Polityka prywatności SC Haircut

1. Zakres dokumentu

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób przetwarzane są dane użytkowników aplikacji mobilnej SC Haircut („Aplikacja”) oraz serwisu internetowego schaircut.pl („Serwis”; łącznie: „Usługi”). Aplikacja umożliwia w szczególności dołączenie do listy oczekujących, aktywację konta za pomocą kodu zaproszenia, logowanie, zarządzanie profilem, rezerwowanie i odwoływanie wizyt, przeglądanie historii wizyt oraz wystawianie opinii.

Administratorem danych osobowych przetwarzanych w związku z Aplikacją jest Jakub Bandzarewicz (voidgroup.pl), działający na rzecz właściciela Aplikacji — SC Haircut. Z Administratorem można skontaktować się pod adresem jacob@voidx.pl.

2. Jakie dane przetwarzamy i skąd je otrzymujemy

2.1. Konto i logowanie

Logowanie odbywa się przy użyciu konta Google lub Apple. W zależności od wybranego dostawcy i ustawień konta możemy otrzymać:

unikalny identyfikator użytkownika i konta;
adres e-mail, w tym adres pośredniczący udostępniony przez Apple;
imię i nazwisko;
zdjęcie profilowe lub adres zdjęcia profilowego, jeżeli udostępnia je dostawca logowania;
informacje niezbędne do uwierzytelnienia i utrzymania sesji.

Nie otrzymujemy hasła do konta Google ani Apple.

2.2. Profil użytkownika

Przetwarzamy dane zapisane w profilu:

imię i, opcjonalnie, nazwisko;
adres e-mail powiązany z kontem;
opcjonalną nazwę użytkownika na Instagramie;
status konta oraz informację o wykorzystanym kodzie zaproszenia;
daty utworzenia i aktualizacji profilu.

2.3. Lista oczekujących

Jeżeli użytkownik zapisuje się na listę oczekujących, przetwarzamy:

imię lub imię i nazwisko;
adres e-mail;
opcjonalny numer telefonu;
status zgłoszenia i datę jego utworzenia.

2.4. Rezerwacje i historia wizyt

W związku z obsługą wizyt przetwarzamy:

wybraną usługę, termin oraz przypisanego fryzjera;
status wizyty, datę utworzenia rezerwacji oraz historię zmian jej statusu;
datę anulowania i przyczynę anulowania, jeżeli rezerwacja została odwołana;
powiązanie rezerwacji z kontem użytkownika.

2.5. Opinie

Jeżeli użytkownik wystawi opinię, przetwarzamy:

ocenę w skali od 1 do 5;
opcjonalny komentarz;
powiązanie opinii z użytkownikiem, wizytą, usługą i fryzjerem;
datę utworzenia i aktualizacji opinii.

2.6. Dane techniczne i bezpieczeństwo

Podczas komunikacji Aplikacji z usługą backendową mogą być przetwarzane dane techniczne niezbędne do zestawienia połączenia, działania usługi i ochrony przed nadużyciami, takie jak:

adres IP;
data i czas żądania;
informacje o błędach, sesji i uwierzytelnieniu;
podstawowe informacje przekazywane przez urządzenie, system operacyjny lub warstwę sieciową.

Aplikacja nie zawiera własnego systemu analitycznego, reklamowego ani profilowania marketingowego.

2.7. Dane przechowywane na urządzeniu

Na urządzeniu mogą być przechowywane w zabezpieczonej pamięci Aplikacji:

tokeny i informacje sesji logowania;
identyfikator oczekującego kodu zaproszenia;
informacja, czy wyświetlono prośbę o zgodę na powiadomienia;
ustawienia techniczne niezbędne do działania Aplikacji.

3. Dostęp do kalendarza i powiadomienia

3.1. Kalendarz urządzenia

Po wybraniu przez użytkownika funkcji dodania wizyty do kalendarza Aplikacja prosi o systemowe uprawnienie do kalendarza. Aplikacja odczytuje na urządzeniu informacje potrzebne do znalezienia kalendarza, w którym można zapisać wydarzenie, a następnie tworzy wydarzenie zawierające nazwę usługi, termin, lokalizację „SC Haircut” i informację o rezerwacji.

Dane z kalendarza nie są przesyłane przez Aplikację do backendu SC Haircut. Utworzone wydarzenie pozostaje w wybranym kalendarzu do czasu jego usunięcia przez użytkownika. Cofnięcie uprawnienia do kalendarza nie usuwa wcześniej utworzonego wydarzenia.

