Polityka prywatności Szeffowej
§ 1. Kto odpowiada za Twoje dane
Administratorem Twoich danych osobowych jest SN Spółka z ograniczoną odpowiedzialnością z siedzibą w Radlinie, ul. Rybnicka 347, 44-310 Radlin, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Gliwicach, X Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001205081, NIP 6472615947, REGON 543240011, kapitał zakładowy 5 000 zł — dalej „my”.
We wszystkich sprawach dotyczących danych osobowych napisz na kontakt@nataliamodzelewska.pl albo zadzwoń: +48 664 728 018.
Nie wyznaczyliśmy inspektora ochrony danych. Nie mamy takiego obowiązku, bo nasza główna działalność nie polega na przetwarzaniu danych osobowych na dużą skalę (art. 37 RODO).
§ 2. Czego dotyczy ta polityka
- Polityka opisuje, jak przetwarzamy dane osobowe w związku z:
- aplikacją i stroną Szeffowa pod adresem szeffowa.app, w tym kalkulatorem pod adresem szeffowa.app/potencjal,
- kontem właścicielki salonu i korzystaniem z Szeffowej,
- zapisem na spotkania online (webinary), na listę oczekujących i na listę mailową,
- profilem Szeffowej na Instagramie,
- kontaktem z nami.
- Szeffowa jest narzędziem dla przedsiębiorczyń. Konto może założyć osoba pełnoletnia, która prowadzi salon albo działa w jego imieniu.
- Dane zespołu Twojego salonu przetwarzamy w Twoim imieniu, nie we własnym. Dotyczy to pracownic, osób z kontem w panelu salonu (także recepcji) oraz osób, których dane znajdują się w dokumentach wczytywanych do Szeffowej, na przykład na fakturach. Ich administratorem jest salon. Zasady tego przetwarzania określa umowa powierzenia przetwarzania danych, która jest załącznikiem do regulaminu. Opisujemy je krótko w § 10.
- Szeffowa nie służy do zbierania danych klientek salonu i nie ma na nie miejsca. Szeffowa zna zabiegi, ceny, czas i koszty, a nie osoby, które z nich korzystają.
§ 3. Skąd mamy Twoje dane
- Od Ciebie — gdy zakładasz konto, wpisujesz dane salonu, zapisujesz się na webinar, na listę oczekujących albo na listę mailową, korzystasz z asystentki, piszesz do nas albo kontaktujesz się z nami na Instagramie.
- Od Google — gdy logujesz się kontem Google. Otrzymujemy wtedy adres e-mail wraz z informacją, że Google go potwierdził, imię, nazwisko, adres zdjęcia profilowego, identyfikator konta Google oraz klucze logowania, które Google wydaje dla Szeffowej.
- Automatycznie — adres sieci (IP) i dane techniczne Twojego urządzenia, gdy korzystasz z Szeffowej i gdy otwierasz nasze wiadomości, w zakresie opisanym w § 4.
§ 4. Jakie dane, po co i na jakiej podstawie
| Po co | Jakie dane | Podstawa prawna |
|---|---|---|
| Założenie i prowadzenie konta, świadczenie usługi Szeffowa | adres e-mail, imię, nazwisko, forma, w jakiej mamy się do Ciebie zwracać, skrót hasła (samego hasła nie znamy), przy logowaniu kontem Google — dane z § 3 ust. 2; dane salonu, w tym NIP (przy jednoosobowej działalności to dane osobowe); dane, które wpisujesz do Szeffowej; data ostatniego logowania; termin okresu bezpłatnego | umowa — art. 6 ust. 1 lit. b RODO |
| Logowanie i bezpieczeństwo — utrzymanie sesji, ograniczenie liczby prób logowania, rejestracji i zapisów | identyfikator sesji; przy każdej próbie logowania, rejestracji i zapisu na webinar — skrót adresu sieci i skrót adresu e-mail z datą (samych adresów w tej części bazy nie zapisujemy) | nasz prawnie uzasadniony interes: ochrona kont i usługi przed nadużyciem — art. 6 ust. 1 lit. f RODO |
