Polityka prywatności
Ostatnia aktualizacja: 19 września 2026 r.
1. Administrator danych
Administratorem Twoich danych osobowych jest Andrzej Stopa, Góralska 3, 34-123 Chocznia, Polska. Działalność nierejestrowana w rozumieniu art. 5 ustawy z dnia 6 marca 2018 r. — Prawo przedsiębiorców — bez wpisu do CEIDG.
We wszystkich sprawach dotyczących danych osobowych napisz na adres kontakt@cozjesc.pl. Nie wyznaczono inspektora ochrony danych — obowiązek ten nie ma zastosowania.
2. Skąd mamy Twoje dane
- Bezpośrednio od Ciebie — przy zakładaniu konta, uzupełnianiu danych rozliczeniowych, tworzeniu menu i korzystaniu z formularzy.
- Od Google — jeżeli logujesz się kontem Google (adres e-mail, imię i nazwisko, avatar).
- Z rejestrów publicznych (GUS za pośrednictwem dataport.pl) — dane firmy pobierane po podaniu numeru NIP.
- Automatycznie z Twojego urządzenia — adres IP, dane techniczne przeglądarki, zdarzenia opisane w tabeli poniżej.
3. Cele, podstawy prawne i okresy przechowywania
| Cel | Zakres danych | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Prowadzenie konta i świadczenie usług panelu | Adres e-mail, hasło (w postaci skrótu), imię i nazwisko, telefon, avatar, dane lokalu i menu | Art. 6 ust. 1 lit. b RODO — wykonanie umowy | Przez czas trwania umowy, a po jej zakończeniu do 30 dni |
| Obsługa płatności i wystawianie faktur | Nazwa firmy, NIP, adres rozliczeniowy, identyfikator klienta w Stripe, historia płatności | Art. 6 ust. 1 lit. b oraz lit. c RODO — umowa i obowiązki podatkowo-rachunkowe | 5 lat od końca roku podatkowego, w którym powstał obowiązek |
| Odpowiedź na wiadomość z formularza kontaktowego lub zgłoszenia partnerskiego | Imię, adres e-mail, telefon, nazwa lokalu, treść wiadomości | Art. 6 ust. 1 lit. f RODO — prowadzenie korespondencji, a gdy dotyczy oferty: lit. b | 12 miesięcy od zakończenia korespondencji; wiadomość, na którą nie udzielono odpowiedzi — 24 miesiące od jej wpłynięcia |
| Bezpieczeństwo, przeciwdziałanie nadużyciom i botom | Adres IP, logi serwera, zdarzenia logowania i prób resetu hasła, wynik weryfikacji Cloudflare Turnstile | Art. 6 ust. 1 lit. f RODO — ochrona usługi przed nadużyciami | Do 12 miesięcy |
| Statystyka odsłon menu i profili lokali (dla restauratora) | Losowa wartość zapisana w pamięci przeglądarki i liczony z niej dobowy skrót, osobny dla każdego lokalu; źródło wejścia (QR, link, osadzenie); zdarzenia wyświetleń i kliknięć pozycji menu | Art. 6 ust. 1 lit. a RODO — zgoda na kategorię analityczną; zapis w pamięci urządzenia wymaga zgody także na podstawie art. 399 Prawa komunikacji elektronicznej. W menu osadzonym na cudzej stronie podstawą jest zgoda przekazana nam przez tę stronę | Dane szczegółowe do 12 miesięcy, następnie wyłącznie zagregowane dobowo (liczba odsłon i liczba odróżnionych wizyt, bez identyfikatorów) |
| Analityka internetowa (Google Analytics 4) | Identyfikatory cookies, zdarzenia odsłon, przybliżona lokalizacja z adresu IP | Art. 6 ust. 1 lit. a RODO — zgoda wyrażona w bannerze cookies | Zgodnie z ustawieniami GA4, nie dłużej niż 14 miesięcy |
| Reklama i pomiar jej skuteczności (Google Ads, Meta Pixel) | Identyfikatory cookies i identyfikatory reklamowe, zdarzenia odsłon oraz konwersji (rejestracja konta, opłacenie planu), adres IP | Art. 6 ust. 1 lit. a RODO — zgoda na kategorię marketingową; zapis w pamięci urządzenia wymaga zgody także na podstawie art. 399 Prawa komunikacji elektronicznej | Zgodnie z ustawieniami Google Ads i Meta, nie dłużej niż 13 miesięcy |
| Rejestrowanie decyzji o zgodzie na cookies (rozliczalność) | Pseudonimowy identyfikator odwiedzającego, treść i wersja zgody, ścieżka podstrony (bez parametrów adresu) i czas zdarzenia, solony skrót adresu IP oraz rodzina przeglądarki i systemu | Art. 6 ust. 1 lit. c RODO w zw. z art. 7 ust. 1 RODO — wykazanie zgody | 24 miesiące |
| Wyszukiwanie lokali w pobliżu | Przybliżone współrzędne geograficzne urządzenia | Art. 6 ust. 1 lit. a RODO — zgoda udzielana w przeglądarce | Wyłącznie na czas obsługi zapytania, bez zapisu |
| Ustalenie, dochodzenie lub obrona roszczeń | Dane konta, korespondencja, dokumentacja rozliczeniowa | Art. 6 ust. 1 lit. f RODO — uzasadniony interes | Do upływu terminów przedawnienia roszczeń |
4. Czy podanie danych jest obowiązkowe
Podanie danych jest dobrowolne, ale niezbędne do skorzystania z konkretnych funkcji: bez adresu e-mail nie założysz konta, bez nazwy firmy, NIP i adresu nie wystawimy faktury, a bez zgody na lokalizację nie pokażemy lokali w pobliżu. Przeglądanie menu nie wymaga podawania żadnych danych ani zakładania konta.
