Dokumenty
Polityka prywatności
Wersja pl-2026-09-19, obowiązuje od 19 września 2026
Ta polityka opisuje, jakie dane przetwarzam w serwisie joanasi.com (strona, blog, bezpłatny plan treningowy i newsletter, sklep z Dietą na Start oraz aplikacja po zalogowaniu), po co, na jakiej podstawie, jak długo i komu je powierzam. Piszę ją zgodnie z art. 13 RODO i po polsku.
1. Administrator danych
Administratorem Twoich danych osobowych jest Joanna Sirak, prowadząca działalność nierejestrowaną, ul. Tkacka 5/5, 30-050 Kraków. Kontakt w sprawach danych: hello@joanasi.com, listownie na powyższy adres. Inspektor ochrony danych nie został powołany.
2. Jakie dane przetwarzam
Przy zakupie i korzystaniu z aplikacji
- Adres e-mail podany przy zakupie i używany do logowania.
- Dane zamówienia: identyfikator zamówienia, kupiony produkt i edycja, cena i waluta, status płatności i dostępu, identyfikatory transakcji po stronie Stripe.
- Zapis oświadczeń złożonych przy zakupie: dokładna treść i wersja oświadczeń, czy zostały złożone i kiedy, wersja regulaminu, którą zaakceptowałaś, skrót adresu IP i rodzina przeglądarki (na przykład „iOS”, „Android”), jako dowód.
- Imię, nazwisko i dane płatności podajesz Stripe na jego stronie płatności. Nie zapisuję ich; do mnie wraca adres e-mail, kwota, status i identyfikator transakcji.
- Kody dostępu i sesje: skróty kryptograficzne jednorazowych kodów i tokenów sesji, czas ich ważności, rodzina przeglądarki.
- Twoje wybory w aplikacji: zaplanowane dni i dania, liczba porcji, ulubione, stan listy zakupów.
- Zdarzenia produktowe: pseudonimowe zdarzenia z zamkniętej listy (na przykład „otwarto plan”, „pobrano ebook”) powiązane z identyfikatorem klientki w mojej bazie, nigdy z adresem e-mail. Nie zawierają danych o zdrowiu ani treści planu.
- Znaczniki wydanych kopii plików PDF: każdy wydany plik ma niewidoczny identyfikator kopii, zapisany w bazie razem z zamówieniem albo zapisem na newsletter, którego dotyczy.
- Korespondencja, gdy do mnie napiszesz.
Przy zapisie na newsletter i bezpłatny plan
- Adres e-mail z formularza.
- Dowód zgody: treść i wersja zgody, moment jej udzielenia, skrót adresu IP, rodzina przeglądarki, strona i kampania, z której nastąpił zapis, oraz moment i sposób wycofania zgody.
- Wydane linki do pobrania: skrót tokenu, data ważności (14 dni), liczba pobrań, identyfikator kopii.
- Dane przekazywane do Klaviyo: adres e-mail, status zgody i źródło zapisu, żeby wysyłać newsletter. Linków do pobrania do Klaviyo nie przekazuję.
Na wszystkich stronach
- Logi serwera: adres IP, czas, adres strony, kod odpowiedzi, rodzina przeglądarki, przechowywane 30 dni w celach bezpieczeństwa i diagnostyki.
- Zbiorcze liczniki odwiedzin: jeden wiersz dziennie na adres strony z liczbą wyświetleń. Bez adresu IP, bez identyfikatora, bez pliku cookie; po tych danych nie da się Cię rozpoznać.
- Liczniki ograniczające liczbę prób (logowanie, zapis, zakup): skróty adresu e-mail i adresu IP z licznikiem dla okna czasowego.
Czego nie zbieram. Nie zbieram danych o zdrowiu, wynikach badań, wadze, obwodach ani lekach. Aplikacja nie ma na nie miejsca. Kalkulator kalorii, jeśli z niego korzystasz, liczy wyłącznie w Twojej przeglądarce: wpisanych wartości i wyniku nie wysyła na serwer i nie zapisuje.
