Polityka prywatności

Administratorem danych osobowych jest Grade System Sp. z o.o. z siedzibą w Gdańsku. Pełne dane rejestrowe znajdują się w stopce tego dokumentu. W sprawach dotyczących danych osobowych piszemy i odpowiadamy pod adresem rodo@zlecero.pl.

Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie zachodzi żaden z przypadków wymienionych w art. 37 ust. 1 RODO. Nie prowadzimy monitorowania osób na dużą skalę ani nie przetwarzamy na dużą skalę danych szczególnych kategorii.

• Od Ciebie: z formularza zgłoszenia zapytania, formularza rejestracji wykonawcy, formularza opinii oraz z korespondencji.
• Z rejestrów publicznych: numer NIP wykonawcy sprawdzamy w wykazie podatników VAT prowadzonym przez Szefa Krajowej Administracji Skarbowej, a gdy podmiotu tam nie ma, w rejestrze REGON prowadzonym przez Główny Urząd Statystyczny. Stamtąd pobieramy nazwę i adres firmy.
• Automatycznie: adres IP i podstawowe dane techniczne, zapisywane przy każdym połączeniu ze stroną.

Klient zgłaszający zapytanie: imię, numer telefonu, adres e-mail, kod pocztowy i miejscowość, opis potrzeby wraz z załączonymi zdjęciami, przedział budżetu i termin. Dokładnego adresu nie zbieramy.

Część tych danych jest widoczna publicznie na liście zapytań pod adresem /zlecenia: tytuł i skrócony opis zapytania, kategoria, miejscowość, przedział budżetu, termin oraz liczba dołączonych zdjęć. Nie ma tam imienia, numeru telefonu, adresu e-mail ani samych zdjęć. Publikacja jest dobrowolna: decydujesz o niej przy zgłoszeniu jednym polem wyboru i możesz ją wyłączyć, co nie zmienia niczego innego w obsłudze zapytania.

Wykonawca: nazwa firmy, NIP, adres siedziby, imię i nazwisko osoby kontaktowej, numer telefonu, adres e-mail, obszar i kategorie działania, treść wizytówki, historia transakcji i odblokowań.

Dane techniczne: adres IP, data i godzina połączenia, typ przeglądarki, adres strony, z której nastąpiło przejście. Przetwarzamy je w celu zapewnienia bezpieczeństwa i przeciwdziałania nadużyciom.

Statystyka odwiedzin po naszej stronie: zapisujemy, która strona została otwarta, kiedy, z jakiego rodzaju urządzenia, jak daleko została przewinięta i ile czasu była otwarta. Nie zapisujemy przy tym Twojego adresu IP: zamieniamy go na skrót, którego nie da się odwrócić, a klucz do niego zmieniamy codziennie, więc po dobie nie rozpoznajemy nawet my. Te dane nie trafiają do nikogo poza nami i służą wyłącznie temu, żeby wiedzieć, które strony są przydatne.

Powiadomienia w przeglądarce: jeśli je włączysz, przechowujemy adres subskrypcji nadany przez Twoją przeglądarkę oraz klucze, którymi szyfrujemy treść powiadomienia. Nie jest to identyfikator Twojej osoby i nie łączymy go z niczym poza Twoim kontem. Wyłączenie powiadomień w Serwisie albo cofnięcie zgody w przeglądarce usuwa ten wpis.

Powiadomienia w aplikacji mobilnej: działają tak samo, z tą różnicą, że identyfikator urządzenia nadaje system telefonu, a wiadomość dostarcza usługa Firebase Cloud Messaging. Trafia do niej ten identyfikator i treść powiadomienia, czyli na przykład kategoria i miejscowość zapytania. Odinstalowanie aplikacji albo wyłączenie powiadomień w jej ustawieniach usuwa ten wpis.

