Polityka Prywatności

1. Postanowienia ogólne

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych użytkowników serwisu NavyFlame (dalej: „Serwis") dostępnego pod adresem navyflame.com oraz pod subdomenami {slug}.navyflame.com przydzielanymi indywidualnym klientom.

Polityka jest zgodna z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO / GDPR) oraz ustawą z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 poz. 1781 z późn. zm.).

2. Administrator danych

Administratorem Pana/Pani danych osobowych jest:

• MDS Software Solutions Group Sp. z o.o. (prowadząca platformę pod marką „NavyFlame")
• Adres siedziby: ul. Majora „Hubala" 1/605, 45-266 Opole, Polska
• NIP: 7543374056
• REGON: 540140409
• KRS: 0001137425 (Sąd Rejonowy w Opolu, VIII Wydział Gospodarczy KRS)
• Kapitał zakładowy: 5 000,00 zł (w pełni opłacony)
• Email kontaktowy: privacy@navyflame.com

W sprawach związanych z ochroną danych osobowych można kontaktować się również z naszym Inspektorem Ochrony Danych pod adresem dpo@navyflame.com lub gdpr@navyflame.com.

3. Kategorie przetwarzanych danych osobowych

W zależności od zakresu korzystania z Serwisu przetwarzamy następujące kategorie:

• Dane identyfikacyjne: imię, nazwisko, adres email
• Dane logowania: hash hasła (bcrypt), tokeny odświeżania (refresh tokens), identyfikatory sesji, IP, user agent, znacznik czasu logowania
• Dane kontaktowe: numer telefonu (opcjonalny), preferencje powiadomień
• Dane firmy klienta: nazwa firmy, NIP, REGON, adres rejestrowy (gdy użytkownik prowadzi działalność gospodarczą)
• Dane rozliczeniowe: historia subskrypcji, identyfikatory Stripe (customer ID, subscription ID - brak danych karty po stronie NavyFlame, są procesowane bezpośrednio przez Stripe)
• Dane audytowe: logi operacji (zmiany konta, logowania, dostępy)
• Dane biznesowe tenanta: dane klientów końcowych merchanta (zamówienia, faktury, wysyłki) - przetwarzane jako podmiot przetwarzający (procesor) w imieniu merchanta-administratora, fizycznie zapisane na dedykowanym serwerze VPS klienta
• Dane techniczne: adres IP, typ przeglądarki, system operacyjny, identyfikatory plików cookies
• Dane anty-nadużyciowe: adres IP, odcisk urządzenia (haszowany, generowany po stronie przeglądarki, bez dostawcy zewnętrznego), haszowany adres email oraz metadane płatności (odcisk karty Stripe + 4 ostatnie cyfry, bez pełnego numeru karty) - przetwarzane wyłącznie w celu wykrywania i zapobiegania nadużyciom okresu próbnego. Dane te pozostają na warstwie kontrolnej platformy i nie są kopiowane na serwer VPS klienta

4. Cel i podstawa prawna przetwarzania

5. Odbiorcy danych (sub-procesorzy)

Korzystamy ze sprawdzonych dostawców usług IT (sub-procesorów) zgodnie z art. 28 RODO. Pełna lista jest publicznie dostępna na stronie /subprocessors. Skrót głównych odbiorców:

• Stripe Payments Europe Ltd. (Irlandia) - procesowanie płatności subskrypcyjnych
• Contabo GmbH (Niemcy) - hosting VPS (infrastruktura)
• Cloudflare, Inc. (USA, EU edge) - DNS, CDN, WAF, Cloudflare Workers (Stripe webhook ingest). Transfer poza EOG na podstawie Data Privacy Framework + Standard Contractual Clauses
• GitHub, Inc. (Microsoft) (USA) - hosting kodu źródłowego + container registry (GHCR). Transfer poza EOG: DPF + SCCs
• Anthropic, PBC (USA) - Claude API dla AI-assisted features katalogu (opt-in). Transfer poza EOG: Standard Contractual Clauses
• Sentry (Functional Software, Inc.) - error tracking, region UE (Frankfurt) - brak transferu poza EOG

Każda zmiana listy sub-procesorów wymaga 30-dniowego powiadomienia klientów B2B (zgodnie z art. 28 ust. 2 RODO).

