badań, wadze, obwodach ani o stosowanych lekach. Twój profil w aplikacji nie ma miejsca na takie dane i nie budujemy profilu ciała.

Kalkulator kalorii (/kalkulator-kalorii). Kalkulator jest bezpłatny i dostępny bez zakupu, bez konta i bez podawania adresu e-mail. Wiek, płeć używana we wzorze, masa ciała, wzrost i poziom aktywności oraz wynik obliczenia pozostają wyłącznie w Twojej przeglądarce:

nie są wysyłane na nasz serwer ani do żadnego dostawcy,
nie są zapisywane w bazie danych, w plikach cookie, w localStorage, w sessionStorage ani w IndexedDB,
nie trafiają do adresu strony ani do żadnego zdarzenia analitycznego; po zgodzie możemy zmierzyć samo odwiedzenie strony kalkulatora, ale nie wpisane wartości ani wynik,
nie są zapisywane w logach,
znikają po odświeżeniu strony i po jej zamknięciu.

Ponieważ dane te nas nie dochodzą, nie stajemy się ich administratorem. Wynik jest orientacyjnym oszacowaniem, a nie poradą medyczną ani dietetyczną.

3. Cele, podstawy prawne i okresy przechowywania

Dwa okresy poniżej są już egzekwowane przez system i nie wymagają decyzji:

Dane licznika zapytań (ochrona przed nadużyciem formularzy): usuwane po 24 godzinach od zamknięcia okna pomiaru. Robi to automatyczne zadanie systemowe.
Identyfikatory wygenerowanych plików PDF: usuwane razem z Twoim kontem przez powiązane automatyczne usuwanie danych.

Okresy oznaczone niżej jako usuwane automatycznie są egzekwowane przez nasz system: codzienne zadanie usuwa albo trwale pozbawia danych identyfikujących rekordy, którym upłynął termin. Nie zależy to od tego, czy ktoś o tym pamięta.

Tam, gdzie okres zależy od ustawień dostawcy albo od naszej obsługi korespondencji, piszemy to wprost, zamiast podawać liczbę, której nie jesteśmy w stanie wyegzekwować.

