Polityka Prywatności Olami.pl

Data wejścia w życie: 10 maja 2026 r.  |  Ostatnia aktualizacja: 31 lipca 2026 r.

Niniejsza Polityka Prywatności (dalej: „Polityka") opisuje, jakie dane osobowe zbiera serwis Olami.pl, po co je zbiera, jak długo je przechowuje i jakie masz wobec nich prawa. Dokument jest spójny z Regulaminem oraz z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

Polityka dotyczy dwóch grup osób:

• Fotografów — osób, które zakładają konto w Olami.pl i korzystają z panelu (dalej: „Fotograf").
• Osób, które trafiają na linki udostępnione przez Fotografa — klientów sesji, uczestników warsztatów, osób odbierających zdjęcia (dalej: „Klient Fotografa"). Jeśli wypełniasz formularz zapisu, oglądasz galerię albo pobierasz zdjęcia — ta część dotyczy właśnie Ciebie: opisujemy ją szczegółowo w pkt 6.

1. Administrator danych osobowych

Administratorem danych osobowych Fotografów (użytkowników Konta) jest:

Damian Michalski, osoba fizyczna
adres do korespondencji: [ADRES KORESPONDENCYJNY]
adres e-mail: kontakt.olami.pl@gmail.com
(dalej: „Administrator")

Ważne rozróżnienie ról. W odniesieniu do danych Klientów Fotografa (osób, które zapisują się na sesje i warsztaty, oglądają galerie, zamawiają odbitki) administratorem danych jest Fotograf, a Olami.pl działa wyłącznie jako podmiot przetwarzający (procesor) — na polecenie Fotografa i w zakresie opisanym w pkt 7. Praktycznie oznacza to, że w sprawie swoich danych (poprawienie, usunięcie, cofnięcie zgody) kontaktujesz się w pierwszej kolejności z Fotografem, u którego się zapisałeś/aś. Jeżeli nie wiesz, jak się z nim skontaktować — napisz do nas, a przekażemy zgłoszenie.

2. Jak działa Olami.pl — co się dzieje z danymi na każdym etapie

Olami.pl to narzędzie dla fotografów, które prowadzi obsługę klienta po sesji zdjęciowej. Poniżej opisujemy, jak działa każda funkcja i jakie dane się z nią wiążą.

2.1. Konto Fotografa i panel

Fotograf zakłada konto (e-mail, imię i nazwisko lub nazwa firmy, hasło), potwierdza adres e-mail linkiem aktywacyjnym i pracuje w panelu. Dostęp do panelu wymaga zalogowania; każda operacja na zasobach jest sprawdzana pod kątem uprawnień (Fotograf widzi wyłącznie własne dane).

2.2. Sesje, galeria i selekcja zdjęć

Fotograf tworzy sesję, wgrywa zdjęcia i udostępnia klientowi link z unikalnym tokenem (bez zakładania konta i bez hasła). Klient przegląda galerię, zaznacza zdjęcia i zatwierdza wybór. Zapisujemy: wybór zdjęć, komentarze klienta do zdjęć, oznaczenia „ulubione", a także informację o tym, czy i kiedy galeria została pierwszy raz otwarta oraz ile razy ją otwarto — Fotograf widzi to w panelu, żeby wiedzieć, czy link dotarł. Na wgrywanych zdjęciach nakładany jest znak wodny; przy przetwarzaniu odczytujemy dane EXIF (m.in. orientację zdjęcia). Pliki zdjęć mogą zawierać metadane zapisane przez aparat (data, model aparatu, w niektórych aparatach lokalizacja) — usunięcie takich metadanych leży po stronie Fotografa.

2.3. Zapisy online (rezerwacja terminu sesji)

Fotograf może włączyć publiczny link do zapisów. Osoba zapisująca się wybiera rodzaj sesji, termin i pakiet, po czym podaje dane kontaktowe i potwierdza zapis linkiem wysłanym na e-mail. Zgłoszenie niepotwierdzone przez klienta wygasa automatycznie, a zgłoszenia oczekujące na decyzję Fotografa dłużej niż 7 dni są automatycznie wygaszane. Po akceptacji zapis staje się wydarzeniem w kalendarzu Fotografa (patrz pkt 2.7).

