Informacja o przetwarzaniu danych osobowych oraz o plikach cookies
Niniejsza Polityka prywatności (dalej: „Polityka") określa zasady przetwarzania danych osobowych w związku z funkcjonowaniem aplikacji Spotkio (dalej: „Aplikacja") oraz zasady wykorzystywania plików cookies w ramach Aplikacji.
Polityka została przygotowana na podstawie: Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz ustawy z dnia 16 lipca 2024 r. - Prawo komunikacji elektronicznej.
Korzystanie z Aplikacji jest dobrowolne. Niepodanie danych wymaganych do założenia Konta lub realizacji Abonamentu uniemożliwia korzystanie z odpowiednich funkcjonalności - szczegóły wskazano w pkt 18 Polityki.
1. Definicje
Użyte w Polityce pojęcia oznaczają:
Aplikacja - aplikacja mobilna na system operacyjny Android (dostępna w Google Play), umożliwiające zarządzanie relacjami z klientami, prowadzenie kalendarza spotkań, wysyłkę przypomnień SMS i e-mail, eksport danych, synchronizację z zewnętrznymi kalendarzami oraz obsługę płatności abonamentowych;
Administrator - podmiot wskazany w pkt 2 Polityki, prowadzący Aplikację;
Użytkownik - osoba fizyczna (w tym prowadząca działalność gospodarczą), która założyła Konto w Aplikacji;
Konto - indywidualne konto Użytkownika w Aplikacji, zabezpieczone adresem e-mail i hasłem;
Abonament - płatny dostęp do rozszerzonych funkcjonalności Aplikacji (Plan Premium); Aplikacja oferuje również bezpłatny Plan Darmowy z ograniczonym zakresem funkcji;
Baza Kontrahentów - zbiór danych osobowych klientów i kontrahentów Użytkownika, wprowadzanych i przetwarzanych przez Użytkownika za pomocą Aplikacji;
Kontrahent - osoba fizyczna, której dane osobowe zostały wprowadzone przez Użytkownika do Bazy Kontrahentów;
Umowa Powierzenia - umowa powierzenia przetwarzania danych osobowych zawierana między Użytkownikiem (Administrator danych Kontrahentów) a Administratorem (Podmiot przetwarzający), opisana w pkt 4 Polityki;
Ty - osoba fizyczna, której dane są przetwarzane - Użytkownik lub Kontrahent.
2. Administrator danych osobowych
Administratorem danych osobowych Użytkowników jest Business Consulting Kuba Wójcik z siedzibą przy ul. Zygmunta Augusta 9/1, 20-283 Lublin, posiadający NIP: 9462762938 (dalej: „Administrator").
Kontakt we wszystkich sprawach dotyczących danych osobowych: adres e-mail wskazany w pkt 3 Polityki.
3. Dane kontaktowe Administratora
e-mail: kontakt@spotkio.pl
adres korespondencyjny: ul. Zygmunta Augusta 9/1, 20-283 Lublin
4. Podwójna rola Administratora - Administrator danych i Podmiot przetwarzający
Administrator Aplikacji pełni dwie role w rozumieniu RODO, w zależności od kategorii przetwarzanych danych:
Administrator danych osobowych - w odniesieniu do danych osobowych Użytkowników Aplikacji (osób zakładających Konto i opłacających Abonament). W tej roli Administrator samodzielnie decyduje o celach i sposobach przetwarzania danych Użytkowników.
Podmiot przetwarzający (Procesor) - w odniesieniu do danych osobowych Kontrahentów zawartych w Bazie Kontrahentów. W tej roli Administrator przetwarza dane wyłącznie na podstawie Umowy Powierzenia, na polecenie Użytkownika jako administratora danych Kontrahentów. Użytkownik samodzielnie decyduje o celach i sposobach przetwarzania danych swoich Kontrahentów.
Jeżeli jesteś Kontrahentem Użytkownika Aplikacji (tj. Twoje dane zostały wprowadzone do Bazy Kontrahentów przez osobę lub firmę, z którą współpracujesz), administratorem Twoich danych jest ten Użytkownik - nie Administrator Aplikacji. W sprawach realizacji swoich praw (dostęp, sprostowanie, usunięcie, przenoszenie) skontaktuj się bezpośrednio z tym Użytkownikiem. Administrator Spotkio, działając jako Podmiot przetwarzający, zapewnia wyłącznie infrastrukturę techniczną Aplikacji.
Zasady powierzenia przetwarzania danych Kontrahentów określa Umowa Powierzenia, akceptowana przez każdego Użytkownika przy rejestracji Konta.
