Polityka Prywatności Picvelo

Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych w serwisie Picvelo – platformie SaaS przeznaczonej dla fotografów do udostępniania galerii zdjęć klientom końcowym w celu selekcji zdjęć.

Dokument sporządzony zgodnie z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: RODO) oraz obowiązującymi przepisami prawa polskiego.

1. Administrator danych

Administratorem Twoich danych osobowych jest:

• Nazwa: Jakub Ciepielowski
• Adres: Kaskadowa 17F, 43-300 Bielsko-Biała
• Kontakt: [email protected]

Dalej w niniejszym dokumencie: „Picvelo", „my" lub „Administrator".

2. Kontakt

2.1 Kontakt ogólny

We wszelkich sprawach dotyczących przetwarzania danych osobowych możesz skontaktować się z nami:

• E-mail: [email protected]
• Adres pocztowy: Kaskadowa 17F, 43-300 Bielsko-Biała

2.2 Inspektor Ochrony Danych (IOD)

Administrator nie wyznaczył Inspektora Ochrony Danych, ponieważ nie zachodzi żaden z przypadków wymienionych w art. 37 ust. 1 RODO. We wszystkich sprawach dotyczących danych osobowych pisz na adres podany w punkcie 2.1.

3. Dwie role Picvelo w zakresie RODO

Picvelo funkcjonuje w dwóch różnych rolach w zależności od rodzaju przetwarzanych danych:

3.1 Administrator danych – konta fotografów

W odniesieniu do danych fotografów (Użytkowników) rejestrujących konto w serwisie, Picvelo jest administratorem danych osobowych. Zbieramy i przetwarzamy:

• Dane identyfikacyjne i kontaktowe: imię i nazwisko lub nazwa firmy, adres e-mail
• Dane uwierzytelniające: hasło (przechowywane w formie skrótu bcrypt), klucze 2FA (opcjonalnie)
• Dane rozliczeniowe: dane do faktury (nazwa, adres, NIP), historia subskrypcji, metoda płatności (dane karty przechowuje wyłącznie Stripe)
• Dane techniczne: adres IP, typ przeglądarki, logi aktywności, nagłówki HTTP
• Dane profilowe: preferencje serwisu, ustawienia galerii, konfiguracja SMTP
• Dane OAuth (opcjonalnie): identyfikator i e-mail z usług Google, Facebook (Meta) lub Apple, jeśli użytkownik korzysta z logowania społecznościowego

3.2 Podmiot przetwarzający – dane klientów końcowych fotografów

W odniesieniu do danych klientów końcowych (osób otrzymujących link do galerii i dokonujących selekcji zdjęć) Picvelo działa jako podmiot przetwarzający na polecenie fotografa (administratora), w rozumieniu art. 28 RODO.

W tej roli przetwarzamy jedynie dane powierzone nam przez fotografa:

• Imię i nazwisko lub pseudonim klienta końcowego (jeśli fotograf je wprowadził)
• Adres e-mail klienta końcowego (jeśli fotograf go podał)
• Adres IP i dane techniczne z sesji przeglądania galerii
• Informacje o dokonanych wyborach zdjęć (lista ID zaznaczonych zdjęć, notatki)
• Dane zamówienia, jeśli klient kupuje w galerii dodatkowe zdjęcia lub całą galerię: liczba i cena zdjęć, kwota, status i identyfikator płatności. Pełne dane karty przetwarza wyłącznie Stripe, Picvelo ich nie widzi

Podglądy zdjęć generujemy od nowa, więc nie zawierają metadanych EXIF ani współrzędnych GPS z aparatu. Oryginalne pliki, które fotograf udostępnia klientowi do pobrania, zachowują metadane nadane przez aparat; za ich ewentualne usunięcie odpowiada fotograf.

Za zgodność przetwarzania danych klientów końcowych z RODO odpowiada fotograf jako administrator. Picvelo przetwarza te dane wyłącznie zgodnie z zawartą Umową Powierzenia Przetwarzania Danych (zob. Umowa Powierzenia).

