Polityka
prywatności
Jak gromadzimy, wykorzystujemy i chronimy Twoje dane osobowe - zgodnie z RODO i polskim prawem ochrony danych.
DoSwiftly to platforma SaaS dla sklepów internetowych. W zakresie konta Użytkownika jesteśmy administratorem danych. W zakresie danych klientów końcowych sklepów jesteśmy procesorem działającym na podstawie DPA. Korzystamy ze sprawdzonych dostawców (m.in. OVH, Cloudflare, Postmark, PayU) i stosujemy szyfrowanie, izolację danych i kontrolę dostępu. Masz prawo dostępu, sprostowania, usunięcia i innych - opisanych w sekcji 9.
§ 1 Administrator danych
Administratorem Twoich danych osobowych, gdy korzystasz z DoSwiftly, jest:
- Przedsiębiorca: Jakub Gabrychowicz prowadzący jednoosobową działalność gospodarczą
- Firma: JAKUB GABRYCHOWICZ GameGoods
- Adres: ul. Łęczycka 15/1, 99-340 Krośniewice, woj. łódzkie
- NIP: 7752647541
- REGON: 360765637
- Marka usługi: DoSwiftly
- E-mail: kontakt@doswiftly.pl
- Telefon: +48 666 596 594
Operator (dalej także: DoSwiftly lub my) jest mikroprzedsiębiorcą i - zgodnie z art. 37 RODO - nie ma obowiązku powołania Inspektora Ochrony Danych. We wszystkich sprawach dotyczących danych osobowych można jednak skontaktować się z Operatorem za pośrednictwem danych w § 2.
§ 2 Jak nas dotrzeć w sprawie danych
- E-mail (preferowany): kontakt@doswiftly.pl - w temacie wpisz "RODO".
- Korespondencja: JAKUB GABRYCHOWICZ GameGoods, ul. Łęczycka 15/1, 99-340 Krośniewice.
- Telefon: +48 666 596 594.
Odpowiadamy w terminie 30 dni; w sprawach skomplikowanych - do 90 dni z informacją o przedłużeniu (art. 12 ust. 3 RODO).
§ 3 W jakich rolach przetwarzamy dane
DoSwiftly występuje w dwóch rolach względem różnych zbiorów danych:
- Jako Administrator przetwarzamy dane Użytkowników (osób zakładających Konto i prowadzących Sklep), dane do fakturowania, marketing własny, statystyki użycia, ruch na doswiftly.pl.
- Jako Procesor (podmiot przetwarzający) w rozumieniu art. 28 RODO przetwarzamy dane Klientów końcowych Sklepów prowadzonych przez Merchantów. Administratorem tych danych jest Merchant, a my działamy wyłącznie na jego udokumentowane polecenie, zgodnie z Umową powierzenia (DPA).
§ 4 Cele przetwarzania i podstawy prawne
| Cel | Podstawa prawna (RODO) | Okres przechowywania |
|---|---|---|
| Założenie i prowadzenie Konta, świadczenie Usługi, wsparcie | Art. 6 ust. 1 lit. b - wykonanie Umowy | Czas trwania Umowy + 30 dni soft-delete |
| Logowanie kontem Google lub Facebook (gdy je wybierzesz) | Art. 6 ust. 1 lit. b - wykonanie Umowy | Do odłączenia takiego logowania lub usunięcia Konta |
| Wysyłka e-maili transakcyjnych (potwierdzenia rejestracji, faktury, powiadomienia systemowe) | Art. 6 ust. 1 lit. b - wykonanie Umowy; lit. c - obowiązek prawny (faktury) | Logi dostarczenia (metadane: status, identyfikator wiadomości, czas): 90 dni; treść wiadomości - zgodnie z retencją celu źródłowego (np. faktura: 5 lat); zbiorcze statystyki rate/bounce: 7 dni |
| Powiadomienia SMS o zdarzeniach w Sklepie (gdy włączysz kanał SMS) | Art. 6 ust. 1 lit. b - wykonanie Umowy | Do wyłączenia kanału SMS |
| Wystawianie faktur, rozliczenia podatkowe | Art. 6 ust. 1 lit. c - obowiązek prawny (Ordynacja podatkowa, ustawa o rachunkowości) | 5 lat od końca roku podatkowego |
