Polityka prywatności

§ 1. Administrator danych

Administratorem danych osobowych jest:

ELEVY sp. z o.o.
ul. Złota 75A lok. 7, 00-819 Warszawa
KRS 0001242634, NIP 5273219941, REGON 544818950
Email kontaktowy: [email protected]
Email dot. ochrony danych osobowych: [email protected]

Serwis przeznaczony jest wyłącznie dla osób, które ukończyły 18 lat. Operator nie przetwarza świadomie danych osobowych osób, które nie ukończyły 18 lat. W przypadku ustalenia, że dane osobowe osoby małoletniej zostały przekazane bez zgody opiekuna prawnego, Operator niezwłocznie usunie takie dane.

§ 2. Jakie dane zbieramy

Każdy Użytkownik (przy rejestracji):

• imię i nazwisko,
• adres email,
• hasło (zaszyfrowane algorytmem Argon2).

Twórca (dodatkowo):

• adres zamieszkania,
• numer telefonu,
• numer rachunku bankowego (IBAN),
• dane weryfikacyjne Stripe (KYC): dokument tożsamości, PESEL lub NIP,
• numer NIP (jeśli prowadzi działalność gospodarczą).

Agencja (dodatkowo):

• nazwa prawna oraz numer NIP Agencji,
• dane weryfikacyjne Stripe (KYC) podmiotu gospodarczego,
• dane Członków Agencji (email, imię) oraz zapisy dziennika audytowego czynności wykonywanych na Kontach zarządzanych Twórców (identyfikator osoby działającej, adres IP, informacje o urządzeniu, zakres zmiany).

Subskrybent (przy zakupie):

• dane karty płatniczej – przetwarzane wyłącznie przez Stripe, Operator NIE przechowuje danych kart,
• adres email oraz znaczniki zgód (akceptacja Regulaminu, zgoda na natychmiastowe dostarczenie treści) wraz z adresem IP – również przy zakupie jako gość (§ 3.6 Regulaminu).

W przypadku Live Events i Konsultacji:

• wizerunek i głos uczestników (przekazywane do dostawcy infrastruktury audio-wideo – Cloudflare RealtimeKit – w czasie trwania połączenia),
• nagranie (jeśli Live Event jest nagrywany – wyłącznie po wyrażeniu zgody przez wszystkich uczestników, zgodnie z § 7A.4 Regulaminu),
• imię/nazwa wyświetlana oraz awatar przekazywane do dostawcy w celu identyfikacji uczestnika w pokoju.

W przypadku korzystania z funkcji społecznościowych:

• treść Komentarzy publikowanych pod postami Twórców (Komentarze są publiczne),
• polubienia (lajki) – nie są ujawniane innym Użytkownikom (Twórca widzi tylko liczbę polubień),
• obserwowanie (follow) Twórców,
• zgłoszenia treści naruszających Regulamin (DSA) – w celu rozpatrzenia.

W przypadku przekazywania Kawy:

• imię/nazwa darczyńcy + email (jeśli Subskrybent nie wybrał opcji anonimowej),
• wiadomość tekstowa do Twórcy (jeśli dołączona),
• kwota i czas transakcji.

Dane zbierane automatycznie:

• adres IP,
• typ przeglądarki i urządzenia,
• pliki cookies (patrz § 9),
• dane o aktywności w Serwisie (odwiedzone strony, czas sesji),
• identyfikator atrybucji poleceń (cookie elevy_ref) – gdy Użytkownik trafił do Serwisu z linku polecającego Twórcy,
• w przypadku statystyk odsłon profili – wyłącznie zahaszowany identyfikator odwiedzającego (skrót SHA-256 z adresu IP i przeglądarki, obliczany z dodatkiem soli); surowy adres IP nie jest przechowywany,
• token urządzenia – wyłącznie jeśli Operator udostępni powiadomienia push i Użytkownik wyrazi na nie zgodę.

§ 3. Cele i podstawy prawne przetwarzania

Narzędzia analityczne i marketingowe konfigurowane samodzielnie przez Twórcę na jego stronach (Meta Pixel, Google Analytics/Ads, TikTok Pixel) są przetwarzaniem, dla którego administratorem jest Twórca; Operator jedynie technicznie osadza podane przez Twórcę identyfikatory (patrz § 9 oraz § 4.10 Regulaminu).

§ 4. Okres przechowywania danych

Po upływie okresu przechowywania dane są usuwane lub anonimizowane zgodnie z przepisami.

