← Strona główna

Polityka prywatności

Wersja: v2.6 — Data: 2026‑04‑01

1. Administrator danych

Administratorem danych jest QrTransfers , e‑mail: support@qrtransfers.com. Organ nadzorczy: Prezes Urzędu Ochrony Danych Osobowych (PUODO).

2. Kategorie danych, cele i podstawy prawne

Zakres danych może różnić się w zależności od tego, czy użytkownik tylko przegląda strony publiczne, zakłada konto, kontaktuje się ze wsparciem, realizuje płatność, zarządza subskrypcją, korzysta z funkcji komunikacyjnych czy zgłasza incydent bezpieczeństwa. To, że określona kategoria danych pojawia się w jednym procesie, nie oznacza automatycznie jej użycia we wszystkich innych procesach.

3. Podstawy prawne

Przetwarzamy dane w oparciu o: wykonanie umowy (art. 6 ust. 1 lit. b), obowiązek prawny (art. 6 ust. 1 lit. c) – w szczególności AML/KYC po stronie PSP, uzasadniony interes (art. 6 ust. 1 lit. f) – bezpieczeństwo, raportowanie, dochodzenie/obrona roszczeń, oraz zgodę (art. 6 ust. 1 lit. a) – komunikacja marketingowa i niefunkcjonalne pliki cookie.

4. Odbiorcy danych

Zakres ujawnienia danych odbiorcy jest ograniczany do minimum potrzebnego dla danego celu. Nie każdy odbiorca otrzymuje ten sam zestaw informacji: dostawca hostingu utrzymuje infrastrukturę, PSP przetwarza dane potrzebne do płatności, a dostawca komunikacji otrzymuje tylko zakres konieczny do doręczenia wiadomości.

5. Przekazywanie poza EOG

Jeśli przetwarzanie obejmuje kraje spoza EOG, stosujemy mechanizmy zgodne z RODO (np. standardowe klauzule umowne, ocena transferu, dodatkowe zabezpieczenia). Informacje o stosowanych mechanizmach: nie dotyczy.

6. Okres przechowywania

Snapshoty danych przed/po płatności oraz metadane subskrypcji i stałych linków płatności przechowujemy przez okres potrzebny do obsługi transakcji, historii rozliczeń, diagnostyki i ewentualnych roszczeń, nie dłużej niż wymagają tego cele i obowiązki prawne.

Upływ podstawowego okresu retencji nie oznacza automatycznego i natychmiastowego fizycznego usunięcia danych ze wszystkich warstw technicznych w tej samej chwili. Część danych może pozostawać przez ograniczony czas w kopiach bezpieczeństwa, repozytoriach odtworzeniowych lub wydzielonych zasobach dowodowych, przy czym dostęp do nich jest ograniczany do przypadków rzeczywiście uzasadnionych operacyjnie lub prawnie.

7. Twoje prawa

Przysługuje Ci prawo dostępu, sprostowania, usunięcia (w granicach art. 17), ograniczenia, przenoszenia, sprzeciwu oraz cofnięcia zgody w dowolnym momencie. Możesz też złożyć skargę do właściwego organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych (PUODO). Żądania realizujemy bez zbędnej zwłoki, co do zasady w 30 dni.

Wykonanie prawa może wymagać doprecyzowania żądania, potwierdzenia tożsamości, wskazania kontekstu sprawy albo rozróżnienia, czy żądanie dotyczy danych przetwarzanych przez Serwis jako administratora, czy przez inny podmiot, np. PSP lub Sprzedawcę. Jeżeli wniosek jest oczywiście nieuzasadniony, nadmierny lub obejmuje dane osób trzecich, zakres odpowiedzi może zostać odpowiednio ograniczony zgodnie z prawem.

8. Źródła danych i obowiązek podania

Dane pochodzą bezpośrednio od Ciebie, z integracji logowania (np. Google) lub od PSP w zakresie statusów płatności. Podanie danych niezbędnych do założenia konta i realizacji płatności jest wymogiem umownym; niepodanie uniemożliwi świadczenie usług.

W określonych sytuacjach możemy pozyskiwać również dane pochodne lub techniczne, takie jak identyfikatory urządzenia/przeglądarki, logi zdarzeń, sygnatury bezpieczeństwa, historię prób logowania, informacje o błędach oraz dane przekazane przez użytkownika w zgłoszeniu. Dane te służą przede wszystkim bezpieczeństwu, diagnostyce i rozliczalności działań w Serwisie.

