Polityka prywatności (RODO)

Wersja 0, obowiązuje od 2026-10-24.

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych w serwisie DroneFlow jest Adrian Kondrasiuk, Laski 18, 21-200 Parczew.

W sprawach dotyczących danych osobowych napisz na rodo@droneflow.pl. Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca (art. 12 ust. 3 RODO).

Nie wyznaczyliśmy inspektora ochrony danych — nie mamy takiego obowiązku, bo nie prowadzimy przetwarzania na dużą skalę ani stałego monitorowania osób.

2. Jakie dane zbieramy

Konto

Adres e-mail, imię i nazwisko albo nazwa firmy, hasło (przechowywane wyłącznie jako nieodwracalny skrót bcrypt — nie znamy Twojego hasła i nie możemy go odczytać), a opcjonalnie numer telefonu i zdjęcie profilowe. Do tego preferowany język, data ostatniego logowania, data ostatniej zmiany hasła oraz informacja, czy potwierdziłeś adres e-mail. Datę założenia konta, ostatniego i poprzedniego logowania oraz ostatniej zmiany hasła pokazujemy wyłącznie Tobie, w ustawieniach konta — żebyś zauważył, gdyby ktoś inny wszedł na Twoje konto.

Adres e-mail, nazwa i hasło (albo logowanie przez zewnętrznego dostawcę) są niezbędne do założenia konta — bez nich nie możemy go prowadzić. Pozostałe dane podajesz dobrowolnie. Serwis zapisuje też stan konta (na przykład zawieszenie albo blokadę wraz z powodem) oraz to, czy wiadomość w rozmowie została przeczytana.

Dane firmowe — tylko jeśli sam je podasz. Nazwę firmy, NIP i adres możesz zostawić przy zakładaniu konta (wybierając „konto firmowe") albo później, w ustawieniach konta. Są całkowicie dobrowolne: domyślnie zakładasz konto prywatne, żadne z tych pól nie jest wymagane, nic od nich nie zależy, a konto bez nich działa tak samo. Zbieramy je, bo część osób rozlicza się przez firmę i chce mieć te dane gotowe, zanim pojawi się pierwsza faktura — dziś serwis faktur nie wystawia i nie pośredniczy w płatnościach. Podstawą jest Twoja decyzja o ich podaniu, a usunąć je możesz w tym samym miejscu, w każdej chwili, czyszcząc pola. Znikają też razem z kontem.

Jeśli włączysz weryfikację dwuetapową, przechowujemy dodatkowo sekret aplikacji uwierzytelniającej oraz zahaszowane kody odzyskiwania. Służą wyłącznie ochronie dostępu do Twojego konta.

Zabezpieczenie formularza rejestracji. Przy zakładaniu konta sprawdzamy, czy formularz wypełnia człowiek, a nie program zakładający konta hurtem — usługą Cloudflare Turnstile. Skrypt Cloudflare sprawdza przy tym informacje z Twojej przeglądarki i urządzenia, a Cloudflare otrzymuje Twój adres IP i podstawowe informacje o przeglądarce. Wynik („człowiek” albo „nie”) służy nam wyłącznie do przyjęcia albo odrzucenia formularza. Cloudflare przetwarza te dane na nasze polecenie, a w zakresie doskonalenia własnego wykrywania botów — jako odrębny administrator, na własnych zasadach (Turnstile Privacy Addendum). Odczyt informacji z urządzenia jest tu niezbędny do usługi, o którą prosisz — założenia konta (art. 399 ust. 3 Prawa komunikacji elektronicznej). Nie przyjmujemy też adresów skrzynek tymczasowych („na dziesięć minut") — na taki adres nie doszłoby potwierdzenie konta ani powiadomienia.

Gdy nasza poczta do Ciebie nie dochodzi. Jeżeli wiadomość wysłana na Twój adres wróci z informacją, że skrzynki nie ma, albo oznaczysz naszą wiadomość jako spam, dostawca poczty (Amazon SES) nas o tym powiadamia. Zapisujemy wtedy sam adres, rodzaj zdarzenia i kod odpowiedzi serwera pocztowego — bez treści wiadomości — i przestajemy na ten adres wysyłać. Po zgłoszeniu spamu wycofujemy Twoją zgodę marketingową na e-mail i wyłączamy powiadomienia e-mailem, tak jak gdybyś zrobił to sam; nadal dostaniesz wyłącznie reset hasła i ostrzeżenia o bezpieczeństwie konta. Wpis znika razem z kontem albo wcześniej, na Twoją prośbę (napisz do nas, gdy naprawisz skrzynkę).

Profil operatora

Opis „o mnie", lokalizacja bazowa wskazana ręcznie na mapie (nie jest to geolokalizacja urządzenia — serwis nigdy nie pyta przeglądarki o Twoje położenie), promień działania, nazwy usług wraz z cenami, posiadany sprzęt, zdjęcie w tle profilu, realizacje (tytuł, rodzaj oraz należące do nich zdjęcia i materiały wideo), oświadczenia o posiadanych uprawnieniach i ubezpieczeniu OC oraz — jeśli go wybierzesz — status działalności („przedsiębiorca (firma)” albo „osoba nieprowadząca działalności gospodarczej”). Przy pierwszym z nich profil i karty operatora pokazują odznakę „Firma”.

Wszystko z tej listy jest publiczne — profil operatora ma być wizytówką. Zdjęcie w tle pojawia się dopiero po sprawdzeniu przez moderację; materiały wideo pojawiają się od razu, a sprawdzane są dopiero po zgłoszeniu (część 4).

Nie przyjmujemy i nie przechowujemy skanów dokumentów. Wcześniej serwis zbierał kopie certyfikatów i uprawnień; zrezygnowaliśmy z tego, a zebrane wcześniej pliki zostały trwale usunięte. Operator składa dziś wyłącznie oświadczenie — a serwis go nie weryfikuje i nie oznacza nikogo jako „zweryfikowanego".

Strony miast. Profil operatora może się też pojawić na publicznej stronie miasta (np. „Operatorzy dronów we Wrocławiu”), jeżeli Twój punkt bazowy leży w promieniu tego miasta, profil jest uzupełniony, a Ty korzystałeś z serwisu w ostatnich 60 dniach. Żeby to sprawdzić, serwis patrzy na datę ostatniego logowania lub odświeżenia sesji — tej daty nigdzie nie publikujemy; strona pokazuje tylko to, co i tak jest na Twoim profilu. Po 60 dniach bez logowania profil znika ze strony miasta, ale zostaje na liście operatorów i na mapie.

Status działalności to Twoja deklaracja, nie dane firmowe. Odznaki „Firma” nie wyliczamy z NIP-u ani z danych firmy podanych w ustawieniach konta — te dane służą wyłącznie przyszłym fakturom i nie są publikowane. Publicznie widać tylko sam wybór („przedsiębiorca” albo „osoba nieprowadząca działalności gospodarczej”); serwis go nie weryfikuje. Możesz go w każdej chwili zmienić albo usunąć w edycji profilu.

Porównanie stawek — TYLKO za Twoją zgodą. Dane z Twojego panelu są prywatne: nie widzi ich klient, a obsługa serwisu nie ma do nich dostępu w swoich narzędziach. Jest od tego jeden wyjątek i wymaga on Twojej wyraźnej zgody: możesz pozwolić, by Twoje stawki kosztów i kwoty zleceń dopisanych ręcznie liczyły się do median pokazywanych innym operatorom — a w zamian sam widzisz te mediany i wiesz, jak wypadasz. Co wchodzi: stawki kosztów (za kilometr, za godzinę, amortyzacja, montaż, koszty stałe) oraz kwoty zleceń dopisanych ręcznie. Co nie wchodzi w ogóle: nazwy Twoich klientów, tytuły i notatki zleceń, kalendarz oraz sprzęt z numerami seryjnymi. Nikt nie zobaczy Twojej pojedynczej wartości — wyłącznie mediany, i to dopiero wtedy, gdy złoży się na nie co najmniej pięć innych osób z kontem starszym niż 30 dni. Twoje własne dane do mediany, którą widzisz, nie wchodzą, a wynik zaokrąglamy do dwóch cyfr znaczących — żeby nawet ktoś, kto założy kilka kont specjalnie po to, nie odczytał niczyjej dokładnej kwoty. Nie ma tu rankingu ani listy nazwisk. Zgoda jest dobrowolna: bez niej serwis działa dokładnie tak samo, żadna funkcja od niej nie zależy. Możesz ją wycofać w każdej chwili jednym kliknięciem w panelu; wycofanie działa na przyszłość, czyli od tej chwili Twoje dane przestają wchodzić do median. Zapisujemy zarówno udzielenie, jak i wycofanie — żebyśmy mogli wykazać, od kiedy do kiedy wolno nam było.

Oświadczenia przed pierwszą ofertą. Zanim złożysz pierwszą Ofertę, potwierdzasz w osobnym oknie oświadczenia z §4 Regulaminu (uprawnienia, ubezpieczenie OC, samodzielne uzyskanie zgód na lot oraz to, że serwis niczego z tego nie sprawdza). Zapisujemy datę potwierdzenia i wersję Regulaminu, która wtedy obowiązywała — po to, by dało się wykazać, pod jaką treścią podpisałeś się w tamtej chwili. Ten zapis nie jest widoczny publicznie ani dla klienta. Zapisujemy także WYCOFANIE tych oświadczeń. Jeżeli zdejmiesz w swoim profilu oświadczenie o uprawnieniach albo o ubezpieczeniu OC, dopisujemy do rejestru osobny wpis z datą — a przy najbliższej Ofercie poprosimy Cię o potwierdzenie oświadczeń ponownie. Wcześniejszego potwierdzenia nie kasujemy: rejestr pokazuje, co i kiedy obowiązywało, a nie tylko stan na dziś. Dzięki temu przy sporze o zlecenie z zeszłego miesiąca da się odtworzyć stan z tamtego dnia, a nie z chwili, w której ktoś o to pyta. Całą swoją historię oświadczeń widzisz w kopii danych, którą możesz pobrać z konta.

Panel operatora — Twój prywatny warsztat

Jeżeli jesteś Operatorem, panel daje Ci miejsce do prowadzenia własnej pracy. Zapisujemy w nim to, co sam do niego wpiszesz:

• własne zlecenia dopisane ręcznie: tytuł, kategoria, termin, miejsce (miasto, a gdy wybierzesz podpowiedź adresu — także punkt na mapie), kwota, notatka oraz nazwa klienta, którą podajesz sam — także klienta spoza Serwisu;
• wydarzenia kalendarza (urlop, serwis, montaż, rezerwa, inne);
• checklisty, notatki i oznaczenie „zapłacone" przy zleceniach z Serwisu;
• Twoje stawki kosztów i nakład pracy (kilometry, godziny dojazdu, pracy i montażu) — służą wyłącznie do policzenia Twojej własnej rentowności;
• sprzęt: nazwa i model, numer seryjny, liczniki (loty, nalot, cykle baterii), stan oraz terminy przeglądów.

To widzisz wyłącznie Ty. Nie widzi tego Klient, obsługa Serwisu nie ma do tego dostępu w swoich narzędziach, a nic z tego nie pojawia się na Twoim profilu — w szczególności numery seryjne sprzętu. Pilnują tego polityki bazy danych, a nie tylko interfejs.

Liczniki, terminy i kwoty wpisujesz sam. Serwis nie łączy się z Twoim sprzętem, niczego nie zlicza i nie sprawdza — przechowuje to, co podałeś.

Jeżeli wpisujesz do własnych zleceń nazwę klienta spoza Serwisu, robisz to we własnym zakresie — to Ty decydujesz, czyje dane trafiają do Twojego notatnika. Usunięcie Twojego konta kasuje te wpisy w całości (część 9).

Treści, które publikujesz

• Zlecenia: tytuł, opis, kategoria (w tym nazwa wpisana ręcznie przy wyborze „inne"), termin realizacji, adres i lokalizacja realizacji, budżet oraz do pięciu zdjęć terenu. Otwarte zlecenie widzi każdy, także osoba niezalogowana — ale nie w całości:

Od 25.08.2026 lokalizacja przybliżona jest ustawieniem domyślnym. Wcześniej każde zlecenie zapisywało się z dokładną pinezką, bo formularz nie dawał tego wyboru. Jeśli publikowałeś zlecenie przed tą datą, jego punkt na mapie pozostaje dokładny — możesz to zmienić, wystawiając zlecenie ponownie.

Samo złożenie oferty nie daje operatorowi dostępu do ulicy ani kodu pocztowego — dopiero przyjęcie jego oferty przez Ciebie.

Zwróć jednak uwagę, że opis zlecenia i zdjęcia terenu publikujesz sam i to Ty decydujesz, co w nich umieszczasz. Jeśli wpiszesz tam dokładny adres albo dane, po których da się Cię rozpoznać, będą one widoczne publicznie — powyższe ograniczenia dotyczą pól formularza, a nie treści, które sam w nich wpiszesz. Ze zdjęć usuwamy ukryte metadane, w tym współrzędne GPS, które telefon potrafi zapisać w pliku — ale to, co widać na samym zdjęciu, pozostaje.

• Oferty składane do zleceń wraz z ceną i treścią.
• Przebieg negocjacji ceny przy Ofercie — proponowane kwoty, krótkie uzasadnienia i daty. Widzą go strony danej Oferty (Klient i Operator, który ją złożył), a obsługa serwisu — gdy jest to potrzebne do rozpatrzenia zgłoszenia, sporu albo odwołania lub do ochrony przed nadużyciami (§6 ust. 6b Regulaminu). Zapisujemy go, bo to on pokazuje, skąd wzięła się uzgodniona cena; bez tego przy sporze zostaje słowo przeciwko słowu.
• Wiadomości na czacie — tekst oraz zdjęcia. Rozmowy są prywatne i zdjęcia w nich przesyłane traktujemy inaczej niż te w portfolio czy przy zleceniu:

Kiedy zdjęcie z rozmowy widzi obsługa serwisu. W dwóch sytuacjach. Po pierwsze, zanim zdjęcie dotrze do rozmówcy, ogląda je człowiek z obsługi, jeśli zakwestionuje je automat (patrz część 4). Po drugie — przy rozpatrywaniu sporu, zgłoszenia nadużycia albo prośby o pomoc — obsługa może otworzyć zdjęcie z rozmowy na tych samych zasadach, na jakich od początku może przeczytać jej treść: musi podać powód, a każde takie otwarcie zostaje zapisane wraz z tym powodem i nazwiskiem osoby, która to zrobiła. Osobna, ostrzejsza reguła dla samego obrazka nic by nie zmieniła, skoro w tej samej rozmowie stoi napisane, co na nim widać.

Znajomość adresu pliku nie wystarcza, żeby zdjęcie z rozmowy zobaczyć. Zdjęcie czeka na automatyczne sprawdzenie i staje się widoczne dla rozmówcy dopiero po nim (patrz „Moderacja treści"). Gdy usuniesz konto, wysłane przez Ciebie zdjęcia z rozmów są kasowane z magazynu.

Pamiętaj jednak, że rozmówca widzi zdjęcie na swoim ekranie i może zrobić jego kopię. Żadne zabezpieczenie techniczne tego nie zmienia — wysyłaj w rozmowie tylko to, co jesteś gotów tej osobie pokazać.

• Opinie wystawiane po zakończonym zleceniu.
• Zgłoszenia sporów wraz z uzasadnieniem i przebiegiem mediacji.
• Odpowiedzi w ankietach oraz zgłoszenia konkursowe, jeśli w nich uczestniczysz (szczegóły w punktach 5 i 6).

Zdjęcie terenu bywa zdjęciem cudzej nieruchomości. Wgrywając je, oświadczasz, że masz do tego prawo. Prosimy, byś nie umieszczał na nich wizerunków osób ani tablic rejestracyjnych — a jeśli się na nich znajdą, byś je zamazał przed wysłaniem.

Dane zbierane automatycznie

• Jedno niezbędne ciasteczko sesyjne (df_refresh, httpOnly) — utrzymuje zalogowanie między odwiedzinami; ważne 30 dni albo do wylogowania. Token dostępu do serwisu żyje wyłącznie w pamięci otwartej karty i znika wraz z jej zamknięciem; nie zapisujemy go w pamięci trwałej przeglądarki.
• Ciasteczko-znacznik `df_sesja` — zawiera samą liczbę 1 i nic więcej. Mówi stronie tylko tyle, że w tej przeglądarce jest zapisane zalogowanie, żeby przy każdym wejściu nie pytać o to serwera — dzięki temu strona otwiera się szybciej osobie, która konta nie ma. Nie da się z niego nic odczytać o Tobie ani zalogować: sesję trzyma wyłącznie df_refresh, którego strona nie widzi. Znika razem z wylogowaniem. Jest niezbędne do działania serwisu, więc nie wymaga zgody.
• Ciasteczko techniczne przerwy serwisowej (df_serwis, httpOnly) — powstaje wyłącznie na urządzeniu obsługi serwisu, gdy strona jest zamknięta na czas prac. Zwykły użytkownik nigdy go nie otrzymuje.
• Kilka drobnych ustawień w pamięci przeglądarki (localStorage i sessionStorage — to nie są ciasteczka i nie są wysyłane na serwer przy żadnym żądaniu):
• wybrany język strony, żeby po powrocie była w tym samym języku;
• Twoja decyzja w sprawie Google Analytics (zgoda albo odmowa) i jej data — zapisywana tylko wtedy, gdy ją podejmiesz, żeby nie pytać Cię przy każdym wejściu; po 12 miesiącach pytamy ponownie;
• bieżący motyw graficzny strony (na przykład świąteczny) — żeby strona nie mrugała przy wczytywaniu;
• informacja, że ukryłeś prośbę o wsparcie serwisu;
• lista ogłoszeń, które zamknąłeś (np. o przerwie technicznej), żeby nie pokazywały się ponownie — tylko ich numery, bez żadnych danych o Tobie;
• znacznik, że okno podsumowania zakończonego zlecenia zostało już pokazane — żeby nie wyskakiwało przy każdym wejściu;
• u operatora: znacznik, że pokazaliśmy już zachętę do uzupełnienia profilu — pojawia się tylko raz, a dalej o brakach przypomina pasek na stronie profilu;
• przy logowaniu przez Google lub Facebooka — jednorazowy znacznik w pamięci karty, kasowany po zalogowaniu;
• w panelu operatora — czy kalendarz jest zwinięty.

Żadna z tych wartości nie służy do śledzenia ani nie jest wysyłana na serwer. Niektóre zawierają numer konta albo zlecenia, którego dotyczą (na przykład znacznik pokazanej zachęty albo okna podsumowania). Wszystkie możesz skasować, czyszcząc dane strony w przeglądarce. (Ciasteczka Google Analytics, które powstają wyłącznie po Twojej zgodzie, opisujemy osobno, niżej.)

• Logi serwera. Serwer, na którym stoi serwis, zapisuje standardowe logi dostępowe zawierające adres IP, datę, adres żądanej strony (wraz z parametrami, na przykład wpisaną frazą wyszukiwania), stronę, z której przyszedłeś, oraz nazwę przeglądarki. Służą wyłącznie utrzymaniu serwisu i wykrywaniu nadużyć, a starsze wpisy są automatycznie kasowane po 14 dniach.
• Ochrona przed nadużyciami. Przy logowaniu i rejestracji adres IP jest dodatkowo przetwarzany wyłącznie w pamięci serwera, przez krótkie okno czasowe (domyślnie 15 minut), po to by ograniczyć liczbę prób. Gdy ktoś zamawia link do zmiany hasła albo do potwierdzenia adresu, tak samo — wyłącznie w pamięci serwera i najwyżej przez godzinę — pamiętamy adres e-mail, na który link ma trafić, żeby nikt nie mógł zasypać cudzej skrzynki naszymi wiadomościami. Te informacje nie trafiają do żadnej bazy. Wyjątek: konto-pułapka. W serwisie istnieje konto, którego nikt nie używa — służy wyłącznie do wykrywania wycieku danych albo prób włamania. Gdy ktoś spróbuje się na nie zalogować (także przez Google lub Facebook), założyć na jego adres konto albo odzyskać do niego hasło, adres IP, nazwę przeglądarki i czas próby wysyłamy w wiadomości alarmowej do administratora serwisu (art. 6 ust. 1 lit. f RODO — bezpieczeństwo serwisu i jego użytkowników). W rejestrze serwisu zapisujemy wtedy tylko czas i rodzaj próby, bez adresu IP. Zwykłych użytkowników to nie dotyczy.
• Ochrona serwera przed atakami. Serwer sam wykrywa w swoich logach typowe ataki: skanowanie w poszukiwaniu dziur, masowe zgadywanie haseł, próby wykorzystania znanych luk. Gdy zachowanie adresu IP pasuje do takiego wzorca, ten adres IP, nazwę wykrytego ataku i jego czas przekazujemy firmie CrowdSec (Francja), a w zamian dostajemy listę adresów atakujących inne serwery, które blokujemy z góry (art. 6 ust. 1 lit. f RODO — bezpieczeństwo serwisu). Zwykłe korzystanie z serwisu nie powinno wywołać takiego zgłoszenia — o zwykłych odwiedzinach nie wysyłamy nic.
• Pliki-pułapki. Na serwerze leżą fałszywe klucze dostępowe, których serwis nie używa. Gdyby ktoś po włamaniu spróbował ich użyć, dostawca usługi Canarytokens odnotuje adres IP tej osoby i powiadomi nas o tym — przez usługę powiadomień ntfy.sh, która dostarcza alarm na telefon administratora. Zwykłych użytkowników to nie dotyczy.

Nie używamy ciasteczek reklamowych ani profilujących. Jedyne zewnętrzne narzędzie analityczne — Google Analytics — działa wyłącznie za Twoją zgodą (opis niżej). Bez niej Twoje odwiedziny nie są nikomu przekazywane.

Statystyki odwiedzin

Liczymy, ile osób wchodzi na stronę i skąd przyszły. Robimy to bez zapisywania czegokolwiek w Twojej przeglądarce i bez przechowywania Twojego adresu IP.

Jak. Przy wejściu wyliczamy jednokierunkowy skrót z Twojego adresu IP, nazwy przeglądarki i losowej wartości zmienianej co dobę. Zapisujemy sam skrót. Adres IP nie trafia do bazy w żadnej postaci — służy do wyliczenia skrótu i znika razem z żądaniem.

Losowa wartość z poprzednich dni jest kasowana, a wtedy skrótu nie da się już ani odwrócić, ani powiązać z wcześniejszymi odwiedzinami. Dane przestają więc kogokolwiek dotyczyć same z siebie, najpóźniej po dwóch dobach (w kopiach zapasowych — do upływu ich okresu przechowywania z części 9).

Zapisujemy: ścieżkę otwartej strony (bez tego, co po znaku zapytania), adres strony, z której przyszedłeś (samą domenę, np. google.com), oznaczenie kampanii z odnośnika, rodzaj urządzenia (telefon albo komputer), datę i skrót.

NIE zapisujemy: adresu IP, pełnej nazwy przeglądarki ani powiązania z Twoim kontem — statystyka nie wie, kto odwiedził stronę, także gdy jesteś zalogowany.

Podstawa prawna: nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — wiedza o tym, czy i skąd ludzie trafiają do serwisu.

Dlaczego nie pytamy Cię o zgodę: zgody wymaga zapisywanie i odczytywanie informacji na Twoim urządzeniu (art. 399 ust. 1 Prawa komunikacji elektronicznej). Uważamy, że ta metoda zgody nie wymaga: nie zakładamy ciasteczka ani nie zapisujemy niczego w pamięci przeglądarki, a korzystamy wyłącznie z informacji, które przeglądarka wysyła przy każdym wejściu na stronę. Możesz natomiast wnieść sprzeciw wobec tego przetwarzania (art. 21 RODO), pisząc na adres z punktu 1.

Google Analytics — tylko za Twoją zgodą

Jeśli się zgodzisz (na banerze „Akceptuj wszystkie” albo „Statystyczne” w ustawieniach), korzystamy też z Google Analytics 4. Pokazuje nam, ile osób odwiedza serwis, skąd trafia i z których funkcji korzysta — żebyśmy wiedzieli, co działa, a co poprawić.

Bez Twojej zgody skrypt Google w ogóle się nie wczytuje — przeglądarka nie łączy się wtedy z Google i nie powstaje żadne ciasteczko Google.

Co trafia do Google:

• adres odwiedzanej strony bez parametrów — zostaje sama ścieżka (np. /uslugi/inspekcje) i ewentualne oznaczenie kampanii (utm_…); jednorazowe linki z e-maili, numery rozmów i ustawienia filtrów są usuwane przed wysłaniem;
• strona, z której przyszedłeś (z innej witryny — sama jej domena), oraz ogólna nazwa rodzaju strony (np. „Zlecenie”, „Operator”) — nie tytuł zlecenia ani nazwa profilu;
• rodzaj urządzenia, system i przeglądarka, język i rozdzielczość ekranu;
• przybliżona lokalizacja (kraj, region, miasto), którą Google ustala na podstawie adresu IP; według Google adres IP nie jest przy tym zapisywany;
• zdarzenia: przewinięcie strony, kliknięcie w odnośnik prowadzący poza serwis, pobranie pliku, odtworzenie filmu, założenie konta i logowanie;
• losowy identyfikator przeglądarki z ciasteczka (niżej).

Czego NIE wysyłamy: Twojego imienia, adresu e-mail, identyfikatora konta ani niczego, co wpisujesz w formularzach i wyszukiwarce.

Ciasteczka: _ga i _ga_BGGQVW2997 — losowy identyfikator przeglądarki i stan odwiedzin. Żyją najwyżej 13 miesięcy; przy wycofaniu zgody je kasujemy. Powstają tylko po zgodzie. Ponieważ są zapisane dla domeny naszego serwisu, przeglądarka dołącza je także do żądań wysyłanych do naszego serwera — my ich nie odczytujemy, nie wykorzystujemy i nie zapisujemy w logach; służą wyłącznie Google Analytics.

Jak długo: szczegółowe dane zdarzeń Google przechowuje przez 2 miesiące; potem zostają wyłącznie zestawienia zbiorcze (np. liczba odwiedzin danego dnia), z których nie da się nikogo odczytać. Funkcje reklamowe Google są wyłączone (sygnały Google, personalizacja reklam), a dane nie są udostępniane Google do jego własnych celów.

Kto przetwarza: Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia) — na nasze zlecenie, na podstawie umowy powierzenia (część 7). Dane mogą trafiać do Google LLC w USA (część 8).

Podstawa prawna: Twoja zgoda — art. 6 ust. 1 lit. a RODO, a co do zapisu ciasteczek na Twoim urządzeniu — art. 399 ust. 1 Prawa komunikacji elektronicznej.

Wycofanie zgody — w każdej chwili: „Ustawienia prywatności” w stopce albo „Zgody” w ustawieniach konta. Pomiar przestaje działać od razu — także w innych otwartych kartach serwisu — a ciasteczka _ga są kasowane. Wycofanie nie wpływa na zgodność z prawem pomiaru sprzed wycofania.

3. Po co przetwarzamy te dane i na jakiej podstawie

Serwis jest dziś bezpłatny i nie pośredniczy w płatnościach, więc nie przetwarzamy Twoich danych w celach podatkowych ani rachunkowych. Gdyby to się zmieniło — na przykład wraz z wprowadzeniem prowizji — poinformujemy o tym i uzupełnimy niniejszą Politykę przed rozpoczęciem takiego przetwarzania.

4. Sprawdzanie treści i zgłoszenia

Zdjęcia — sprawdzane automatycznie przed publikacją

Każde zdjęcie wgrywane do serwisu (portfolio, zdjęcie w tle profilu, zdjęcia terenu przy zleceniu, awatary, prace konkursowe oraz zdjęcia wysyłane w rozmowach) jest automatycznie sprawdzane pod kątem treści niedozwolonych. Analiza działa na naszym serwerze — zdjęcia nie są wysyłane do żadnej usługi zewnętrznej.

Zdjęcie zakwestionowane przez automat nie jest publikowane. Zdjęcie terenu przy zleceniu, zdjęcie do portfolio, zdjęcie w tle profilu i zdjęcie z rozmowy trafia wtedy do ręcznej oceny człowieka z obsługi serwisu, a wynik analizy przechowujemy na potrzeby tej oceny. Zakwestionowanego zdjęcia profilowego ani zdjęcia zgłaszanego do konkursu serwis nie przyjmuje — nie zapisujemy go; możesz dodać inne albo napisać do nas.

To nie jest decyzja wywołująca wobec Ciebie skutki prawne ani w podobny sposób istotnie na Ciebie wpływająca w rozumieniu art. 22 RODO: o usunięciu opublikowanej treści albo o blokadzie konta decyduje człowiek, a od decyzji możesz się odwołać, pisząc na adres kontaktowy.

Tekst wiadomości i opinii

Treść wiadomości w rozmowach i treść opinii są automatycznie sprawdzane pod kątem danych kontaktowych (numerów telefonów, adresów e-mail) i wulgaryzmów. Przy opinii taki wynik trafia — z fragmentem tekstu — do oceny człowieka z obsługi; przy wiadomości zostaje wyłącznie wpis w dzienniku serwera (identyfikator wiadomości i rodzaj wyniku, bez treści), który kasujemy razem z logami (część 9). Samo oznaczenie niczego nie usuwa.

Materiały wideo — sprawdzane dopiero po publikacji

Nagrań wideo nie sprawdzamy przed publikacją. Mówimy o tym wprost, bo to zmienia sytuację osoby, która je ogląda: nasz automat rozpoznaje obrazy i nie ocenia nagrań, a udawanie kontroli, której nie ma, byłoby wprowadzaniem w błąd. Materiał wideo dodany przez operatora pojawia się na jego profilu od razu, a sprawdzamy go dopiero wtedy, gdy ktoś go zgłosi. Tak samo działają materiały wideo zgłaszane do konkursów — wgrane i podane odnośnikiem.

Jak zapisujemy zdjęcia i filmy

Wgranych plików nie przechowujemy w postaci oryginalnej. Przy wgraniu:

• zdjęcie zapisujemy w formacie WebP, w rozdzielczości do 2560 pikseli dłuższego boku, z kompresją dobraną tak, by różnicy nie było widać na ekranie;
• film przetwarzamy na naszym serwerze do rozdzielczości do 1080p w formacie MP4 (H.264). Przed publikacją film przechodzi szybkie przepakowanie, które usuwa metadane; do czasu zakończenia pełnego przetwarzania — zwykle kilka minut — widoczna jest wersja w pierwotnej rozdzielczości, już bez metadanych;
• z obu usuwamy ukryte metadane: współrzędne GPS, model i numer seryjny urządzenia, datę wykonania zapisaną w pliku.

Oryginału w pełnej rozdzielczości nie zachowujemy — jeśli jest Ci potrzebny, zachowaj własną kopię. Przetwarzanie odbywa się wyłącznie na naszym serwerze, bez udziału usług zewnętrznych.

Zgłoszenia treści

Każdy zalogowany użytkownik może zgłosić treść, którą uważa za niewłaściwą, przyciskiem „Zgłoś”; każdy — także bez konta — może to zrobić e-mailem (§6 ust. 6 Regulaminu). Zgłoszenie niczego nie kasuje samo — trafia do obsługi serwisu i decyzję podejmuje człowiek. Gdy treść zostaje usunięta, jej autor dostaje o tym wiadomość z powodem i może się odwołać, a zgłaszający dostaje informację o decyzji — także wtedy, gdy treść zostaje. Zgłosić można między innymi zlecenie, opis profilu i wiadomość z rozmowy; wiadomość zgłasza wyłącznie uczestnik rozmowy, a jej zgłoszenie jest jedną z sytuacji, w których obsługa może przeczytać tę rozmowę na zasadach z części 2 (z powodem, z zapisem w rejestrze). Obsługa może też usunąć treść z własnej inicjatywy, na zasadach §6 ust. 6a Regulaminu — autor dostaje wtedy taką samą wiadomość z powodem.

Przy zgłoszeniu zapisujemy, kto je złożył. Nie po to, by tę informację komukolwiek pokazywać — widzi ją wyłącznie obsługa serwisu, a autor zgłoszonej treści nie dowiaduje się, kto go zgłosił. Powód jest inny: bez tego nie dałoby się odróżnić dziesięciu sygnałów od dziesięciu kliknięć jednej osoby, czyli rozpoznać nękania konkurenta podszywającego się pod troskę o porządek. Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na utrzymaniu bezpieczeństwa serwisu.

Korespondencja e-mailowa

Gdy piszesz do nas na kontakt@droneflow.pl albo rodo@droneflow.pl — z pytaniem, reklamacją, odwołaniem, żądaniem z części 10 albo zgłoszeniem treści — przetwarzamy Twój adres e-mail, imię i nazwisko lub nazwę, jeśli je podasz, oraz treść wiadomości i załączników. Robimy to, żeby odpowiedzieć i załatwić sprawę (podstawy — część 3). Skrzynki prowadzi OVH (część 7). Korespondencję przechowujemy do załatwienia sprawy, a potem tak długo, jak może być potrzebna do wykazania, jak ją załatwiliśmy, nie dłużej niż do upływu okresu przedawnienia roszczeń.

5. Ankiety

Możemy zaprosić Cię do wypełnienia ankiety. Udział jest dobrowolny, a odmowa nie ma żadnych konsekwencji.

Przy ankiecie oznaczonej jako anonimowa Twoje odpowiedzi nie są powiązane z kontem. Opieramy to na trzech rzeczach naraz, a nie na obietnicy:

1. Odpowiedź nie ma zapisanego autora — pole na identyfikator zostaje puste.
2. Nie zapisujemy godziny odpowiedzi. Dokładny znacznik czasu wystarczyłby, żeby zestawić „kto wypełnił” z „co odpowiedziano”, więc przy odpowiedzi i przy udziale zostaje wyłącznie dzień. Jeżeli danego dnia ankietę wypełni jedna osoba, sam dzień może jednak tę osobę wskazywać.
3. W podsumowaniach ukrywamy grupy zbyt małe, by pozostały anonimowe. Jeśli w jakiejś kategorii (np. „operatorzy z Twojego regionu") odpowiedziało mniej niż pięć osób, taka kategoria w ogóle się nie pokazuje — bo przy dwóch odpowiedziach wskazywałaby konkretną osobę.

Zachowujemy natomiast sam fakt uczestnictwa (komu pokazano ankietę, kto ją odrzucił, kto ją wypełnił), bo inaczej nie moglibyśmy przestać pytać tej samej osoby ani policzyć, ilu osobom ankieta się wyświetliła. Mówimy o tym wprost w treści każdej ankiety.

Odpowiedzi z ankiety imiennej możesz w każdej chwili usunąć w ustawieniach konta, w zakładce „Zgody" — przy każdej ankiecie osobno. Kasujemy je wtedy na stałe, a ta ankieta nie wróci do Ciebie w oknie. Odpowiedzi anonimowych w ten sposób nie wskażesz: nie są powiązane z kontem, więc nie wiemy, które są Twoje.

Jedno zastrzeżenie, które zależy od Ciebie. Jeżeli w polu tekstowym napiszesz coś, po czym da się Cię rozpoznać — imię, nazwę firmy, opis zdarzenia znanego tylko Tobie i drugiej stronie — żadne z powyższych zabezpieczeń tego nie ukryje. Anonimowość dotyczy tego, czego my nie zapisujemy, a nie treści, którą sam wpiszesz.

Dobór osób zaproszonych opiera się na kryteriach (np. rola w serwisie, staż konta, aktywność), a nie na indywidualnej ocenie użytkownika.

6. Konkursy

Jeśli zgłosisz pracę do konkursu, Twoje zgłoszenie oraz nazwa konta stają się widoczne publicznie od rozpoczęcia głosowania. Prace nagrodzone trafiają do archiwum widocznego bez z góry określonego terminu (przez czas działania Serwisu), o ile administrator serwisu udostępnił Galerię Sław. Zasady opisuje regulamin konkretnego konkursu.

Jeśli zagłosujesz na pracę, która zostanie potem usunięta z konkursu, kasujemy Twój głos i wysyłamy Ci powiadomienie w serwisie — żebyś wiedział(a), że możesz zagłosować ponownie, dopóki trwa głosowanie. Powiadomienie dostajesz tylko Ty i mówi wyłącznie o Twoim własnym głosie; to, kto na kogo głosował, pozostaje niejawne.

Gdy praca zostanie usunięta w dniu ogłoszenia wyników, głosowanie wraca na jeden dzień. Powiadomienie o tym dostają wtedy także pozostali uczestnicy konkursu i osoby, które już głosowały — jest to wiadomość o przebiegu konkursu, w którym bierzesz udział, i również nie zdradza, kto na kogo głosował. Wysyłamy ją wyłącznie w serwisie, nie e-mailem.

Po usunięciu przez Ciebie konta nagrodzona praca znika z archiwum, a zwolnione miejsce zajmuje kolejny uczestnik (regulamin konkursu §6 ust. 4). Praca w konkursie, który jeszcze trwa, schodzi z niego tak samo jak praca usunięta przez obsługę: znika z galerii, a głosy oddane na nią wracają do osób głosujących.

Zgłoszenie pracy wymaga zgody na wiadomości e-mail od DroneFlow. Konkurs jest działaniem promocyjnym serwisu i to jest jedyny powód tego warunku. Trzy rzeczy, które trzeba przy tym wiedzieć:

• Warunek dotyczy wyłącznie konkursu. Zgoda marketingowa nie jest i nie będzie warunkiem założenia konta ani korzystania z pozostałych funkcji — zlecenia, oferty, rozmowy i profil działają bez niej. Nie biorąc udziału w konkursie, nie tracisz niczego innego.
• Jeśli zgody jeszcze nie masz, zaznaczysz ją w samym formularzu zgłoszenia (pole nie jest zaznaczone z góry). Zapisujemy ją dopiero wtedy, gdy praca zostanie przyjęta — odrzucone zgłoszenie nie zostawia zgody.
• Zgodę wycofasz w każdej chwili w ustawieniach konta. Wycofanie nie unieważnia zgłoszenia, które zostało już przyjęte, i nie odbiera prawa do nagrody.
• Wiadomości o Twoim udziale — że ruszyło głosowanie, że konkurs się zakończył i kto wygrał — są komunikatami o Twojej sprawie, nie reklamą. Dostajesz je jako uczestnik, tak samo jak powiadomienia o swoich zleceniach.

6a. Marketing i nowości

Jeśli wyrazisz na to zgodę, wysyłamy Ci informacje o serwisie DroneFlow: o nowych funkcjach, konkursach dla użytkowników, wydarzeniach, promocjach i zmianach w ofercie, a także o ofertach partnerów DroneFlow przygotowanych dla użytkowników serwisu (na przykład kodach rabatowych na sprzęt, szkolenia albo ubezpieczenie). Takie wiadomości zawsze wysyłamy my — nie przekazujemy partnerom Twojego adresu ani innych danych, a partner nie wie, do kogo trafiła wiadomość.

Trzy osobne zgody — jedna na każdy kanał:

Zaznaczasz je przy zakładaniu konta albo później, na stronie Konto → Marketing i nowości. Zgodę na e-mail możesz też zaznaczyć w formularzu zgłoszenia do konkursu — zapisujemy ją wtedy dopiero, gdy praca zostanie przyjęta. Pole „Zgadzam się na wszystkie zgody marketingowe" jest wyłącznie skrótem, który zaznacza trzy pola poniżej — możesz odznaczyć każde z nich osobno. Żadne pole nie jest zaznaczone domyślnie.

Ta zgoda jest dobrowolna. Bez niej korzystasz z serwisu dokładnie tak samo: założysz konto, wystawisz zlecenie, złożysz ofertę i napiszesz do operatora. Jedyny wyjątek to zgłoszenie pracy do konkursu — konkurs jest działaniem promocyjnym serwisu i wymaga zgody na wiadomości e-mail (zasady opisuje część 6). Głosowanie w konkursie zgody nie wymaga.

To nie dotyczy powiadomień o Twoich sprawach. Niezależnie od zgód marketingowych wysyłamy wiadomości dotyczące Twojego konta i Twoich zleceń — nową ofertę, wiadomość w rozmowie, zmianę statusu zlecenia, spór, zmianę Regulaminu, a kilka dni po terminie zlecenia, którego nie zamknąłeś — prośbę o jego zamknięcie i ocenę operatora. To część usługi, którą zamawiasz, zakładając konto; ich zakres ustawiasz osobno w zakładce Konto. Do tej samej grupy należą wiadomości o konkursie, do którego sam zgłosiłeś pracę — to obsługa Twojego udziału, nie marketing.

Wiadomości o bezpieczeństwie konta wysyłamy zawsze. Gdy ktoś zmieni hasło do Twojego konta albo włączy lub wyłączy weryfikację dwuetapową, dostajesz e-mail z datą i godziną — także wtedy, gdy wyłączyłeś powiadomienia e-mail. To celowe: gdyby dało się je wyłączyć, mógłby to zrobić również ktoś, kto przejął Twoje konto, a wiadomość jest często jedynym sygnałem, że coś takiego się stało.

Jeśli masz konto operatora, dochodzą do tego powiadomienia o CUDZYCH ogłoszeniach: gdy ktoś wystawi zlecenie w zasięgu dojazdu, który sam zadeklarowałeś w swoim profilu, zawiadamiamy Cię o nim. Jeśli zlecenie przez 36 godzin nie dostanie żadnej oferty, zawiadamiamy o nim jeden raz także operatorów, których baza leży do 50 km poza ich zadeklarowanym zasięgiem, oraz tych w zasięgu, którzy dołączyli po wystawieniu zlecenia — tylko tych, którzy o tym zleceniu jeszcze nie słyszeli. Traktujemy to jako wykonanie usługi, po którą zakładasz konto operatora — kojarzenie Cię ze zleceniami — a nie jako promocję, i opieramy na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f). Dlatego:

• idzie w serwisie (dzwonek powiadomień), a dodatkowo e-mailem na adres Twojego konta — nigdy SMS-em. E-mail o nowym zleceniu wyłączysz osobnym przełącznikiem „Nowe zlecenia w okolicy” w zakładce Konto albo jednym kliknięciem z odnośnika w każdej takiej wiadomości; pozostałe powiadomienia (np. o przyjętej ofercie) zostają wtedy bez zmian. Wyłączenie wszystkich powiadomień e-mail wyłącza także te. Możemy też ograniczyć liczbę takich e-maili na dobę albo całkowicie przestać je wysyłać — wtedy zostaje samo powiadomienie w serwisie;
• niesie tylko to, co i tak jest jawne na giełdzie: tytuł, miasto i kategorię zlecenia — bez ulicy, kodu pocztowego i dokładnych współrzędnych;
• to Ty ustawiasz jego zasięg — zmieniając promień dojazdu albo listę usług w profilu operatora, zmieniasz to, o czym Cię zawiadamiamy (zlecenie bez ofert po 36 godzinach może przyjść także z odległości do 50 km poza tym promieniem);
• nie doklejamy do niego reklamy serwisu — gdybyśmy to zrobili, stałoby się marketingiem i wymagałoby Twojej zgody.

Możesz się temu sprzeciwić na zasadach opisanych niżej, w części o Twoich prawach.

Zwracamy się do Ciebie po imieniu. W wiadomości marketingowej możemy wstawić pierwsze słowo nazwy, którą sam podałeś w koncie (imię albo nick), np. „Cześć Anna!”. Nie korzystamy przy tym z żadnych innych danych o Tobie; jeśli nazwy nie podałeś, wiadomość po prostu jej nie zawiera. Zmienisz ją w każdej chwili w ustawieniach konta.

Wycofanie zgody. Odznaczasz pole na stronie Konto → Marketing i nowości — jednym kliknięciem, bez podawania powodu i bez kontaktu z obsługą. W każdym e-mailu marketingowym znajdziesz odnośnik rezygnacji, a wysyłkę SMS zatrzymasz, odpisując STOP. Wycofanie nie wpływa na zgodność z prawem wiadomości wysłanych wcześniej.

Zapisujemy dowód zgody — na jaki kanał, kiedy i pod jaką wersją treści jej udzieliłeś, a także kiedy ją wycofałeś. Bez tego nie moglibyśmy wykazać, że wysyłka miała podstawę, ani od kiedy jej nie miała. Okres przechowywania tego zapisu podajemy w części 9.

Stan na dziś: kanał e-mail działa; SMS-ów ani rozmów telefonicznych jeszcze nie wysyłamy — zanim to nastąpi, poprosimy o potwierdzenie numeru telefonu kodem, żeby wiadomość nie trafiła do przypadkowej osoby przy literówce w numerze.

Zakończenie działania Serwisu. Gdy Serwis kończy działalność, wiadomości marketingowe przestajemy wysyłać najpóźniej w dniu zakończenia. Zawiadomienie o zamknięciu Serwisu wysyłamy wszystkim Użytkownikom jako informację o umowie, niezależnie od zgód, i nie dołączamy do niego reklam.

7. Komu przekazujemy dane

Korzystamy z usług podmiotów, które przetwarzają dane na nasze polecenie, na podstawie umów powierzenia (wyjątki opisujemy przy danym podmiocie):

Ochrona przed atakami — odbiorcy działający na własny rachunek. Adresy IP, z których wykryto atak na serwer (część 2, „Ochrona serwera przed atakami”), trafiają do CrowdSec SAS (Montrouge, Francja). CrowdSec tworzy z nich, razem z innymi użytkownikami swojej usługi, wspólną listę adresów atakujących i odpowiada za nią wspólnie z nimi (współadministrowanie, art. 26 RODO). Usługę plików-pułapek Canarytokens świadczy Thinkst Applied Research (Republika Południowej Afryki) — widzi ona wyłącznie adres IP osoby, która użyła fałszywego klucza. Alarm z tym adresem dostarcza na telefon administratora usługa powiadomień ntfy.sh.

Dostawcy SMS na tej liście nie ma, bo SMS-ów nie wysyłamy (część 6a). Twojego numeru telefonu nie przekazujemy dziś nikomu poza dostawcą bazy danych z tabeli powyżej. Gdy kanał SMS ruszy, dopiszemy tu nazwę dostawcy i miejsce przetwarzania zanim wyjdzie pierwsza wiadomość.

W wiadomościach nie ma znaczników zliczających otwarcia ani kliknięcia. Dostawca poczty potrafi je doklejać — my mamy tę funkcję wyłączoną, także w wysyłce marketingowej. Nie wiemy więc, czy i kiedy otworzyłeś e-maila od nas.

Mapy i wyszukiwanie adresów działają na naszym serwerze. Wyszukiwarka adresów (geokoder) i kafelki mapy stoją na naszej infrastrukturze w OVH, na danych OpenStreetMap pobranych do nas. Wpisany adres, nazwa miejscowości z Twojej pracy w panelu ani oglądany fragment mapy nie trafiają do żadnej firmy zewnętrznej.

Komu dane pokazuje sam serwis

To nie są firmy przetwarzające dane na nasze zlecenie, tylko osoby, którym serwis pokazuje dane, bo na tym polega usługa:

• każdy odwiedzający — publiczne profile operatorów (z ich portfolio, usługami, punktem bazowym i opiniami), zlecenia na giełdzie (miasto, kategoria, termin — bez ulicy i kodu pocztowego; punkt na mapie przesunięty o około 300 m, chyba że wybierzesz dokładny), opinie i prace konkursowe;
• zalogowani użytkownicy — pełny opis zlecenia, zdjęcia terenu oraz nazwa i ocena zleceniodawcy;
• druga strona transakcji — operator, którego ofertę przyjmiesz, widzi pełny adres i dokładne miejsce zlecenia oraz Waszą rozmowę; Ty widzisz jego profil, ofertę i rozmowę;
• obsługa serwisu — w zakresie potrzebnym do moderacji, rozpatrywania sporów i pomocy;
• wyszukiwarki internetowe — profil publiczny operatora i strony miast są dostępne także dla wyszukiwarek, które mogą je pokazywać w wynikach; o nowych stronach serwis może sam powiadomić wyszukiwarki. Usunięty profil znika z wyników, gdy wyszukiwarka ponownie odwiedzi stronę.

Logowanie przez Google albo Facebooka

Funkcja jest dziś wyłączona; poniższe zacznie obowiązywać z chwilą jej uruchomienia.

Gdy wybierzesz logowanie przez Google albo Facebooka, to my otrzymujemy dane od nich, a nie odwrotnie — serwis nie wysyła im żadnych Twoich informacji. Dostajemy wyłącznie: adres e-mail, imię lub nazwę wyświetlaną oraz identyfikator, który dostawca nadał Twojemu kontu. Nie otrzymujemy hasła, listy kontaktów, treści ani niczego poza tym.

Google i Facebook są w tym procesie odrębnymi administratorami — to znaczy, że przetwarzają Twoje dane na własnych zasadach i we własnym celu, a my nie mamy na to wpływu. Sam fakt, że logujesz się do naszego serwisu, jest im znany i podlega ICH polityce prywatności, nie naszej.

Na czas samego logowania serwis ustawia dwa ciasteczka techniczne (df_oauth_state, df_oauth_akceptacja) — ważne najwyżej 10 minut i kasowane po użyciu.

Identyfikator nadany przez dostawcę kasujemy przy usunięciu konta (punkt o okresach przechowywania). Konto założone tą drogą nie ma hasła — jeśli stracisz dostęp do konta u dostawcy, ustaw hasło przez „Nie pamiętam hasła".

Nie sprzedajemy danych i nie udostępniamy ich w celach marketingowych.

8. Przekazywanie poza Europejski Obszar Gospodarczy

Twoje dane są przechowywane na terenie Unii Europejskiej — w Polsce (serwer), w Niemczech (baza danych) i w Szwecji (wysyłka poczty). Pliki przechowujemy w usłudze z lokalizacją europejską.

Supabase Inc. i Cloudflare, Inc. to spółki amerykańskie, które hostują dane w Unii, ale ze względu na ich siedzibę współpracę opieramy dodatkowo na standardowych klauzulach umownych zatwierdzonych przez Komisję Europejską.

Pocztę wysyła Amazon Web Services EMEA SARL — spółka z siedzibą w Luksemburgu, a wiadomości przechodzą przez szwedzki region tej usługi. Umowa powierzenia zawarta z AWS obejmuje standardowe klauzule umowne na wypadek, gdyby do danych sięgnęło wsparcie techniczne spoza Europejskiego Obszaru Gospodarczego.

Google Analytics (tylko za Twoją zgodą). Dane o odwiedzinach mogą trafiać do Google LLC w USA. Google LLC uczestniczy w programie EU–US Data Privacy Framework, dla którego Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony (art. 45 RODO, decyzja z 10 lipca 2023 r.); dodatkowo umowa z Google obejmuje standardowe klauzule umowne. Jeśli tej zgody nie wyrazisz, żadne dane o Twoich odwiedzinach nie trafiają do Google.

Ochrona przed atakami. CrowdSec (Francja) korzysta z dostawców chmury, m.in. Amazon Web Services i Google Cloud; przekazania poza Unię opiera na standardowych klauzulach umownych. Thinkst Applied Research, dostawca Canarytokens, działa z Republiki Południowej Afryki — dotyczy to wyłącznie adresu IP osoby, która po włamaniu użyła pliku-pułapki.

9. Jak długo przechowujemy dane

• Dane konta — przez czas istnienia konta.
• Po usunięciu konta dane osobowe są anonimizowane, a zdjęcia kasowane trwale. Kasujemy również powiązanie Twojego konta z Google lub Facebookiem, jeśli logowałeś się przez któryś z tych serwisów — po usunięciu konta nie zostaje u nas żaden identyfikator nadany Ci przez dostawcę, ani sekret Twojej aplikacji uwierzytelniającej, jeśli miałeś włączone logowanie dwuetapowe.

Z Twoich zleceń znika ulica z numerem i kod pocztowy, a punkt na mapie zostaje zaokrąglony do około kilometra — nieodwracalnie, więc dokładnego miejsca nie da się już z niego odtworzyć. Zostaje samo miasto: bez niego zlecenie w historii operatora przestałoby cokolwiek znaczyć.

Same zlecenia, wiadomości i opinie zostają, bo dotyczą także drugiej strony transakcji i mogą być potrzebne przy sporze — ale są odtąd podpisane „Konto usunięte" i nie są już powiązane z Twoim kontem (zastrzeżenie o treści, którą sam wpisałeś — niżej).

Wyjątek: zlecenie, które jeszcze czeka na oferty, anulujemy — nie ma w nim drugiej strony, a ogłoszenie nie powinno wisieć bez autora. Z tego samego powodu wycofujemy Twoje oferty, których klient jeszcze nie przyjął. Kasujemy też Twoje odpowiedzi z ankiet imiennych oraz podpis i opis w zgłoszeniach cudzych treści, które złożyłeś.

Uczciwie o granicy tego zabiegu: usuwamy pola, które wypełniałeś jako dane — imię, adres, telefon, adres zlecenia. Nie przeszukujemy natomiast treści, które sam napisałeś: jeśli podałeś swój numer telefonu w opisie zlecenia albo w wiadomości do operatora, zostanie on tam, gdzie go wpisałeś. Tamta rozmowa należy również do drugiej strony i nie kasujemy jej korespondencji. Napisz na adres z punktu 1, jeśli chcesz, żebyśmy usunęli konkretną treść — rozpatrzymy to osobno.

• Kopie zapasowe — 7 dni. Kopię bazy wykonuje raz na dobę nasz serwer, a nie dostawca bazy, i po siedmiu dniach kasuje ją automatycznie. Kopie leżą w Polsce, na tym samym serwerze co aplikacja. Gdy usuwasz konto, Twoje dane znikają z serwisu od razu, ale przez ten czas pozostają jeszcze w kopiach zapasowych sprzed dnia usunięcia. Kopie służą wyłącznie odtworzeniu serwisu po awarii — nie korzystamy z nich, żeby przywrócić usunięte konto, a gdybyśmy musieli odtworzyć bazę, usunięcia wykonane po dacie kopii przeprowadzamy ponownie.
• Logi serwera (dziennik systemowy i logi dostępowe, w tym wpisy o zablokowanych połączeniach) — 14 dni. Zapis poleceń wykonywanych na serwerze przez administratora (audyt systemu) jest nadpisywany według rozmiaru, zwykle po kilku dniach.
• Zgłoszenia treści, wyniki moderacji i spory (wraz z notatkami obsługi) — tak długo, jak mogą być potrzebne do rozpatrzenia odwołania, wykazania podjętych decyzji albo obrony przed roszczeniami. Po usunięciu konta zgłaszającego znika jego podpis i opis zgłoszenia.
• Powiadomienia w serwisie — przez czas istnienia konta.
• Sesje i historia logowań — 30 dni po wygaśnięciu sesji.
• Udział w ankietach i odpowiedzi anonimowe — tak długo, jak są potrzebne do opracowania wyników i porównań między kolejnymi ankietami.
• Głosy w konkursach — przez czas działania Serwisu, jako część przebiegu konkursu; po usunięciu konta nie są powiązane z Twoimi danymi.
• Korespondencja e-mailowa — jak w części 4 („Korespondencja e-mailowa”).
• Adresy IP wykrytych ataków na serwer — w naszym systemie ochrony 7 dni; w CrowdSec najwyżej 3 miesiące w pełnej postaci, potem uogólnione, a po roku zanonimizowane.
• Google Analytics (tylko po zgodzie) — szczegółowe dane zdarzeń 2 miesiące w Google; ciasteczka _ga najwyżej 13 miesięcy albo do wycofania zgody; Twoja decyzja w pamięci przeglądarki — 12 miesięcy, potem pytamy ponownie.
• Rejestr akceptacji Regulaminu i Polityki — przez czas istnienia konta oraz przez okres przedawnienia roszczeń po jego usunięciu; po usunięciu konta zostaje wyłącznie w formie niepowiązanej z Twoimi danymi.
• Dane z panelu operatora (własne zlecenia, kalendarz, notatki, stawki kosztów, sprzęt wraz z numerami seryjnymi) — do czasu, aż sam je skasujesz. Usunięcie konta kasuje je w całości, razem z nazwami klientów, które wpisałeś ręcznie. To Twój notatnik, a nie zapis wspólny z drugą stroną transakcji — nie ma tu nikogo, komu miałby dalej służyć.
• Rejestr zgód na porównanie stawek (udzielenie i wycofanie) — przez czas istnienia konta. Przechowujemy go, by móc wykazać, od kiedy do kiedy Twoje dane wolno było liczyć do median. Usunięcie konta kasuje go w całości, razem z całym panelem.
• Rejestr oświadczeń operatora (potwierdzenia przed pierwszą ofertą oraz ich wycofania) — tak samo: przez czas istnienia konta i przez okres przedawnienia roszczeń po jego usunięciu. Dotyczy Ofert, które zostają w serwisie, więc przeżywa usunięcie konta w formie pozbawionej danych osobowych.
• Rejestr zgód marketingowych (udzielenie i wycofanie) — przez czas istnienia konta. Przechowujemy go po to, by móc wykazać, że wysyłka miała Twoją zgodę, oraz od kiedy jej nie miała. Usunięcie konta kasuje ten rejestr w całości — inaczej niż zlecenia i opinie, które zostają w formie pozbawionej danych osobowych, bo dotyczą także drugiej strony transakcji. Zgoda marketingowa dotyczy wyłącznie Ciebie, więc nie ma powodu, żeby cokolwiek z niej zostawało.
• Zapis wykrytego użycia skradzionej sesji (Twoje konto, czas, liczba unieważnionych sesji — bez adresu IP) — przez czas istnienia konta. Po usunięciu konta zostaje wyłącznie w formie pozbawionej danych osobowych.
• Rejestr działań obsługi serwisu — kto, kiedy i jaką czynność wykonał; przy czynnościach dotyczących konta albo treści także identyfikator tego konta lub treści i uzasadnienie — przechowywany trwale, jako zabezpieczenie przed nadużyciami ze strony obsługi i dowód podjętych decyzji.

