Polityka prywatności z15a.pl

Polityka prywatności z15a.pl

1. Administrator i kontakt

Administratorem danych osobowych jest Cloudtech Consulting sp. z o.o. z siedzibą w Warszawie, ul. Marynarska 13, 02-674 Warszawa, KRS 0000965893, NIP 5213964457, REGON 521770571, dalej „Administrator”.

Kontakt w sprawach dotyczących prywatności jest możliwy:

1. pocztą elektroniczną: kontakt@z15a.pl;
2. listownie na adres siedziby.

Administrator nie wyznaczył inspektora ochrony danych. Jeżeli stan ten ulegnie zmianie, dane kontaktowe inspektora zostaną podane w tej sekcji.

2. Zakres Polityki

Polityka opisuje przetwarzanie danych w publicznych stronach z15a.pl, Kontach Użytkowników, Rodzinach, formularzach ZUS, płatnościach, zapytaniach Enterprise, obsłudze kontaktu, logach, analityce i powiadomieniach. Pojęcia zapisane wielką literą mają znaczenie nadane im w Regulaminie, jeżeli z kontekstu nie wynika inaczej.

z15a.pl jest narzędziem pomocniczym do rodzinnej ewidencji opieki i przygotowania dokumentów. Administrator nie podejmuje decyzji o prawie do świadczenia i nie prowadzi profilowania wywołującego skutki prawne wobec Użytkownika.

3. Kategorie danych i cele przetwarzania

3.1. Konto i uwierzytelnienie

Przetwarzamy adres e-mail, imię, skrót hasła logowania, identyfikator Konta, daty utworzenia i zmian, ustawienia bezpieczeństwa, ustawienia wyglądu, ustawienia powiadomień, informacje o aktywnych sesjach, datę i wersję dokumentów prawnych przedstawionych lub zaakceptowanych przez Użytkownika oraz datę udzielenia wyraźnej zgody na przetwarzanie danych dotyczących zdrowia, wskazanej w sekcji 4. Dane służą rejestracji, logowaniu, ochronie Konta, komunikacji transakcyjnej, realizacji umowy oraz wykazaniu treści uzgodnień i udzielonych zgód.

Nie przechowujemy hasła logowania w postaci jawnej. Hasło logowania nie jest Hasłem do Danych i nie pozwala Administratorowi odszyfrować Danych Rodziny.

3.2. Dane Rodziny w zaszyfrowanym kontenerze

W zaszyfrowanych rekordach mogą znajdować się między innymi:

1. dane rodziców, opiekunów prawnych, innych opiekunów, Dzieci i innych członków rodziny;
2. imiona, etykiety, daty urodzenia, numery PESEL, dane dokumentów tożsamości, adresy, telefony i numery rachunków;
3. dane płatników składek i okresów zatrudnienia;
4. daty i przyczyny opieki, kategorie limitów, numery e-ZLA i inne dane dotyczące zdrowia;
5. treść i status szkiców Z-15A lub Z-15B;
6. wpisy kalendarza i notatki tekstowe.

Rekordy są szyfrowane w przeglądarce i trafiają na serwer wyłącznie jako szyfrogram. Administrator nie ma klucza umożliwiającego samodzielne otwarcie tych danych. Serwer widzi jedynie minimalne metadane techniczne niezbędne do przypisania rekordu do Rodziny, określenia rodzaju rekordu, synchronizacji, kontroli integralności i usuwania.

Serwis nie umożliwia dodawania załączników do notatek rodzinnych.

3.3. Pliki z eZUS odczytywane lokalnie

Użytkownik może wskazać w przeglądarce plik CSV lub XML pobrany z eZUS. Plik jest odczytywany lokalnie w urządzeniu Użytkownika i nie jest wysyłany na serwer Administratora. Administrator nie przechowuje nazwy, pełnej treści ani kopii pliku. Wyłącznie rekordy wybrane przez Użytkownika do zapisania są szyfrowane w przeglądarce i trafiają do zaszyfrowanego kontenera Rodziny.