9. Cookies i podobne technologie

Stosujemy pliki cookie niezbędne do działania Serwisu oraz – za Twoją zgodą – funkcjonalne/ analityczne/ marketingowe. Szczegóły w Polityce cookies. Preferencje możesz zmienić w „Ustawieniach cookies” w stopce lub w banerze.

10. Zabezpieczenia

Wdrażamy środki adekwatne do ryzyka (m.in. szyfrowanie w tranzycie, kontrola dostępu, rejestr zdarzeń). Pamiętaj o silnych hasłach i ostrożności w udostępnianiu danych.

Zakres i intensywność zabezpieczeń mogą różnić się zależnie od typu danych, środowiska, roli użytkownika, charakteru funkcji i aktualnie identyfikowanego ryzyka. Stosujemy zasadę potrzeby dostępu, rozliczalności operacji, ograniczenia retencji i segmentacji systemów, ale użytkownik powinien pamiętać, że bezpieczeństwo jest procesem współdzielonym i wymaga również działań po jego stronie.

11. Dzieci i profilowanie

Serwis nie jest kierowany do dzieci poniżej 13/16 lat (zgodnie z właściwym prawem). Nie prowadzimy zautomatyzowanego podejmowania decyzji wywołującego skutki prawne; możemy stosować ograniczone profilowanie techniczne w celach bezpieczeństwa (np. wykrywanie nadużyć).

Profilowanie techniczne, o ile jest stosowane, służy co do zasady wykrywaniu wzorców nadużyć, ochronie integralności usługi, ograniczaniu prób przejęcia konta, weryfikacji nietypowych zachowań płatniczych lub separacji ruchu automatycznego od zwykłego ruchu użytkownika. Nie służy ono podejmowaniu decyzji o charakterze wyłącznie automatycznym wywołujących skutki prawne porównywalne z decyzją administracyjną lub sądową.

12. Zmiany polityki

Polityka może ulegać zmianom, o istotnych zmianach poinformujemy poprzez Serwis. Wersja i data publikacji znajdują się na górze dokumentu.

13. Kontakt

W sprawach danych osobowych: support@qrtransfers.com .

Nazwy dostawców (PSP, hosting, e‑mail, analityka) i okresy przechowywania mogą zależeć od konfiguracji Serwisu.

14. Kategorie osób, których dane dotyczą

15. Minimalizacja danych i privacy by design

Projektujemy funkcje zgodnie z zasadami minimalizacji, ograniczenia celu i przejrzystości. Staramy się gromadzić tylko dane niezbędne do wyraźnie wskazanych celów, z kontrolą okresów retencji i dostępów. Komponenty niefunkcjonalne (np. analityka, marketing) są domyślnie wyłączone bez zgody.

W praktyce oznacza to m.in. ograniczanie liczby pól obowiązkowych, rozdzielanie danych potrzebnych do płatności od danych potrzebnych do komunikacji, unikanie trwałego utrzymywania danych testowych w środowiskach produkcyjnych, stosowanie retencji warstwowej oraz analizowanie, czy określona funkcja może działać przy mniejszym zakresie danych niż pierwotnie założony.

16. Testy równowagi (art. 6 ust. 1 lit. f RODO)

W przypadku przetwarzania na podstawie uzasadnionego interesu (np. bezpieczeństwo, raportowanie) przeprowadzamy wewnętrzne testy równowagi, oceniając wpływ na prywatność oraz wdrażając środki łagodzące (m.in. ograniczenia dostępu, retencja, pseudonimizacja, rejestracja dostępu).

17. Specjalne kategorie danych

Co do zasady nie przetwarzamy szczególnych kategorii danych (art. 9 RODO). Jeśli użytkownik dobrowolnie ujawni takie dane w treści korespondencji, przetwarzamy je wyłącznie w zakresie niezbędnym do obsługi zgłoszenia i zalecamy unikanie przekazywania informacji wrażliwych.

18. Zautomatyzowane decyzje i profilowanie

Nie prowadzimy zautomatyzowanego podejmowania decyzji wywołującego skutki prawne. Możemy stosować ograniczone profilowanie techniczne do celów bezpieczeństwa (np. ocena ryzyka nadużyć na podstawie sygnałów technicznych) bez istotnych skutków prawnych dla osób, których dane dotyczą.

19. Identyfikacja przy realizacji praw

Ze względów bezpieczeństwa możemy poprosić o dodatkową identyfikację (np. potwierdzenie kontroli nad adresem e‑mail/kontem) przed realizacją prawa dostępu, usunięcia, ograniczenia, przenoszenia lub sprzeciwu. Odpowiadamy bez zbędnej zwłoki, co do zasady w 30 dni.