2.4. Warsztaty

Fotograf publikuje warsztat pod publicznym linkiem; uczestnik zapisuje się przez formularz i potwierdza udział linkiem z e-maila. Fotograf prowadzi listę uczestników i oznacza wpłaty zadatku.

2.5. Dostarczanie zdjęć i zamówienia odbitek

Gotowe zdjęcia Fotograf udostępnia klientowi przez link z ograniczonym czasem ważności (domyślnie 7 dni). Po wygaśnięciu linku pliki są automatycznie usuwane przez zadanie cykliczne. Jeżeli klient zamawia odbitki, podaje dane do wysyłki (adres lub paczkomat) — trafiają one do Fotografa realizującego zamówienie.

2.6. Zgody na publikację zdjęć

Fotograf może poprosić klienta o zgody na wykorzystanie zdjęć (np. publikacja w portfolio, na Facebooku, Instagramie). Klient zaznacza je dobrowolnie przy zatwierdzaniu wyboru zdjęć; zapisujemy treść pytania i odpowiedź (zgoda / brak zgody). Zgodę można wycofać w każdej chwili, kontaktując się z Fotografem — wycofanie nie wpływa na legalność publikacji sprzed wycofania.

2.7. Kalendarz i synchronizacja z Google / iCloud

Wydarzenia z kalendarza Olami (sesje) mogą być synchronizowane z kalendarzem Google lub iCloud Fotografa — wyłącznie po jego dobrowolnym połączeniu konta. Synchronizacja obejmuje tylko dedykowany kalendarz „Olami" tworzony przez Serwis; prywatne wydarzenia z innych kalendarzy nie są odczytywane. Opis wydarzenia sesji zawiera dane kontaktowe klienta (patrz pkt 6.1) — jeżeli Fotograf włączy synchronizację, dane te trafią również do jego kalendarza u dostawcy zewnętrznego. Szczegóły integracji z Google — pkt 16.

2.8. Zespół (makijażystka, fryzjer, asystentka)

Fotograf może wpisać adresy e-mail współpracowników, żeby otrzymywali powiadomienia o terminach, oraz udostępnić im publiczny link do kalendarza w ograniczonym widoku. Za podstawę prawną i poinformowanie tych osób odpowiada Fotograf.

2.9. Mailing do klientów

Moduł mailingu pozwala Fotografowi wysłać wiadomość do własnej bazy klientów. Olami.pl dostarcza wyłącznie mechanizm wysyłki — treść, podstawa prawna i zgody marketingowe leżą po stronie Fotografa.

2.10. Portfolio publiczne

Fotograf może opublikować portfolio dostępne pod publicznym adresem. Publikowane są wyłącznie te treści i zdjęcia, które Fotograf sam wybierze. Jeżeli zdjęcie przedstawia osobę, za zgodę na publikację odpowiada Fotograf (patrz pkt 2.6).

2.11. Kursy online

Zalogowany Fotograf może kupować kursy wideo innych fotografów oraz — po włączeniu modułu — sprzedawać własne. Płatność obsługuje Stripe (Stripe Checkout); Olami.pl nie widzi i nie przechowuje danych karty. Zapisujemy zamówienie (kwota, prowizja, identyfikator transakcji, status) oraz postęp oglądania lekcji (moment, w którym przerwałeś odtwarzanie), żeby wznowić film w tym samym miejscu. Wideo jest szyfrowane, a dostęp do niego wymaga podpisanego, wygasającego tokenu.

2.12. Płatności, portfel i faktury

Doładowania portfela i zakup abonamentu obsługują operatorzy płatności (PayU, Stripe). Do Serwisu wracają wyłącznie identyfikator i status transakcji. Do doładowań i zakupów wystawiamy faktury/rachunki, które przechowujemy przez okres wymagany przepisami podatkowymi.

