Polityka prywatności

Niniejsza Polityka prywatności opisuje, jakie dane osobowe są przetwarzane w związku z korzystaniem z serwisu Listoria (listoria.app) i rozszerzenia przeglądarki Listoria, w jakim celu, na jakiej podstawie prawnej i komu są przekazywane. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

1. Administrator danych

Administratorem danych osobowych Użytkowników i osób odwiedzających Serwis jest Dawid Burdek, prowadzący działalność nierejestrowaną w rozumieniu art. 5 ust. 1 ustawy Prawo przedsiębiorców, adres do doręczeń: os. Pod Skarpą 20/24, 34-100 Wadowice (dalej: „Administrator”).

Kontakt w sprawach dotyczących danych osobowych: kontakt@listoria.app lub pisemnie na adres do doręczeń. Administrator nie wyznaczył inspektora ochrony danych.

2. Dane klientów Użytkowników

Użytkownicy wprowadzają do Serwisu dane swoich klientów i innych osób związanych z projektami (np. imię i nazwisko, kontakt, adres inwestycji, odpowiedzi z wywiadu, komentarze w Panelu klienta). Dla tych danych administratorem jest Użytkownik, a Listoria przetwarza je wyłącznie na jego polecenie, jako podmiot przetwarzający, na zasadach z §11 Regulaminu. Jeśli Twoje dane trafiły do Serwisu w ten sposób, w sprawie ich przetwarzania skontaktuj się w pierwszej kolejności z projektantem, który je wprowadził. Pomożemy mu zrealizować Twoje żądanie.

3. Jakie dane przetwarzamy

Dane konta - adres e-mail, imię i nazwisko (jeśli podane), hasło w postaci zaszyfrowanej, język, strefa czasowa. Przy logowaniu przez Google: adres e-mail, imię i nazwisko oraz zdjęcie profilowe z konta Google.
Dane profilu pracowni - nazwa pracowni, logo i dane kontaktowe wprowadzone do wykorzystania w eksportach.
Treści Użytkownika - projekty, listy produktów, kosztorysy, moodboardy, wywiady, zdjęcia, pliki i komentarze.
Akceptacje dokumentów i zgody - data i wersja zaakceptowanego Regulaminu i Polityki prywatności, sposób akceptacji, informacja o przeglądarce, a także wybory dotyczące plików cookies i zgody marketingowej.
Dane płatnicze - przetwarzane przez Stripe. Administrator otrzymuje identyfikator klienta, status subskrypcji, dane do rachunku (imię i nazwisko lub nazwa firmy, adres, NIP, jeśli podany) oraz ostatnie cyfry i typ karty. Nie ma dostępu do pełnego numeru karty.
Dane z rozszerzenia przeglądarki - adres i treść strony produktu, którą Użytkownik zapisuje, przesyłane wyłącznie po kliknięciu w rozszerzenie. Rozszerzenie nie śledzi historii przeglądania.
Dane techniczne - adres IP, typ przeglądarki i systemu, logi serwera, informacje o błędach aplikacji, zdarzenia w Serwisie oraz źródło wejścia (np. kampania reklamowa).
Korespondencja - treść wiadomości wysłanych do Administratora i odpowiedzi, a także zgłoszenia i opinie wysłane z poziomu Serwisu.

Podanie danych jest dobrowolne, ale bez adresu e-mail nie można założyć Konta, a bez danych płatniczych nie można wykupić Planu Pro.

4. Cele i podstawy prawne przetwarzania

Zawarcie i wykonanie umowy (Konto, funkcje Planu Free i Planu Pro, płatności, obsługa reklamacji) - art. 6 ust. 1 lit. b RODO.
Obowiązki prawne (rachunki, ewidencja przychodów, obsługa żądań dotyczących danych) - art. 6 ust. 1 lit. c RODO.
Dokumentowanie akceptacji Regulaminu i udzielonych zgód - art. 6 ust. 1 lit. f RODO (uzasadniony interes: możliwość wykazania zawarcia umowy i zgodności z prawem).
Komunikacja transakcyjna (powiadomienia, przypomnienia o końcu okresu próbnego, odpowiedzi na pytania) - art. 6 ust. 1 lit. b i f RODO.
Bezpieczeństwo i wykrywanie błędów - art. 6 ust. 1 lit. f RODO (uzasadniony interes: sprawne i bezpieczne działanie Serwisu).
Analityka i pomiar reklam - art. 6 ust. 1 lit. a RODO (zgoda wyrażona w panelu cookies), z wyjątkiem anonimowych statystyk Umami, opartych na art. 6 ust. 1 lit. f RODO.
Newsletter i informacje o nowościach - art. 6 ust. 1 lit. a RODO (zgoda). Zgodę można wycofać w każdej chwili, np. linkiem w stopce wiadomości.
Dochodzenie i obrona roszczeń - art. 6 ust. 1 lit. f RODO.

Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały.

5. Odbiorcy danych i podprzetwarzający

Administrator korzysta z usług poniższych podmiotów, wyłącznie w zakresie niezbędnym do danego celu. Podmioty oznaczone jako podprzetwarzający przetwarzają również dane klientów Użytkowników (§11 Regulaminu).

Podprzetwarzający (działanie Serwisu)

Supabase Inc. (USA, serwery w UE) - baza danych, przechowywanie plików i uwierzytelnianie.
Vercel Inc. (USA) - hosting aplikacji i logi serwera.
Resend, Inc. (USA) - wysyłka e-maili.
Functional Software, Inc. (Sentry) (USA, serwery w UE) - wykrywanie błędów aplikacji. W razie błędu przekazywane są adres IP, identyfikator Konta, informacje o przeglądarce i przebieg błędu, z zamaskowaną treścią pól formularzy.
OpenRouter, Inc. (USA) i dostawcy modeli, z których korzysta (OpenAI, Google) - automatyczne uzupełnianie danych produktu w rozszerzeniu, rozpoznawanie kolumn przy imporcie listy z pliku oraz odczyt pozycji z importowanego dokumentu (PDF, Word) albo wklejonego tekstu. Przekazywana jest treść strony produktu, nagłówki i fragment tabeli albo tekst importowanego dokumentu, bez danych Konta. Dostawcy mają wyłączone zbieranie danych do trenowania modeli.

Pozostali odbiorcy

Stripe Payments Europe, Limited (Irlandia) - obsługa płatności i subskrypcji.
Google Ireland Limited / Google LLC - logowanie przez Google, jeśli Użytkownik wybierze tę metodę.
Umami Software, Inc. - anonimowe statystyki ruchu, bez plików cookies i identyfikatorów osobowych.
PostHog, Inc. (USA, serwery w UE) - analityka korzystania z aplikacji i zapis przebiegu sesji z zamaskowaną treścią pól formularzy. Wyłącznie po wyrażeniu zgody na cookies analityczne.
Microsoft Corporation (USA) - Microsoft Clarity, zapis ruchu kursora, kliknięć i przewijania oraz mapy ciepła na stronach publicznych Serwisu. Nagrania nie obejmują zalogowanego panelu ani treści wpisywanych w formularzach. Wyłącznie po wyrażeniu zgody na cookies analityczne.
Google Ireland Limited (z możliwym transferem do Google LLC w USA) - Google Analytics 4, statystyki odwiedzin i zdarzeń w Serwisie, ze skróconymi adresami IP i bez linków do Paneli klienta. Wyłącznie po wyrażeniu zgody na cookies analityczne.
Google Ireland Limited - Google Ads, pomiar skuteczności reklam. Wyłącznie po wyrażeniu zgody na cookies marketingowe. Bez tej zgody Google otrzymuje sygnał jej braku.
Meta Platforms Ireland Limited (z transferem do Meta Platforms, Inc. w USA) - pomiar skuteczności reklam. Przekazywany jest zaszyfrowany (SHA-256) adres e-mail, adres IP i informacja o przeglądarce. Wyłącznie po wyrażeniu zgody na cookies marketingowe.
Agent Monitor (USA) - rozpoznawanie robotów sztucznej inteligencji odwiedzających Serwis. Przekazywane są wyłącznie techniczne dane żądania (adres podstrony, nagłówki HTTP, adres IP), bez treści formularzy, cookies i danych logowania. Podstawa: art. 6 ust. 1 lit. f RODO.
Organy publiczne, jeśli obowiązek przekazania danych wynika z przepisów prawa.

Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym w ramach EU-U.S. Data Privacy Framework) albo standardowych klauzul umownych (art. 45 i 46 RODO). Kopię zabezpieczeń można uzyskać, pisząc na adres kontakt@listoria.app.

6. Okres przechowywania danych

Dane konta i Treści Użytkownika - przez czas posiadania Konta. Po jego usunięciu dane są usuwane w ciągu 30 dni, a z kopii zapasowych w naturalnym cyklu ich rotacji.
Zapis akceptacji Regulaminu i Polityki prywatności - przez czas posiadania Konta. Zapis udzielonych zgód - przez czas posiadania Konta, a następnie do upływu terminu przedawnienia roszczeń.
Dane rozliczeniowe - 5 lat od końca roku, w którym powstał obowiązek podatkowy.
Dane przetwarzane na podstawie zgody - do jej wycofania.
Korespondencja - do 3 lat od ostatniego kontaktu.
Logi techniczne i informacje o błędach - do 90 dni.

7. Twoje prawa

Przysługuje Ci prawo do:

dostępu do swoich danych i otrzymania ich kopii,
sprostowania danych,
usunięcia danych,
ograniczenia przetwarzania,
przenoszenia danych,
wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie Administratora,
wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Aby skorzystać z tych praw, napisz na adres kontakt@listoria.app. Odpowiemy w ciągu miesiąca. Masz także prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

8. Pliki cookies i podobne technologie

Serwis zapisuje na urządzeniu pliki cookies i dane w pamięci przeglądarki (localStorage):

Niezbędne - sesja logowania, ustawienia, język, zapis wyboru w panelu cookies. Nie wymagają zgody.
Analityczne - PostHog (cookies ph_*), Microsoft Clarity (_clck, _clsk, na stronach publicznych), Google Analytics 4 (_ga, _ga_*) oraz własne cookies Listorii listoria_ft (do 90 dni) i listoria_lt (do zamknięcia przeglądarki), zapamiętujące źródło wejścia do statystyk rejestracji. Ładowane wyłącznie po wyrażeniu zgody.
Marketingowe - Meta Pixel (_fbp, _fbc) i Google Ads (_gcl_*). Ładowane wyłącznie po wyrażeniu zgody.

Zgodę na cookies analityczne i marketingowe można zmienić lub wycofać w każdej chwili: . Po wycofaniu zgody odpowiednie cookies są usuwane. Cookies można też usunąć lub zablokować w ustawieniach przeglądarki, ale wyłączenie niezbędnych cookies uniemożliwi zalogowanie.

9. Rozszerzenie przeglądarki

Rozszerzenie odczytuje treść bieżącej strony wyłącznie wtedy, gdy Użytkownik je otworzy, aby zapisać produkt. Przesyła ją do Serwisu tylko w celu utworzenia produktu na liście. Rozszerzenie nie zbiera historii przeglądania, nie działa w tle na innych stronach i nie sprzedaje ani nie przekazuje danych w celach reklamowych.

10. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne adekwatne do ryzyka, w szczególności: szyfrowanie połączeń (HTTPS), przechowywanie haseł w postaci skrótów kryptograficznych, kontrolę dostępu na poziomie bazy danych (Row Level Security), losowe, trudne do odgadnięcia adresy plików i linków do Paneli klienta oraz ograniczenie dostępu do danych do Administratora. Płatności obsługuje Stripe (PCI DSS Level 1).

11. Osoby niepełnoletnie

Serwis jest przeznaczony dla osób pełnoletnich, w szczególności profesjonalistów. Administrator nie przetwarza świadomie danych osób poniżej 18 roku życia. Jeśli zauważysz, że konto założyła osoba niepełnoletnia, napisz do nas, a konto zostanie usunięte.

12. Zmiany Polityki

Polityka prywatności może być aktualizowana, np. przy zmianie dostawców lub funkcji Serwisu. O istotnych zmianach poinformujemy e-mailem i komunikatem w Serwisie z wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod adresem listoria.app/pl/polityka-prywatnosci.

Ostatnia aktualizacja: 9 października 2026