3. Cele, podstawy prawne i okresy przechowywania
| Cel | Dane | Podstawa prawna | Jak długo |
|---|---|---|---|
| Sprzedaż zestawu i utrzymanie dostępu | zamówienie, adres e-mail, edycja, status dostępu | art. 6 ust. 1 lit. b RODO (umowa) | przez czas dostępu, a jako dokument sprzedaży 5 lat od końca roku, w którym powstał obowiązek podatkowy |
| Zapis oświadczeń z zakupu | treść i wersja oświadczeń, moment, skrót IP, rodzina przeglądarki | art. 6 ust. 1 lit. c RODO (art. 21 ustawy o prawach konsumenta), potem lit. f: wykazanie, co i kiedy Ci pokazałam | razem z zamówieniem, 5 lat od końca roku podatkowego |
| Logowanie bez hasła i sesje | adres e-mail, skróty kodów i tokenów | art. 6 ust. 1 lit. b RODO | kody do wygaśnięcia (60 minut); sesje do wylogowania lub wygaśnięcia (90 dni od ostatniego użycia) |
| Wysyłka wiadomości o dostępie i potwierdzeń | adres e-mail, treść wiadomości | art. 6 ust. 1 lit. b RODO | kopia wiadomości 90 dni; fakt wysłania potwierdzenia razem z zamówieniem |
| Plan tygodnia, ulubione i lista zakupów | Twoje wybory w aplikacji | art. 6 ust. 1 lit. b RODO | przez czas dostępu, potem usunięcie w ciągu 30 dni |
| Znakowanie wydanych plików PDF | identyfikator kopii, powiązanie z zamówieniem lub zapisem | art. 6 ust. 1 lit. f RODO: ustalenie źródła kopii udostępnionej bez uprawnienia | 3 lata od zakończenia dostępu |
| Zdarzenia produktowe | rodzaj zdarzenia, czas, identyfikator klientki | art. 6 ust. 1 lit. f RODO: sprawdzenie, czy zakup, dostęp i główne funkcje działają | 12 miesięcy |
| Obsługa pytań i reklamacji | korespondencja | art. 6 ust. 1 lit. b i c RODO | 3 lata od zamknięcia sprawy, w skrzynce pocztowej; przegląd ręczny raz na kwartał |
| Ograniczanie liczby prób | skróty adresu e-mail i IP, liczniki | art. 6 ust. 1 lit. f RODO: ochrona przed nadużyciami | do 24 godzin od zamknięcia okna |
| Logi serwera | adres IP, czas, adres strony, rodzina przeglądarki | art. 6 ust. 1 lit. f RODO: bezpieczeństwo i diagnostyka | 30 dni |
| Zbiorcze liczniki odwiedzin | dzień, adres strony, liczba wyświetleń | art. 6 ust. 1 lit. f RODO: wiedza, które strony są czytane; dane nie identyfikują nikogo | 400 dni, jako dane zbiorcze |
| Newsletter i bezpłatny plan | adres e-mail, status zgody, zdarzenia zapisu i pobrania | art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 398 Prawa komunikacji elektronicznej | do wycofania zgody; potem tylko dowód zgody i wycofania przez 3 lata od wycofania |
| Obowiązki podatkowe i księgowe | ewidencja sprzedaży | art. 6 ust. 1 lit. c RODO | 5 lat od końca roku, w którym upłynął termin płatności podatku |
| Ustalenie i obrona roszczeń | dane zamówienia, oświadczenia, korespondencja | art. 6 ust. 1 lit. f RODO | do upływu terminu przedawnienia, a w toczącej się sprawie do jej zakończenia |
Podanie adresu e-mail jest konieczne, żeby kupić zestaw i otrzymać dostęp albo żeby zapisać się na newsletter; bez niego nie mogę wykonać umowy ani wysłać planu. Imię, nazwisko i dane płatności są wymagane przez Stripe do wykonania płatności. Zapis na newsletter jest dobrowolny i nigdy nie warunkuje zakupu ani korzystania z aplikacji.
Okresy oznaczone liczbą dni egzekwuje codzienne zadanie automatyczne. Nie mam wpływu na kopie zapasowe dostawców, które wygasają w ich własnym cyklu.
