Polityka prywatności — GatherWishes.com
Data wejścia w życie: 5 lipca 2026 r.
1. Administrator danych
Administratorem Twoich danych osobowych jest:
JPDEV Sp. z o.o.
ul. Główna 85C/1, 55-080 Smolec
KRS 0001161911 · NIP 8961649757 · REGON 541182628
kapitał zakładowy 200 000 zł
strona firmowa: https://jpdev.pl
Kontakt we wszystkich sprawach dotyczących danych osobowych: privacy@gatherwishes.com (można też pisać na adres siedziby).
Polityka dotyczy serwisu gatherwishes.com — platformy grupowych kartek okolicznościowych z opcjonalnymi bonami podarunkowymi. O cookies i pamięci przeglądarki przeczytasz w osobnej Polityce cookies.
2. Kogo dotyczy ta polityka i skąd mamy dane
2.1 Organizator / posiadacz konta / kupujący
Osoba, która zakłada konto, tworzy kartkę lub kupuje usługę płatną (kartka premium, bon, druk). Dane podajesz nam sam(a): adres e-mail, hasło (przechowywane wyłącznie jako nieodwracalny skrót), język, dane kartek, a przy zakupach — dane płatności i dane do faktury.
2.2 Podpisujący (bez konta)
Osoba, która dodaje wpis do kartki przez link — bez rejestracji. Dane podajesz sam(a) w formularzu podpisu: imię/podpis, treść życzeń, opcjonalnie zdjęcie lub GIF oraz opcjonalnie adres e-mail — wyłącznie po to, aby odbiorca kartki mógł Ci później wysłać podziękowanie.
2.3 Odbiorca kartki
Osoba, dla której kartka jest przeznaczona. Twoje dane (imię oraz adres e-mail) otrzymaliśmy od organizatora kartki — osoby, która przygotowała ją dla Ciebie (art. 14 RODO). Przetwarzamy je wyłącznie po to, żeby doręczyć Ci kartkę (i ewentualny bon), umożliwić Ci wysłanie podziękowań oraz poinformować organizatora, że kartka do Ciebie dotarła. Nie wykorzystujemy Twojego adresu do żadnych innych celów, w szczególności marketingowych.
2.4 Osoby widoczne w treściach
Życzenia i zdjęcia dodawane przez użytkowników mogą przedstawiać osoby trzecie. Za zgodność takiej publikacji z prawem odpowiada osoba zamieszczająca treść (regulamin, § 10); zgłoszenia naruszeń: legal@gatherwishes.com.
2.5 Pracownicy klienta biznesowego (subskrypcja B2B)
Jeżeli Serwis jest wykorzystywany w ramach firmowej subskrypcji B2B, pracodawca (Klient biznesowy) może wprowadzić do Serwisu dane osób docenianych — np. kalendarz okazji: imiona i nazwiska, opcjonalnie służbowe adresy e-mail, daty (urodziny, rocznice pracy) oraz historię docenień wykorzystywaną do funkcji wspierających (m.in. przypomnienia o osobach dawno niedocenionych oraz budżety opiekunów/menedżerów). Osoby te zwykle nie są użytkownikami Serwisu.
W odniesieniu do tych danych administratorem jest pracodawca (Klient biznesowy), a JPDEV działa jako podmiot przetwarzający (art. 28 RODO) — przetwarzamy je wyłącznie na udokumentowane polecenie Klienta, w celu świadczenia mu usługi. Podstawę prawną i zasady przetwarzania Twoich danych określa informacja/polityka Twojego pracodawcy; wnioski o dostęp, sprostowanie czy usunięcie kieruj w pierwszej kolejności do pracodawcy jako administratora. Po naszej stronie korzystamy z tych samych podwykonawców co dla reszty Serwisu (pkt 4), a jeżeli Klient włączy integrację — z powiadomień w Slack lub Microsoft Teams.
> ⚖️ DO WERYFIKACJI PRAWNEJ: formalna umowa powierzenia przetwarzania (DPA) między JPDEV a Klientem biznesowym oraz dokładny podział ról administrator/procesor są odrębnym, otwartym zadaniem (#203) wymagającym zatwierdzenia przez radcę prawnego. Adnotacja redakcyjna do usunięcia po weryfikacji.