4. Cele i podstawy prawne przetwarzania

4.1 Dane fotografów (Picvelo jako administrator)

4.2 Dane klientów końcowych (Picvelo jako podmiot przetwarzający)

Przetwarzanie odbywa się wyłącznie na podstawie udokumentowanego polecenia fotografa. Fotograf jako administrator jest zobowiązany do posiadania własnej podstawy prawnej wobec klientów końcowych.

5. Okres przechowywania danych

Szczegółowa tabela z okresami retencji dostępna jest w dokumencie Polityka Retencji Danych.

W skrócie:

• Dane konta fotografa: do momentu usunięcia konta przez fotografa. Usunięcie konta w panelu kasuje dane natychmiast i trwale, nie ma okresu karencji ani automatycznego kasowania kont po zakończeniu subskrypcji (konto przechodzi wtedy na pakiet Free)
• Dane rozliczeniowe / faktury: 5 lat, zgodnie z art. 86 Ordynacji Podatkowej
• Logi systemowe: 90 dni rotacyjnie
• Dane klientów końcowych: usuwane razem z galerią lub kontem fotografa. Automatycznie usuwamy je tylko wtedy, gdy konto fotografa nieprzerwanie przez 12 miesięcy przekracza limit miejsca swojego pakietu (Regulamin, punkt 6.2); ostrzeżenie e-mailem wysyłamy 30 dni wcześniej
• Akceptacje polityk i zgody: 6 lat od zakończenia relacji

6. Odbiorcy danych i subprocesorzy

6.1 Kategorie odbiorców

Twoje dane mogą być udostępniane:

• Podmiotom przetwarzającym (subprocesorom) świadczącym usługi na rzecz Picvelo – wyłącznie w zakresie niezbędnym do realizacji usługi
• Organom publicznym – wyłącznie na podstawie obowiązku prawnego (np. organy podatkowe, organy ścigania na podstawie prawomocnego orzeczenia)
• Stripe – w zakresie danych niezbędnych do przetwarzania płatności

Picvelo nie sprzedaje danych osobowych stronom trzecim.

6.2 Lista subprocesorów

Aktualna lista subprocesorów dostępna jest pod adresem Lista Subprocesorów.

Subprocesorzy są zobowiązani umownie do ochrony danych na poziomie co najmniej równoważnym z niniejszą Polityką, zgodnie z art. 28 RODO.

7. Transfer danych poza Europejski Obszar Gospodarczy (EOG)

Niektórzy subprocesorzy Picvelo mają siedziby lub przetwarzają dane poza EOG (głównie w USA). Każdy taki transfer zabezpieczony jest odpowiednimi instrumentami prawnymi:

Czat wsparcia działa przez Telegram. Jeśli z niego korzystasz, treść rozmowy i podany w niej adres e-mail trafiają do Telegram Messenger, który przetwarza dane poza EOG. Jeśli tego nie chcesz, napisz do nas zwykłym mailem na [email protected].

Standardowe Klauzule Umowne (SCCs) to zatwierdzone przez Komisję Europejską wzory umów zapewniające odpowiedni poziom ochrony danych (Decyzja wykonawcza KE 2021/914). Data Privacy Framework (DPF) to mechanizm certyfikacji dla podmiotów z USA, uznany przez Komisję Europejską jako zapewniający odpowiedni poziom ochrony (Decyzja 2023/1795).

Hosting podstawowy (OVH SAS, Francja) pozostaje w obrębie EOG. Pliki zdjęć mogą być przechowywane w usłudze obiektowej Cloudflare R2 (transfer zabezpieczony SCCs, zob. tabela powyżej).

8. Twoje prawa

Jako osobie, której dane dotyczą, przysługują Ci następujące prawa wynikające z RODO:

8.1 Prawo dostępu (art. 15 RODO)

Masz prawo uzyskać od nas potwierdzenie, czy przetwarzamy Twoje dane osobowe, a jeśli tak – dostęp do tych danych oraz informacje o sposobie ich przetwarzania.