4. Zakup i płatność
Płatność obsługuje Stripe (Stripe Payments Europe, Limited, Irlandia). Płacisz na stronie Stripe kartą, BLIKIEM, przelewem Przelewy24, Apple Pay lub Google Pay. Nie widzę i nie przechowuję numeru karty. Sprzedawcą i stroną umowy jestem ja; Stripe działa jako podmiot przetwarzający na moje zlecenie w zakresie obsługi płatności, a w zakresie przeciwdziałania oszustwom, obowiązków prawnych i rozliczeń sieci kart jako odrębny administrator, na zasadach opisanych w jego polityce prywatności.
5. Dostęp do aplikacji
Nie zakładasz konta z hasłem. Podajesz adres e-mail z zakupu, dostajesz sześciocyfrowy kod i link; wpisujesz kod albo klikasz link. Odpowiedź na prośbę o kod jest zawsze taka sama, niezależnie od tego, czy adres jest w mojej bazie. Kody i tokeny przechowuję wyłącznie jako skróty kryptograficzne. Link do pliku jest krótkotrwały i wydawany tylko osobie z aktywnym uprawnieniem.
6. Newsletter i bezpłatny plan
Zapis na newsletter to jedna, niezaznaczona domyślnie zgoda; planem Siła na Start dziękuję za zapis. Zgoda jest udzielana przez podanie adresu w formularzu i zaznaczenie pola; zapisuję jej dowód (punkt 2). Pierwsza wiadomość zawiera link do planu ważny 14 dni. Nowy link wygenerujesz na stronie /materialy/odbierz, dopóki zgoda jest aktywna.
Wysyłkę newslettera obsługuje Klaviyo (Klaviyo, Inc., USA) jako podmiot przetwarzający. Formularz wysyła dane z mojego serwera do Klaviyo; na stronie nie osadzam skryptu śledzącego Klaviyo, więc Klaviyo nie zapisuje własnych plików cookie w Twojej przeglądarce.
Zgodę możesz wycofać w każdej chwili linkiem rezygnacji w każdej wiadomości (/rezygnacja) albo pisząc do mnie. Wycofanie zgody nie wpływa na zgodność z prawem wysyłki sprzed wycofania. Szczegóły opisują Warunki newslettera (/newsletter).
7. Odbiorcy danych
| Dostawca | Po co | Rola | Gdzie |
|---|---|---|---|
| Amazon Web Services EMEA SARL (Luksemburg) | hosting aplikacji i bazy danych, przechowywanie plików, wysyłka wiadomości e-mail (Amazon SES), logi | podmiot przetwarzający | region Frankfurt (eu-central-1), Unia Europejska; dostęp serwisowy AWS może następować spoza EOG na podstawie standardowych klauzul umownych i certyfikacji AWS w EU-U.S. Data Privacy Framework |
| Stripe Payments Europe, Limited (Irlandia) | płatności, zwroty, spory płatnicze | podmiot przetwarzający, w części odrębny administrator | Irlandia; przekazanie do Stripe, Inc. (USA) na podstawie standardowych klauzul umownych i certyfikacji w EU-U.S. Data Privacy Framework |
| Klaviyo, Inc. (USA) | newsletter | podmiot przetwarzający | USA; certyfikacja w EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne |
Nie korzystam ze stałej obsługi księgowej ani prawnej, której przekazywałabym Twoje dane; jeżeli to się zmieni, dopiszę ją tutaj wcześniej. Dane mogą zostać udostępnione uprawnionym organom, jeżeli wymagają tego przepisy.
8. Przekazywanie danych poza EOG
Dane przechowuję w Unii Europejskiej (AWS, Frankfurt). Poza EOG trafiają dane przekazywane do Stripe, Inc. (USA) i Klaviyo (USA) oraz ewentualny dostęp serwisowy AWS. Podstawą są, odpowiednio do odbiorcy, decyzja wykonawcza Komisji (UE) 2023/1795 w sprawie EU-U.S. Data Privacy Framework, jeżeli odbiorca jest w nim certyfikowany, oraz standardowe klauzule umowne przyjęte decyzją Komisji (UE) 2021/914. Kopię zastosowanych zabezpieczeń albo informację o nich udostępnię na wniosek: hello@joanasi.com.
