Polityka prywatności platformy

1. Administrator i zakres dokumentu

1. Administratorem danych związanych z globalnym Kontem i działaniem Platformy jest [NAZWA FIRMY] ([FORMA PRAWNA]), [ULICA I NUMER, KOD POCZTOWY MIEJSCOWOŚĆ], reprezentowany przez [IMIĘ NAZWISKO], NIP [NIP], REGON [REGON], dalej Operator.
2. Kontakt w sprawach danych osobowych i realizacji praw: [ADRES E-MAIL DO SPRAW DANYCH OSOBOWYCH] albo pisemnie na adres Operatora.
3. Operator nie wyznaczył inspektora ochrony danych. Wszystkie sprawy dotyczące danych prowadzi wskazany wyżej punkt kontaktowy. Jeżeli inspektor zostanie wyznaczony, podamy jego dane w tej Polityce.
4. Polityka opisuje przetwarzanie związane z globalnym Kontem, bezpieczeństwem, działaniem Platformy i techniczną obsługą Rezerwacji. Każda Strzelnica jest osobnym administratorem danych, które przetwarza dla własnej oferty i realizacji usług.
5. Polityka globalna nie zastępuje informacji, którą Strzelnica powinna przekazać osobie rezerwującej w zakresie własnych celów i obowiązków.

2. Podział ról między Platformą a Strzelnicą

1. Operator jest administratorem danych w zakresie:
   • tworzenia i prowadzenia Konta;
   • uwierzytelniania, sesji i odzyskiwania dostępu;
   • globalnego profilu Użytkownika;
   • bezpieczeństwa, zapobiegania nadużyciom i obrony roszczeń;
   • wsparcia technicznego i komunikacji dotyczącej Platformy;
   • sprawdzania nakładających się Rezerwacji w różnych Strzelnicach;
   • funkcji globalnych obejmujących więcej niż jedną Strzelnicę.
2. Strzelnica jest administratorem danych w zakresie:
   • własnej oferty, cen, dostępności i publicznych treści;
   • danych potrzebnych jej do przyjęcia i wykonania Rezerwacji;
   • własnych pól formularza, warunków uczestnictwa i wymagań bezpieczeństwa;
   • kontaktu z klientem, rozliczeń poza Platformą i realizacji usługi.
3. W zakresie przechowywania i technicznej obsługi danych Rezerwacji na rzecz Strzelnicy Operator działa jako podmiot przetwarzający, na podstawie umowy powierzenia zawieranej ze Strzelnicą i wyłącznie według jej udokumentowanych instrukcji.
4. Jeżeli w konkretnej sprawie nie wiadomo, do kogo się zwrócić, można napisać do Operatora na adres [ADRES E-MAIL DO SPRAW DANYCH OSOBOWYCH]. Przekażemy sprawę właściwej Strzelnicy albo wskażemy jej dane kontaktowe.

3. Jakie dane przetwarzamy

Konto i logowanie

Przetwarzamy:

• nazwę Użytkownika i adres e-mail;
• skrót kryptograficzny hasła, bez przechowywania hasła w postaci jawnej;
• status potwierdzenia adresu e-mail;
• identyfikatory Konta, datę utworzenia i aktualizacji;
• tokeny sesji, datę wygaśnięcia, adres IP oraz informacje o przeglądarce i urządzeniu;
• dane potrzebne do weryfikacji adresu e-mail i resetu hasła.

Profil

Jeżeli Użytkownik je poda, przetwarzamy:

• imię i nazwisko;
• numer telefonu;
• datę urodzenia;
• organ wydający pozwolenie;
• zaszyfrowany numer pozwolenia na broń i jego jednokierunkowy indeks służący dopasowaniu.

Numer pozwolenia nie jest szczególną kategorią danych z art. 9 RODO, ale ze względu na ryzyko obejmujemy go podwyższoną ochroną: zapisujemy go w postaci zaszyfrowanej i nie pokazujemy w całości.