Co robimy	Jakie dane	Podstawa prawna	Jak długo
Sprzedaż zestawu i utrzymanie dostępu	zamówienie, adres e-mail, edycja, status dostępu	art. 6 ust. 1 lit. b RODO (wykonanie umowy)	6 lat od końca roku kalendarzowego, w którym umowa się zakończyła. Po tym terminie usuwamy automatycznie adres e-mail z zamówienia; samo zamówienie, kwota i dowód zawarcia umowy zostają, bo są dokumentem finansowym
Zapis oświadczeń złożonych przy zakupie	treść i wersja oświadczeń, moment złożenia	zebranie i przekazanie Ci potwierdzenia: art. 6 ust. 1 lit. c RODO (obowiązek z art. 21 ust. 1 ustawy o prawach konsumenta). Późniejsze przechowywanie dowodu: art. 6 ust. 1 lit. f RODO. Uzasadniony interes: możliwość wykazania, co dokładnie Ci pokazaliśmy i kiedy	6 lat od końca roku kalendarzowego, w którym umowa się zakończyła. Samego zapisu oświadczeń nie usuwamy wcześniej: to dowód, od którego zależy Twoje prawo odstąpienia i nasza zgodność z prawem
Logowanie bez hasła	adres e-mail, kod, sesja	art. 6 ust. 1 lit. b RODO	kod i sesja: tylko do wygaśnięcia, wylogowania lub unieważnienia (nie robimy ich drugiej kopii). Adres e-mail konta: przez czas aktywnego dostępu, a potem usuwamy go automatycznie w ciągu 30 dni, chyba że masz jeszcze inny aktywny dostęp
Wysyłka wiadomości o dostępie	adres e-mail, treść wiadomości	art. 6 ust. 1 lit. b RODO	naszą kopię wysłanej wiadomości, razem z jej treścią, usuwamy automatycznie po 90 dniach. Niezależny zapis, że przekazaliśmy Ci umowę na trwałym nośniku i kiedy, zostaje na zasadach z pierwszego wiersza tej tabeli. U dostawcy wysyłki: 30 dni
Planer i lista zakupów	Twoje wybory w aplikacji	art. 6 ust. 1 lit. b RODO	przez czas aktywnego dostępu, a potem usuwamy automatycznie w ciągu 30 dni. Zanim to nastąpi, możesz pobrać swoje dane z planera do pliku
Udostępnianie ebooka do pobrania	uprawnienie do edycji, zdarzenie pobrania	art. 6 ust. 1 lit. b RODO	przez czas aktywnego dostępu; zapisy o wydanych kopiach usuwamy automatycznie 3 lata po jego zakończeniu
Oznaczanie wygenerowanych plików PDF (przepis, lista zakupów) identyfikatorem kopii	identyfikator kopii, powiązanie z kontem, rodzaj dokumentu i wersja edycji, moment wygenerowania. Nie zapisujemy treści pliku, adresu e-mail ani adresu IP	art. 6 ust. 1 lit. f RODO. Uzasadniony interes: ustalenie źródła kopii udostępnionej bez uprawnienia oraz ustalenie, dochodzenie lub obrona roszczeń	przez czas aktywnego dostępu, a następnie 3 lata od jego zakończenia; po tym terminie usuwamy automatycznie, chyba że trwa konkretny spór
Obsługa pytań i reklamacji	korespondencja	art. 6 ust. 1 lit. b i lit. c RODO	6 lat od końca roku kalendarzowego, w którym sprawa została zamknięta. Korespondencja jest w skrzynce pocztowej, a nie w naszej bazie, więc usuwamy ją ręcznie, w przeglądzie wykonywanym raz na kwartał, a nie automatycznie
Ograniczanie liczby prób logowania, płatności i pobrań	skróty adresu e-mail, adresu IP i identyfikatora użytkowniczki, liczniki	art. 6 ust. 1 lit. f RODO. Uzasadniony interes: ochrona kont klientek i naszej usługi przed nadużyciami i automatycznymi atakami	wpisy usuwane po 24 godzinach od otwarcia okna licznika
Podstawowe statystyki uruchomienia produktu: rozpoczęcie zakupu i pobranie ebooka	rodzaj zdarzenia, czas, identyfikator klientki w naszej bazie	art. 6 ust. 1 lit. f RODO. Uzasadniony interes: sprawdzenie, czy zakup i dostarczenie materiałów działają poprawnie	180 dni
Dzienne statystyki korzystania z aplikacji przez klientki	identyfikator klientki w naszej bazie, dzień aktywności oraz informacja, czy otworzyła jedną z głównych funkcji aplikacji. Nie zapisujemy odwiedzonej strony, dokładnego czasu, liczby kliknięć, sesji, urządzenia, adresu IP ani treści planu	art. 6 ust. 1 lit. f RODO. Uzasadniony interes: sprawdzenie, czy dostęp i główne funkcje aplikacji działają oraz są faktycznie używane, wykrywanie problemów z uruchomieniem usługi i jej ulepszanie	180 dni; panel obsługi pokazuje wyłącznie wyniki zbiorcze
Logi serwerów i hostingu	adres IP, czas, adres strony, informacje o przeglądarce	art. 6 ust. 1 lit. f RODO. Uzasadniony interes: utrzymanie i bezpieczeństwo serwisu, diagnostyka awarii	te logi powstają i są usuwane po stronie naszych dostawców hostingu, zgodnie z ich własnymi warunkami. Nie ustalamy i nie kontrolujemy tego okresu, więc nie podajemy tu liczby, której nie moglibyśmy dotrzymać
Pomiar skuteczności banera zgody: liczba wyświetleń, akceptacji i odrzuceń	wyłącznie dzienne liczniki w postaci „data: ile pokazano, ile zaakceptowano, ile odrzucono”. Adres IP jest przetwarzany przejściowo przy obsłudze żądania i nie trafia do tego pliku	art. 6 ust. 1 lit. f RODO. Uzasadniony interes: wykazanie, że baner działa i że odrzucenie jest równie łatwe jak akceptacja	przechowujemy bezterminowo, bo są to dane zbiorcze, po których nie da się Cię rozpoznać
Newsletter i wiadomości marketingowe	adres e-mail, zdarzenia zapisu i pobrania planu	art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 398 ust. 1 i 2 Prawa komunikacji elektronicznej	profil marketingowy trzymamy tak długo, jak trwa Twoja zgoda. Po jej wycofaniu natychmiast przestajemy wysyłać, a profil w Klaviyo usuwamy w ciągu 30 dni, chyba że mamy inny udokumentowany, zgodny z prawem cel. Usunięcie wykonujemy w ramach przeglądu kwartalnego, ręcznie. Odrębnie i w minimalnym zakresie trzymamy 6 lat sam dowód udzielenia i wycofania zgody, żeby móc wykazać, że wysyłka miała podstawę
Wykluczenie klientek z ofert produktu, który już mają	identyfikator profilu w Klaviyo oraz jedna informacja typu „ma dostęp”. Nie przekazujemy kwoty, daty ani numeru zamówienia	art. 6 ust. 1 lit. f RODO. Uzasadniony interes: nieprzysyłanie Ci reklamy zestawu, który już kupiłaś	tak długo, jak trwa Twój profil marketingowy w Klaviyo. Usuwamy razem z nim
Udostępnienie bezpłatnego planu treningowego	zaszyfrowany token z adresem e-mail, znaczniki pobrania	art. 6 ust. 1 lit. b RODO	token 14 dni
Statystyki publicznych stron joanasi.com i app.joanasi.com oraz zakupów i zwrotów	identyfikator pliku cookie i sesji, odwiedzona publiczna strona, identyfikator transakcji, produkt, kwota i waluta; bez adresu e-mail, danych płatności, danych kalkulatora i aktywności w planerze	art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 399 Prawa komunikacji elektronicznej	dane na poziomie użytkownika i zdarzenia: 14 miesięcy, bez przedłużania przy kolejnej wizycie. Standardowe raporty zbiorcze Google Analytics nie zawierają tych danych i mogą być dostępne dłużej, niezależnie od tego ustawienia
Obowiązki podatkowe i księgowe	dokumenty rozliczeniowe	art. 6 ust. 1 lit. c RODO	podatek pośredni od transakcji rozlicza operator płatności jako merchant of record. Nasze własne dokumenty rozliczeniowe przechowujemy 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku
Ustalenie i obrona roszczeń	dane zamówienia, zapis oświadczeń, korespondencja	art. 6 ust. 1 lit. f RODO. Uzasadniony interes: możliwość wykazania przebiegu transakcji i obrony przed roszczeniami	6 lat od końca roku kalendarzowego, w którym sprawa została zamknięta. Jeżeli sprawa jest w toku, zatrzymujemy dane do jej prawomocnego zakończenia, nawet gdy zwykły termin już minął