3.2. Powiadomienia lokalne

Po uzyskaniu zgody systemowej Aplikacja może zaplanować na urządzeniu:

przypomnienie przed wizytą;
przypomnienie o możliwości wystawienia opinii po wizycie.

W obecnej wersji są to powiadomienia lokalne planowane na urządzeniu. Aplikacja nie pobiera tokenu urządzenia do zdalnych powiadomień push i nie przekazuje takiego tokenu do SC Haircut ani do usługi Expo Push.

Zgodę na powiadomienia można cofnąć w ustawieniach systemowych urządzenia.

4. Cele i podstawy prawne przetwarzania

Przetwarzamy dane w następujących celach:

Cel	Zakres danych	Podstawa prawna
Pomiar korzystania z serwisu internetowego i ulepszanie jego treści	anonimowe, zagregowane dane o odsłonach i interakcjach	prawnie uzasadniony interes polegający na analizie działania i ulepszaniu serwisu — art. 6 ust. 1 lit. f RODO
Prowadzenie listy oczekujących i obsługa zaproszeń	dane zgłoszenia, dane kontaktowe, kod zaproszenia	działania na żądanie użytkownika przed zawarciem umowy lub świadczeniem usługi — art. 6 ust. 1 lit. b RODO
Utworzenie konta, logowanie i utrzymanie sesji	dane konta, identyfikatory, dane profilu	wykonanie umowy lub podjęcie działań na żądanie użytkownika — art. 6 ust. 1 lit. b RODO
Rezerwowanie, realizacja i odwoływanie wizyt	dane profilu i rezerwacji	wykonanie umowy — art. 6 ust. 1 lit. b RODO
Obsługa opinii	ocena, komentarz i powiązanie z wizytą	wykonanie funkcji udostępnionej użytkownikowi — art. 6 ust. 1 lit. b RODO oraz prawnie uzasadniony interes polegający na ocenie jakości usług — art. 6 ust. 1 lit. f RODO
Kontakt z użytkownikiem i obsługa jego żądań	dane kontaktowe i treść korespondencji	wykonanie umowy lub prawnie uzasadniony interes polegający na obsłudze użytkowników — art. 6 ust. 1 lit. b lub f RODO
Zapewnienie bezpieczeństwa, przeciwdziałanie nadużyciom i ustalanie, dochodzenie lub obrona roszczeń	dane konta, rezerwacji i dane techniczne	prawnie uzasadniony interes Administratora — art. 6 ust. 1 lit. f RODO
Wykonanie obowiązków wynikających z prawa	dane wymagane przez właściwe przepisy	obowiązek prawny — art. 6 ust. 1 lit. c RODO
Opcjonalny dostęp do kalendarza i wyświetlanie powiadomień	dane przetwarzane lokalnie na urządzeniu	zgoda wyrażona przez nadanie uprawnienia systemowego — art. 6 ust. 1 lit. a RODO, o ile dane osobowe są przetwarzane przez Administratora

Podanie danych wymaganych przy logowaniu, aktywacji konta i rezerwacji jest konieczne do korzystania z odpowiednich funkcji Aplikacji. Numer telefonu na liście oczekujących, nazwisko, nazwa użytkownika na Instagramie, komentarz do opinii, dostęp do kalendarza oraz zgoda na powiadomienia są opcjonalne.

5. Odbiorcy danych

Dostęp do danych może być udzielany wyłącznie w zakresie niezbędnym:

upoważnionym osobom obsługującym SC Haircut i wizyty;
developerowi voidgroup.pl w zakresie utrzymania, bezpieczeństwa i wsparcia technicznego Aplikacji;
Supabase, Inc. — dostawcy hostingu bazy danych, uwierzytelniania i interfejsu backendowego, działającemu w zakresie danych klienta jako podmiot przetwarzający; polityka prywatności Supabase, Data Processing Addendum;
Vercel Inc. — dostawcy hostingu serwisu internetowego i anonimowej analityki internetowej; polityka prywatności Vercel;
Google LLC albo Apple Inc. — zależnie od metody logowania wybranej przez użytkownika; podmioty te przetwarzają dane również zgodnie z własnymi zasadami: polityka prywatności Google, polityka prywatności Apple;
organom publicznym lub innym podmiotom, jeżeli obowiązek udostępnienia danych wynika z prawa.

Nie sprzedajemy danych osobowych i nie udostępniamy ich brokerom danych, sieciom reklamowym ani podmiotom trzecim w celu śledzenia użytkowników.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Korzystanie z usług Supabase, Vercel, Google lub Apple może wiązać się z przetwarzaniem danych poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych, albo z dostępem do danych przez podmioty znajdujące się poza EOG.

