Polityka prywatności

01Postanowienia ogólne

Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych oraz wykorzystania pamięci przeglądarki w Serwisie CyberPapa. Dotyczy każdej osoby, która otwiera Serwis, oraz każdego Subskrybenta newslettera.

Dokument został napisany tak, aby każde jego zdanie odpowiadało rzeczywistemu działaniu Serwisu, łącznie z nazwami technicznymi. Jeżeli zmienimy funkcję Serwisu w sposób wpływający na prywatność, zaktualizujemy Politykę przed jej uruchomieniem i zmienimy numer wersji.

Polityka jest bezpłatnie dostępna pod adresem /privacy-policy w wersji aktualnej; wersje wcześniejsze udostępniamy na wniosek.

Podstawę prawną stanowią RODO oraz ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych. W zakresie zapisów w Twoim urządzeniu końcowym uwzględniamy również przepisy Prawa komunikacji elektronicznej.

Dokument realizuje obowiązek informacyjny z art. 13 RODO w jednym miejscu: tożsamość i kontakt Administratora (§ 3), dobrowolność podania danych (§ 3), cele i podstawy prawne (§ 5 i § 8), odbiorcy (§ 11), przekazywanie poza EOG (§ 12), okresy przechowywania (§ 13), Twoje prawa (§ 14), bezpieczeństwo (§ 15) oraz informacja o braku zautomatyzowanych decyzji (§ 17).

Polityka dotyczy Serwisu i jego panelu administracyjnego. Nie obejmuje serwisów zewnętrznych, do których prowadzą linki — Amazon, YouTube, Facebook, Instagram, Google — ani prowadzonych tam grup i profili. Po przejściu do nich obowiązują ich własne zasady prywatności, na które nie mamy wpływu.

02Definicje

Administrator

Grzegorz Sobótka, prowadzący projekt CyberPapa, który decyduje o celach i sposobach przetwarzania danych.

Serwis

strona internetowa CyberPapa wraz z artykułami, poradnikami, stroną książki, newsletterem oraz panelem administracyjnym.

Użytkownik

każda osoba odwiedzająca Serwis, niezależnie od tego, czy zapisała się do newslettera.

Subskrybent

osoba, której adres e-mail został zapisany do newslettera CyberPapa.

Dane osobowe

informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO).

RODO

rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych).

Podmiot przetwarzający

dostawca usług, który przetwarza dane w imieniu Administratora i wyłącznie według jego poleceń.

Pamięć przeglądarki

mechanizmy zapisu informacji w Twoim urządzeniu: localStorage i sessionStorage (pamięć witryny) oraz pliki cookies.

03Administrator danych i kontakt

Administratorem danych osobowych jest Grzegorz Sobótka, prowadzący projekt CyberPapa.

Kontakt we wszystkich sprawach dotyczących danych: contact@cyber-papa.com. Adres służy do wniosków o dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciwu oraz wycofania zgody. Nie wymagamy formularza, wzoru ani podpisu.

Administrator nie wyznaczył Inspektora Ochrony Danych, ponieważ nie nakłada na niego tego obowiązku art. 37 RODO. Sprawy prywatności prowadzi bezpośrednio Administrator.

Administrator nie sprzedaje, nie wynajmuje i nie udostępnia danych w celach marketingowych oraz nie przekazuje ich w celu budowania profili reklamowych.

Podanie danych jest dobrowolne i nie jest warunkiem korzystania z Serwisu (art. 13 ust. 2 lit. e RODO). Wyjątki są dwa: bez adresu e-mail nie zapiszemy Cię do newslettera ani nie wyślemy poradnika PDF, a bez adresu nadawcy nie odpowiemy na wiadomość. Nie wymagamy imienia, nazwiska, numeru telefonu ani adresu zamieszkania.

Danych nie pozyskujemy od innych podmiotów ani z rejestrów publicznych. Przetwarzamy wyłącznie informacje opisane w § 5, powstałe w związku z Twoim korzystaniem z Serwisu lub podane przez Ciebie.

