Polityka prywatności

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych jest Katarzyna Dulik, przedsiębiorca prowadzący jednoosobową działalność gospodarczą pod firmą Lady Parolla - KATARZYNA DULIK, wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), NIP 6282284252, REGON 389804530, adres siedziby: ul. 1 Maja 158, 32-540 Trzebinia.

We wszystkich sprawach dotyczących danych pisz na kontakt@tworzysko.pl (najlepiej z tematem „Dane osobowe”) albo listem na adres siedziby. Nie powołaliśmy inspektora ochrony danych.

2. Zasady ogólne

• Podanie danych jest dobrowolne. Bez danych oznaczonych w formularzu jako wymagane nie możemy jednak wykonać danej usługi - np. bez adresu e-mail nie potwierdzimy zapisu.
• Dane dostajemy od Ciebie. Wyjątki: dane pracowni z jej publicznych profili, jeśli sama nam je wskaże, i informacje o jarmarkach od ich organizatorów.
• Nie profilujemy i nie podejmujemy decyzji w sposób zautomatyzowany, które wywoływałyby wobec Ciebie skutki prawne albo podobnie istotnie na Ciebie wpływały. O pokazaniu pracowni na liście Pierwszych pracowni decyduje człowiek.
• Nie sprzedajemy danych, nie udostępniamy ich reklamodawcom i nie przekazujemy ich poza Europejski Obszar Gospodarczy.
• Przy zapisach i formularzach zapisujemy, skąd przyszło zgłoszenie (parametry kampanii „utm” i stronę, z której nastąpiło przejście), żeby wiedzieć, które działania promocyjne działają. To dane o zgłoszeniu, nie o Twoim przeglądaniu innych stron.

3. Zapis na listę przedpremierową

• Dane: adres e-mail, miasto, data zapisu i jego potwierdzenia, zgody (rozdział 11).
• Cel: wiadomości o Tworzysku - list, gdy w Twoim mieście ruszą zapisy na warsztaty, i informacje o kolejnych krokach - oraz potwierdzenie zapisu linkiem z maila.
• Podstawa: Twoja zgoda na wiadomości o Tworzysku (art. 6 ust. 1 lit. a RODO). Lista służy wyłącznie do tych wiadomości, więc zgoda jest warunkiem zapisu. Mail z linkiem potwierdzającym wysyłamy na Twoją prośbę (art. 6 ust. 1 lit. b RODO).
• Jak długo: do wypisu - po wypisie usuwamy adres e-mail od razu, a miasto zostaje bez powiązania z osobą, do statystyk. Bez wypisu - do prośby o usunięcie, a najdłużej 12 miesięcy po pełnym starcie serwisu. Link potwierdzający działa 7 dni; zapis niepotwierdzony usuwamy najpóźniej po 30 dniach. Wpis o udzieleniu i wycofaniu zgody zostaje w rejestrze zgód (rozdział 11).

4. Zgłoszenie pracowni

• Dane: imię, adres e-mail, hasło do konta (tylko jego bezpieczny skrót), miasto, nazwa pracowni, rzemiosło (z listy albo wpisane jako „Inne”), odnośniki do mediów społecznościowych i strony, odpowiedzi o doświadczeniu, zajęciach grupowych i indywidualnych, orientacyjnej cenie, warsztatach w terenie i zajęciach online, zgody (rozdział 11). Adres strony pracowni.
• Zgłoszenie od razu zakłada konto pracowni i niepubliczny szkic strony pracowni z danymi ze zgłoszenia (rozdział 6). Po potwierdzeniu adresu linkiem z maila konto działa w pełni.
• Cel: założenie konta i strony pracowni, kontakt w sprawie zgłoszenia, przygotowanie strony pracowni przed startem, a za osobnymi zgodami - newsletter Tworzyska i zaproszenie na rozmowę o produkcie.
• Podstawa: działania na Twoją prośbę przed zawarciem umowy i wykonanie usługi zgłoszenia (art. 6 ust. 1 lit. b RODO); kontakt mailowy i rozmowa - Twoja zgoda (art. 6 ust. 1 lit. a RODO).
• Jak długo: do zakończenia przedpremiery i 12 miesięcy po pełnym starcie serwisu albo do wcześniejszej prośby o usunięcie. Gdy pracownia zakłada konto, potrzebne dane przechodzą do konta (rozdział 6). Zgłoszenie niepotwierdzone usuwamy najpóźniej po 30 dniach - razem z kontem i szkicem strony pracowni, które z niego powstały. Wypis linkiem z maila usuwa zgłoszenie od razu (miasto zostaje bez powiązania z osobą, do statystyk), chyba że pracownia ma już konto albo stronę wśród Pierwszych pracowni - wtedy wypis wyłącza tylko wiadomości o Tworzysku, a konto i strona zostają.

