Polityka prywatności

Administratorem Twoich danych osobowych jest:

Marcin Trzeciak OT działający pod marką „Oaza Tatry” ul. Króle 43, 34-500 Zakopane NIP: 7361674321 Telefon: +48 608 470 607 E-mail: noclegi@oazatatry.pl

(dalej: „Administrator” lub „ADO”).

Administrator nie wyznaczył Inspektora Ochrony Danych — obowiązek wyznaczenia nie dotyczy podmiotów jego skali działalności (art. 37 RODO). We wszystkich sprawach związanych z ochroną danych osobowych możesz skontaktować się bezpośrednio z Administratorem pod adresem e-mail wskazanym powyżej.

W zależności od sposobu korzystania z Serwisu przetwarzamy następujące kategorie danych:

a) Dane podane przy rezerwacji: imię i nazwisko, adres e-mail, numer telefonu, daty pobytu, liczba gości, wybrane opcje pobytu, treść wiadomości wpisanych w polu „Uwagi i życzenia”.

b) Dane do faktury (na żądanie): nazwa firmy, NIP, adres siedziby.

c) Dane konta: adres e-mail (uwierzytelnianie magic link lub Google OAuth), data założenia konta, historia rezerwacji.

d) Dane płatności: potwierdzenie transakcji, kwota, data, identyfikator płatności Stripe. Administrator nie przechowuje numerów kart płatniczych ani pełnych danych karty — są one przetwarzane wyłącznie przez operatora płatności (Stripe).

e) Dane techniczne: adres IP (przechowywany w logach serwera przez 30 dni), typ przeglądarki, język systemu — przetwarzane wyłącznie w celu zapewnienia bezpieczeństwa i stabilności Serwisu.

Administrator nie zbiera danych szczególnych kategorii (danych wrażliwych) w rozumieniu art. 9 RODO. Jeśli w polu „Uwagi i życzenia” podajesz informacje o stanie zdrowia lub innych szczególnych potrzebach — czynisz to z własnej inicjatywy i wyłącznie w celu realizacji Twojego pobytu.

Twoje dane przetwarzamy w następujących celach i na następujących podstawach prawnych:

a) Zawarcie i wykonanie umowy najmu krótkoterminowego (art. 6 ust. 1 lit. b RODO) — obejmuje to przyjęcie rezerwacji, pobranie płatności, przesłanie potwierdzenia i dokumentu rozliczeniowego (rachunek), komunikację w trakcie pobytu oraz rozpatrzenie reklamacji.

b) Wypełnienie obowiązku prawnego (art. 6 ust. 1 lit. c RODO) — przechowywanie dokumentacji podatkowej przez okres wymagany przez przepisy podatkowe (ustawa o podatku dochodowym od osób fizycznych, ustawa o rachunkowości).

c) Prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) — zapewnienie bezpieczeństwa Serwisu, ochrona przed nadużyciami, dochodzenie lub obrona roszczeń.

d) Twoja zgoda (art. 6 ust. 1 lit. a RODO) — wyłącznie w przypadku, gdy dobrowolnie zapiszesz się do newslettera lub wyrażasz zgodę na kontakt marketingowy. Zgoda jest dobrowolna i możesz ją cofnąć w każdej chwili, bez wpływu na realizację umowy.

e) Obsługa zapytań o dostępność terminu (art. 6 ust. 1 lit. b RODO) — gdy wysyłasz zapytanie o termin bez płatności, Twoje dane przetwarzamy w celu sprawdzenia dostępności i ewentualnego przygotowania rezerwacji; są to czynności podejmowane przed zawarciem umowy na Twoje żądanie.

a) Dane rezerwacji i dokumenty rozliczeniowe (rachunki, faktury): 5 lat od końca roku, w którym nastąpiło rozliczenie — zgodnie z art. 70 § 1 Ordynacji podatkowej.

b) Dane konta gościa: do momentu usunięcia konta na żądanie użytkownika lub przez upływ 3 lat od ostatniego logowania (automatyczna anonimizacja danych nieaktywnych kont).

c) Logi techniczne: 30 dni od ich wygenerowania.

d) Dane marketingowe (newsletter): do cofnięcia zgody lub do wypisania się z listy.

e) Dane z niezrealizowanych zapytań o termin: do 30 dni po wygaśnięciu wstępnej blokady terminu, a następnie usunięcie lub anonimizacja (dane te nie podlegają 5-letniemu okresowi przechowywania dokumentacji rozliczeniowej, ponieważ nie doszło do zawarcia umowy ani rozliczenia).