Nie realizujemy wniosków w sposób, który mógłby skutkować ujawnieniem danych osobie nieuprawnionej tylko dlatego, że podała podstawowe dane kontaktowe. Zakres weryfikacji jest dobierany do ryzyka i może obejmować potwierdzenie dostępu do konta, odpowiedź z właściwego kanału, potwierdzenie elementów historii sprawy albo inne proporcjonalne środki bezpieczeństwa.

20. Rejestry i audyt

Prowadzimy adekwatne rejestry czynności przetwarzania oraz – w uzasadnionym zakresie – dzienniki dostępu/zdarzeń. Regularnie przeglądamy uprawnienia i stosujemy zasadę najmniejszych uprawnień.

21. Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia, podejmujemy działania zaradcze, a jeśli jest to wymagane, zgłaszamy naruszenie organowi nadzorczemu i – gdy ryzyko jest wysokie – informujemy osoby, których dane dotyczą, zgodnie z art. 33–34 RODO.

22. Przekazywanie danych a podmioty trzecie

Współpracujemy tylko z podmiotami zapewniającymi odpowiedni poziom bezpieczeństwa i zgodności. Zawieramy umowy powierzenia (art. 28 RODO) i weryfikujemy standardy bezpieczeństwa (np. certyfikacje, audyty, TIA dla transferów poza EOG).

23. Dane dzieci

Serwis nie jest skierowany do dzieci poniżej 13/16 lat (w zależności od jurysdykcji). Jeśli poweźmiemy informację, że przetwarzamy dane dziecka bez odpowiedniej podstawy, podejmiemy działania w celu usunięcia danych i/lub uzyskania zgody opiekuna.

24. Kategorie i przykłady danych (rozszerzenie)

25. Okresy retencji (szczegóły)

26. Prawa osób, których dane dotyczą (szczegółowo)

27. Kontakt i skargi

Kontakt w sprawach ochrony danych: support@qrtransfers.com. Masz prawo wnieść skargę do właściwego organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych (PUODO).

Załącznik 1 — Wykaz głównych podmiotów przetwarzających

Poniższa lista ma charakter przykładowy i zależy od konfiguracji środowiska:

Załącznik 2 — Środki techniczne i organizacyjne (przykłady)

Załącznik 3 — FAQ RODO

Poniższe odpowiedzi pomagają zrozumieć sposób przetwarzania danych w Serwisie.

F.1. Na jakiej podstawie przetwarzacie moje dane?

Najczęściej jest to konieczność wykonania umowy (założenie i obsługa konta, realizacja płatności), uzasadniony interes (bezpieczeństwo, dochodzenie roszczeń), obowiązek prawny (np. księgowość) lub zgoda (np. marketing, niefunkcjonalne cookies).

F.2. Czy przekazujecie dane poza EOG?

Może do tego dojść, jeżeli dostawca technologii (np. analityka) hostuje dane poza EOG. Wtedy stosujemy odpowiednie zabezpieczenia (np. standardowe klauzule umowne) i uruchamiamy dane narzędzie dopiero po wyrażeniu zgody (gdy dotyczy).

F.3. Jak długo przechowujecie moje dane?

Tak długo, jak to konieczne do celów, dla których zostały zebrane, np. rozliczenia i obowiązki księgowe (5–10 lat), bezpieczeństwo (3–12 miesięcy), a dla marketingu — do wycofania zgody.

F.4. Jak mogę wykonać swoje prawa?

Skontaktuj się z nami mailowo (support@qrtransfers.com). W uzasadnionych przypadkach poprosimy o potwierdzenie tożsamości. Odpowiemy nie później niż w 30 dni.

F.5. Czy wykorzystujecie dane do profilowania?

Nie prowadzimy profilowania wywołującego skutki prawne. Możemy stosować ograniczoną analizę techniczną sygnałów w celu poprawy bezpieczeństwa i jakości usług.

F.6. Czy macie Inspektora Ochrony Danych?

Jeżeli zostanie wyznaczony IOD, jego kontakt będzie opublikowany w tym miejscu.

F.7. Jak zabezpieczacie dane?

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, w tym szyfrowanie transmisji, kontrolę dostępu, monitorowanie, kopie zapasowe, segmentację środowisk i przeglądy uprawnień.

F.8. Czy udostępniacie dane organom?

Wyłącznie w granicach prawa, na podstawie ważnych żądań lub przepisów (np. obowiązki AML/KYC po stronie PSP, postępowania karne).

F.9. Czy dane kart są u Was?