5. Pierwsze pracownie - strona pracowni widoczna publicznie

Strona pracowni jest publiczna: widzi ją każdy, a wyszukiwarki internetowe mogą ją zaindeksować. Po zdjęciu strony jej kopie w pamięci podręcznej wyszukiwarek mogą utrzymać się jeszcze jakiś czas i nie mamy na to wpływu.

• Dane: nazwa pracowni, miasto i dzielnica, rzemiosło, opis, cytat, historia, odnośniki do Instagrama i strony, zdjęcia (także zdjęcie portretowe, jeśli je przekażesz) oraz przekazane wypowiedzi klientów. Imienia i nazwiska ze zgłoszenia nie publikujemy, chyba że pracownia sama wpisze je w treści.
• Cel: pokazanie pracowni na liście Pierwszych pracowni przed startem i w promocji serwisu. Stronę pracownia przygotowuje sama w panelu; na liście pokazujemy ją po naszym przejrzeniu.
• Podstawa: Twoja zgoda na pokazanie pracowni (art. 6 ust. 1 lit. a RODO), a po założeniu konta także wykonanie umowy o stronę pracowni (art. 6 ust. 1 lit. b RODO).
• Jak długo: do wycofania zgody, zdjęcia strony albo usunięcia konta. Wycofanie zgody zdejmuje stronę automatycznie.

6. Konto pracowni

• Dane: imię, adres e-mail, hasło (zapisujemy tylko jego bezpieczny skrót), telefon i miasto, jeśli je podasz, dane i treści pracowni z panelu, wgrane zdjęcia (bez danych EXIF o miejscu i urządzeniu), zgody, data ostatniego i poprzedniego logowania oraz data potwierdzenia adresu.
• Konto pracowni powstaje przy wysłaniu zgłoszenia pracowni (rozdział 4) albo przez formularz rejestracji.
• Cel: założenie i prowadzenie konta, logowanie, prowadzenie strony pracowni, odzyskiwanie hasła, wiadomości o koncie, pobranie kopii danych i usunięcie konta.
• Podstawa: wykonanie umowy o konto (art. 6 ust. 1 lit. b RODO).
• Jak długo: do usunięcia konta. Konto można usunąć samodzielnie w ustawieniach (tworzysko.pl/konto/usun) - znika wtedy razem z pustą pracownią, jej zdjęciami i stroną. Kopie zapasowe bazy nadpisują się po 14 dniach.
• Ochrona konta: przy zakładaniu konta i zmianie hasła sprawdzamy, czy hasło nie znajduje się na publicznej liście haseł, które wyciekły z innych serwisów. Do usługi, która prowadzi taką listę, wysyłamy wyłącznie pierwsze 5 znaków skrótu hasła - nigdy samo hasło ani adres e-mail - więc nie da się z tego ustalić, kim jesteś ani jakie masz hasło.
• Ochrona konta: po kilku nieudanych próbach logowania na Twoje konto w krótkim czasie wysyłamy Ci maila z ostrzeżeniem (najwyżej raz na godzinę), z częściowo ukrytym adresem IP próby. Jeśli ktoś spróbuje założyć konto na adres, który już ma konto, wysyłamy właścicielowi adresu maila z informacją. Podstawa: nasz prawnie uzasadniony interes w bezpieczeństwie kont (art. 6 ust. 1 lit. f RODO). Liczniki prób znikają po 15-60 minutach.

