Polityka prywatności i informacja RODO

1. Kto odpowiada za dane

Jakub Smorąg, ul. Wrocławska 20, 55-095 Mirków, Polska, e-mail: smoragjakub@gmail.com, jest administratorem danych przetwarzanych na własne potrzeby SMSBiznes: obsługi kont i umów, kontaktu, rozliczeń, bezpieczeństwa, roszczeń oraz wspólnej listy rezygnacji ze wszystkich SMS-ów przez platformę. Ten adres służy także do spraw ochrony danych; nie jest adresem wyznaczonego inspektora ochrony danych.

W odniesieniu do numerów i danych klientów wprowadzanych przez firmę korzystającą z SMSBiznes administratorem jest ta firma. SMSBiznes działa w jej imieniu jako podmiot przetwarzający na podstawie umowy powierzenia. Firma odpowiada za własną informację RODO i zgodę na dany rodzaj SMS. Ta polityka nie zastępuje jej obowiązku informacyjnego. Jeśli otrzymałeś SMS, którego nie rozpoznajesz, możesz skorzystać z rezygnacji albo napisać do nas, podając tylko dane niezbędne do identyfikacji wiadomości.

2. Dane kont i cele przetwarzania

Przetwarzamy login lub e-mail, nazwę i dane identyfikacyjne firmy, imię i nazwisko reprezentanta, adres kontaktowy, skrót hasła, konfigurację konta, pakiet i okres dostępu. Do obsługi umowy z osobą fizyczną stosujemy art. 6 ust. 1 lit. b RODO; dane osób reprezentujących inny podmiot przetwarzamy na podstawie art. 6 ust. 1 lit. f — uzasadnionego interesu zawarcia i wykonania umowy z tym podmiotem.

Potwierdzenie akceptacji obejmuje dane konta i reprezentanta, oświadczenia, wersję i treść dokumentów, ich cyfrowy skrót oraz czas serwera. Obejmuje również ograniczoną informację o przeglądarce; aplikacja nie zapisuje adresu IP w tym rejestrze akceptacji. Służy wykazaniu zawarcia umowy, zakresu instrukcji i realizacji obowiązków (art. 6 ust. 1 lit. b, c w zakresie konkretnych obowiązków z RODO oraz f w zakresie dowodów i roszczeń).

Dane płatności i dokumentów rozliczeniowych przetwarzamy w zakresie wymaganym obowiązującymi nas przepisami podatkowymi i rachunkowymi (art. 6 ust. 1 lit. c); nie przechowujemy numerów kart płatniczych. Korespondencja, reklamacje i zgłoszenia nadużyć służą obsłudze sprawy, obowiązkom prawnym lub ustaleniu, dochodzeniu i obronie roszczeń (odpowiednio lit. b, c lub f).

Dane techniczne, sesje, dziennik wybranych działań i limity żądań służą zabezpieczeniu dostępu i utrzymaniu usługi (art. 6 ust. 1 lit. f). Przy limitowaniu logowania aplikacja może używać skrótu adresu IP pochodzącego z zaufanego źródła. Hosting może prowadzić własne logi połączeń, w tym IP i czas żądania. Nie podejmujemy decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany ani nie profilujemy osób na potrzeby reklam.

3. Dane odbiorców SMS i linki

Na zlecenie firmy przetwarzamy numer telefonu, opcjonalne imię, treść i czas zlecenia, status doręczenia, identyfikator operatora, dane kampanii, opis źródła zgody i czas zapisania deklaracji. Historia może zawierać kopie tych danych także po usunięciu kontaktu z aktywnej listy. Firma przechowuje pierwotny dowód zgody; opis w aplikacji sam jej nie dowodzi.

Link prośby o opinię zawiera losowy identyfikator powiązany z wiadomością. Pierwsze otwarcie może zostać zapisane jako czas odwiedzin, widoczny firmie; podgląd przez automat również może utworzyć taki zapis. Link jest aktywny co do zasady przez 90 dni, co nie jest okresem automatycznego usuwania historii. Rezygnacja z dalszych SMS pozostaje dostępna także po wygaśnięciu strony opinii.

