Polityka prywatności

1. Administrator danych

2. Jakie dane przetwarzamy

W związku ze świadczeniem usługi przetwarzamy:

• adres e-mail osoby zamawiającej Stronę (Twórcy) — do przesłania linku do Panelu autora, potwierdzenia zakupu oraz kontaktu w sprawie zamówienia;
• treść wprowadzoną przez Twórcę do Strony — np. imiona, wiadomości, zdjęcia, załączony plik PDF;
• hasło do Strony, jeśli Twórca zdecyduje się je ustawić — przechowywane wyłącznie w postaci zaszyfrowanej (funkcja skrótu), nigdy jawnym tekstem;
• odpowiedzi udzielone przez Adresata na Stronie (np. odpowiedź na pytanie, wybór terminu), jeśli Strona zawiera taki element;
• zanonimizowane dane techniczne o odsłonach Strony — adres IP odwiedzającego jest nieodwracalnie przekształcany funkcją skrótu (hash) przed zapisaniem i nie jest przechowywany w postaci jawnej;
• dane niezbędne do rozliczenia płatności, przetwarzane przez operatora płatności Stripe (patrz pkt 4).

3. Cel i podstawa prawna przetwarzania

• Wykonanie umowy (art. 6 ust. 1 lit. b RODO) — utworzenie i dostarczenie Strony, obsługa Panelu autora, kontakt w sprawie zamówienia.
• Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) — zapobieganie nadużyciom i atakom (np. limitowanie liczby prób logowania), utrzymanie bezpieczeństwa Serwisu, dochodzenie i obrona przed roszczeniami.
• Obowiązek prawny (art. 6 ust. 1 lit. c RODO) — np. przechowywanie dokumentów rozliczeniowych zgodnie z przepisami podatkowymi.

Dane Adresata przetwarzane są w zakresie odpowiedzi udzielonych na Stronie na podstawie prawnie uzasadnionego interesu Twórcy w otrzymaniu tej informacji oraz administratora w umożliwieniu tej funkcji.

4. Komu przekazujemy dane

Nie sprzedajemy ani nie wynajmujemy danych osobowych żadnym podmiotom trzecim w celach marketingowych. Dane są przekazywane wyłącznie zaufanym dostawcom usług, w zakresie niezbędnym do działania Serwisu:

• Stripe — obsługa płatności;
• Resend — wysyłka wiadomości e-mail (potwierdzenie zamówienia, link do Panelu autora, kody dostępu);
• Cloudflare (R2) — przechowywanie plików (zdjęcia, załączniki PDF);
• Neon — baza danych Serwisu;
• Vercel — hosting i infrastruktura Serwisu;
• Upstash — techniczne limitowanie liczby żądań (ochrona przed nadużyciami), bez przechowywania treści danych osobowych.
• Google (Google Analytics, Google Ads) — wyłącznie na stronie głównej i stronie tworzenia Strony, i wyłącznie jeśli wyrazisz na to zgodę w banerze cookies — patrz pkt 8.

Część z tych dostawców może przetwarzać dane poza Europejskim Obszarem Gospodarczym. W takich przypadkach stosowane są odpowiednie zabezpieczenia przewidziane przez RODO (m.in. standardowe klauzule umowne lub udział dostawcy w uznanych mechanizmach transferu danych) — szczegóły dostępne są w politykach prywatności poszczególnych dostawców.

5. Dostęp administracyjny

Dostęp do danych przechowywanych w Serwisie mają wyłącznie osoby upoważnione przez administratora, wyłącznie w zakresie niezbędnym do obsługi zgłoszeń, rozwiązywania problemów technicznych oraz przeciwdziałania nadużyciom. Działania podejmowane w panelu administracyjnym są rejestrowane w dzienniku zdarzeń.

6. Okres przechowywania danych

Pliki dołączone do Strony (zdjęcia, filmy, załączniki PDF) usuwane są trwale z infrastruktury przechowywania najpóźniej w ciągu 7 dni od wygaśnięcia Strony. Pliki dodane do zamówienia, które nigdy nie zostało opłacone, usuwane są po 30 dniach od ich dodania. Usunięcie jest nieodwracalne — zalecamy zachowanie własnej kopii ważnych plików.