Nie. Dane instrumentów płatniczych przetwarza PSP. My otrzymujemy identyfikatory i statusy niezbędne do obsługi procesu.

F.10. Czy mogę usunąć konto?

Tak, możesz usunąć konto w ustawieniach (jeśli funkcja jest dostępna) lub poprzez kontakt. Po usunięciu konta możemy zachować ograniczony zakres danych, w szczególności adres e‑mail, imię i nazwisko, używany nickname/nazwę wyświetlaną, identyfikatory płatności oraz logi i ograniczone dane o korzystaniu z Serwisu, jeżeli jest to niezbędne do rozliczeń i obsługi płatności, bezpieczeństwa, zapobiegania nadużyciom, ochrony Płatników przed wprowadzeniem w błąd, obowiązków prawnych lub obrony roszczeń.

F.11. Skąd pochodzą moje dane?

Najczęściej od Ciebie (rejestracja, formularze), z integracji logowania (Google) oraz od PSP (statusy płatności). Gromadzimy też dane techniczne (IP, User‑Agent) dla bezpieczeństwa.

F.12. Czy wykorzystujecie cookies?

Tak — niezbędne do działania Serwisu oraz, za zgodą, funkcjonalne/analityczne/marketingowe. Szczegóły znajdziesz w Polityce cookies i w banerze zgód.

F.13. Jakie są podstawy prawne marketingu?

Komunikacja marketingowa jest oparta na zgodzie (art. 6 ust. 1 lit. a RODO) i przepisach sektorowych (np. uśude/PT). Zgodę możesz wycofać w dowolnym momencie.

F.14. Czy macie ROPA i DPIA?

Utrzymujemy odpowiednie rejestry czynności przetwarzania (ROPA). Oceny skutków (DPIA) przeprowadzamy tam, gdzie ryzyko jest wysokie, zgodnie z wytycznymi RODO.

F.15. Co w przypadku naruszenia danych?

Aktywujemy procedury IR: identyfikacja, ograniczenie skutków, analiza przyczyn, działania naprawcze i, gdy wymagane, zgłoszenie do organu oraz powiadomienie osób, których dane dotyczą.

F.16. Czy przekazujecie dane do celów statystycznych?

Możemy przetwarzać zagregowane/pseudonimizowane dane do celów statystyki i rozwoju, bez możliwości łatwej identyfikacji osoby. Dla narzędzi analitycznych stosujemy mechanizm zgody.

F.17. Czy mogę uzyskać kopię danych?

Tak, w ramach prawa dostępu i przenoszenia danych. Format i zakres zależą od charakteru danych i ograniczeń technicznych.

F.18. Jakie są konsekwencje odmowy podania danych?

Brak niektórych danych uniemożliwi świadczenie usług (np. bez e‑maila nie założysz konta, bez danych transakcyjnych nie zrealizujesz płatności).

F.19. Czy przetwarzacie dane dzieci?

Serwis nie jest przeznaczony dla dzieci poniżej 13/16 lat. Jeśli dowiemy się o przetwarzaniu takich danych bez podstawy, niezwłocznie podejmiemy działania naprawcze.

F.20. Kto jest organem właściwym?

Właściwy organ zależy od jurysdykcji. Wskazany w dokumencie: Prezes Urzędu Ochrony Danych Osobowych (PUODO).

Załącznik 4 — Rejestr czynności przetwarzania (skrót)

Poniżej prezentujemy przykładowo sformatowane wpisy ROPA dla głównych operacji. Rzeczywisty rejestr może zawierać więcej szczegółów i metadanych.

R.1. Obsługa kont użytkowników

Cel: zakładanie i utrzymanie kont, uwierzytelnianie, obsługa funkcji. Zakres: dane identyfikacyjne, kontaktowe, logowania, nickname/nazwa wyświetlana. Podstawa: art. 6 ust. 1 lit. b RODO. Odbiorcy: hosting, e‑mail. Retencja: do usunięcia konta; po usunięciu ograniczony zakres danych niezbędnych do płatności, wymogów prawnych, bezpieczeństwa i roszczeń. Transfery: wg konfiguracji dostawców. Środki: TLS, RBAC, monitoring.

R.2. Płatności i rozliczenia

Cel: przyjmowanie i obsługa płatności. Zakres: identyfikatory transakcji, kwoty, waluty, statusy. Podstawa: art. 6 ust. 1 lit. b/c RODO, przepisy AML po stronie PSP. Odbiorcy: PSP, księgowość. Retencja: 5–10 lat. Transfery: zależne od PSP. Środki: kontrole dostępu, rejestry zdarzeń.