3.4. Jawne metadane Rodziny i przypomnień

Jawnie przetwarzamy identyfikator Rodziny, powiązanie Kont z Rodziną, role, status zaproszeń, jawne parametry Abonamentu, źródło finansowania i techniczne informacje potrzebne do obsługi integralności. Nie są to treści zaszyfrowanych rekordów.

Przypomnienia o terminie są domyślnie wyłączone. Po ich świadomym włączeniu przeglądarka tworzy odwoływalną projekcję jawnych terminów wysyłki. W trybie dokładnym pozwala ona obliczyć dokładny termin, a w trybie przybliżonym zawęzić go do przedziału wynikającego z losowych progów. Projekcja nie zawiera imienia Dziecka, przyczyny opieki, etykiety ani treści dokumentu i jest usuwana po wyłączeniu harmonogramu, z zastrzeżeniem wiadomości już przekazanej dostawcy kanału.

3.5. Płatności

W odniesieniu do Abonamentu opłacanego przez Rodzinę przetwarzamy identyfikator klienta i subskrypcji Stripe, status płatności, zakres planu, kwotę, walutę, okres rozliczeniowy, identyfikator faktury i link do dokumentu rozliczeniowego. Dane karty trafiają wyłącznie do Stripe.

W przypadku planu finansowanego przez Sponsora oddzielamy dane rozliczeniowe Sponsora od Rodziny. Członkowie Rodziny nie otrzymują dostępu do karty, portalu Stripe ani faktur Sponsora. Administrator nie przypisuje organizacyjnego klienta Stripe jako klienta płatniczego Rodziny.

3.6. Zapytania Enterprise i kontakt

W formularzu Enterprise przetwarzamy imię i nazwisko, adres e-mail, nazwę organizacji oraz treść zapytania. Dane są jawne i służą przygotowaniu oferty oraz prowadzeniu korespondencji. Formularz nie powinien zawierać numerów PESEL, danych o zdrowiu ani innych danych Dzieci.

W korespondencji, reklamacjach i żądaniach dotyczących praw przetwarzamy dane kontaktowe, treść wiadomości, informacje potrzebne do identyfikacji sprawy oraz historię jej obsługi. Nie prosimy o Hasło do Danych ani hasło logowania.

3.7. Dane techniczne, bezpieczeństwo i błędy

Przetwarzamy adres IP, czas żądania, trasę, metodę, status odpowiedzi, ograniczone informacje o urządzeniu lub przeglądarce, identyfikatory zabezpieczeń i techniczny ślad błędu. Służy to ochronie Serwisu, ograniczaniu nadużyć, diagnozowaniu awarii i prowadzeniu rozliczalności. Logi i raporty są filtrowane z wykrytych danych osobowych i sekretów, jednak filtrowanie wzorcami nie gwarantuje wychwycenia każdego nietypowego przypadku.

4. Podstawy prawne

1. Wykonanie umowy lub działania przed jej zawarciem — art. 6 ust. 1 lit. b RODO: Konto, Rodzina, zaproszenia, funkcje ewidencji, synchronizacja zaszyfrowanych rekordów, eksport, obsługa Abonamentu, finansowanie przez Sponsora, zapytania o ofertę i wiadomości transakcyjne.
2. Obowiązek prawny — art. 6 ust. 1 lit. c RODO: dokumentacja księgowa i podatkowa, obowiązki konsumenckie, rozpatrywanie reklamacji oraz realizacja obowiązków wobec uprawnionych organów.
3. Prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO: bezpieczeństwo, logi, zapobieganie nadużyciom, obrona przed roszczeniami, minimalna analityka publicznych stron, analiza zagregowanych wpływów oraz trwałe blokowanie ponownego użycia identyfikatora usuniętej Rodziny. Użytkownik może wnieść sprzeciw z przyczyn związanych ze swoją szczególną sytuacją.
4. Zgoda — art. 6 ust. 1 lit. a RODO: kanał web push i inne funkcje wyraźnie oznaczone jako dobrowolne, jeżeli zgoda jest właściwą podstawą. Zgodę można wycofać w każdym czasie bez wpływu na wcześniejszą zgodność przetwarzania.
5. Szczególne kategorie danych, w tym dane dotyczące zdrowia — art. 9 ust. 2 lit. a RODO w zakresie, w jakim Użytkownik udziela wyraźnej zgody na przetwarzanie takich danych w ramach Serwisu. Dane pozostają zaszyfrowane zgodnie z sekcją 6.