04Zasady przetwarzania

• Legalność i przejrzystość: przetwarzamy dane tylko wtedy, gdy istnieje podstawa z art. 6 RODO, i wskazujemy ją w § 5 dla każdego celu.
• Minimalizacja: do czytania Serwisu konto nie jest potrzebne, a do newslettera wystarcza adres e-mail.
• Ograniczenie celu: danych z newslettera nie wykorzystujemy do statystyk ruchu i odwrotnie.
• Ograniczenie przechowywania: każda kategoria danych ma wskazany okres w § 13.
• Integralność i poufność: dostęp do danych jest ograniczony, a komunikacja szyfrowana — szczegóły w § 15.

Zasady te są wiążące, a nie deklaratywne: opis w Polityce odpowiada temu, co robi kod Serwisu. Jeżeli znajdziesz rozbieżność, potraktuj ją jako błąd do naprawy i napisz na podany adres.

05Zakres przetwarzania danych

Poniższa tabela zbiera wszystkie cele, w których Serwis przetwarza dane, wraz z podstawą prawną i okresem przechowywania.

06Prywatna analityka ruchu

Mierzymy ruch, aby wiedzieć, które materiały są czytane. Nie używamy do tego plików cookies ani identyfikatorów reklamowych, a w bazie nie zapisujemy adresu IP.

Do bazy trafia wyłącznie zamknięty zestaw pól. Serwer odrzuca wszystko, co nie mieści się w tym wykazie:

• rodzaj zdarzenia: odsłona strony, początek sesji, odsłona artykułu, kliknięcie linku zewnętrznego, kliknięcie przycisku zakupu książki;
• adres podstrony bez parametrów zapytania (strony /stats nie zapisujemy w ogóle), jej tytuł i typ (artykuł, książka, inna);
• źródło wejścia: domena odsyłająca, parametry UTM (source, medium, campaign) oraz wyliczony z nich kanał ruchu;
• typ urządzenia, nazwa przeglądarki i systemu operacyjnego — odczytane wyłącznie z identyfikatora przeglądarki (user agent);
• kraj jako dwuliterowy kod (z nagłówka sieci dostawcy infrastruktury; bez miasta i bez współrzędnych);
• losowy identyfikator sesji, miejsce kliknięcia (kontekst) i domena docelowa linku zewnętrznego;
• znaczniki techniczne: czy zdarzenie oznaczono jako testowe oraz czy pochodzi z przeglądarki Administratora (ten drugi pozwala wykluczyć własny ruch ze statystyk).

Czego nie zbieramy: adresu IP, identyfikatora urządzenia, danych fingerprintingu, dokładnej lokalizacji, adresów e-mail ani identyfikatorów reklamowych. Identyfikatora sesji nie łączymy z żadnymi danymi pozwalającymi Cię wskazać i nie śledzimy Cię nim w innych serwisach.

Identyfikator przeglądarki (user agent) jest sprawdzany na serwerze tylko po to, aby odrzucić boty, i nie jest zapisywany.

Podstawa prawna: art. 6 ust. 1 lit. f RODO — uzasadniony interes Administratora: wiedza o tym, które treści są przydatne, bezpieczeństwo i rozwój Serwisu.

Zapis identyfikatora sesji w sessionStorage nie jest plikiem cookie i wygasa po 30 minutach bezczynności lub po zamknięciu karty. Nie prosimy o zgodę na ten zapis, ponieważ nie pozwala Cię zidentyfikować i nie służy do śledzenia; jeżeli się z tym nie zgadzasz, możesz wnieść sprzeciw (art. 21 RODO) lub zablokować pamięć witryny w przeglądarce — analityka przestanie działać, a Serwis pozostanie w pełni użyteczny.

Nie korzystamy z zewnętrznych narzędzi analitycznych ani z pikseli reklamowych — nie ma tu Google Analytics, Hotjara, Matomo ani Meta Pixela. Pomiar obsługuje wyłącznie infrastruktura Serwisu: przeglądarka wysyła paczkę zdarzeń po kilku sekundach, a serwer zapisuje tylko pola z powyższego wykazu i odrzuca wszystko inne.

Zdarzeń nie łączymy z tożsamością. Nie znamy Twojego adresu e-mail, dopóki sam go nie podasz w newsletterze, a gdy to zrobisz, wcześniej zapisane odsłony nie zostają z adresem powiązane. Nie śledzimy Cię poza Serwisem i nie tworzymy profili.

