Polityka prywatności
Ostatnia aktualizacja: 7 maja 2026
1. Wstęp
Niniejszy dokument realizuje obowiązek informacyjny wynikający z art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) i opisuje, w jaki sposób serwis invitka (dalej: Serwis) przetwarza dane osobowe swoich Użytkowników. Zasady korzystania z Serwisu określa Regulamin; w tej Polityce używamy pojęć zdefiniowanych w Regulaminie (Organizator, Rodzic, Partner, Konto, Treści użytkownika, Karta AI).
2. Administrator danych
Administratorem Twoich danych osobowych jest CodeSense Dariusz Farkas, ul. Kwiatowa 20, 55-114 Wisznia Mała, NIP 8321998288, REGON 101628720 (dalej: Administrator).
Kontakt w sprawach ochrony danych: kontakt@invitka.pl.
Administrator nie wyznaczył inspektora ochrony danych (IOD), ponieważ nie jest to wymagane w świetle art. 37 RODO — działalność nie obejmuje przetwarzania szczególnych kategorii danych na dużą skalę ani regularnego monitorowania osób na dużą skalę.
3. Jakie dane zbieramy
Zbieramy wyłącznie dane niezbędne do świadczenia usługi. Zakres danych zależy od roli Użytkownika i wybranych funkcji:
3.1. Dane uwierzytelniania (Użytkownicy zalogowani)
- adres e-mail — używany do logowania poprzez link logowania (magic link);
- wewnętrzny identyfikator użytkownika (UUID) przypisywany przez Supabase Auth;
- dane próby logowania (tabela
login_attempts): identyfikator próby, status, znacznik czasu, adres IP urządzenia żądającego zatwierdzenia — w celu obsługi bezpiecznego przepływu zatwierdzania logowania między urządzeniami; - znaczniki czasu logowania i ostatniej aktywności.
3.2. Dane Organizatora i imprezy
- imię dziecka (lub opiekuna, jeśli impreza nie dotyczy dziecka);
- data i godzina imprezy, miejsce (adres lub opcjonalnie wybrana sala zabaw);
- imię Organizatora, opis i ustawienia imprezy;
- opcjonalnie przesłana lub wygenerowana grafika Zaproszenia (w tym zdjęcie dziecka, jeśli Organizator zdecyduje się je zamieścić);
- adresy e-mail zapraszanych Rodziców (jeśli Organizator wysyła Zaproszenia e-mailem);
- parametry generowania Karty AI (prompt, styl, kolorystyka) — służące do przekazania modelowi AI (zob. §6 — dostawca modelu).
3.3. Dane Rodzica (Gościa)
- imię i nazwisko wpisane w formularzu RSVP;
- adres e-mail (wymagany, służy m.in. do wysyłki linku odzyskania tożsamości);
- treść komentarza dołączonego do RSVP (w tym — obowiązkowo — uzasadnienie w razie odmowy);
- informacja o udziale we wspólnej zrzutce na prezent;
- identyfikator uczestnika oraz token opuszczenia zrzutki (przechowywany w cookie po stronie przeglądarki).
3.4. Wiadomości czatu imprezowego
- treść wiadomości wysyłanych w obrębie czatu danej imprezy;
- identyfikator autora, znacznik czasu, status moderacji (np. zgłoszona, zablokowana);
- wiadomości przechowujemy do chwili usunięcia imprezy albo do chwili usunięcia wiadomości przez autora lub Administratora w wyniku moderacji.
3.5. Dane Partnerów (operatorów sal zabaw)
- dane rejestracyjne firmy: nazwa, adres, numer NIP, opcjonalnie wskazanie pozycji katalogowej oraz wiadomość do Administratora;
- odpowiedź z rejestru REGON (usługa GUS API) zapisana w kolumnie
gus_responsew formacie JSON — zawiera dane publiczne dostępne w rejestrze; - adres IP zgłaszającego rejestrację (na potrzeby limitu żądań i zapobiegania nadużyciom);
- komunikacja administracyjna (wiadomości decyzji, prośby o uzupełnienie danych, blokady).
