Polityka prywatności

Obowiązuje od: 2026-11-10 · Wersja 1.3

Niniejszy dokument opisuje zasady przetwarzania danych osobowych w serwisie SavaliGear (savaligear.com) zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO) oraz ustawą o świadczeniu usług drogą elektroniczną.

1. Administrator danych

Sławomir Śnieguła, osoba fizyczna, miejsce zamieszkania: Żnin, adres do korespondencji: ul. Czarnieckiego 5, 88-400 Żnin.

Kontakt w sprawach ochrony danych: mail@savaligear.com.

Administrator nie powołał Inspektora Ochrony Danych, ponieważ zakres przetwarzania tego nie wymaga (art. 37 RODO).

2. Jakie dane przetwarzamy i po co

Kategoria danych	Cel	Podstawa prawna	Okres przechowywania
Imię, nazwa użytkownika (login), e-mail, hasło (bcrypt)	Założenie i obsługa Konta, logowanie. Imię i nazwę użytkownika widzą członkowie plecaków, które z kimś współdzielisz. Imię pojawia się też w zaproszeniach, które wysyłasz.	Art. 6 ust. 1 lit. b RODO (umowa)	Do usunięcia Konta; w kopiach zapasowych do 30 dni dłużej
Data i godzina ostatniego logowania do Konta	Obsługa Konta i zgłoszeń Użytkowników, bezpieczeństwo Kont (wykrywanie nadużyć), rozpoznawanie Kont nieużywanych. Datę widzi tylko Administrator.	Art. 6 ust. 1 lit. f RODO (interes: bezpieczeństwo Kont i Serwisu, obsługa zgłoszeń, porządek w bazie Kont)	Do usunięcia Konta. Przechowujemy tylko datę ostatniego logowania, bo każde kolejne logowanie ją zastępuje. W kopiach zapasowych do 30 dni dłużej.
Treści (plecaki, sprzęt, lista życzeń, notatki i opinie, data i miejsce wyprawy, zawartość importowanego pliku CSV)	Świadczenie usługi planowania	Art. 6 ust. 1 lit. b RODO (umowa)	Do usunięcia Konta. Plecak lub sprzęt usunięty w aplikacji znika z widoku, ale zostaje w bazie danych do usunięcia Konta. W kopiach zapasowych do 30 dni dłużej. Sam plik CSV odczytujemy przy imporcie i go nie przechowujemy.
Adres e-mail osoby zaproszonej do wspólnego plecaka	Wysłanie zaproszenia na prośbę Użytkownika i umożliwienie osobie zaproszonej dołączenia do plecaka. Adres widzą osoba zapraszająca i członkowie plecaka.	Art. 6 ust. 1 lit. f RODO (interes: umożliwienie wspólnego planowania)	Do cofnięcia zaproszenia lub dostępu, najdłużej do usunięcia Konta osoby zapraszającej. Osoba zaproszona może w każdej chwili sprzeciwić się wykorzystywaniu adresu albo poprosić o jego usunięcie: mail@savaligear.com.
Wyszukiwane frazy (Biblioteka, sprzęt, miejsce wyprawy)	Wyświetlenie wyników wyszukiwania	Art. 6 ust. 1 lit. b RODO (umowa)	Nie zapisujemy ich w bazie danych; mogą pozostać w logach serwera WWW (podobnie jak adres IP)
Adres IP, informacje o przeglądarce (user agent)	Bezpieczeństwo, wykrywanie nadużyć	Art. 6 ust. 1 lit. f RODO (interes)	Sesje logowania w przeglądarce: do wylogowania albo wygaśnięcia sesji (po 2 godzinach bez aktywności); wygasłe sesje usuwamy przy automatycznym czyszczeniu. Logi serwera WWW: nadpisywane automatycznie po osiągnięciu limitu rozmiaru, więc okres przechowywania zależy od ruchu w Serwisie.
Kliknięcia w linki partnerskie: skrót adresu IP, informacje o przeglądarce (user agent), adres strony, z której nastąpiło kliknięcie, identyfikator produktu, numer Konta, jeśli w przeglądarce, w której otwiera się link, trwa Twoja sesja logowania do Serwisu, oraz numer plecaka, jeśli link go zawiera	Statystyki konwersji, rozliczenie z partnerem	Art. 6 ust. 1 lit. f RODO (interes)	24 miesiące (dane zbiorcze bezterminowo)
Plecaki publiczne (treść plecaka oraz Twoje imię i nazwa użytkownika, widoczne na stronie plecaka i w jego adresie)	Wyświetlenie pod publicznym linkiem	Art. 6 ust. 1 lit. a RODO (zgoda)	Do cofnięcia zgody przez Użytkownika

