Polityka prywatności

POLITYKA PRYWATNOŚCI SPIRITUNI

Instrukcja wdrożeniowa (nie publikować). Tekst od nagłówka „POLITYKA PRYWATNOŚCI SPIRITUNI.COM" do sekcji 15 jest gotowy do publikacji. Komentarze wdrożeniowe w blokach > nie wchodzą do publikowanego tekstu.

Rozstrzygnięcie kluczowe dla całego dokumentu. Treść pytania zadawanego przez klientkę z dużym prawdopodobieństwem będzie zawierać dane szczególnych kategorii w rozumieniu art. 9 ust. 1 RODO. Persona pisze o zdrowiu („czy zajdę w ciążę"), o życiu seksualnym i orientacji, o przemocy w związku, o konflikcie między wiarą katolicką a ezoteryką (Pain 7). Deklaracja z obecnej polityki „nie prosimy o szczególne kategorie danych, prosimy nie zamieszczać takich informacji w briefach" nie wystarcza, bo nie zmienia faktu, że dane wpłyną, a przetwarzanie takich danych bez podstawy z art. 9 ust. 2 jest zakazane niezależnie od tego, czy administrator o nie prosił. Jedyną realną podstawą jest wyraźna zgoda, art. 9 ust. 2 lit. a RODO, i dlatego w checkoucie musi być osobny checkbox (treść w klauzule-checkout-i-maile.md sekcja 2).

Założenia: adres kontaktowy kontakt@spirituni.com (jak w regulaminie), brak wyznaczonego inspektora ochrony danych (niewymagany, uzasadnienie w sekcji 1), hosting na VPS Hostinger w EOG, kolejka i przegląd w Monday.com, model AI od Anthropic PBC.

—

POLITYKA PRYWATNOŚCI SPIRITUNI.COM

Data wejścia w życie: [DECYZJA G1: data publikacji]

—

1. Kto jest administratorem Twoich danych

Administratorem danych osobowych jest Univentures spółka z ograniczoną odpowiedzialnością z siedzibą w Szczecinie, ul. Cyfrowa 6, 71-441 Szczecin, KRS 0000911693, NIP 8513262057, REGON 389445249 (dalej: „my", „Administrator", „Spirituni").

Kontakt w sprawach ochrony danych: kontakt@spirituni.com oraz adres pocztowy siedziby.

Nie wyznaczyliśmy inspektora ochrony danych. Nie jesteśmy organem publicznym, nasza główna działalność nie polega na monitorowaniu osób na dużą skalę ani na przetwarzaniu danych szczególnych kategorii na dużą skalę (art. 37 ust. 1 RODO). Wszystkie sprawy dotyczące danych osobowych obsługujemy pod adresem podanym wyżej.

Komentarz wdrożeniowy (nie publikować). Ostatni akapit trzeba zweryfikować ponownie, gdy sprzedaż przekroczy kilkaset zamówień miesięcznie. Przy dużej skali przetwarzania danych z art. 9 obowiązek wyznaczenia IOD z art. 37 ust. 1 lit. c RODO staje się realny. Przy zakładanych 30 zamówieniach miesięcznie nie zachodzi.

—

2. Skąd mamy Twoje dane

Większość danych podajesz nam sama, składając zamówienie albo pisząc do nas. Część otrzymujemy automatycznie, gdy korzystasz z serwisu (adres IP, dane przeglądarki) albo od operatora płatności (status transakcji). Jeżeli zamawiasz przesłanie dotyczące dwojga osób, podajesz nam także imię i datę urodzenia drugiej osoby: o tym piszemy w sekcji 6.

—

3. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie

3.1. Zamówienie i dostarczenie przesłania

Dane: imię, adres e-mail, data urodzenia, a przy przesłaniach astrologicznych także godzina i miejsce urodzenia, imię i nazwisko (przy portrecie numerologicznym), imię i data urodzenia drugiej osoby (przy przesłaniach dla dwojga), treść Twojego pytania lub intencji, wylosowany układ kart, numer zamówienia, treść wygenerowanego przesłania.

Cel: zawarcie i wykonanie umowy o dostarczenie treści cyfrowej, czyli przygotowanie i przesłanie Ci przesłania, udostępnienie go w panelu, obsługa Gwarancji Przesłania.

Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Przechowywanie: treść pytania oraz dane urodzeniowe usuwamy po 30 dniach od dostarczenia przesłania. Plik przesłania i numer zamówienia przechowujemy 12 miesięcy od dostarczenia, żeby przesłanie było dla Ciebie dostępne w panelu i żebyśmy mogli rozpatrzyć ewentualną reklamację.

3.2. Dane szczególnych kategorii w treści pytania

Prosimy Cię, żebyś w treści pytania podawała tylko to, co jest potrzebne. Wiemy jednak, że pytania, z którymi przychodzą do nas kobiety, bywają bardzo osobiste i mogą dotyczyć zdrowia, życia seksualnego, orientacji seksualnej albo przekonań religijnych lub światopoglądowych. To są dane szczególnych kategorii w rozumieniu art. 9 ust. 1 RODO i traktujemy je poważniej niż pozostałe.

Podstawa: Twoja wyraźna zgoda (art. 9 ust. 2 lit. a RODO), wyrażana przez zaznaczenie odrębnego pola przy składaniu zamówienia. Zgoda dotyczy wyłącznie przygotowania przesłania na Twoje pytanie.

Możesz wycofać zgodę w każdej chwili, pisząc na kontakt@spirituni.com. Wycofanie nie wpływa na zgodność z prawem przetwarzania, którego dokonaliśmy wcześniej. Jeśli wycofasz zgodę przed przygotowaniem przesłania, nie będziemy mogli go przygotować i zwrócimy Ci pieniądze.

Jeżeli nie wyrazisz tej zgody, nadal możesz złożyć zamówienie. Prosimy wtedy o sformułowanie pytania bez informacji tego rodzaju.

Przechowywanie: jak w punkcie 3.1, czyli 30 dni.

Dodatkowe zabezpieczenia: dostęp do treści pytań ma wyłącznie osoba recenzująca przesłania oraz osoby obsługujące reklamacje. Nie wykorzystujemy treści pytań do marketingu, nie budujemy na ich podstawie profili i nie udostępniamy ich nikomu poza podmiotami wymienionymi w sekcji 7.

3.3. Płatności, faktury i księgowość

Dane: imię i nazwisko lub nazwa, adres, NIP (przy fakturze dla firmy), identyfikator transakcji, kwota, data. Nie przechowujemy pełnych danych kart płatniczych; obsługuje je operator płatności.

Cel: przyjęcie płatności, wystawienie faktury, wykonanie obowiązków podatkowych i rachunkowych.

Podstawa: art. 6 ust. 1 lit. b RODO (umowa) oraz art. 6 ust. 1 lit. c RODO (obowiązek prawny, w szczególności ustawa o rachunkowości i przepisy podatkowe).

Przechowywanie: 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

3.4. Korespondencja i obsługa reklamacji

Dane: imię, adres e-mail, treść wiadomości, numer zamówienia.

Cel: odpowiedź na Twoją wiadomość, rozpatrzenie reklamacji, wykazanie sposobu jej rozpatrzenia.

Podstawa: art. 6 ust. 1 lit. b RODO (umowa) oraz art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes: obsługa zgłoszeń i możliwość wykazania przebiegu sprawy).

Przechowywanie: 24 miesiące od zakończenia sprawy, a w razie sporu do jego prawomocnego zakończenia.

3.5. Krąg Spirituni (subskrypcja)

Dane: jak w punkcie 3.1 plus status subskrypcji, daty obciążeń, historia wysłanych przesłań.

Cel: cykliczne dostarczanie przesłań, obsługa płatności odnawialnych, wysyłka przypomnień przed pobraniem opłaty.

Podstawa: art. 6 ust. 1 lit. b RODO.

Przechowywanie: przez czas trwania subskrypcji i 12 miesięcy po jej zakończeniu.

3.6. Newsletter i wiadomości marketingowe

Dane: adres e-mail, imię, historia wysyłek i otwarć.

Cel: wysyłka informacji o nowych przesłaniach, rabatach i Kręgu Spirituni, a także wiadomości „minął miesiąc, co się wydarzyło" wysyłanej po 30 dniach od zakupu.

