Dokumenty Grajli

Polityka prywatności Platformy Grajli

Ostatnia aktualizacja: 5 sierpnia 2026  ·  wersja 1.0

Polityka opisuje, jakie dane osobowe są przetwarzane w serwisie Grajli, na jakiej podstawie prawnej, komu są przekazywane, jak długo są przechowywane i jakie prawa przysługują osobom, których dotyczą. Opisuje stan faktyczny serwisu, a nie plany na przyszłość.

§1. Administrator danych

  1. Administratorem danych osobowych jest Olaf Stawiński, prowadzący serwis internetowy Grajli, adres: os. Pułanki 31/5, 27-400 Ostrowiec Świętokrzyski, adres poczty elektronicznej: [email protected], dalej Administrator albo Operator.
  2. Kontakt we wszystkich sprawach dotyczących danych osobowych, w tym w sprawie realizacji praw: [email protected].
  3. Administrator nie wyznaczył inspektora ochrony danych, ponieważ nie zachodzi żadna z przesłanek z art. 37 RODO. Wszystkie sprawy dotyczące danych osobowych obsługuje Administrator osobiście, pod adresem wskazanym powyżej.
  4. Organem nadzorczym właściwym w sprawach ochrony danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

§2. Skąd pochodzą dane

  1. Większość danych pochodzi bezpośrednio od Użytkownika: z rejestracji, z uzupełniania profilu i Oferty, z publikowanych Zleceń, z wiadomości, z przesyłanych plików i opinii oraz z formularzy kontaktu i wsparcia.
  2. Część danych powstaje automatycznie w związku z korzystaniem z Platformy: adres IP, informacje o przeglądarce i urządzeniu, daty logowania i aktywności, identyfikatory sesji oraz informacje o sposobie wejścia do serwisu.
  3. Jeżeli Użytkownik loguje się kontem Google albo łączy Google Calendar, Administrator otrzymuje dane od Google w zakresie, na jaki Użytkownik wyraził zgodę w oknie Google.
  4. Jeżeli Klient rezerwuje termin przez widget osadzony na stronie Usługodawcy bez zakładania Konta, jego dane pochodzą z tego formularza.