| Logi serwera — wykrywanie błędów i ochrona przed atakami | adres sieci, czas, adres strony, o którą prosi przeglądarka (link z maila zawiera czasem Twój adres e-mail), kod odpowiedzi i dane przeglądarki; przy błędzie — jego rodzaj i miejsce w programie, bez treści, którą wpisujesz, i bez treści dokumentów. Zapisuje je dostawca serwerów (§ 6) | nasz prawnie uzasadniony interes: działanie i bezpieczeństwo usługi — art. 6 ust. 1 lit. f RODO |
| Asystentka i wczytywanie dokumentów — odpowiedzi na pytania o Twój salon, odczyt faktury, zdjęcia faktury i cennika | treść Twoich pytań i odpowiedzi; liczby salonu; treść wczytanego dokumentu | umowa — art. 6 ust. 1 lit. b RODO |
| Kalkulator pod adresem szeffowa.app/potencjal — żeby wysłać Ci link do konta i żeby wpisane liczby nie przepadły, gdy przejdziesz do rejestracji | adres e-mail, na który wysyłamy link do konta; kilka liczb o salonie i odpowiedź na pytanie o wielkość zespołu — zapisujemy je w pliku cookie na Twoim urządzeniu, gdy prosisz o link, a w naszej bazie dopiero przy zakładaniu konta | umowa, o której zawarcie prosisz — art. 6 ust. 1 lit. b RODO |
| Wiadomości o koncie — potwierdzenie adresu, zmiana hasła, zaproszenie osoby z zespołu | adres e-mail, treść wiadomości | umowa — art. 6 ust. 1 lit. b RODO |
| Webinar — zapis, link do spotkania, przypomnienie, nagranie | adres e-mail; data zapisu; adres sieci przy zapisie jako dowód zapisu; w czasie spotkania — dane, które sama pokażesz w Zoom, na przykład imię, obraz i wiadomości na czacie | umowa o udział w spotkaniu — art. 6 ust. 1 lit. b RODO |
| Lista oczekujących i lista mailowa — informacje o Szeffowej, nowościach i ofercie | adres e-mail; grupa, do której należysz; data i adres sieci przy zapisie jako dowód zgody | zgoda — art. 6 ust. 1 lit. a RODO w związku z art. 398 ustawy Prawo komunikacji elektronicznej |
| Sprawdzanie, czy wiadomość dotarła i co Cię zainteresowało — dopasowanie treści maili | informacja, czy otworzyłaś wiadomość i który link kliknęłaś, z datą i przybliżoną lokalizacją ustaloną na podstawie adresu sieci | nasz prawnie uzasadniony interes: wysyłanie treści, które są dla Ciebie przydatne — art. 6 ust. 1 lit. f RODO; możesz się sprzeciwić (§ 9) |
| Opieka nad salonami — żeby wiedzieć, której właścicielce pomóc w pierwszych tygodniach | dane konta salonu; skąd salon do nas trafił; grupa mailowa; sygnały korzystania: liczba dni z wpisami, data ostatniego wpisu i ostatniego logowania | nasz prawnie uzasadniony interes: wsparcie klientek i rozwój usługi — art. 6 ust. 1 lit. f RODO; możesz się sprzeciwić (§ 9) |
| Kontakt i zgłoszenia | dane, które podajesz w wiadomości | nasz prawnie uzasadniony interes: odpowiedź na wiadomość — art. 6 ust. 1 lit. f RODO; w sprawach dotyczących umowy — art. 6 ust. 1 lit. b RODO |
| Profil na Instagramie | zasady opisujemy w § 12 | nasz prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO |
| Ustalenie, dochodzenie i obrona roszczeń | dane z umowy i korespondencji | nasz prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO |
Twoich danych nie używamy do profilowania reklamowego i nie łączymy ich z danymi z innych serwisów.
§ 5. Czy musisz podać dane
- Podanie adresu e-mail, imienia i nazwiska jest dobrowolne, ale bez nich nie założysz konta.
- Bez adresu e-mail nie zapiszesz się na webinar ani na listę.
- Zgodę na maile możesz wycofać w każdej chwili — linkiem „Wypisz się” w każdej wiadomości albo pisząc na adres z § 1. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonaliśmy wcześniej.
§ 6. Komu przekazujemy dane
Dane przekazujemy wyłącznie podmiotom, bez których Szeffowa nie mogłaby działać, i tylko w potrzebnym zakresie. Z każdym podmiotem, który przetwarza dane w naszym imieniu, łączy nas umowa powierzenia przetwarzania danych.