Podstawa: art. 6 ust. 1 lit. a RODO (Twoja zgoda) w powiązaniu z art. 10 ustawy o świadczeniu usług drogą elektroniczną. Zgodę możesz wycofać w każdej chwili, klikając link w stopce każdej wiadomości.

Przechowywanie: do wycofania zgody, a następnie 12 miesięcy w zakresie samego zapisu o wycofaniu, żeby móc wykazać, że wycofanie zostało zrealizowane.

3.7. Statystyka i działanie serwisu

Dane: identyfikatory plików cookie, zdarzenia w serwisie (wejście na stronę, dodanie do koszyka, zakup), typ urządzenia i przeglądarki, przybliżona lokalizacja, adres IP.

Cel: mierzenie ruchu, poprawa działania serwisu, mierzenie skuteczności działań marketingowych.

Podstawa: art. 6 ust. 1 lit. a RODO (zgoda wyrażona w banerze cookies). Bez Twojej zgody nie uruchamiamy narzędzi analitycznych ani marketingowych.

Przechowywanie: zgodnie z sekcją 10.

3.8. Bezpieczeństwo

Dane: logi serwera (adres IP, czas, adres żądania), identyfikatory sesji.

Cel: zapewnienie bezpieczeństwa serwisu, wykrywanie nadużyć i błędów.

Podstawa: art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes: ochrona serwisu i danych).

Przechowywanie: do 12 miesięcy.

3.9. Dochodzenie i obrona roszczeń

Dane: dane zamówienia, korespondencja, zapis złożonych oświadczeń (akceptacja regulaminu, zgody z checkoutu) wraz ze znacznikiem czasu.

Cel: ustalenie, dochodzenie lub obrona roszczeń, w tym wykazanie, że złożyłaś oświadczenia wymagane przy zakupie treści cyfrowej.

Podstawa: art. 6 ust. 1 lit. f RODO.

Przechowywanie: do upływu terminu przedawnienia roszczeń.

—

4. Czy podanie danych jest obowiązkowe

Podanie danych jest dobrowolne, ale bez imienia, adresu e-mail i danych wymaganych przez wybrane przesłanie nie możemy przygotować i dostarczyć zamówienia. Zgoda na przetwarzanie danych szczególnych kategorii (punkt 3.2) i zgoda marketingowa (punkt 3.6) są w pełni dobrowolne i nie warunkują zakupu.

—

5. Jak powstaje przesłanie i co to znaczy dla Twoich danych

Treść przesłania redaguje system sztucznej inteligencji, a przed wysyłką czyta je i zatwierdza osoba z naszego zespołu. Żadne przesłanie nie trafia do Ciebie automatycznie.

W związku z tym nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Przesłanie jest treścią o charakterze refleksyjnym, a wszystkie decyzje w swoim życiu podejmujesz samodzielnie.

Nie profilujemy Cię na podstawie treści pytania. Segmentacja na potrzeby marketingu, jeśli ją prowadzimy, opiera się wyłącznie na historii zakupów i na Twojej zgodzie.

Komentarz wdrożeniowy (nie publikować). Model człowiek w pętli jest tu podwójnie korzystny: poza wartością marketingową domyka argument z art. 22 RODO w sposób, którego czysto automatyczny model nie ma. Warto trzymać dowód, że recenzja faktycznie się odbywa (log statusów w Monday), bo to samo zdanie w polityce przy realnie automatycznej wysyłce byłoby nieprawdziwym oświadczeniem.

—

6. Dane drugiej osoby (przesłania dla dwojga)

Przy przesłaniach partnerskich (tarot miłosny, synastria, numerologia partnerska) podajesz nam imię, a czasem datę urodzenia drugiej osoby. Przetwarzamy te dane wyłącznie po to, żeby przygotować zamówione przez Ciebie przesłanie.

Podstawa: art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes oraz interes Twój jako osoby zamawiającej. Zakres danych jest minimalny: imię i data urodzenia, bez nazwiska, adresu i danych kontaktowych.