§3. Kategorie przetwarzanych danych

  1. Dane Konta i logowania:
    • adres e-mail, hasło przechowywane wyłącznie w postaci skrótu kryptograficznego, data potwierdzenia adresu
    • nazwa wyświetlana, zdjęcie profilowe, identyfikator publiczny i znacznik Użytkownika
    • numer telefonu i data jego potwierdzenia, jeżeli został podany
    • ustawienia prywatności, rola w Platformie, data utworzenia Konta i data ostatniej aktywności
    • dane uwierzytelniania dwuskładnikowego: sekret aplikacji uwierzytelniającej i kody zapasowe, przechowywane w postaci zabezpieczonej
    • identyfikator konta Google, jeżeli Użytkownik loguje się przez Google
  2. Dane profilu profesjonalisty, studia lub zespołu:
    • opis działalności, specjalizacje, gatunki, doświadczenie
    • miejscowość i adres miejsca świadczenia usług, jeżeli Użytkownik go podał
    • portfolio, zdjęcia, materiały, linki do serwisów zewnętrznych i profilu Spotify
    • cennik, usługi, warianty, zaliczki, zasady realizacji
    • godziny pracy, dostępność, reguły rezerwacji
    • skład zespołu, role członków, powiązania studia z profesjonalistami
  3. Dane Zleceń, Zgłoszeń i Rezerwacji:
    • tytuł, opis, kategorie, gatunki, budżet, lokalizacja i wymagania Zlecenia
    • treść Zgłoszenia, status jego rozpatrzenia i korespondencja z nim związana
    • strony Rezerwacji, nazwa usługi, data i godzina, status, uzgodniona cena i zaliczka, notatki
    • deklarowany przez strony status rozliczenia oraz potwierdzenia zakończenia
    • w przypadku rezerwacji przez widget bez Konta: imię lub nazwa rezerwującego, numer telefonu, adres e-mail jeżeli został podany, oraz jednorazowy kod weryfikacyjny
  4. Dane komunikacji i współpracy:
    • treść wiadomości, dane nadawcy i odbiorcy, data wysłania i odczytania
    • wiadomości w kanałach zespołu i komentarze do plików
    • pliki wraz z nazwą, typem, rozmiarem, danymi osoby przesyłającej i strukturą folderów
    • zgłoszenia do wsparcia i korespondencja z Administratorem
    • powiadomienia w Platformie oraz subskrypcje powiadomień push
  5. Dane opinii i ocen: treść opinii, ocena liczbowa, autor, adresat, powiązana Rezerwacja, data wystawienia oraz zgłoszenia dotyczące opinii.
  6. Dane rozliczeniowe podawane dobrowolnie przez Użytkownika na potrzeby jego własnych rozliczeń z kontrahentami: nazwa, adres i numer NIP do rachunków. Administrator nie wykorzystuje ich do własnych rozliczeń i nie przetwarza danych kart płatniczych, ponieważ nie pośredniczy w płatnościach.
  7. Dane integracji Google Calendar: informacja o połączeniu, adres e-mail kalendarza, identyfikator kalendarza, token dostępu i token odświeżający, data ważności tokenów, data ostatniej synchronizacji, komunikaty błędów oraz pobrane przedziały zajętości.
  8. Dane bezpieczeństwa i techniczne: adres IP, informacje o przeglądarce i urządzeniu, dane sesji, liczniki ograniczeń liczby żądań, jednorazowe kody weryfikacyjne i tokeny resetu hasła, a także rejestr czynności administracyjnych obejmujący identyfikator administratora, rodzaj czynności i jej przedmiot.
  9. Dane o sposobie wejścia do serwisu, zbierane wyłącznie przez samego Administratora, bez udziału zewnętrznych narzędzi analitycznych: adres podstrony wejścia, domena strony odsyłającej, parametry kampanii przekazane w adresie (utm_source, utm_medium, utm_campaign, utm_content, utm_term), identyfikatory kliknięcia przekazane przez systemy reklamowe (gclid, fbclid, msclkid, ttclid), kod polecenia lub zaproszenia, deklarowany typ urządzenia i kod kraju, jeżeli został przekazany w adresie, oraz zdarzenia opisujące postęp rejestracji i uzupełniania profilu.

§4. Cele i podstawy prawne przetwarzania

  1. Prowadzenie Konta, publikacja profilu i Oferty, obsługa wyszukiwarki, Zleceń, Zgłoszeń, Rezerwacji, wiadomości, plików, kalendarza, opinii i powiadomień, czyli wykonanie umowy o świadczenie usług drogą elektroniczną. Podstawa: art. 6 ust. 1 lit. b RODO.
  2. Obsługa rezerwacji dokonanej przez widget bez Konta, w tym potwierdzenie numeru telefonu jednorazowym kodem SMS, czyli podjęcie działań na żądanie osoby przed zawarciem umowy. Podstawa: art. 6 ust. 1 lit. b RODO.
  3. Zapewnienie bezpieczeństwa Kont i Platformy, wykrywanie i przeciwdziałanie nadużyciom, spamowi i nieautoryzowanemu dostępowi, ograniczanie liczby żądań oraz prowadzenie rejestru czynności administracyjnych. Podstawa: art. 6 ust. 1 lit. f RODO, przy czym uzasadnionym interesem jest ochrona Użytkowników i integralności serwisu.
  4. Rozpatrywanie zgłoszeń treści, prowadzenie moderacji, uzasadnianie decyzji i rozpatrywanie odwołań. Podstawa: art. 6 ust. 1 lit. c RODO w związku z obowiązkami wynikającymi z rozporządzenia 2022/2065 oraz art. 6 ust. 1 lit. f RODO.
  5. Obsługa reklamacji, korespondencji i wsparcia oraz ustalenie, dochodzenie i obrona roszczeń. Podstawa: art. 6 ust. 1 lit. c oraz art. 6 ust. 1 lit. f RODO.
  6. Analiza sposobu wejścia do serwisu i skuteczności działań informacyjnych, prowadzona wyłącznie na potrzeby własne Administratora i wyłącznie w oparciu o pliki cookies zapisywane za zgodą Użytkownika. Podstawa: art. 6 ust. 1 lit. a RODO, a w zakresie samego zapisania informacji na urządzeniu — art. 397 ustawy Prawo komunikacji elektronicznej.
  7. Połączenie Konta z Google Calendar. Podstawa: art. 6 ust. 1 lit. a RODO. Zgodę można wycofać w każdej chwili, rozłączając integrację w Platformie.
  8. Podanie danych jest dobrowolne, ale niezbędne do korzystania z funkcji, których dotyczą. Brak adresu e-mail i hasła uniemożliwia założenie Konta, a brak numeru telefonu uniemożliwia rezerwację przez widget bez Konta.