Przetwarzają dane w naszym imieniu:
| Kto | Po co | Gdzie są dane | Podstawa przekazania poza EOG |
|---|---|---|---|
| Vercel Inc. (USA) | serwery aplikacji — przez nie przechodzi każde żądanie | Unia Europejska, Frankfurt; spółka z USA, dostęp z USA jest możliwy | decyzja Komisji Europejskiej (EU-U.S. Data Privacy Framework) w zakresie certyfikacji odbiorcy; poza nim standardowe klauzule umowne |
| Databricks, Inc. (USA), usługa Neon | baza danych | Unia Europejska, Frankfurt | decyzja Komisji Europejskiej (EU-U.S. Data Privacy Framework) w zakresie certyfikacji odbiorcy; poza nim standardowe klauzule umowne |
| Anthropic Ireland, Limited (Irlandia) | model językowy: asystentka, odczyt faktur i cenników | USA — przechowywanie i obliczenia modelu | standardowe klauzule umowne |
| Plus Five Five, Inc. (USA), usługa Resend | wysyłka wiadomości o koncie | USA | standardowe klauzule umowne |
| MailerLite Limited (Irlandia) i MailerLite, Inc. (USA) | lista oczekujących, lista mailowa, wiadomości o webinarze | Unia Europejska (Holandia, Niemcy); umowa powierzenia wskazuje spółkę z USA, dostęp z USA jest możliwy | decyzja Komisji Europejskiej (EU-U.S. Data Privacy Framework) w zakresie certyfikacji odbiorcy; poza nim standardowe klauzule umowne |
| Zoom Communications, Inc. (USA) | prowadzenie webinaru | USA i inne kraje | decyzja Komisji Europejskiej (EU-U.S. Data Privacy Framework) w zakresie certyfikacji odbiorcy; poza nim standardowe klauzule umowne |
Działają na własnych zasadach, jako odrębni administratorzy:
| Kto | Kiedy |
|---|---|
| Google Ireland Limited | gdy logujesz się kontem Google; gdy uruchamiasz film instruktażowy z YouTube (w trybie bez personalizacji, youtube-nocookie.com); gdy otwierasz wiadomość, która pobiera kroje pisma z serwerów Google |
| Zoom Communications, Inc. | w zakresie danych technicznych o połączeniu, które Zoom przetwarza we własnych celach, na przykład bezpieczeństwa |
| Meta Platforms Ireland Limited | gdy korzystasz z Instagrama, także na naszym profilu (§ 12) |
| Kancelarie prawne i doradcy podatkowi | gdy sprawa tego wymaga — z obowiązkiem tajemnicy zawodowej |
Czego nie przekazujemy. Gdy wklejasz link do cennika w Booksy albo w Salonerze, publiczną stronę cennika pobiera nasz serwer — te serwisy nie otrzymują od nas Twoich danych. Zapisujemy wyłącznie zabiegi, ceny i czas. Kursy walut pobieramy z publicznego serwisu Narodowego Banku Polskiego, również bez Twoich danych.
Gdy sprawa tego wymaga, dane otrzymuje także biuro rachunkowe, które prowadzi księgi spółki — z obowiązkiem tajemnicy zawodowej.
Dane udostępniamy organom publicznym, gdy obowiązek wynika z przepisu prawa, i w zakresie, którego ten przepis wymaga.
Nie sprzedajemy danych i nie przekazujemy ich nikomu do jego własnych celów reklamowych.
§ 7. Przekazywanie danych poza Europejski Obszar Gospodarczy
- Część naszych dostawców to spółki z USA albo przechowuje dane w USA — kogo to dotyczy, pokazuje tabela w § 6.
- Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-U.S. Data Privacy Framework), gdy odbiorca jest nią objęty, albo na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Podstawę dla każdego dostawcy podajemy w § 6.
- Kopię zabezpieczeń możesz otrzymać, pisząc na adres z § 1.
