Polityka prywatności (RODO)

Zadomo działa w trybie Early Access (wczesny dostęp). Konto i wszystkie publikacje są obecnie bezpłatne, bez limitu liczby publikacji; Serwis nie prowadzi sprzedaży ani nie przyjmuje płatności. Ten dokument opisuje, jakie dane przetwarzamy i na jakiej podstawie.

1. Administrator danych

Administratorem danych osobowych przetwarzanych w Serwisie jest LOCALIZE.PL Agenor Hofmann-Delbor, ul. Włościańska 57/13, 70-021 Szczecin, NIP 955-188-57-14 (jednoosobowa działalność gospodarcza). Kontakt w sprawach danych osobowych: info@localize.pl.

2. Jakie dane przetwarzamy

• Konto: imię i nazwisko (lub nazwa agencji), adres e-mail, opcjonalnie numer telefonu, hasło (przechowywane w postaci zahaszowanej algorytmem Argon2id — nigdy w postaci jawnej).
• Ogłoszenia: treść ogłoszenia, dane nieruchomości, zdjęcia (automatycznie pozbawiane metadanych EXIF/GPS przed publikacją).
• Zapytania kontaktowe (leady): imię, adres kontaktowy (e-mail lub telefon) podany przez osobę wysyłającą zapytanie, treść wiadomości.
• Dane techniczne: adres IP (do ograniczania liczby prób logowania i zapytań — ochrona przed nadużyciami), logi błędów serwera (bez adresu e-mail/IP w formie jawnej — dane te są maskowane w logach).
• Zgłoszenia uwag: treść zgłoszenia, adres strony, z której je wysłano, identyfikator konta oraz pełny adres IP nadawcy. Zgłoszenia przyjmujemy wyłącznie od zalogowanych Użytkowników. Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — obsługa zgłoszenia oraz reagowanie na nadużycia formularza. Adres IP usuwamy po 90 dniach; treść zgłoszenia zachowujemy dłużej, bo służy rozwojowi Serwisu.
• Analityka (po zgodzie): odwiedzane podstrony, zdarzenia w Serwisie, źródło wizyty, przybliżona lokalizacja oraz informacje o urządzeniu i przeglądarce zbierane przez Google Analytics 4.
• Dziennik zdarzeń: zapisujemy zdarzenia związane z bezpieczeństwem i działaniem konta (np. rejestracja, logowanie, dodanie ogłoszenia, wysłanie zapytania) wraz z identyfikatorem konta i zamaskowanym adresem IP — w celu zapewnienia bezpieczeństwa Serwisu i rozliczalności (art. 5 ust. 2 RODO); wpisy nie zawierają treści wiadomości ani danych kontaktowych.

3. Cel i podstawa prawna przetwarzania

• Świadczenie usługi (założenie konta, publikacja ogłoszeń, przekazywanie zapytań kontaktowych) — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Bezpieczeństwo Serwisu (ograniczanie liczby prób logowania, ochrona przed spamem i nadużyciami) — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
• Pomiar korzystania z Serwisu i jego ulepszanie za pomocą Google Analytics — art. 6 ust. 1 lit. a RODO (dobrowolna zgoda, którą można w każdej chwili wycofać).

4. Komu przekazujemy dane

Dane przechowywane są u następujących podwykonawców (podprocesorów):

• Supabase — baza danych i przechowywanie zdjęć, region UE (Sztokholm, Szwecja).
• Vercel — hosting aplikacji (dostawca z siedzibą w USA).
• Upstash — limitowanie liczby żądań (ochrona przed nadużyciami), region UE; nie przechowuje treści wiadomości.
• Resend — wysyłka powiadomień e-mail o zdarzeniach w koncie (dostawca z siedzibą w USA); przetwarza adres e-mail odbiorcy i treść powiadomienia.
• Google Analytics 4 (Google Ireland Limited) — statystyki korzystania z Serwisu, uruchamiane wyłącznie po zgodzie użytkownika.

Każdy z podprocesorów przetwarza dane na podstawie umowy powierzenia przetwarzania (DPA) zawartej z administratorem. Dane nie są przekazywane podmiotom trzecim w celach marketingowych.

