Polityka Prywatności

1. Administrator danych i informacje ogólne

Niniejsza polityka prywatności określa zasady przetwarzania danych osobowych użytkowników serwisu flippio.pl (dalej: „Serwis"). Administratorem danych osobowych jest Flippio (dalej: „Administrator"), kontakt: [email protected].

Administrator przetwarza dane zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz przepisami prawa polskiego.

Niniejsza polityka dotyczy wyłącznie Serwisu flippio.pl. Serwis korzysta z usług podmiotów trzecich (Discord, Stripe, Cloudflare, OVH) posiadających własne polityki prywatności, za które Administrator nie odpowiada.

2. Zakres zbieranych danych

Administrator zbiera następujące kategorie danych osobowych:

• Formularz kontaktowy: adres e-mail lub nazwa Discord, treść wiadomości, adres IP (przechowywany przez 24h do celów anty-spamowych).
• Formularz apelacyjny: nazwa użytkownika Discord, ID użytkownika Discord, treść apelacji, adres IP (przechowywany przez 24h).
• Autoryzacja Discord (OAuth2): nazwa użytkownika Discord, ID użytkownika, awatar, baner — niezbędne do przypisania roli na serwerze Discord po zakupie subskrypcji.
• Płatności (Stripe): imię, adres e-mail, ostatnie cztery cyfry karty płatniczej, kraj/lokalizacja. Pełne dane karty płatniczej są przetwarzane wyłącznie przez Stripe, Inc. i nie trafiają na serwery Administratora.
• Dane sesji (ApiSession): identyfikator sesji, adres IP, skrót odcisku przeglądarki (User-Agent), data wygaśnięcia. Służą wyłącznie do bezpiecznej autoryzacji i wykrywania przejęcia sesji.
• Cloudflare Turnstile: adres IP, dane urządzenia i dane behawioralne (np. ruchy myszą) — zbierane przez Cloudflare, Inc. w celu weryfikacji antybotowej w formularzu apelacyjnym.
• Logi serwera: adres IP i nagłówki żądań HTTP mogą być tymczasowo zapisywane w logach infrastruktury OVH/Cloudflare w celach bezpieczeństwa i diagnozy błędów, przez okres nie dłuższy niż 30 dni.
• Dane UTM/analityczne: źródło wejścia na stronę (parametry UTM), anonimowy fingerprint przeglądarki — wyłącznie do celów statystycznych i marketingowych, bez możliwości jednoznacznej identyfikacji użytkownika.

3. Cele i podstawy prawne przetwarzania

• Obsługa zapytań i apelacji — odpowiedź na wiadomości i rozpatrzenie prośby o odbanowanie; podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).
• Wykonanie umowy subskrypcji — przetwarzanie płatności, przypisanie roli Discord, zarządzanie dostępem; podstawa: art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy).
• Bezpieczeństwo i zapobieganie nadużyciom — zarządzanie sesją, wykrywanie przejęcia konta, ochrona przed atakami; podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).
• Weryfikacja antybotowa — ochrona formularzy przed spamem przez Cloudflare Turnstile; podstawa: art. 6 ust. 1 lit. f RODO.
• Statystyki i marketing — analiza ruchu w Serwisie, dane UTM; podstawa: art. 6 ust. 1 lit. f RODO.
• Wypełnienie obowiązków prawnych — przechowywanie danych wymaganych przepisami prawa (np. dokumentacja podatkowa, rachunkowa); podstawa: art. 6 ust. 1 lit. c RODO.

4. Odbiorcy danych i podmioty przetwarzające

Twoje dane mogą być udostępniane następującym kategoriom odbiorców:

• Discord, Inc. — dane z autoryzacji OAuth2 (ID użytkownika, nazwa, awatar) przekazywane w celu przypisania roli na serwerze.
• Stripe, Inc. — dane płatnicze przekazywane w celu realizacji płatności.
• Cloudflare, Inc. — dane z formularza apelacyjnego przekazywane do weryfikacji antybotowej (Turnstile) oraz do zapewnienia bezpieczeństwa i wydajności Serwisu (CDN, DDoS protection).
• OVH SAS — dostawca infrastruktury serwerowej przetwarzający dane w ramach umowy powierzenia przetwarzania danych.
• Organy publiczne — wyłącznie na żądanie uprawnionych organów, na podstawie przepisów prawa.

Administrator nie sprzedaje danych osobowych użytkowników podmiotom trzecim.

5. Przekazywanie danych poza EOG

Dane użytkowników mogą być przekazywane do państw trzecich (w tym USA), gdzie zlokalizowane są serwery Discord, Inc., Stripe, Inc. i Cloudflare, Inc. Przekazywanie odbywa się na podstawie:

• Standardowych Klauzul Umownych (SKU/SCC) zatwierdzonych przez Komisję Europejską.
• Decyzji Komisji Europejskiej stwierdzających odpowiedni stopień ochrony w danym państwie trzecim, jeśli dotyczy.

Szczegóły dotyczące przekazywania danych przez te podmioty opisane są w ich własnych politykach prywatności dostępnych na ich stronach internetowych.