O analityce informuje dyskretna notka w Serwisie. Można ją zamknąć; jej treść odpowiada ustaleniom z § 6 i § 7.

07Pamięć przeglądarki, cookies i zasoby zewnętrzne

Serwis nie zapisuje własnych plików cookies. Wszystkie informacje, które zostają w Twojej przeglądarce, mieszczą się w poniższej tabeli — z dokładną nazwą klucza, celem i czasem życia.

Pliki cookies pochodzą wyłącznie od Google i mogą pojawić się w dwóch sytuacjach: przy korzystaniu z Tłumacza Google oraz po odtworzeniu filmu YouTube. Serwis nie odczytuje ich treści.

Zakres i czas życia tych plików określa Google w swojej polityce; nie mamy do nich wglądu. Możesz je usunąć w ustawieniach przeglądarki — Serwis będzie działał dalej, wróci jedynie polska wersja językowa.

Niezależnie od cookies Twoja przeglądarka łączy się z serwerami zewnętrznymi, które dostarczają elementy strony:

• Google Fonts — czcionka Inter, ładowana przy każdym wejściu (dostawca widzi adres strony, IP i identyfikator przeglądarki);
• Tłumacz Google — skrypt ładowany przy każdym wejściu, także wtedy, gdy nie tłumaczysz strony;
• flagcdn.com — obrazki flag przy przełączniku języka;
• Base44 — hosting, baza danych i pliki Serwisu;
• YouTube w trybie youtube-nocookie — dopiero po kliknięciu miniatury filmu;
• Amazon — dopiero po kliknięciu przycisku zakupu książki.

Każdy z tych dostawców przetwarza dane techniczne żądania na własnych zasadach. Nie przekazujemy im danych Subskrybentów ani żadnych danych, które sam podajesz.

Po włączeniu tłumaczenia przeglądarka wysyła do Google treść strony, która ma zostać przetłumaczona. Dotyczy to wyłącznie publicznych treści Serwisu — dane Subskrybentów nigdy nie są częścią tłumaczonej strony.

W Serwisie nie ma reklam, pikseli remarketingowych ani skryptów sieci reklamowych. Jedyne skrypty i zasoby zewnętrzne to tłumacz Google, obrazki flag oraz — dopiero po kliknięciu — odtwarzacz YouTube.

08Newsletter i darmowy poradnik

Zapis do newslettera jest dobrowolny i wymaga wyłącznie podania adresu e-mail. Nie zbieramy imienia, nazwiska, numeru telefonu ani adresu.

• adres e-mail — jedyna informacja, którą podajesz;
• data i godzina zgody oraz wersja treści zgody, na którą się zgodziłeś;
• źródło zapisu (np. strona główna, /newsletter) i wybrany język wiadomości;
• status wysyłki wiadomości powitalnej i kolejnych wydań oraz informacje o błędach dostarczenia zgłoszone przez dostawcę poczty;
• losowy token wypisania, umieszczony w linku w każdej wiadomości;
• daty zapisu, wypisania i ostatniej wysłanej wiadomości.

Cele: cotygodniowe wydanie newslettera, dostarczenie obiecanego darmowego poradnika PDF oraz sporadyczne informacje o książce CyberPapa.

Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO), a w zakresie dostarczenia poradnika dodatkowo wykonanie usługi (art. 6 ust. 1 lit. b RODO).

Zapis jest jednoetapowy — nie wysyłamy linku potwierdzającego posiadanie skrzynki. Dlatego każda wiadomość zawiera link wypisania, a usunięcie adresu można też zgłosić e-mailem. Jeżeli otrzymasz wiadomość, której się nie spodziewasz, użyj tego linku — adres zostanie natychmiast oznaczony jako nieaktywny i nie dostaniesz kolejnych wiadomości.

Zapis chronią zabezpieczenia antyspamowe: ukryte pole-pułapka, pytanie weryfikujące, minimalny czas wypełnienia formularza i limit zgłoszeń. Nie służą one do oceny Ciebie — tylko do odrzucania automatów.

Zgodę możesz wycofać w każdej chwili, bez podania przyczyny: linkiem w stopce wiadomości, stroną /newsletter/unsubscribe lub e-mailem. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

Nie wstawiamy pikseli potwierdzających otwarcie wiadomości ani indywidualnych linków śledzących kliknięcia. Linki w wydaniach mają wyłącznie znaczniki UTM (utm_source=newsletter, utm_medium=email, utm_content), takie same dla wszystkich odbiorców — zasilają zbiorczą analitykę z § 6 i nie pozwalają przypisać kliknięcia do konkretnego adresu.

