Polityka Prywatności

1. Administratorem Twoich danych osobowych jest: Marcin Kowalczuk, Podsośnina 584, 23-412, gm. Łukowa, pow. biłgorajski, woj. lubelskie, NIP: 9182153517 (dalej: „Administrator”).
2. Kontakt z Administratorem: kontakt@zlobkowydetektyw.pl.
3. Administrator nie wyznaczył Inspektora Ochrony Danych. We wszystkich sprawach dotyczących przetwarzania danych osobowych można kontaktować się bezpośrednio z Administratorem pod adresem e-mail wskazanym powyżej.

W ramach Serwisu zbieramy i przetwarzamy następujące dane osobowe:

Hasła przechowywane są wyłącznie w postaci hashy kryptograficznych (bcrypt, 12 rund salt). Administrator nie zna haseł Użytkowników i nie jest w stanie ich odczytać.

Serwis wykorzystuje następujące pliki cookies i mechanizmy przechowywania danych w przeglądarce:

4. Pliki cookies analityczne (PostHog) i marketingowe (Meta Pixel) są ustawiane wyłącznie po wyrażeniu zgody przez Użytkownika za pośrednictwem cookie bannera wyświetlanego przy pierwszej wizycie.
5. Użytkownik może w dowolnym momencie zmienić ustawienia cookies w przeglądarce lub wycofać zgodę, czyszcząc dane tej witryny (cookies oraz pamięć lokalną). Wycofanie zgody jest równie łatwe jak jej udzielenie: po wyczyszczeniu danych banner pojawi się ponownie i można wybrać odmowę. Wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
6. PostHog rejestruje przebieg wizyty (tzw. nagrywanie sesji): kolejność odwiedzonych podstron, kliknięcia oraz ruch w obrębie strony. Nagrania wykorzystujemy wyłącznie do diagnozowania problemów z użytecznością serwisu. Treści wpisywane w pola formularzy – w tym adresy e-mail, hasła i dane płatnicze – są maskowane po stronie przeglądarki i nie trafiają do nagrania. Nagrywanie, tak jak pozostała analityka, uruchamia się dopiero po wyrażeniu zgody w bannerze cookies.

Meta Pixel (Facebook Pixel)

Na naszej stronie stosujemy narzędzie Meta Pixel (dawniej Facebook Pixel), dostarczane przez Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irlandia.

Cel przetwarzania:

• mierzenie skuteczności kampanii reklamowych prowadzonych w serwisach Meta (Facebook, Instagram)
• optymalizacja wyświetlania reklam
• tworzenie grup odbiorców na potrzeby remarketingu (wyświetlanie reklam osobom, które odwiedziły naszą stronę)
• analiza zachowań użytkowników na stronie (odwiedzone podstrony, dokonane zakupy, zapisy na listę)

Zakres przetwarzanych danych:

• adres IP (zanonimizowany)
• identyfikator przeglądarki i urządzenia
• informacje o odwiedzanych stronach i wykonanych działaniach (np. wyświetlenie strony produktu, dokonanie zakupu, zapis na checklistę)
• dane dotyczące czasu i źródła wizyty

Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO). Meta Pixel działający w Twojej przeglądarce uruchamia się wyłącznie po wyrażeniu zgody na cookies marketingowe w bannerze cookies. Zgodę możesz wycofać w dowolnym momencie, czyszcząc dane tej witryny w przeglądarce (cookies oraz pamięć lokalną – w ustawieniach przeglądarki zwykle jako „wyczyść dane witryny”) – przy kolejnej wizycie banner pojawi się ponownie. Odrębnie od tego mechanizmu przekazujemy do Meta informację o sfinalizowanym zakupie bezpośrednio z naszego serwera – opisujemy to w kolejnym punkcie (Meta Conversions API).

Transfer danych do państw trzecich: Meta Platforms może przekazywać dane do USA. Transfer odbywa się na podstawie EU-US Data Privacy Framework.

Okres przechowywania: Dane gromadzone przez Meta Pixel są przechowywane i przetwarzane przez Meta Platforms przez okres do 2 lat.