6. Transfer danych poza EOG

Niektórzy sub-procesorzy (Cloudflare, GitHub, Anthropic) mają siedzibę w USA. Dla każdego transferu poza Europejski Obszar Gospodarczy stosujemy:

• EU-US Data Privacy Framework (DPF) - dla certyfikowanych podmiotów (Stripe, Cloudflare, GitHub/Microsoft)
• Standardowe Klauzule Umowne (SCCs) Komisji Europejskiej zatwierdzone Decyzją Wykonawczą (UE) 2021/914 - fallback + dla Anthropic
• Transfer Impact Assessment wykonywany przed każdą nową integracją z dostawcą spoza EOG

7. Okres przechowywania danych

7a. Newsletter NavyFlame (marketing email)

Niezależnie od korzystania z platformy SaaS możesz dobrowolnie zapisać się na nasz newsletter marketingowy. Przetwarzamy wtedy następujące dane na zasadach opisanych poniżej:

• Zakres danych: adres email, źródło zapisu (URL strony), hash adresu IP, user-agent przeglądarki w momencie zapisu, wersja treści zgody, którą zaakceptowałeś, timestampy (zapis, potwierdzenie, wypisanie).
• Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) + art. 10 ustawy o świadczeniu usług drogą elektroniczną (zgoda na komunikację handlową).
• Cel: wysyłka cyklicznego newslettera (~co 2 tygodnie) z informacjami o platformie NavyFlame, treściami z bloga, statusem partnerstw i nowościami produktowymi. Bez profilowania, bez handlu listą.
• Double opt-in: po zapisie wysyłamy email z linkiem potwierdzającym (ważny 24h). Bez kliknięcia linku Twój adres NIE trafia na aktywną listę i nie wyślemy żadnych dalszych maili.
• Wycofanie zgody (one-click): każdy mail newsletterowy zawiera link "Wypisz się" oraz nagłówekList-Unsubscribe(RFC 8058) wspierany przez Gmail/Yahoo/Outlook. Kliknięcie linku lub użycie przycisku "Unsubscribe" w kliencie pocztowym natychmiast usuwa Twój adres z listy - bez loginu, bez pytań, bez warunków.
• Sub-procesor delivery: Resend (EU region) - zewnętrzny dostawca SMTP/Broadcast API używany do faktycznej wysyłki. Szczegóły zobowiązań Resenda: lista podwykonawców.
• Brak profilowania: wysyłamy wszystkim subskrybentom tę samą treść. Nie segmentujemy listy na podstawie behawioralnych danych (otwarcia, kliknięcia trafiają tylko do statystyk agregatu kampanii, nie do profilu indywidualnego).
• Right-to-be-forgotten: żądanie usunięcia danych (art. 17 RODO) realizujemy w ciągu 30 dni - usuwamy email z listy i z mirrora w Resend Audiences. Hash adresu retencjonujemy tylko po to, żeby przypadkowy re-import nie wskrzesił subskrypcji.

8. Prawa użytkownika (art. 15-22 RODO)

Przysługują Panu/Pani następujące prawa wynikające z RODO:

• Prawo dostępu (art. 15) - uzyskanie informacji o tym, czy i w jakim zakresie przetwarzamy dane oraz otrzymanie ich kopii. Realizacja: panel /app/konto/profil → „Pobierz moje dane"
• Prawo do sprostowania (art. 16) - żądanie poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych. Realizacja: panel profilu lub email privacy@navyflame.com
• Prawo do usunięcia (art. 17) - żądanie usunięcia („prawo do bycia zapomnianym") z zastrzeżeniem wyjątków (compliance finansowa, audyt bezpieczeństwa). Realizacja: panel → „Usuń konto" lub email
• Prawo do ograniczenia przetwarzania (art. 18) - żądanie zawieszenia przetwarzania w określonych przypadkach
• Prawo do przenoszenia (art. 20) - otrzymanie danych w ustrukturyzowanym formacie (JSON) lub przeniesienie ich do innego administratora. Realizacja: ten sam export co art. 15
• Prawo do sprzeciwu (art. 21) - np. wobec marketingu bezpośredniego. Realizacja: unsubscribe link w każdym mailu marketingowym + panel preferencji powiadomień
• Prawo do cofnięcia zgody w dowolnym momencie - bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem

Procedurę realizacji każdego prawa, weryfikację tożsamości oraz termin odpowiedzi (maksymalnie 1 miesiąc, cel wewnętrzny 14 dni) opisujemy w osobnym dokumencie wewnętrznym, dostępnym na żądanie radcy prawnego klienta.