5. Cele i podstawy prawne przetwarzania danych Użytkowników
art. 6 ust. 1 lit. b) RODO - zawarcie i wykonanie umowy o korzystanie z Aplikacji (rejestracja i prowadzenie Konta, udostępnianie funkcjonalności Aplikacji w ramach wybranego Planu, obsługa Abonamentu i płatności);
art. 6 ust. 1 lit. c) RODO - wykonanie obowiązków prawnych Administratora, w szczególności wynikających z przepisów podatkowych i o rachunkowości (przechowywanie dokumentów rozliczeniowych);
art. 6 ust. 1 lit. f) RODO - realizacja prawnie uzasadnionych interesów Administratora: obsługa zgłoszeń i reklamacji; zapewnienie bezpieczeństwa Aplikacji i przeciwdziałanie nadużyciom; prowadzenie logów technicznych; ustalenie, dochodzenie lub obrona przed ewentualnymi roszczeniami; rozwój i poprawa jakości usług.
6. Zakres danych osobowych Użytkowników
dane podawane przy rejestracji: adres e-mail oraz hasło (przechowywane w formie zahaszowanej; Administrator nie ma dostępu do hasła w postaci jawnej);
dane profilu: imię i nazwisko, nazwa firmy, stanowisko, numer telefonu (opcjonalne, uzupełniane przez Użytkownika w ustawieniach Konta);
dane Abonamentu i płatności, w tym, wybrany Plan (Darmowy lub Premium), status subskrypcji, data i kwota transakcji;
dane do faktury: nazwa/firma, NIP, adres - podawane dobrowolnie przy zamówieniu faktury VAT;
dane z synchronizacji kalendarza (jeśli Użytkownik aktywuje tę funkcję); szczegóły w pkt 10 Polityki;
dane techniczne: adres IP, dane urządzenia/przeglądarki/systemu mobilnego, logi systemowe i dostępu - w celu zapewnienia bezpieczeństwa i prawidłowego działania Aplikacji;
treść korespondencji - w przypadku kontaktu z Administratorem (zgłoszenie, zapytanie, reklamacja).
7. Aplikacja mobilna (Android)
Aplikacja jest dostępna w wersji mobilnej na system Android, do pobrania w sklepie Google Play. W związku z korzystaniem z aplikacji mobilnej mogą być dodatkowo przetwarzane dane techniczne urządzenia (wersja systemu Android, identyfikator urządzenia, dane o awariach) w celu prawidłowego działania, diagnostyki błędów i dostarczania powiadomień push.
Powiadomienia push. Aplikacja mobilna korzysta z usługi Firebase Cloud Messaging (FCM) firmy Google LLC w celu dostarczania powiadomień push (np. o nadchodzącym spotkaniu, nowym kliencie, zmianie statusu). Dane techniczne niezbędne do dostarczenia powiadomienia (token urządzenia) są przekazywane do usługi FCM. Powiadomienia push można włączyć lub wyłączyć w ustawieniach urządzenia lub Aplikacji. Szczegóły dotyczące FCM wskazano w pkt 12 Polityki.
Jeżeli w przyszłości Aplikacja zostanie udostępniona na innych systemach operacyjnych (np. iOS), postanowienia niniejszej Polityki stosuje się odpowiednio.
8. Baza Kontrahentów - zakres i sposób przetwarzania
W ramach Bazy Kontrahentów Użytkownik może wprowadzać dane: imię i nazwisko lub nazwa firmy, branża, adres e-mail, numer telefonu, NIP, adres, dane osoby kontaktowej, notatki ze spotkań, liczba spotkań, data ostatniego kontaktu, lokalizacja, dane w polach własnych definiowanych przez Użytkownika oraz załączniki.
9. Wiadomości SMS i e-mail
SMS - przypomnienia i potwierdzenia spotkań. Aplikacja umożliwia Użytkownikom wysyłanie wiadomości SMS do Kontrahentów na podstawie edytowalnych szablonów (przypomnienia o spotkaniu, potwierdzenia terminu, informacje o zmianie terminu). Wysyłka SMS odbywa się za pośrednictwem usługi SerwerSMS.pl. Wiadomości mają charakter transakcyjno-serwisowy; Aplikacja nie zawiera modułu masowych kampanii marketingowych.
E-mail do Kontrahentów - portal Kontrahenta. Użytkownik może tworzyć własne szablony wiadomości e-mail i wysyłać je do Kontrahentów za pośrednictwem Aplikacji (np. potwierdzenia spotkań, raporty dla klienta, korespondencja). Treść wiadomości jest ustalana przez Użytkownika; Aplikacja udostępnia jedynie szablon jako punkt wyjścia.