Treść Strony oraz adres e-mail Twórcy są przechowywane przez czas aktywności Strony wynikający z wybranego Planu, a następnie przez dodatkowy okres niezbędny do celów rozliczeniowych, dowodowych (np. w związku ze zgodą, o której mowa w §5 Regulaminu) oraz obsługi ewentualnych reklamacji. Na żądanie skierowane na adres hello@surprily.com dane mogą zostać usunięte wcześniej, o ile nie stoi to w sprzeczności z obowiązkiem prawnym administratora (np. przepisami podatkowymi).

7. Prawa osoby, której dane dotyczą

Każdej osobie, której dane przetwarzamy, przysługuje prawo do: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. W tym celu prosimy o kontakt pod adresem hello@surprily.com. Przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

8. Pliki cookies

Serwis wykorzystuje pliki cookies niezbędne do jego działania:

• utrzymanie sesji Panelu autora po zalogowaniu kodem jednorazowym;
• zapamiętanie autoryzacji dostępu do Strony chronionej hasłem;
• sesja logowania w panelu administracyjnym;
• zapamiętanie Twojej decyzji w banerze zgody opisanym poniżej (surprily_consent).

Na stronie głównej i stronie tworzenia Strony (nigdy na prywatnych Stronach-niespodziankach ani w Panelu autora) wyświetlamy baner z pytaniem o zgodę na cookies analityczne i reklamowe. Google Analytics (pomiar odwiedzin) oraz Google Ads (pomiar skuteczności reklam, w tym zdarzenie potwierdzające dokonanie zakupu) uruchamiane są wyłącznie po wyrażeniu zgody w tym banerze — podstawą prawną jest wówczas Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą możesz w każdej chwili wycofać, czyszcząc cookies przeglądarki. Odmowa zgody nie ogranicza dostępu do żadnej funkcji Serwisu. Więcej informacji: polityka prywatności Google.

9. Bezpieczeństwo

Hasła do Stron przechowywane są w postaci nieodwracalnie zaszyfrowanej. Adresy Stron generowane są w sposób praktycznie niemożliwy do odgadnięcia i nie są indeksowane przez wyszukiwarki internetowe. Sesje w Panelu autora oraz w panelu administracyjnym zabezpieczone są kryptograficznie podpisywanymi tokenami.

Pliki (zdjęcia, filmy, załączniki PDF) przechowywane są w infrastrukturze Cloudflare R2, w dwóch oddzielnych zasobnikach: publicznym (zdjęcia i filmy wyświetlane na Stronie) oraz prywatnym, niepublicznym (załączniki PDF — udostępniane wyłącznie po stronie serwera, po zweryfikowaniu, że dany plik rzeczywiście należy do wskazanej, aktywnej Strony). Nazwy (adresy) plików generowane są losowo przy użyciu kryptograficznie bezpiecznego generatora i praktycznie nie da się ich odgadnąć ani wywnioskować z adresu Strony.

Pamiętaj, że dostęp do Strony i dołączonych do niej plików uzyskuje każda osoba, która wejdzie w posiadanie linku do Strony — to, komu przekażesz link i czy zachowa on poufność, zależy od Ciebie i Adresata (szczegóły: Regulamin, §10).

Żaden system teleinformatyczny nie jest wolny od ryzyka. Administrator dokłada należytej staranności przy doborze i konfiguracji dostawców infrastruktury (Cloudflare, Vercel, Neon) oraz stosuje opisane wyżej zabezpieczenia, jednak — w zakresie dopuszczalnym przez bezwzględnie obowiązujące przepisy o ochronie danych osobowych — nie ponosi odpowiedzialności za incydenty bezpieczeństwa powstałe wyłącznie po stronie tych dostawców i pozostające poza jego kontrolą.

10. Zmiany Polityki prywatności

Data ostatniej aktualizacji widoczna jest na początku tego dokumentu. O istotnych zmianach (np. nowym odbiorcy danych, zmianie celu przetwarzania) poinformujemy widocznym komunikatem w Serwisie.

11. Kontakt

W sprawach związanych z ochroną danych osobowych prosimy o kontakt: hello@surprily.com.