Polityka prywatności

1. Administrator danych

Justin Lalak (Wiśniewko 33, 06-500 Mława) i Jakub Żark (Osiedle Książąt Mazowieckich 17/31, 06-500 Mława), adres do korespondencji: Wiśniewko 33, 06-500 Mława, e-mail: kontakt@terrabase.pl.

Wymienione osoby są współadministratorami danych (art. 26 RODO): wspólnie ustalają cele i sposoby przetwarzania i wspólnie odpowiadają za wypełnianie obowiązków wobec Ciebie. Wnioski obsługujemy pod jednym adresem e-mail podanym poniżej, ale ze swoich praw możesz skorzystać wobec każdego z nas.

W sprawach danych osobowych pisz na kontakt@terrabase.pl albo przez formularz kontaktowy.

2. Jakie dane i po co

• Konto - imię lub pseudonim, e-mail, hasło (zapisane wyłącznie jako skrót), opcjonalne zdjęcie profilowe, ustawienia, sekret logowania dwuetapowego (zaszyfrowany) oraz data i wersja zaakceptowanego regulaminu. Cel: świadczenie usługi (art. 6 ust. 1 lit. b RODO), a data akceptacji - także wykazanie zawarcia umowy (lit. f).
• Logowanie przez Google - jeśli z niego skorzystasz, dostajemy od Google identyfikator konta, adres e-mail i imię. Nie dostajemy hasła ani innych danych z konta Google. Połączenie odłączysz w Ustawieniach. Cel: świadczenie usługi (lit. b).
• Treści, które dodajesz - zwierzęta, terraria, wpisy, pomiary, notatki, zdjęcia. Widzisz je tylko Ty, chyba że utworzysz link udostępniania albo przekażesz zwierzę. Cel: świadczenie usługi (lit. b).
• Momenty i podsumowanie roku - urodziny, rocznice i podsumowanie roku aplikacja liczy z Twoich wpisów i pokazuje tylko Tobie. Obrazek do udostępnienia powstaje w Twojej przeglądarce i trafia dalej tylko wtedy, gdy go udostępnisz.
• Alerty i przypomnienia - aplikacja sama porównuje Twoje wpisy (np. spadek masy, odmowy karmienia, warunki poza zakresem) i pokazuje ostrzeżenia tylko Tobie. Nie podejmujemy na tej podstawie decyzji wobec Ciebie i nie tworzymy profili marketingowych. Alerty wyłączysz w Ustawieniach.
• Import - przesłany plik CSV lub Excel trzymamy do podglądu, najdłużej dobę. Cel: świadczenie usługi (lit. b).
• Polecenia - kto założył konto z czyjego linku, data pierwszej płatności osoby poleconej i przyznane nagrody. Osoba polecająca widzi tylko liczby (ile osób założyło konto i wykupiło pakiet), a osoba zaproszona - imię polecającego. Cel: zasady programu poleceń z regulaminu (lit. b).
• Płatności - pakiet, okres, identyfikator klienta i subskrypcji w Stripe. Danych karty nie otrzymujemy. Cel: umowa i obowiązki podatkowo-księgowe (lit. b i c).
• Bezpieczeństwo - adres IP, przeglądarka, czas logowania, lista ostatnich 10 urządzeń (nazwa przeglądarki i systemu, np. „Chrome · Windows”) i zdarzenia bezpieczeństwa (np. nieudane logowania). Dzięki temu logowanie działa tylko w przeglądarce, w której nastąpiło, a o logowaniu z nowego urządzenia wysyłamy Ci e-mail. Cel: ochrona kont i serwisu (lit. f - prawnie uzasadniony interes).
• Ochrona przed nadużyciami - żeby darmowe dni z polecenia i kody na pakiet przysługiwały raz na osobę, a nie na każde zakładane konto, zapisujemy: Twój adres e-mail w postaci ujednoliconej (np. bez kropek i dopisków „+” w Gmailu), skrót (hash) adresu IP z rejestracji i ostatniego logowania oraz skrót losowego identyfikatora przeglądarki (cookie tb_device). Skrótów nie da się zamienić z powrotem na adres IP ani identyfikator - można je tylko porównać. Nie podejmujemy na tej podstawie automatycznie innych decyzji niż odmowa darmowego bonusu; podejrzane konta sprawdza człowiek. Cel: zapobieganie nadużyciom (lit. f).
• Powiadomienia push - jeśli je włączysz: adres subskrypcji przeglądarki (lit. a - zgoda, którą wycofasz w Ustawieniach).
• Kontakt i zgłoszenia - imię, e-mail i treść wiadomości z formularza (w tym zgłoszeń nielegalnych treści), jej temat, numer zgłoszenia, data wysłania i konto, z którego ją wysłano, jeśli było się zalogowanym. Na podany adres wysyłamy potwierdzenie z numerem zgłoszenia. Cel: odpowiedź na zapytanie i obsługa reklamacji (lit. f), obowiązki z aktu o usługach cyfrowych (lit. c).