| Marketing własny DoSwiftly (newsletter, oferty) | Art. 6 ust. 1 lit. a - zgoda (opt-in); art. 398 Prawa komunikacji elektronicznej | Do wycofania zgody |
| Analityka, statystyki użycia, optymalizacja Platformy (bez cookies analitycznych) | Art. 6 ust. 1 lit. f - uzasadniony interes (rozwój produktu) | Do 24 miesięcy |
| Bezpieczeństwo, audit logi, zapobieganie nadużyciom, ochrona formularzy logowania i rejestracji przed botami (Google reCAPTCHA) | Art. 6 ust. 1 lit. f - uzasadniony interes | Do 365 dni |
| Obrona przed roszczeniami, dochodzenie roszczeń | Art. 6 ust. 1 lit. f - uzasadniony interes | Okres przedawnienia roszczeń (co do zasady 6 lat; dla roszczeń związanych z działalnością gospodarczą - 3 lata) |
| Realizacja praw osób (art. 15-22 RODO), obsługa skarg | Art. 6 ust. 1 lit. c - obowiązek prawny | 3 lata od zamknięcia sprawy |
Podanie danych jest dobrowolne, ale niezbędne do zawarcia i wykonania Umowy oraz wystawienia faktury VAT. Brak podania danych uniemożliwia założenie Konta.
§ 5 Kategorie przetwarzanych danych
- Identyfikujące: imię i nazwisko; w profilu rozliczeniowym Zespołu - firma i NIP.
- Kontaktowe: e-mail, telefon, adres korespondencyjny.
- Konta i dostępu: login (adres e-mail), hasło przechowywane wyłącznie w postaci skrótu kryptograficznego, tokeny sesji; przy logowaniu kontem Google lub Facebook - identyfikator tego konta oraz przekazane przez dostawcę imię, nazwisko, adres e-mail i zdjęcie profilowe.
- Rozliczeniowe: dane faktury, historia płatności, identyfikator transakcji PayU. Nie przechowujemy pełnych numerów kart - przetwarza je PayU jako tokenizer.
- Techniczne: adres IP, user-agent, dane przeglądarki i urządzenia, ID instancji aplikacji.
- Behawioralne: zdarzenia w aplikacji (np. utworzenie produktu, zamówienie), dziennik zdarzeń (audit log).
- Dotyczące Sklepu: dane wprowadzone przez Merchanta w panelu (produkty, zamówienia, klienci sklepu). Wobec tych danych Operator jest procesorem - zob. DPA.
- Komunikacja: korespondencja e-mailowa i wiadomości kierowane do nas na Discordzie, nagrania rozmów (gdy są realizowane i po uprzedzeniu).
§ 6 Odbiorcy danych i sub-procesorzy
Dane mogą być udostępniane następującym kategoriom odbiorców:
6.1. Sub-procesorzy
| Sub-procesor | Rola | Lokalizacja |
|---|---|---|
| OVH SAS | Hosting serwerów, baz danych i kopii zapasowych; poczta e-mail domeny doswiftly.pl | Polska (EOG) |
| PayU S.A. | Operator płatności za Plany i doładowania, tokenizacja kart | Polska (EOG) |
| Cloudflare, Inc. | CDN, DNS, ochrona przed atakami DDoS i botami, Workers, storage R2, Custom Hostnames | USA + EU edge (transfer poza EOG - zob. § 7) |
| AC PM, LLC (Postmark) | Wysyłka e-maili transakcyjnych (potwierdzenia zamówień, faktury, powiadomienia systemowe, reset hasła) | Chicago, Illinois, USA (transfer poza EOG - zob. § 7) |
| SMSAPI | Wysyłka powiadomień SMS (gdy włączysz kanał SMS) | Polska (EOG) |
Aktualna lista sub-procesorów (wraz z odnośnikami do ich polityk) dostępna jest na /dpa#subprocesorzy. Zmiany ogłaszamy z 14-dniowym wyprzedzeniem; Merchant ma prawo sprzeciwu - zob. DPA.