Jeżeli jest to wymagane, przekazanie danych odbywa się z wykorzystaniem mechanizmów przewidzianych w rozdziale V RODO, takich jak decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne lub inne właściwe zabezpieczenia. Informacje o stosowanych mechanizmach można uzyskać, kontaktując się z Administratorem.

7. Okres przechowywania danych

Dane przechowujemy nie dłużej, niż jest to potrzebne do celów opisanych w tej Polityce:

dane konta i profilu — przez okres posiadania aktywnego konta; skorzystanie z funkcji usunięcia konta usuwa je z aktywnej bazy Aplikacji;
dane rezerwacji i opinie — przez okres obsługi wizyty, a następnie do upływu okresu niezbędnego do rozliczalności usługi oraz przedawnienia możliwych roszczeń; skorzystanie z funkcji usunięcia konta usuwa powiązane rezerwacje, ich historię oraz opinie z aktywnej bazy Aplikacji;
dane listy oczekujących — do zakończenia obsługi zgłoszenia, wycofania zgłoszenia lub ustania celu listy oczekujących; podczas usuwania konta usuwany jest również wpis listy oczekujących powiązany z tym samym adresem e-mail;
korespondencja — przez czas potrzebny do obsługi sprawy i wykazania sposobu jej załatwienia;
techniczne logi bezpieczeństwa — przez okres ustalony zgodnie z potrzebą zabezpieczenia usługi oraz konfiguracją i zasadami dostawcy infrastruktury;
dane zapisane lokalnie — do wylogowania, usunięcia danych Aplikacji lub jej odinstalowania, zależnie od rodzaju danych;
wpis utworzony w kalendarzu — do czasu jego usunięcia przez użytkownika z kalendarza.

Niezależnie od powyższego określone dane mogą być przechowywane dłużej wyłącznie wtedy, gdy obowiązek taki wynika z prawa albo gdy jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Takie dane nie będą używane do bieżącej obsługi konta.

Usunięcie Aplikacji nie powoduje automatycznego usunięcia konta ani danych zapisanych na serwerze.

8. Prawa użytkownika

Na zasadach określonych w RODO użytkownik ma prawo:

uzyskać dostęp do swoich danych i ich kopię;
sprostować nieprawidłowe dane;
żądać usunięcia danych;
żądać ograniczenia przetwarzania;
otrzymać dane w ustrukturyzowanym, powszechnie używanym formacie i przenieść je do innego administratora, jeżeli spełnione są warunki ustawowe;
wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie;
wycofać zgodę w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania;
wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Żądania dotyczące praw można wysyłać na adres jacob@voidx.pl. Dla ochrony konta możemy poprosić o informacje niezbędne do potwierdzenia tożsamości osoby składającej żądanie.

Informacje o składaniu skarg i aktualne dane kontaktowe organu nadzorczego są dostępne na stronie Urzędu Ochrony Danych Osobowych.

Ważne

9. Usunięcie konta i danych

Zalogowany użytkownik może samodzielnie usunąć konto w Aplikacji, wybierając:

Profil → Prywatność i konto → Zarządzaj kontem → Usuń konto i dane

Po dodatkowym potwierdzeniu operacji konto zostanie trwale usunięte. Usunięte zostaną dane bezpośrednio powiązane z kontem, w tym profil, rezerwacje — także nadchodzące — historia zmian rezerwacji, opinie, logi powiadomień oraz zgłoszenie na listę oczekujących powiązane z tym samym adresem e-mail. Informacja wskazująca użytkownika wykorzystanego kodu zaproszenia zostanie zanonimizowana, natomiast sam kod pozostanie oznaczony jako wykorzystany w celu ochrony przed ponownym użyciem. Aplikacja wyczyści też lokalną sesję, pamięć podręczną oraz zaplanowane przez nią powiadomienia.

Alternatywnie użytkownik może zażądać usunięcia konta, wysyłając wiadomość z adresu e-mail powiązanego z kontem na jacob@voidx.pl z tematem „Usunięcie konta SC Haircut”. Po potwierdzeniu tożsamości usuniemy konto i dane bezpośrednio z nim powiązane, chyba że zachowanie określonych danych będzie wymagane przez prawo lub niezbędne do ustalenia, dochodzenia albo obrony roszczeń. W takim przypadku dane zostaną odizolowane od bieżącego użycia i usunięte po ustaniu podstawy dalszego przetwarzania.

Osoba, która zapisała się wyłącznie na listę oczekujących, może zażądać usunięcia zgłoszenia e-mailem, podając adres użyty podczas zapisu.