Twoje dane mogą być udostępniane następującym podmiotom:

a) Supabase Inc. — dostawca infrastruktury bazodanowej i uwierzytelniania. Dane przechowywane w centrum danych w Niemczech (Frankfurt, UE). Umowa powierzenia przetwarzania danych (DPA) zawarta z Supabase Inc. Przetwarzanie w granicach Europejskiego Obszaru Gospodarczego.

b) Stripe Payments Europe, Ltd. (Irlandia) — operator płatności kartowych, BLIK i Przelewy24. Stripe może przekazywać dane do Stripe, Inc. (USA) w ramach Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

c) Resend, Inc. (USA) — dostawca usługi dostarczania wiadomości e-mail (potwierdzenia rezerwacji, rachunki). Transfer do USA na podstawie SCC.

d) Statystyki ruchu prowadzimy we własnym systemie analitycznym opartym na infrastrukturze Supabase (Frankfurt, Niemcy, UE). System rejestruje wyłącznie zanonimizowane zdarzenia (typ strony/akcji, znacznik czasu) — bez adresu IP, bez plików cookies, bez identyfikatorów użytkownika. Dane nie są przekazywane podmiotom trzecim.

e) Telegram Messenger Inc. (USA) — komunikator wykorzystywany do natychmiastowych powiadomień gospodarza o nowych rezerwacjach i zapytaniach o termin. Gospodarzowi przekazywane są dane niezbędne do obsługi rezerwacji lub zapytania (m.in. imię i nazwisko oraz adres e-mail gościa, numer i termin rezerwacji). Transfer do USA na podstawie Standardowych Klauzul Umownych (SCC).

f) POLCERN sp. z o.o. (operator systemu RoomAdmin) - dostawca systemu rezerwacji online RoomAdmin - oraz PayPro S.A. z siedzibą w Poznaniu, operator systemu płatności Przelewy24 (krajowa instytucja płatnicza nadzorowana przez Komisję Nadzoru Finansowego, KNF), jako operator płatności. Podmioty te uczestniczą w przetwarzaniu danych wyłącznie wtedy, gdy rezerwacja realizowana jest w trybie Channel Manager. W tym trybie proces rezerwacji i płatności odbywa się w oknie (widgecie) dostarczanym przez RoomAdmin i osadzonym na naszej stronie, w którym samodzielnie podajesz swoje dane (w szczególności: imię i nazwisko, adres e-mail, numer telefonu oraz termin i szczegóły pobytu) i dokonujesz płatności za pośrednictwem systemu Przelewy24. Nasza aplikacja nie pośredniczy w przekazywaniu danych płatniczych - dane karty podajesz bezpośrednio operatorowi płatności. Dane, które wprowadzasz w widgecie, są przetwarzane przez POLCERN sp. z o.o. oraz PayPro S.A. zgodnie z ich własnymi zasadami przetwarzania danych. PayPro S.A. przetwarza dane płatnicze jako niezależny administrator, w związku z realizacją płatności i ciążącymi na nim obowiązkami prawnymi - szczegółowe informacje znajdziesz w Polityce prywatności Przelewy24 pod adresem https://www.przelewy24.pl/polityka-prywatnosci. Szczegółowe zasady przetwarzania danych oraz plików cookies stosowane przez operatora systemu RoomAdmin są prezentowane w oknie rezerwacyjnym i udostępniane na żądanie bezpośrednio przez POLCERN sp. z o.o. Oba podmioty mają siedzibę na terytorium Rzeczypospolitej Polskiej (Europejski Obszar Gospodarczy).

Administrator nie sprzedaje ani nie udostępnia Twoich danych osobowych innym podmiotom w celach marketingowych.