Podanie danych Konta wymaganych w formularzu jest konieczne do zawarcia i wykonania umowy. Pozostałe dane są dobrowolne, ale brak danych niezbędnych dla wybranej funkcji może uniemożliwić jej użycie.

5. Dane innych osób i Dzieci

Użytkownik może wprowadzać dane innych osób tylko wtedy, gdy jest do tego uprawniony i ma odpowiednią podstawę prawną. Dotyczy to w szczególności danych Dzieci, drugiego rodzica, opiekuna prawnego, członka rodziny i płatnika składek.

Każde Dziecko w Rodzinie korzystającej ze Zwykłego Planu musi mieć w niej co najmniej jednego rodzica albo opiekuna prawnego. Rodzice mogą mieszkać osobno, a Serwis obsługuje rodziny patchworkowe. Zasada ta określa dozwolony model korzystania z usługi i nie oznacza, że Administrator ma wgląd do treści zaszyfrowanych rekordów albo samodzielnie sprawdza relacje rodzinne.

Konto jest przeznaczone dla osób, które mogą skutecznie zawrzeć umowę. Dziecko nie powinno samodzielnie zakładać Konta wyłącznie po to, aby prowadzić własną ewidencję. Dane Dziecka wprowadzają uprawnieni rodzice, opiekunowie lub inne osoby działające zgodnie z prawem.

6. Model zero-knowledge i jego ograniczenia

Klucz Danych Rodziny jest przechowywany na serwerze wyłącznie w postaci zabezpieczonej Hasłem do Danych. Administrator nie zna Hasła do Danych, nie przechowuje go i nie posiada otwieralnej kopii klucza. Odszyfrowanie następuje w przeglądarce po lokalnym odblokowaniu.

Zmiana Hasła do Danych wymaga znajomości dotychczasowego hasła i ponownie zabezpiecza ten sam klucz. Administrator przechowuje nieodwracalne zobowiązanie kryptograficzne służące wyłącznie do odrzucenia zmiany, która próbowałaby podmienić klucz i pozbawić Rodzinę dostępu do danych.

Z modelu wynikają następujące ograniczenia:

1. Administrator nie może przeglądać, moderować ani wyszukiwać Danych Rodziny;
2. Administrator nie może odzyskać Hasła do Danych ani odszyfrować treści po jego utracie;
3. Administrator nie może wykonać za Użytkownika pełnego jawnego eksportu wymagającego odszyfrowania;
4. żądanie dostępu lub przeniesienia danych jest realizowane przez Administratora w zakresie danych jawnych, a pełny zakres zaszyfrowanej treści Użytkownik eksportuje samodzielnie po odblokowaniu;
5. organ publiczny lub osoba trzecia może otrzymać od Administratora zaszyfrowane rekordy, lecz Administrator nie może przekazać ich odszyfrowanej treści, której technicznie nie posiada.

Utrata Hasła do Danych oznacza trwałą utratę dostępu do zaszyfrowanej treści. Nie istnieje procedura resetu. Usunięcie Konta albo Rodziny pozostaje możliwe po wymaganym ponownym uwierzytelnieniu i nie wymaga odszyfrowania rekordów.

7. Sponsor i finansowanie Enterprise

Sponsor przekazuje dane osoby zapraszanej do przyjęcia finansowania, co najmniej jej adres e-mail, oraz dane organizacji potrzebne do identyfikacji oferty. Przetwarzamy token, termin i status zaproszenia, informację o przyjęciu, nazwę Sponsora, zakres finansowanego planu, okres finansowania oraz status jego zakończenia.