Osoba, której dane podajesz, ma wobec nas takie same prawa jak Ty (sekcja 9), w tym prawo sprzeciwu wobec przetwarzania. Nie kontaktujemy się z nią, nie zapisujemy jej do newslettera, nie budujemy jej profilu i usuwamy jej dane w tym samym terminie co treść pytania, czyli po 30 dniach.

Ponieważ nie mamy do niej danych kontaktowych i nie chcemy ich zbierać, nie jesteśmy w stanie poinformować jej indywidualnie. Zgodnie z art. 14 ust. 5 lit. b RODO informację tę podajemy publicznie, w tej polityce.

Składając zamówienie, oświadczasz, że jesteś uprawniona do podania tych danych. Prosimy, żebyś nie podawała informacji o zdrowiu, życiu prywatnym ani sytuacji prawnej drugiej osoby.

Komentarz wdrożeniowy (nie publikować). Ta sekcja jest odpowiednikiem sekcji 3a z polityki Certyfikatomatu (dane właścicieli z księgi wieczystej). W briefie jej nie było, a jest wymagana: przy trzech produktach z oferty (T3, A4, N2) i przy części pytań otwartych klientka podaje dane osoby trzeciej, która o niczym nie wie. Bez tej sekcji obowiązek informacyjny z art. 14 RODO jest niewykonany, a to najłatwiejsza do wykazania luka w razie skargi (na przykład od byłego partnera, który dowiedział się, że o niego pytano).

—

7. Komu przekazujemy dane

Dane przekazujemy tylko tym podmiotom, które są nam potrzebne do wykonania usługi. Z każdym z nich mamy zawartą umowę powierzenia przetwarzania danych (art. 28 RODO) albo korzystamy z warunków przetwarzania danych udostępnionych przez tego dostawcę.

Nie sprzedajemy Twoich danych. Nie przekazujemy treści Twoich pytań brokerom danych, sieciom reklamowym ani innym serwisom.

Komentarz wdrożeniowy (nie publikować). Świadomie użyto kategorii odbiorców, a nie wyłącznie nazw handlowych, poza dwoma podmiotami kluczowymi dla zaufania (dostawca modelu i system przeglądu). RODO nie wymaga podania nazw konkretnych procesorów, wystarczy kategoria, a lista nazw dezaktualizuje się przy każdej zmianie dostawcy i wtedy polityka zaczyna kłamać. Pełne nazwy prawne mają żyć w rejestrze czynności przetwarzania, nie na stronie. Zadanie przed startem: zawrzeć albo zaakceptować DPA z Anthropic i Monday.com oraz sprawdzić, czy umowa z hostingiem obejmuje te kategorie danych. Zdanie „z każdym z nich mamy zawartą umowę powierzenia" musi być prawdziwe w dniu publikacji, inaczej samo w sobie jest nieprawdziwym oświadczeniem w dokumencie publicznym.

—

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część naszych dostawców ma siedzibę poza Europejskim Obszarem Gospodarczym, w szczególności dostawca modelu sztucznej inteligencji (Stany Zjednoczone). W takich przypadkach przekazanie danych odbywa się na podstawie mechanizmów przewidzianych w rozdziale V RODO, to jest standardowych klauzul umownych zatwierdzonych przez Komisję Europejską albo decyzji Komisji stwierdzającej odpowiedni stopień ochrony, jeżeli dany podmiot jest objęty taką decyzją.

W odniesieniu do danych przekazywanych dostawcy modelu sztucznej inteligencji obowiązują ponadto następujące zasady, wynikające z umowy z tym dostawcą: dane przekazane w ramach usługi nie są wykorzystywane do trenowania modeli, a okres ich przechowywania po stronie dostawcy jest ograniczony i nie przekracza 30 dni.

Możesz uzyskać kopię zabezpieczeń zastosowanych przy przekazywaniu danych, pisząc na kontakt@spirituni.com.

—

9. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO),
• sprostowania danych nieprawidłowych (art. 16 RODO),
• usunięcia danych (art. 17 RODO),
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych przetwarzanych na podstawie umowy lub zgody (art. 20 RODO),
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, w tym wobec marketingu bezpośredniego (art. 21 RODO),
• wycofania zgody w każdej chwili, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania (art. 7 ust. 3 RODO).