3.6. Dane katalogowe sal z publicznych źródeł
- nazwa sali, miasto, adres, opis, adres strony internetowej, publiczny adres e-mail, numer telefonu, link do mapy, ocena, liczba opinii oraz publicznie dostępne zdjęcia lub linki do zdjęć;
- źródła danych: publicznie dostępne strony internetowe sal, mapy internetowe, publiczne katalogi, rejestry lub informacje przekazane Administratorowi;
- w przypadku osób prawnych dane dotyczące firmy co do zasady nie stanowią danych osobowych, ale dane osoby fizycznej prowadzącej działalność gospodarczą, reprezentanta albo imienny adres e-mail lub telefon mogą być danymi osobowymi.
3.7. Zgłoszenia dotyczące Partnerów i katalogu sal
- treść zgłoszenia, kategoria naruszenia, dane kontaktowe zgłaszającego;
- adres IP zgłaszającego, znacznik czasu — na potrzeby ograniczenia liczby zgłoszeń i przeciwdziałania nadużyciom.
3.8. Dane techniczne
- adres IP i identyfikator sesji HTTP;
- podstawowe dane przeglądarki (user-agent, akceptowane języki) w logach serwera i dostawców infrastruktury;
- dane diagnostyczne (kody błędów, ślady wykonania) — w przypadku awarii.
4. Cele i podstawy prawne przetwarzania
| Cel przetwarzania | Podstawa prawna |
|---|---|
| Świadczenie usługi (zakładanie Konta, tworzenie imprezy, RSVP, pomysły prezentów, wysyłka Zaproszeń, czat imprezowy, rejestracja i prezentacja profilu Partnera) | art. 6 ust. 1 lit. b RODO — wykonanie umowy o świadczenie usług drogą elektroniczną |
| Wysyłka wiadomości odzyskania tożsamości gościa (identity-recovery) umożliwiającej powiązanie RSVP z Użytkownikiem na innym urządzeniu | art. 6 ust. 1 lit. b RODO (funkcja niezbędna do korzystania z imprezy) oraz art. 6 ust. 1 lit. f RODO (interes Administratora polegający na zapobieganiu utracie dostępu) |
| Generowanie Kart AI na wyraźne polecenie Organizatora (przekazanie promptu do zewnętrznego modelu AI) | art. 6 ust. 1 lit. b RODO — wykonanie umowy w zakresie funkcji wybranej przez Organizatora |
| Bezpieczeństwo, zapobieganie nadużyciom, ograniczanie liczby żądań (rate limiting), wykrywanie i reagowanie na incydenty | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora w zapewnieniu bezpieczeństwa Serwisu |
| Moderacja treści i rozpatrywanie zgłoszeń (notice-and-action zgodnie z DSA) | art. 6 ust. 1 lit. c RODO (wypełnienie obowiązku prawnego — DSA, ustawa o świadczeniu usług drogą elektroniczną) oraz art. 6 ust. 1 lit. f RODO |
| Weryfikacja tożsamości Partnera — pozyskanie danych z rejestru REGON, przechowywanie wyniku GUS, decyzja administratora | art. 6 ust. 1 lit. b RODO (zawarcie umowy z Partnerem) oraz art. 6 ust. 1 lit. f RODO (interes w weryfikacji wiarygodności kontrahenta) |
| Prowadzenie katalogu sal, w tym prezentacja propozycji katalogowych pochodzących z publicznie dostępnych źródeł oraz obsługa aktualizacji, przejęcia profilu, sprzeciwu lub usunięcia danych | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na prowadzeniu użytecznego katalogu miejsc organizacji imprez oraz zapewnieniu aktualności i bezpieczeństwa katalogu |
| Obsługa reklamacji, sprzeciwów moderacyjnych i korespondencji | art. 6 ust. 1 lit. b i c RODO (wykonanie umowy, obowiązek prawny wynikający z ustawy o prawach konsumenta) |
| Obrona przed roszczeniami i dochodzenie roszczeń | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes |
| Spełnianie obowiązków prawnych (odpowiedź na wezwania organów, retencja danych w zakresie wymaganym prawem) | art. 6 ust. 1 lit. c RODO |
Jeżeli w przyszłości wprowadzimy cele przetwarzania oparte na zgodzie(np. wysyłka newslettera marketingowego, analityka), będziemy o nie każdorazowo prosić przed rozpoczęciem przetwarzania, a zgodę będzie można wycofać w każdej chwili z taką samą łatwością, z jaką została udzielona.