§ 8. Jak długo przechowujemy dane
Okres zależy od celu, nie od rodzaju danych.
| Cel | Jak długo |
|---|---|
| konto i dane salonu | do usunięcia konta — konto nie wygasa samo; po usunięciu przez 30 dni na wypadek pomyłki, potem usuwamy dane trwale |
| rozmowy z asystentką | 12 miesięcy od ostatniej wiadomości w rozmowie |
| treść przekazana do modelu językowego | u dostawcy modelu do 30 dni (szczegóły w § 11) |
| wczytany plik faktury albo cennika | pliku nie zapisujemy — zostają tylko odczytane pozycje, które zatwierdzisz |
| sesja logowania | do wylogowania, najdłużej 30 dni |
| skróty adresów z ograniczania prób | 30 dni |
| logi serwera | do 30 dni |
| zapis na webinar | do końca spotkania i wysłania nagrania |
| nagranie webinaru | 3 miesiące — na nagraniu jest wyłącznie prowadząca i jej ekran |
| lista oczekujących i lista mailowa | do wycofania zgody; dowód zgody — do upływu terminu przedawnienia roszczeń |
| informacja o otwarciach i kliknięciach | dopóki jesteś na liście albo do wniesienia sprzeciwu |
| kalkulator pod adresem szeffowa.app/potencjal | plik cookie na Twoim urządzeniu — 30 dni |
| profil na Instagramie | zgodnie z § 12 |
| roszczenia | do upływu terminu przedawnienia — co do zasady 3 lata dla roszczeń związanych z działalnością gospodarczą, licząc do końca roku kalendarzowego (art. 118 Kodeksu cywilnego) |
| kopie zapasowe bazy | dane usunięte z bazy znikają z kopii zapasowych najpóźniej po 30 dniach |
§ 9. Twoje prawa
Masz prawo:
- dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO),
- sprostowania danych (art. 16 RODO),
- usunięcia danych (art. 17 RODO) — w granicach, w których nie musimy ich przechowywać z mocy prawa,
- ograniczenia przetwarzania (art. 18 RODO),
- przeniesienia danych, które nam podałaś, w formacie nadającym się do odczytu maszynowego (art. 20 RODO),
- sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21 RODO), w tym wobec sprawdzania otwarć wiadomości i sygnałów korzystania opisanych w § 4,
- wycofania zgody w każdej chwili — bez wpływu na zgodność z prawem przetwarzania, którego dokonaliśmy wcześniej,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.
Żeby skorzystać z praw z punktów 1–7 albo usunąć konto, napisz na adres z § 1. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W sprawach złożonych termin może się wydłużyć o kolejne dwa miesiące — wtedy napiszemy, dlaczego.
§ 10. Dane zespołu salonu i dane z dokumentów
- Gdy wpisujesz do Szeffowej dane swoich pracownic, zakładasz konta osobom z zespołu albo wczytujesz dokument z danymi innej osoby, to Ty, jako salon, decydujesz, po co te dane są przetwarzane, i jesteś ich administratorem.
- My przetwarzamy je wyłącznie na Twoje polecenie, w zakresie opisanym w umowie powierzenia: żeby Szeffowa mogła policzyć Twój salon i żeby osoby z zespołu mogły się logować.
- O pracownicy w Szeffowej mogą się znaleźć:
- imię — a jeśli ma własne konto, także nazwisko i adres e-mail,
- stanowisko i dział,
- forma zatrudnienia, wymiar etatu albo liczba godzin, data zatrudnienia i odejścia,
- wynagrodzenie, premia, prowizje, cel sprzedaży, składki, udział w PPK i informacja o uldze podatkowej dla młodych,
- dni wolne i urlop — sama data, bez powodu nieobecności,
- sprzedaż przypisana do niej.
- Danych pracownic nie pobieramy z innych systemów — salon wpisuje je sam.
- Pracownica, która chce skorzystać ze swoich praw, kieruje żądanie do salonu. Jeśli trafi ono do nas, przekażemy je salonowi i pomożemy mu odpowiedzieć.
- Podmioty, którym powierzamy te dane dalej, wymienia tabela w § 6. O zmianie tej listy uprzedzamy salon e-mailem 30 dni wcześniej.
§ 11. Sztuczna inteligencja i decyzje automatyczne
- Asystentka w panelu jest programem, nie człowiekiem. Odpowiada z pomocą modelu językowego firmy Anthropic. Ten sam model odczytuje faktury i cenniki, które wczytujesz.
- Do modelu trafia tylko to, czego potrzebuje dana odpowiedź: Twoje pytanie, liczby Twojego salonu albo treść wczytanego dokumentu — nie cała baza.