• Pośrednictwo w kontakcie między Klientem a Wykonawcą, czyli przyjęcie zapytania, udostępnienie go wykonawcom i przekazanie danych kontaktowych: art. 6 ust. 1 lit. b RODO, wykonanie umowy.
• Prowadzenie konta wykonawcy i rozliczanie punktów: art. 6 ust. 1 lit. b RODO.
• Potwierdzenie numeru telefonu kodem SMS oraz przeciwdziałanie fałszywym zgłoszeniom: art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes polegający na ochronie wykonawców przed opłacaniem dostępu do zmyślonych zapytań.
• Ochrona formularzy przed automatami: art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes w postaci bezpieczeństwa serwisu.
• Wystawianie i przechowywanie faktur oraz rozliczenia podatkowe: art. 6 ust. 1 lit. c RODO, obowiązek prawny wynikający z ustawy o podatku od towarów i usług oraz ustawy o rachunkowości.
• Rozpatrywanie reklamacji, zgłoszeń treści oraz dochodzenie i obrona roszczeń: art. 6 ust. 1 lit. f RODO.
• Publikacja opinii na wizytówce wykonawcy: art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes polegający na rzetelnym informowaniu o jakości usług.
• Publikacja zapytania na liście dostępnej bez logowania, w zakresie opisanym w punkcie 3: art. 6 ust. 1 lit. a RODO, Twoja zgoda wyrażona przy zgłoszeniu. Zgodę możesz wycofać w każdej chwili, pisząc na rodo@zlecero.pl; wycofanie usuwa zapytanie z listy publicznej i nie wpływa na jego obsługę ani na zgodność z prawem publikacji sprzed wycofania.

Dane kontaktowe Klienta (imię, numer telefonu, adres e-mail) nie trafiają do żadnego Wykonawcy z chwilą odblokowania zapytania. Wykonawca, który odblokował zapytanie, widzi jego treść, zdjęcia, budżet i miejscowość, oraz może napisać do Klienta w Serwisie.

Jeżeli Klient zgodził się na publikację, tytuł i skrócony opis zapytania, kategoria, miejscowość, budżet, termin oraz liczba zdjęć są widoczne dla każdego, także dla osób niezalogowanych i dla wyszukiwarek internetowych. Zdjęć nie udostępniamy publicznie w żadnej postaci, również pomniejszonej ani rozmytej: informujemy wyłącznie, ile ich jest. Z tytułu i opisu usuwamy automatycznie numery telefonów, adresy e-mail i adresy stron, zanim cokolwiek pokażemy.

Dane kontaktowe udostępniamy dopiero na skutek działania samego Klienta, w jednym z dwóch trybów wybranych przez niego przy zgłoszeniu zapytania:

• tryb domyślny: dane trafiają do Wykonawcy w chwili, gdy Klient otworzy jego wiadomość w Serwisie. Klient jest o tym informowany przy zgłoszeniu zapytania oraz w każdym powiadomieniu o nowej wiadomości, zanim ją otworzy,
• tryb „tylko czat”: dane trafiają do Wykonawcy wyłącznie wtedy, gdy Klient przekaże je przyciskiem w rozmowie.

Zapytanie może odblokować maksymalnie czterech Wykonawców. Wykonawca, który otrzyma dane kontaktowe, staje się wobec nich odrębnym administratorem i sam odpowiada za ich dalsze wykorzystanie. Każde udostępnienie jest rejestrowane w systemie razem z chwilą i powodem.

Poza tym z danymi stykają się nasi dostawcy usług:

• cyber_Folks S.A., utrzymanie strony i poczty, podmiot przetwarzający,
• SMSAPI Sp. z o.o., wysyłka wiadomości SMS z kodem weryfikacyjnym, podmiot przetwarzający,
• PayU S.A., obsługa płatności za pakiety punktów, odrębny administrator w zakresie transakcji płatniczej,
• Cloudflare, Inc., zabezpieczenie formularzy na stronie internetowej przed automatami (Turnstile), podmiot przetwarzający. W aplikacji mobilnej Turnstile nie działa i Cloudflare nie dostaje z niej żadnych danych: tam zgłoszenie chroni kod SMS,
• Google Ireland Limited, statystyki odwiedzin (Google Analytics), podmiot przetwarzający, wyłącznie po wyrażeniu przez Ciebie zgody na cookies statystyczne,
• Google Ireland Limited, dostarczanie powiadomień do aplikacji mobilnej (Firebase Cloud Messaging), podmiot przetwarzający, wyłącznie jeśli zainstalujesz aplikację i zgodzisz się na powiadomienia. Trafia tam identyfikator urządzenia nadany przez system oraz treść powiadomienia, czyli na przykład kategoria i miejscowość zapytania,
• Meta Platforms Ireland Limited, pomiar skuteczności naszych reklam na Facebooku i Instagramie (piksel Meta), współadministrator w zakresie pomiaru, wyłącznie po wyrażeniu przez Ciebie zgody. Do Mety trafia informacja, że ktoś odwiedził stronę albo wysłał zgłoszenie, nie trafia treść zgłoszenia ani Twoje dane kontaktowe,
• Szef Krajowej Administracji Skarbowej, odbiorca faktur przekazywanych do Krajowego Systemu e-Faktur, na podstawie obowiązku ustawowego.

Danych nie sprzedajemy. Nie przekazujemy ich brokerom danych, sieciom reklamowym ani nikomu w celach marketingowych.

Zabezpieczenie formularzy na stronie internetowej realizuje Cloudflare, Inc. z siedzibą w Stanach Zjednoczonych. W tym zakresie dane mogą być przetwarzane poza EOG. Nie dotyczy to aplikacji mobilnej, w której Turnstile nie działa. Podstawą przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w ramach Data Privacy Framework, a uzupełniająco standardowe klauzule umowne. Do Cloudflare trafia adres IP oraz dane techniczne przeglądarki, nie trafiają treść zapytania ani dane kontaktowe.

Jeżeli wyrazisz zgodę na cookies statystyczne, dane o odwiedzinach trafiają do Google Ireland Limited i mogą być przetwarzane przez Google LLC w Stanach Zjednoczonych. Podstawą przekazania jest decyzja Komisji Europejskiej w ramach Data Privacy Framework, a uzupełniająco standardowe klauzule umowne. Bez Twojej zgody do Google nie trafia nic.

Jeżeli wyrazisz zgodę, dane o odwiedzinach i o wysłaniu zgłoszenia trafiają także do Meta Platforms Ireland Limited i mogą być przetwarzane przez Meta Platforms, Inc. w Stanach Zjednoczonych, na tej samej podstawie: decyzja Komisji Europejskiej w ramach Data Privacy Framework, uzupełniająco standardowe klauzule umowne. Bez Twojej zgody skrypt Mety nie jest wczytywany i nie trafia do niej nic.

Pozostali dostawcy przetwarzają dane na terenie Europejskiego Obszaru Gospodarczego.

• Dane kontaktowe z zapytania: 12 miesięcy od zamknięcia lub wygaśnięcia zapytania, po czym są anonimizowane.
• Zdjęcia dołączone do zapytania, które nie zostało opublikowane: 7 dni, po czym są usuwane automatycznie.
• Dane konta wykonawcy: przez czas trwania umowy, a po jej zakończeniu przez okres przedawnienia roszczeń.
• Faktury i dokumentacja rozliczeniowa: 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku.
• Rozmowa w Serwisie: aktywna przez 30 dni od ostatniej wiadomości, a przy potwierdzonej realizacji zamykana od razu. Po zamknięciu zostaje do wglądu obu stron przez 24 miesiące, po czym treść wiadomości jest usuwana.
• Opinie opublikowane na wizytówce: do czasu ich usunięcia przez wystawiającego albo w wyniku moderacji. Klient może uzupełniać własną opinię przez 24 miesiące od potwierdzenia realizacji.
• Zapisy techniczne połączeń ze stroną: do 12 miesięcy.