Co do zasady Twoje dane przetwarzane są w granicach Europejskiego Obszaru Gospodarczego (EOG). Wyjątki dotyczą:

a) Stripe, Inc. (USA) — transfer na podstawie Standardowych Klauzul Umownych (SCC), decyzja wykonawcza Komisji (UE) 2021/914, b) Resend, Inc. (USA) — transfer na podstawie SCC, c) Telegram Messenger Inc. (USA) — transfer na podstawie SCC.

W obu przypadkach podmioty te zapewniają odpowiedni poziom ochrony danych, a przekazywanie danych ograniczone jest do minimum niezbędnego do świadczenia usług.

Na podstawie RODO przysługują Ci następujące prawa:

a) Prawo dostępu (art. 15 RODO) — możesz żądać informacji o tym, czy i jakie dane na Twój temat przetwarzamy.

b) Prawo do sprostowania (art. 16 RODO) — możesz żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.

c) Prawo do usunięcia danych (art. 17 RODO) — możesz żądać usunięcia danych, gdy nie są już niezbędne do celów, dla których zostały zebrane, lub gdy cofniesz zgodę (jeśli przetwarzanie opierało się wyłącznie na zgodzie). Prawo to nie ma zastosowania, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego lub ustalenia/dochodzenia/obrony roszczeń.

d) Prawo do ograniczenia przetwarzania (art. 18 RODO) — możesz żądać ograniczenia przetwarzania w przypadkach określonych w art. 18 RODO.

e) Prawo do przenoszenia danych (art. 20 RODO) — możesz otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.

f) Prawo do sprzeciwu (art. 21 RODO) — możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie Administratora.

g) Prawo do cofnięcia zgody — w zakresie, w jakim przetwarzanie opiera się na Twojej zgodzie, możesz ją cofnąć w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed cofnięciem.

Aby skorzystać z powyższych praw, skontaktuj się z Administratorem na adres: noclegi@oazatatry.pl. Żądanie zostanie rozpatrzone w ciągu miesiąca od jego otrzymania (art. 12 ust. 3 RODO).

Jeżeli uważasz, że przetwarzanie Twoich danych osobowych narusza przepisy RODO, masz prawo wniesienia skargi do organu nadzorczego:

Prezes Urzędu Ochrony Danych Osobowych (UODO) ul. Stawki 2, 00-193 Warszawa www.uodo.gov.pl e-mail: kancelaria@uodo.gov.pl

Serwis oazatatry.pl stosuje następujące pliki cookies:

**Niezbędne (zawsze aktywne, brak wymogu zgody):** a) Cookies sesyjne Supabase Auth — niezbędne do utrzymania sesji zalogowanego użytkownika (art. 5 ust. 3 Dyrektywy 2002/58/WE, art. 173 Prawa telekomunikacyjnego). b) Cookie next-intl locale — przechowuje wybrany język interfejsu (pl/en). Cookie techniczne. c) localStorage ot_cookie_consent — przechowuje Twoją decyzję w sprawie cookies analitycznych. Nie jest to cookie — dane nie są przesyłane do serwera.

**Analityczne (aktywowane wyłącznie po wyrażeniu zgody):** d) Hotjar — narzędzie analizy zachowań użytkowników (mapy cieplne, nagrania sesji). Hotjar, Inc. (Irlandia). Cookies: _hjSession*, hjSessionUser*, _hjClosedSurveyInvites. Czas przechowywania: do 365 dni. Dane mogą być przetwarzane poza EOG na podstawie SCC. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda).

Statystyki ruchu prowadzimy we własnym systemie analitycznym (bez cookies, bez danych osobowych). System działa wyłącznie na serwerach Administratora (Supabase, Frankfurt, UE) i nie przekazuje żadnych danych podmiotom zewnętrznym.

Możesz zmienić zgodę w każdej chwili — wyczyść pamięć lokalną przeglądarki lub napisz na noclegi@oazatatry.pl.

Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie wpływały na Twoją sytuację (art. 22 RODO).

Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki prywatności w związku ze zmianami w obowiązujących przepisach lub sposobie działania Serwisu. O istotnych zmianach użytkownicy posiadający konta poinformowani zostaną drogą e-mail z co najmniej 14-dniowym wyprzedzeniem. Aktualna wersja Polityki jest zawsze dostępna pod adresem oazatatry.pl/polityka-prywatnosci wraz z datą ostatniej aktualizacji.