Polityka prywatności

1. Zakres i podział odpowiedzialności

Niniejsza polityka dotyczy publicznych stron melduno.pl, melduno.de i melduno.com oraz zamkniętej aplikacji beta pod adresem beta.melduno.de.

Operator Melduno odpowiada za przetwarzanie związane z działaniem strony, kontami beta, bezpieczeństwem, pomocą techniczną, rozliczeniami i rozwojem platformy. Jeżeli właściciel nieruchomości, zarządca albo firma serwisowa wprowadza do Melduno dane swoich lokatorów, klientów lub pracowników i samodzielnie określa cel ich użycia, może być odrębnym administratorem tych danych. Melduno przetwarza wtedy dane w zakresie niezbędnym do świadczenia usługi. Przed publicznym użyciem B2B zostanie udostępniona umowa powierzenia przetwarzania zgodna z art. 28 RODO.

2. Jakie dane przetwarzamy

• dane techniczne: adres IP, data i czas żądania, żądany adres, informacje o przeglądarce i urządzeniu, dane niezbędne do ochrony przed nadużyciami oraz diagnostyki błędów;
• konto i bezpieczeństwo: imię i nazwisko, adres e-mail, rola, organizacja, status zaproszenia, historia logowania, zaszyfrowane lub skrótowane dane uwierzytelniające, ustawienia 2FA i sesje;
• nieruchomości i zgłoszenia: nazwa i adres nieruchomości, lokal, opis i kategoria usterki, pilność, terminy, status, dane osoby zgłaszającej, przypisany wykonawca, zdjęcia i wiadomości;
• Melduno Match i baza firm: profil, specjalizacje, obszar działania, dane kontaktowe, ogłoszenia i odpowiedzi; część profili firm może pochodzić z publicznego zbioru Overture Maps;
• Melduno Business: dane klientów i pracowników, plany pracy, adresy zleceń, kalendarz, ewidencja czasu, raporty, zdjęcia, uwagi, podpis klienta i adres e-mail do wysłania kopii protokołu;
• pomoc i beta: treść zapytań, kontakt e-mail i opcjonalny telefon, historia odpowiedzi, opinie, ocena i adres strony, której dotyczy zgłoszenie;
• płatności, jeżeli moduł zostanie użyty: dane zamówienia, nazwa klienta, e-mail, kwota, waluta, metoda, status i identyfikator transakcji. Melduno nie zapisuje pełnego numeru karty ani kodu CVC.

3. Cele i podstawy prawne

• udostępnienie konta, obsługa zgłoszeń, zleceń, rezerwacji i funkcji Business — art. 6 ust. 1 lit. b RODO albo realizacja usługi na rzecz organizacji użytkownika;
• bezpieczeństwo, zapobieganie nadużyciom, dokumentowanie operacji, rozwój i stabilność serwisu — art. 6 ust. 1 lit. f RODO; uzasadnionym interesem jest bezpieczne i niezawodne prowadzenie platformy;
• księgowość, rozliczenia oraz obowiązki prawne — art. 6 ust. 1 lit. c RODO;
• dobrowolne powiadomienia WhatsApp lub Telegram oraz inne funkcje wyraźnie oznaczone jako opcjonalne — art. 6 ust. 1 lit. a RODO; zgodę można wycofać na przyszłość;
• odpowiedź na wiadomość przed zawarciem umowy lub zwykły kontakt — art. 6 ust. 1 lit. b albo lit. f RODO, zależnie od treści zapytania.

4. Odbiorcy i dostawcy

Dane otrzymują wyłącznie osoby i podmioty, które potrzebują ich do obsługi konkretnej sprawy, oraz dostawcy techniczni działający w wymaganym zakresie.

• Contabo — serwer VPS i kopie zapasowe w europejskim centrum danych;
• OVHcloud / Zimbra — obsługa poczty e-mail;
• OpenStreetMap Nominatim — wyszukanie współrzędnych kraju, kodu pocztowego i miasta podczas wyszukiwania lokalnych firm;
• Overture Maps Foundation — źródło publicznych danych katalogowych o firmach, a nie odbiorca danych zgłoszeń;
• Mollie lub Stripe — tylko gdy użytkownik rozpoczyna obsługiwaną przez nich płatność;
• Meta (WhatsApp Business Platform) lub Telegram Bot API — tylko po włączeniu wybranego kanału; przekazywane są krótkie powiadomienia i bezpieczny link, bez pełnej treści czatu, zdjęć lub raportu;
• OpenAI — tylko gdy funkcja wsparcia AI jest włączona i baza wiedzy nie wystarcza; przekazywana może być treść bieżącego pytania i ograniczona historia rozmowy. Nie należy wpisywać haseł, kodów 2FA, danych kart ani zbędnych danych wrażliwych;
• zarządca, właściciel, firma serwisowa, przypisany pracownik albo klient — wyłącznie w zakresie uprawnień i konkretnego zgłoszenia lub zlecenia.

5. Przekazywanie poza EOG

Podstawowa infrastruktura Melduno znajduje się w Europie. Niektórzy opcjonalni dostawcy, w szczególności OpenAI, Meta, Telegram lub Stripe, mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Funkcje te są używane tylko po ich skonfigurowaniu. Jeżeli dochodzi do transferu, odbywa się on na podstawie właściwego mechanizmu z rozdziału V RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych. Informację o aktualnie aktywnym dostawcy można uzyskać pod adresem kontaktowym administratora.

6. Okres przechowywania

• sesja logowania wygasa po 7 dniach; link aktywacyjny po 24 godzinach, a link resetu hasła po 30 minutach;
• techniczne limity żądań są regularnie czyszczone, a logi bezpieczeństwa przechowujemy tylko tak długo, jak wymaga tego wykrycie nadużyć, wyjaśnienie incydentu lub obrona roszczeń;
• wiadomości z wybranym czasem życia są usuwane po 24 godzinach, 7 dniach albo 30 dniach; wiadomości bez terminu pozostają częścią historii sprawy;
• konta, zgłoszenia, zdjęcia, dokumentacja zleceń i dane Business przechowujemy przez czas testu lub świadczenia usługi, a następnie do zakończenia sprawy, usunięcia konta albo upływu okresu potrzebnego do obrony roszczeń;
• dane księgowe i dowody transakcji przechowujemy przez okres wymagany przepisami podatkowymi i rachunkowymi;
• kopie zapasowe są rotacyjne i standardowo usuwane po 14 dniach; usunięte dane mogą do tego czasu pozostawać w zabezpieczonej kopii i nie są przywracane inaczej niż w celu odtworzenia systemu po awarii.

7. Pliki cookies i pamięć urządzenia

Melduno nie używa obecnie reklamowych ani zewnętrznych analitycznych plików cookies. Używany jest technicznie niezbędny, zabezpieczony plik sesji melduno_session oraz lokalne ustawienia języka, rynku, wielkości tekstu, trybu czcionki i ostatniego obszaru wyszukiwania firm. Służą one wyłącznie do logowania i zapamiętania funkcji wybranych przez użytkownika. Jeżeli w przyszłości pojawią się narzędzia niewymagane do działania serwisu, zostaną uruchomione dopiero po uzyskaniu wymaganej zgody.

8. Dane z publicznych źródeł

Publiczne profile lokalnych firm mogą pochodzić z Overture Maps Foundation. Obejmują nazwę, kategorię działalności, adres lub obszar, współrzędne, stronę internetową, telefon oraz informacje o źródle, o ile są dostępne. Podstawą przetwarzania jest uzasadniony interes w tworzeniu aktualnego katalogu usług (art. 6 ust. 1 lit. f RODO). Profile są oznaczane jako publiczne i niezweryfikowane. Osoba lub firma może zażądać poprawienia, oznaczenia albo usunięcia profilu, pisząc na adres administratora.

9. Prawa osób

W granicach przewidzianych przez RODO przysługuje prawo dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz wycofania zgody na przyszłość. Wniosek można wysłać na adres administratora. Można również złożyć skargę do organu nadzorczego właściwego dla miejsca zamieszkania, pracy lub domniemanego naruszenia; dla operatora w Niemczech właściwym organem będzie ustalony według jego opublikowanego adresu organ krajowy.

10. Dobrowolność danych i automatyczne decyzje

Podanie danych oznaczonych jako wymagane jest konieczne do utworzenia konta albo obsługi wybranej sprawy. Bez nich dana funkcja może nie działać. Podanie numeru telefonu, połączenie komunikatora i część danych profilu są dobrowolne.

Reguły wstępnej analizy zgłoszenia i pomoc AI mają charakter pomocniczy. Nie wywołują wobec użytkownika skutków prawnych i nie podejmują wiążących decyzji wyłącznie automatycznie. Niepewne lub wrażliwe pytania pomocy są kierowane do człowieka.

11. