Polityka prywatności

Administratorem danych osobowych Użytkowników serwisu domwokolnas.pl jest:

Administrator nie wyznaczył inspektora ochrony danych. We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw można kontaktować się na adres e-mail wskazany powyżej.

Politykę stosuje się do przetwarzania danych osób odwiedzających Serwis oraz posiadających Konto. Pojęcia „dane osobowe”, „przetwarzanie”, „administrator”, „podmiot przetwarzający” i „odbiorca” mają znaczenie nadane im w RODO. Anonimowe przeglądanie i wyszukiwanie ofert nie wymaga zakładania Konta.

Podanie danych jest dobrowolne, jednak podanie adresu e-mail i hasła jest niezbędne do założenia Konta, a danych rozliczeniowych — do zawarcia i realizacji Subskrypcji PRO.

Funkcje Asystenta AI (wyszukiwanie językiem naturalnym, tryb rozmowy, analiza ogłoszeń, analiza multimodalna/wizualna, wyszukiwanie znaczeniowe, rekomendacje, analizy rynkowe) opierają się na modelach i mechanizmach działających lokalnie, na infrastrukturze Administratora. Ani treść zapytań, ani dane Użytkownika nie są przekazywane zewnętrznym dostawcom usług AI. Kontekst trybu rozmowy jest utrzymywany wyłącznie w pamięci podręcznej (Redis) przez ok. 2 godziny i nie jest trwale zapisywany.

Jedynym wyjątkiem — dotyczącym danych ogłoszeń, a nie danych Użytkownika — jest geokodowanie nazw miejscowości pochodzących z ogłoszeń, które może korzystać z zewnętrznych usług (Nominatim, Geoapify, opcjonalnie usługi Anthropic — domyślnie wyłączonej). Do usług tych przekazywane są wyłącznie nazwy miejscowości, bez danych osobowych Użytkownika.

Treść zapytań wyszukiwania jest zapisywana po usunięciu danych mogących identyfikować osobę (redakcja m.in. adresów e-mail, numerów PESEL i telefonu) i przechowywana przez 90 dni w celu utrzymania i poprawy jakości usług; powiązanie takich zapisów z Kontem jest usuwane przy usunięciu Konta.

Serwis tworzy profil preferencji Użytkownika na podstawie jego aktywności (ulubione, zapisane wyszukiwania, ukryte oferty, interakcje) w celu personalizacji rekomendacji. Profilowanie jest domyślnie włączone i można je wyłączyć w ustawieniach konta (preferencje AI). Przetwarzanie w ramach Asystenta AI ma charakter automatyczny, jednak Administrator nie podejmuje wobec Użytkownika zautomatyzowanych decyzji wywołujących skutki prawne lub w podobny sposób istotnie na niego wpływających w rozumieniu art. 22 RODO — dokonywane oceny dotyczą ofert nieruchomości, a nie osób. Wyniki i rekomendacje mają charakter pomocniczy i nie zastępują samodzielnej decyzji Użytkownika.

Serwis nie stosuje OCR, nie umożliwia przesyłania plików przez Użytkownika oraz nie prowadzi rozpoznawania twarzy ani przetwarzania danych biometrycznych. Analiza zdjęć obejmuje wyłącznie zdjęcia z zewnętrznych ogłoszeń i wykrywa cechy budynku; ewentualna obecność osoby na zdjęciu jest jedynie oznaczana w celu wykluczenia zdjęcia, bez identyfikacji osób.

Serwis stosuje wyłącznie trzy pliki cookie, wszystkie z atrybutem HttpOnly(niedostępne dla skryptów przeglądarki). Wszystkie są cookie niezbędne do działania i bezpieczeństwa Serwisu, stosowane na podstawie prawnie uzasadnionego interesu i niewymagające zgody:

• domwokolnas_refresh_token — token odświeżania sesji; ścieżka /api/auth, w produkcji z atrybutem Secure, SameSite=Lax, żywotność 30 dni.
• domwokolnas_session — bezwartościowy znacznik obecności sesji (wartość „1”) używany przez warstwę pośredniczącą do bramkowania dostępu do panelu konta (/konto); ścieżka /, żywotność jak token odświeżania.
• domwokolnas_ai_anon_session — krótkotrwały anonimowy identyfikator zdarzeń rankingu AI; ścieżka /api/ai-assistant, żywotność 30 minut; po stronie serwera przechowywany wyłącznie w postaci skrótu.