E-mail systemowy. Wiadomości e-mail związane z funkcjonowaniem Konta (rejestracja, reset hasła, kod potwierdzający usunięcie Konta, tygodniowe podsumowanie aktywności) są wysyłane automatycznie.
10. Synchronizacja kalendarza
Aplikacja umożliwia synchronizację kalendarza spotkań z zewnętrznymi kalendarzami Użytkownika.
Aktywowanie synchronizacji wymaga jednorazowej autoryzacji przez Użytkownika (zalogowanie do zewnętrznego konta i udzielenie zgody na określony zakres dostępu). Po autoryzacji Aplikacja synchronizuje zdarzenia kalendarza (terminy spotkań) między Aplikacją a wybranym zewnętrznym kalendarzem.
Zakres przetwarzanych danych: token autoryzujący dostęp do kalendarza, tytuł i opis spotkania, data, godzina, lokalizacja, lista uczestników (o ile uwzględniona przez Użytkownika). Użytkownik może odwołać dostęp w dowolnym momencie z poziomu ustawień Konta w Aplikacji lub z ustawień zewnętrznego konta.
Dostawcy usług kalendarzowych (np. Google LLC, Microsoft Corporation, Apple Inc.) działają jako dalsze Podmioty przetwarzające dane wskazane w Załączniku nr 3 do Umowy Powierzenia oraz w pkt 12 Polityki.
Google Calendar. Po połączeniu konta Google Aplikacja korzysta wyłącznie z uprawnienia do odczytu wydarzeń w kalendarzach należących do Użytkownika („calendar.events.owned.readonly”). Podczas synchronizacji odczytuje z głównego Kalendarza Google Użytkownika wydarzenia z okresu od 30 dni wstecz do 90 dni naprzód (tytuł, opis, miejsce, data i godzina) i zapisuje je jako spotkania w kalendarzu Użytkownika w Aplikacji. Aplikacja nie tworzy, nie zmienia i nie usuwa wydarzeń w Kalendarzu Google. Dane otrzymane z interfejsów API Google nie są sprzedawane, nie służą do reklam ani do trenowania modeli sztucznej inteligencji i nie są przeglądane przez ludzi, chyba że Użytkownik wyrazi na to zgodę (np. przy zgłoszeniu błędu) albo wymaga tego prawo. Sposób, w jaki Spotkio wykorzystuje i przekazuje informacje otrzymane z interfejsów API Google, jest zgodny z zasadami Google API Services User Data Policy, w tym z wymogami Limited Use.
Komu udostępniamy dane z Google. Wydarzenia odczytane z Kalendarza Google widzi wyłącznie Użytkownik, który połączył konto, oraz (gdy sam tak zdecyduje) jego klient w Portalu klienta, w zakresie spotkań tego klienta. Spotkio nie sprzedaje tych danych, nie przekazuje ich reklamodawcom, brokerom danych ani innym firmom w celach marketingowych. Zapisane spotkania przechowuje wyłącznie dostawca bazy danych i hostingu Supabase Inc. (serwery w Irlandii, EOG), działający jako podmiot przetwarzający na podstawie umowy powierzenia. Dane mogą zostać ujawnione organom publicznym tylko wtedy, gdy wymaga tego obowiązujące prawo. Token dostępu Google nie jest przekazywany nikomu, w tym serwerom Spotkio.
Jak chronimy dane z Google. Token dostępu Google pozostaje na urządzeniu Użytkownika, zaszyfrowany algorytmem AES-GCM kluczem, którego nie da się odczytać ani skopiować, i jest usuwany przy każdym wylogowaniu. Wydarzenia są pobierane bezpośrednio z serwerów Google połączeniem szyfrowanym (HTTPS/TLS). Zapisane spotkania są przechowywane w bazie szyfrowanej w spoczynku (AES-256), a reguły dostępu na poziomie wierszy (Row Level Security) sprawiają, że każdy Użytkownik ma dostęp tylko do własnych danych. Dostęp do infrastruktury ma wyłącznie Administrator, chroniony weryfikacją dwuetapową. Przycisk „Odłącz” w Ustawieniach unieważnia token u Google, a usunięcie Konta usuwa wszystkie zapisane spotkania. Użytkownik może też w każdej chwili cofnąć dostęp na stronie myaccount.google.com/permissions.