3. Cele i podstawy prawne przetwarzania (art. 6 RODO)
| Proces | Dane | Podstawa prawna |
|---|---|---|
| Konto organizatora (rejestracja, logowanie, ustawienia) | e-mail, skrót hasła, język, historia kartek | art. 6 ust. 1 lit. b — umowa o usługę świadczoną drogą elektroniczną |
| Tworzenie i podpisywanie kartek | treść kartki, wpisy, zdjęcia, GIF-y, dane podpisujących | art. 6 ust. 1 lit. b — usługa świadczona na Twoje żądanie (także bezpłatna) |
| Dostarczenie kartki odbiorcy | imię i e-mail odbiorcy (od organizatora) | art. 6 ust. 1 lit. f — prawnie uzasadniony interes nasz oraz organizatora i podpisujących: doręczenie kartki jej adresatowi |
| Informacja „kartka została otwarta" dla organizatora | fakt i czas pierwszego otwarcia kartki przez odbiorcę, licznik otwarć | art. 6 ust. 1 lit. f — poinformowanie organizatora, że kartka dotarła; podgląd własny organizatora nie jest zliczany; przysługuje Ci sprzeciw (pkt 8) |
| Pętla podziękowań (odbiorca → podpisujący) | opcjonalny e-mail podpisującego | art. 6 ust. 1 lit. b/f — e-mail podany dobrowolnie właśnie w tym celu |
| Płatności (kartka premium, bony, druk) | dane transakcji; dane karty przetwarza wyłącznie Stripe | art. 6 ust. 1 lit. b — wykonanie umowy |
| Faktury, księgowość, KSeF | dane do faktury (imię/nazwa, adres, NIP, e-mail) | art. 6 ust. 1 lit. c — obowiązek prawny (przepisy podatkowe i rachunkowe) |
| Autouzupełnianie danych firmy po NIP | NIP przekazany do rejestru GUS (BIR) | art. 6 ust. 1 lit. b/f — ułatwienie poprawnego wystawienia faktury |
| Bony podarunkowe | metadane zakupu; kod bonu przechowywany zaszyfrowany i udostępniany wyłącznie odbiorcy przy dostawie | art. 6 ust. 1 lit. b — wykonanie umowy |
| Druk premium i wysyłka | dane zamówienia i doręczenia (InPost) | art. 6 ust. 1 lit. b |
| Moderacja treści, zapobieganie nadużyciom | zgłoszone/weryfikowane treści, dane techniczne | art. 6 ust. 1 lit. f — bezpieczeństwo serwisu i jego użytkowników; obowiązki dostawcy hostingu (DSA) |
| Bezpieczeństwo (logi, dziennik zdarzeń, ochrona sesji) | dane techniczne, zapisy działań na kontach | art. 6 ust. 1 lit. f — bezpieczeństwo sieci i informacji |
| Reklamacje, korespondencja | dane ze zgłoszenia | art. 6 ust. 1 lit. b/c/f |
| Newsletter i marketing | obecnie nie prowadzimy wysyłek marketingowych; jeśli je uruchomimy — wyłącznie za Twoją zgodą (art. 6 ust. 1 lit. a), którą będzie można w każdej chwili wycofać |
Podanie danych jest dobrowolne, ale niezbędne do skorzystania z danej funkcji (np. bez e-maila odbiorcy nie doręczymy kartki). Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne, i nie profilujemy Cię w celach marketingowych.
4. Odbiorcy danych
Dane powierzamy lub udostępniamy wyłącznie w zakresie niezbędnym do działania serwisu:
| Podmiot | Rola | Po co |
|---|---|---|
| Hetzner Online GmbH (Niemcy/Finlandia) | podmiot przetwarzający | hosting serwisu i bazy danych — wyłącznie w EOG |
| dostawca poczty (SMTP) / Cloudflare | podmiot przetwarzający | wysyłka e-maili serwisowych (dostawa kartki, powiadomienia, reset hasła) i obsługa domeny |
| Stripe (Stripe Payments Europe Ltd.) | odrębny administrator | obsługa płatności; nie mamy dostępu do pełnych danych Twojej karty (polityka: stripe.com/privacy) |
| Multivoucher | dostawca bonów | nabycie bonu wybranego oferenta dla kupującego |
| GUS (rejestr BIR) | odrębny administrator (rejestr publiczny) | pobranie danych firmy po podanym NIP do faktury |
| KSeF (Ministerstwo Finansów) | odrębny administrator | przekazanie faktur zgodnie z obowiązkiem prawnym |
| KLIPY | dostawca treści (GIF-y) | wyszukiwanie GIF-ów odbywa się przez nasz serwer — KLIPY nie otrzymuje Twojego adresu IP ani danych urządzenia, jedynie frazę wyszukiwania |
| Slack Technologies (Salesforce) / Microsoft (Teams) | odbiorca / podwykonawca — tylko gdy Klient B2B włączy integrację | wysyłka powiadomień o kartkach na wskazany kanał firmowy (m.in. imię odbiorcy, wezwanie do podpisu, podsumowanie dostawy) przez webhook skonfigurowany przez Klienta |
| dostawcy usług AI (planowane) | podmioty przetwarzające | jeśli uruchomimy wspomaganą AI moderację lub generowanie treści, zaktualizujemy tę politykę zanim to nastąpi; dane będą minimalizowane, a dostawcy zobowiązani umową do niewykorzystywania ich do trenowania modeli |
Ponadto dane mogą być udostępnione podmiotom uprawnionym na podstawie przepisów prawa (np. sądy, organy podatkowe) oraz — w niezbędnym zakresie — doradcom prawnym i księgowym administratora.