Rekordy, które przeszły anonimizację (zlecenia, wiadomości i opinie po usunięciu konta), nie są już powiązane z Twoim kontem. Mogą jednak zawierać treść, którą sam wpisałeś (patrz wyżej) — takie fragmenty usuwamy na żądanie. Pozostają w Serwisie bezterminowo — nie dłużej jednak niż do zakończenia działania Serwisu (część 9a): są potrzebne drugiej stronie transakcji, której praw usunięcie Twojego konta nie może naruszać.

9a. Zakończenie działania Serwisu

O zakończeniu działania Serwisu poinformujemy Cię co najmniej 30 dni wcześniej (§11a Regulaminu). Do tego dnia pobierzesz kopię swoich danych (część 10); o sposobie pobrania plików poinformujemy w zawiadomieniu. W ciągu 30 dni od dnia zakończenia usuwamy albo nieodwracalnie anonimizujemy konta, profile, treści i pliki. Kopie zapasowe wygasają po 7 dniach, a podmioty z części 7 usuwają dane zgodnie z umowami powierzenia. Zachowujemy wyłącznie rejestr akceptacji Regulaminu i Polityki, rejestr oświadczeń operatorów oraz dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń, nie dłużej niż do upływu okresu przedawnienia (art. 17 ust. 3 lit. e RODO), bez publikowania ich. Do czasu usunięcia danych możesz korzystać z praw z części 10, pisząc na rodo@droneflow.pl. Jeżeli prowadzenie Serwisu miałby przejąć inny podmiot, poinformujemy Cię o tym co najmniej 30 dni wcześniej, wskazując nowego administratora; do tego czasu możesz usunąć konto i wycofać zgody.

10. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania danych nieprawidłowych,
• usunięcia danych („prawo do bycia zapomnianym"),
• ograniczenia przetwarzania,
• przenoszenia danych do innej usługi,
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Dwa z tych praw zrealizujesz sam, bez pisania do nas. Po zalogowaniu, na stronie Moje konto:

• pobierzesz kopię swoich danych w pliku (prawo do przenoszenia),
• usuniesz konto (prawo do usunięcia).

Imię i numer telefonu poprawisz sam w ustawieniach konta. Adres e-mail zmienia obsługa — napisz na kontakt@droneflow.pl, najlepiej z adresu przypisanego do konta. Zmieniamy go dopiero, gdy mamy pewność, że prosi właściciel konta: adres e-mail służy do odzyskania dostępu, więc jego zmiana na cudzą prośbę oznaczałaby oddanie konta komuś obcemu. Dlatego zadamy Ci kilka pytań o dane, które zna tylko właściciel konta (np. imię na koncie, numer telefonu, miesiąc założenia konta, tytuł Twojego zlecenia) — potrzebujemy trzech zgodnych odpowiedzi; prośba wysłana z dotychczasowego adresu liczy się jako jedna z nich. Na nowy adres wysyłamy link do potwierdzenia, a na dotychczasowy — informację o zmianie; sama zmiana trafia do rejestru działań obsługi.

Pozostałe wnioski kieruj na rodo@droneflow.pl.

11. Jak chronimy dane

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), między innymi:

• Hasła przechowujemy wyłącznie jako nieodwracalne skróty (bcrypt).
• Klucz weryfikacji dwuetapowej przechowujemy zaszyfrowany — sama kopia bazy danych nie pozwala wygenerować kodów do Twojego konta.
• Gdy ktoś użyje skradzionej sesji Twojego konta, unieważniamy wszystkie powiązane z nią sesje i odnotowujemy to zdarzenie.
• O zmianie hasła i o włączeniu lub wyłączeniu weryfikacji dwuetapowej informujemy Cię e-mailem — zawsze, niezależnie od ustawień powiadomień.
• Połączenie ze stroną jest szyfrowane (HTTPS).
• Dostęp do danych w bazie jest ograniczony także na poziomie samej bazy danych, a nie tylko w kodzie aplikacji.
• Konta obsługi serwisu wymagają obowiązkowej weryfikacji dwuetapowej i działają w osobnej aplikacji, niedostępnej ze strony internetowej.
• Odnotowujemy decyzje obsługi dotyczące kont i treści, przeglądanie listy kont oraz każde otwarcie prywatnej rozmowy albo zdjęcia z rozmowy.
• Serwer jest monitorowany pod kątem włamań, podmiany plików i znanych luk w oprogramowaniu.

11a. Dane osób niepełnoletnich

Serwis jest przeznaczony wyłącznie dla osób pełnoletnich i nie kierujemy go do dzieci ani młodzieży. Zakładając konto, oświadczasz, że masz ukończone 18 lat (§3 ust. 3 Regulaminu).

Nie sprawdzamy wieku dokumentem tożsamości. Żądanie skanu dowodu od każdego rejestrującego się zamieniłoby sytuację, w której nie mamy danych o wieku, na zbiór skanów dokumentów tożsamości — a to dane, których wyciek jest znacznie groźniejszy niż problem, który miałyby rozwiązać. Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO) prowadzi tu do oświadczenia, nie do weryfikacji.

Jeżeli dowiemy się, że konto należy do osoby poniżej 18 lat — z jej własnej wiadomości, ze zgłoszenia opiekuna albo z treści, którą sama opublikowała — postępujemy tak:

1. konto zostaje niezwłocznie zablokowane, żeby nie powstawały kolejne dane,
2. dane konta i opublikowane treści usuwamy, chyba że konkretny przepis każe nam je zachować (np. rozliczenie zgłoszenia albo obrona przed roszczeniem); w takim wypadku ograniczamy je do niezbędnego minimum i kasujemy po ustaniu powodu,
3. o wyniku informujemy osobę, która zgłoszenie złożyła, o ile podała kontakt.

Jeżeli jesteś rodzicem lub opiekunem i sądzisz, że dziecko założyło u nas konto, napisz na adres kontaktowy z części 1. Nie musisz przy tym przysyłać żadnych dokumentów dziecka.

12. Zmiany polityki

O istotnych zmianach tego dokumentu poinformujemy Cię w serwisie albo e-mailem, podając datę, od której nowa wersja obowiązuje. Jeżeli zmiana dotyczy nowego celu przetwarzania Twoich danych, informujemy o nim, zanim zaczniemy dane w tym celu przetwarzać: gdy podstawą ma być zgoda — poprosimy o nią i bez niej nic się dla Ciebie nie zmieni; gdy prawnie uzasadniony interes — możesz wcześniej wnieść sprzeciw (część 10). Jeśli zakładasz konto w okresie między ogłoszeniem zmiany a jej wejściem w życie, formularz rejestracji informuje Cię o nowej wersji i pozwala ją przeczytać. Archiwalne wersje udostępniamy na żądanie.