Polityka prywatności

Obowiązuje od 24 września 2026 r.

Krótko: hejsrem.pl pokazuje wydarzenia w Śremie i okolicy. Do przeglądania nie potrzebujesz konta, a strony z wydarzeniami nie zapisują na Twoim urządzeniu żadnych plików cookie. Odsłony liczymy sami, bez cookies i bez zapisywania adresu IP. Google Analytics włączamy wyłącznie za Twoją zgodą. Adres e-mail podajesz tylko wtedy, gdy sam(-a) do nas piszesz albo zgłaszasz wydarzenie. Nie sprzedajemy danych.

1. Administrator danych

Administratorem danych osobowych przetwarzanych w serwisie hejsrem.pl jest Krzysztof Borowicki. Serwis prowadzony jest prywatnie, nieodpłatnie i bez celu komercyjnego.

We wszystkich sprawach dotyczących danych osobowych — także żeby skorzystać ze swoich praw — napisz na adres hej@hejsrem.pl albo przez formularz kontaktowy. Oba kanały prowadzą do tej samej osoby; odpowiadamy pocztą elektroniczną.

2. Jakie dane przetwarzamy

2.1. Logi serwera

• Serwer zapisuje standardowe logi dostępowe: adres IP, datę i godzinę żądania, adres strony, kod odpowiedzi, typ przeglądarki (user-agent) i adres strony odsyłającej.
• Cel: bezpieczeństwo, wykrywanie nadużyć i diagnostyka błędów. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora).
• Logi dostępowe przechowujemy przez 14 dni — plik zamykany jest co dobę, a najstarszy usuwany automatycznie. Nie wysyłamy ich do zewnętrznych usług. Adresów z prywatnymi linkami (zaproszenia, reset hasła, strona zarządzania zgłoszonym wydarzeniem) w ogóle nie zapisujemy.
• Adres IP służy też doraźnie do limitów (np. liczby wiadomości z jednego adresu na godzinę). Taki licznik żyje w pamięci serwera najwyżej godzinę i nie trafia do bazy.
• Dziennik błędów aplikacji zawiera opis błędu, metodę i adres strony, na której wystąpił (bez parametrów i tokenów). Przechowujemy go 1 dni w plikach i do 90 dni w panelu serwisu.

2.2. Statystyka odwiedzin

• Sami liczymy odsłony stron, żeby wiedzieć, które wydarzenia i podstrony są czytane, skąd przychodzą czytelnicy i ile czasu spędzają na stronie. Nie używamy do tego plików cookie ani niczego nie zapisujemy na Twoim urządzeniu, a dane nie trafiają do zewnętrznych usług.
• Zakres: adres odwiedzonej podstrony i jej tytuł, godzina, czas, przez jaki strona była widoczna, domena strony, z której przyszedłeś(-aś), kraj ustalony z adresu IP, typ urządzenia, przeglądarki i systemu, a na stronie wydarzenia — kliknięcia w „Dodaj do kalendarza” i wybraną opcję (Kalendarz Google lub plik .ics). Odsłony z jednej doby łączymy w wizytę po jednokierunkowym skrócie adresu IP i przeglądarki z losową solą zmienianą co dobę — adresu IP nie zapisujemy, a po dobie nie da się powiązać wizyt tej samej osoby.
• Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: rozwój serwisu). Dane widzi wyłącznie administrator w panelu i usuwamy je po 180 dniach. Kraj ustalamy lokalnie, na podstawie bazy IP Geolocation by DB-IP.

Dodatkowo Google Analytics — tylko za zgodą

• Za Twoją zgodą korzystamy z Google Analytics 4, żeby wiedzieć, ile osób odwiedza serwis i które wydarzenia i strony są oglądane. Bez zgody skrypt Google nie jest ładowany, a pliki cookie analityczne nie są zapisywane.
• Zakres: identyfikator nadany przez plik cookie, przybliżona lokalizacja (kraj, miasto), typ urządzenia i przeglądarki, odwiedzone podstrony i czas wizyty. Reklamy i personalizacja reklam są zawsze wyłączone.
• Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda), a dla zapisu i odczytu informacji na Twoim urządzeniu — zgoda w rozumieniu art. 399 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej.
• Odbiorca: Google Ireland Limited. Dane mogą być przekazywane do USA na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU–US Data Privacy Framework). Google stosuje własne okresy retencji danych analitycznych.
• Zgodę możesz wycofać w każdej chwili przyciskiem „Ustawienia cookies” w stopce serwisu. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

2.3. Formularz kontaktowy

• Przetwarzamy adres e-mail i treść wiadomości — dokładnie to, co wpiszesz. Formularz nie prosi o imię, telefon ani załączniki.
• Cel: odpowiedź na zgłoszenie. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona przy wysyłce). Razem z wiadomością zapisujemy, które zgody zaznaczyłaś/-eś, w której wersji klauzul i kiedy (art. 7 ust. 1 RODO). Adresu IP nadawcy nie zapisujemy przy wiadomości.
• Wiadomości czyta wyłącznie redakcja — w panelu serwisu, a jej kopia z treścią trafia też na skrzynkę redakcji, żeby można było odpisać. W panelu usuwamy je po załatwieniu sprawy, najpóźniej po 180 dniach.