Podanie adresu e-mail jest konieczne, żeby kupić zestaw i otrzymać do niego dostęp. Bez niego nie możemy zrealizować umowy. Imię, nazwisko i adres rozliczeniowy są wymagane przez operatora płatności do rozliczenia podatku i bez nich płatność nie dojdzie do skutku. Zapis na newsletter jest w pełni dobrowolny.

Jeżeli kiedykolwiek zechcemy przetwarzać Twoje dane w innym celu niż opisany wyżej, poinformujemy Cię o tym wcześniej.

4. Zakup i płatność

Płatność obsługuje Stripe w modelu Stripe Managed Payments, występujący wobec Ciebie pod marką Link. Płacisz na stronie Stripe, nie w naszej aplikacji. Nie widzimy i nie przechowujemy numeru Twojej karty.

Stripe zbiera Twoje imię, nazwisko, adres rozliczeniowy, adres e-mail i dane płatności, wylicza i rozlicza podatek oraz wysyła Ci potwierdzenie transakcji. Do nas wraca informacja o powodzeniu płatności, kwocie, walucie, podatku, adresie e-mail zamówienia i identyfikatorze transakcji.

Stripe przetwarza dane częściowo jako podmiot przetwarzający na nasze zlecenie, a częściowo we własnych celach, decydując samodzielnie o celach i sposobach przetwarzania (przeciwdziałanie oszustwom, obowiązki prawne, rozwój usług).

