Polityka prywatności

1. Kto jest administratorem danych

Administratorem danych osobowych opisanych w punktach 3–5 jest Łukasz Matwiejczyk, prowadzący działalność gospodarczą pod firmą Hexa Intelligence Łukasz Matwiejczyk, ul. Solec 52 m. 1, 00-382 Warszawa, NIP 525-298-18-62, REGON 527040477, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej („my”). We wszystkich sprawach dotyczących danych osobowych można pisać na adres [email protected] albo na adres pocztowy: ul. Solec 52 m. 1, 00-382 Warszawa.

Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie mamy takiego obowiązku. Sprawami danych osobowych zajmujemy się bezpośrednio.

2. Czego dotyczy ta polityka

Polityka opisuje przetwarzanie danych w serwisie opinka.pl oraz w związku z usługą Opinka. Dotyczy:

• właścicieli i pracowników firm korzystających z Opinki (punkt 3),
• osób odwiedzających serwis i kontaktujących się z nami (punkt 4),
• przedsiębiorców, którzy poprosili nas o kontakt w sprawie oferty (punkt 5),
• klientów firm korzystających z Opinki, którzy otrzymali SMS z prośbą o ocenę albo ocenili wizytę przez kod QR (punkt 6).

3. Klienci Opinki i ich pracownicy

Jakie dane

Imię i nazwisko, adres e-mail, numer telefonu (jeśli go podasz), hasło w postaci zabezpieczonej funkcją skrótu, nazwa firmy, numer NIP, dane do faktury, w tym dodatkowy adres e-mail do faktur (jeśli go podasz), historia płatności (przy zwykłym przelewie także nazwa nadawcy i numer rachunku, z którego przyszła wpłata), dane techniczne logowania (adres IP, informacje o przeglądarce, czas logowania), ustawienia logowania dwuetapowego, informacje o akceptacji dokumentów, zgodach i żądaniach złożonych przy płatności (wersja, data, adres IP, informacje o przeglądarce), kod rabatowy lub kod polecający, z którym założono konto, a za Twoją zgodą także oznaczenie kampanii reklamowej, z której nastąpiło wejście do serwisu (punkt 11).

Po podaniu numeru NIP pobieramy nazwę i adres firmy z publicznego wykazu podatników VAT (tzw. biała lista), aby uzupełnić dane do faktury. Jeśli prowadzisz jednoosobową działalność, mogą to być Twoje dane osobowe pochodzące z rejestru publicznego (art. 14 RODO). Numer NIP służy też do sprawdzenia, czy firma nie korzystała już z okresu próbnego.

Dane pracownika (imię i nazwisko, adres e-mail) otrzymujemy od firmy, która zaprasza go do konta (art. 14 RODO).