7. Dane kontaktowe pracowni do pokazania na jej stronie

W panelu pracowni można podać adres pracowni oraz adres e-mail i numer telefonu do kontaktu z klientami. Te pola są puste, dopóki ich samodzielnie nie wypełnisz - nie kopiujemy tu danych z konta i nic nie podpowiadamy.

W przedpremierze tych danych nie pokazujemy publicznie. Po starcie serwisu staną na publicznej stronie pracowni: zobaczy je każdy, kto ją otworzy, a wyszukiwarki mogą je zaindeksować. Podstawą jest Twoja zgoda wyrażona przez świadome wpisanie tych danych (art. 6 ust. 1 lit. a RODO) i wykonanie umowy o stronę pracowni (art. 6 ust. 1 lit. b RODO).

Możesz je w każdej chwili usunąć w tym samym miejscu, w którym zostały wpisane. Adres e-mail i telefon, którymi kontaktujemy się z Tobą jako z osobą prowadzącą konto, to osobne dane - nie pokazujemy ich nikomu.

8. Wiadomości o Tworzysku i rozmowa o produkcie

• Dane: adres e-mail, data zgody i wysłanych wiadomości, a przy rozmowie - termin i notatka z rozmowy.
• Cel: maile o postępach prac, starcie i nowościach w Tworzysku; zaproszenie na rozmowę o tym, jak pracuje pracownia.
• Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO).
• Jak długo: do wycofania zgody. Wypisać się można linkiem z każdego maila, w ustawieniach konta albo mailem do nas. Zgoda na rozmowę wygasa najpóźniej z końcem przedpremiery.

9. Formularz kontaktowy

Formularz chroni niewidoczne zabezpieczenie przed automatami: Twoja przeglądarka rozwiązuje krótkie zadanie obliczeniowe, a my sprawdzamy wynik. Nie korzystamy przy tym z usług żadnej zewnętrznej firmy i nie zapisujemy z tego żadnych danych.

• Dane: temat, imię, adres e-mail, nazwa pracowni (jeśli ją podasz), treść wiadomości, zgoda (rozdział 11).
• Cel: odpowiedź na wiadomość i dalsza korespondencja w tej sprawie.
• Podstawa: Twoja zgoda wyrażona w formularzu (art. 6 ust. 1 lit. a RODO), a po odpowiedzi - nasz prawnie uzasadniony interes w udokumentowaniu korespondencji (art. 6 ust. 1 lit. f RODO).
• Jak długo: 12 miesięcy od ostatniej wiadomości w danej sprawie, chyba że wcześniej poprosisz o usunięcie, a sprawa nie wymaga dłuższego przechowania.

10. Arkusz kalkulatora wysyłany mailem

• Dane: adres e-mail, zgoda na wysyłkę i - jeśli ją wyrazisz - zgoda na wiadomości o Tworzysku.
• Cel: jednorazowe wysłanie arkusza na podany adres. Liczby wpisane w kalkulator zostają w Twojej przeglądarce i w linku do wyniku - nie zapisujemy ich na serwerze.
• Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO).
• Jak długo: sam adres nie trafia na żadną listę. Zostaje w rejestrze zgód (rozdział 11) i w dzienniku wysłanych maili (rozdział 12).

11. Rejestr zgód

• Dane: na co zgoda została udzielona albo wycofana (osobno także akceptacja regulaminu i przyjęcie do wiadomości tej polityki prywatności), kiedy, w którym formularzu, pod którą wersją tekstów, adres e-mail, adres IP i opis przeglądarki z chwili udzielenia zgody.
• Cel: wykazanie, że zgoda była, i uszanowanie jej wycofania.
• Podstawa: obowiązek wykazania zgody (art. 7 ust. 1 w związku z art. 6 ust. 1 lit. c RODO) i nasz prawnie uzasadniony interes w obronie przed roszczeniami (art. 6 ust. 1 lit. f RODO).
• Jak długo: przez czas korzystania z usługi i 3 lata po wycofaniu zgody albo zakończeniu usługi. Po usunięciu konta wpisy tracą powiązanie z kontem, ale zostają jako dowód.