2.13. Analityka odwiedzin stron publicznych

Na stronach publicznych (strona główna, cennik, blog, FAQ itp.) zliczamy wizyty, żeby wiedzieć, skąd przychodzą użytkownicy. Zapisujemy: adres wejścia, adres strony odsyłającej i jej domenę, parametry kampanii (UTM, gclid, fbclid), frazę wyszukiwania (jeśli została przekazana), typ urządzenia, skrócony opis przeglądarki oraz adres IP wyłącznie w postaci nieodwracalnego skrótu (hash). Nie śledzimy w ten sposób osób zalogowanych ani stron panelu. Używamy do tego dwóch własnych plików cookie: ol_vid (identyfikator przeglądarki, 1 rok) oraz ol_visit (identyfikator wizyty, 30 minut). Nie korzystamy z tych danych do profilowania reklamowego i nie przekazujemy ich sieciom reklamowym.

3. Kontakt w sprawach ochrony danych

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). Wszelkie pytania dotyczące przetwarzania danych, a także wnioski o realizację praw z pkt 10, prosimy kierować na adres: kontakt.olami.pl@gmail.com.

4. Zakres danych zbieranych od Fotografa

• Dane rejestracyjne i kontaktowe: imię i nazwisko (lub nazwa firmy), adres e-mail, hasło (zapisane jako skrót argon2id — Administrator nigdy nie ma dostępu do hasła w postaci jawnej).
• Dane profilowe (opcjonalnie): miasto, telefon, zdjęcie profilowe, opis, linki do mediów społecznościowych.
• Dane rozliczeniowe (opcjonalnie): dane do rachunku/faktury, w tym NIP, REGON, adres, numer rachunku bankowego.
• Dane finansowe: historia doładowań Portfela, historia zakupów i sprzedaży kursów, identyfikatory transakcji operatorów płatności. Administrator nie przetwarza i nie przechowuje danych kart płatniczych — obsługują je wyłącznie PayU i Stripe.
• Identyfikator konta Stripe (dla Fotografów sprzedających kursy) — potrzebny do przekazania należności ze sprzedaży.
• Dane techniczne (zbierane automatycznie): adres IP, rodzaj przeglądarki, system operacyjny, data i godzina dostępu, identyfikatory cookies sesji.
• Dane o korzystaniu z Serwisu: liczba sesji, wykorzystana powierzchnia dyskowa, użyte funkcje, data ostatniej aktywności.
• Komunikacja: treść zapytań, zgłoszeń, sugestii i reklamacji wraz z załącznikami, korespondencja e-mail.
• Dane wprowadzone przez Fotografa o jego klientach — patrz pkt 6 i 7.

5. Cele i podstawy prawne przetwarzania danych Fotografa

6. Dane osób korzystających z linków Fotografa — punkt po punkcie

Ta część jest dla Ciebie, jeżeli nie masz konta w Olami.pl, a trafiłeś/aś tu przez link od fotografa. Poniżej opisujemy każde miejsce, w którym prosimy o dane: co podajesz, kto tym administruje, po co, jak długo to trzymamy i jak możesz to zmienić.

Zasada wspólna dla całego pkt 6: administratorem tych danych jest Fotograf, który udostępnił Ci link. Olami.pl przetwarza je jako procesor — na jego polecenie, w celu obsługi narzędzia. Wnioski o dostęp, sprostowanie, usunięcie danych lub cofnięcie zgody kieruj do Fotografa; możesz też napisać do nas na kontakt.olami.pl@gmail.com, a przekażemy zgłoszenie.

6.1. Zapis na sesję (rezerwacja terminu)

• Co podajesz: imię i nazwisko, adres e-mail, numer telefonu (pola obowiązkowe), opcjonalnie uwagi do zgłoszenia, a także wybrany rodzaj sesji, termin i pakiet. Zaznaczasz również obowiązkową zgodę na kontakt w sprawie rezerwacji.
• Po co: żeby Fotograf mógł potwierdzić lub odrzucić termin i skontaktować się z Tobą w sprawie sesji.
• Co się dzieje dalej: na podany e-mail wysyłamy link potwierdzający — dopóki go nie klikniesz, zgłoszenie ma status niepotwierdzonego i wygasa automatycznie po czasie ustawionym przez Fotografa. Po Twoim potwierdzeniu Fotograf otrzymuje powiadomienie i akceptuje lub odrzuca termin. Po akceptacji Twoje imię i nazwisko trafia jako tytuł wydarzenia do kalendarza Fotografa, a e-mail, telefon, wybrany pakiet i uwagi — do opisu tego wydarzenia. Jeżeli Fotograf ma włączoną synchronizację kalendarza, wydarzenie (wraz z tymi danymi) pojawi się także w jego kalendarzu Google lub iCloud. Jeśli zaznaczysz pakiet z makijażem lub fryzurą, informacja o terminie trafi e-mailem również do współpracowników Fotografa (makijażystki, fryzjerki, asystentki).
• Jak długo: zgłoszenia niepotwierdzone i odrzucone — do czasu ich usunięcia przez Fotografa; zgłoszenia zaakceptowane — jak dane klienta Fotografa, czyli do usunięcia przez Fotografa albo do usunięcia jego konta.

