Polityka prywatności

0. To jest demo

Pucownia jest fikcyjną firmą stworzoną jako demo strony internetowej. Nazwa, adres, telefon i NIP podane w tym serwisie nie odpowiadają żadnemu realnemu podmiotowi.

Formularz na tej stronie mimo to działa naprawdę. Jeśli wpiszesz w niego prawdziwe dane, zostaną naprawdę zapisane na serwerze, wyłącznie w celu pokazania działania tego dema, i usunięte najpóźniej po okresie opisanym w punkcie 3 poniżej.

1. Administrator danych

Dane firmy pokazane na tej stronie należą do firmy zmyślonej na potrzeby demo: Pucownia, ul. Fikcyjna 3, 41-100 Siemianowice Śląskie, NIP 000-000-00-00 (dane fikcyjne, demo), e-mail: kontakt@pucownia.example. Ten adres nie odbiera niczego.

Administratorem danych, które faktycznie trafiają na ten serwer, jest Wojciech Imiołczyk, wojtekimiolczyk@gmail.com. Pisz na ten adres w każdej sprawie dotyczącej danych zebranych przez formularz tej strony.

2. Formularz kontaktowy

Formularz kontaktowy zbiera imię, adres e-mail albo numer telefonu oraz treść wiadomości, wyłącznie po zaznaczeniu zgody na kontakt (art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes w postaci odpowiedzi na zapytanie).

2a. Rezerwacje

Formularz rezerwacji zbiera: imię, telefon, e-mail, wybrany zabieg, wybraną osobę i termin. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy / podjęcie działań przed jej zawarciem), bez osobnej zgody na samą rezerwację. Dane przechowujemy 90 dni od terminu wizyty, a następnie kasujemy w całości cronem; kopie zapasowe żyją dodatkowo do 7 dni z tego samego powodu co w punkcie 3. Kod i token rezerwacji trzymamy w bazie w postaci skrótu, nie jawnym tekstem.

2b. Dlaczego formularz nie pyta o zdrowie

Formularz rezerwacji celowo nie ma wolnego pola tekstowego ("uwagi"). Dowolny wpisany tekst ("mam trądzik różowaty", "biorę leki na tarczycę", "jestem w ciąży") natychmiast zamienia zwykłe dane kontaktowe w dane szczególnej kategorii o zdrowiu (art. 9 RODO), które wymagają osobnej, wyraźnej zgody i innego reżimu ochrony. Wywiad o przeciwwskazaniach odbywa się na miejscu, przy pierwszej wizycie, kartą klienta poza tym systemem, z osobną zgodą. Asystent AI (gdy włączony) nie przenosi informacji o zdrowiu do żadnego pola formularza ani do żadnego zapisu: pytania o zdrowie kieruje z powrotem na miejsce, do rozmowy przed zabiegiem.

3. Okres przechowywania

Zgłoszenia z formularza kontaktowego i kopie wysłanych powiadomień przechowujemy 90 dni od dnia złożenia zgłoszenia, a następnie kasujemy w całości.

W najgorszym przypadku dane mogą przeżyć do 97 dni, nie 90. Powód jest prosty: serwer co noc robi kopię zapasową plików, a każda taka kopia sama żyje 7 dni, zanim ją nadpiszemy. Zgłoszenie skasowane w 90. dniu mogło trafić do kopii zrobionej dzień wcześniej, więc jego ślad gaśnie ostatecznie dopiero, gdy ta kopia się zestarzeje, czyli najpóźniej po kolejnych 7 dniach.

Usunięcie danych na żądanie działa naprawdę. Napisz na adres z punktu 6, a usuniemy je od razu, bez czekania na koniec 90 dni; z kopii zapasowych znikną najpóźniej w 7 dni od tego usunięcia, z tego samego powodu co wyżej.

4. Pliki cookies i localStorage

Ta strona nie używa żadnych plików cookies ani zapisów w przeglądarce wymagających zgody: nie ma tu analityki, pikseli reklamowych ani osadzonych treści z obcych domen (mapa dojazdu w stopce to zwykły odnośnik do Google Maps, nie ramka, więc nic z tamtej domeny się nie ładuje, dopóki sama go nie klikniesz). Jedyne ciasteczko na całej witrynie to ciasteczko sesji panelu administracyjnego (niezbędne do zalogowania w panelu), widoczne wyłącznie dla osoby zalogowanej pod adresem /admin/, nigdy dla odwiedzającej stronę publiczną. Publiczny odwiedzający nie dostaje ani jednego Set-Cookie. Na stronach publicznych jedyny zapis w przeglądarce to treść Twojej rozmowy z asystentem (jeśli jest włączony), trzymana w pamięci karty (sessionStorage) po to, żeby rozmowa nie znikała przy przejściu na inną podstronę; znika sama z chwilą zamknięcia karty, nie opuszcza Twojej przeglądarki i nie służy do niczego poza wyświetleniem jej Tobie, więc jest to zapis niezbędny do usługi, z której właśnie korzystasz, i nie wymaga zgody. Panel administracyjny zapisuje dodatkowo, w tej samej przeglądarce, jeden znacznik w localStorage ("czy logowanie do panelu udało się już wcześniej na tym urządzeniu"), żeby po odświeżeniu strony panel nie pytał serwera o sesję bez potrzeby; sam ten znacznik nikogo nie loguje i nie przedłuża sesji (o tym decyduje wyłącznie ciasteczko sesji opisane wyżej), znika automatycznie po wylogowaniu, i podobnie jak ciasteczko sesji nie jest widoczny ani używany na żadnej stronie publicznej. Dlatego na tej stronie nie ma banera zgody na cookies: zbierałby zgodę na coś, co i tak się nie dzieje.

5. Odbiorcy danych

Dane przetwarzamy na serwerach hostingu mydevil.net (Polska). Gdy formularz działa w trybie wysyłki przez SMTP, odpowiedzi na wiadomości przechodzą przez operatora poczty SMTP mydevila; w trybie demo powiadomienia nie opuszczają serwera w ogóle, tylko lądują w pliku na tym samym serwerze. Zero analityki, zero pikseli reklamowych, zero osadzonych ramek z obcych domen. Polityka bezpieczeństwa treści (CSP) tej strony jest ustawiona wyłącznie na własną domenę ('self'), a formularz nie zapisuje adresu IP ani nagłówka przeglądarki (user agent) osoby, która go wysłała.

Jeśli w rogu strony widoczny jest przycisk „Zapytaj”, treść rozmowy z asystentem jest wysyłana do dostawcy modelu językowego wyłącznie po to, żeby ułożyć odpowiedź. Rozmowa nie jest zapisywana na serwerze; w przeglądarce żyje do zamknięcia karty (punkt 4), a serwer liczy wyłącznie zużycie tokenów (data, liczba tokenów, liczba zapytań), bez adresu, bez pytania i bez odpowiedzi. Jeśli z rozmowy wynika sprawa do załatwienia, asystent może wypełnić za Ciebie pola formularza kontaktowego tym, co sam napisałeś: nic nie zostaje wysłane, dopóki nie przeczytasz tych pól, nie zaznaczysz zgody i nie klikniesz przycisku. Informacje o zdrowiu wpisane w wiadomość nie są przenoszone do żadnego pola formularza ani do żadnego zapisu. Gdy tego przycisku nie ma, asystent jest wyłączony i żadne dane nie opuszczają serwera tą drogą.

6. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu. W tym celu napisz na wojtekimiolczyk@gmail.com: to jedyny działający adres na tej stronie, kontakt@pucownia.example jest zmyślony razem z resztą danych firmy. Masz też prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.