Po przyjęciu zaproszenia Rodzinie pokazujemy nazwę Sponsora i informację, czy finansowanie ma wygasnąć z końcem bieżącego okresu. Sponsor otrzymuje jedynie minimalne informacje potrzebne do zarządzania własnym finansowaniem, takie jak status zaproszenia, fakt powiązania planu, uzgodniony zakres i koniec finansowania.

Sponsor nie otrzymuje za pośrednictwem Serwisu dostępu do nazwy ani składu Rodziny, liczby lub danych Dzieci i Opiekunów, wpisów kalendarza, notatek, dokumentów, zaszyfrowanych rekordów, Hasła do Danych, klucza Rodziny ani danych rozliczeniowych Właściciela. Samo finansowanie nie tworzy członkostwa w Rodzinie.

Jeżeli Sponsor zna dane osoby zapraszanej z własnej relacji, może być odrębnym administratorem tych danych. Niniejsza Polityka opisuje przetwarzanie prowadzone przez Cloudtech Consulting sp. z o.o.; zasady przetwarzania przez Sponsora powinny wynikać z jego własnej informacji o prywatności.

8. Odbiorcy danych

W zakresie koniecznym do świadczenia usługi dane mogą otrzymywać:

1. dostawcy hostingu, infrastruktury, kopii zapasowych i utrzymania systemu;
2. Stripe — w zakresie płatności, subskrypcji, przeciwdziałania oszustwom i dokumentów rozliczeniowych;
3. Mailjet — w zakresie wysyłki wiadomości transakcyjnych, przypomnień, informacji prawnych i kopii zapytań Enterprise;
4. dostawcy usługi Web Push właściwi dla przeglądarki lub urządzenia, jeśli Użytkownik włączy powiadomienia;
5. dostawcy publicznych rejestrów GUS BIR i wykazu podatników VAT — gdy Użytkownik wpisze NIP i zleci wyszukanie publicznych danych płatnika;
6. profesjonalni doradcy i podmioty wspierające dochodzenie lub obronę roszczeń, w zakresie koniecznym i na podstawie odpowiedniego zobowiązania do poufności;
7. uprawnione organy publiczne, gdy obowiązek udostępnienia wynika z prawa;
8. Sponsor — wyłącznie w minimalnym zakresie opisanym w sekcji 7.

Umami działa na infrastrukturze kontrolowanej przez Administratora. Jeżeli monitoring błędów GlitchTip zostanie włączony, również działa na tej infrastrukturze. Administrator nie sprzedaje danych, nie udostępnia Danych Rodziny do reklamy i nie wykorzystuje ich do trenowania modeli sztucznej inteligencji.

9. Przekazywanie poza EOG

Hosting aplikacji, podstawowa baza i kopie zapasowe są utrzymywane co do zasady w Europejskim Obszarze Gospodarczym. Przekazanie poza EOG może wystąpić w związku z usługami Stripe, Mailjet albo dostawcą Web Push właściwym dla urządzenia.

W zależności od dostawcy i miejsca przetwarzania przekazanie opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, w tym EU-U.S. Data Privacy Framework, albo na standardowych klauzulach umownych i — gdy jest to potrzebne — środkach uzupełniających. Informację dotyczącą konkretnego transferu można uzyskać pod adresem kontakt@z15a.pl.

Treść powiadomienia Web Push jest szyfrowana na potrzeby doręczenia, jednak dostawca usługi przetwarza identyfikator subskrypcji i metadane techniczne połączenia.