6.2. Zapis na warsztat

• Co podajesz: imię i nazwisko, adres e-mail, numer telefonu; opcjonalnie uwagi. Zapisujemy też język, w którym wypełniałeś/aś formularz, żeby wysyłać wiadomości w tym samym języku.
• Po co: żeby organizator warsztatu mógł potwierdzić Twój udział, prowadzić listę uczestników i odnotować wpłatę zadatku, jeśli warsztat go wymaga.
• Co się dzieje dalej: dostajesz e-mail z linkiem potwierdzającym zapis. Organizator widzi Cię na liście uczestników wraz ze statusem (oczekujący / potwierdzony / obecny / anulowany) i oznaczeniem wpłaty zadatku.
• Jak długo: do usunięcia przez organizatora albo do usunięcia jego konta w Olami.pl.

6.3. Galeria i wybór zdjęć

• Co podajesz: nie musisz się logować ani zakładać konta — wchodzisz przez link z unikalnym tokenem. Zapisujemy Twój wybór zdjęć, komentarze, które dodasz do zdjęć, oraz oznaczenia „ulubione".
• Co jeszcze zapisujemy: datę pierwszego otwarcia galerii i liczbę otwarć. Fotograf widzi tę informację w panelu, żeby wiedzieć, czy link do Ciebie dotarł. Nie zapisujemy przy tym Twojego adresu IP na potrzeby profilowania.
• Zgody na publikację zdjęć: jeżeli Fotograf o nie poprosi, przy zatwierdzaniu wyboru zaznaczasz dobrowolnie, czy zgadzasz się na publikację zdjęć (np. w portfolio, na Facebooku, Instagramie). Zapisujemy treść pytania i Twoją odpowiedź. Zgodę możesz wycofać w każdej chwili u Fotografa.
• Jak długo: do usunięcia sesji przez Fotografa albo do usunięcia jego konta. Zdjęcia niewybrane mogą być automatycznie usuwane po 30 dniach od zakończenia selekcji.

6.4. Dane do wysyłki i zamówienie odbitek

• Co podajesz: imię i nazwisko odbiorcy, telefon, e-mail oraz — zależnie od wybranej metody — ulicę, kod pocztowy i miasto albo kod i adres paczkomatu; opcjonalnie uwagi do przesyłki. Przy odbiorze osobistym adres nie jest wymagany.
• Po co: wyłącznie po to, żeby Fotograf mógł zrealizować i wysłać zamówienie.
• Komu przekazujemy: dane widzi Fotograf realizujący zamówienie. Olami.pl nie nadaje przesyłek i nie przekazuje tych danych firmom kurierskim — robi to Fotograf we własnym zakresie.
• Jak długo: do usunięcia zamówienia lub sesji przez Fotografa albo do usunięcia jego konta.

6.5. Odbiór gotowych zdjęć

• Co podajesz: nic — wchodzisz przez link z tokenem.
• Co się dzieje: link jest ważny przez ograniczony czas (domyślnie 7 dni). Po jego wygaśnięciu pliki są automatycznie usuwane z serwera przez zadanie cykliczne. Jeżeli potrzebujesz zdjęć ponownie, poproś Fotografa o nowy link.

6.6. Publiczny kalendarz zespołu (makijażystka, fryzjerka, asystentka)

• Skąd mamy Twoje dane: Twój adres e-mail wpisał Fotograf w ustawieniach swojego zespołu.
• Po co: żeby wysyłać Ci powiadomienia o terminach, przy których jesteś potrzebny/a, oraz umożliwić podgląd kalendarza w ograniczonym zakresie (widzisz terminy, nie widzisz pełnych danych klientów).
• Jak zrezygnować: poproś Fotografa o usunięcie Twojego adresu z ustawień zespołu.