R.3. Bezpieczeństwo i przeciwdziałanie nadużyciom

Cel: zapobieganie nadużyciom, zapewnienie dostępności. Zakres: IP, UA, logi, ograniczone dane o korzystaniu z Serwisu. Podstawa: art. 6 ust. 1 lit. f. Odbiorcy: hosting. Retencja: 3–12 miesięcy, a dłużej wyłącznie gdy wymaga tego incydent, płatność lub roszczenie. Środki: rate limiting, monitoring, hardening.

R.4. Wsparcie i komunikacja

Cel: obsługa zgłoszeń, kontakt. Zakres: e‑mail, treść zgłoszeń, metadane. Podstawa: art. 6 ust. 1 lit. b/f. Odbiorcy: e‑mail/SMS. Retencja: do 24 miesięcy lub do zamknięcia sprawy + okres dowodowy. Środki: kontrola dostępu, szyfrowanie transportu.

R.5. Analityka (za zgodą)

Cel: pomiar ruchu i jakości. Zakres: pseudonimizowane identyfikatory, zdarzenia. Podstawa: art. 6 ust. 1 lit. a. Odbiorcy: dostawca analityki. Retencja: zgodnie z konfiguracją narzędzia. Środki: anonimizacja IP, kontrola retencji.

R.6. Marketing (za zgodą)

Cel: komunikacja marketingowa. Zakres: e‑mail, preferencje. Podstawa: art. 6 ust. 1 lit. a + przepisy sektorowe. Odbiorcy: dostawca e‑mail/SMS. Retencja: do wycofania zgody. Środki: opt‑in, rejestr zgód.

R.7. Rozwój i utrzymanie

Cel: testy, diagnostyka, poprawki. Zakres: zanonimizowane/pseudonimizowane dane techniczne. Podstawa: art. 6 ust. 1 lit. f. Odbiorcy: hosting, narzędzia CI/CD. Retencja: minimalna, niezbędna do celu. Środki: separacja środowisk, dostęp ograniczony.

R.8. Dochodzenie/obrona roszczeń

Cel: ustalenie i dochodzenie roszczeń, obrona przed roszczeniami. Zakres: dane kont, transakcji, komunikacji. Podstawa: art. 6 ust. 1 lit. f. Odbiorcy: kancelarie prawne, organy. Retencja: do upływu przedawnienia roszczeń. Środki: kontrola dostępu, poufność.

Załącznik 5 — Identyfikacja tożsamości i obsługa wniosków

Aby chronić prywatność, stosujemy procedury identyfikacyjne. Poniżej opis kroków:

  1. Wniosek: prześlij z adresu powiązanego z kontem i wskaż prawo, z którego korzystasz.
  2. Weryfikacja: możemy poprosić o dodatkowe potwierdzenie (np. kod wysłany na e‑mail).
  3. Analiza zakresu: weryfikujemy, czy realizacja jest możliwa, i które dane obejmie.
  4. Realizacja: przygotowanie danych/zmian, usunięcie lub ograniczenie — zgodnie z prawem i wyjątkami.
  5. Odpowiedź: informujemy o rezultacie i podstawach prawnych, zwykle w terminie 30 dni.

Załącznik 6 — Polityka retencji danych (rozszerzenie)

Retencja opiera się na zasadzie ograniczenia przechowywania. Poniżej szerszy opis:

Załącznik 7 — Transfer Impact Assessment (TIA) — skrót

W przypadku transferów poza EOG oceniamy ryzyko i stosujemy środki kompensujące. Przykładowe elementy oceny:

Załącznik 8 — Realizacja praw (instrukcje szczegółowe)

Poniżej opis kroków dla wybranych praw osób, których dane dotyczą:

Prawo dostępu

Złóż wniosek, wskaż zakres danych (np. kopia danych konta, logi logowania z ostatnich 6 miesięcy). Po weryfikacji tożsamości przygotujemy zestaw informacji wymaganych art. 15 RODO oraz kopię danych w powszechnym formacie.

Prawo sprostowania

Jeśli dane są nieprawidłowe lub niekompletne, wskaż poprawne brzmienie. Możemy poprosić o dokumenty potwierdzające. Wprowadzimy korektę bez zbędnej zwłoki, informując – gdzie to możliwe – odbiorców, którym dane ujawniono.

Prawo do usunięcia

W przypadkach przewidzianych w art. 17 RODO (np. brak podstawy, wycofanie zgody) usuniemy dane. Pamiętaj, że obowiązki prawne, rozliczenia i obsługa płatności, bezpieczeństwo, zapobieganie nadużyciom, ochrona Płatników przed wprowadzeniem w błąd oraz ustalenie, dochodzenie lub obrona roszczeń mogą wymagać dalszego przetwarzania ograniczonego zakresu niektórych danych.