5. Okres przechowywania danych
- Dane imprezy — przechowywane do czasu usunięcia imprezy przez Organizatora. Usunięcie imprezy w panelu zarządzającym powoduje trwałe i nieodwracalne usunięcie wszystkich danych z nią związanych (RSVP, propozycji i pomysłów na prezenty, wiadomości czatu, wygenerowanych Kart AI, wysłanych Zaproszeń).
- Konto Użytkownika — przechowywane do czasu usunięcia Konta przez Użytkownika lub przez Administratora zgodnie z §13 Regulaminu.
- Dane Partnera — przechowywane przez okres aktywności profilu, a po wygaszeniu programu partnerskiego — do 3 lat w celu obrony przed ewentualnymi roszczeniami oraz wypełnienia obowiązków prawnych.
- Dane katalogowe sal z publicznych źródeł — przechowywane przez okres publikacji danej pozycji w katalogu albo do czasu skutecznego sprzeciwu, usunięcia danych, zastąpienia ich profilem Partnera lub stwierdzenia, że dane są nieaktualne albo nie powinny być dalej publikowane.
- Zgłoszenia naruszeń — przechowywane przez okres niezbędny do ich rozpatrzenia oraz ewentualnego postępowania spornego, nie dłużej niż 3 lata od rozpatrzenia.
- Logi techniczne (serwer, firewall, diagnostyka) — maksymalnie 12 miesięcy, następnie usuwane lub anonimizowane. Logi bezpieczeństwa (próby ataku, nadużycia) — do 24 miesięcy w uzasadnionym interesie Administratora.
- Dane rozliczeniowe i korespondencja reklamacyjna — przez okres wymagany przepisami prawa (m.in. podatkowymi) lub do upływu terminu przedawnienia roszczeń, nie dłużej jednak niż 6 lat.
- Dane zanonimizowane / zagregowane (statystyki, z których nie da się zidentyfikować Użytkownika) — mogą być przechowywane bezterminowo.
6. Odbiorcy danych (podprocesorzy)
W celu świadczenia usługi korzystamy z zaufanych dostawców, którzy działają w naszym imieniu i na podstawie umów o powierzenie przetwarzania danych (Data Processing Agreement — DPA). Administrator nie udostępnia danych osobowych reklamodawcom ani nie sprzedaje danych osobowych.
| Podmiot | Cel | Lokalizacja | Podstawa transferu |
|---|---|---|---|
| Supabase, Inc. | Hosting bazy danych (PostgreSQL), pliki (Storage), uwierzytelnianie (Supabase Auth), realtime broadcast | UE / USA | SCC |
| Vercel, Inc. | Hosting aplikacji Next.js, sieć brzegowa (CDN), logi serwera | globalnie | SCC |
| Resend, Inc. | Wysyłka e-maili: linki logowania, Zaproszenia, wiadomość odzyskania tożsamości, powiadomienia administracyjne | USA | SCC |
| Google LLC (Gemini API) | Generowanie grafik Zaproszeń przez model AI na podstawie promptu Organizatora | USA | SCC / EU–U.S. Data Privacy Framework |
| Główny Urząd Statystyczny (GUS) — REGON API | Weryfikacja danych Partnera (NIP → REGON). Administratorem danych w rejestrze REGON jest GUS; Serwis jedynie wysyła zapytanie i przechowuje odpowiedź. | Polska | EOG |
| Operatorzy programów afiliacyjnych (np. Allegro, Ceneo, sieci afiliacyjne) | Rozliczenie prowizji po kliknięciu linku afiliacyjnego. Serwis nie przekazuje im danych osobowych; dane techniczne trafiają do nich bezpośrednio z przeglądarki Użytkownika po kliknięciu linku. | UE / globalnie | SCC, jeśli poza EOG |
Administrator i moderatorzy Serwisu: dostęp do panelu administracyjnego ma wyłącznie Administrator oraz — w razie potrzeby — osoby upoważnione działające na jego polecenie, wyłącznie w zakresie niezbędnym do rozpatrzenia zgłoszeń, weryfikacji Partnerów i obsługi naruszeń. Panel administracyjny zabezpieczony jest tokenem dostępowym (ADMIN_TOKEN).