Odinstalowanie Aplikacji albo wylogowanie nie jest równoznaczne z usunięciem konta. Cofnięcie dostępu SC Haircut w ustawieniach konta Google lub Apple również nie usuwa automatycznie danych przechowywanych przez Administratora. Usunięcie konta nie usuwa wydarzenia dodanego wcześniej do kalendarza urządzenia — użytkownik może usunąć je samodzielnie w aplikacji kalendarza.

10. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym:

szyfrowanie transmisji danych za pomocą HTTPS/TLS;
przechowywanie sesji logowania w zabezpieczonej pamięci urządzenia;
kontrolę dostępu do danych i reguły ograniczające użytkownikom dostęp do własnych danych;
ograniczanie dostępu personelu i dostawców do zakresu niezbędnego do realizacji ich zadań;
aktualizowanie komponentów Aplikacji i reagowanie na zagrożenia bezpieczeństwa.

Żaden sposób przesyłania ani przechowywania danych nie gwarantuje całkowitego bezpieczeństwa.

11. Analityka, reklamy, śledzenie i pliki cookie

Obecna wersja Aplikacji mobilnej:

nie wyświetla reklam;
nie korzysta z SDK reklamowych ani zewnętrznych narzędzi analitycznych;
nie śledzi aktywności użytkownika w aplikacjach i serwisach innych podmiotów;
nie uzyskuje dostępu do identyfikatora reklamowego urządzenia;
nie wykorzystuje plików cookie do analityki lub reklamy.

Techniczna sesja logowania i tokeny uwierzytelniające są używane wyłącznie do zapewnienia dostępu do konta i funkcji Aplikacji.

Serwis internetowy schaircut.pl korzysta z Vercel Web Analytics. Narzędzie mierzy odsłony stron oraz wybrane interakcje, takie jak kliknięcia odnośników i otwieranie pytań FAQ. Może zapisywać znacznik czasu zdarzenia, adres odwiedzonej strony bez parametrów zapytania, stronę odsyłającą, przybliżoną lokalizację, typ urządzenia, system operacyjny i przeglądarkę.

Dane analityczne są anonimowe i zagregowane. Vercel Web Analytics nie używa plików cookie ani trwałego identyfikatora użytkownika i nie służy do śledzenia osób między różnymi stronami. W zdarzeniach niestandardowych nie przekazujemy imienia, adresu e-mail, numeru telefonu ani innych danych wpisywanych przez użytkownika.

12. Dane, których Aplikacja nie pobiera

Obecna wersja Aplikacji nie żąda dostępu do lokalizacji, aparatu, zdjęć, mikrofonu, kontaktów ani danych zdrowotnych. Aplikacja nie zbiera danych kart płatniczych ani innych danych płatniczych.

13. Dane dzieci

Aplikacja nie jest projektowana jako usługa skierowana specjalnie do dzieci i nie zbiera informacji o wieku. Osoba małoletnia, która zgodnie z obowiązującym prawem nie może samodzielnie zawrzeć umowy dotyczącej wizyty, powinna korzystać z usługi za zgodą lub za pośrednictwem rodzica albo opiekuna prawnego.

Jeżeli rodzic lub opiekun uważa, że dane dziecka są przetwarzane bez odpowiedniej podstawy, może skontaktować się z Administratorem pod adresem jacob@voidx.pl.

14. Zautomatyzowane podejmowanie decyzji i marketing

Dane użytkowników nie są wykorzystywane do podejmowania wobec nich decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały. Nie prowadzimy profilowania reklamowego.

Dane z listy oczekujących i dane konta są wykorzystywane do obsługi dostępu oraz komunikacji dotyczącej usługi, a nie do wysyłania marketingu podmiotów trzecich.

15. Zmiany Polityki prywatności

Polityka może zostać zaktualizowana, w szczególności w razie zmiany funkcji Aplikacji, dostawców usług lub przepisów. Aktualna wersja będzie publikowana pod adresem schaircut.pl/privacy-policy i oznaczona datą ostatniej aktualizacji. O istotnych zmianach możemy poinformować także w Aplikacji lub za pomocą danych kontaktowych użytkownika, jeżeli będzie to wymagane.

16. Kontakt

W sprawach dotyczących prywatności i przetwarzania danych:

E-mail: jacob@voidx.pl
Strona Aplikacji: schaircut.pl
Polityka prywatności: schaircut.pl/privacy-policy
Administrator danych: Jakub Bandzarewicz (voidgroup.pl)
Właściciel Aplikacji: SC Haircut (schaircut.pl)