10. Okresy przechowywania

1. Dane Konta i Rodziny — do usunięcia Konta lub Rodziny, z uwzględnieniem danych wymaganych prawem i kopii zapasowych podlegających rotacji.
2. Po wygaśnięciu Abonamentu dane nie są automatycznie usuwane. Po wygaśnięciu Abonamentu opłacanego przez Właściciela pozostają w trybie tylko do odczytu do czasu usunięcia albo wznowienia usługi. Po zakończeniu finansowania przez Sponsora Rodzina przechodzi do Planu Bezpłatnego, a dane pozostają zachowane zgodnie z zakresem tego planu.
3. Jednokierunkowy odcisk losowego identyfikatora usuniętej Rodziny — bezterminowo, wyłącznie aby uniemożliwić ponowne użycie identyfikatora przez opóźnione, wcześniej uwierzytelnione żądanie. Odcisk nie pozwala odtworzyć danych Rodziny.
4. Oczekujące zaproszenia do Rodziny — do ich przyjęcia, odwołania albo automatycznego wygaśnięcia, co do zasady po 7 dniach.
5. Zaproszenia sponsorskie — do przyjęcia, odwołania lub upływu terminu wskazanego w zaproszeniu; minimalny zapis zdarzenia może być zachowany przez okres konieczny do rozliczenia umowy i obrony roszczeń.
6. Zapytania Enterprise w bazie formularza — do 365 dni; korespondencja handlowa dłużej wyłącznie w zakresie koniecznym do zawarcia i wykonania umowy albo obrony roszczeń.
7. Dokumentacja księgowa i podatkowa — przez okres wymagany przepisami, co do zasady 5 lat liczonych zgodnie z właściwymi przepisami podatkowymi.
8. Historia płatności — do 5 lat, a techniczny rejestr zdarzeń płatniczych do 400 dni, o ile dłuższe przechowywanie nie jest konieczne z powodu sporu albo obowiązku prawnego.
9. Raporty błędów GlitchTip, jeżeli monitoring jest włączony — do 90 dni.
10. Dane analityczne Umami — maksymalnie 13 miesięcy.
11. Logi serwera — podlegają bieżącej rotacji i nie są archiwizowane długoterminowo, chyba że konkretny zapis jest potrzebny do zbadania incydentu lub obrony roszczeń.
12. Kopie zapasowe — rotacja nie dłuższa niż 30 dni; zaszyfrowane rekordy pozostają w nich szyfrogramem i znikają wraz z rotacją po usunięciu danych produkcyjnych.
13. Reklamacje, spory i żądania — do zakończenia sprawy, a następnie do upływu właściwych terminów przedawnienia lub obowiązkowej retencji.

11. Prawa osób

Osobie, której dane dotyczą, przysługuje — zależnie od podstawy i okoliczności — prawo dostępu, otrzymania kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych, sprzeciwu, wycofania zgody oraz wniesienia skargi do organu nadzorczego.

Żądanie można przesłać na dane z sekcji 1. Administrator odpowiada bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Może poprosić o informacje konieczne do potwierdzenia tożsamości, ale nie prosi o Hasło do Danych ani hasło logowania.

Użytkownik może samodzielnie:

1. poprawiać dane Konta i ustawienia;
2. eksportować jawne dane Konta;
3. po odblokowaniu eksportować odszyfrowane Dane Rodziny;
4. usunąć Konto, opuścić Rodzinę, przekazać jej własność albo usunąć Rodzinę.

Granica techniczna modelu zero-knowledge została opisana w sekcji 6. Administrator zrealizuje prawa dotyczące zaszyfrowanej treści w zakresie technicznie dostępnym, a pełny jawny eksport wykonuje Użytkownik w odblokowanej przeglądarce.

12. Analityka bez plików cookie

Self-hosted Umami mierzy wyłącznie odsłony publicznych stron /, /cennik, /blog i /blog/*. Collector nie działa w częściach Konta, Rodziny, kalendarza, dokumentów, kreatorów, logowania, zaproszeń ani pozostałych prywatnych trasach.

Pomiar nie używa plików cookie ani pamięci przeglądarki, nie jest łączony z Kontem, respektuje sygnał Do Not Track i nie obejmuje nagrań sesji, treści formularzy, map ciepła ani funkcji reklamowych. Surowy adres IP i pełny nagłówek przeglądarki nie są zapisywane w bazie analitycznej. Służą przejściowo do ustalenia ograniczonych statystyk technicznych i pseudonimowego identyfikatora zmienianego codziennie.

Do analityki strony mogą trafić wyłącznie publiczna ścieżka, ograniczone parametry UTM, domena i origin strony odsyłającej oraz ograniczone dane o urządzeniu i przybliżonej lokalizacji. Pozostałe parametry i fragment adresu są odrzucane.