Organy państwowe: dane mogą zostać udostępnione organom ścigania, sądom lub innym organom publicznym, ale wyłącznie na podstawie wiążącego wniosku, postanowienia lub innego wymaganego prawem żądania.
Uwaga dotycząca afiliacji: po kliknięciu linku afiliacyjnego przeglądarka Użytkownika łączy się bezpośrednio ze sklepem zewnętrznym — to on (a nie Serwis) ustawia ewentualne pliki cookies potrzebne do rozliczenia prowizji, zgodnie z własną polityką prywatności.
7. Transfer danych poza Europejski Obszar Gospodarczy
Część podprocesorów (Vercel, Resend, Google) działa w Stanach Zjednoczonych, a Supabase może replikować dane pomiędzy regionami UE i USA. Transfer danych poza EOG odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską (decyzja wykonawcza 2021/914) oraz — tam, gdzie ma to zastosowanie — na podstawie decyzji Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU–U.S. Data Privacy Framework dla organizacji certyfikowanych w tym programie. Na żądanie udostępniamy informację o konkretnych zabezpieczeniach stosowanych w odniesieniu do danego dostawcy.
8. Twoje prawa
Zgodnie z RODO przysługują Ci prawa:
- dostępu do swoich danych oraz otrzymania ich kopii (art. 15 RODO);
- sprostowania (poprawiania) danych nieprawidłowych lub niekompletnych (art. 16 RODO);
- usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO) — z wyjątkami przewidzianymi w RODO;
- ograniczenia przetwarzania (art. 18 RODO);
- przenoszenia danych — otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (art. 20 RODO);
- sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO);
- wycofania zgody w dowolnym momencie, jeśli przetwarzanie odbywa się na podstawie zgody (art. 7 ust. 3 RODO) — wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem;
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Aby skorzystać z praw, napisz na adres kontakt@invitka.pl. Odpowiedź udzielimy bez zbędnej zwłoki, nie później niż w terminie jednego miesiąca (art. 12 ust. 3 RODO); w razie skomplikowanego charakteru żądania termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy. Najszybszym sposobem usunięcia danych powiązanych z konkretną imprezą jest usunięcie imprezy w panelu zarządzającym.
Jeżeli Twoje dane pojawiły się w katalogu sal jako dane pozyskane z publicznych źródeł, możesz poprosić o wskazanie źródła, sprostowanie, usunięcie danych, ograniczenie publikacji albo wnieść sprzeciw wobec dalszego przetwarzania. Operator sali może też zgłosić przejęcie profilu lub aktualizację danych.
W celu ochrony przed nadużyciami możemy prosić o potwierdzenie tożsamości, na przykład poprzez wysłanie żądania z adresu e-mail powiązanego z Kontem.
9. Zautomatyzowane decyzje i profilowanie
Administrator nie podejmuje wobec Użytkowników decyzji w sposób w pełni zautomatyzowany, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO). W szczególności:
- decyzje moderacyjne (usunięcie treści, zawieszenie Konta) są podejmowane przez człowieka — choć wyzwalać je mogą sygnały zautomatyzowane (np. próg zgłoszeń);
- decyzje o aktywacji lub odrzuceniu profilu Partnera podejmuje Administrator;
- rozpatrywanie reklamacji i sprzeciwów w ramach moderacji treści (zob. Regulamin §9) odbywa się w sposób manualny.