W tym modelu Stripe (jako „Sold through Link, LLC”) jest merchant of record transakcji. Oznacza to, że o celach i sposobach przetwarzania danych transakcyjnych, podatkowych oraz związanych z przeciwdziałaniem oszustwom i sporami płatniczymi decyduje samodzielnie, jako odrębny administrator. My pozostajemy administratorem danych, które przetwarzamy po naszej stronie: adresu e-mail zamówienia, statusu dostępu i Twoich danych w aplikacji.

5. Dostęp do aplikacji

Nie zakładasz konta z hasłem. Podajesz adres e-mail użyty przy zakupie, dostajesz sześciocyfrowy kod i wpisujesz go w aplikacji. Kod jest jednorazowy i ważny przez ograniczony czas.

Odpowiedź na prośbę o kod jest zawsze taka sama, niezależnie od tego, czy dany adres widnieje w naszej bazie. Nie ujawniamy, kto u nas kupił.

Wiadomości z dostępem nie zawierają kodu w adresie strony ani gotowych linków do plików. Link do pobrania ebooka jest generowany na 60 sekund i tylko dla osoby, która ma aktywne uprawnienie do danej edycji.

6. Newsletter i marketing

Na stronie joanasi.com możesz zapisać się na wiadomości e-mail i bezpłatny plan treningowy. Zapis obsługujemy przez Klaviyo, które działa jako podmiot przetwarzający na nasze zlecenie.

Formularz wysyłamy z naszego serwera do API Klaviyo. Na stronie joanasi.com nie osadzamy skryptu śledzącego Klaviyo, więc Klaviyo nie zapisuje własnych plików cookie w Twojej przeglądarce.

Do Twojego profilu w Klaviyo zapisujemy zaszyfrowany token zawierający Twój adres e-mail, z którego budowany jest osobisty link do pobrania planu. Token traci ważność po 14 dniach. Rejestrujemy też zdarzenia: zapis, prośbę o potwierdzenie zapisu, pobranie planu i ponowne wygenerowanie linku.

Zgodę możesz wycofać w każdej chwili, klikając link rezygnacji w wiadomości albo pisząc do nas. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

Przy zakupie w aplikacji możesz osobno zaznaczyć zgodę na wiadomości marketingowe. Jest ona dobrowolna i nie wpływa na możliwość zakupu.

Zgodę marketingową zaznaczoną przy zakupie zapisujemy dziś wyłącznie jako dowód jej udzielenia. Nie przekazujemy jej do Klaviyo i nie wysyłamy na jej podstawie żadnych wiadomości. Jeżeli kiedykolwiek uruchomimy ten przepływ, poinformujemy Cię o tym wcześniej i zaktualizujemy tę politykę. Do tego czasu wiadomości marketingowe otrzymujesz wyłącznie wtedy, gdy zapisałaś się na newsletter na stronie joanasi.com.

7. Analityka, bezpieczeństwo i logi

Publiczne strony joanasi.com i app.joanasi.com. Używamy Google Analytics 4 wyłącznie po Twojej zgodzie. Jedna krótka decyzja działa na obu domenach, więc nie pytamy ponownie przy przejściu do zakupu. Mierzymy odwiedziny publicznych stron, wyświetlenie produktu, rozpoczęcie zakupu oraz potwierdzone przez Stripe zakupy i zwroty. Nie wysyłamy do Google adresu e-mail, danych płatności, wartości wpisanych w kalkulatorze, wyniku kalkulatora ani treści planera.

Aplikacja po zalogowaniu. Google Analytics nie jest w niej wczytywane. W naszej bazie zapisujemy tylko, czy danego dnia korzystałaś z aplikacji i czy otworzyłaś jedną z jej głównych funkcji. Nie zapisujemy, co otworzyłaś, czego szukałaś, ile razy kliknęłaś ani co umieściłaś w planerze lub na liście zakupów. Odmowa lub wycofanie zgody na Google Analytics nigdy nie blokuje zakupu, logowania, pobierania plików, planera ani pomocy. Decyzję zmienisz przez „Cookies” w stopce publicznej strony.