5. Odbiorcy danych
Korzystamy z dostawców wymienionych niżej. Rola zależy od usługi: większość przetwarza dane wyłącznie na nasze udokumentowane polecenie, na podstawie umów powierzenia (art. 28 RODO), ale przy płatnościach i przy logowaniu kontem Google dostawca jest odrębnym administratorem i realizuje własne cele oraz obowiązki ustawowe. Ma to znaczenie praktyczne: żądanie dotyczące danych kierujesz do administratora odpowiedzialnego za dany zbiór.
| Podmiot | Zakres usługi | Rola wg RODO | Lokalizacja |
|---|---|---|---|
| Supabase, Inc. | Baza danych, uwierzytelnianie, pliki i funkcje serwerowe | Podmiot przetwarzający (art. 28 RODO) | Infrastruktura w Unii Europejskiej, podmiot z USA |
| Vercel, Inc. | Hosting aplikacji i dostarczanie treści | Podmiot przetwarzający (art. 28 RODO) | USA / UE |
| Stripe Payments Europe, Ltd. | Obsługa płatności i subskrypcji, wystawianie dokumentów płatniczych | Odrębny administrator — realizuje własne obowiązki ustawowe (m.in. przeciwdziałanie praniu pieniędzy) | Irlandia, z transferem do Stripe, Inc. w USA |
| Plus Five Five, Inc. (Resend) | Wysyłka wiadomości e-mail (potwierdzenia, powiadomienia) | Podmiot przetwarzający (art. 28 RODO) | USA |
| Cloudflare, Inc. | Ochrona formularzy przed botami (Turnstile) | Podmiot przetwarzający (art. 28 RODO) | USA / UE |
| Google Ireland Ltd. / Google LLC | Google Analytics 4 i Google Ads, oba uruchamiane przez Google Tag Managera wyłącznie po zgodzie, oraz logowanie kontem Google | Google Analytics 4 — podmiot przetwarzający; Google Ads i logowanie kontem Google — odrębny administrator | Irlandia / USA |
| Meta Platforms Ireland Ltd. / Meta Platforms, Inc. | Meta Pixel — pomiar skuteczności reklam, uruchamiany wyłącznie po zgodzie na kategorię marketingową | Współadministrator w zakresie pomiaru (art. 26 RODO) | Irlandia / USA |
| OpenAI, L.L.C. | Automatyczne odczytanie menu ze zdjęcia lub pliku i tłumaczenie menu — na żądanie restauratora — oraz generowanie redakcyjnych opisów miast | Podmiot przetwarzający (art. 28 RODO), bez uczenia modeli na przekazanych danych | USA |
| dataport.pl | Pobranie danych firmy z rejestrów publicznych na podstawie numeru NIP | Odrębny administrator — udostępnia dane z rejestrów publicznych | Polska |
| OpenStreetMap Foundation (Nominatim) | Zamiana adresu lokalu na współrzędne geograficzne — zapytanie wysyła nasz serwer, nie Twoja przeglądarka | Odrębny administrator — prowadzi własną, otwartą bazę danych adresowych | Wielka Brytania / UE |
| Google Ireland Ltd. / Google LLC (Google Fonts) | Pobranie kroju pisma przy wyborze wyglądu kodu QR w panelu restauratora — pozostałe strony serwują kroje z naszej domeny | Podmiot przetwarzający (art. 28 RODO) | Irlandia / USA |
Dane mogą też zostać udostępnione podmiotom uprawnionym na podstawie przepisów prawa, a także — w niezbędnym zakresie — obsłudze księgowej i prawnej.
6. Przekazywanie danych poza EOG
Część dostawców ma siedzibę w Stanach Zjednoczonych. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) — jeżeli dostawca jest do niego przystąpił — albo na podstawie standardowych klauzul umownych z dodatkowymi zabezpieczeniami technicznymi. Kopię zastosowanych zabezpieczeń udostępnimy na żądanie wysłane na adres kontaktowy.
7. Twoje prawa
- prawo dostępu do danych oraz otrzymania ich kopii,
- prawo do sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych,
- prawo do usunięcia danych („prawo do bycia zapomnianym”),
- prawo do ograniczenia przetwarzania,
- prawo do przenoszenia danych przetwarzanych na podstawie zgody lub umowy,
- prawo sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie — w tym wobec statystyk odsłon menu,
- prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia (dla cookies służy do tego przycisk „Ustawienia cookies” w stopce),
- prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.
Aby skorzystać z któregokolwiek z praw, napisz na kontakt@cozjesc.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Usunięcie konta obejmuje również dane w usługach dostawców wskazanych w pkt 5, z wyjątkiem dokumentacji rozliczeniowej, którą musimy przechowywać na podstawie przepisów podatkowych.
8. Zautomatyzowane decyzje i profilowanie
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Narzędzia automatycznego odczytu menu działają na Treściach przesłanych przez restauratora, a nie na danych osobowych gości.
9. Bezpieczeństwo danych
Stosujemy szyfrowanie transmisji (HTTPS), rozdzielenie uprawnień na poziomie bazy danych, uwierzytelnianie dwuskładnikowe dla kont administracyjnych, ograniczenia liczby prób logowania oraz ochronę formularzy przed botami.
10. Cookies
Zasady korzystania z plików cookies i pamięci przeglądarki opisuje Polityka cookies.
11. Zmiany polityki
O istotnych zmianach polityki poinformujemy posiadaczy kont pocztą elektroniczną oraz komunikatem w panelu, co najmniej 14 dni przed ich wejściem w życie. Aktualna wersja jest zawsze dostępna na tej stronie.