§5. Dane widoczne publicznie i dla innych Użytkowników

  1. Profil profesjonalisty, studia lub zespołu jest dostępny publicznie, także dla osób niezalogowanych i dla wyszukiwarek internetowych. Publiczne są w szczególności: nazwa, zdjęcie, opis, specjalizacje, miejscowość, portfolio, cennik, dostępność, linki podane przez Użytkownika, średnia ocen, liczba opinii oraz treść opinii wraz z nazwą ich autorów.
  2. Zlecenia i ogłoszenia są widoczne dla innych Użytkowników w zakresie wynikającym z ich treści i ustawień. Użytkownik decyduje, jakie informacje w nich zamieszcza.
  3. Dane Rezerwacji, Zlecenia, zespołu lub przestrzeni roboczej są widoczne dla stron danej relacji oraz dla osób uprawnionych w ramach zespołu lub studia.
  4. Adres e-mail, numer telefonu, dane rozliczeniowe i treść wiadomości prywatnych nie są publikowane. Użytkownik może jednak samodzielnie umieścić dane kontaktowe w opisie profilu — wtedy stają się publiczne z jego woli.

§6. Odbiorcy danych

  1. Administrator korzysta z następujących dostawców, którzy przetwarzają dane na jego zlecenie albo jako niezależni administratorzy w zakresie własnych usług:
    • Railway Corporation — hosting aplikacji i bazy danych, w której przechowywane są wszystkie dane Platformy
    • Cloudflare, Inc. — przechowywanie plików przesyłanych przez Użytkowników (usługa R2)
    • Resend, Inc. — wysyłka wiadomości e-mail: potwierdzeń, powiadomień, resetu hasła i kodów weryfikacyjnych
    • SMSPlanet.pl — wysyłka wiadomości SMS z kodami weryfikacji dwuskładnikowej i rezerwacji przez widget
    • Google Ireland Limited oraz Google LLC — logowanie kontem Google i integracja Google Calendar, wyłącznie dla Użytkowników, którzy z tych funkcji korzystają
    • dostawcy usług powiadomień push wbudowanych w przeglądarki, w szczególności Google, Mozilla i Apple — wyłącznie dla Użytkowników, którzy włączyli powiadomienia
  2. Dwie usługi są wywoływane bezpośrednio z przeglądarki Użytkownika, przez co otrzymują jego adres IP i informacje o przeglądarce, niezależnie od Administratora:
    • OpenStreetMap Foundation (usługa Nominatim) — podpowiadanie adresów przy uzupełnianiu profilu i formularzy, uruchamiane dopiero w chwili wpisywania adresu
    • Spotify AB — odtwarzacz osadzony na profilach Usługodawców, którzy powiązali swój profil artysty
  3. Dane mogą być ujawnione organom publicznym uprawnionym do ich żądania na podstawie przepisów prawa, w szczególności sądom, prokuraturze i Policji, wyłącznie w zakresie i trybie przewidzianym w tych przepisach.
  4. Administrator nie sprzedaje danych osobowych, nie udostępnia ich brokerom danych ani sieciom reklamowym i nie korzysta z zewnętrznych narzędzi analitycznych ani z pikseli reklamowych.
  5. Grajli nie pośredniczy w płatnościach, w związku z czym żadne dane nie są przekazywane operatorom płatności. Gdyby taka integracja została w przyszłości uruchomiona, Polityka zostanie wcześniej zmieniona, a Użytkownicy poinformowani.