Cele i podstawy prawne

• Zawarcie i wykonanie umowy: założenie konta, świadczenie usługi, obsługa płatności, pomoc techniczna oraz wiadomości serwisowe dotyczące konta, bezpieczeństwa, płatności, faktur, końca okresu dostępu i zmian regulaminu (art. 6 ust. 1 lit. b RODO; wobec osób działających w imieniu firmy, np. pracowników, art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes w wykonaniu umowy z firmą).
• Pomoc w koncie: na prośbę firmy albo gdy jest to niezbędne do usunięcia awarii, rozpatrzenia reklamacji lub wyjaśnienia naruszenia regulaminu, upoważniona osoba może wejść do konta w trybie podglądu (§ 5 ust. 7 regulaminu). Każde takie wejście zapisujemy (kto, kiedy, które konto) i przechowujemy ten zapis przez 12 miesięcy (art. 6 ust. 1 lit. b i f RODO).
• Program poleceń: jeśli konto powstało z linku albo kodu polecającego, zapisujemy, która firma je poleciła. Kod polecający odczytujemy z adresu linku albo z pola formularza rejestracji; nie używamy do tego plików cookie. Firma polecająca widzi w swoim koncie nazwę Twojej firmy, datę założenia konta i informację, czy otrzymała za nie nagrodę. Kwot, danych płatności ani danych Twoich klientów jej nie pokazujemy (art. 6 ust. 1 lit. b RODO, a wobec osób działających w imieniu firmy art. 6 ust. 1 lit. f RODO).
• Ocena skuteczności reklam: tylko jeśli w oknie plików cookie klikniesz „Akceptuj wszystkie” albo włączysz w ustawieniach „Skuteczność reklam”, zapamiętujemy w sesji oznaczenia kampanii z adresu strony (parametry utm), informację, czy wejście nastąpiło z reklamy Google lub Facebooka (bez identyfikatora kliknięcia), oraz pierwszą odwiedzoną stronę, a przy zakładaniu konta zapisujemy je przy koncie. Dzięki temu wiemy, które reklamy przyprowadzają klientów. Podstawą jest Twoja zgoda (art. 6 ust. 1 lit. a RODO w związku z art. 399 Prawa komunikacji elektronicznej), którą wycofasz w każdej chwili linkiem „Ustawienia plików cookie” w stopce serwisu. Jeśli użyjesz kodu rabatowego z ulotki lub reklamy, zapisujemy ten kod przy koncie, aby rozliczyć rabat (art. 6 ust. 1 lit. b i f RODO).
• Obowiązki prawne: wystawianie faktur, w tym w Krajowym Systemie e-Faktur, oraz przechowywanie dokumentacji księgowej i podatkowej (art. 6 ust. 1 lit. c RODO w związku z przepisami podatkowymi i ustawą o rachunkowości).
• Okres próbny raz na firmę: po usunięciu konta przechowujemy numer NIP i datę usunięcia, aby okres próbny przysługiwał raz na firmę (art. 6 ust. 1 lit. f RODO).
• Dochodzenie i obrona roszczeń, bezpieczeństwo serwisu, dowód akceptacji dokumentów i zgód (art. 6 ust. 1 lit. f RODO).
• Informacje handlowe (porady, nowości i promocje dotyczące Opinki) wysyłamy e-mailem wyłącznie za Twoją odrębną zgodą (art. 398 Prawa komunikacji elektronicznej; przetwarzanie danych w tym celu: art. 6 ust. 1 lit. a RODO). Zgodę wyrażasz osobnym polem przy zakładaniu konta albo w ustawieniach konta. Wycofasz ją w ustawieniach konta albo linkiem „Wypisz się” w każdej takiej wiadomości. Dowód zgody i jej wycofania (data, treść zgody, adres IP) przechowujemy przez 3 lata od wycofania zgody lub zakończenia umowy. Bez takiej zgody otrzymujesz od nas tylko wiadomości serwisowe.

Jak długo

Konto, którego adres e-mail nie zostanie potwierdzony w ciągu 7 dni, usuwamy razem z danymi. Konto bez opłaconego abonamentu, do którego nikt nie logował się przez 24 miesiące, usuwamy po uprzedzeniu e-mailem co najmniej 30 dni wcześniej (§ 14 ust. 6 regulaminu). Pozostałe dane przechowujemy przez czas trwania umowy, a po jej zakończeniu przez okres przedawnienia roszczeń (co do zasady 3 lata dla roszczeń związanych z działalnością gospodarczą, liczone do końca roku kalendarzowego). Po usunięciu konta przechowujemy numer NIP i datę usunięcia przez 3 lata, aby okres próbny przysługiwał raz na firmę, a jeśli konto miało płatności, do końca okresu przechowywania dokumentów księgowych. Zapis akceptacji dokumentów i zgód przechowujemy przez 3 lata od zakończenia umowy lub wycofania zgody, a przy koncie z płatnościami także do końca tego okresu. Dokumenty księgowe przechowujemy przez 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

Czy musisz podać dane

Podanie danych jest dobrowolne, ale bez nich nie założysz konta. Dane do faktury są wymagane przez przepisy podatkowe.