12. Dziennik wysłanych maili

• Dane: odbiorca, temat, rodzaj wiadomości, data, stan doręczenia oraz treść maila.
• Cel: sprawdzenie, czy wiadomość doszła, ponowna wysyłka na prośbę i wyjaśnianie reklamacji.
• Podstawa: nasz prawnie uzasadniony interes w sprawnej i sprawdzalnej korespondencji (art. 6 ust. 1 lit. f RODO).
• Jak długo: treść maila (przechowywaną w postaci zaszyfrowanej) usuwamy automatycznie po 30 dniach. Pozostałe dane - 12 miesięcy od wysyłki.

13. Bezpieczeństwo i działanie serwisu

Błędy serwisu (także te, które wystąpią w Twojej przeglądarce) zgłaszamy narzędziem zainstalowanym na naszym własnym serwerze - dane nie trafiają do nikogo z zewnątrz. Zgłoszenie zawiera opis błędu i miejsca w programie, rodzaj przeglądarki i systemu oraz adres strony, na której błąd wystąpił (bez kodów i tokenów z linków). Nie zapisujemy w nim adresu IP, danych konta ani niczego, co wpisujesz w formularze. Narzędzie nie ustawia ciasteczek. Zgłoszenia usuwamy automatycznie po 90 dniach.

• Dane: adres IP, opis przeglądarki, czas i adres żądania, identyfikator sesji i liczniki prób (np. logowania i wysłania formularza).
• Cel: utrzymanie logowania, ochrona przed nadużyciami, automatami i włamaniami, wykrywanie i naprawianie błędów.
• Podstawa: nasz prawnie uzasadniony interes w bezpieczeństwie serwisu (art. 6 ust. 1 lit. f RODO).
• Jak długo: sesja wygasa po 120 minutach bez aktywności, liczniki prób - po kilku minutach do godziny, logi serwera - po 30 dniach, zgłoszenia błędów - po 90 dniach, kopie zapasowe bazy - po 14 dniach.

14. Statystyki odwiedzin (analityka)

Statystyki liczymy narzędziem zainstalowanym na naszym własnym serwerze - dane nie trafiają do nikogo z zewnątrz. Narzędzie nie ustawia ciasteczek i nie zapisuje adresu IP: do policzenia unikalnych odwiedzin tworzy skrót z adresu IP i przeglądarki z dodatkiem zmienianym codziennie, więc po dobie nie da się go z nikim powiązać.

• Dane: odwiedzona strona, strona, z której przyszło wejście, kraj, rodzaj urządzenia i przeglądarki oraz kilka zdarzeń nazwanych przez nas (np. „wysłanie formularza”).
• Cel: wiedza, ile osób odwiedza serwis i które strony działają.
• Podstawa: Twoja zgoda w okienku cookies (art. 6 ust. 1 lit. a RODO). Bez zgody narzędzie się nie uruchamia.
• Jak długo: przechowujemy wyłącznie zbiorcze statystyki, z których nie da się nikogo rozpoznać.

15. Zgłoszenia treści, reklamacje i sprawy o dane

• Dane: imię, adres e-mail, treść zgłoszenia, reklamacji albo wniosku i nasza odpowiedź.
• Cel: rozpatrzenie zgłoszenia treści bezprawnej, reklamacji albo wniosku o realizację Twoich praw.
• Podstawa: obowiązki prawne (art. 6 ust. 1 lit. c RODO - akt o usługach cyfrowych, przepisy o reklamacjach i RODO) i nasz prawnie uzasadniony interes w obronie przed roszczeniami (art. 6 ust. 1 lit. f RODO).
• Jak długo: zgłoszenia treści - 12 miesięcy od zamknięcia sprawy, reklamacje i wnioski o dane - 3 lata od zamknięcia sprawy.

16. Kto jeszcze ma dostęp do danych

Statystyki działają na naszym serwerze (rozdział 14), zgłoszenia błędów także (rozdział 13).