3. Komu dane przekazujemy

Dane przetwarzają w naszym imieniu:

• dostawca hostingu - OVH Sp. z o.o. (serwer, baza danych, kopie zapasowe),
• dostawca poczty e-mail (wysyłka wiadomości z aplikacji),
• Stripe Payments Europe Ltd. (płatności; przy płatności obowiązuje także polityka prywatności Stripe),
• Google Ireland Ltd. - jeśli logujesz się kontem Google (obowiązuje wtedy także polityka prywatności Google),
• Cloudflare, Inc. - ochrona serwisu przed atakami i szybsze wczytywanie: ruch do serwisu przechodzi przez ich serwery (adres IP, przeglądarka, odwiedzane adresy); także sprawdzenie (Turnstile), czy formularz rejestracji, kontaktu lub resetu hasła wysyła człowiek,
• bunny.net (BunnyWay d.o.o.) - czcionki strony; przeglądarka pobiera je z ich serwerów, przekazując adres IP,
• usługi push producentów przeglądarek (Google, Mozilla, Apple), jeśli włączysz powiadomienia.

Na Twoje polecenie dane trafiają też do innych osób: treści z linku udostępniania zobaczy każdy, kto ma link, a przy przekazaniu zwierzęcia nowy właściciel dostaje kopię jego historii i Twoją nazwę wyświetlaną.

Jeśli dane trafiają poza Europejski Obszar Gospodarczy, odbywa się to na podstawie decyzji Komisji Europejskiej (EU-US Data Privacy Framework) lub standardowych klauzul umownych. Nie sprzedajemy danych i nie używamy ich do reklam.

4. Jak długo

• Dane konta i treści - do czasu usunięcia konta lub treści. W kopiach zapasowych zostają jeszcze do 14 dni (baza danych) i 4 tygodni (zdjęcia), potem kopie są nadpisywane.
• Dane rozliczeniowe - przez okres wymagany przepisami podatkowymi (zwykle 5 lat od końca roku).
• Dziennik zdarzeń bezpieczeństwa - do 90 dni.
• Informacja o wykorzystanym darmowym bonusie (ujednolicony e-mail i skróty opisane wyżej) - 24 miesiące, także po usunięciu konta, żeby usunięcie i ponowna rejestracja nie dawały bonusu drugi raz.
• Wiadomości z formularza i zgłoszenia - rok od wysłania, potem usuwamy je automatycznie; dłużej tylko wtedy, gdy są potrzebne do obrony przed roszczeniami.
• Linki przekazania zwierzęcia - wygasają po 14 dniach; informacja o przekazaniu zostaje w historii obu kont.

5. Pliki cookie i pamięć przeglądarki

Używamy wyłącznie tego, co jest niezbędne do działania serwisu i usług, z których korzystasz. Na takie pliki prawo (art. 399 Prawa komunikacji elektronicznej) nie wymaga zgody, dlatego nie pokazujemy okna z prośbą o nią:

• cookie sesji, ochrony formularzy (CSRF) i opcjonalnie „Zapamiętaj mnie” (do 30 dni),
• cookie zaufanego urządzenia - losowy znacznik przeglądarki, w której potwierdzono logowanie, żeby nie pytać tam ponownie o kod z e-maila (do 180 dni), a jeśli tak wybierzesz przy logowaniu dwuetapowym - także o kod z aplikacji (do 30 dni); usuniesz je w Ustawieniach → Konto,
• cookie tb_device - losowy identyfikator przeglądarki (do 2 lat), używany wyłącznie do ochrony przed wielokrotnym odbieraniem darmowych bonusów; zapisujemy go dopiero na stronie rejestracji lub logowania, przy logowaniu przez Google, po wejściu z linku polecającego albo po zalogowaniu - samo czytanie strony go nie zapisuje,
• pamięć sesji przeglądarki (sessionStorage) - ostatnio otwarta zakładka Ustawień, znika po zamknięciu karty,
• skrypt usługi (service worker) - tylko do odbierania powiadomień push, jeśli je włączysz.
• cookie bezpieczeństwa Cloudflare (np. __cf_bm, cf_clearance) - Cloudflare zapisuje je tylko wtedy, gdy sprawdza, czy ruch nie pochodzi od bota; służą ochronie serwisu, nie śledzeniu.

Nie stosujemy cookie analitycznych, reklamowych ani śledzących, nie mierzymy odwiedzin i nie wczytujemy skryptów reklamowych ani portali społecznościowych. Na stronie płatności Stripe i przy logowaniu przez Google obowiązują zasady (i cookie) tych firm - opisują je ich polityki prywatności.

Cookie możesz w każdej chwili usunąć albo zablokować w ustawieniach przeglądarki. Bez cookie sesji nie da się jednak zalogować ani wysłać formularza.

6. Bezpieczeństwo

Połączenie jest szyfrowane (HTTPS), hasła zapisujemy jako skróty, zdjęcia są dostępne tylko przez aplikację, a logowanie można zabezpieczyć drugim etapem. Ograniczamy liczbę prób logowania i zapisujemy zdarzenia bezpieczeństwa. O naruszeniu ochrony danych, które może Ci zagrażać, poinformujemy Cię bez zbędnej zwłoki.

7. Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz wycofania zgody (bez wpływu na to, co działo się przed jej wycofaniem). Większość zrobisz samodzielnie w Ustawieniach: zmienisz dane, pobierzesz eksport (CSV, JSON) i usuniesz konto. W pozostałych sprawach napisz na kontakt@terrabase.pl - odpowiemy w ciągu miesiąca. Przysługuje Ci też skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie założysz konta.