9. Pliki cookies

Serwis używa plików cookies w trzech kategoriach:

• Niezbędne - wymagane do prawidłowego działania strony (sesja, preferencje języka, koszyk). Aktywne zawsze, nie wymagają zgody na mocy art. 173 ust. 3 ustawy Prawo telekomunikacyjne
• Analityczne - anonimowe statystyki ruchu i optymalizacja UX (m.in. Google Analytics 4 z włączonym Consent Mode v2 oraz anonimizacją IP). Aktywne dopiero po wyrażeniu zgody
• Marketingowe - personalizacja treści i remarketing. Aktywne dopiero po wyrażeniu zgody

Zgody są zarządzane przez baner cookie wyświetlany przy pierwszej wizycie. Można je w każdej chwili zmienić - wyczyszczenie cookies w przeglądarce spowoduje ponowne wyświetlenie banera.

10. Bezpieczeństwo danych

Stosujemy adekwatne środki techniczne i organizacyjne zgodnie z art. 32 RODO:

• Szyfrowanie w transporcie (TLS 1.2+)
• Szyfrowanie w spoczynku (filesystem-level + application-level dla wrażliwych pól)
• Hashowanie haseł algorytmem bcrypt (cost 12)
• Wieloskładnikowe uwierzytelnianie (MFA) dla ról administracyjnych
• mTLS dla komunikacji wewnętrznej (Step CA z rotacją certów 7 dni)
• Izolacja per-tenant (każdy tenant na osobnym VPS z osobną bazą Prisma)
• Audit log wszystkich zmian danych osobowych
• Regularny audyt bezpieczeństwa + zewnętrzny pentest (annualnie)
• Program bug bounty (uruchomienie 30 dni po launchu)

11. Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych, które może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych:

• Powiadamiamy Prezesa Urzędu Ochrony Danych Osobowych (UODO) w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO)
• Powiadamiamy osoby, których dane dotyczą, bez zbędnej zwłoki, jeśli naruszenie wiąże się z wysokim ryzykiem (art. 34 RODO) - email + baner in-app

12. Prawo do skargi do organu nadzorczego

Przysługuje Panu/Pani prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pan/Pani, iż przetwarzanie danych narusza przepisy RODO:

• Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa
• Strona internetowa: https://uodo.gov.pl/pl/p/skargi
• Telefon: +48 22 531 03 00

13. Klienci B2B - DPA

Gdy klient (administrator) korzysta z NavyFlame do przetwarzania danych swoich klientów końcowych, NavyFlame występuje jako podmiot przetwarzający. Standardowa Umowa Powierzenia Przetwarzania Danych (DPA) zgodna z art. 28 RODO jest dostępna na życzenie - szczegóły /dpa.

14. Kontakt

Wszelkie pytania i żądania dotyczące ochrony danych osobowych prosimy kierować na poniższe adresy:

• Ogólne sprawy prywatności: privacy@navyflame.com
• Inspektor Ochrony Danych: dpo@navyflame.com
• Żądania RODO (art. 15-22): gdpr@navyflame.com
• Sprawy prawne i DPA: legal@navyflame.com
• Adres pocztowy: MDS Software Solutions Group Sp. z o.o., ul. Majora „Hubala" 1/605, 45-266 Opole, Polska

Odpowiadamy w terminie do 1 miesiąca od otrzymania żądania (cel wewnętrzny: 14 dni).

8. Google Analytics i Google Tag Manager

Serwis korzysta z usług Google Analytics 4 (GA4) oraz Google Tag Manager (GTM) dostarczanych przez Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia) - administratora danych w EOG. Dane mogą być przekazywane do Google LLC (USA) na podstawie Standardowych Klauzul Umownych UE oraz certyfikacji EU-US Data Privacy Framework.