8.2 Prawo do sprostowania (art. 16 RODO)

Masz prawo żądać niezwłocznego sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych osobowych.

8.3 Prawo do usunięcia danych (art. 17 RODO)

Masz prawo żądać usunięcia danych osobowych („prawo do bycia zapomnianym"), gdy: dane nie są już niezbędne do celów, dla których zostały zebrane; wycofasz zgodę (gdy przetwarzanie opierało się na zgodzie); wniesiesz skuteczny sprzeciw; dane były przetwarzane niezgodnie z prawem. Prawo to nie ma zastosowania m.in. gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego.

8.4 Prawo do ograniczenia przetwarzania (art. 18 RODO)

Masz prawo żądać ograniczenia przetwarzania danych w określonych sytuacjach (np. gdy kwestionujesz prawidłowość danych lub wniosłeś sprzeciw).

8.5 Prawo do przenoszenia danych (art. 20 RODO)

Gdy przetwarzanie odbywa się na podstawie zgody lub umowy i w sposób zautomatyzowany – masz prawo otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie (JSON, do samodzielnego pobrania z panelu w sekcji Eksport danych) oraz przenieść je do innego administratora.

8.6 Prawo do sprzeciwu (art. 21 RODO)

Masz prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania danych opartego na uzasadnionym interesie administratora (art. 6 ust. 1 lit. f), w tym wobec profilowania. Picvelo zaprzestanie przetwarzania, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec Twoich interesów.

8.7 Prawo do cofnięcia zgody (art. 7 ust. 3 RODO)

Gdy przetwarzanie opiera się na zgodzie – możesz ją wycofać w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem zgody.

8.8 Sposób realizacji praw

Wnioski kieruj na adres e-mail: [email protected]. Odpowiedź udzielamy bez zbędnej zwłoki, nie później niż w ciągu 1 miesiąca od otrzymania wniosku (termin może zostać przedłużony do 3 miesięcy w przypadkach złożonych – o czym poinformujemy).

9. Prawo skargi do organu nadzorczego

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo złożyć skargę do organu nadzorczego. W Polsce organem tym jest:

Prezes Urzędu Ochrony Danych Osobowych (PUODO) ul. Stawki 2, 00-193 Warszawa Telefon: +48 22 531 03 00 E-mail: [email protected] Strona: uodo.gov.pl

10. Zautomatyzowane podejmowanie decyzji

Picvelo nie stosuje zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywoływałoby skutki prawne lub w podobny sposób istotnie wpływało na osoby fizyczne w rozumieniu art. 22 RODO.

Analityka serwisu (Google Analytics 4) służy wyłącznie celom statystycznym i doskonaleniu usługi – nie jest używana do podejmowania decyzji dotyczących poszczególnych użytkowników.

11. Pliki cookies

Picvelo używa plików cookies oraz podobnych technologii śledzących. Szczegółowe informacje – w tym lista wszystkich cookies, ich cel i sposób zarządzania nimi – dostępne są w Polityce Cookies.

12. Logowanie przez Google, Facebook i Apple (OAuth)

Do panelu fotografa można zarejestrować się i zalogować kontem Google, Facebook (Meta) lub Apple. Poniżej opisujemy, jakie dane z tych usług otrzymujemy, do czego ich używamy, jak długo je przechowujemy i komu je udostępniamy.

12.1 Dane z konta Google

Picvelo prosi wyłącznie o zakresy openid, email i profile. Z konta Google otrzymujemy:

Nie pobieramy zdjęcia profilowego, kontaktów, kalendarza, plików z Dysku Google ani żadnych innych danych. Nie prosimy o zakresy oznaczone przez Google jako wrażliwe (sensitive) ani ograniczone (restricted). Token dostępu Google służy wyłącznie do jednorazowego odczytania powyższych danych w trakcie logowania i nie jest zapisywany.

12.2 Przechowywanie i udostępnianie

• Identyfikator konta Google, adres e-mail i imię przechowujemy w bazie danych na serwerze w Unii Europejskiej, przez czas istnienia Twojego konta Picvelo (okresy z punktu 5).
• Danych z konta Google nie sprzedajemy, nie udostępniamy do celów reklamowych, nie wykorzystujemy do profilowania ani do trenowania modeli sztucznej inteligencji.
• Dostęp do nich mają wyłącznie podmioty z listy subprocesorów (punkt 6.2), w zakresie niezbędnym do utrzymania serwisu, na przykład dostawca hostingu bazy danych.

12.3 Cofnięcie dostępu i usunięcie danych

• Dostęp Picvelo do konta Google możesz cofnąć w każdej chwili na stronie Uprawnienia konta Google.
• Usunięcie konta Picvelo usuwa również powiązanie z kontem Google oraz otrzymane od niego dane, na zasadach z punktów 5 i 8.3.
• Samo odłączenie logowania Google od konta Picvelo, bez kasowania konta, wykonujemy na żądanie wysłane na [email protected].

12.4 Zgodność z zasadami Google

Sposób, w jaki Picvelo używa informacji otrzymanych z interfejsów Google API, jest zgodny z Google API Services User Data Policy, w tym z wymaganiami Limited Use.

12.5 Facebook i Apple

Logowanie przez Facebook (zakresy email, public_profile) i Apple (name, email) działa tak samo: otrzymujemy identyfikator konta u dostawcy, adres e-mail oraz, jeśli jest udostępnione, imię i nazwisko. Apple pozwala ukryć prawdziwy adres i przekazać adres przekierowujący (private relay), co w pełni obsługujemy. Te dane traktujemy dokładnie tak, jak dane z konta Google, opisane w punktach 12.2 i 12.3.

13. Bezpieczeństwo danych

Picvelo stosuje odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa adekwatny do ryzyka, zgodnie z art. 32 RODO:

• Szyfrowanie w tranzycie: HTTPS (TLS 1.2+) dla wszystkich połączeń, HSTS
• Szyfrowanie haseł: algorytm bcrypt z odpowiednim współczynnikiem kosztów
• Uwierzytelnianie dwuskładnikowe (2FA): opcjonalne dla fotografów, oparte na TOTP
• Ochrona przed atakami: Content Security Policy (CSP), ochrona CSRF, prepared statements SQL
• Kontrola dostępu: zasada minimalnych uprawnień, logi audytu dostępu
• Kopie zapasowe: automatyczne codzienne backupy bazy danych i konfiguracji z retencją 30 dni
• Monitoring: alert o błędzie krytycznym wysyłany natychmiast wewnętrznym kanałem technicznym, logi serwera oraz automatyczna kontrola dostępności serwisu i świeżości kopii zapasowych
• Testy bezpieczeństwa: automatyczna analiza statyczna kodu i kontrola podatności zależności przy każdej zmianie kodu (CI)

W przypadku naruszenia ochrony danych osobowych, które może powodować ryzyko dla praw i wolności osób fizycznych, Picvelo zgłosi je do PUODO w ciągu 72 godzin (art. 33 RODO) oraz powiadomi poszkodowane osoby, gdy ryzyko jest wysokie (art. 34 RODO).

14. Zmiany Polityki Prywatności

Picvelo może aktualizować niniejszą Politykę Prywatności. O istotnych zmianach poinformujemy:

• E-mailem na adres przypisany do konta fotografa – co najmniej 14 dni przed wejściem zmian w życie
• Komunikatem w panelu administracyjnym serwisu
• Aktualizując datę „Ostatnia aktualizacja" u dołu niniejszego dokumentu

Dalsze korzystanie z serwisu po wejściu zmian w życie oznacza ich akceptację. Jeśli nie akceptujesz zmian, możesz rozwiązać umowę zgodnie z Regulaminem.

Archiwalne wersje Polityki dostępne są na żądanie pod adresem: [email protected]

Niniejszy dokument został opracowany w oparciu o stan prawny na dzień 2026-05-26. Ostatnia aktualizacja: 2026-09-13.