4. Osoby odwiedzające serwis i kontaktujące się z nami

• Odwiedziny serwisu: ruch do serwisu przechodzi przez sieć Cloudflare, która chroni serwis przed atakami i przyspiesza jego działanie, oraz przez nasz serwer pośredniczący w Hetzner. Serwery oraz Cloudflare zapisują w logach adres IP, datę i godzinę, adres odwiedzanej strony oraz informacje o przeglądarce. Robimy to, aby serwis działał i był bezpieczny (art. 6 ust. 1 lit. f RODO). Logi serwera przechowujemy do 30 dni, a logi aplikacji do 14 dni.
• Korespondencja e-mailowa i telefoniczna: przetwarzamy dane, które nam przekażesz, aby odpowiedzieć (art. 6 ust. 1 lit. f RODO). Korespondencję przechowujemy do 3 lat, chyba że będzie potrzebna dłużej do dochodzenia lub obrony roszczeń.

5. Przedsiębiorcy, którzy poprosili o kontakt w sprawie oferty

Jeśli zostawisz nam numer telefonu lub adres e-mail i poprosisz o kontakt (np. e-mailem, przez formularz albo podczas rozmowy w Twoim lokalu), przetwarzamy te dane, aby przedstawić Ci ofertę Opinki:

• Jakie dane: nazwa firmy, imię i nazwisko osoby kontaktowej, numer telefonu, adres e-mail i ustalenia z rozmów.
• Cel i podstawa: kontakt telefoniczny lub e-mailowy w sprawie oferty na podstawie Twojej uprzedniej zgody (art. 398 Prawa komunikacji elektronicznej), a przetwarzanie danych w tym celu na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Dzwonimy i piszemy w sprawie oferty wyłącznie do osób, które wcześniej wyraziły na to zgodę. Zgodę możesz wycofać w każdej chwili.
• Jak długo: do 12 miesięcy od ostatniego kontaktu albo do wycofania zgody lub zgłoszenia sprzeciwu. Dowód zgody i jej wycofania przechowujemy przez 3 lata. Po sprzeciwie zachowujemy tylko numer telefonu i nazwę firmy na liście osób, z którymi się nie kontaktujemy.
• Sprzeciw i wycofanie zgody: wystarczy powiedzieć o tym podczas rozmowy albo napisać na [email protected].

6. Osoby, które otrzymały SMS z prośbą o ocenę wizyty

Jeśli na Twój numer przyszedł SMS z prośbą o ocenę wizyty albo oceniasz wizytę przez kod QR, administratorem Twoich danych jest firma, w której była wizyta. My przetwarzamy je wyłącznie w jej imieniu i na jej polecenie, na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO). Nazwę firmy znajdziesz w treści SMS-a i na stronie oceny, a informację o przetwarzaniu pod linkiem „Informacja o danych” na stronie oceny.

• Jakie dane: numer telefonu, imię (jeśli firma je wpisała albo podasz je, prosząc o kontakt), numer telefonu podany przy prośbie o kontakt (firma otrzymuje go w koncie i e-mailem), treść wysłanego SMS-a, ocena, zaznaczone odpowiedzi i uwagi, które przekażesz, daty wysłania wiadomości, otwarcia linku, oceny i kliknięcia przycisku do Google (firma widzi w koncie, czy nastąpiło przejście do Google), a także adres IP i informacje o przeglądarce w logach serwera.
• Wizyty w gabinetach medycznych: jeśli wizyta dotyczyła świadczenia zdrowotnego (np. gabinet stomatologiczny lub fizjoterapia), sama informacja o niej jest daną o zdrowiu. Firma może wysłać SMS tylko za Twoją wyraźną zgodą (art. 9 ust. 2 lit. a RODO), a wiadomość nie zawiera imienia ani informacji o leczeniu.
• Jak długo: numer telefonu jest zaszyfrowany i usuwany automatycznie po 30 dniach od jego wprowadzenia, razem z treścią wysłanego SMS-a. Przez 60 dni od wysyłki zachowujemy kryptograficzny skrót numeru i jego trzy ostatnie cyfry, aby ostrzec firmę przed ponowną prośbą do tej samej osoby; potem je usuwamy. Imię usuwamy po 30 dniach, jeśli nie przekazano wiadomości ani prośby o kontakt. Ocena, zaznaczone odpowiedzi, uwagi i imię osoby, która je przekazała, pozostają dostępne dla firmy, bez numeru telefonu, do czasu ich usunięcia przez firmę albo usunięcia jej konta.
• Rezygnacja: na stronie, do której prowadzi link z SMS-a, możesz jednym kliknięciem zrezygnować z kolejnych wiadomości od tej firmy wysyłanych przez Opinkę. Rezygnację możesz też zgłosić bezpośrednio firmie, która dopisze Twój numer do listy rezygnacji. Aby uszanować rezygnację, zachowujemy kryptograficzny skrót Twojego numeru, utworzony z użyciem tajnego klucza. Skrót służy wyłącznie do sprawdzenia, czy ten sam numer został wpisany ponownie; nie odtwarzamy z niego numerów, a klucz chronimy.
• Twoje prawa: najlepiej skontaktuj się bezpośrednio z firmą. Możesz też napisać do nas na [email protected], a my przekażemy Twoje żądanie firmie i pomożemy je zrealizować.