§ 5. Udostępnianie danych

Dane osobowe mogą być udostępniane następującym podmiotom:

Transfer danych poza EOG:

W przypadku przekazywania danych do USA (Google, Cloudflare, Backblaze, Sentry, Resend, Giphy, a także narzędzi Twórcy: Meta, TikTok) stosujemy Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską oraz – w stosownych przypadkach – EU-US Data Privacy Framework (DPF).

Umowy powierzenia:

Z każdym z powyższych podmiotów Operator zawarł lub jest w trakcie zawierania umów powierzenia przetwarzania danych osobowych (Data Processing Agreement) w formie elektronicznej, zgodnie z art. 28 ust. 9 RODO.

§ 6. Prawa użytkownika

Na podstawie RODO, każdy Użytkownik ma prawo do:

• Dostępu – uzyskania informacji o przetwarzanych danych,
• Sprostowania – poprawienia nieprawidłowych danych,
• Usunięcia („prawo do bycia zapomnianym”) – żądania usunięcia danych,
• Ograniczenia przetwarzania – żądania tymczasowego wstrzymania przetwarzania,
• Przenoszenia danych – otrzymania danych w formacie maszynowo-czytelnym (JSON / CSV),
• Sprzeciwu – wobec przetwarzania na podstawie uzasadnionego interesu,
• Wycofania zgody – w przypadku przetwarzania na podstawie zgody (bez wpływu na legalność wcześniejszego przetwarzania).

Jak skorzystać z praw:

• Email: [email protected],
• odpowiedź w terminie miesiąca od otrzymania żądania, z możliwością przedłużenia o kolejne 2 miesiące w skomplikowanych przypadkach (art. 12 ust. 3 RODO) – z poinformowaniem Użytkownika o przedłużeniu w ciągu pierwszego miesiąca.

Inspektor Ochrony Danych (IOD):

Operator nie wyznaczył Inspektora Ochrony Danych (IOD) zgodnie z art. 37 RODO, ponieważ działalność Operatora nie spełnia kryteriów obowiązkowego wyznaczenia IOD (brak monitorowania osób na dużą skalę, brak przetwarzania szczególnych kategorii danych w głównym zakresie działalności). Wszelkie pytania dotyczące przetwarzania danych osobowych należy kierować na adres: [email protected].

Prawo skargi:

Użytkownik ma prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, www.uodo.gov.pl.

§ 7. Dobrowolność podania danych

7.1. Podanie danych osobowych jest dobrowolne, lecz niezbędne do korzystania z Serwisu. Brak podania danych uniemożliwia rejestrację Konta i korzystanie z funkcji Serwisu.

7.2. Podanie danych przez Twórcę w zakresie wymaganym przez przepisy podatkowe (NIP/PESEL – DAC7) jest obowiązkowe.

§ 8. Zautomatyzowane podejmowanie decyzji

8.1. Operator nie stosuje zautomatyzowanego podejmowania decyzji, w tym profilowania, w rozumieniu art. 22 RODO, które wywołuje skutki prawne wobec Użytkownika lub w podobny sposób istotnie na niego wpływa.

8.2. Operator może stosować automatyczne narzędzia moderacji treści (w tym wykrywanie spamu, detekcja niezgodnych z Regulaminem materiałów). Decyzje podejmowane przez te narzędzia są zawsze weryfikowane manualnie przez Operatora przed wykonaniem działań skutkujących prawnie (np. usunięcie Konta zgodnie z § 11 Regulaminu).

§ 9. Pliki cookies

Rodzaje cookies:

Analityka Operatora:

Na swoich własnych stronach Operator nie korzysta z zewnętrznych narzędzi analitycznych opartych na plikach cookies. Statystyki odsłon profili Twórców opierają się na własnym, serwerowym liczniku, który nie używa plików cookies i przechowuje wyłącznie zahaszowany identyfikator odwiedzającego (skrót SHA-256 z dodatkiem soli), bez zapisywania surowego adresu IP.

Narzędzia marketingowe i analityczne Twórców:

Na publicznych stronach Twórców, którzy samodzielnie włączyli własne narzędzia (Meta Pixel, Google Analytics/Ads, TikTok Pixel), mogą być ustawiane pliki cookies tych dostawców oraz wysyłane do nich zdarzenia (np. wyświetlenie strony, dokonanie zakupu). Administratorem danych przetwarzanych przez te narzędzia jest Twórca, który odpowiada za podstawę prawną ich stosowania, w tym za uzyskanie wymaganych zgód. Te pliki cookies są ustawiane wyłącznie po wyrażeniu przez Użytkownika zgody w banerze cookies; zgodę można w każdej chwili zmienić lub wycofać przez link „Ustawienia plików cookie” w stopce serwisu.