- Anthropic przetwarza tę treść w naszym imieniu i zgodnie ze swoimi warunkami nie używa jej do uczenia modeli. Usuwa ją w ciągu 30 dni. Dłużej, do 2 lat, może ją przechowywać tylko wtedy, gdy jego systemy bezpieczeństwa wykryją naruszenie zasad korzystania z usługi.
- Wynik odczytu faktury widzisz przed zapisaniem — zapisuje się tylko to, co zatwierdzisz.
- Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne albo w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Wyniki w Szeffowej mają charakter informacyjny i zarządczy.
§ 12. Profil Szeffowej na Instagramie
- Prowadzimy profil Szeffowej na Instagramie. Gdy go obserwujesz, komentujesz, reagujesz na nasze treści albo piszesz do nas wiadomość, przetwarzamy Twoją nazwę profilu, publicznie widoczne informacje z niego oraz treść, którą nam zostawiasz.
- Robimy to, żeby prowadzić profil, odpowiadać na komentarze i wiadomości oraz informować o Szeffowej — to nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
- Statystyki profilu otrzymujemy od Meta wyłącznie w formie zbiorczej, bez danych konkretnych osób.
- Za przetwarzanie danych w ramach samego Instagrama odpowiada Meta Platforms Ireland Limited, na zasadach swojej polityki prywatności. Swoje prawa możesz wykonać u nas, w zakresie danych, które przetwarzamy, albo bezpośrednio u Meta.
- Komentarze i wiadomości pozostają na Instagramie, dopóki ich nie usuniesz Ty albo my.
§ 13. Pliki cookie
- Szeffowa używa wyłącznie plików cookie potrzebnych do działania usługi, o którą prosisz. Takie pliki nie wymagają zgody (art. 399 ust. 3 pkt 2 ustawy Prawo komunikacji elektronicznej).
Plik Po co Jak długo __Secure-authjs.session-tokenutrzymanie zalogowania do wylogowania, najdłużej 30 dni __Host-authjs.csrf-tokenochrona formularzy logowania przed podszyciem się do zamknięcia przeglądarki __Secure-authjs.callback-urlpowrót na właściwą stronę po zalogowaniu do zamknięcia przeglądarki __Secure-authjs.pkce.code_verifier,__Secure-authjs.state,__Secure-authjs.noncebezpieczne logowanie kontem Google 15 minut bosska_potencjalliczby wpisane w kalkulatorze, żeby nie przepadły przy rejestracji — zapisujemy go, gdy prosisz o link 30 dni zaplecze_sesja,bosska_podglad_wersjiwyłącznie dla naszego zespołu, w części administracyjnej 7 dni i 12 godzin - Nie używamy narzędzi analitycznych ani reklamowych i nie śledzimy Cię między stronami.
- Filmy instruktażowe w panelu odtwarzamy z YouTube w trybie bez personalizacji (youtube-nocookie.com). Odtwarzacz ładuje się dopiero, gdy klikniesz „Odtwórz film” — od tej chwili Google otrzymuje Twój adres sieci i może zapisać na Twoim urządzeniu własne pliki, na swoich zasadach.
- Wiadomości z listy mailowej zawierają niewidoczny obrazek i linki, które pozwalają sprawdzić otwarcie i kliknięcie (§ 4). Możesz temu zapobiec, wyłączając w programie pocztowym automatyczne pobieranie obrazów, albo zgłosić sprzeciw.
- Ustawienia plików cookie zmienisz w przeglądarce. Zablokowanie plików logowania uniemożliwi zalogowanie.
§ 14. Jak chronimy dane
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), między innymi szyfrowane połączenie z aplikacją, przechowywanie haseł wyłącznie w postaci skrótu, oddzielenie danych każdego salonu od danych innych salonów oraz dostęp do danych ograniczony do osób, które go potrzebują. Żaden system nie jest w pełni odporny na ataki. Jeśli dojdzie do naruszenia, które może powodować wysokie ryzyko dla Twoich praw, powiadomimy Cię zgodnie z art. 34 RODO.
§ 15. Zmiany polityki
Politykę zmieniamy, gdy zmienia się Szeffowa, jej dostawcy albo przepisy. O istotnej zmianie napiszemy do Ciebie e-mailem albo w panelu przed jej wejściem w życie. Poprzednie wersje polityki prześlemy Ci na prośbę.