POLITYKA PRYWATNOŚCI SERWISU SUBTERRA BY SKARBEX

§ 1. ADMINISTRATOR DANYCH

1. Administratorem danych osobowych w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) jest: Kamil Horst prowadzący jednoosobową działalność gospodarczą pod firmą „Kamil Horst", wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), ul. Pszczyńska 233, 43-225 Wola NIP: 6381821167, REGON: 366554605 (dalej: „Administrator").

2. Kontakt w sprawach ochrony danych: skarbexapp@gmail.com

3. Administrator nie wyznaczył inspektora ochrony danych. Wszelkie sprawy dotyczące przetwarzania danych należy kierować na adres wskazany w ust. 2.

§ 2. KATEGORIE PRZETWARZANYCH DANYCH

Administrator przetwarza następujące kategorie danych:

1. DANE KONTA — adres poczty elektronicznej, hasło (przechowywane wyłącznie w postaci skrótu kryptograficznego po stronie dostawcy uwierzytelniania), nazwa wyświetlana, nazwa organizacji (opcjonalnie), zdjęcie profilowe (opcjonalnie), rola, plan i data jego ważności, data utworzenia konta i ostatniego logowania.

2. DANE BADAWCZE WYTWORZONE PRZEZ UŻYTKOWNIKA — obszary analiz i ich współrzędne, parametry i wyniki analiz, warstwy pochodne, punkty rekomendowane do sprawdzenia, oceny terenowe, notatki tekstowe i głosowe, zdjęcia weryfikacji terenowej, ślady GPS wizyt terenowych, projekty badawcze, wiadomości w rozmowach zespołu, rejestry pozwoleń i zgód właścicieli gruntów, importowane rastry geofizyczne.

UWAGA: dane te mogą zawierać informacje o LOKALIZACJI stanowisk o potencjalnej wartości historycznej. Administrator traktuje je jako dane wymagające szczególnej ochrony ze względu na ryzyko dla dziedzictwa kulturowego, niezależnie od tego, że co do zasady nie są to dane osobowe w rozumieniu RODO.

3. DANE PŁATNICZE — numer i status zamówienia, kwota, wybrany plan i okres, identyfikator transakcji nadany przez operatora płatności. ADMINISTRATOR NIE PRZETWARZA I NIE PRZECHOWUJE DANYCH KART PŁATNICZYCH — są one przekazywane bezpośrednio operatorowi płatności.

4. DANE TECHNICZNE — adres IP, informacje o przeglądarce i urządzeniu, logi dostępu i logi błędów aplikacji, identyfikatory sesji, dane z mechanizmów ochrony przed nadużyciami (Firebase App Check / reCAPTCHA).

5. KORESPONDENCJA — treść wiadomości kierowanych do Administratora oraz dane w nich zawarte.

§ 3. CELE I PODSTAWY PRAWNE PRZETWARZANIA

+---------------------------+--------------------------------+

| CEL | PODSTAWA PRAWNA |

+---------------------------+--------------------------------+

| Założenie i prowadzenie | art. 6 ust. 1 lit. b RODO |

| konta, świadczenie usług | (wykonanie umowy) |

| Serwisu, wykonywanie | |

| analiz i udostępnianie | |

| ich wyników | |

+---------------------------+--------------------------------+

| Realizacja płatności | art. 6 ust. 1 lit. b RODO |

| i obsługa zamówień | (wykonanie umowy) |

+---------------------------+--------------------------------+

| Wystawianie i | art. 6 ust. 1 lit. c RODO |

| przechowywanie dokumentów | (obowiązek prawny — przepisy |

| księgowych | podatkowe i o rachunkowości) |

+---------------------------+--------------------------------+

| Rozpatrywanie reklamacji | art. 6 ust. 1 lit. b i c RODO |

| i odstąpień od umowy | |

+---------------------------+--------------------------------+

| Zapewnienie bezpieczeństwa| art. 6 ust. 1 lit. f RODO |

| Serwisu, przeciwdziałanie | (prawnie uzasadniony interes — |

| nadużyciom, egzekwowanie | ochrona Serwisu, użytkowników |

| limitów | i dziedzictwa kulturowego) |

+---------------------------+--------------------------------+

| Obsługa korespondencji | art. 6 ust. 1 lit. f RODO |

+---------------------------+--------------------------------+

| Ustalenie, dochodzenie | art. 6 ust. 1 lit. f RODO |

| lub obrona roszczeń | |

+---------------------------+--------------------------------+

Podanie danych jest dobrowolne, lecz niezbędne do korzystania z Serwisu. Niepodanie adresu poczty elektronicznej uniemożliwia założenie konta.