Więcej informacji: Polityka prywatności Meta Platforms: facebook.com/privacy/policy

Meta Conversions API (przekazywanie zdarzeń z serwera)

Niezależnie od Meta Pixel działającego w przeglądarce, po sfinalizowaniu zakupu przekazujemy informację o tej transakcji do Meta Platforms Ireland Limited bezpośrednio z naszego serwera, za pośrednictwem Meta Conversions API. Mechanizm ten nie korzysta z plików cookies i działa również wtedy, gdy Meta Pixel został zablokowany przez przeglądarkę lub rozszerzenie blokujące reklamy.

Kiedy jest uruchamiany: wyłącznie w chwili zakończonego zakupu. Tą drogą nie przekazujemy danych o samym przeglądaniu serwisu ani o osobach, które nie dokonały zakupu.

Zakres przekazywanych danych:

• adres e-mail w postaci nieodwracalnego skrótu kryptograficznego (SHA-256) – Meta nie otrzymuje adresu w postaci jawnej
• adres IP oraz identyfikator przeglądarki (user agent)
• identyfikatory Meta (_fbp, _fbc), jeżeli były dostępne
• wartość i waluta zamówienia
• identyfikator zdarzenia, służący wyłącznie do połączenia zdarzenia z jego odpowiednikiem z przeglądarki, aby ten sam zakup nie został policzony dwa razy

Podstawa prawna: uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO), polegający na mierzeniu skuteczności własnych działań reklamowych i rozliczaniu kosztu pozyskania klienta. Przetwarzanie ograniczamy do niezbędnego minimum: przekazujemy wyłącznie zdarzenie zakupu, a adres e-mail wyłącznie w formie skrótu.

Prawo sprzeciwu: wobec przetwarzania opartego na uzasadnionym interesie przysługuje Ci prawo wniesienia sprzeciwu (art. 21 RODO). Wystarczy wiadomość na adres wskazany w § 10 – po jej otrzymaniu zaprzestaniemy przekazywania Twoich danych tym kanałem.

Transfer danych do państw trzecich oraz okres przechowywania: jak w punkcie dotyczącym Meta Pixel powyżej.

Dane osobowe przetwarzamy w następujących celach:

7. Realizacja umowy (Art. 6 ust. 1 lit. b RODO) – obsługa zakupu, utworzenie i utrzymanie konta, dostarczenie produktów cyfrowych (E-book, Aplikacja), obsługa płatności.
8. Zgoda (Art. 6 ust. 1 lit. a RODO) – wysyłka informacji marketingowych, publikacja recenzji, przetwarzanie wyników quizu, dostarczenie bezpłatnych materiałów (checklista / lead magnet).
9. Uzasadniony interes administratora (Art. 6 ust. 1 lit. f RODO) – ochrona przed nadużyciami (rate limiting, blokada konta po nieudanych logowaniach), analityka (PostHog), dochodzenie roszczeń.
10. Obowiązek prawny (Art. 6 ust. 1 lit. c RODO) – przechowywanie dokumentacji podatkowej, archiwizacja dowodów akceptacji regulaminu.

W celu świadczenia usług korzystamy z następujących podmiotów przetwarzających:

11. Transfer danych do USA (Stripe, Meta Platforms, Google Fonts) odbywa się na podstawie Standardowych Klauzul Umownych (SCCs) lub decyzji o adekwatności ochrony (EU-US Data Privacy Framework).
12. Hosting na Vercel jest skonfigurowany w regionie EU (Frankfurt, Niemcy) – dane nie opuszczają Europejskiego Obszaru Gospodarczego.

13. Dane związane z kontem Użytkownika – do momentu usunięcia konta lub żądania usunięcia danych.
14. Dane quizowe, waitlist i lead magnet – do momentu usunięcia na żądanie Użytkownika lub wycofania zgody.
15. Zgody marketingowe i logi zgód (w tym adres IP) – przez okres niezbędny do wykazania zgodności z przepisami, nie dłużej niż do przedawnienia roszczeń.
16. Dane podatkowe (dowody zakupu, akceptacja regulaminu) – 5 lat zgodnie z przepisami prawa podatkowego.
17. Logi wysłanych e-maili i aktywności administracyjnej – przez okres niezbędny do celów operacyjnych i audytowych, nie dłużej niż do przedawnienia roszczeń.
18. Wygasłe tokeny (auto-login, reset hasła) – logicznie nieważne po upływie terminu; usuwane periodycznie.