6.2. Inni odbiorcy
- kancelarie prawne, biura rachunkowe, doradcy podatkowi i audytorzy - w zakresie świadczonych usług, pod umową zachowania poufności;
- Raporty DMARC: Operator otrzymuje zbiorcze raporty DMARC (aggregate reports w formacie XML) z domen pocztowych Merchantów na wewnętrzny adres monitoringu bezpieczeństwa - służą wyłącznie do wykrywania prób podszywania się pod nadawcę (spoofing) i nie zawierają treści wiadomości ani danych odbiorców końcowych;
- operatorzy płatności i instytucje finansowe - w zakresie niezbędnym do realizacji transakcji;
- Google Ireland Ltd. - gdy logujesz się kontem Google oraz przy ochronie formularzy logowania i rejestracji przed botami (reCAPTCHA); Google przetwarza te dane zgodnie z własną polityką prywatności;
- Meta Platforms Ireland Ltd. - gdy logujesz się kontem Facebook;
- Discord Inc. - gdy kontaktujesz się z nami na serwerze DoSwiftly na Discordzie; Discord przetwarza wiadomości jako odrębny administrator, zgodnie z własną polityką prywatności;
- organy państwowe (sądy, prokuratura, organy podatkowe, PUODO, UOKiK) - wyłącznie na podstawie wiążącego żądania zgodnego z prawem.
§ 7 Przekazywanie danych poza EOG
Część sub-procesorów (Cloudflare, AC PM LLC / Postmark) działa poza Europejskim Obszarem Gospodarczym. Przekazanie danych odbywa się na podstawie:
- Standardowych klauzul umownych (SCC) przyjętych przez Komisję Europejską (decyzja 2021/914);
- Ram ochrony prywatności UE-USA (EU-US Data Privacy Framework) dla dostawców certyfikowanych;
- w razie potrzeby - środków uzupełniających (szyfrowanie, pseudonimizacja, ocena ryzyka transferu).
Dane przekazywane do AC PM, LLC (Postmark) - operatora e-maili transakcyjnych - są przetwarzane w Stanach Zjednoczonych (Chicago, Illinois). Podstawą transferu jest certyfikacja AC PM, LLC w ramach EU-US Data Privacy Framework (decyzja wykonawcza Komisji (UE) 2023/1795 z 10.07.2023) oraz - pomocniczo - Standardowe Klauzule Umowne Komisji Europejskiej (Moduł 2, decyzja 2021/914) inkorporowane w Warunkach Świadczenia Usług Postmark. AC PM, LLC zobowiązała się umownie do nieużywania powierzonych Danych do celów innych niż świadczenie usługi wysyłki e-maili (DPA Postmark, § 3.a). Sub-procesorzy Postmarka (Deft, AWS US) działają wyłącznie w USA.
Kopię stosowanych zabezpieczeń można uzyskać kontaktując się z nami pod adresem kontakt@doswiftly.pl.
§ 8 Okresy przechowywania
Dane przechowujemy wyłącznie tak długo, jak jest to konieczne do osiągnięcia celów, dla których zostały zebrane - zob. tabela w § 4. Po upływie tych okresów dane są usuwane lub anonimizowane. Kopie zapasowe rotujemy maksymalnie co 90 dni - w tym okresie możemy nie być w stanie usunąć danych z kopii zapasowych, ale nie wykorzystujemy ich poza odzyskiwaniem po awarii.
§ 9 Twoje prawa (art. 15-22 RODO)
- Dostęp do danych i otrzymanie ich kopii (art. 15).
- Sprostowanie danych nieprawidłowych lub niekompletnych (art. 16).