§ 4. OKRESY PRZECHOWYWANIA

1. Dane konta i dane badawcze — przez czas posiadania konta. Po usunięciu konta przez Użytkownika dane są usuwane niezwłocznie, z zastrzeżeniem ust. 3 i 4.

2. Usunięcie konta powoduje trwałe usunięcie: dokumentu użytkownika, analiz i ich wyników, warstw, punktów, notatek, zdjęć, śladów GPS, projektów, w których Użytkownik jest właścicielem, oraz członkostw w cudzych projektach.

3. WIADOMOŚCI W ROZMOWACH ZESPOŁU projektów należących do innych Użytkowników pozostają w wątku jako element dokumentacji ustaleń badawczych zespołu; przy wiadomości pozostaje wyłącznie identyfikator techniczny konta, które zostało usunięte. Autor może przed usunięciem konta wycofać własne wiadomości — treść zostaje wówczas zasłonięta.

4. Dane rozliczeniowe i dokumenty księgowe — przez okres wymagany przepisami podatkowymi, tj. 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

5. Logi techniczne i dane bezpieczeństwa — do 12 miesięcy, chyba że stanowią dowód w postępowaniu.

6. Dane przetwarzane na podstawie prawnie uzasadnionego interesu — do czasu skutecznego wniesienia sprzeciwu albo ustania tego interesu; dane związane z roszczeniami — do upływu terminu przedawnienia.

§ 5. ODBIORCY DANYCH I PODMIOTY PRZETWARZAJĄCE

Administrator powierza przetwarzanie danych następującym podmiotom, wyłącznie w zakresie niezbędnym do świadczenia usług:

1. GOOGLE IRELAND LIMITED / GOOGLE LLC (Firebase, Google Cloud Platform) — uwierzytelnianie użytkowników, baza danych, przechowywanie plików, uruchamianie funkcji serwerowych, ochrona przed nadużyciami. Zakres: wszystkie kategorie danych z § 2 pkt 1, 2, 3 i 4.

2. PAYPRO S.A. z siedzibą w Poznaniu (operator serwisu Przelewy24) — obsługa płatności. Zakres: dane transakcji, adres e-mail, kwota. PayPro S.A. jest wobec tych danych ODRĘBNYM ADMINISTRATOREM w zakresie wynikającym z przepisów o usługach płatniczych. Administrator NIE otrzymuje i NIE przechowuje danych karty płatniczej.

3. OPENAI IRELAND LIMITED / OPENAI, L.L.C. — generowanie opisu i interpretacji wyników analizy. ZAKRES PRZEKAZYWANYCH DANYCH — informacja istotna dla Użytkownika: do OpenAI przekazywane są WYŁĄCZNIE ustrukturyzowane, liczbowe wyniki działania algorytmów: promień i powierzchnia obszaru, statystyki warstw pochodnych, parametry wykrytych form terenowych oraz oceny jakości danych. DO OPENAI NIE SĄ PRZEKAZYWANE: współrzędne geograficzne obszaru analizy ani współrzędne punktów rekomendowanych do sprawdzenia, nazwa analizy, dane konta, adres e-mail ani jakiekolwiek pliki (zdjęcia, notatki głosowe, rastry). Ograniczenie to jest wymuszone w kodzie aplikacji i objęte automatycznymi testami. Administrator korzysta z warunków OpenAI dla klientów API, zgodnie z którymi dane przekazane przez API nie są wykorzystywane do trenowania modeli.

4. RAILWAY CORP. — hosting aplikacji internetowej (warstwa frontendowa). Zakres: dane techniczne z § 2 pkt 4 (adres IP, logi dostępowe).

5. Podmioty świadczące Administratorowi usługi księgowe i prawne — w zakresie niezbędnym do wykonania obowiązków ustawowych.

6. Organy publiczne — wyłącznie gdy obowiązek przekazania wynika z przepisów prawa.

DANE NIE SĄ SPRZEDAWANE ANI UDOSTĘPNIANE W CELACH MARKETINGOWYCH PODMIOTOM TRZECIM.

§ 6. PRZEKAZYWANIE DANYCH POZA EUROPEJSKI OBSZAR GOSPODARCZY

1. Część podmiotów wskazanych w § 5 (Google, OpenAI, Railway) może przetwarzać dane na serwerach zlokalizowanych poza EOG, w szczególności w Stanach Zjednoczonych.