Rezerwacje

W zależności od sposobu Rezerwacji przetwarzamy:

• identyfikator Konta albo imię, nazwisko, e-mail i telefon gościa;
• wybraną Strzelnicę, datę, godziny, tory i status Rezerwacji;
• ceny, wybrane pakiety, dodatki, rabaty i zapisane warunki cenowe;
• odpowiedzi w polach utworzonych przez Strzelnicę;
• zaszyfrowany numer pozwolenia gościa, jeżeli Strzelnica wymaga lub dopuszcza jego podanie;
• token albo skrót tokenu umożliwiającego gościowi zarządzanie Rezerwacją;
• przyczynę anulowania, historię zmian i dane osoby wykonującej zmianę;
• dowód akceptacji regulaminu Strzelnicy, w tym wersję, datę, adres IP oraz informację o przeglądarce i urządzeniu.

Dane wprowadzone do rozpoczętej Rezerwacji zapisujemy już na etapie czasowej blokady terminu. Porzucone i wygasłe blokady usuwamy zgodnie z okresami z punktu 13.

Kontrola kolizji między Strzelnicami

Platforma sprawdza, czy ta sama osoba nie ma nakładającej się aktywnej Rezerwacji w innej Strzelnicy. W tym celu używa:

• jednokierunkowego indeksu numeru pozwolenia;
• indeksu powiązanego z Kontem;
• dla gościa bez numeru pozwolenia, indeksu utworzonego z ujednoliconych danych identyfikacyjnych.

Zapisy prób zawierają rodzaj identyfikatora, indeks, Strzelnicę składającą żądanie, termin, wynik, dane osoby zatwierdzającej wyjątek i uzasadnienie. Platforma nie pokazuje Strzelnicy, gdzie znajduje się druga Rezerwacja, ani jej szczegółów.

Prowadzenie Strzelnicy i publikowane treści

Przetwarzamy:

• role właściciela, menedżera i obsługi oraz zaproszenia e-mail;
• nazwę i opis Strzelnicy, adres, współrzędne, telefon, e-mail, nazwę firmy i NIP;
• regulaminy, FAQ, informacje kontaktowe, godziny, ceny, oferty i konfigurację Rezerwacji;
• logo, ikony strony, zdjęcia i techniczne dane pliku;
• dane osoby publikującej i historię zmian w zakresie zapisywanym przez system.

Publiczne treści są dostępne dla odwiedzających. Pliki są serwowane przez trudne do odgadnięcia identyfikatory, ale taki identyfikator nie jest zabezpieczeniem dostępu. Kopie mogą pozostać w pamięci podręcznej przeglądarek i pośredników. Zdjęcia zapisujemy w postaci przesłanej przez Publikującego, więc mogą zawierać metadane pliku, na przykład dane aparatu. Publikujący powinien usunąć takie metadane przed wysłaniem, jeżeli nie chce ich udostępniać.

Wiadomości i dostarczalność

System przechowuje:

• odbiorcę, nadawcę, temat oraz pełną treść tekstową i HTML wiadomości;
• załączniki, w tym zaproszenia kalendarzowe;
• linki weryfikacyjne, resetujące, zaproszenia i linki do zarządzania Rezerwacją, jeżeli znajdują się w treści wiadomości;
• status, liczbę prób, błędy dostawcy i identyfikator wiadomości;
• zdarzenia dostarczenia, odbicia i skargi przekazane przez Resend;
• adresy objęte blokadą wysyłki po odbiciu albo skardze.

Dane techniczne i zgłoszenia

Przetwarzamy:

• adres IP, informacje o przeglądarce i urządzeniu, daty i identyfikatory żądań;
• logi błędów, bezpieczeństwa i działania procesów;
• korespondencję ze wsparciem, reklamację albo zgłoszenie treści;
• dowody i ustalenia potrzebne do rozpatrzenia zgłoszenia lub obrony roszczeń.