11. Eksport danych
Użytkownik może w każdej chwili wygenerować i pobrać dane z Aplikacji w formatach CSV, JSON lub PDF. Eksport może obejmować osobno: Bazę Kontrahentów, listę spotkań i raporty - w zakresie wybranym przez Użytkownika. Pliki w formatach CSV i JSON generowane są lokalnie w przeglądarce/aplikacji Użytkownika bez przesyłania do zewnętrznych serwisów.
12. Odbiorcy danych i podwykonawcy
W celu prawidłowego działania Aplikacji dane osobowe mogą być przekazywane lub powierzane następującym kategoriom podmiotów:
Supabase, Inc. (USA; serwery w Irlandii, EOG) - infrastruktura bazodanowa, przechowywanie danych, uwierzytelnianie (Supabase Auth), kopie zapasowe;
SerwerSMS.pl (Polska) - dostawca usługi wysyłki wiadomości SMS;
Google LLC (USA) - usługa Firebase Cloud Messaging (powiadomienia push do aplikacji mobilnej na Android) oraz Google Calendar API (synchronizacja kalendarza, gdy Użytkownik ją włączy);
Microsoft Corporation (USA) - po wdrożeniu synchronizacji kalendarza: Microsoft Graph API (Outlook Calendar);
Apple Inc. (USA) - po wdrożeniu synchronizacji kalendarza: CalDAV (Kalendarz Apple);
PayPro S.A. (Przelewy24) (Polska) oraz - za pośrednictwem Przelewy24 lub bezpośrednio - PayPal (Europe) i Google LLC (Google Pay) - operatorzy płatności abonamentowych;
podmioty świadczące usługi księgowe, prawne lub IT na rzecz Administratora, w niezbędnym zakresie.
Szczegółowy wykaz dalszych podmiotów przetwarzających dane Kontrahentów zawiera Załącznik nr 3 do Umowy Powierzenia.
13. Przekazywanie danych do państw trzecich
Dane osobowe są przechowywane na serwerach zlokalizowanych w Irlandii (EOG). Część dostawców usług (Supabase, Google LLC, Microsoft Corporation, Apple Inc., PayPal) posiada siedziby w Stanach Zjednoczonych Ameryki (USA), co może wiązać się z przekazywaniem danych do USA.
Przekazywanie danych do USA odbywa się wyłącznie na podstawie odpowiednich mechanizmów wymaganych przez RODO, w szczególności standardowych klauzul umownych przyjętych przez Komisję Europejską (SCC, decyzja 2021/914) lub - jeżeli dotyczy - na podstawie decyzji o adekwatności (np. Data Privacy Framework dla podmiotów zarejestrowanych). Każdy z wymienionych dostawców dysponuje aktualną umową powierzenia (DPA) zgodną z RODO.
14. Okres przechowywania danych
Czas przetwarzania Twoich danych zależy od celu, w jakim zostały zebrane:
Dane Bazy Kontrahentów oraz zawartość Konta (spotkania, notatki, szablony): przetwarzane przez okres posiadania Konta (czas obowiązywania Umowy Powierzenia). Po usunięciu Konta dane te są nieodwracalnie usuwane z serwerów produkcyjnych. Kopie zapasowe usuwane są automatycznie w terminie do 30 dni.
Podstawowe dane rejestracyjne i historia umowy (adres e-mail, identyfikator Użytkownika, historia Abonamentów, logi akceptacji regulaminów): po usunięciu Konta dane te są przenoszone do ograniczonego archiwum i przechowywane do upływu terminu przedawnienia roszczeń wynikających z umowy (zazwyczaj 3 lata dla przedsiębiorców lub 6 lat dla konsumentów), powiększonego o 12 miesięcy na wypadek roszczeń zgłoszonych w ostatniej chwili.
Dane rozliczeniowe i faktury: 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (zgodnie z przepisami o rachunkowości i podatkowymi).
Dane z obsługi zgłoszeń i korespondencji: do zakończenia obsługi zgłoszenia, a następnie w celach dowodowych do upływu okresu przedawnienia roszczeń (3 lub 6 lat) + 12 miesięcy.
Logi techniczne i bezpieczeństwa: do 12 miesięcy od momentu zdarzenia.
Tokeny autoryzacyjne (synchronizacja kalendarza): przechowywane wyłącznie lokalnie na urządzeniu Użytkownika, w formie zaszyfrowanej, i usuwane przy każdym wylogowaniu, odłączeniu kalendarza lub cofnięciu dostępu po stronie Google. Tokeny urządzeń (powiadomienia push): do momentu wyłączenia powiadomień lub usunięcia Konta.