• Cel przetwarzania: analiza ruchu, pomiar konwersji, optymalizacja doświadczenia użytkownika
• Podstawa prawna: art. 6 ust. 1 lit. a RODO - zgoda wyrażona w panelu cookie consent (Consent Mode v2)
• Stan domyślny (Consent Mode v2): wszystkie kategorie analityczne i marketingowe są wyłączone (denied) do momentu wyrażenia przez Ciebie zgody. Bez zgody nie zapisujemy żadnych identyfikatorów ani plików cookies tych dostawców.
• Kategorie danych: zanonimizowany adres IP, identyfikatory plików cookies, eventy nawigacji, identyfikator tenanta (custom dimension tenant_slug) w celu separacji raportów per klient
• Czas przechowywania w GA4: 14 miesięcy (domyślna retencja Google Analytics 4 skonfigurowana w panelu właściwości)
• Anonimizacja IP: aktywna (standard GA4 - Google nie udostępnia pełnych adresów IP w raportach)
• Wycofanie zgody: w dowolnym momencie możesz zmienić preferencje - kliknij ustawienia plików cookies, aby ponownie otworzyć panel zarządzania zgodami
• Pełna lista podwykonawców: patrz lista podwykonawców

8a. Piksel Meta (Facebook)

Serwis korzysta z Piksela Meta (Meta Pixel) dostarczanego przez Meta Platforms Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irlandia) - administratora danych w EOG. Dane mogą być przekazywane do Meta Platforms, Inc. (USA) na podstawie Standardowych Klauzul Umownych UE oraz certyfikacji EU-US Data Privacy Framework.

• Cel przetwarzania: pomiar konwersji reklam, remarketing oraz optymalizacja kampanii w serwisach Meta (Facebook, Instagram)
• Podstawa prawna: art. 6 ust. 1 lit. a RODO - zgoda na kategorię marketingową wyrażona w panelu cookie consent
• Stan domyślny: Piksel NIE jest ładowany i nie zbiera żadnych danych do momentu wyrażenia zgody marketingowej. Bez zgody skrypt Meta w ogóle się nie uruchamia.
• Kategorie danych: identyfikatory plików cookies, adres IP oraz zdarzenia (odsłony stron, rozpoczęcie płatności, rejestracja, zakup) - przetwarzane przez Meta do dopasowania konwersji i tworzenia grup odbiorców
• Wycofanie zgody: w dowolnym momencie - kliknij ustawienia plików cookies, aby ponownie otworzyć panel zarządzania zgodami
• Pełna lista podwykonawców: patrz lista podwykonawców

8b. Microsoft UET (Bing)

Serwis korzysta z tagu Microsoft UET (Universal Event Tracking) dostarczanego przez Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlandia) na potrzeby reklam w Microsoft Advertising (Bing). Dane mogą być przekazywane do Microsoft Corporation (USA) na podstawie Standardowych Klauzul Umownych UE oraz certyfikacji Data Privacy Framework.

• Cel przetwarzania: pomiar konwersji reklam oraz optymalizacja kampanii w Microsoft Advertising (Bing)
• Podstawa prawna: art. 6 ust. 1 lit. a RODO - zgoda na kategorię marketingową wyrażona w panelu cookie consent
• Stan domyślny: tag UET NIE jest ładowany i nie zbiera żadnych danych do momentu wyrażenia zgody marketingowej. Bez zgody skrypt Microsoft w ogóle się nie uruchamia.
• Kategorie danych: identyfikatory plików cookies, adres IP oraz zdarzenia (odsłony stron, rozpoczęcie płatności, rejestracja, zakup) - przetwarzane przez Microsoft do dopasowania konwersji reklamowych
• Wycofanie zgody: w dowolnym momencie - kliknij ustawienia plików cookies, aby ponownie otworzyć panel zarządzania zgodami
• Pełna lista podwykonawców: patrz lista podwykonawców

9. Kontakt

Niniejsza Polityka może być aktualizowana w przypadku zmian regulacyjnych, zmiany sub-procesorów lub modyfikacji procesów przetwarzania. O istotnych zmianach informujemy z 30-dniowym wyprzedzeniem (email + baner in-app). Drobne zmiany redakcyjne publikujemy wraz z aktualizacją daty na początku dokumentu.