5. Przekazywanie danych poza EOG
Serwis jest utrzymywany na serwerach w Unii Europejskiej (Hetzner). Niektórzy dostawcy (Stripe, Cloudflare, a przy włączonej przez Klienta B2B integracji — Slack/Microsoft) mogą przetwarzać część danych w USA. Podstawą takiego przekazania jest decyzja Komisji Europejskiej w sprawie ram ochrony danych EU–U.S. Data Privacy Framework (dla podmiotów certyfikowanych), a uzupełniająco standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską wraz z dodatkowymi środkami ochrony. Kopię odpowiednich zabezpieczeń możesz uzyskać pisząc na privacy@gatherwishes.com.
6. Okresy przechowywania
| Dane | Okres |
|---|---|
| Konto organizatora | do usunięcia konta (możesz to zrobić samodzielnie w ustawieniach) |
| Kartki, wpisy, zdjęcia | przez czas utrzymywania kartki w serwisie; organizator może usunąć kartkę w każdej chwili; usunięcie konta usuwa lub anonimizuje kartki |
| Dane odbiorcy (imię, e-mail) | do czasu doręczenia kartki i obsługi powiadomień z nią związanych, następnie razem z kartką |
| Kody bonów | do dostarczenia odbiorcy i upływu okresu reklamacyjnego; kod przechowujemy wyłącznie w postaci zaszyfrowanej |
| Faktury i dane księgowe | 5 lat od końca roku podatkowego, w którym powstał obowiązek podatkowy (przepisy rachunkowe i podatkowe) — dlatego przy usunięciu konta z zakupami dane są anonimizowane, a nie kasowane w części objętej tym obowiązkiem |
| Dziennik zdarzeń bezpieczeństwa | do 24 miesięcy; przy usunięciu konta wpisy są pozbawiane danych identyfikujących |
| Logi techniczne serwerów | do 90 dni |
| Korespondencja i reklamacje | do przedawnienia ewentualnych roszczeń |
7. Twoje prawa
Przysługuje Ci prawo: dostępu do danych i uzyskania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (co do danych przetwarzanych na podstawie umowy) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (pkt 8).
Jak skorzystać:
- Posiadacze kont — samodzielnie, od ręki: w ustawieniach konta pobierzesz pełny eksport swoich danych (JSON) oraz usuniesz konto. Jeżeli masz opłacone zakupy, dane objęte obowiązkiem księgowym zostaną zanonimizowane (pkt 6), a cała reszta — w tym kartki, wpisy, zdjęcia, bony i zamówienia — trwale usunięta; anulujemy też zaplanowane wysyłki kartek.
- Podpisujący bez konta: swój wpis możesz edytować lub usunąć z przeglądarki, z której go dodałeś/aś (przechowuje ona Twój klucz edycji); w pozostałych sprawach napisz na privacy@gatherwishes.com.
- Odbiorcy i wszystkie pozostałe osoby: napisz na privacy@gatherwishes.com — odpowiadamy najpóźniej w ciągu miesiąca; możemy poprosić o potwierdzenie tożsamości (np. wiadomość z adresu e-mail, którego dotyczy wniosek).
Pamiętaj, że usunięcie wpisów podpisujących zależy także od losu kartki, na której się znajdują — organizator może ją usunąć w całości.
8. Prawo sprzeciwu (art. 21 RODO)
Wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f) — w szczególności wobec odnotowywania otwarcia kartki i informowania o nim organizatora — możesz w każdej chwili wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją: napisz na privacy@gatherwishes.com. Po otrzymaniu sprzeciwu zaprzestaniemy przetwarzania, chyba że wykażemy ważne, prawnie uzasadnione podstawy nadrzędne wobec Twoich praw albo dane będą niezbędne do obrony roszczeń.
9. Bezpieczeństwo
Stosujemy m.in.: szyfrowanie transmisji (TLS), sesje logowania niedostępne dla skryptów strony (httpOnly), ochronę przed CSRF, przechowywanie haseł wyłącznie w postaci skrótu, szyfrowanie kodów bonów (AES-256-GCM), natychmiastową rewokację sesji po zmianie hasła, dziennik zdarzeń bezpieczeństwa, kopie zapasowe w EOG oraz zasadę minimalizacji (np. drafty w kreatorze celowo nie zapisują adresów e-mail w przeglądarce). Kartki są dostępne wyłącznie przez nieodgadywalne linki i nie są indeksowane publicznie.
10. Skarga do organu nadzorczego
Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl), jeżeli uznasz, że przetwarzanie Twoich danych narusza przepisy. Będzie nam jednak miło, jeśli najpierw napiszesz do nas — większość spraw rozwiązujemy od ręki.
11. Zmiany polityki
O istotnych zmianach poinformujemy w serwisie, a posiadaczy kont także e-mailem, z wyprzedzeniem. Aktualna wersja z datą wejścia w życie jest zawsze dostępna w serwisie. Jeżeli uruchomimy nowe procesy przetwarzania (np. funkcje AI, newsletter), zaktualizujemy politykę przed ich startem.
12. Kontakt
privacy@gatherwishes.com · JPDEV Sp. z o.o., ul. Główna 85C/1, 55-080 Smolec.
Dokumenty powiązane: Regulamin, Polityka cookies, Polityka zwrotów.