Każdą wiadomość wysyłamy pojedynczo, bez pól DW i UDW, więc adresy innych Subskrybentów nigdy nie są widoczne. Lista nie jest udostępniana w celach reklamowych ani sprzedawana.

Wiadomości wysyłamy przez mechanizm wysyłki e-mail platformy Base44. Nie przekazujemy adresów w celach reklamowych.

09Korespondencja e-mail

Jeżeli napiszesz na podany adres, przetwarzamy adres nadawcy i treść wiadomości, aby odpowiedzieć i prowadzić sprawę. Podstawa prawna: art. 6 ust. 1 lit. f RODO (obsługa korespondencji), a gdy wiadomość dotyczy zawieranej umowy — art. 6 ust. 1 lit. b RODO.

Korespondencji nie wykorzystujemy do budowania bazy marketingowej i nie dopisujemy nikogo do newslettera bez jego zapisu w formularzu.

10Panel administracyjny

Statystyki (/stats) i system publikacji (/cms) są dostępne wyłącznie dla Administratora po podaniu hasła. Panel nie zawiera danych czytelników — statystyki są zbiorcze i nie pozwalają wskazać osoby.

• hasło przechowujemy jako tajny klucz konfiguracyjny, nigdy w kodzie strony; można je dodatkowo zapisać jako skrót PBKDF2 z losową solą;
• sesje logowania zapisujemy wyłącznie jako skrót SHA-256 tokenu, z limitem 2 h bezczynności i 12 h od zalogowania;
• nieudane próby logowania ograniczamy: po 8 próbach dostęp jest blokowany na 15 minut, a w bazie zostaje wyłącznie skrót SHA-256 utworzony z adresu IP i identyfikatora przeglądarki — sam adres IP nie jest zapisywany, ale skrót pozwala rozpoznać powtarzające się próby;
• token wykluczający ruch Administratora ze statystyk przechowujemy w localStorage pod kluczem cp_stats_admin;
• statystyki są dostępne w formie raportów zbiorczych; nie tworzymy z nich profili osób.

Podstawa prawna: art. 6 ust. 1 lit. f RODO — bezpieczeństwo Serwisu i ochrona przed nieuprawnionym dostępem.

11Odbiorcy danych

Danych nie sprzedajemy. Korzystamy z następujących dostawców, każdy w wskazanym zakresie:

Z podmiotami, które przetwarzają dane w naszym imieniu (Base44), łączą nas umowy powierzenia przetwarzania. Nie udostępniamy danych brokerom danych ani sieciom reklamowym.

12Przekazywanie danych poza EOG

Google, Amazon i Meta mają siedziby również w Stanach Zjednoczonych, dlatego dane techniczne żądań mogą być tam przetwarzane. Odbywa się to na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji stwierdzającej odpowiedni poziom ochrony (m.in. EU–US Data Privacy Framework), z zachowaniem praw wynikających z RODO.

Zakres i lokalizację przetwarzania w infrastrukturze platformy Base44 opisuje dokumentacja dostawcy; na wniosek przekażemy informacje o zabezpieczeniach stosowanych przy takim transferze.

Nie przekazujemy danych do państw trzecich w żadnym innym celu niż opisany w § 5.

13Okresy przechowywania

Po upływie okresu dane usuwamy lub zamieniamy w zestawienie zbiorcze, którego nie da się powiązać z osobą. Jeżeli chcesz wcześniejszego usunięcia, napisz — realizujemy bez pytania o powód.

14Twoje prawa

Przysługują Ci następujące prawa:

• dostęp do danych oraz otrzymanie ich kopii;
• sprostowanie danych nieaktualnych lub błędnych;
• usunięcie danych („prawo do bycia zapomnianym”);
• ograniczenie przetwarzania;
• przenoszenie danych w formacie nadającym się do odczytu maszynowego;
• sprzeciw wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO);
• wycofanie zgody na newsletter w każdej chwili i bez podania przyczyny;
• skarga do organu nadzorczego.