Administrator nie stosuje profilowania Użytkowników w celach marketingowych ani nie buduje profili behawioralnych służących do targetowania reklam. Rekomendacje pomysłów na prezenty wyświetlane w Serwisie opierają się na regułach biznesowych, a nie na profilowaniu indywidualnym.
Treści generowane przez model AI (Karty AI) są produkowane wyłącznie na wyraźne polecenie Organizatora i są oznaczane jako treści syntetyczne zgodnie z art. 50 rozporządzenia (UE) 2024/1689 (AI Act). Treść promptu przesyłana jest do dostawcy modelu (Google — Gemini API) w celu wygenerowania obrazu.
11. Bezpieczeństwo danych
Administrator stosuje adekwatne środki techniczne i organizacyjne mające na celu zapewnienie bezpieczeństwa danych, odpowiednie do charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyk dla praw i wolności osób (art. 32 RODO), m.in.:
- szyfrowanie transmisji (HTTPS/TLS 1.2+) dla całej komunikacji z Serwisem;
- uwierzytelnianie bez haseł (magic link) — eliminuje ryzyko wycieków baz haseł;
- ograniczenie dostępu do bazy danych do klienta z rolą service-role uruchamianego wyłącznie po stronie serwera;
- regularne aktualizacje zależności i monitorowanie podatności;
- ograniczanie liczby żądań (rate limiting) chroniące przed nadużyciami i atakami automatycznymi;
- zabezpieczenia przed wstrzyknięciem instrukcji do modelu AI (prompt injection);
- segregację uprawnień administracyjnych (panel chroniony tokenem).
12. Dane dzieci
Serwis nie jest kierowany do osób poniżej 16 roku życia. Administrator nie przetwarza świadomie danych osobowych dzieci w charakterze Użytkowników. Dane dotyczące dziecka (imię, data urodzin, ewentualnie wizerunek na Zaproszeniu) są wprowadzane do Serwisu wyłącznie przez rodzica lub opiekuna prawnego i na jego odpowiedzialność.
Organizator, zamieszczając wizerunek małoletniego na Karcie zaproszenia, oświadcza, że posiada podstawę prawną do jego rozpowszechnienia (art. 81 ustawy o prawie autorskim i prawach pokrewnych). Jeżeli rodzic/opiekun dowiaduje się, że dziecko samodzielnie utworzyło Konto lub przekazało swoje dane, prosimy o kontakt — dane zostaną niezwłocznie usunięte.
13. Szczególne kategorie danych
Administrator nie zbiera świadomie danych szczególnej kategorii w rozumieniu art. 9 RODO (m.in. danych o zdrowiu, pochodzeniu, przekonaniach, orientacji seksualnej, danych biometrycznych). Prosimy, aby nie zamieszczać takich danych w komentarzach RSVP, wiadomościach czatu ani w innych polach formularza. Jeżeli taka informacja zostanie podana dobrowolnie przez Użytkownika (np. informacja o alergii pokarmowej w komentarzu RSVP), przetwarzamy ją wyłącznie w zakresie niezbędnym do jej przekazania Organizatorowi, zgodnie z celem, w jakim została podana.
14. Zmiany Polityki prywatności
Zastrzegamy sobie prawo do aktualizacji niniejszej Polityki prywatności, w szczególności w przypadku zmian w obowiązującym prawie, rozszerzenia zakresu podprocesorów, dodania nowych funkcji Serwisu lub w reakcji na rekomendacje organów nadzorczych.
Data ostatniej aktualizacji jest wskazana na początku dokumentu. O istotnych zmianach poinformujemy z co najmniej 14-dniowym wyprzedzeniem — komunikatem w Serwisie, a w przypadku Użytkowników zalogowanych dodatkowo wiadomością e-mail.
15. Kontakt
W sprawach dotyczących ochrony danych osobowych napisz na adres kontakt@invitka.pl. Zasady korzystania z Serwisu znajdziesz w Regulaminie.