Prawo do ograniczenia

Na czas sporu co do prawidłowości danych lub podstaw przetwarzania, możemy oznaczyć dane jako ograniczone i nie wykonywać na nich operacji poza przechowywaniem oraz innymi dozwolonymi czynnościami.

Prawo do przenoszenia

Dotyczy danych dostarczonych przez Ciebie, przetwarzanych na podstawie zgody lub umowy i w sposób zautomatyzowany. Wskaż format i – jeśli to możliwe – odbiorcę, któremu mamy dane przekazać bezpośrednio.

Prawo sprzeciwu

Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO). Rozważymy Twoją sytuację i – o ile nie wykażemy nadrzędnych podstaw – zaprzestaniemy przetwarzania w spornej części.

Cofnięcie zgody

Zgodę wycofasz w każdym momencie, np. w ustawieniach lub przez kontakt. Wycofanie nie wpływa na zgodność przetwarzania sprzed odwołania.

Załącznik 9 — Podstawy prawne i przykłady

Umowa (art. 6 ust. 1 lit. b): utworzenie konta, logowanie, obsługa płatności i funkcji Serwisu. Bez tych danych nie możemy świadczyć usług. Zakres jest ograniczony do tego, co niezbędne.

Obowiązek prawny (lit. c): księgowość, przeciwdziałanie nadużyciom finansowym. Okresy retencji i zakres danych mogą wynikać z przepisów szczególnych.

Uzasadniony interes (lit. f): bezpieczeństwo, raportowanie, dochodzenie roszczeń, ulepszanie usług. Stosujemy testy równowagi i środki łagodzące (pseudonimizacja, retencja, kontrola dostępu).

Zgoda (lit. a): analityka/marketing, jeśli są używane. Zgoda jest dobrowolna i odwoływalna; brak zgody nie wpływa na funkcje niezbędne.

Załącznik 10 — Mapa danych: źródła i przepływy

Źródła danych: użytkownik (formularze, ustawienia), integracje logowania (Google), PSP (statusy transakcji), dane techniczne (IP/UA). Przepływy: przeglądarka ↔ Serwis (TLS), Serwis ↔ dostawcy (umowy powierzenia), PSP ↔ Serwis (webhooki/statusy). Rejestrujemy istotne zdarzenia bezpieczeństwa dla celów dowodowych i diagnostycznych.

Załącznik 11 — Bezpieczeństwo techniczne (rozwinięcie)

Bezpieczeństwo traktujemy jako proces. Wdrażamy szereg praktyk, w tym: regularne aktualizacje komponentów, przeglądy uprawnień, segmentację środowisk (dev/test/prod), zasadę najmniejszych uprawnień, monitorowanie anomalii, obronę warstwową (WAF, rate limiting), mechanizmy walidacji danych i ochrony przed powszechnymi podatnościami (OWASP). Dane w tranzycie chroni TLS, a dostęp do panelu administracyjnego jest ograniczony i rejestrowany.

W zakresie przechowywania danych wykorzystujemy szyfrowanie na poziomie transportu, a w miarę możliwości także szyfrowanie w spoczynku u dostawców chmurowych. Klucze i sekrety przechowujemy w dedykowanych usługach zarządzania sekretami, a dostęp do nich jest audytowalny. Prowadzimy kopie zapasowe istotnych danych i testujemy proces odtworzeniowy.

Bezpieczeństwo pracowników i dostępu obejmuje szkolenia okresowe, polityki haseł i MFA (gdzie możliwe), przeglądy nadanych ról i szybkie wycofywanie dostępów po zmianach personalnych. Współpracujemy z dostawcami przestrzegającymi branżowych standardów bezpieczeństwa i wymagamy odpowiednich klauzul w umowach powierzenia.

Załącznik 12 — Zakres negatywny przetwarzania i czynności niewykonywanych

Dla uniknięcia wątpliwości wskazujemy, że niniejsza Polityka opisuje zakres przetwarzania danych niezbędny do działania Serwisu oraz jego funkcji pomocniczych, a nie dowolne, nieograniczone operacje analityczne lub marketingowe. Co do zasady:

Jeżeli użytkownik dobrowolnie prześle dane wykraczające poza potrzebny zakres, możemy je przetwarzać incydentalnie w rozmiarze niezbędnym do obsługi sprawy, bezpieczeństwa, ustalenia stanu faktycznego albo obrony roszczeń, z jednoczesnym dążeniem do minimalizacji i ograniczenia retencji.