3. Pliki cookie

Serwis używa wyłącznie plików cookie niezbędnych do funkcjonowania (sesja logowania, token CSRF, preferencje języka). Nie używamy plików cookie marketingowych, reklamowych ani analitycznych firm trzecich (brak Google Analytics, Google Ads, Facebook Pixel, Hotjar i podobnych).

savaligear-session: sesja, ważność 2 h
XSRF-TOKEN: ochrona przed CSRF, ważność 2 h
sniegula_locale: preferencja języka, ważność 1 rok, ustawiany na domenie savaligear.com

4. Odbiorcy danych

Dane przekazujemy następującym kategoriom podmiotów:

Hetzner Online GmbH (Niemcy / UE): hosting infrastruktury i kopii zapasowych (umowa powierzenia przetwarzania)
IQGroup Adam Buhl (IQhost, Polska): poczta e-mail Serwisu (skrzynka mail@savaligear.com i wiadomości wysyłane przez Serwis)
Sklepy partnerskie (np. Skalnik, 8a.pl, Fjellsport, Bergfreunde): otrzymują wyłącznie identyfikator produktu w parametrze UTM, bez danych osobowych Użytkownika

Nie sprzedajemy danych osobowych żadnym podmiotom trzecim. Nie udostępniamy ich brokerom danych.

5. Przekazywanie poza EOG

Dane Serwisu i jego kopie zapasowe są przetwarzane w obrębie EOG (Hetzner, Niemcy).

6. Czego NIE robimy

Nie sprzedajemy danych osobowych ani nie udostępniamy brokerom.
Nie wysyłamy newsletterów marketingowych z savaligear.com (zapis na newsletter sniegula.com jest osobnym, dobrowolnym działaniem).
Nie używamy trackerów reklamowych ani analitycznych firm trzecich.
Nie profilujemy Użytkowników w celach reklamowych ani nie podejmujemy automatycznych decyzji wywołujących skutki prawne (brak profilowania w rozumieniu art. 22 RODO).

7. Twoje prawa

Zgodnie z RODO przysługuje Ci:

Prawo dostępu (art. 15): możesz poprosić o kopię swoich danych
Prawo do sprostowania (art. 16): edytujesz dane bezpośrednio w aplikacji albo prosisz o to e-mailem
Prawo do usunięcia („prawo do bycia zapomnianym”, art. 17): Konto razem z całą zawartością usuniesz od razu w ustawieniach konta (sekcja „Strefa niebezpieczna”); na żądanie przesłane e-mailem usuwamy je w ciągu 7 dni roboczych
Prawo do ograniczenia przetwarzania (art. 18)
Prawo do przenoszenia danych (art. 20): na prośbę wysłaną e-mailem przekażemy Twoje plecaki i sprzęt w formacie JSON lub CSV
Prawo sprzeciwu (art. 21): wobec przetwarzania na podstawie uzasadnionego interesu
Prawo cofnięcia zgody (art. 7): np. ukrycie publicznego plecaka
Prawo do skargi: możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl)

