#1. Kto przetwarza Twoje dane
Administratorem Twoich danych osobowych jest Mikołaj Konieczny, prowadzący działalność nierejestrowaną w rozumieniu art. 5 ustawy — Prawo przedsiębiorców, adres do korespondencji: ul. Brzoskwiniowa 31, 60-185 Skórzewo.
Kontakt w sprawach danych osobowych:
- e-mail: kontakt@yuply.pl
- telefon: 737 307 436
- listownie: adres jak wyżej
Nie powołaliśmy inspektora ochrony danych. We wszystkich sprawach dotyczących Twoich danych pisz bezpośrednio na powyższy adres.
#2. Co robimy z Twoimi danymi — pełne zestawienie
Poniższa tabela zawiera wszystko: po co przetwarzamy dane, na jakiej podstawie prawnej, jakie dokładnie dane i jak długo je trzymamy.
| Po co | Podstawa prawna | Jakie dane | Jak długo |
|---|---|---|---|
| Zawarcie i wykonanie umowy najmu — przyjęcie zamówienia, wydanie i zwrot sprzętu, kontakt w sprawie zamówienia | art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy | imię, nazwisko, adres e-mail, numer telefonu, wybrana godzina wydania i zwrotu oraz — wyłącznie przy dowozie — adres dostarczenia sprzętu | 6 lat od końca roku, w którym najem się zakończył — tyle wynosi ogólny termin przedawnienia roszczeń (art. 118 Kodeksu cywilnego) |
| Przyjęcie płatności | art. 6 ust. 1 lit. b RODO | Przy płatności online: imię, nazwisko, adres e-mail, kwota, identyfikator transakcji u operatora oraz rodzaj metody, czyli „BLIK" albo „karta". Przy płatności na miejscu, w chwili odbioru sprzętu: kwota oraz sama informacja, czy zapłaciłeś BLIK-iem, kartą czy gotówką; nie bierze w tym udziału żaden operator. Numeru karty ani kodu BLIK nie widzimy i nie przechowujemy w żadnym z tych przypadków | 6 lat, jak wyżej |
| Potwierdzenie numeru telefonu kodem SMS | art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes, którym jest ograniczenie ryzyka nadużyć i ochrona wynajmowanego sprzętu | numer telefonu, jednorazowy kod i godzina jego użycia | Twój numer telefonu zostaje przy zamówieniu przez 6 lat, razem z resztą jego danych: jest potrzebny do kontaktu w sprawie najmu i do odtworzenia, z kim była zawarta umowa. Krótko żyje wyłącznie sam dowód weryfikacji, czyli osobny zapis z kodem: kod jest ważny 10 minut, a cały ten zapis kasujemy po 30 dniach, bo po tym czasie nie służy już do niczego |
| Ocena ryzyka zamówienia — oznaczanie zamówień, którym obsługa ma się przyjrzeć | art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes, którym jest ograniczenie ryzyka nadużyć i ochrona wynajmowanego sprzętu | adres e-mail i jego domena, wiek konta w naszym serwisie, długość zamawianego najmu oraz liczba wcześniejszych najmów | razem z danymi zamówienia, 6 lat |
| Dowód akceptacji regulaminu i tej polityki — wykazanie, że przed złożeniem zamówienia dostałeś komplet informacji | art. 6 ust. 1 lit. c RODO — obowiązek prawny z ustawy o prawach konsumenta, w związku z zasadą rozliczalności (art. 5 ust. 2 RODO) | numer zamówienia, numery wersji obu dokumentów, data i godzina akceptacji oraz osobne żądanie rozpoczęcia usługi przed upływem terminu odstąpienia | razem z danymi zamówienia, 6 lat |
| Dostęp do listy własnych najmów — link wysyłany na Twój adres e-mail, bez konta i bez hasła | art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy | adres e-mail oraz skrót jednorazowego linku; samego linku nie przechowujemy | kasujemy po użyciu linku albo po jego wygaśnięciu, przy najbliższym przebiegu automatu sprzątającego, który chodzi co godzinę |
| Rejestr operacji na Twoich danych — zapis, kiedy dane zostały wyeksportowane, poprawione albo usunięte | art. 6 ust. 1 lit. c RODO w związku z zasadą rozliczalności (art. 5 ust. 2 RODO) | rodzaj operacji, nazwy zmienionych pól, data i godzina | razem z danymi zamówienia, 6 lat |