Logi. Nasi dostawcy hostingu przetwarzają standardowe logi żądań (adres IP, czas, adres strony, informacja o przeglądarce), co jest niezbędne do udostępnienia serwisu, diagnostyki i wykrywania nadużyć.

Ograniczanie liczby prób. Aby chronić Cię przed nadużyciami, ograniczamy liczbę prób logowania, rozpoczęcia płatności i pobrań. W aplikacji zapisujemy przy tym wyłącznie skróty kryptograficzne adresu e-mail, adresu IP i identyfikatora użytkowniczki, nigdy samych adresów; wpisy usuwamy po 24 godzinach od otwarcia okna licznika. Na stronie joanasi.com analogiczne liczniki opierają się na skrócie adresu IP i adresu e-mail.

Na stronie joanasi.com liczniki zapisujemy jako tymczasowe pliki robocze w katalogu plików tymczasowych serwera. Zawierają wyłącznie skrót oraz licznik dla danego okna czasowego, nigdy samego adresu e-mail ani adresu IP, i nie są powiązane z Twoim kontem. Usuwa je serwer w ramach własnej obsługi plików tymczasowych.

8. Odbiorcy danych

Dostawca	Po co	Rola	Gdzie
OVHcloud	hosting strony `joanasi.com` i skrzynki pocztowej hello@joanasi.com	podmiot przetwarzający	OVHcloud świadczy tę usługę na podstawie swoich europejskich warunków; przetwarzanie odbywa się w Unii Europejskiej
Vercel (Vercel Inc., USA)	hosting aplikacji app.joanasi.com	podmiot przetwarzający	region docelowy Dublin; Vercel zastrzega przetwarzanie także w USA i innych krajach
Supabase (Supabase Pte. Ltd, Singapur)	baza danych, uwierzytelnianie, przechowywanie plików	podmiot przetwarzający	dane projektu w regionie `eu-west-1` (Irlandia, EOG); sama spółka i część podwykonawców poza EOG
Stripe (w tym Link)	płatność, podatek, potwierdzenia transakcji, spory płatnicze	częściowo podmiot przetwarzający, częściowo odrębny administrator	Irlandia (Stripe Payments Europe) oraz USA
Resend (Plus Five Five, Inc.)	wysyłka wiadomości transakcyjnych	podmiot przetwarzający	USA. Resend wskazuje w swojej umowie powierzenia, że jego podstawowe operacje przetwarzania odbywają się w Stanach Zjednoczonych
Klaviyo (Klaviyo, Inc., USA)	newsletter i wiadomości marketingowe zapisywane na stronie joanasi.com	częściowo podmiot przetwarzający, częściowo odrębny administrator	USA
Google	statystyki publicznych stron joanasi.com i app.joanasi.com oraz zakupów i zwrotów, wyłącznie po zgodzie	częściowo podmiot przetwarzający, częściowo odrębny administrator	UE oraz USA

Nie korzystamy dziś ze stałej obsługi księgowej ani prawnej, której przekazywalibyśmy Twoje dane. Jeżeli to się zmieni, dopiszemy taki podmiot do tabeli powyżej, zanim przekażemy mu jakiekolwiek dane.

Dane mogą też zostać udostępnione uprawnionym organom, jeżeli wymagają tego przepisy.

9. Przekazywanie danych poza EOG

Część danych jest przetwarzana poza Europejskim Obszarem Gospodarczym, przede wszystkim w Stanach Zjednoczonych. Dotyczy to w szczególności Klaviyo (przechowuje dane w USA), Resend (dane konta, metadane i logi wiadomości przechowuje w USA), Stripe (przekazuje dane do Stripe, LLC w USA), Google w zakresie Google Analytics oraz podwykonawców Vercela i Supabase.

Podstawą takich przekazań są, odpowiednio do odbiorcy: decyzja o adekwatności, w tym decyzja wykonawcza Komisji (UE) 2023/1795 w sprawie EU-U.S. Data Privacy Framework, jeżeli dany odbiorca jest certyfikowany w tym programie, albo standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914.

Mechanizmy w tabeli niżej odczytaliśmy z aktualnych, publicznie dostępnych umów powierzenia poszczególnych dostawców. Certyfikacja w DPF może wygasnąć, dlatego przy każdym przekazaniu stosujemy ten mechanizm, który jest wtedy właściwy.

