Polityka prywatności i informacja RODO

Na Platformie występują dwa rodzaje administratorów danych. To, który z nich odpowiada za Twoje dane, zależy od tego, kim jesteś:

1. Operator Platformy — Operator Platformy (dane w uzupełnieniu). Operator jest administratorem danych: osób zakładających i używających kont Organizacji (właściciele, członkowie), osób kontaktujących się z Operatorem, osób subskrybujących powiadomienia o nowych wydarzeniach oraz danych technicznych wszystkich odwiedzających (logi, zabezpieczenia antyfraudowe). Kontakt w sprawach danych: rodo@eventygminy.pl.
2. Organizacja — organizacja (KGW, OSP, dom kultury, stowarzyszenie itp.), na której wydarzenie się zapisujesz lub której przekazujesz darowiznę, jest odrębnym administratorem Twoich danych jako Uczestnika lub Darczyńcy. Organizacja decyduje, jakie dane zbiera w formularzu (np. dodatkowe pytania) i jak je wykorzystuje w związku z wydarzeniem lub zbiórką. Operator przetwarza te dane na zlecenie Organizacji jako podmiot przetwarzający (art. 28 RODO) — udostępnia narzędzie, przechowuje dane i wysyła powiadomienia w imieniu Organizacji. Dane kontaktowe Organizacji znajdziesz na jej profilu na Platformie oraz w e-mailu potwierdzającym.

W wąskim zakresie Operator przetwarza dane Uczestników i Darczyńców również jako samodzielny administrator: w celu zabezpieczenia Platformy przed nadużyciami (adres IP, limity żądań, CAPTCHA), rozliczenia prowizji oraz obsługi roszczeń — na podstawie prawnie uzasadnionego interesu Operatora.

Operator nie wyznaczył inspektora ochrony danych; we wszystkich sprawach dotyczących danych osobowych można pisać na rodo@eventygminy.pl.

Podanie danych jest dobrowolne, ale niezbędne do skorzystania z danej funkcji (bez adresu e-mail nie wyślemy potwierdzenia zapisu ani darowizny). Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne.

1. Konto Organizacji: adres e-mail, imię i nazwisko osoby zakładającej konto i członków, nazwa i dane Organizacji (gmina, adres, telefon, strona www, KRS), logotyp, numer rachunku bankowego do przelewów, identyfikator konta Stripe, status weryfikacji Stripe, plan i historia rozliczeń, dziennik działań administracyjnych. Dane wymagane przez Stripe do weryfikacji (dokument tożsamości, dane rejestrowe) podajesz bezpośrednio Stripe — Operator ich nie widzi.
2. Uczestnicy wydarzeń: imię i nazwisko, adres e-mail, opcjonalnie telefon, liczba osób, odpowiedzi na dodatkowe pytania zdefiniowane przez Organizację, status zapisu (potwierdzony, lista rezerwowa, anulowany), identyfikator płatności Stripe przy biletach płatnych, token anulowania zapisu.
3. Darczyńcy: adres e-mail, opcjonalnie imię, wiadomość i dedykacja, kwota i data wpłaty, identyfikator sesji i płatności Stripe, flaga anonimowości i zgody na publikację, adres IP w chwili inicjowania płatności (zabezpieczenie antyfraudowe).
4. Subskrypcje: adres e-mail i wybrana organizacja lub kategoria. Adres jest zapisywany do przyszłych powiadomień; wysyłka powiadomień subskrypcyjnych nie jest jeszcze uruchomiona, a wypis następuje na żądanie (e-mail na rodo@eventygminy.pl).
5. Dane techniczne: adres IP, nagłówki żądania (przeglądarka, system), czas i adres żądania, wynik weryfikacji CAPTCHA, liczniki limitów żądań — w logach hostingu i mechanizmach antyfraudowych.
6. Lokalizacja: jeśli dobrowolnie udostępnisz lokalizację w przeglądarce, przybliżone współrzędne są jednorazowo zamieniane na nazwę gminy; wynik zapisujemy wyłącznie w Twojej przeglądarce (localStorage).
7. Dane kart płatniczych i BLIK są przetwarzane wyłącznie przez Stripe. Operator nie ma do nich dostępu i ich nie przechowuje.