Identyfikatory analityki (identyfikator odwiedzającego i identyfikator sesji) oraz decyzja w sprawie zgody nie są przechowywane w plikach cookie — zapisywane są w pamięci przeglądarki (localStorage). W localStorage przechowywane są klucze: domwokolnas_consent (decyzja o zgodzie), domwokolnas_analytics_visitor_id, domwokolnas_analytics_session, domwokolnas_analytics_retry oraz domwokolnas_comparison_tray (wyłącznie identyfikatory porównywanych ofert). Token dostępu (JWT) nie jest zapisywany w localStorage — przechowywany jest wyłącznie w pamięci aplikacji.

Przy pierwszej wizycie wyświetlany jest baner zgody dla osób niezalogowanych. Stanowi on pojedynczą decyzję: akceptację albo odrzucenie (wraz ze znacznikiem czasu) — nie jest wersjonowany ani podzielony na osobne kategorie. Do czasu udzielenia zgody Serwis blokuje wyliczanie identyfikatora urządzenia (fingerprint) oraz przetwarzanie geolokalizacji. Decyzję można w każdej chwili zmienić, bez wpływu na zgodność z prawem przetwarzania sprzed jej zmiany. Odrzucenie zgody nie blokuje przeglądania Serwisu.

Serwis korzysta z własnej analityki (first-party) i nie używa Google Analytics ani podobnych zewnętrznych narzędzi śledzących. Dane analityczne (m.in. losowy identyfikator odwiedzającego, odwiedzone strony, czas aktywności, typ urządzenia) służą do liczenia unikalnych odwiedzających oraz prezentowania statystyk i filtrów w panelu analitycznym. Za zgodą dokładność analityki zwiększają identyfikator urządzenia (fingerprint) i przybliżona lokalizacja. Analityka nie przechowuje adresów IP w żadnej postaci — ani w formie surowej, ani jako skrót. Zdarzenia analityczne są przechowywane przez 7 dni.

Funkcje mapowe i „wyszukiwanie w okolicy” korzystają z przybliżonej lokalizacji Użytkownika. Lokalizacja jest pobierana z przeglądarki jednorazowo, dopiero po działaniu Użytkownika i wyłącznie za jego zgodą. Współrzędne są zaokrąglane do ok. 1,1 km jeszcze w przeglądarce, zanim opuszczą urządzenie — dokładna lokalizacja (dokładne współrzędne GPS) nie jest przesyłana ani przechowywana. Odwrotne geokodowanie zaokrąglonych współrzędnych do nazwy miasta i województwa odbywa się po stronie serwera (Nominatim). Geokodowanie adresów ofert może korzystać z zewnętrznych dostawców usług map/geokodowania (zob. pkt 9).

Dane mogą być powierzane zaufanym dostawcom działającym na zlecenie Administratora (podmiotom przetwarzającym), na podstawie umów powierzenia zgodnie z art. 28 RODO, wyłącznie w zakresie niezbędnym do świadczenia usług:

• Stripe (Stripe Payments Europe, Limited) — obsługa płatności i cyklicznych rozliczeń Subskrypcji PRO; przekazywany jest adres e-mail oraz identyfikatory subskrypcji, a dane kart przetwarza wyłącznie Stripe.
• Brevo (Sendinblue) — wysyłka e-maili transakcyjnych i powiadomień (weryfikacja e-mail, reset hasła, alerty); przekazywane są adresy e-mail odbiorców oraz treść wiadomości transakcyjnych.
• OVH — dostawca hostingu / infrastruktury (serwer), na którym utrzymywany jest cały Serwis, bazy danych oraz kopie zapasowe.
• Dostawcy usług map i geokodowania — OpenStreetMap/Nominatim, Geoapify, GeoNames oraz Overpass — geokodowanie i obsługa map. Mapy (kafle OpenStreetMap) oraz część zapytań o punkty użyteczności (Overpass) są pobierane bezpośrednio przez przeglądarkę Użytkownika, w związku z czym dostawcy ci mogą otrzymać adres IP Użytkownika.
• Usługa geokodowania Anthropic — opcjonalnie i domyślnie wyłączona; jeżeli zostanie włączona, przekazywane są wyłącznie nazwy miejscowości pochodzące z ogłoszeń, bez danych osobowych Użytkownika.