2.4. Zgłoszenie wydarzenia

• Przy zgłoszeniu wydarzenia przetwarzamy Twój adres e-mail oraz informacje o wydarzeniu. Treść wydarzenia (także dane organizatora, jeśli je podasz) po akceptacji redakcji jest publikowana w serwisie. Adresu e-mail nigdy nie pokazujemy publicznie.
• Cel: obsługa zgłoszenia — potwierdzenie przyjęcia, prywatny link do edycji i wiadomość o decyzji redakcji. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda). Zapisujemy też, które zgody zaznaczyłaś/-eś i kiedy.
• Adres przechowujemy, dopóki wydarzenie jest w serwisie. Odrzucone zgłoszenia usuwamy razem z adresem po 30 dniach. Usunięcie wydarzenia pod prywatnym adresem od razu kasuje też adres e-mail.

2.5. Powiadomienia push

• Jeśli włączysz powiadomienia o nowych wydarzeniach (ikona dzwonka), przeglądarka przekazuje nam adres subskrypcji wygenerowany przez jej usługę powiadomień oraz klucze do szyfrowania wiadomości. Zapisujemy też typ przeglądarki, żeby odróżnić subskrypcje. Nie wiąże się to z kontem ani adresem e-mail.
• Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona włączeniem powiadomień w przeglądarce). Subskrypcję usuwamy, gdy wyłączysz powiadomienia albo gdy usługa przeglądarki zgłosi, że wygasła.

2.6. Konta redakcji

Konta w panelu mają wyłącznie zaproszone osoby z redakcji: imię, adres e-mail, skrót hasła, a przy sesji — adres IP i typ przeglądarki. Dziennik zmian w panelu (kto, co i kiedy zmienił) przechowujemy 365 dni. Podstawa prawna: art. 6 ust. 1 lit. b i f RODO.

2.7. Pamięć przeglądarki (localStorage)

Wybrany motyw (jasny/ciemny), decyzja w sprawie cookies i stan powiadomień push zapisują się wyłącznie w pamięci Twojej przeglądarki i nie są wysyłane na serwer. Usuniesz je, czyszcząc dane witryny.

3. Pliki cookie i podobne technologie

Serwis nie używa plików cookie reklamowych ani profilujących i nie prowadzi remarketingu. Czcionki, obrazy i skrypty serwujemy z własnego serwera (poza Google Analytics po zgodzie).

4. Odbiorcy danych

• OVH SAS — dostawca infrastruktury serwerowej, na której działa serwis.
• Resend — dostawca usługi wysyłki poczty elektronicznej, przez którego wysyłamy wiadomości (potwierdzenia zgłoszeń, decyzje redakcji, odpowiedzi, zaproszenia).
• Dostawca skrzynki pocztowej redakcji — w zakresie wiadomości, które do nas trafiają.
• Usługi powiadomień przeglądarek (Google, Mozilla, Apple, Microsoft) — wyłącznie treść powiadomienia, jeśli je włączysz.
• Google Ireland Limited — wyłącznie w zakresie statystyki i tylko za Twoją zgodą.

Nie sprzedajemy danych i nie udostępniamy ich w celach marketingowych. Dane mogą zostać udostępnione uprawnionym organom, jeżeli wymagają tego przepisy prawa.

5. Twoje prawa

• prawo dostępu do danych, ich sprostowania, usunięcia i ograniczenia przetwarzania oraz przenoszenia danych,
• prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• prawo do wycofania zgody w dowolnym momencie — bez wpływu na zgodność z prawem wcześniejszego przetwarzania,
• prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Wnioski przyjmujemy pod adresem z punktu 1 i przez formularz kontaktowy. Serwis działa bez kont czytelników, więc czasem nie jesteśmy w stanie powiązać danych z konkretną osobą — wtedy realizacja części praw może wymagać wskazania danych, które na to pozwolą (np. adresu e-mail użytego w zgłoszeniu), a przy braku takiej możliwości może być niewykonalna (art. 11 RODO).

6. Bezpieczeństwo

• Ruch do serwisu jest szyfrowany (HTTPS/TLS).
• Hasła redakcji przechowujemy wyłącznie jako skróty; prywatne linki (zaproszenia, zarządzanie zgłoszeniem) — tylko jako skróty tokenów.
• Dostęp do panelu mają wyłącznie zaproszone osoby z redakcji, z uprawnieniami ograniczonymi do ich roli.

7. Dzieci

Serwis nie jest kierowany do dzieci i nie zbiera świadomie danych osób poniżej 16. roku życia.

8. Zmiany polityki

Politykę możemy aktualizować — np. gdy dodamy nową funkcję albo zmieni się dostawca usług. Aktualna wersja zawsze znajduje się pod tym adresem razem z datą obowiązywania.