2. Przekazanie odbywa się na podstawie:

a) decyzji wykonawczej Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-U.S. Data Privacy Framework — w odniesieniu do podmiotów certyfikowanych w tym programie, albo

b) standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), wraz z dodatkowymi środkami bezpieczeństwa.

3. Kopię zastosowanych zabezpieczeń można uzyskać, kontaktując się z Administratorem.

§ 7. PRAWA OSÓB, KTÓRYCH DANE DOTYCZĄ

Użytkownikowi przysługuje prawo do:

1. DOSTĘPU do danych oraz otrzymania ich kopii (art. 15 RODO),

2. SPROSTOWANIA danych nieprawidłowych lub niekompletnych (art. 16),

3. USUNIĘCIA danych — „prawo do bycia zapomnianym" (art. 17); Serwis udostępnia samoobsługowe usunięcie konta w jego ustawieniach,

4. OGRANICZENIA przetwarzania (art. 18),

5. PRZENOSZENIA danych w ustrukturyzowanym, powszechnie używanym formacie (art. 20); Serwis udostępnia eksport wyników analiz do formatów GIS i PDF,

6. SPRZECIWU wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21),

7. WNIESIENIA SKARGI do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Realizacja praw następuje po zgłoszeniu na adres skarbexapp@gmail.com, niezwłocznie, nie później niż w terminie miesiąca od otrzymania żądania.

§ 8. PLIKI COOKIES I PAMIĘĆ LOKALNA PRZEGLĄDARKI

1. Serwis wykorzystuje pliki cookies oraz pamięć lokalną przeglądarki (localStorage, sessionStorage, IndexedDB) wyłącznie w celach:

a) NIEZBĘDNYCH — utrzymanie sesji zalogowanego Użytkownika, ochrona przed nadużyciami (Firebase App Check / reCAPTCHA), zapamiętanie wyboru języka i ustawień widoku,

b) FUNKCJONALNYCH — przechowywanie na urządzeniu Użytkownika danych trybu terenowego offline (kolejka zdjęć, notatek i śladu GPS), aby praca poza zasięgiem sieci nie powodowała utraty danych.

2. SERWIS NIE STOSUJE plików cookies o charakterze marketingowym, reklamowym ani profilującym i nie przekazuje danych sieciom reklamowym.

3. Ponieważ Serwis wykorzystuje wyłącznie cookies niezbędne i funkcjonalne, ich stosowanie nie wymaga uprzedniej zgody Użytkownika w rozumieniu art. 173 Prawa telekomunikacyjnego, z zastrzeżeniem obowiązku informacyjnego realizowanego niniejszym dokumentem.

4. Użytkownik może w każdej chwili usunąć dane przechowywane przez Serwis w przeglądarce oraz zablokować cookies w jej ustawieniach — może to jednak uniemożliwić zalogowanie się i korzystanie z Serwisu.

§ 9. ZAUTOMATYZOWANE PODEJMOWANIE DECYZJI I PROFILOWANIE

1. Administrator NIE PODEJMUJE wobec Użytkowników decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO).

2. Algorytmy analizy terenu oraz model językowy generujący opis działają na danych przestrzennych, a nie na danych osobowych Użytkownika, i nie służą ocenie osoby ani jej cech.

§ 10. BEZPIECZEŃSTWO DANYCH

1. Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

a) szyfrowanie transmisji (HTTPS/TLS),

b) uwierzytelnianie użytkowników i regułowa kontrola dostępu do danych po stronie serwera — dane badawcze Użytkownika są domyślnie prywatne i dostępne wyłącznie dla niego,

c) ochronę przed nadużyciami automatycznymi (Firebase App Check),

d) limity częstotliwości operacji kosztownych,

e) rozdzielenie danych prywatnych od danych udostępnianych publicznie przez Użytkownika (tryb udostępniania zredagowanego ukrywa dokładne lokalizacje).

2. Administrator zobowiązuje się zgłaszać naruszenia ochrony danych osobowych Prezesowi UODO w terminie 72 godzin oraz zawiadamiać osoby, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności.

§ 11. ZMIANY POLITYKI PRYWATNOŚCI

1. Administrator może zmienić Politykę Prywatności, w szczególności w razie zmiany przepisów, zakresu usług albo listy podmiotów przetwarzających.

2. O zmianach Administrator informuje w Serwisie oraz — jeżeli zmiana jest istotna — pocztą elektroniczną, z co najmniej 14-dniowym wyprzedzeniem.

3. Aktualna wersja Polityki Prywatności jest zawsze dostępna w Serwisie wraz z datą jej wejścia w życie.