Odbiorca poza EOG	Zastosowany mechanizm
Stripe, LLC (USA), po przekazaniu od Stripe Payments Europe, Limited (Irlandia)	standardowe klauzule umowne, moduł 1 i 2, włączone do umowy Stripe o powierzeniu
Plus Five Five, Inc. (Resend, USA)	standardowe klauzule umowne włączone do umowy powierzenia; Resend powołuje się także na EU-U.S. DPF
Klaviyo, Inc. (USA)	samocertyfikacja w EU-U.S. DPF oraz standardowe klauzule umowne, moduł 2, włączone do umowy powierzenia
Supabase Pte. Ltd (Singapur) oraz jej podwykonawcy	standardowe klauzule umowne przyjęte decyzją Komisji (UE) 2021/914
Vercel Inc. (USA) oraz jej podwykonawcy	standardowe klauzule umowne w umowie powierzenia; Vercel deklaruje odrębnie certyfikację w EU-U.S. DPF
Google LLC (Google Analytics 4, wyłącznie po Twojej zgodzie na publicznych stronach joanasi.com i app.joanasi.com)	certyfikacja w EU-U.S. DPF, a tam gdzie ma zastosowanie, standardowe klauzule umowne. Google opisuje te mechanizmy w swojej oficjalnej dokumentacji przekazywania danych

Decyzja o adekwatności dotyczy konkretnych organizacji, a nie Stanów Zjednoczonych jako kraju, a certyfikacja może wygasnąć. Dlatego przy każdym przekazaniu stosujemy ten mechanizm, który jest wtedy właściwy, i sprawdzamy to przy okresowym przeglądzie tej polityki. Mechanizmy wyżej odczytaliśmy z aktualnych, publicznie dostępnych dokumentów dostawców; nie twierdzimy, że podpisaliśmy z nimi odrębne, indywidualnie wynegocjowane umowy.

Kopię zastosowanych zabezpieczeń albo informację o nich udostępnimy Ci na wniosek. Napisz na hello@joanasi.com.

10. Okresy przechowywania

Okresy przechowywania podajemy przy każdym celu w tabeli w punkcie 3. Tam, gdzie nie da się podać konkretnego okresu, wskazujemy kryterium i zdarzenie, od którego liczymy czas.

Co znaczy „usuwamy automatycznie”. Codziennie działa u nas zadanie, które usuwa albo trwale pozbawia danych identyfikujących rekordy, którym upłynął termin z tabeli w punkcie 3. Nie zależy to od tego, czy ktoś o tym pamięta. Jeżeli trwa konkretny spór albo postępowanie, dane objęte tą sprawą zatrzymujemy do jej zakończenia, a usuwanie pozostałych danych toczy się normalnie.

Czego to nie obejmuje. Nie mamy wpływu na kopie zapasowe naszych dostawców. Usunięcie danych z naszej bazy nie usuwa ich natychmiast z kopii zapasowych dostawcy, które wygasają zgodnie z jego własnym cyklem. Piszemy o tym wprost, zamiast obiecywać coś, czego nie jesteśmy w stanie zagwarantować.

Dowody, których nie usuwamy wcześniej. Zapis oświadczeń złożonych przy zakupie oraz potwierdzenie, że przekazaliśmy Ci umowę na trwałym nośniku, są dowodem, od którego zależy Twoje prawo odstąpienia i nasza zgodność z prawem. Nie kasujemy ich przed upływem terminu z tabeli w punkcie 3, nawet na wniosek: bez nich nie dałoby się wykazać, co i kiedy Ci przekazaliśmy.

11. Twoje prawa

Masz prawo do:

dostępu do swoich danych i otrzymania ich kopii,
sprostowania danych,
usunięcia danych,
ograniczenia przetwarzania,
przenoszenia danych,
wycofania zgody w każdej chwili, jeżeli przetwarzamy dane na podstawie zgody. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

Prawo sprzeciwu. W każdej chwili możesz wnieść sprzeciw wobec przetwarzania Twoich danych opartego na naszym uzasadnionym interesie, w szczególności wobec statystyk uruchomienia i korzystania z produktu, logów, liczników banera oraz przetwarzania na potrzeby obrony roszczeń. Po sprzeciwie przestaniemy przetwarzać te dane, chyba że wykażemy ważne prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów, praw i wolności, albo podstawy do ustalenia, dochodzenia lub obrony roszczeń.