4. Skąd pochodzą dane

Dane otrzymujemy:

• bezpośrednio od Użytkownika lub gościa;
• od Publikującego albo personelu Strzelnicy;
• automatycznie z przeglądarki, serwera i cookies niezbędnych;
• z powiadomień Resend dotyczących dostarczenia wiadomości;
• z istniejących zapisów Platformy podczas kontroli kolizji, bez ujawniania szczegółów drugiej Rezerwacji;
• od osoby zgłaszającej naruszenie albo organu publicznego.

5. Cele i podstawy prawne

1. Wykonanie umowy lub działania na żądanie przed jej zawarciem, art. 6 ust. 1 lit. b RODO: Konto, logowanie, profil, techniczna obsługa Rezerwacji, komunikacja transakcyjna i prowadzenie profilu Strzelnicy.
2. Obowiązek prawny, art. 6 ust. 1 lit. c RODO: realizacja obowiązków wynikających z prawa, obsługa żądań organów, rozpatrywanie zgłoszeń treści nielegalnych i przechowywanie danych wymaganych przepisami.
3. Prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO: bezpieczeństwo, zapobieganie oszustwom i podwójnym Rezerwacjom, wykrywanie nadużyć, zapewnienie ciągłości, dochodzenie i obrona roszczeń, dokumentowanie zgłoszeń i podstawowe statystyki operacyjne.
4. Zgoda, art. 6 ust. 1 lit. a RODO: wyłącznie dla rzeczywiście opcjonalnych celów. Obecnie nie prowadzimy takiego przetwarzania. Jeżeli wprowadzimy marketing albo cookies analityczne, poprosimy o zgodę wcześniej.

Zapoznanie się z Polityką prywatności nie jest zgodą na przetwarzanie wymagane do wykonania usługi. Podstawę każdego celu wskazujemy osobno.

Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie założymy Konta, a bez danych kontaktowych Strzelnica nie przyjmie Rezerwacji.

6. Odbiorcy danych

Dane mogą otrzymać:

• właściwa Strzelnica i osoby z uprawnieniami do obsługi jej Rezerwacji;
• dostawca hostingu [NAZWA I ADRES DOSTAWCY HOSTINGU], w zakresie utrzymania serwera i kopii zapasowych;
• Resend, Inc. i jego podprocesorzy w zakresie wysyłki wiadomości e-mail;
• dostawcy utrzymania, bezpieczeństwa i wsparcia IT działający na nasze zlecenie, na podstawie umów powierzenia;
• doradcy prawni, audytorzy i ubezpieczyciele, gdy jest to potrzebne;
• organy publiczne, jeżeli obowiązek udostępnienia wynika z prawa;
• wszyscy odwiedzający w przypadku danych i treści świadomie opublikowanych przez Strzelnicę.

Operator nie sprzedaje danych osobowych.

7. Wysyłka e-mail i transfery poza EOG

1. Wiadomości e-mail wysyłamy przez usługę Resend, Inc. z siedzibą w Stanach Zjednoczonych. Zakres obejmuje odbiorcę, nadawcę, temat, treść, HTML i załączniki.
2. Z Resend łączy nas umowa powierzenia przetwarzania. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, uzupełnionych o środki techniczne po stronie dostawcy.
3. Kopię zabezpieczeń stosowanych przy transferze można otrzymać po napisaniu na adres [ADRES E-MAIL DO SPRAW DANYCH OSOBOWYCH].
4. Poza wysyłką e-mail nie przekazujemy danych poza Europejski Obszar Gospodarczy.