Dane mogą być przekazywane następującym kategoriom odbiorców: Organizacjom (dane ich Uczestników i Darczyńców), dostawcom usług IT działającym na zlecenie Operatora (poniżej), doradcom prawnym/księgowym oraz organom publicznym, gdy wymagają tego przepisy. Operator nie sprzedaje danych i nie udostępnia ich brokerom danych ani sieciom reklamowym.

Lista podprocesorów może się zmieniać. Organizacje są informowane o zmianach e-mailem (patrz sekcja 10); dla pozostałych osób aktualna lista jest zawsze dostępna na tej stronie.

Część dostawców (Clerk, Stripe, Vercel, Cloudflare, Resend) ma siedzibę w Stanach Zjednoczonych lub korzysta z globalnej infrastruktury, co może oznaczać przekazanie danych poza Europejski Obszar Gospodarczy. Przekazanie odbywa się na podstawie:

• decyzji Komisji Europejskiej o adekwatności — EU-US Data Privacy Framework (dla dostawców certyfikowanych w DPF) oraz decyzji dotyczącej Wielkiej Brytanii,
• standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską, wraz z dodatkowymi środkami (szyfrowanie w tranzycie i w spoczynku),
• w przypadku Stripe — umowy z podmiotem europejskim Stripe Payments Europe, Ltd. (Irlandia).

Kopię stosowanych zabezpieczeń lub informację o mechanizmie transferu danego dostawcy możesz uzyskać, pisząc na rodo@eventygminy.pl.

Zgodnie z RODO masz prawo do:

• dostępu do swoich danych i uzyskania ich kopii (art. 15),
• sprostowania danych nieprawidłowych lub niekompletnych (art. 16),
• usunięcia danych — o ile nie istnieje obowiązek ich przechowywania, np. podatkowy (art. 17),
• ograniczenia przetwarzania (art. 18),
• przenoszenia danych przetwarzanych na podstawie umowy lub zgody, w formacie nadającym się do odczytu maszynowego (art. 20),
• sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21),
• cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania przed cofnięciem,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Żądania dotyczące danych konta Organizacji, subskrypcji i danych technicznych kieruj do Operatora: rodo@eventygminy.pl. Żądania dotyczące Twoich danych jako Uczestnika lub Darczyńcy kieruj do Organizacji (administratora); możesz je także wysłać do Operatora, który przekaże je Organizacji i pomoże w realizacji. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Uczestnik może samodzielnie anulować zapis przez link w e-mailu potwierdzającym. Organizacja może w panelu usuwać zapisy i eksportować listy uczestników; zestawienie darowizn udostępniamy na żądanie e-mailem.

Platforma używa wyłącznie plików cookie i mechanizmów niezbędnych do działania usługi. Nie używamy narzędzi analitycznych śledzących użytkowników między stronami, pikseli reklamowych ani cookies marketingowych, dlatego nie wyświetlamy banera zgody na cookies.

Możesz usunąć cookies i dane localStorage w ustawieniach przeglądarki. Zablokowanie cookies niezbędnych uniemożliwi logowanie i płatności.

• połączenia szyfrowane TLS; dane w bazie szyfrowane w spoczynku przez dostawcę,
• izolacja danych między Organizacjami na poziomie bazy danych (Row Level Security) — Organizacja widzi wyłącznie swoich Uczestników i Darczyńców,
• dostęp do danych poufnych (numery kont, identyfikatory Stripe, e-maile darczyńców) wyłącznie z kodu serwerowego; publiczne interfejsy udostępniają jedynie dane oznaczone jako publiczne,
• weryfikacja podpisów webhooków Stripe i Clerk, limity żądań, CAPTCHA, dziennik działań administracyjnych,
• hasła przechowywane wyłącznie w formie skrótu przez Clerk; dane kart — wyłącznie w Stripe (PCI DSS).