6.7. Formularz kontaktowy Olami.pl

• Co podajesz: imię, adres e-mail, opcjonalnie telefon i temat, treść wiadomości. Automatycznie zapisujemy adres IP i język formularza.
• Kto administruje: tutaj administratorem jest Olami.pl (nie Fotograf).
• Po co: odpowiedź na Twoje zapytanie (art. 6 ust. 1 lit. f RODO — uzasadniony interes w postaci komunikacji), zapis IP — dla ochrony przed nadużyciami formularza.
• Jak długo: do 12 miesięcy od zakończenia korespondencji, chyba że wiadomość dotyczy reklamacji lub sporu — wtedy do czasu przedawnienia roszczeń.

6.8. Zakup kursu online

• Kto może kupić: wyłącznie zalogowany Fotograf — czyli osoba, która ma już konto w Olami.pl.
• Co zapisujemy: zamówienie (kwota, prowizja serwisu, identyfikator i status transakcji Stripe) oraz postęp oglądania lekcji.
• Czego nie widzimy: danych karty płatniczej — cała płatność odbywa się po stronie Stripe.
• Kto widzi Twoje dane: autor kursu widzi fakt zakupu i dane rozliczeniowe niezbędne do rozliczenia sprzedaży; nie widzi Twoich danych karty.
• Jak długo: dane zamówienia i faktury — 5 lat od końca roku rozliczeniowego (obowiązek podatkowy); postęp oglądania — do usunięcia konta.

6.9. Opinie o Olami.pl

• Co podajesz: ocenę w skali 1–5 i treść opinii. Opinię może wystawić wyłącznie zalogowany Fotograf.
• Co jest publiczne: po zatwierdzeniu przez moderatora opinia może być publikowana na stronach Olami.pl wraz z imieniem i nazwiskiem lub nazwą firmy autora.
• Jak wycofać: opinię możesz usunąć samodzielnie w panelu w każdej chwili.

7. Powierzenie przetwarzania danych Klientów Fotografa

Fotograf, wprowadzając do Serwisu dane swoich Klientów (imię, nazwisko, e-mail, telefon, adres, zdjęcia), działa jako administrator tych danych. Olami.pl pełni w stosunku do nich rolę podmiotu przetwarzającego (procesora), w zakresie określonym poniższą umową powierzenia. Zawarcie umowy o świadczenie usług (założenie Konta) jest równoznaczne z zawarciem tej umowy powierzenia.

Umowa powierzenia przetwarzania danych osobowych

§1. Fotograf (dalej: „Administrator danych") powierza Olami.pl (dalej: „Procesorowi") przetwarzanie danych osobowych Klientów Fotografa wyłącznie w celu i zakresie niezbędnym do realizacji usług zgodnie z Regulaminem.

§2. Procesor przetwarza dane: imię, nazwisko, adres e-mail, telefon, adres dostawy, wizerunek utrwalony na zdjęciach, treść komentarzy i uwag, odpowiedzi na pytania o zgody oraz inne dane wprowadzone do Serwisu przez Administratora danych lub przez jego Klientów za pośrednictwem udostępnionych formularzy.

§3. Procesor zobowiązuje się do:

• przetwarzania danych wyłącznie na udokumentowane polecenie Administratora danych,
• zapewnienia poufności przez osoby upoważnione do przetwarzania,
• wdrożenia adekwatnych środków technicznych i organizacyjnych (art. 32 RODO): szyfrowanie SSL/TLS, kontrola dostępu, logi audytowe, kopie zapasowe, hashowanie haseł,
• pomocy Administratorowi danych w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie),
• zgłaszania naruszeń ochrony danych w terminie 72 godzin od ich wykrycia,
• usunięcia lub zwrotu danych po zakończeniu umowy.

§4. Procesor może korzystać z dalszych procesorów wymienionych w pkt 11 niniejszej Polityki. Lista jest aktualizowana — Administrator danych ma prawo wnieść sprzeciw wobec każdej zmiany w terminie 30 dni od jej ogłoszenia.

§5. Umowa powierzenia wygasa wraz z zakończeniem korzystania przez Administratora danych z Serwisu.