Zarządzanie cookies:

• zgodą na pliki marketingowe zarządzasz w banerze cookies, który pojawia się przy pierwszej wizycie,
• zgodę możesz w każdej chwili zmienić lub wycofać przez link „Ustawienia plików cookie” w stopce serwisu,
• cookies niezbędne nie wymagają zgody Użytkownika,
• możesz też usunąć zapisane pliki cookies w ustawieniach swojej przeglądarki.

§ 10. Bezpieczeństwo danych

Operator stosuje następujące środki ochrony danych:

• szyfrowanie transmisji (SSL/TLS),
• szyfrowanie haseł (Argon2),
• kontrola dostępu (role, uprawnienia),
• regularne kopie zapasowe,
• monitorowanie dostępu do danych,
• dane finansowe Twórców (konto bankowe, adres) NIE są widoczne dla Subskrybentów.

Procedura naruszenia ochrony danych (data breach):

W przypadku naruszenia ochrony danych osobowych mogącego skutkować ryzykiem dla praw i wolności osób fizycznych, Operator zgłasza naruszenie do Prezesa UODO w terminie 72 godzin od stwierdzenia naruszenia (zgodnie z art. 33 RODO) oraz informuje osoby, których dane dotyczą, jeżeli ryzyko jest wysokie (art. 34 RODO).

§ 11. Dane osobowe Twórców a Subskrybenci

11.1. Dane osobowe Twórcy (adres, telefon, konto bankowe) nie są udostępniane Subskrybentom.

11.2. Subskrybent widzi: nazwę/pseudonim Twórcy, opis profilu, Treści publiczne.

11.3. Twórca może zdecydować o publikacji dodatkowych danych (np. imienia, zdjęcia).

11.4. W przypadku przekazania Kawy oznaczonej jako anonimowa (zgodnie z § 6A.4 Regulaminu), Twórca nie pozna danych identyfikacyjnych Subskrybenta (poza informacją o samej kwocie i ewentualnej dołączonej wiadomości). Operator zachowuje pełne dane Subskrybenta do celów rozliczeń podatkowych, AML oraz ewentualnych obowiązków raportowych.

11.5. Komentarze publikowane przez Subskrybentów pod postami Twórców są publiczne – widoczne są: treść, nazwa/pseudonim Subskrybenta, data publikacji. Polubienia są anonimowe – Twórca widzi wyłącznie zagregowaną liczbę polubień bez ujawnienia tożsamości Użytkowników. Wsparcie w formie Kawy może być wyświetlane publicznie wraz z podaną przez darczyńcę nazwą i wiadomością (chyba że wybrano opcję anonimową).

§ 11A. Agencje i dane Twórców

11A.1. Gdy Twórca jest zarządzany przez Agencję (§ 7B Regulaminu), Członkowie Agencji uzyskują, w zakresie wynikającym z ich roli, dostęp do danych i ustawień Konta Twórcy w celu jego obsługi (m.in. treści, ceny, ustawienia sprzedaży, a w zakresie ról administracyjnych również operacje płatnicze).

11A.2. Agencja jest odrębnym administratorem danych w zakresie własnej działalności gospodarczej (m.in. rozliczeń z Twórcą). W zakresie obsługi Konta Twórcy w Serwisie Agencja działa na podstawie porozumienia z Twórcą.

11A.3. Każda czynność Członka Agencji wykonana na Koncie Twórcy jest rejestrowana w dzienniku audytowym (identyfikator osoby działającej, adres IP, informacje o urządzeniu, zakres zmiany). Adres IP jest usuwany po 90 dniach; zapisy dotyczące czynności finansowych są przechowywane przez 5 lat (obowiązki podatkowe / AML).

11A.4. Dane biznesowe Agencji (nazwa prawna, NIP) oraz dane weryfikacyjne (KYC) są przekazywane Operatorowi Płatności (Stripe) w celu utworzenia i prowadzenia konta rozliczeniowego Agencji.

§ 12. Zmiany Polityki Prywatności

12.1. Operator zastrzega sobie prawo do zmiany Polityki Prywatności.

12.2. O zmianach Użytkownicy zostaną powiadomieni emailem z 14-dniowym wyprzedzeniem.

12.3. Aktualna wersja Polityki Prywatności jest zawsze dostępna na stronie elevy.co/privacy.

12.4. Jeżeli którekolwiek postanowienie niniejszej Polityki Prywatności okaże się nieważne lub bezskuteczne, nie wpływa to na ważność pozostałych postanowień, które pozostają w mocy.

W sprawach dotyczących ochrony danych osobowych skontaktuj się z nami: [email protected].