| Dokumentowanie stanu sprzętu zdjęciami przed wydaniem i po zwrocie | art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes, którym jest ustalenie, dochodzenie i obrona roszczeń | zdjęcia sprzętu, data, numer zamówienia | 12 miesięcy od dnia zwrotu sprzętu. Tyle wynosi termin przedawnienia roszczeń wynajmującego o naprawienie szkody z powodu uszkodzenia rzeczy (art. 677 Kodeksu cywilnego). Po tym czasie zdjęcia usuwamy |
| Rozpatrywanie reklamacji i odstąpień od umowy | art. 6 ust. 1 lit. c RODO — obowiązek prawny wynikający z ustawy o prawach konsumenta | dane zamówienia, treść zgłoszenia, korespondencja | 1 rok od zakończenia postępowania reklamacyjnego; w razie sporu — do jego prawomocnego zakończenia |
| Rozliczenia podatkowe i ewidencja sprzedaży | art. 6 ust. 1 lit. c RODO — obowiązek prawny | data sprzedaży, kwota, numer zamówienia | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku |
| Zawarcie umowy najmu i ustalenie tożsamości osoby, której wydajemy sprzęt | art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy oraz art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes, którym jest ustalenie, dochodzenie i obrona roszczeń związanych z powierzonym sprzętem | imię i nazwisko, adres zamieszkania, seria i numer dowodu osobistego oraz numer telefonu, spisane przy wydaniu sprzętu do protokołu i umowy najmu. Nie robimy kopii, zdjęcia ani skanu dokumentu i nie zbieramy numeru PESEL | adres oraz seria i numer dowodu: 12 miesięcy od dnia zwrotu sprzętu — tyle wynosi termin przedawnienia roszczeń wynajmującego o naprawienie szkody z powodu uszkodzenia rzeczy (art. 677 Kodeksu cywilnego). Po tym czasie usuwamy je z protokołu. Imię i nazwisko zostaje razem z umową najmu przez 6 lat od końca roku, w którym najem się zakończył |
| Odmowa dalszej obsługi — oznaczenie osoby, od której nie przyjmujemy kolejnych zamówień | art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes, którym jest ochrona wynajmowanego sprzętu i bezpieczeństwo prowadzonej działalności | sam znacznik odmowy oraz zapisany słownie powód, na przykład niezwrócenie sprzętu w terminie mimo wezwań albo oddanie go uszkodzonego i odmowa rozliczenia. Zakładamy go ręcznie, po konkretnym zdarzeniu, nigdy automatycznie. Powód podajemy na Twoje żądanie i możesz się od odmowy odwołać, pisząc na kontakt@yuply.pl | razem z danymi zamówienia, 6 lat |
| Odpowiadanie na wiadomości e-mail | art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes, którym jest udzielenie odpowiedzi na zadane pytanie | dane podane w wiadomości | 1 rok od zakończenia korespondencji |
| Lista oczekujących na rozszerzenie obszaru dowozu — powiadomienie, gdy zaczniemy dowozić pod Twój adres | art. 6 ust. 1 lit. a RODO — Twoja zgoda, wyrażona przez zapisanie się na listę | adres e-mail, kod pocztowy, opcjonalnie miejscowość oraz sprzęt, którego dotyczyło zgłoszenie | do czasu wycofania zgody, nie dłużej niż 24 miesiące od zapisania się |
#3. Czego NIE zbieramy
Nie zbieramy i nie przechowujemy:
- numeru PESEL,
- kopii, skanów ani zdjęć dokumentów tożsamości — ani przesłanych przez stronę, ani zrobionych przez nas przy wydaniu,
- danych o zdrowiu, poglądach, wyznaniu ani żadnych innych danych szczególnych kategorii w rozumieniu art. 9 RODO.
Nie zatrzymujemy dokumentów tożsamości pod zastaw.
Dowód osobisty oglądamy przy wydaniu sprzętu i spisujemy z niego imię, nazwisko, adres oraz serię i numer dokumentu do umowy najmu. Tyle wystarczy, żeby było wiadomo, komu powierzyliśmy sprzęt, i żeby móc dochodzić roszczeń, gdyby nie wrócił. Zdjęcie całego dowodu niesie znacznie więcej danych, niż jest do tego potrzebne, więc go nie robimy.
Adres oraz serię i numer dowodu kasujemy rok po zwrocie sprzętu, bo po tym czasie przedawniają się roszczenia, do których były potrzebne. Nie musisz o to prosić: usuwa je automat, który chodzi codziennie.