Załącznik 13 — Dane, których prosimy nie przekazywać bez wyraźnej potrzeby

Aby ograniczać ryzyko nadmiarowego przetwarzania, prosimy nie przesyłać nam, o ile nie poprosimy o to w sposób jednoznaczny i zgodny z prawem, następujących kategorii informacji:

Jeżeli takie dane zostaną przesłane, możemy zastosować środki ograniczające ich dalsze przetwarzanie, w tym usunięcie z obiegu operacyjnego, redakcję, skrócenie retencji lub żądanie ponownego przekazania materiałów w wersji zanonimizowanej.

Załącznik 14 — Granice odpowiedzialności informacyjnej i rozdział ról administratorów

Nie wszystkie dane pojawiające się w procesie płatności, subskrypcji lub obsługi świadczenia są administrowane wyłącznie przez Serwis. W szczególności PSP, banki, organizacje płatnicze, dostawcy tożsamości, dostawcy hostingu, dostawcy poczty, a czasem również Sprzedawca, mogą działać jako odrębni administratorzy albo podmioty przetwarzające w zakresie własnych celów i obowiązków prawnych. Oznacza to, że żądanie dotyczące danych przetwarzanych samodzielnie przez taki podmiot może wymagać skierowania bezpośrednio do niego, a niniejsza Polityka nie opisuje w pełnym zakresie procesów realizowanych wyłącznie poza infrastrukturą i kontrolą Serwisu.

Załącznik 15 — Scenariusze pozyskiwania danych i przykładowe ścieżki przepływu

Dane mogą trafiać do Serwisu w różnych scenariuszach operacyjnych, z których każdy ma odmienny zakres, podstawę oraz czas przechowywania. Przykładowo: podczas rejestracji pozyskujemy dane niezbędne do utworzenia konta i utrzymania możliwości logowania; podczas płatności otrzymujemy statusy, identyfikatory i metadane transakcyjne z PSP; podczas kontaktu z supportem otrzymujemy treść zgłoszenia, załączniki i dane kontaktowe; podczas korzystania ze stron publicznych rejestrujemy dane techniczne ruchu oraz preferencje cookies; a podczas obsługi bezpieczeństwa możemy tymczasowo przetwarzać dodatkowe informacje pozwalające ustalić źródło incydentu, zakres ryzyka i potrzebę reakcji.

Każdy z tych strumieni danych jest przetwarzany według zasady ograniczenia celu. To, że określona informacja pojawiła się w jednym procesie, nie oznacza automatycznie, że będzie używana w każdym innym procesie. Przykładowo dane potrzebne do uwierzytelnienia nie są tożsame z danymi potrzebnymi do marketingu, a informacje techniczne potrzebne do wykrywania nadużyć nie stają się z tego powodu materiałem do personalizacji komercyjnej. Jeżeli dochodzi do łączenia danych z różnych źródeł, odbywa się to wyłącznie w zakresie potrzebnym do bezpieczeństwa, rozliczeń, zgodności prawnej, wykonania umowy lub innego jasno wskazanego celu.

Załącznik 16 — Operacyjne ograniczenia realizacji praw osób, których dane dotyczą

Realizacja praw z RODO jest zasadą, ale nie ma charakteru absolutnego. W praktyce zakres wykonania żądania może zostać ograniczony, odroczony albo zawężony, jeżeli wymaga tego bezpieczeństwo konta, ochrona praw i wolności innych osób, tajemnica przedsiębiorstwa, nienaruszalność logów bezpieczeństwa, obowiązki rachunkowe, przeciwdziałanie nadużyciom, obrona roszczeń, wymogi proceduralne PSP lub obowiązki wynikające z przepisów szczególnych. W takich sytuacjach nie odmawiamy uprawnienia dowolnie, lecz stosujemy ograniczenie wyłącznie w zakresie koniecznym i proporcjonalnym.

Przykładowo: żądanie usunięcia nie może objąć danych, które muszą pozostać w celu rozliczenia transakcji, wyjaśnienia chargebacku, zachowania dowodu bezpieczeństwa, wykonania obowiązku prawnego lub ochrony Płatników przed powtórnym wprowadzeniem w błąd; żądanie dostępu może wymagać redakcji danych osób trzecich; żądanie przeniesienia nie obejmuje wszystkich danych pochodnych, ocen ryzyka czy rejestrów technicznych; a sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu może zostać nieuwzględniony, jeżeli wykażemy istnienie nadrzędnych, prawnie uzasadnionych podstaw.