Co się dzieje po usunięciu Konta. Konto możesz usunąć w aplikacji (ustawienia konta, sekcja „Strefa niebezpieczna”) albo poprosić o to e-mailem na adres mail@savaligear.com. W chwili usunięcia Konta trwale usuwamy z bazy danych Serwisu dane Konta, plecaki (także udostępnione innym), sprzęt, listę życzeń, kategorie, zaproszenia do współdzielenia, sesje i tokeny logowania oraz kliknięcia w linki partnerskie powiązane z Kontem. Dłużej zostają: kopie zapasowe (do 30 dni); logi techniczne, w których może zostać login, numer Konta lub adres IP (logi aplikacji do 90 dni, logi serwera WWW do automatycznego nadpisania); wpis w wewnętrznym rejestrze usunięć, który zawiera tylko dawny numer Konta, sposób usunięcia, datę i liczbę usuniętych rekordów (bez adresu e-mail, loginu i imienia). Rejestr pozwala wykazać, że usunięcie nastąpiło, i powtórzyć je po ewentualnym odtworzeniu kopii zapasowej.

Na żądania odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od ich otrzymania. W skomplikowanych przypadkach termin może się wydłużyć o kolejne dwa miesiące. Wtedy w ciągu pierwszego miesiąca poinformujemy Cię o tym i podamy powód.

8. Bezpieczeństwo

Stosujemy następujące środki techniczne i organizacyjne: przechowywanie haseł wyłącznie jako skrótów bcrypt z indywidualną solą, transmisja danych wyłącznie przez HTTPS (TLS 1.2 lub 1.3, certyfikat Let's Encrypt), tokeny sesji w plikach cookie HttpOnly z SameSite=Lax, baza danych SQLite z uprawnieniami do pliku ograniczonymi do procesu aplikacji, codzienne szyfrowane kopie zapasowe bazy danych (szczegóły niżej), aktualizacje bezpieczeństwa zależności.

Kopie zapasowe. Kopię zapasową bazy danych Serwisu wykonujemy automatycznie raz na dobę. Każda kopia jest szyfrowana (AES-256), a klucz potrzebny do jej odszyfrowania przechowujemy poza serwerem. Kopie znajdują się na tym samym serwerze co Serwis (Hetzner, Niemcy) i są automatycznie usuwane najpóźniej po 30 dniach.

9. Dane dzieci

Serwis nie jest skierowany do dzieci poniżej 16 lat. Osoby, które nie ukończyły 16 lat, mogą korzystać z Serwisu wyłącznie za zgodą i pod nadzorem opiekuna prawnego (art. 8 RODO). Jeśli stwierdzimy, że Konto należy do dziecka bez zgody opiekuna, niezwłocznie je usuwamy.

10. Aplikacja mobilna

SavaliGear działa także jako aplikacja mobilna na Androida. Korzysta z tych samych danych co wersja w przeglądarce.

Aplikacja mobilna nie zbiera: lokalizacji, kontaktów, kalendarza, nagrań z mikrofonu, zdjęć ani obrazu z kamery, identyfikatorów reklamowych (Advertising ID).

Aplikacja przechowuje token logowania w swojej pamięci na urządzeniu, żeby nie trzeba było logować się ponownie. Token jest ważny do wylogowania albo usunięcia Konta i nie wygasa automatycznie.

Aplikacja jest bezpłatna i nie obsługuje płatności.

11. Sklepy partnerskie

Klikając w link partnerski z Biblioteki lub listy życzeń, przechodzisz na stronę zewnętrznego sklepu. W aplikacji na Androida link otwiera się w przeglądarce. Polityka prywatności sklepu obowiązuje od chwili wejścia na jego stronę. Administrator przekazuje sklepom wyłącznie identyfikator produktu w parametrze UTM, bez danych osobowych Użytkownika.

12. Zmiany polityki

O istotnych zmianach polityki prywatności Administrator informuje z 14-dniowym wyprzedzeniem przez wiadomość e-mail oraz komunikat w aplikacji. Aktualna wersja jest zawsze dostępna pod adresem savaligear.com/prywatnosc.

13. Kontakt

Pytania dotyczące prywatności i przetwarzania danych: mail@savaligear.com. Odpowiadamy w ciągu 7 dni roboczych (przy żądaniach RODO najpóźniej w ciągu miesiąca).