Jako Użytkownik masz następujące prawa wynikające z RODO:

19. Prawo dostępu do danych (Art. 15 RODO) – możesz uzyskać informację o przetwarzanych danych, wysyłając żądanie na adres: kontakt@zlobkowydetektyw.pl.
20. Prawo do sprostowania (Art. 16 RODO) – jeśli Twoje dane są nieprawidłowe, skontaktuj się z nami w celu ich poprawienia.
21. Prawo do usunięcia danych (Art. 17 RODO) – możesz zażądać usunięcia konta i powiązanych danych, wysyłając żądanie na adres: kontakt@zlobkowydetektyw.pl. Usunięcie konta jest nieodwracalne.
22. Prawo do przenoszenia danych (Art. 20 RODO) – możesz zażądać eksportu swoich danych w formacie CSV/JSON.
23. Prawo do wycofania zgody (Art. 7 ust. 3 RODO) – zgodę na komunikację marketingową możesz wycofać w dowolnym momencie: w ustawieniach konta, poprzez link „wypisz się” w każdym e-mailu, lub wysyłając żądanie na adres: kontakt@zlobkowydetektyw.pl.
24. Prawo do wniesienia skargi – masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Żądania realizujemy w terminie 30 dni od dnia otrzymania. W uzasadnionych przypadkach termin może zostać przedłużony o kolejne 60 dni, o czym Użytkownik zostanie poinformowany.

25. Komunikację marketingową wysyłamy wyłącznie za wyraźną zgodą Użytkownika (opt-in).
26. Zgoda jest zbierana: na etapie zakupu (checkbox w formularzu checkout), w formularzu quizu, w formularzu pobrania checklisty (lead magnet), w ustawieniach konta.
27. Każdy e-mail marketingowy zawiera link umożliwiający natychmiastowe wypisanie się.
28. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
29. Historia zmian zgody (udzielenie/wycofanie, data, adres IP, źródło) jest przechowywana w celach audytowych.

Stosujemy następujące środki techniczne i organizacyjne w celu ochrony danych:

30. Hasła przechowywane wyłącznie w postaci hashy kryptograficznych (bcrypt, 12 rund salt).
31. Szyfrowanie transmisji – HTTPS (TLS) wymuszony na wszystkich połączeniach.
32. Tokeny jednorazowe (auto-login, reset hasła) przechowywane jako hash SHA-256 – plaintext nie jest zapisywany.
33. Ograniczanie liczby żądań (rate limiting) – 3–60 żądań/minutę w zależności od endpointu, z wykorzystaniem Redis (Upstash).
34. Blokada konta po 5 nieudanych próbach logowania na 15 minut.
35. Nagłówki bezpieczeństwa HTTP: Content-Security-Policy, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin.
36. Panel administracyjny zabezpieczony ograniczeniem dostępu po adresie IP (CIDR allowlist).
37. Sanityzacja danych wejściowych (ochrona przed XSS) – usuwanie tagów HTML z danych wprowadzanych przez użytkowników.
38. Weryfikacja podpisów webhooków Stripe (ochrona przed fałszywymi zdarzeniami płatności).
39. Pliki cookies z flagami httpOnly, Secure i SameSite.

40. We wszelkich sprawach dotyczących ochrony danych osobowych prosimy o kontakt: kontakt@zlobkowydetektyw.pl.
41. Administrator danych: Marcin Kowalczuk, Podsośnina 584, 23-412, gm. Łukowa, pow. biłgorajski, woj. lubelskie, NIP: 9182153517.
42. Organ nadzorczy: Prezes Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl.

Polityka prywatności wchodzi w życie z dniem 26 marca 2026 r.