Napisz do nas na hello@joanasi.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Jeżeli sprawa jest skomplikowana, możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o tym wraz z przyczyną.

Część danych musimy zachować mimo Twojego wniosku, jeżeli wymagają tego przepisy podatkowe albo jeżeli są nam potrzebne do ustalenia lub obrony roszczeń.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne. Nie profilujemy Cię w celach marketingowych.

12. Pliki cookies i pamięć przeglądarki

Aplikacja app.joanasi.com

Nazwa	Rodzaj	Po co	Jak długo
`sb-<identyfikator-projektu>-auth-token` (może być podzielony na części z sufiksem `.0`, `.1`)	niezbędny	utrzymanie Twojego zalogowania bez hasła	do wylogowania albo do wygaśnięcia sesji. Nie ustawiamy własnego czasu życia tego pliku: obowiązuje ten, który nadaje mu usługa uwierzytelniania. Kliknięcie „Wyloguj” kończy sesję na tym urządzeniu

Ten plik cookie jest niezbędny do świadczenia usługi, o którą prosisz, czyli do zalogowania i dostępu do zakupionych materiałów, więc zgodnie z art. 399 ust. 3 Prawa komunikacji elektronicznej nie wymaga zgody. Bez niego aplikacja nie może Cię rozpoznać.

Na publicznych stronach aplikacji mogą działać także poniższe cookies decyzji i statystyk. W planerze po zalogowaniu Google Analytics nie jest wczytywane.

Strona joanasi.com

Nazwa	Rodzaj	Po co	Jak długo
`joanasi_analytics`	niezbędny	zapamiętanie jednej decyzji o analityce dla joanasi.com i app.joanasi.com, żeby nie pytać ponownie	180 dni
`joanasi-consent-v1` (pamięć lokalna przeglądarki, starsze wizyty)	niezbędny	jednorazowe przeniesienie wcześniejszej decyzji do wspólnego cookie	usuwany od razu po przeniesieniu
`_ga`, `_ga_<identyfikator>`	statystyczny	statystyki odwiedzin (Google Analytics 4)	maksymalnie 2 lata od udzielenia zgody; kolejna wizyta nie przedłuża tego terminu. Możesz usunąć te pliki w ustawieniach przeglądarki albo odrzucić zgodę, wtedy w ogóle nie powstaną

Cookies statystyczne uruchamiamy wyłącznie po Twojej zgodzie. Możesz ją odrzucić od razu w banerze, a odrzucenie jest tak samo łatwe jak akceptacja. Decyzję zmienisz, klikając „Cookies” w stopce strony.

Możesz też zarządzać cookies w ustawieniach przeglądarki. Wyłączenie plików niezbędnych uniemożliwi zalogowanie się do aplikacji.

Podstawą prawną dla plików cookie jest art. 399 Prawa komunikacji elektronicznej, obowiązujący od 10 listopada 2024 r. w miejsce art. 173 Prawa telekomunikacyjnego.

13. Kontakt i skarga do Prezesa UODO

W sprawach danych osobowych napisz do nas: hello@joanasi.com.

Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do organu nadzorczego:

Prezes Urzędu Ochrony Danych Osobowych ul. Stanisława Moniuszki 1A 00-014 Warszawa uodo.gov.pl

Niezależnie od tego możesz dochodzić swoich praw przed sądem powszechnym.

14. Zmiany polityki

Politykę aktualizujemy, gdy zmienią się nasze usługi, dostawcy albo przepisy. Aktualna wersja jest zawsze dostępna pod tym adresem, wraz z datą jej wejścia w życie. O istotnych zmianach poinformujemy Cię na trwałym nośniku, jeżeli mamy Twój adres e-mail.

Wersja: pl-2026-08-26, obowiązuje od 26 sierpnia 2026.

Poprzednie wersje tego dokumentu