Załącznik 17 — Zasady minimalizacji w komunikacji i zgłoszeniach do supportu

W korespondencji kierowanej do Serwisu należy przekazywać tylko takie dane, które są potrzebne do identyfikacji sprawy i jej rozwiązania. W praktyce zwykle wystarczające są: identyfikator konta, adres e‑mail, numer transakcji, opis problemu, data zdarzenia i zrzut ekranu z zamaskowanymi danymi nadmiarowymi. Przesyłanie większej ilości informacji niż potrzebna może zwiększać ryzyko dla prywatności, wydłużać proces redakcji materiałów i powodować konieczność dodatkowego ograniczenia retencji.

Jeżeli zgłoszenie zawiera dane niepotrzebne, szczególnie wrażliwe albo dane osób trzecich wykraczające poza to, co jest niezbędne do rozwiązania sprawy, możemy takie elementy pominąć w analizie, zanonimizować, usunąć z dalszego obiegu operacyjnego albo poprosić o ponowne przekazanie materiału w bezpieczniejszej formie. Serwis nie odpowiada za decyzję użytkownika o dobrowolnym przekazaniu nadmiarowych danych, jeżeli nie zostały one wyraźnie zażądane przez uprawniony proces.

Załącznik 18 — Retencja rozszerzona w sprawach spornych, bezpieczeństwa i nadużyć

Standardowe okresy retencji mogą ulec wydłużeniu, jeżeli określone dane są niezbędne do ochrony integralności usługi, ustalenia przebiegu incydentu, obrony przed roszczeniem, odpowiedzi na żądanie organu, wyjaśnienia sporu płatniczego, chargebacku, próby przejęcia konta, oszustwa, podszywania się, naruszenia zasad korzystania z Serwisu albo powtarzalnego wzorca zachowań nadużyciowych. Wydłużenie nie oznacza automatycznie, że pełen zestaw danych będzie dalej przetwarzany w aktywnym obiegu; możliwe jest jego ograniczenie, odseparowanie, zamrożenie lub przechowywanie wyłącznie do celów dowodowych.

W takich sytuacjach część danych może zostać zachowana nawet po usunięciu konta lub po wycofaniu zgody, o ile dalsze przetwarzanie znajduje odrębną podstawę prawną. Dotyczy to zwłaszcza identyfikatorów transakcji, logów bezpieczeństwa, zapisów zmian uprawnień, śladów zgód, korespondencji istotnej dla rozliczenia sprawy oraz informacji potrzebnych do zapobiegania ponownemu wystąpieniu tego samego nadużycia.

Załącznik 19 — Czego administrator co do zasady nie robi z danymi użytkowników

Dla uniknięcia wątpliwości wskazujemy dodatkowo, że o ile użytkownik nie otrzyma odrębnej, wyraźnej informacji lub nie wynika to z przepisów prawa, Administrator co do zasady nie:

Załącznik 20 — Rozdzielenie obowiązków administratora Serwisu i administratora po stronie Sprzedawcy

Jeżeli Sprzedawca wykorzystuje Serwis do pozyskiwania płatności od własnych klientów, pracowników, subskrybentów, uczestników wydarzeń lub darczyńców, może on samodzielnie pozostawać administratorem danych w relacji ze swoimi odbiorcami. W takim przypadku to Sprzedawca odpowiada za spełnienie własnych obowiązków informacyjnych, wybór podstaw prawnych, treść komunikatów marketingowych, zasady retencji po swojej stronie, legalność profilowania, zgodność newsletterów, zasadność przekazywania danych do swoich podwykonawców i reakcję na żądania osób, których dane przetwarza niezależnie od Serwisu.

Administrator Serwisu nie przejmuje automatycznie tych obowiązków tylko dlatego, że przetwarzanie odbywa się z użyciem jego infrastruktury. Korzystanie z narzędzia płatniczego, panelu lub formularzy Serwisu nie zwalnia Sprzedawcy z obowiązku posiadania własnej polityki prywatności, klauzul informacyjnych, rejestru zgód, procedur retencji i odpowiedzi na żądania osób w zakresie danych przetwarzanych dla jego własnych celów biznesowych.

Załącznik 21 — Oficjalne aplikacje mobilne QRTransfers

Niniejsza Polityka obejmuje również oficjalne aplikacje mobilne QRTransfers dla Androida i iOS. Aplikacje działają jako warstwa mobilna do korzystania z Serwisu pod adresem https://qrtransfers.com, dlatego dane przetwarzane w aplikacjach są objęte tą samą ogólną Polityką prywatności, a nie osobnym, niezależnym dokumentem.