Po opłaceniu faktury serwer wysyła zdarzenie subscription-payment zawierające wyłącznie kwotę brutto, walutę i techniczny czas przyjęcia. Zdarzenie trafia do syntetycznej sesji bez IP Użytkownika, identyfikatora Konta, Rodziny, Stripe, faktury, planu, liczby osób, źródła wejścia i danych urządzenia. Dokładna kwota i czas mogą zostać zestawione z historią Stripe przez upoważnionego administratora.

13. Pliki cookie i pamięć przeglądarki

Serwis używa niezbędnego cookie sesyjnego do utrzymania zalogowania i ochrony żądań. Jest ono usuwane po wylogowaniu albo wygasa zgodnie z ustawieniami sesji. Niezbędne technologie nie wymagają zgody, gdy służą wyłącznie świadczeniu żądanej usługi lub bezpieczeństwu.

Przeglądarka może używać localStorage do zapisania wybranego wyglądu i lokalnego stanu technicznego oraz sessionStorage do krótkotrwałego, zaszyfrowanego zachowania stanu formularza na czas przekierowania do Stripe. Dane te pozostają po stronie urządzenia, a wrażliwy stan jest szyfrowany i usuwany po użyciu albo wygaśnięciu.

Umami nie zapisuje plików cookie, localStorage ani sessionStorage.

14. Bezpieczeństwo

Stosujemy w szczególności TLS, szyfrowanie AES-256-GCM Danych Rodziny, odrębne hasła logowania i Hasła do Danych, skróty haseł odporne na łamanie, opcjonalne MFA, ograniczanie liczby żądań, podpisywanie mutacji zaszyfrowanych rekordów, kontrolę dostępu opartą na Rodzinie, kopie zapasowe, monitoring błędów i minimalizację logów.

Dane Rodziny są logicznie wydzielone identyfikatorem Rodziny. Sponsor ani Użytkownik innej Rodziny nie otrzymuje dostępu do rekordów. Operator ogranicza dostęp personelu do jawnych danych operacyjnych zgodnie z zakresem obowiązków.

Żaden system nie zapewnia bezpieczeństwa absolutnego. Użytkownik powinien chronić urządzenie, skrzynkę e-mail, hasło logowania, MFA i Hasło do Danych oraz niezwłocznie zgłaszać podejrzenie incydentu.

15. Wiadomości i powiadomienia

Wiadomości niezbędne do wykonania umowy, bezpieczeństwa, płatności, reklamacji i zmian dokumentów prawnych nie są marketingiem i mogą być wysyłane niezależnie od ustawień opcjonalnych przypomnień.

Przypomnienia e-mail i Web Push są domyślnie wyłączone. Wymagają włączenia harmonogramu przez Właściciela Rodziny oraz osobnego wyboru kanału przez danego Użytkownika lub urządzenie. Każde ustawienie można wyłączyć. Wiadomość już przekazana dostawcy może zostać doręczona mimo późniejszego wyłączenia.

Administrator nie wysyła informacji handlowych bez wymaganej podstawy.

16. Skarga do organu nadzorczego

Osoba, która uważa, że jej dane są przetwarzane niezgodnie z prawem, może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl. Przed skargą można skontaktować się z Administratorem, ale nie jest to warunek skorzystania z prawa.

17. Zmiany Polityki

Polityka może zostać zmieniona z powodu zmiany prawa, funkcji Serwisu, dostawców, modelu bezpieczeństwa, źródeł finansowania lub zakresu danych. O istotnej zmianie dotyczącej zalogowanych Użytkowników Administrator informuje pocztą elektroniczną i komunikatem w Serwisie przed wejściem zmiany w życie.

Każda publiczna wersja obowiązująca od 20.08.2026 ma oznaczenie, datę wejścia w życie, opis zmian i trwały skrót integralności oraz pozostaje dostępna w historii.

Data wersji i data wejścia w życie: 20.08.2026.