Infrastrukturę wewnętrzną Serwisu stanowią baza danych PostgreSQL/PostGIS oraz pamięć podręczna Redis, utrzymywane w ramach hostingu wskazanego powyżej.

Dane z formularza zapytania o finansowanie (kredyt hipoteczny) są przechowywane wyłącznie u Administratora i dostępne wyłącznie dla obsługi Serwisu. Nie są one przekazywane żadnemu bankowi, pośrednikowi kredytowemu ani innemu partnerowi zewnętrznemu; administratorem tych danych jest wyłącznie Administrator Serwisu.

Serwis nie korzysta z Google Analytics, Google Fonts (czcionki są udostępniane z własnego serwera), Sentry ani Cloudflare. Dane mogą być udostępniane organom publicznym, gdy obowiązek taki wynika z przepisów prawa. Administrator nie sprzedaje danych osobowych.

Administrator dąży do przetwarzania danych w Europejskim Obszarze Gospodarczym (EOG). Jeżeli w związku z korzystaniem z usług dostawców (np. Stripe) dojdzie do przekazania danych poza EOG, następuje ono wyłącznie przy zastosowaniu odpowiednich zabezpieczeń przewidzianych w RODO, w szczególności standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub na podstawie decyzji stwierdzającej odpowiedni stopień ochrony.

• Token dostępu (JWT) — 15 minut.
• Token odświeżania i sesje — 30 dni; rekordy nieaktywnych lub unieważnionych sesji są usuwane po upływie 30 dni.
• Token weryfikacji adresu e-mail — 24 godziny. Token resetu hasła — 45 minut.
• Dane Konta — przez czas jego prowadzenia; po usunięciu Konta (po 14-dniowym okresie karencji) dane są anonimizowane w miejscu, a nie usuwane fizycznie w każdej tabeli (zob. pkt 12).
• Log audytowy (zdarzenia bezpieczeństwa) — 1095 dni (3 lata), niezależnie od anonimizacji Konta.
• Zdarzenia analityczne — 7 dni.
• Zapytania kierowane do wyszukiwania AI (po redakcji danych identyfikujących) — 90 dni.
• Transkrypcje rozmów z asystentem — wyłącznie w pamięci podręcznej (Redis) przez ok. 2 godziny; nie są zapisywane trwale.
• Raporty nieruchomości (PDF) — raport podstawowy 7 dni, raport z dostępem przez e-mail 14 dni, raport rozszerzony 90 dni; link do pobrania jest ważny 24 godziny.
• Kopie zapasowe bazy danych — dzienne zrzuty, przechowywane są trzy ostatnie.
• Ulubione i ukryte oferty, zapisane wyszukiwania i porównania — do czasu ich usunięcia przez Użytkownika lub usunięcia Konta.
• Dane rozliczeniowe / dokumenty księgowe — przez okres wymagany przepisami podatkowymi i o rachunkowości.
• Dane przetwarzane na podstawie zgody (analityka rozszerzona, marketing) — do czasu wycofania zgody lub wygaśnięcia celu.

W związku z przetwarzaniem danych przysługują Ci następujące prawa (art. 15–22 RODO):

• prawo dostępu do danych oraz uzyskania ich kopii;
• prawo do sprostowania (poprawienia) danych;
• prawo do usunięcia danych („prawo do bycia zapomnianym”) — w Serwisie realizowane m.in. przez funkcję usunięcia Konta z okresem karencji, po którym dane są anonimizowane;
• prawo do ograniczenia przetwarzania;
• prawo do przenoszenia danych — w Serwisie wspierane funkcją eksportu danych Konta (w formacie JSON);
• prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz — w każdym czasie — wobec marketingu bezpośredniego;
• prawo do wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed jej wycofania.

Usunięcie Konta następuje po złożeniu żądania i 14-dniowym okresie karencji (można je w tym czasie anulować). Finalizacja polega na anonimizacji wiersza Konta w miejscu: adres e-mail jest zastępowany adresem technicznym, skrót hasła oraz nazwa wyświetlana są usuwane, a status Konta zmieniany na „usunięte”; sam wiersz nie jest fizycznie kasowany. Sesje są unieważniane, a powiązane dane (ulubione, ukryte i ostatnio oglądane oferty, zapisane wyszukiwania, porównania, raporty, cele dojazdu) oraz identyfikatory w zdarzeniach AI — usuwane. Log audytowy pozostaje (bez powiązania z Kontem) do końca okresu retencji.

Eksport danych realizuje żądanie GET /api/me/export i udostępniany jest synchronicznie w formacie JSON. Obejmuje: dane profilu, sesje, historię zgód, preferencje powiadomień, zdarzenia bezpieczeństwa (typ i czas), ulubione i ukryte oferty, ostatnio oglądane, zapisane porównania, raporty oraz cele dojazdu.

Przysługuje Ci również prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.

Zgody powiązane z Kontem są rejestrowane w sposób przyrostowy (każda zmiana to nowy wpis), wersjonowane według wersji dokumentu, którego dotyczą, i odwoływalne w każdej chwili w ustawieniach zgód i powiadomień. Obejmują: akceptację Regulaminu oraz przyjęcie Polityki prywatności (obowiązkowe przy rejestracji), zgody marketingowe (e-mail, SMS, telefon), zgodę na marketing spersonalizowany oraz zgody dotyczące partnera kredytowego (przekazanie danych, marketing e-mail i telefoniczny partnera). Zgody te dotyczą wyłącznie danych powiązanych z Kontem i są odrębne od decyzji o zgodzie udzielanej w banerze dla osób niezalogowanych. Niezależnie od dostępności zgód dotyczących partnera kredytowego, dane z formularza zapytania o finansowanie nie są obecnie przekazywane żadnemu podmiotowi zewnętrznemu (zob. pkt 9).

Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w tym:

• szyfrowanie transmisji (TLS/HTTPS) między przeglądarką a Serwisem;
• haszowanie haseł nowoczesnym algorytmem (Argon2id) — hasła nie są przechowywane w postaci jawnej; obowiązują reguły złożoności (od 10 do 128 znaków, pełny zakres Unicode, blokada haseł z listy popularnych);
• uwierzytelnianie oparte na krótkotrwałym tokenie dostępu (ważnym 15 minut) oraz na tokenie odświeżania przechowywanym wyłącznie w postaci skrótu i przekazywanym w zabezpieczonym ciasteczku HttpOnly (w produkcji z atrybutem Secure, SameSite=Lax, o ograniczonej ścieżce i 30-dniowej ważności);
• rotacja tokenu odświeżania przy każdym odświeżeniu sesji; wykrycie ponownego użycia poprzedniego tokenu jest traktowane jako próba przejęcia i powoduje unieważnienie wszystkich sesji Użytkownika;
• brak przechowywania surowych adresów IP w tabelach uwierzytelniania — adresy IP są pseudonimizowane (zapisywane w postaci skrótu) przed ich zapisaniem;
• kontrola dostępu, mechanizmy ograniczania nadużyć (rate limiting), blokada konta po nieudanych próbach logowania oraz rejestrowanie zdarzeń bezpieczeństwa.

Serwis jest przeznaczony dla osób pełnoletnich i nie jest kierowany do dzieci. Administrator nie zbiera świadomie danych osób poniżej wieku wymaganego do samodzielnego wyrażenia zgody. W razie stwierdzenia takiego przetwarzania dane zostaną usunięte.

Polityka może być aktualizowana, w szczególności w związku ze zmianą przepisów, zakresu usług lub stosowanych rozwiązań technicznych. Aktualna wersja jest każdorazowo dostępna w Serwisie wraz z datą ostatniej aktualizacji. O istotnych zmianach Użytkownicy posiadający Konto mogą zostać poinformowani dodatkowo (np. wiadomością e-mail).

W sprawach dotyczących danych osobowych oraz realizacji praw prosimy o kontakt na adres e-mail Administratora wskazany w pkt 1. Odpowiedź udzielana jest bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania (z możliwością przedłużenia w przypadkach przewidzianych w RODO).