Żeby skorzystać z tych praw, napisz na kontakt@spirituni.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Masz też prawo wnieść skargę do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

—

10. Pliki cookie

10.1. Z czego korzystamy

10.2. Twoja zgoda

Przy pierwszej wizycie pokazujemy baner, w którym możesz zaakceptować albo odrzucić poszczególne kategorie plików cookie. Do czasu wyrażenia zgody nie uruchamiamy żadnych narzędzi analitycznych ani marketingowych. Odrzucenie jest równie łatwe jak akceptacja i dostępne na tym samym poziomie banera.

Swoje ustawienia możesz zmienić w każdej chwili w panelu „Ustawienia plików cookie" dostępnym w stopce serwisu. Możesz też usunąć pliki cookie w ustawieniach przeglądarki.

Komentarz wdrożeniowy (nie publikować). To jest miejsce, w którym powtarza się otwarty problem z univentures.pl: GA4 ładuje się tam bez banera zgody, co jest odnotowane w Univentures/_projekt.md jako pozycja czerwona. Na Spirituni to samo byłoby poważniejsze, bo serwis dotyczy sfery intymnej, a zdarzenia analityczne (jaki produkt oglądała, ile razy wracała) w połączeniu z tematyką serwisu mogą ujawniać dane szczególnych kategorii. Zasada dla @cto: żaden skrypt analityczny ani pikselowy nie ładuje się przed zgodą, bez wyjątków dla „Consent Mode". Consent Mode v2 nie zwalnia z obowiązku uzyskania zgody na dostęp do informacji w urządzeniu (art. 173 Prawa komunikacji elektronicznej, dawniej art. 173 Prawa telekomunikacyjnego). Ta sekcja opisuje stan docelowy, więc publikacja polityki i wdrożenie banera muszą wejść razem.

—

11. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie połączeń (TLS), kontrolę dostępu i uwierzytelnianie dwuskładnikowe w narzędziach, w których pracujemy, ograniczenie dostępu do treści pytań do osób, które muszą je znać, automatyczne usuwanie treści pytań i danych urodzeniowych po 30 dniach, kopie zapasowe oraz rejestrowanie operacji na zamówieniach.

—

12. Osoby niepełnoletnie

Serwis jest przeznaczony wyłącznie dla osób pełnoletnich. Nie kierujemy oferty do osób poniżej 18 roku życia i świadomie nie zbieramy ich danych. Jeżeli dowiemy się, że przetwarzamy dane osoby niepełnoletniej, usuniemy je i zwrócimy wpłaconą kwotę.

—

13. Zautomatyzowane podejmowanie decyzji i profilowanie

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Szczegóły w sekcji 5.

—

14. Linki do innych serwisów

W serwisie mogą znajdować się odesłania do stron zewnętrznych, w tym do naszych profili w mediach społecznościowych. Nie odpowiadamy za zasady prywatności stosowane przez te podmioty. Zachęcamy do zapoznania się z ich politykami.

—

15. Zmiany polityki

Politykę możemy aktualizować, gdy zmieniają się przepisy, zakres usług albo nasi dostawcy. O istotnych zmianach poinformujemy w serwisie, a osoby korzystające z Kręgu Spirituni także wiadomością e-mail, z wyprzedzeniem co najmniej 14 dni. Aktualna wersja jest zawsze dostępna pod adresem spirituni.com/polityka-prywatnosci/.

—

CZĘŚĆ WDROŻENIOWA (nie publikować)

A. Co znika z obecnej polityki i dlaczego

B. Zadania do wykonania przed publikacją

C. Podstawy prawne przywołane w polityce

RODO: art. 5 ust. 1 lit. c i ust. 2, art. 6 ust. 1 lit. a, b, c i f, art. 7 ust. 1 i 3, art. 9 ust. 1 i ust. 2 lit. a, art. 13, art. 14 ust. 5 lit. b, art. 15 do 21, art. 22, art. 28, art. 30, art. 35, art. 37 ust. 1, rozdział V · ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną: art. 10 · ustawa z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej: przepisy o dostępie do informacji w urządzeniu końcowym · ustawa z dnia 29 września 1994 r. o rachunkowości · Ordynacja podatkowa: art. 86.