§7. Przekazywanie danych poza Europejski Obszar Gospodarczy

  1. Część dostawców wskazanych w §6 ma siedzibę w Stanach Zjednoczonych albo korzysta z infrastruktury poza Europejskim Obszarem Gospodarczym. Dotyczy to w szczególności Railway Corporation, Cloudflare, Resend i Google.
  2. Przekazanie odbywa się na podstawach przewidzianych w rozdziale V RODO: decyzji wykonawczej Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach Data Privacy Framework — wobec dostawców, którzy przystąpili do tego programu — albo standardowych klauzul umownych przyjętych przez Komisję Europejską wraz z uzupełniającymi środkami bezpieczeństwa.
  3. Informację o podstawie przekazania i kopię odpowiednich zabezpieczeń można uzyskać, pisząc na adres [email protected].

§8. Okres przechowywania danych

  1. Dane Konta i wszystkie dane z nim powiązane są przechowywane przez czas istnienia Konta. Administrator nie stosuje automatycznego usuwania Kont nieaktywnych.
  2. Usunięcie Konta przez Użytkownika jest natychmiastowe i nieodwracalne. Wraz z Kontem usuwane są w szczególności: profil profesjonalisty lub studia, Oferty i cennik, dostępność, Zlecenia, Zgłoszenia, Rezerwacje, opinie, pliki, powiadomienia, subskrypcje push, tokeny Google Calendar, dane uwierzytelniania dwuskładnikowego oraz sesje i tokeny resetu hasła.
  3. Treści, które dotyczą także innych Użytkowników, pozostają widoczne dla nich, ale tracą powiązanie z usuniętym Kontem i nie pozwalają już zidentyfikować jego właściciela. Dotyczy to w szczególności wiadomości otrzymanych przez inne osoby, wiadomości w kanałach zespołów, komentarzy do plików oraz zgłoszeń do wsparcia. Jest to konieczne, aby usunięcie jednego Konta nie zniszczyło historii korespondencji drugiej strony.
  4. Dane o krótszych, z góry określonych okresach przechowywania:
    • sesja zalogowanego Użytkownika — 7 dni od zalogowania
    • jednorazowe kody weryfikacyjne SMS przy rezerwacji przez widget — 15 minut
    • tokeny resetu hasła i potwierdzenia zmiany adresu e-mail — 15 minut
    • zaproszenie dla usługodawcy przekazane w adresie — 7 dni
    • plik cookie z informacją o sposobie wejścia do serwisu — 30 dni
  5. Dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń, a także dane zgłoszeń i decyzji moderacyjnych, mogą być przechowywane do upływu terminu przedawnienia roszczeń, jeżeli w konkretnej sprawie zachodzi taka potrzeba.
  6. Kopie zapasowe bazy danych, tworzone przez dostawcę hostingu, mogą przez ograniczony czas zawierać dane usunięte z Platformy. Są nadpisywane w toku zwykłej rotacji kopii i nie są wykorzystywane do żadnych innych celów niż odtworzenie serwisu po awarii.

