Polityka prywatności Digital Stories

1. Administrator danych

Administratorem danych jest Julia Polkowska, prowadząca działalność nierejestrowaną pod marką Digital Stories.

E-mail: hello@digitalstories.app.

Telefon: +48 518 153 394.

2. Jakie dane przetwarzamy

W zależności od korzystania z platformy możemy przetwarzać:

• dane konta i uwierzytelniania, w tym adres e-mail oraz identyfikator konta;
• dane kontaktowe;
• dane zamówień, ceny, walutę i statusy płatności;
• dane dotyczące zakupionych produktów i odnowień;
• treść zaproszenia i informacje o wydarzeniu;
• zdjęcia i inne materiały przesłane przez użytkownika;
• informacje potrzebne do działania zakupionych dodatków, takich jak lista prezentów, quiz, playlista lub prośby o utwory;
• odpowiedzi RSVP i inne dane przekazane przez gości;
• korespondencję dotyczącą pomocy i reklamacji;
• dane z formularza kontaktowego: imię, adres e-mail, opcjonalny numer telefonu, temat, opcjonalną treść wiadomości, język formularza oraz, gdy osoba jest zalogowana, identyfikator konta;
• techniczne informacje diagnostyczne i logi bezpieczeństwa.

Zakres danych zależy od funkcji faktycznie używanych przez klienta.

3. Cele i podstawy przetwarzania

Dane przetwarzamy w celu:

• założenia i obsługi konta;
• świadczenia usług i dostarczania zakupionych funkcji;
• obsługi zakupów, płatności i odnowień;
• rozpatrywania reklamacji i zapytań, w tym odpowiadania na wiadomości z formularza kontaktowego;
• zapewnienia bezpieczeństwa i zapobiegania nadużyciom;
• realizacji obowiązków prawnych;
• dochodzenia lub obrony roszczeń, gdy istnieje odpowiednia podstawa prawna.

Podstawy przetwarzania dobieramy odpowiednio do celu, w szczególności wykonanie umowy, obowiązek prawny oraz prawnie uzasadniony interes.

Jeżeli przetwarzanie wymaga zgody, nie zastępujemy jej samym korzystaniem z serwisu.

Serwis nie wysyła wiadomości marketingowych i nie zapisuje zgody marketingowej. Wiadomości e-mail dotyczące zamówienia i zaproszenia są wiadomościami transakcyjnymi.

4. Zaproszenia i dane gości

Użytkownicy mogą umieszczać w zaproszeniach dane dotyczące wydarzenia, zdjęcia i informacje o zaproszonych osobach.

Klient powinien ograniczać zakres danych do informacji potrzebnych do organizacji wydarzenia i upewnić się, że ma podstawę do ich udostępnienia.

Informacje dodane do opublikowanego zaproszenia mogą być dostępne dla osób posiadających link, zgodnie z funkcjami produktu.

Dane gości są przetwarzane w celu działania RSVP i innych funkcji, które zostały udostępnione.

Zakres obowiązków organizatora wydarzenia i Digital Stories zależy od tego, jakie dane organizator wprowadza i które funkcje włącza. Digital Stories nie przejmuje automatycznie wszystkich obowiązków organizatora wynikających z ochrony danych osobowych.

5. Płatności

Płatności są obsługiwane przez Stripe. Płatność odbywa się na stronie Stripe.

Digital Stories przechowuje informacje potrzebne do identyfikacji zamówienia, potwierdzenia płatności i obsługi transakcji.

Nie przechowujemy pełnych danych kart płatniczych w zakresie, w którym są one obsługiwane bezpośrednio przez Stripe.

6. Dostawcy usług

W celu działania platformy korzystamy z następujących dostawców:

• Supabase — konto, uwierzytelnianie, baza danych oraz przechowywanie plików, w tym zdjęć zaproszenia i galerii gości;
• Vercel — hosting aplikacji i uruchamianie zaplanowanych zadań technicznych;
• Stripe — obsługa płatności;
• Resend — wiadomości transakcyjne dotyczące zamówienia i zaproszenia, gdy wysyłka jest skonfigurowana;
• Google lub Apple — tylko gdy logowanie przez danego dostawcę jest włączone i klient z niego korzysta. Domyślnym sposobem założenia konta pozostaje e-mail i hasło.

Zależnie od używanych funkcji aplikacja może dodatkowo połączyć się z:

• OpenStreetMap Nominatim — gdy ustalane są współrzędne adresu miejsca wydarzenia;
• Cloudflare Turnstile — gdy przy działaniu gościa włączona jest ochrona przed nadużyciami;
• Spotify, YouTube lub Apple Music — gdy organizator dodał osadzoną playlistę, a przeglądarka gościa ją otwiera.

Nie korzystamy z narzędzi analitycznych ani reklamowych.

7. Transfery międzynarodowe

Niektóre usługi zewnętrzne mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym.

Dotyczy to w szczególności dostawców wymienionych powyżej. Lokalizacja przetwarzania i zabezpieczenia stosowane przy takim transferze wynikają z warunków danego dostawcy.

Nie twierdzimy, że wszystkie dane są przechowywane wyłącznie w Unii Europejskiej.

8. Okres przechowywania

Dane zamówień i płatności przechowujemy przez okres potrzebny do realizacji zamówienia oraz spełnienia obowiązków prawnych. Nie publikujemy tu osobnego, liczbowego terminu usunięcia dokumentacji transakcyjnej.

Treść zaproszenia, zdjęcia, odpowiedzi RSVP i dane związane z dodatkami są przechowywane w związku ze świadczeniem usługi oraz możliwością zarządzania zaproszeniem.

Po upływie okresu ważności publiczna strona zaproszenia staje się niedostępna. Samo wygaśnięcie nie oznacza automatycznego usunięcia całej treści i wszystkich zdjęć.

Zdjęcia galerii gości są w aplikacji oznaczane terminem 12 miesięcy od rozpoczęcia wydarzenia. Aplikacja zawiera mechanizm usuwania wygasłych plików tej galerii oraz niedokończonych przesłań. Mechanizm ten nie usuwa treści zaproszenia, zdjęć umieszczonych w samym zaproszeniu ani danych konta i zamówienia.

Archiwizacja po wydarzeniu wyłącza część funkcji publicznych. Nie jest tym samym co wygaśnięcie dostępu i nie usuwa przechowywanych danych.

Zgłoszenia kontaktowe o statusie nowe lub w trakcie obsługi przechowujemy przez czas potrzebny do ich rozpatrzenia. Nie usuwamy ich automatycznie wyłącznie z powodu upływu czasu. Nie jest to zobowiązanie do przechowywania bezterminowego: po zakończeniu obsługi sprawa jest zamykana i wtedy zaczyna biec jeden z okresów poniżej.

Zgłoszenia o statusie rozwiązane lub odrzucone aplikacja usuwa po 12 miesiącach od daty zamknięcia.

Zgłoszenia oznaczone jako spam aplikacja usuwa po 30 dniach od oznaczenia. Status spam wyłącza oznaczenie sporu. Takie zgłoszenie nie korzysta z dłuższego okresu przewidzianego dla spraw spornych.

Zgłoszenie oznaczone jako spór lub roszczenie, które pozostaje nowe albo w trakcie obsługi, nie jest usuwane automatycznie. Po ustawieniu statusu rozwiązane lub odrzucone aplikacja przechowuje je przez 3 lata od daty zamknięcia, a nie przez zwykłe 12 miesięcy. Dłuższe przechowywanie jest możliwe tylko wtedy, gdy jest uzasadnione koniecznością ustalenia, dochodzenia lub obrony roszczeń. Administrator może wtedy wstrzymać automatyczne usuwanie tego zgłoszenia i musi zapisać uzasadnienie. Po wyłączeniu wstrzymania zgłoszenie wraca do zwykłego okresu retencji.

Usuwanie wykonuje zaplanowane zadanie aplikacji. Nie usuwa ono zamówień, płatności ani kont. Podane okresy są zasadami Digital Stories. Nie wynikają one jako takie z RODO i nie są terminami bezwzględnie nakazanymi przez te przepisy.

9. Bezpieczeństwo

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony danych.

Nie gwarantujemy całkowitego braku ryzyka związanego z korzystaniem z Internetu.

10. Pliki cookie i dane techniczne

Używamy plików cookie i podobnych mechanizmów niezbędnych do konta, logowania i bezpieczeństwa. Nie używamy cookies analitycznych, reklamowych ani innych narzędzi śledzących.

Niezbędne pliki cookie:

• cookie sesji Supabase, o nazwach zaczynających się od „sb-” i zawierających „auth-token”, oraz krótkotrwały weryfikator logowania — utrzymanie sesji i dokończenie logowania;
• ds-auth-next — zapamiętanie strony w serwisie, na którą użytkownik ma wrócić po logowaniu; plik ma krótki czas życia;
• ds-auth-recovery — krótkotrwały plik HttpOnly ustawiany po otwarciu linku odzyskiwania hasła; pozwala zapisać nowe hasło i jest usuwany po zapisaniu albo po wygaśnięciu;
• ds_guest — losowy identyfikator ważny 24 godziny, oznaczony jako HttpOnly, używany wyłącznie do ograniczania nadużyć przy działaniach gości. Adres IP nie jest zapisywany w tym pliku cookie.

Dane zapisywane w przeglądarce, które nie są plikami cookie:

• localStorage pod kluczem digitalstory:rsvp: — kopia własnej odpowiedzi RSVP na urządzeniu gościa; źródłem odpowiedzi pozostaje serwer;
• localStorage pod kluczem ds-lifecycle-notice — zapamiętanie zamknięcia komunikatu w panelu właściciela;
• sessionStorage pod kluczem ds-editor-draft — robocza kopia edycji w bieżącej karcie przeglądarki.

Na stronach płatności Stripe może stosować własne pliki cookie. Digital Stories nie osadza skryptu płatniczego na swoich stronach.

11. Prawa osób, których dane dotyczą

Osobom, których dane dotyczą, przysługują prawa wynikające z obowiązujących przepisów, w tym w określonych przypadkach:

• dostęp do danych;
• sprostowanie;
• usunięcie;
• ograniczenie przetwarzania;
• przenoszenie danych;
• sprzeciw;
• cofnięcie zgody, jeśli jest podstawą przetwarzania.

Żądania można kierować na hello@digitalstories.app.

Przysługuje również prawo wniesienia skargi do właściwego organu nadzorczego, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych.

12. Zmiany polityki

Aktualna polityka jest publikowana na tej stronie wraz z datą ostatniej aktualizacji.