8. Hosting, kopie zapasowe i logi

1. Aplikacja, baza danych i pliki publiczne działają na serwerze dostawcy [NAZWA I ADRES DOSTAWCY HOSTINGU], w regionie [REGION SERWEROWNI W EOG].
2. Dostawca hostingu przetwarza dane na podstawie umowy powierzenia i ma dostęp wyłącznie w zakresie potrzebnym do utrzymania infrastruktury.
3. Kopie zapasowe bazy danych i plików wykonujemy codziennie i przechowujemy przez 30 dni. Kopie są szyfrowane.
4. Dane pomocnicze obsługi Rezerwacji, w tym krótkie blokady terminów, przechowujemy w pamięci podręcznej serwera i usuwamy automatycznie po wygaśnięciu.
5. Logi aplikacji i serwera z adresami IP przechowujemy przez 12 miesięcy, a następnie usuwamy.

9. OpenStreetMap i linki zewnętrzne

1. Strona kontaktowa Strzelnicy może pobierać kafelki mapy bezpośrednio z serwerów OpenStreetMap.
2. W takim przypadku przeglądarka łączy się z infrastrukturą OpenStreetMap i przekazuje adres IP, informacje o przeglądarce oraz współrzędne żądanych kafelków. Odpowiada za to Fundacja OpenStreetMap, według własnej polityki prywatności.
3. Link do Google Maps jest uruchamiany dopiero po kliknięciu. Po przejściu Użytkownik podlega zasadom prywatności Google.

10. Cookies

Platforma używa wyłącznie plików cookies niezbędnych do świadczenia usługi: cookie sesji logowania i cookie procesu Rezerwacji. Nie używamy cookies reklamowych ani analitycznych i nie profilujemy Użytkowników. Pełny wykaz, czasy przechowywania i sposób zarządzania opisuje Polityka cookies.

11. Płatności i analityka

1. Platforma nie obsługuje obecnie płatności online i nie przetwarza danych kart płatniczych ani danych rachunku na potrzeby bramki płatniczej.
2. Kwoty zapisane przy Rezerwacji służą prezentacji ceny podanej przez Strzelnicę i analizie operacyjnej.
3. Platforma nie korzysta z Google Analytics, Tag Managera, PostHog, Mixpanel, Sentry, Hotjar ani pikseli reklamowych.
4. Strzelnica widzi własne statystyki operacyjne wyliczone z Rezerwacji, takie jak liczba Rezerwacji, obłożenie, wartość zapisanych zamówień i nieobecności.

12. Zautomatyzowana kontrola nakładających się Rezerwacji

1. Platforma automatycznie porównuje termin i pseudonimizowany identyfikator osoby z aktywnymi Rezerwacjami w innych Strzelnicach. Podstawą jest prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO, polegający na zapobieganiu podwójnym Rezerwacjom i nadużyciom.
2. Dopasowanie może zablokować nową Rezerwację. Platforma nie ujawnia Użytkownikowi ani Strzelnicy, gdzie istnieje druga Rezerwacja.
3. Uprawniona osoba po stronie Strzelnicy może zatwierdzić wyjątek z uzasadnieniem, więc rozstrzygnięcie nie opiera się wyłącznie na automatycznym przetwarzaniu w rozumieniu art. 22 RODO.
4. Osoba, która uważa wynik za błędny, może skontaktować się ze Strzelnicą albo z Operatorem pod adresem [ADRES E-MAIL DO SPRAW DANYCH OSOBOWYCH]. Sprawę sprawdza człowiek.