Przycisk Google jest udostępniany jednakowo wszystkim odbiorcom. Nie zbieramy na tej stronie wstępnej oceny ani prywatnej ankiety. Kliknięcie otwiera usługę Google, w której obowiązują jej zasady prywatności; SMSBiznes nie przesyła do Google numeru telefonu lub imienia odbiorcy. Google może przetwarzać własne dane techniczne i dane zalogowanego użytkownika.

Po rezygnacji numer i imię są usuwane z aktywnego kontaktu firmy, z której wiadomości użyto linku. Lokalną blokadę przechowujemy jako identyfikator wyliczony z numeru i tajnego klucza firmy. Przy wyraźnej rezygnacji ze wszystkich SMS-ów tworzymy także wspólny identyfikator blokady z odrębnym tajnym kluczem platformy. Wspólna lista nie zawiera jawnego numeru telefonu ani imienia; zapisuje identyfikator i czas. Blokuje wysyłki wszystkich firm, ale nie kasuje automatycznie ich historii i baz. To pseudonimizacja, nie pełna anonimizacja. Administratorem wspólnej listy jest Jakub Smorąg; podstawą jest art. 6 ust. 1 lit. f RODO — uzasadniony interes uszanowania wyraźnej decyzji odbiorcy, zapobiegania ponownej wysyłce i nadużyciom. Identyfikator pozostaje tak długo, jak potrzebna jest blokada podczas działania usługi; zasadność przechowywania podlega przeglądowi. W sprawie błędnej blokady, praw do danych lub numeru przydzielonego nowemu użytkownikowi można się skontaktować; zmiana wymaga bezpiecznej weryfikacji i nie może ignorować obowiązującego sprzeciwu. Żądania dotyczące pozostałej historii pomagamy przekazać właściwej firmie i realizować na jej udokumentowane polecenie, z uwzględnieniem przepisów.

4. Odbiorcy, dostawcy i transfery

Dostęp do danych otrzymują wyłącznie osoby uprawnione oraz dostawcy niezbędni do świadczenia usługi: hosting i baza danych Hostinger, operator wysyłki SMSPLANET (App World sp. z o.o.) oraz dostawca poczty używanej do kontaktu z nami. Korespondencja na wskazany adres Gmail jest obsługiwana w infrastrukturze Google. Nie przesyłaj tą drogą pełnych baz kontaktów ani szczególnych kategorii danych.

Hostinger obsługuje aplikację i jej bazę. Operator SMS otrzymuje numer docelowy, treść i dane techniczne zlecenia; treść może obejmować imię i link z identyfikatorem. Operatorzy sieci uczestniczą w doręczeniu, a w zakresie swoich obowiązków telekomunikacyjnych mogą działać jako niezależni administratorzy. Organy publiczne, doradcy prawni lub księgowi mogą otrzymać dane, jeżeli istnieje do tego podstawa i konieczność.

Nie sprzedajemy baz i nie wykorzystujemy powierzonych numerów do własnych kampanii. Zmiana operatora lub włączenie dodatkowej integracji przetwarzającej dane wymaga aktualizacji informacji i spełnienia warunków powierzenia. Sam fakt obecności kodu integracji nie oznacza, że otrzymuje ona dane.

Korzystanie z globalnej infrastruktury, poczty lub podwykonawców może wiązać się z przetwarzaniem poza Europejskim Obszarem Gospodarczym. Przed przekazaniem danych wymagane jest ustalenie odpowiedniej podstawy z rozdziału V RODO, np. decyzji o adekwatności dotyczącej konkretnego odbiorcy albo standardowych klauzul umownych i oceny transferu. Nie zapewniamy, że wszystkie dane pozostają wyłącznie w Polsce. Informację o właściwym odbiorcy, lokalizacji i zabezpieczeniach konkretnego transferu należy ustalić i przekazać przed jego realizacją. Publikacja tej wersji dokumentów nie potwierdza zakończenia weryfikacji umów dostawców, faktycznej lokalizacji i transferów dla konta SMSBiznes. Uzupełnienie tych ustaleń jest obowiązkiem operatora, a samo niniejsze zastrzeżenie nie zastępuje podstawy prawnej przetwarzania.