15. Bezpieczeństwo Konta - logowanie i weryfikacja dwuetapowa
Konto zabezpieczone jest adresem e-mail i hasłem; hasła przechowywane w formie zahaszowanej;
Użytkownik może opcjonalnie aktywować weryfikację dwuetapową (2FA). Włączenie 2FA jest dobrowolne;
Reset hasła odbywa się przez link wysyłany na adres e-mail przypisany do Konta;
16. Usunięcie Konta i danych
Użytkownik może w każdej chwili usunąć Konto z poziomu ustawień Aplikacji. Proces usunięcia:
zainicjowanie usunięcia Konta w ustawieniach;
w przypadku włączonej 2FA - podanie kodu z aplikacji uwierzytelniającej;
potwierdzenie jednorazowym kodem wysłanym na adres e-mail Konta.
Po potwierdzeniu nieodwracalnie usuwane są Twoje dane operacyjne: cała Baza Kontrahentów, dane spotkań, dziennik, szablony wiadomości, kategorie, branże, tagi oraz zablokowany zostaje dostęp do Konta. Kopie zapasowe tych danych nadpisywane są automatycznie w ciągu maksymalnie 30 dni; w tym czasie Użytkownik nie ma możliwości ich przywrócenia.
Pamiętaj, że w ograniczonym zakresie zachowamy Twoje podstawowe dane (np. adres e-mail, historię transakcji, dokumenty księgowe) wyłącznie w celach archiwalnych, tj. dla realizacji obowiązków podatkowych oraz obrony przed roszczeniami, zgodnie z okresami wskazanymi w pkt 14 Polityki.
17. Prawa osób, których dane dotyczą
prawo dostępu do danych i otrzymania kopii (art. 15 RODO);
prawo do sprostowania danych (art. 16 RODO);
prawo do usunięcia danych w przypadkach przewidzianych przez RODO (art. 17 RODO);
prawo do ograniczenia przetwarzania (art. 18 RODO);
prawo do przenoszenia danych (art. 20 RODO) - realizowane m.in. przez funkcję eksportu CSV/JSON;
prawo do sprzeciwu wobec przetwarzania na podstawie art. 6 ust. 1 lit. f) RODO (art. 21 RODO);
prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
Jeżeli Twoje dane są przetwarzane jako dane Kontrahenta w Bazie Kontrahentów Użytkownika - w celu realizacji powyższych praw skontaktuj się bezpośrednio z Użytkownikiem, który Twoje dane wprowadził, zgodnie z pkt 4 Polityki.
18. Dobrowolność podania danych
Podanie adresu e-mail jest dobrowolne, lecz niezbędne do rejestracji Konta. Niepodanie danych wymaganych do realizacji Abonamentu (dane do faktury, dane płatnicze) uniemożliwia korzystanie z Planu Premium. Podanie danych Kontrahentów w Bazie Kontrahentów jest wyłączną decyzją Użytkownika.
19. Zautomatyzowane podejmowanie decyzji i profilowanie
Administrator nie podejmuje wobec Ciebie decyzji w sposób zautomatyzowany, w tym nie stosuje profilowania wywołującego skutki prawne lub istotnie wpływającego na Twoją sytuację (art. 22 RODO).
20. Pliki cookies
Aplikacja, w zakresie dostępnym przez przeglądarkę internetową, korzysta z plików cookies zgodnie z art. 399-400 ustawy - Prawo komunikacji elektronicznej oraz RODO.
Cookies niezbędne - stosowane do: utrzymania sesji zalogowanego Użytkownika, obsługi mechanizmu 2FA, zapamiętania wybranych ustawień Aplikacji w trakcie sesji. Podstawa: art. 6 ust. 1 lit. f) RODO oraz art. 399 ust. 3 Prawa komunikacji elektronicznej (wyjątek dla cookies koniecznych do świadczenia usługi). Zgoda Użytkownika nie jest wymagana.
Użytkownik może zarządzać cookies za pomocą ustawień przeglądarki. Ograniczenie cookies niezbędnych może uniemożliwić zalogowanie się do Konta.
21. Zmiany Polityki prywatności
Administrator zastrzega prawo do zmiany Polityki, w szczególności w przypadku zmiany funkcjonalności Aplikacji, zmiany przepisów prawa lub zmiany podwykonawców. Aktualna wersja Polityki jest zawsze dostępna w Aplikacji.
O istotnych zmianach Polityki Administrator poinformuje Użytkowników z co najmniej 14-dniowym wyprzedzeniem, za pośrednictwem wiadomości e-mail na adres Konta lub komunikatu w Aplikacji.
Data ostatniej aktualizacji: 19 października 2026 r.