7. Komu przekazujemy dane

Nie sprzedajemy danych. Przekazujemy je wyłącznie podmiotom, które pomagają nam świadczyć usługę, na podstawie umów powierzenia, albo podmiotom działającym jako odrębni administratorzy:

• LINK Mobility Poland sp. z o.o. (SMSAPI), Polska: wysyłka SMS-ów,
• Cloudflare, Inc., USA: pośredniczenie w ruchu do serwisu, ochrona przed atakami i szyfrowanie połączeń,
• Hetzner Online GmbH, Niemcy: serwer pośredniczący, przez który ruch z internetu, w tym poczta e-mail wysyłana i odbierana przez serwis, trafia do serwera Opinki. Pełni rolę podobną do dostawcy łącza: dane przez niego przechodzą, ale nie są na nim trwale przechowywane. Serwer znajduje się w centrum danych w Norymberdze,
• PayPro S.A. (Przelewy24), Polska: obsługa płatności. PayPro jest odrębnym administratorem danych płatności,
• bank prowadzący nasz rachunek, Polska: obsługa zwykłych przelewów. Bank jest odrębnym administratorem danych z przelewu,
• Scanye sp. z o.o., Polska: wystawianie faktur i przesyłanie ich do Krajowego Systemu e-Faktur,
• Google Ireland Limited (Irlandia) i Google LLC (USA): wyszukiwanie wizytówki firmy w Mapach Google przy ustawianiu linku do opinii. Przekazujemy wyłącznie wpisaną nazwę lub adres firmy. Google działa jako odrębny administrator danych,
• podmioty świadczące nam usługi księgowe,
• organy publiczne, w tym organy podatkowe, gdy wymagają tego przepisy.

Serwer, na którym działa Opinka i przechowywane są dane, oraz serwer poczty e-mail są zarządzane przez nas i znajdują się na terenie Polski, w Warszawie. Tam też przechowujemy kopie zapasowe bazy danych. Dostawcy łączy telekomunikacyjnych przesyłają dane wyłącznie jako operatorzy transmisji, w postaci zaszyfrowanej.

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Odbiorcami spoza EOG są Cloudflare, Inc. i Google LLC z siedzibą w USA. Przekazanie odbywa się na podstawie decyzji wykonawczej Komisji (UE) 2023/1795 stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework), a w przypadku Cloudflare dodatkowo standardowych klauzul umownych (decyzja wykonawcza Komisji (UE) 2021/914). Kopię zabezpieczeń można otrzymać, pisząc na [email protected].

9. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania danych nieprawidłowych,
• usunięcia danych, gdy nie ma już podstawy do ich przetwarzania,
• ograniczenia przetwarzania,
• przenoszenia danych, które przetwarzamy na podstawie umowy lub zgody (na żądanie wysłane na [email protected] prześlemy je w pliku),
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, a wobec przetwarzania w celu marketingu bezpośredniego w każdym przypadku,
• wycofania zgody w dowolnym momencie, jeśli przetwarzanie odbywa się na jej podstawie. Nie wpływa to na zgodność z prawem wcześniejszego przetwarzania,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Na żądania odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

10. Zautomatyzowane decyzje

Nie podejmujemy wobec nikogo decyzji wywołujących skutki prawne ani w podobny sposób istotnie wpływających na osobę wyłącznie w sposób zautomatyzowany i nie profilujemy w rozumieniu art. 22 RODO. Statystyki i raporty w Opince dotyczą zbiorczo ocen wizyt w danej firmie.