Sposób realizacji: jedna wiadomość na adres contact@cyber-papa.com ze wskazaniem, czego dotyczy. Nie wymagamy podpisu ani formularza; jeżeli nie będziemy mogli ustalić, o jakie dane chodzi, poprosimy o doprecyzowanie.

Odpowiadamy bez zbędnej zwłoki, najpóźniej w miesiącu od otrzymania wniosku. W sprawach złożonych termin może zostać przedłużony o dwa miesiące — wtedy informujemy o przyczynie. Realizacja praw jest bezpłatna.

Sprzeciw wobec marketingu działa najszybciej: wystarczy jedno zdanie, bez uzasadnienia. Informacje o książce wyłączamy od razu, a cotygodniowe wydanie tylko wtedy, gdy wskażesz, że również go nie chcesz. Sprzeciw wobec analityki również nie wymaga przyczyny i nie ogranicza dostępu do treści.

Skargę można złożyć do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl). Możesz też najpierw napisać do nas — zwykle wyjaśnienie wystarcza.

15Bezpieczeństwo danych

• cała komunikacja z Serwisem jest szyfrowana (HTTPS);
• dostęp do bazy ograniczają reguły na poziomie rekordów (RLS) oraz role;
• hasła i tokeny przechowujemy wyłącznie w postaci skrótu, a hasło panelu jako tajny klucz poza kodem strony;
• analityka przyjmuje tylko pola z wykazu w § 6 — serwer odrzuca nadmiarowe dane, a zapis newslettera ogranicza się do adresu e-mail;
• kopie zapasowe i logi dostępu prowadzi dostawca infrastruktury.

W razie naruszenia ochrony danych, które mogłoby powodować wysokie ryzyko dla Twoich praw, poinformujemy Cię oraz Prezesa UODO zgodnie z art. 33 i 34 RODO.

16Dzieci

Serwis jest adresowany do rodziców, opiekunów i nauczycieli — nie do dzieci. Nie kierujemy do nich treści, nie zbieramy świadomie danych osób poniżej 16. roku życia, a newsletter jest przeznaczony dla osób, które ukończyły 16 lat.

Jeżeli zapisało się dziecko, wystarczy jedna wiadomość — usuniemy adres bez dodatkowych pytań i bez weryfikowania, kto pisze.

17Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie decyzji wywołujących skutki prawne w sposób zautomatyzowany i nie profilujemy nikogo w celach reklamowych.

Newsletter wysyłamy według harmonogramu, ale każde wydanie jest identyczne dla wszystkich Subskrybentów — nie dopasowujemy treści do cech konkretnej osoby. Statystyki służą wyłącznie do zestawień zbiorczych i nie tworzymy z nich profili.

18Zmiany dokumentu i historia wersji

Politykę aktualizujemy, gdy zmieniają się funkcje Serwisu lub przepisy. Każda wersja ma numer i datę wejścia w życie, a o zmianie wpływającej na Twoje prawa informujemy na stronie oraz w newsletterze.

Zgodność dokumentu z działaniem Serwisu sprawdzamy automatycznie: raz na dobę audyt porównuje wykaz skryptów i zasobów ładowanych przez stronę, pola zapisywane w analityce, pola zapisywane dla Subskrybentów oraz ustawiony okres przechowywania z tym, co opisuje ta Polityka. Wynik ostatniego sprawdzenia widzisz na początku dokumentu; przy wykryciu rozbieżności Administrator otrzymuje powiadomienie ze wskazaniem paragrafów do zmiany.

Automat wskazuje, co wymaga opisania — sam nie przepisuje zdań dokumentu. Zmianę treści zatwierdza Administrator i podnosi numer wersji, ponieważ tylko człowiek może ocenić, jak opisać nową funkcję i czy zmiana wpływa na Twoje prawa.

19Kontakt

Adres do pytań i wniosków: contact@cyber-papa.com. Przyjmujemy tu zgłoszenia dotyczące prywatności, wnioski o realizację praw i informacje o błędach w tym dokumencie.

Odpowiadamy osobiście. Jeżeli w Polityce znajdziesz zdanie, które nie odpowiada działaniu Serwisu, traktujemy to jako błąd do naprawy — napisz, a poprawimy zarówno dokument, jak i działanie strony.