6. Okres przechowywania danych

• Dane kontaktowe i apelacyjne: do momentu udzielenia odpowiedzi lub zakończenia sprawy; adresy IP — 24 godziny.
• Dane autoryzacji Discord (ID, nazwa): przez czas trwania subskrypcji; po jej zakończeniu — do 30 dni, następnie usunięcie lub anonimizacja.
• Dane sesji (ApiSession, DiscordSession): sesje wygasają automatycznie po 3 godzinach; wygasłe sesje są trwale usuwane z bazy danych przez automatyczny proces.
• Dane płatnicze i historia transakcji: przechowywane przez Stripe przez okres wymagany przez przepisy podatkowe i rachunkowe (5 lat). Administrator przechowuje historię płatności (e-mail, Discord ID, kwota, status) przez 5 lat od transakcji, zgodnie z Ustawą o Rachunkowości (Dz.U. 1994 nr 121 poz. 591) i wymogami PSD2 Art. 65.
• Logi serwera: do 30 dni.
• Dane UTM/analityczne: do 12 miesięcy, po czym anonimizacja lub usunięcie.

7. Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

• Prawo dostępu (art. 15 RODO) — prawo do uzyskania informacji o przetwarzanych danych i ich kopii.
• Prawo do sprostowania (art. 16 RODO) — prawo do poprawienia nieprawidłowych danych.
• Prawo do usunięcia (art. 17 RODO) — prawo do żądania usunięcia danych („prawo do bycia zapomnianym"), z zastrzeżeniem obowiązków prawnych Administratora (np. retencja danych podatkowych).
• Prawo do ograniczenia przetwarzania (art. 18 RODO).
• Prawo do przenoszenia danych (art. 20 RODO) — w zakresie danych przetwarzanych na podstawie umowy lub zgody.
• Prawo sprzeciwu (art. 21 RODO) — wobec przetwarzania opartego na uzasadnionym interesie Administratora.
• Prawo do skargi — do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Aby skorzystać z powyższych praw, wyślij wiadomość na adres [email protected] z tematem: „RODO – [rodzaj żądania]" (np. „RODO – usunięcie danych"). Odpowiedź udzielana jest w terminie do 30 dni od otrzymania kompletnego zgłoszenia; w uzasadnionych przypadkach termin może zostać przedłużony o kolejne 60 dni, o czym poinformujesz poinformowany.

Realizacja prawa do usunięcia danych może wiązać się z koniecznością zakończenia subskrypcji, ponieważ przetwarzanie danych (ID Discord) jest niezbędne do świadczenia usługi. Administrator poinformuje o tym skutku przed realizacją żądania.

8. Zabezpieczenia danych

Administrator stosuje następujące środki techniczne i organizacyjne ochrony danych:

• Szyfrowanie połączeń za pomocą protokołu HTTPS/TLS.
• Dostęp do danych ograniczony do osób upoważnionych przez Administratora.
• Ochrona infrastruktury przez Cloudflare (DDoS, WAF).
• Hashowanie odcisków sesji — przechowywany jest wyłącznie skrót, nie surowe dane.
• Automatyczne usuwanie wygasłych sesji z bazy danych.
• Dane kart płatniczych nieprzechowywane na serwerach Administratora — obsługiwane wyłącznie przez Stripe.

9. Pliki cookies

Serwis używa wyłącznie plików cookies technicznie niezbędnych do jego prawidłowego działania. Serwis nie stosuje cookies analitycznych ani marketingowych własnych. Cookies podmiotów trzecich wymienione poniżej są niezbędne do świadczenia usług tych podmiotów.

• fls_token — sesja API; httpOnly; wygasa automatycznie po 3 godzinach. Niezbędne.
• discord_session — token sesji Discord OAuth2; httpOnly; 3 godziny. Niezbędne.
• admin_token — sesja panelu administracyjnego; httpOnly, strict; 24 godziny. Niezbędne.
• discord_oauth_state — jednorazowy token CSRF dla przepływu OAuth2; sesyjny. Niezbędne.
• trial_24h — wskazuje czy użytkownik aktywował opcję okresu próbnego; 24 godziny. Funkcjonalne.
• Cloudflare Turnstile — cookies weryfikacji antybotowej ustawiane przez Cloudflare, Inc. Szczegóły: cloudflare.com/privacypolicy.

10. Zautomatyzowane podejmowanie decyzji i profilowanie

Dane użytkowników mogą być automatycznie przetwarzane w systemie wykrywania nadużyć (abuse detection) w celu identyfikacji nieuczciwego korzystania z kodów rabatowych, programu referralowego lub wielokrotnego omijania blokad. Wynik tego przetwarzania może skutkować automatycznym ograniczeniem lub zablokowaniem dostępu. Użytkownik ma prawo zażądać weryfikacji decyzji przez człowieka — w tym celu należy skontaktować się z Administratorem na [email protected].

11. Zmiany w polityce prywatności

Administrator zastrzega sobie prawo do aktualizacji niniejszej polityki w dowolnym czasie. Zmiany wchodzą w życie z chwilą opublikowania nowej wersji na stronie flippio.pl/polityka-prywatnosci. W przypadku istotnych zmian wpływających na prawa użytkowników, informacja zostanie zamieszczona również na serwerze Discord z co najmniej 7-dniowym wyprzedzeniem.

Data ostatniej aktualizacji jest zawsze widoczna na górze niniejszej strony.

12. Kontakt

We wszystkich sprawach związanych z ochroną danych osobowych skontaktuj się z Administratorem pod adresem: [email protected].