8. Usunięcie konta i danych

Konto w Olami.pl możesz usunąć w każdej chwili — bez podawania przyczyny i bez okresu wypowiedzenia.

8.1. Jak to zrobić

• wysyłając wiadomość z adresu e-mail przypisanego do konta na kontakt.olami.pl@gmail.com — wystarczy informacja, że chcesz usunąć konto; nie musisz podawać powodu, albo
• przez panel: Profil → zakładka „Usuń konto", gdzie znajdziesz instrukcję zgłoszenia.

Żądanie realizujemy niezwłocznie, nie później niż w terminie 30 dni od jego otrzymania i potwierdzenia tożsamości.

8.2. Co zostaje usunięte

• konto i dane profilowe (imię i nazwisko, e-mail, telefon, zdjęcie profilowe, media społecznościowe, dane do faktur),
• wszystkie sesje, galerie i wgrane zdjęcia (oryginały, miniatury i pliki z dostarczania),
• baza klientów wraz z danymi kontaktowymi i notatkami,
• zapisy online, warsztaty i listy uczestników,
• wydarzenia kalendarza w Olami.pl oraz połączenia z kalendarzem Google/iCloud (odłączamy integrację),
• portfolio publiczne i jego zawartość,
• zamówienia odbitek, adresy dostawy i odpowiedzi na pytania o zgody,
• kursy wystawione na sprzedaż — zostają wycofane z marketplace'u.

8.3. Co musimy zachować mimo usunięcia konta

• Faktury i dane rozliczeniowe — przez 5 lat od końca roku rozliczeniowego, ponieważ wymagają tego przepisy podatkowe. Przechowujemy je w zakresie ograniczonym wyłącznie do celów księgowych.
• Zapisy w logu bezpieczeństwa — zgodnie z ustawioną retencją logów (domyślnie 90 dni), w celu wykrywania nadużyć.
• Dane niezbędne do obrony przed roszczeniami — do czasu przedawnienia (do 6 lat), jeżeli między Tobą a Administratorem toczy się lub może toczyć spór.
• Dane zakończonych transakcji sprzedaży kursów — w zakresie potrzebnym do rozliczenia z kupującymi i operatorem płatności.

8.4. Zanim usuniesz konto

Usunięcie jest nieodwracalne — zdjęć i galerii nie da się odtworzyć. Jeżeli Twoi klienci mają jeszcze aktywne linki do galerii lub pobierania, przestaną one działać. Zalecamy wcześniejsze pobranie zdjęć i wyeksportowanie danych, które chcesz zachować (masz do tego prawo — patrz pkt 10, prawo do przenoszenia danych).

8.5. Usunięcie danych osoby, która nie ma konta

Jeżeli zapisałeś/aś się na sesję lub warsztat i chcesz, żeby Twoje dane zostały usunięte — zgłoś to Fotografowi, u którego się zapisałeś/aś (to on jest administratorem tych danych). Możesz też napisać do nas, a przekażemy zgłoszenie i pomożemy je zrealizować.

9. Okresy przechowywania — zestawienie

10. Prawa osób, których dane dotyczą

Każda osoba, której dane przetwarza Administrator, ma prawo do:

• Dostępu do swoich danych (art. 15 RODO),
• Sprostowania nieprawidłowych danych (art. 16 RODO),
• Usunięcia danych — „prawo do bycia zapomnianym" (art. 17 RODO); w przypadku Konta Fotografa realizujesz je samodzielnie w każdej chwili — patrz pkt 8,
• Ograniczenia przetwarzania (art. 18 RODO),
• Przenoszenia danych — otrzymania danych w formacie ustrukturyzowanym (art. 20 RODO),
• Sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO),
• Cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem,
• Wniesienia skargi do Prezesa UODO (zob. pkt 17).

Wnioski kieruj na adres kontakt.olami.pl@gmail.com. Odpowiadamy w terminie 30 dni, z możliwością przedłużenia o kolejne 60 dni w przypadkach uzasadnionych złożonością wniosku. Jeżeli wniosek dotyczy danych, dla których administratorem jest Fotograf (pkt 6), przekażemy zgłoszenie do właściwego Fotografa.