Mapy. Mapa na stronie ogłoszenia korzysta z kafelków OpenFreeMap (dane © współtwórcy OpenStreetMap). Podczas wyświetlania mapy Twoja przeglądarka pobiera kafelki bezpośrednio z serwerów OpenFreeMap, co wiąże się z ujawnieniem temu dostawcy Twojego adresu IP; dostawca nie używa plików cookie ani nie prowadzi kont użytkowników. Adres nieruchomości podany w ogłoszeniu jest zamieniany na współrzędne (geokodowany) po stronie naszego serwera w usłudze Nominatim (OpenStreetMap Foundation) — zapytanie nie zawiera danych osoby przeglądającej Serwis.

Filmy. Ogłoszenie może zawierać film osadzony z YouTube (Google) w trybie rozszerzonej prywatności albo z Vimeo. Przy wyświetleniu playera przeglądarka łączy się bezpośrednio z wybranym dostawcą, przekazując mu adres IP i dane techniczne urządzenia. Serwis nie przekazuje w adresie strony źródłowej ani identyfikatora konta; zewnętrzny player jest ładowany leniwie i z polityką no-referrer.

4a. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

Vercel i Resend oraz korzystanie z infrastruktury Google mogą wiązać się z przetwarzaniem danych w Stanach Zjednoczonych. Odpowiednie mechanizmy transferu i zabezpieczenia określają umowy powierzenia oraz warunki tych dostawców. W przypadku Vercel i Resend przekazywanie odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską, stanowiących część umów powierzenia zawartych z tymi dostawcami (art. 46 ust. 2 lit. c RODO). Baza danych i zdjęcia (Supabase) oraz mechanizm limitowania żądań (Upstash) pozostają w regionie UE.

5. Okres przechowywania

Dane konta i ogłoszeń przechowujemy przez czas istnienia konta. Zapytania kontaktowe przechowujemy przez czas potrzebny do obsługi zapytania, nie dłużej niż to konieczne dla celu, w jakim zostały przekazane. Wpisy w dzienniku zdarzeń przechowujemy przez 90 dni, po czym są automatycznie usuwane. Adres IP zapisany przy zgłoszeniu uwagi usuwamy również po 90 dniach — treść zgłoszenia zostaje, bo służy rozwojowi Serwisu. Dane użytkownika i zdarzeń w Google Analytics przechowujemy przez 14 miesięcy; zgodę na przyszłe pomiary można wycofać w każdej chwili.

6. Prawa osoby, której dane dotyczą

Masz prawo do:

• dostępu do swoich danych i uzyskania ich kopii,
• sprostowania danych,
• usunięcia danych („prawo do bycia zapomnianym"),
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

Kopię swoich danych w formacie nadającym się do odczytu maszynowego (JSON) możesz pobrać samodzielnie w panelu: Ustawienia → Twoje dane. Konto wraz ze wszystkimi danymi (ogłoszenia, zdjęcia, zapytania) możesz usunąć samodzielnie w panelu: Ustawienia → Strefa niebezpieczna. Pozostałe prośby dotyczące danych prosimy kierować na info@localize.pl — odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania (art. 12 ust. 3 RODO).

7. Bezpieczeństwo

Stosujemy adekwatne środki techniczne i organizacyjne (art. 32 RODO):

• hasła przechowywane wyłącznie w postaci zahaszowanej (Argon2id), nigdy jawnie;
• sesja oparta o token JWT w ciasteczku httpOnly, secure, sameSite; zmiana hasła unieważnia pozostałe aktywne sesje;
• szyfrowanie transmisji (HTTPS/HSTS), nagłówki bezpieczeństwa i polityka CSP;
• izolacja danych na poziomie bazy (Row Level Security) i ograniczanie liczby żądań (rate limiting) jako ochrona przed nadużyciami;
• opcjonalne logowanie dwuskładnikowe (2FA) oparte o jednorazowe kody z aplikacji authenticator (TOTP); sekret uwierzytelniający przechowujemy w postaci zaszyfrowanej (AES-256-GCM);
• usuwanie metadanych EXIF/GPS ze zdjęć przed publikacją.

8. Zgłaszanie naruszeń

W przypadku wykrycia naruszenia ochrony danych osobowych administrator zobowiązuje się zgłosić je do UODO w terminie 72 godzin od wykrycia, zgodnie z art. 33 RODO, jeśli naruszenie może skutkować ryzykiem dla praw i wolności osób, których dane dotyczą.

9. Cookies

Informacje o plikach cookies używanych w Serwisie znajdują się w Polityce Cookies. Google Analytics pozostaje wyłączone do czasu udzielenia dobrowolnej zgody.