11. Pliki cookie i pamięć przeglądarki

Pliki niezbędne do działania serwisu i usług, o które prosisz, zapisujemy bez zgody, zgodnie z art. 399 ust. 3 Prawa komunikacji elektronicznej. Za Twoją zgodą zapamiętujemy dodatkowo, z jakiej reklamy do nas trafiasz. Nie używamy cookie reklamowych ani narzędzi analitycznych i śledzących podmiotów trzecich. Czcionki serwujemy z naszego serwera.

Niezbędne

• opinka-session: utrzymuje sesję i chroni wypełniane formularze. Bez logowania wygasa po zamknięciu przeglądarki. Po zalogowaniu wygasa po 7 dniach bezczynności, a przy logowaniu bez opcji „Nie wylogowuj mnie” po zamknięciu przeglądarki,
• XSRF-TOKEN: chroni formularze przed atakami CSRF. Wygasa razem z sesją,
• remember_web_…: zapisywany tylko wtedy, gdy przy logowaniu zaznaczysz „Nie wylogowuj mnie przez 30 dni” (pole nie jest zaznaczone z góry). Wygasa po 30 dniach albo po wylogowaniu,
• opinka_kod: zapisywany tylko po otwarciu linku z kodem rabatowym (np. z kodu QR na ulotce), aby wpisać ten kod przy płatności. Wygasa po 60 dniach albo z końcem ważności kodu, jeśli nastąpi wcześniej, i jest usuwany po założeniu konta,
• opinka_cookies: zapamiętuje Twój wybór w oknie plików cookie (zgoda na „Skuteczność reklam” albo jej brak). Wygasa po 12 miesiącach,
• __cf_bm, cf_clearance, _cfuvid: pliki bezpieczeństwa Cloudflare, zapisywane tylko wtedy, gdy są potrzebne do odróżnienia ruchu ludzi od automatów i ochrony serwisu przed atakami. Wygasają po 30 minutach, z końcem sesji przeglądarki albo po czasie ważności weryfikacji,
• q-install-tip (pamięć przeglądarki, localStorage): zapamiętuje, że zamknięto podpowiedź o dodaniu Opinki do ekranu telefonu. Nie jest wysyłany do naszego serwera.

Za Twoją zgodą

• Źródło wejścia z reklamy: po kliknięciu „Akceptuj wszystkie” albo włączeniu „Skuteczności reklam” zapamiętujemy w sesji (plik opinka-session) oznaczenia kampanii z adresu strony (parametry utm), informację, czy wejście nastąpiło z reklamy Google lub Facebooka, oraz pierwszą odwiedzoną stronę, a przy zakładaniu konta zapisujemy je przy koncie (punkt 3). Bez zgody tych informacji nie zapisujemy.

Swój wybór zmienisz w każdej chwili linkiem „Ustawienia plików cookie” w stopce serwisu. Możesz też usunąć lub zablokować pliki cookie w ustawieniach przeglądarki, ale wtedy logowanie i formularze nie będą działać.

12. Bezpieczeństwo

Stosujemy szyfrowanie połączeń (HTTPS), szyfrowanie numerów telefonów w bazie danych, zabezpieczanie haseł funkcją skrótu, logowanie dwuetapowe (obowiązkowe dla administratorów serwisu i dostępne dla każdego konta), powiadomienia o zmianie adresu e-mail i hasła, zabezpieczenia przed wstrzykiwaniem obcych skryptów, ograniczenie liczby prób logowania, ograniczenie dostępu do danych do niezbędnych osób, zapis wejść do kont klientów przy pomocy technicznej oraz automatyczne usuwanie danych, które nie są już potrzebne. Codzienne kopie zapasowe bazy danych przechowujemy przez 14 dni, po czym są usuwane.

13. Zmiany polityki

O istotnych zmianach tej polityki poinformujemy klientów e-mailem i w panelu. Aktualna wersja jest zawsze dostępna pod adresem opinka.pl/polityka-prywatnosci. Polityka obowiązuje od 2 listopada 2026 r.