- Usunięcie danych - "prawo do bycia zapomnianym" (art. 17), z zastrzeżeniem obowiązków archiwizacyjnych (np. faktury).
- Ograniczenie przetwarzania (art. 18).
- Przenoszenie danych - eksport w formacie JSON na żądanie (art. 20).
- Sprzeciw wobec przetwarzania opartego o uzasadniony interes lub na cele marketingu bezpośredniego (art. 21).
- Niepodleganie decyzjom zautomatyzowanym, w tym profilowaniu, wywołującym skutki prawne lub podobnie istotne (art. 22) - zob. § 12.
- Wycofanie zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem.
Aby skorzystać z praw, napisz na kontakt@doswiftly.pl z dopiskiem "RODO". Część danych możesz też pobrać samodzielnie w panelu - m.in. zamówienia i stany magazynowe (eksport CSV) oraz dziennik zdarzeń.
W zakresie danych Klientów końcowych Sklepów żądania należy kierować do administratora tych danych - Merchanta. Operator wesprze realizację tych praw zgodnie z DPA.
§ 10 Prawo skargi do organu nadzorczego
Masz prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych:
Urząd Ochrony Danych Osobowych
ul. Stawki 2, 00-193 Warszawa
uodo.gov.pl
Wobec tego prosimy o uprzedni kontakt z nami - postaramy się rozwiązać sprawę polubownie.
§ 11 Pliki cookies
Szczegółowe informacje o plikach cookies (rodzaje, cele, okresy, dostawcy) oraz instrukcję zarządzania zgodami zawiera Polityka Cookies DoSwiftly. Ustawieniami plików cookies możesz zarządzać w swojej przeglądarce - szczegółowe instrukcje znajdziesz w Polityce Cookies.
§ 12 Profilowanie i decyzje zautomatyzowane
W ramach DoSwiftly nie profilujemy poszczególnych osób i nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływały (art. 22 RODO). Rekomendacje produktów w Sklepie opierają się na zbiorczych danych sprzedażowych Sklepu (np. produkty najczęściej kupowane razem), a kolejność wyników wyszukiwania - na dopasowaniu do treści zapytania.
§ 13 Dane małoletnich
DoSwiftly nie jest kierowane do osób poniżej 18 roku życia. Świadomie nie zbieramy danych osób małoletnich w celach założenia Konta. Jeśli Merchant prowadzi Sklep adresowany do małoletnich, odpowiedzialność za zgody (art. 8 RODO) i zasady przetwarzania danych takich Klientów końcowych spoczywa na Merchancie jako administratorze.
§ 14 Bezpieczeństwo danych
Stosujemy następujące środki techniczne i organizacyjne:
- szyfrowanie transmisji danych (TLS 1.2+) oraz szyfrowanie danych uwierzytelniających do usług zewnętrznych i kopii zapasowych;
- osobną bazę danych i odrębne poświadczenia dostępu dla każdego Sklepu;
- kontrolę dostępu opartą na rolach i uprawnieniach; dostęp administracyjny do infrastruktury ograniczony do upoważnionych osób Operatora;
- przechowywanie haseł wyłącznie w postaci skrótu kryptograficznego;
- regularne, szyfrowane kopie zapasowe i testy odtwarzania;
- ochronę przed atakami DDoS i ruchem botów, limity liczby zapytań, monitoring bezpieczeństwa;
- politykę reagowania na incydenty i obowiązek zgłaszania naruszeń w terminie 72 godzin (art. 33 RODO).
§ 15 Zmiany Polityki Prywatności
Operator może aktualizować niniejszą Politykę. O istotnych zmianach poinformujemy z 14-dniowym wyprzedzeniem e-mailem oraz banerem na stronie. Aktualna wersja zawsze dostępna jest pod adresem doswiftly.pl/polityka-prywatnosci, z oznaczeniem wersji i daty wejścia w życie.
Wersja Polityki Prywatności: 2.0, obowiązuje od 08.10.2026. Poprzednia wersja 1.1 obowiązywała od 21.05.2026.