5. Czas przechowywania

Dane konta i ustawień są potrzebne w okresie umowy; wygaśnięcie pakietu nie usuwa ich automatycznie. Po zakończeniu usuwamy dane operacyjne, które nie są już potrzebne, a niezbędne dowody umowy, akceptacji, reklamacji i rozliczeń przechowujemy do upływu właściwych terminów przedawnienia lub okresów wymaganych prawem. Dla typowych roszczeń związanych z działalnością jest to co do zasady 3 lata, w innych przypadkach termin może wynosić 6 lat, z ustawowym sposobem liczenia; nie oznacza to przechowywania pełnej bazy odbiorców przez taki okres.

Dane rozliczeniowe objęte obowiązkiem podatkowym przechowujemy przez ustawowy okres właściwy dla dokumentu, zwykle 5 lat liczonych od końca roku, w którym upłynął termin płatności podatku. Przy konkretnym sporze niezbędny zakres danych może być przechowywany do jego prawomocnego zakończenia i rozliczenia.

Okresy dla danych powierzonych ustala firma jako administrator, zgodnie z celem i zasadą minimalizacji. Wersja beta nie ma automatycznego harmonogramu usuwania historii SMS i wygasłych kont. Przegląd i wykonanie uzasadnionej dyspozycji usunięcia lub zwrotu odbywają się administracyjnie; terminy zakończenia powierzenia opisano w umowie powierzenia. Nie należy traktować historii jako bezterminowego archiwum.

Sesja aplikacji wygasa po 24 godzinach; wygasłe rekordy sesji i limitów są sprzątane przy kolejnych prawidłowych logowaniach. Okresy logów i kopii zapasowych zależą od faktycznej konfiguracji dostawcy. Dane usunięte z aktywnej bazy mogą pozostawać w ograniczonych kopiach do ich rotacji; nie mogą wracać do zwykłego użycia. Przy żądaniu usunięcia ustalamy zakres kopii, termin ich wygaśnięcia i ewentualny obowiązek dalszego zachowania — nie utożsamiamy usunięcia kontaktu z natychmiastowym usunięciem wszystkich kopii.

6. Prawa i kontakt

W zależności od podstawy i sytuacji przysługuje Ci dostęp do danych, sprostowanie, usunięcie, ograniczenie, przenoszenie oraz sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Wobec marketingu bezpośredniego sprzeciw jest bezwarunkowy. Jeżeli przetwarzanie opiera się na zgodzie, można ją wycofać w dowolnym czasie, bez wpływu na wcześniejszą zgodność z prawem.

Napisz do smoragjakub@gmail.com. Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca; ewentualne przedłużenie na zasadach RODO wymaga poinformowania i podania przyczyny. Możemy poprosić o proporcjonalne potwierdzenie tożsamości, aby nie ujawnić danych innej osobie. Jeśli sprawa dotyczy SMS od firmy, administratorem jest ta firma; pomożemy ją zidentyfikować i przekazać żądanie.

Przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl). Podanie danych wymaganych do konta i umowy jest dobrowolne, ale niezbędne do ich obsługi; brak uniemożliwi uruchomienie konta. Imię odbiorcy i dane nieoznaczone jako wymagane są opcjonalne. Dane reprezentanta mogą pochodzić od osoby, która zamówiła konto; dane odbiorców pochodzą od firmy zlecającej wysyłkę.

7. Pliki sesyjne i PWA

Aplikacja używa niezbędnego pliku sesji do logowania i ochrony dostępu (HttpOnly, SameSite=Strict; Secure przy HTTPS). Nie stosuje własnych reklamowych ani analitycznych cookies. Techniczna pamięć PWA obejmuje logo, ikony i neutralny widok braku połączenia, a nie odpowiedzi API lub dane zalogowanego konta. Te funkcje są potrzebne do żądanej usługi i nie stanowią zgody na marketing.

W tej wersji nie osadzamy zewnętrznej analityki reklamowej. Dodanie w przyszłości opcjonalnych trackerów wymaga osobnej oceny, informacji i wymaganej zgody przed uruchomieniem. Dokument obowiązuje od 22 października 2026 r., wersja 2026-10-22-1.