W formularzu zamówienia o adres pytamy wyłącznie wtedy, gdy wybierzesz dowóz — i tylko po to, żeby przywieźć sprzęt i go od Ciebie odebrać. Przy odbiorze osobistym formularz o adres nie pyta.
To osobna sprawa od adresu spisywanego z dowodu przy wydaniu sprzętu, o którym mowa wyżej: ten spisujemy przy każdym wydaniu, także wtedy, gdy przyjeżdżasz po sprzęt sam.
#4. Komu przekazujemy dane
Rozróżniamy dwie sytuacje, bo znaczą co innego.
#Podmioty, które przetwarzają dane wyłącznie na nasze polecenie
Z każdym z nich wiąże nas umowa powierzenia przetwarzania danych (art. 28 RODO). U wszystkich tych dostawców umowa powierzenia jest załącznikiem do regulaminu usługi i zaczyna obowiązywać z chwilą założenia konta, razem ze standardowymi klauzulami umownymi. Nie mogą wykorzystywać Twoich danych do własnych celów.
- dostawca systemu poczty transakcyjnej (wiadomości o zamówieniu) — Resend
- dostawca bramki SMS — SMSAPI
- dostawca hostingu i bazy danych — Railway Corporation (serwery w Amsterdamie, Holandia)
#Podmioty, które są odrębnymi administratorami Twoich danych
Otrzymują dane, żeby wykonać własną usługę, i odpowiadają za nie samodzielnie, na podstawie własnych polityk prywatności.
- operator płatności — Stripe Payments Europe, Limited z siedzibą w Dublinie (Irlandia), wraz ze spółkami z grupy Stripe. Przetwarza dane w celu realizacji płatności i wykonania własnych obowiązków ustawowych. Danych Twojej karty ani kodu BLIK nigdy nie widzimy — podajesz je bezpośrednio operatorowi, na jego stronie. W drugą stronę operator przekazuje nam wyłącznie potwierdzenie płatności: identyfikator transakcji, kwotę i rodzaj użytej metody, czyli „BLIK" albo „karta". Nie dostajemy od niego imienia posiadacza karty, jej numeru ani żadnych danych instrumentu płatniczego
- urząd skarbowy — w zakresie wynikającym z przepisów podatkowych
- kancelaria prawna albo sąd — wyłącznie w razie sporu
#5. Czy przekazujemy dane poza Europejski Obszar Gospodarczy
Tak, w ograniczonym zakresie. Piszemy o tym wprost, bo deklaracja „nie przekazujemy danych poza EOG" byłaby w naszym przypadku nieprawdziwa.
Serwery, na których działa strona i baza danych, znajdują się w Amsterdamie w Holandii, czyli na terenie EOG. Zamówienia, dane kontaktowe, zdjęcia sprzętu i dowody akceptacji regulaminu są przechowywane w Europie.
Poza EOG dane trafiają w trzech sytuacjach:
- Resend Inc., dostawca poczty transakcyjnej, ma siedzibę w Stanach Zjednoczonych. Przekazujemy tam Twój adres e-mail oraz treść wiadomości dotyczących zamówienia.
- Railway Corporation, dostawca hostingu, ma siedzibę w Stanach Zjednoczonych. Dane fizycznie pozostają w Amsterdamie, ale personel dostawcy może uzyskać do nich dostęp w celu utrzymania i wsparcia technicznego.
- Stripe, operator płatności, rozlicza transakcje przez spółkę irlandzką, ale w ramach grupy przekazuje dane także do Stripe, Inc. w Stanach Zjednoczonych. Przekazujemy tam Twój adres e-mail, kwotę i opis zamówienia; dane instrumentu płatniczego podajesz operatorowi bezpośrednio, z naszym pominięciem.
Podstawą przekazania są we wszystkich tych przypadkach standardowe klauzule umowne zatwierdzone przez Komisję Europejską, stanowiące element umowy powierzenia przetwarzania zawartej z tymi dostawcami.
Informację o zastosowanych zabezpieczeniach możesz otrzymać, pisząc na kontakt@yuply.pl.