13. Okresy przechowywania

• Konto niepotwierdzone: 30 dni od rejestracji, potem usunięcie.
• Konto aktywne: przez czas trwania umowy. Po usunięciu Konta dane usuwamy w ciągu 30 dni, poza danymi wymienionymi niżej.
• Sesje, tokeny weryfikacji i resetu hasła: do wygaśnięcia, nie dłużej niż 30 dni.
• Profil i zaszyfrowany numer pozwolenia: razem z Kontem, do jego usunięcia.
• Rezerwacje zrealizowane, anulowane i odwołane: 3 lata od końca roku, w którym miał się odbyć termin, ze względu na przedawnienie roszczeń.
• Blokady terminów wygasłe i porzucone: 30 dni.
• Dowody akceptacji regulaminu i historia statusów: 3 lata od zakończenia Rezerwacji.
• Zapisy kontroli kolizji: 12 miesięcy.
• Treść wysłanych wiadomości e-mail: 12 miesięcy. Zdarzenia dostarczenia: 12 miesięcy. Lista blokad wysyłki po odbiciu albo skardze: do czasu usunięcia adresu z listy.
• Zaproszenia personelu: do przyjęcia albo wygaśnięcia zaproszenia, nie dłużej niż 12 miesięcy.
• Treści i zdjęcia Strzelnicy: do usunięcia przez Publikującego, a kopie techniczne i pamięć podręczna do 30 dni później.
• Zgłoszenia, reklamacje i dowody roszczeń: 3 lata od zakończenia sprawy.
• Logi aplikacji i serwera: 12 miesięcy.
• Kopie zapasowe: 30 dni. Dane usunięte z systemu znikają z kopii najpóźniej po tym okresie.

Jeżeli przepis prawa wymaga dłuższego przechowywania albo dane są potrzebne do ustalenia, dochodzenia lub obrony roszczeń, okres przedłuża się do czasu ustania tej potrzeby.

14. Prawa osoby, której dane dotyczą

W granicach wynikających z RODO osoba może żądać:

• dostępu do danych i ich kopii;
• sprostowania danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przeniesienia danych, gdy ma zastosowanie;
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
• wycofania zgody w dowolnym momencie, bez wpływu na zgodność wcześniejszego przetwarzania;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Żądanie można złożyć na adres [ADRES E-MAIL DO SPRAW DANYCH OSOBOWYCH] albo pisemnie na adres Operatora. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Możemy poprosić o informacje niezbędne do potwierdzenia tożsamości.

Jeżeli żądanie dotyczy celu realizowanego samodzielnie przez Strzelnicę, przekazujemy je właściwej Strzelnicy albo wskazujemy jej dane kontaktowe.

15. Bezpieczeństwo

Stosowane środki obejmują w szczególności:

• TLS dla połączeń sieciowych;
• skróty kryptograficzne haseł;
• szyfrowanie numerów pozwolenia z kontrolą integralności;
• jednokierunkowe indeksy do dopasowania bez ujawniania numeru;
• tworzenie skrótów tokenów Rezerwacji i zaproszeń w odpowiednich zapisach;
• role i kontrolę dostępu w aplikacji;
• ograniczanie liczby prób logowania i resetu hasła;
• rozdzielenie danych Strzelnic w zapytaniach aplikacji;
• szyfrowane kopie zapasowe;
• rejestrowanie zmian i zdarzeń bezpieczeństwa.

Żaden system nie zapewnia absolutnego bezpieczeństwa. O naruszeniu ochrony danych, które może powodować wysokie ryzyko dla osoby, której dane dotyczą, poinformujemy tę osobę i organ nadzorczy zgodnie z art. 33 i 34 RODO.

16. Dane osób małoletnich

Konto jest przeznaczone dla osób, które ukończyły 18 lat. Platforma nie prosi osoby małoletniej o samodzielne założenie Konta. Jeżeli Strzelnica dopuszcza udział osoby małoletniej, odpowiada za właściwą podstawę, zgodę opiekuna, zakres danych i spełnienie obowiązków informacyjnych.

17. Zmiany Polityki

1. Polityka może zostać zmieniona z powodu zmiany prawa, dostawców, funkcji, celów lub sposobów przetwarzania.
2. O istotnej zmianie dotyczącej Konta poinformujemy na adres e-mail przypisany do Konta oraz na tej stronie, co najmniej 14 dni przed wejściem zmiany w życie.
3. Jeżeli nowy cel wymaga zgody, przetwarzanie w tym celu nie rozpocznie się przed jej uzyskaniem.
4. Aktualna wersja Polityki to 1.0, obowiązuje od [DATA WEJŚCIA W ŻYCIE]. Poprzednie wersje udostępniamy na żądanie.