Przysługuje Ci prawo do:

• dostępu do danych i otrzymania ich kopii,
• sprostowania danych nieprawidłowych i uzupełnienia niekompletnych,
• usunięcia danych, jeżeli nie mamy podstawy do dalszego ich przetwarzania,
• ograniczenia przetwarzania,
• przenoszenia danych przetwarzanych na podstawie umowy, w powszechnie używanym formacie,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Jedno z tych praw wykonasz sam i od ręki, bez pisania do nas: usunięcie konta razem z danymi. Klient robi to w ustawieniach konta, czyli w Moich zleceniach, Wykonawca w panelu, w zakładce Konto i dane, a użytkownik aplikacji na telefon w zakładce Konto. Wszystkie te drogi opisuje strona zlecero.pl/usun-konto, otwarta bez logowania; jest tam też adres dla kogoś, kto stracił dostęp do konta. Pozostałe żądania, w tym kopię swoich danych w formacie JSON, zamawiasz mailem na rodo@zlecero.pl. Odpowiadamy w ciągu miesiąca, a przy sprawach złożonych informujemy o przedłużeniu terminu.

Usunięcie konta kasuje Twoje imię, numer telefonu, adres e-mail i treść Twoich wiadomości. U Wykonawcy dodatkowo nazwę firmy, NIP, adres siedziby, opis i logo, a wizytówka znika z katalogu razem z opiniami o firmie. Zgłoszenia, rozmowy i opinie zostają w Serwisie bez danych, które wskazują na Ciebie, ponieważ są jednocześnie dokumentacją rozliczeń Wykonawców, którzy zapłacili za dostęp do kontaktu, oraz informacją dla kolejnych Klientów. Podstawą tego zakresu jest art. 17 ust. 3 lit. b i e RODO. Zachowujemy też wpis w rejestrze żądań: datę i zakres, bez Twoich danych, ponieważ art. 5 ust. 2 RODO wymaga, żebyśmy umieli wykazać wykonanie żądania.

Punkty niewykorzystane przez Wykonawcę przepadają w chwili zamknięcia konta i nie podlegają zwrotowi w pieniądzu. Faktury i zapisy o wpłatach zachowujemy przez pięć lat, ponieważ wymaga tego art. 74 ustawy o rachunkowości.

Uwaga praktyczna: usunięcie danych kontaktowych z aktywnego zapytania uniemożliwia realizację usługi, ponieważ wykonawcy nie będą mieli jak się z Tobą skontaktować.

Podanie danych jest dobrowolne, ale konieczne, żeby skorzystać z serwisu. Bez numeru telefonu nie potwierdzimy zapytania i nie trafi ono do wykonawców. Bez numeru NIP i adresu nie wystawimy wykonawcy faktury, do czego zobowiązuje nas prawo podatkowe.

Serwis dobiera zapytania do wykonawców automatycznie, na podstawie wybranych przez nich kategorii i promienia działania. Automatycznie wyliczamy też koszt odblokowania zapytania na podstawie kategorii, budżetu, terminu i kompletności opisu.

Zgłoszenia oznaczane są automatycznymi znacznikami wskazującymi na możliwe nadużycie, na przykład duplikat albo nietypowo częste zgłoszenia z jednego numeru. Znacznik sam z siebie nie blokuje zapytania. Decyzję o odrzuceniu zgłoszenia albo zawieszeniu konta podejmuje człowiek, więc nie zachodzi zautomatyzowane podejmowanie decyzji wywołujące skutki prawne w rozumieniu art. 22 RODO.

Dzielimy pliki cookies na dwie grupy. Niezbędne działają zawsze i nie pytamy o nie o zgodę, bo bez nich serwis nie zadziała; podstawą jest art. 173 ust. 3 pkt 2 ustawy Prawo telekomunikacyjne. Statystyczne i reklamowe włączamy wyłącznie wtedy, gdy klikniesz „Akceptuję wszystkie” w banerze. Do momentu tego kliknięcia skrypty Google i Mety nie są w ogóle wczytywane na stronie.

Niezbędne:

• zl_access i zl_refresh: utrzymanie zalogowanej sesji wykonawcy oraz Klienta.
• zl_csrf: ochrona przed przesłaniem formularza z obcej strony.
• zl_gate: zapamiętanie kodu dostępu do wersji testowej serwisu przed startem publicznym.
• zl_zgoda_cookies: zapamiętanie Twojej decyzji o cookies, ważne 12 miesięcy.
• Cloudflare Turnstile może zapisać techniczny wpis niezbędny do odróżnienia człowieka od automatu.