#6. Twoje prawa
Masz prawo:
| Prawo | Co oznacza |
|---|---|
| Dostępu (art. 15 RODO) | Możesz dowiedzieć się, jakie dane o Tobie mamy, i otrzymać ich kopię |
| Sprostowania (art. 16) | Możesz poprawić dane nieprawidłowe i uzupełnić niekompletne |
| Usunięcia (art. 17) | Możesz żądać usunięcia danych — o ile nie musimy ich trzymać z powodu obowiązku prawnego albo dochodzenia roszczeń |
| Ograniczenia przetwarzania (art. 18) | Możesz żądać, żebyśmy dane wyłącznie przechowywali, bez innych operacji |
| Przenoszenia (art. 20) | Możesz otrzymać dane w formacie nadającym się do odczytu maszynowego i przesłać je innemu administratorowi |
| Sprzeciwu (art. 21) | Możesz sprzeciwić się przetwarzaniu opartemu na naszym prawnie uzasadnionym interesie. Wobec marketingu bezpośredniego sprzeciw jest bezwarunkowy — po jego wniesieniu natychmiast przestajemy |
| Wycofania zgody (art. 7 ust. 3) | W każdej chwili, tak łatwo jak jej udzielenie. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania |
Jak skorzystać: napisz na kontakt@yuply.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Jeżeli sprawa jest złożona, możemy przedłużyć ten termin o dwa miesiące — poinformujemy Cię o tym wraz z uzasadnieniem.
#7. Skarga do organu nadzorczego
Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do organu nadzorczego:
Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa uodo.gov.pl
#8. Czy musisz podać dane
Podanie imienia, nazwiska, adresu e-mail i numeru telefonu jest wymogiem umownym — bez tych danych nie jesteśmy w stanie zawrzeć umowy ani wydać Ci sprzętu. Tym samym wymogiem jest okazanie dokumentu tożsamości przy wydaniu sprzętu: bez tego nie wydajemy sprzętu, bo nie wiedzielibyśmy, komu go powierzamy. Adres podajesz tylko wtedy, gdy wybierasz dowóz. Zapisanie się na listę oczekujących jest całkowicie dobrowolne i nie ma wpływu na możliwość złożenia zamówienia.
#9. Czy podejmujemy decyzje automatycznie
Nie. Nie podejmujemy wobec Ciebie decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO).
Zamówienia przechodzą opisaną w punkcie 2 ocenę ryzyka: system sam oznacza te, którym warto się przyjrzeć, na przykład gdy adres e-mail pochodzi z serwisu jednorazowych skrzynek albo gdy pierwsze zamówienie od razu opiewa na najdłuższy możliwy okres.
Oznaczenie nie blokuje niczego samo z siebie i nigdy nie jest Ci pokazywane. To wyłącznie podpowiedź dla obsługi, a decyzję o przyjęciu albo odrzuceniu zamówienia zawsze podejmuje człowiek. Jeżeli uważasz ją za niesłuszną, napisz na kontakt@yuply.pl — przedstawimy powód i rozpatrzymy sprawę ponownie.
Tak samo działa opisana w punkcie 2 odmowa dalszej obsługi: zakłada ją człowiek, po konkretnym zdarzeniu i z powodem zapisanym słowami. Żaden automat nie odetnie Cię od usługi za to, że ma co do Ciebie wątpliwości.
#10. Jak chronimy dane
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:
- szyfrowanie połączenia ze stroną (HTTPS/TLS),
- kontrolę dostępu — dostęp do danych ma wyłącznie administrator i osoba współprowadząca działalność,
- kopie zapasowe całej bazy, przechowywane poza serwerem, z których dane da się odtworzyć w całości razem ze zdjęciami stanu sprzętu,
- umowy powierzenia przetwarzania z każdym dostawcą technicznym,
- ograniczenie zakresu zbieranych danych do niezbędnego minimum.
W razie naruszenia ochrony danych, które może powodować ryzyko naruszenia Twoich praw, zgłaszamy je Prezesowi UODO w ciągu 72 godzin, a jeżeli ryzyko jest wysokie — zawiadamiamy również Ciebie.
#11. Pliki cookies
Zasady korzystania z plików cookies i podobnych technologii opisuje osobny dokument: Polityka cookies.
#12. Zmiany polityki
Możemy zmienić tę politykę, na przykład gdy zmienią się przepisy albo zakres naszej działalności. O każdej zmianie poinformujemy na stronie z 14-dniowym wyprzedzeniem, a jeżeli zmiana będzie dotyczyć przetwarzania opartego na Twojej zgodzie — poprosimy o zgodę ponownie.
Archiwalne wersje polityki udostępniamy na żądanie.