9. Twoje prawa
Masz prawo do dostępu do swoich danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wycofania zgody w każdej chwili (bez wpływu na zgodność z prawem przetwarzania sprzed wycofania).
Prawo sprzeciwu. W każdej chwili możesz wnieść sprzeciw wobec przetwarzania opartego na moim uzasadnionym interesie, w szczególności wobec zdarzeń produktowych, logów, znakowania kopii i przetwarzania na potrzeby obrony roszczeń. Po sprzeciwie przestanę przetwarzać te dane, chyba że wykażę ważne prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów, praw i wolności, albo podstawy do ustalenia, dochodzenia lub obrony roszczeń.
Napisz na hello@joanasi.com. Odpowiadam bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w sprawie skomplikowanej mogę przedłużyć ten termin o dwa miesiące, informując Cię o tym. Część danych muszę zachować mimo wniosku, jeżeli wymagają tego przepisy podatkowe albo są potrzebne do obrony roszczeń.
Nie podejmuję wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne. Nie profiluję Cię w celach marketingowych.
10. Pliki cookies i pamięć przeglądarki
Serwis używa wyłącznie plików cookie niezbędnych do świadczenia usługi, o którą prosisz. Zgodnie z art. 399 ust. 3 Prawa komunikacji elektronicznej nie wymagają one zgody, dlatego nie wyświetlamy banera cookies: nie ma czego zaakceptować ani odrzucić.
| Nazwa | Rodzaj | Po co | Jak długo |
|---|---|---|---|
| joanasi_session | cookie niezbędny, HttpOnly | utrzymanie Twojego zalogowania do aplikacji bez hasła; przeglądarka wysyła go tylko do joanasi.com, skrypty nie mają do niego dostępu | do wylogowania albo 90 dni od ostatniego użycia |
| joanasi_staff | cookie niezbędny, HttpOnly | zalogowanie osoby obsługującej zamówienia w panelu /ops (tylko personel) | do wylogowania albo 12 godzin |
| joanasi_order | cookie niezbędny, HttpOnly | rozpoznanie Twojego własnego zamówienia na stronie potwierdzenia po zakupie, żeby nikt inny nie zobaczył jej po adresie | 24 godziny od rozpoczęcia zakupu |
| joanasi:lead-email (sessionStorage) | pamięć przeglądarki, nie cookie | pokazanie Twojego adresu e-mail na stronie z podziękowaniem po zapisie na newsletter; adres nie trafia w ten sposób na serwer ani do adresu strony | do zamknięcia karty przeglądarki |
Nie używam plików cookie analitycznych ani marketingowych, Google Analytics, pikseli reklamowych ani skryptów firm trzecich. Liczbę odwiedzin liczę bez plików cookie i bez identyfikatorów: wyłącznie jako dzienny licznik na adres strony (punkt 2). Kalkulator kalorii nie zapisuje niczego w pamięci przeglądarki.
Wyłączenie plików niezbędnych w ustawieniach przeglądarki uniemożliwi zalogowanie do aplikacji; publiczne strony działają bez nich.
11. Bezpieczeństwo
Połączenie jest szyfrowane (TLS). Kody, tokeny i identyfikatory przechowuję jako skróty kryptograficzne. Dostęp do bazy jest ograniczony do aplikacji, a dane klientek są rozdzielone na poziomie bazy danych, tak że jedna klientka nie może odczytać danych innej. Liczbę prób logowania, zapisu i zakupu ograniczam, żeby chronić konta przed nadużyciem.
12. Skarga do Prezesa UODO
Jeżeli uważasz, że przetwarzam Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl. Niezależnie od tego możesz dochodzić swoich praw przed sądem.
13. Zmiany polityki
Politykę aktualizuję, gdy zmienią się usługi, dostawcy albo przepisy. Aktualna wersja jest zawsze pod tym adresem, z oznaczeniem wersji i datą wejścia w życie. O istotnych zmianach poinformuję Cię e-mailem, jeżeli mam Twój adres.