Sprawdzanie haseł na liście haseł z wycieków (rozdział 6) nie przekazuje danych osobowych: wysyłamy tylko 5 znaków skrótu hasła, z naszego serwera, bez adresu IP Twojego urządzenia.

Mapa z miejscami warsztatów ruszy dopiero z pełnym startem i załaduje się tylko po kliknięciu „Pokaż mapę”. Wtedy przeglądarka pobierze obrazki mapy od zewnętrznego dostawcy map z Wielkiej Brytanii (kraj, dla którego Komisja Europejska stwierdziła odpowiedni poziom ochrony danych), który zobaczy adres IP urządzenia. Bez kliknięcia nie łączymy się z nimi wcale - szczegóły na stronie o plikach cookie.

Odnośniki do innych serwisów (np. media społecznościowe pracowni, strona organizatora jarmarku, trasa dojazdu w aplikacji z mapami) otwierają strony, za które odpowiadają ich właściciele. Nic im nie przekazujemy, dopóki w odnośnik nie klikniesz.

• Dostawca serwerów (hosting) - serwer, na którym działa serwis, baza danych i kopie zapasowe, w centrum danych w Unii Europejskiej. Przetwarza dane na nasze zlecenie, na podstawie umowy powierzenia.
• Dostawca poczty e-mail - skrzynka kontakt@tworzysko.pl i wysyłka maili z serwisu, w Unii Europejskiej. Przetwarza dane na nasze zlecenie, na podstawie umowy powierzenia.
• Osoby, które pomagają nam prowadzić Tworzysko - tylko w zakresie potrzebnym do zadania, na podstawie upoważnienia i zobowiązania do poufności.
• Organy państwa, sądy i inne podmioty - wyłącznie gdy wymaga tego prawo.

17. Twoje prawa

Wszystkie te sprawy załatwia jedna wiadomość na kontakt@tworzysko.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Możemy poprosić o potwierdzenie, że wniosek wysyła właściciel danych - zwykle wystarczy odpowiedź z adresu, który mamy w bazie.

• Dostęp do danych i ich kopia. Wystarczy napisać do nas - kopię przygotujemy w czytelnej formie.
• Sprostowanie, czyli poprawienie albo uzupełnienie danych.
• Usunięcie danych („prawo do bycia zapomnianym”), gdy nie ma podstawy, by je dalej trzymać.
• Ograniczenie przetwarzania, np. na czas wyjaśniania, czy dane są poprawne.
• Przeniesienie danych, które nam przekazujesz na podstawie zgody albo umowy, w formacie nadającym się do odczytu maszynowego.
• Sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO).
• Wycofanie zgody w każdej chwili. Wycofanie nie wpływa na zgodność z prawem tego, co działo się przed nim.
• Skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), jeśli uważasz, że przetwarzamy dane niezgodnie z prawem.

18. Pliki cookie i pamięć przeglądarki

Bez Twojej zgody zapisujemy w przeglądarce tylko to, co niezbędne do działania serwisu: Twoją decyzję o zgodzie, a przy logowaniu i wysyłaniu formularzy - ciasteczka sesji i zabezpieczenia. Analityka uruchamia się dopiero po zgodzie. Pełną listę i przycisk zmiany decyzji znajdziesz na stronie tworzysko.pl/cookies.

19. Jak chronimy dane

Połączenie z serwisem jest szyfrowane (HTTPS). Hasła zapisujemy wyłącznie jako bezpieczny skrót. Dostęp do panelu administracyjnego mają tylko upoważnione osoby, a ich decyzje zapisujemy w dzienniku. Kopie zapasowe robimy codziennie. Gdyby doszło do naruszenia ochrony danych, które grozi Twoim prawom, powiadomimy Cię i Prezesa UODO zgodnie z RODO.

20. Zmiany polityki prywatności

Gdy zmieni się sposób przetwarzania danych - np. ruszą rezerwacje i płatności - zaktualizujemy ten dokument, podniesiemy numer wersji i napiszemy o tym mailem do osób z kontem, zapisanych na listę i do pracowni. Zgody zapisane pod poprzednią wersją zostają przypisane do niej.