Statystyczne i reklamowe, wyłącznie za zgodą:

• Google Analytics 4 (pliki _ga i _ga_*): liczba odwiedzin, wejścia na poszczególne strony, źródło ruchu i przybliżona lokalizacja na poziomie miasta. Adres IP jest skracany, a statystyk nie łączymy z Twoim kontem ani z treścią zgłoszenia.
• Piksel Meta (pliki _fbp, a przy wejściu z reklamy także _fbc): pomiar skuteczności naszych reklam na Facebooku i Instagramie. Zapisujemy w nim wyłącznie fakt odwiedzin, wysłania zgłoszenia oraz założenia konta firmy, bez treści zgłoszenia i bez danych kontaktowych.

Zgodę wycofasz, kasując pliki cookies w przeglądarce; przy kolejnej wizycie baner zapyta ponownie. Cookies możesz też zablokować w ustawieniach przeglądarki, ale zablokowanie niezbędnych uniemożliwi zalogowanie się i wysłanie formularzy.

Niezależnie od Google Analytics prowadzimy własny licznik odwiedzin, żeby wiedzieć, ile osób ogląda serwis i skąd przychodzą. Nie zapisuje on niczego w Twoim urządzeniu i nie przekazuje danych na zewnątrz, dlatego nie wymaga zgody. Podstawą jest nasz prawnie uzasadniony interes, czyli art. 6 ust. 1 lit. f RODO.

Przy każdym otwarciu strony zapisujemy:

• adres otwartej strony oraz sam adres domeny, z której do nas trafiłeś (bez ścieżki i bez parametrów wyszukiwania),
• rodzaj urządzenia, przeglądarki i systemu, odczytany z nagłówka wysyłanego przez przeglądarkę,
• datę i godzinę,
• nieodwracalny skrót wyliczony z Twojego adresu IP, nagłówka przeglądarki i wartości losowej zmienianej codziennie.

Samego adresu IP nie zapisujemy. Skrót służy wyłącznie do policzenia, ile było odwiedzin i ilu odwiedzających w danej dobie. Ponieważ wartość losowa zmienia się codziennie, następnego dnia nie da się już powiązać tych zapisów z poprzednimi, także nam. Zapisy usuwamy po 180 dniach.

Aplikacja Zlecero przy każdym uruchomieniu wysyła nam krótką informację o sobie. Robi to z dwóch powodów: żeby sprawdzić, czy Twoja wersja aplikacji jest jeszcze aktualna, i żebyśmy wiedzieli, ilu ludzi z aplikacji korzysta. Podstawą jest nasz prawnie uzasadniony interes, czyli art. 6 ust. 1 lit. f RODO.

Zapisujemy przy tym:

• nieodwracalny skrót losowego identyfikatora, który aplikacja nadaje sobie sama przy pierwszym uruchomieniu,
• nazwę i wersję systemu (Android albo iOS) oraz wersję aplikacji,
• datę pierwszego i ostatniego uruchomienia,
• informację, czy w aplikacji zalogowano się na konto wykonawcy, czy zleceniodawcy.

Identyfikator jest losowy: nie pochodzi z numeru Twojego telefonu ani z żadnego konta i znika razem z odinstalowaniem aplikacji. Nie zapisujemy adresu IP i nie łączymy tych zapisów z Twoim kontem, nawet jeśli je masz. Zapisy urządzeń, które nie odezwały się od 180 dni, usuwamy.

Połączenie z serwisem jest szyfrowane protokołem TLS. Hasła przechowujemy wyłącznie w postaci skrótów, dostęp do panelu administracyjnego wymaga drugiego składnika uwierzytelnienia, a kopie zapasowe wykonujemy codziennie. Dostęp do danych mają wyłącznie osoby, którym jest to potrzebne do pracy.

O zmianach polityki informujemy przez publikację nowej wersji w serwisie, z podaniem daty aktualizacji. Jeżeli zmiana będzie istotna, poinformujemy zarejestrowanych użytkowników również e-mailem.

Polityka obowiązuje od 23 sierpnia 2026 roku.