11. Odbiorcy danych (dalsi procesorzy)

Lista może ulec zmianie — aktualną wersję publikujemy w niniejszej Polityce. Poza wymienionymi podmiotami nie udostępniamy danych osobom trzecim, w szczególności nie sprzedajemy danych i nie przekazujemy ich sieciom reklamowym.

12. Przekazywanie danych poza EOG

Część dostawców (Stripe, Google, Apple) może przetwarzać dane w USA lub innych krajach poza EOG. Przekazania odbywają się na podstawie:

• decyzji Komisji Europejskiej o adekwatnym poziomie ochrony (EU-US Data Privacy Framework), lub
• standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską.

13. Bezpieczeństwo danych

• szyfrowanie transmisji protokołem TLS (HTTPS),
• hashowanie haseł algorytmem argon2id — Administrator nie zna haseł w postaci jawnej,
• tokeny CSRF chroniące formularze przed atakami międzywitrynowymi,
• ograniczenie liczby prób logowania (rate limiting) oraz ochrona formularzy publicznych przed automatami,
• regeneracja identyfikatora sesji po zalogowaniu,
• weryfikacja uprawnień przy każdej operacji na zasobach (sprawdzenie właściciela danych),
• dostęp do galerii, zapisów i plików wyłącznie przez losowe, trudne do odgadnięcia tokeny,
• szyfrowanie plików wideo kursów (AES-128) i dostęp wyłącznie przez podpisane, wygasające adresy,
• weryfikacja webhooków PayU (MD5) i Stripe (HMAC-SHA256),
• logi audytowe istotnych operacji,
• regularne kopie zapasowe,
• blokada bezpośredniego dostępu HTTP do katalogów wrażliwych.

14. Analityka odwiedzin i pliki cookies

Szczegółowy zakres analityki odwiedzin opisaliśmy w pkt 2.13. Zasady wykorzystania plików cookies — w tym listę stosowanych plików i sposób zarządzania nimi — opisuje odrębna Polityka Cookies.

15. Profilowanie i decyzje automatyczne

Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływały. Statystyki użycia (np. liczba sesji, zużycie powierzchni, źródła wejść) służą wyłącznie celom analitycznym i informacyjnym.

16. Integracja z Google Calendar (Google API)

Serwis umożliwia Fotografowi dobrowolne połączenie konta Google w celu synchronizacji terminów sesji i rezerwacji z kalendarzem Google. Połączenie odbywa się przez protokół OAuth 2.0 — Serwis nigdy nie poznaje hasła do konta Google.

Po połączeniu, w zakresie udzielonej zgody, Serwis wykonuje wyłącznie następujące operacje:

• tworzy i prowadzi dedykowany kalendarz „Olami" na koncie Google Fotografa (zakres calendar.app.created);
• odczytuje listę kalendarzy wyłącznie po to, aby odnaleźć ten dedykowany kalendarz (zakres calendar.calendarlist.readonly);
• dodaje, aktualizuje i usuwa w tym kalendarzu wydarzenia odpowiadające sesjom i rezerwacjom utworzonym w Serwisie.

Serwis nie odczytuje ani nie modyfikuje pozostałych kalendarzy Fotografa, nie pobiera jego kontaktów ani poczty. Połączenie można w każdej chwili rozłączyć w panelu (Profil → Synchronizacja) albo cofnąć uprawnienia bezpośrednio na koncie Google. Analogiczne zasady stosujemy do integracji z kalendarzem iCloud (CalDAV).

Korzystanie z danych Google API podlega Google API Services User Data Policy, w tym wymogom Limited Use.

17. Skarga do organu nadzorczego

Masz prawo wnieść skargę do organu nadzorczego, którym w Polsce jest:

Prezes Urzędu Ochrony Danych Osobowych (PUODO)
ul. Stawki 2, 00-193 Warszawa
tel. 22 531 03 00
uodo.gov.pl

18. Zmiany Polityki

Politykę możemy aktualizować — w szczególności wtedy, gdy w Serwisie pojawiają się nowe funkcje. O istotnych zmianach informujemy Fotografów pocztą elektroniczną lub komunikatem w panelu, z co najmniej 14-dniowym wyprzedzeniem. Data ostatniej aktualizacji jest widoczna na górze tego dokumentu.