W razie naruszenia ochrony danych Operator powiadamia Organizacje, których danych ono dotyczy, bez zbędnej zwłoki, a PUODO — w terminie 72 godzin, gdy wymaga tego RODO.

Niniejsza sekcja wraz z Regulaminem stanowi umowę powierzenia przetwarzania danych osobowych (art. 28 ust. 3 RODO) pomiędzy Organizacją (administratorem) a Operatorem (podmiotem przetwarzającym). Zawierana jest z chwilą założenia konta Organizacji.

1. Przedmiot i czas: przetwarzanie danych Uczestników, Darczyńców i subskrybentów Organizacji przez czas trwania umowy o korzystanie z Platformy.
2. Charakter i cel: przechowywanie, porządkowanie, udostępnianie Organizacji, wysyłka powiadomień e-mail, przekazywanie danych płatniczych do Stripe — w celu obsługi zapisów na wydarzenia i darowizn.
3. Rodzaj danych i osób: dane zwykłe wymienione w sekcji 3 (imię i nazwisko, e-mail, telefon, odpowiedzi w formularzu, kwoty i identyfikatory płatności) dotyczące Uczestników, Darczyńców i subskrybentów. Organizacja nie powinna zbierać w polach dodatkowych danych szczególnych kategorii (np. o zdrowiu) bez wyraźnej podstawy prawnej i poinformowania Operatora.
4. Instrukcje: Operator przetwarza dane wyłącznie na udokumentowane polecenie Organizacji — za takie uznaje się konfigurację konta, wydarzeń i formularzy w panelu oraz Regulamin. Operator poinformuje Organizację, jeśli polecenie w jego ocenie narusza RODO.
5. Podprocesorzy: Organizacja wyraża ogólną zgodę na korzystanie przez Operatora z podprocesorów wymienionych w sekcji 4. O zamiarze dodania lub zmiany podprocesora Operator informuje e-mailem z wyprzedzeniem co najmniej 14 dni; Organizacja może w tym czasie wnieść sprzeciw, a w razie jego nieuwzględnienia — wypowiedzieć umowę.
6. Obowiązki Operatora: zapewnienie, że osoby mające dostęp do danych są zobowiązane do poufności; wdrożenie środków z sekcji 9; pomoc Organizacji w realizacji praw osób (sekcja 7) i obowiązków z art. 32–36 RODO; zgłaszanie naruszeń bez zbędnej zwłoki po stwierdzeniu; udostępnianie informacji niezbędnych do wykazania zgodności oraz umożliwianie audytów w rozsądnym zakresie i terminie.
7. Obowiązki Organizacji: posiadanie podstawy prawnej do przetwarzania; spełnienie obowiązku informacyjnego wobec Uczestników i Darczyńców (Operator udostępnia odesłanie do tej Polityki w formularzach, ale Organizacja odpowiada za własne klauzule, jeśli przetwarza dane w szerszym zakresie); korzystanie z danych wyłącznie w celach związanych z wydarzeniem lub zbiórką; usuwanie list uczestników, gdy nie są już potrzebne.
8. Zakończenie: po usunięciu konta Operator usuwa lub anonimizuje powierzone dane w terminie 30 dni, z wyjątkiem danych, które musi zachować na podstawie przepisów (dane transakcji — 5 lat). Przed usunięciem Organizacja może wyeksportować listy uczestników z panelu, a zestawienie darowizn otrzymać na żądanie e-mailem.

Administrator / podmiot przetwarzający: Operator Platformy (dane w uzupełnieniu).
Sprawy danych osobowych: rodo@eventygminy.pl
Sprawy ogólne: kontakt@eventygminy.pl

Polityka może być aktualizowana wraz z rozwojem Platformy lub zmianą przepisów i dostawców. Istotne zmiany ogłaszamy e-mailem do Organizacji i na tej stronie z co najmniej 14-dniowym wyprzedzeniem; data obowiązującej wersji jest podana u góry dokumentu. Regulamin Platformy znajdziesz pod adresem eventygminy.pl/regulamin.