§9. Prawa osoby, której dane dotyczą

  1. Przysługuje prawo dostępu do danych i uzyskania ich kopii, prawo do sprostowania, prawo do usunięcia danych, prawo do ograniczenia przetwarzania, prawo do przenoszenia danych przetwarzanych na podstawie umowy lub zgody oraz prawo do sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie Administratora.
  2. Zgodę, na której opiera się przetwarzanie, można wycofać w każdej chwili. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
  3. Prawa można zrealizować, pisząc na [email protected]. Administrator odpowiada bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania; w skomplikowanych sprawach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym osoba żądająca zostanie poinformowana.
  4. Administrator może poprosić o informacje pozwalające potwierdzić tożsamość osoby żądającej, jeżeli ma uzasadnione wątpliwości co do tożsamości, wyłącznie w celu ochrony danych przed ujawnieniem osobie nieuprawnionej.
  5. Realizacja żądania usunięcia danych może być ograniczona w zakresie, w jakim dalsze przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego albo do ustalenia, dochodzenia lub obrony roszczeń.
  6. Przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

§10. Automatyczne podejmowanie decyzji i profilowanie

  1. Administrator nie podejmuje wobec Użytkowników decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały.
  2. Kolejność wyników wyszukiwania wynika z kryteriów wybranych przez Użytkownika i z danych publicznych profili, a nie z oceny osoby ani z jej zachowania w serwisie. Szczegóły opisuje Polityka opinii i rankingu.
  3. Decyzje moderacyjne podejmuje człowiek. Zautomatyzowane są wyłącznie mechanizmy techniczne ograniczające liczbę żądań i nadużycia w formularzach; ich działanie jest czasowe i nie prowadzi samo z siebie do usunięcia treści ani Konta.

§11. Bezpieczeństwo danych

  1. Administrator stosuje środki techniczne i organizacyjne odpowiadające ryzyku, w szczególności: transmisję szyfrowaną, przechowywanie haseł wyłącznie w postaci skrótu kryptograficznego, opcjonalną weryfikację dwuskładnikową, kontrolę dostępu opartą na rolach, ograniczanie liczby żądań, zabezpieczenia sesji i ciasteczek, podpisywanie danych przekazywanych w plikach cookies, adresy dostępowe do plików o ograniczonym czasie ważności oraz rejestr czynności administracyjnych.
  2. Dostęp administracyjny do danych ma wyłącznie Administrator. Dostawcy wskazani w §6 mają dostęp wyłącznie w zakresie niezbędnym do świadczenia swoich usług.
  3. W razie naruszenia ochrony danych osobowych powodującego wysokie ryzyko naruszenia praw lub wolności Administrator zawiadomi osoby, których dane dotyczą, oraz Prezesa Urzędu Ochrony Danych Osobowych na zasadach określonych w art. 33 i 34 RODO.

§12. Dzieci

  1. Platforma nie jest przeznaczona dla osób, które nie ukończyły 16 lat, i Administrator świadomie nie zbiera ich danych. Granica ta odpowiada wiekowi wskazanemu w art. 8 RODO w związku z art. 8 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
  2. Jeżeli okaże się, że Konto założyła osoba poniżej 16 lat, zostanie ono usunięte wraz z danymi. Zgłoszenia w tej sprawie można kierować na [email protected].

§13. Zmiany Polityki prywatności

  1. Polityka może ulec zmianie w razie zmiany przepisów, zmiany funkcji Platformy, zmiany dostawców albo konieczności doprecyzowania przekazywanych informacji.
  2. O istotnych zmianach Administrator poinformuje Użytkowników posiadających Konto pocztą elektroniczną lub komunikatem w Platformie. Data ostatniej aktualizacji jest widoczna w nagłówku dokumentu.

Powiązane dokumenty

RegulaminCookiesDla usługodawcówZwroty i anulacjeModeracja i DSA

Pytania dotyczące dokumentów można kierować na adres [email protected].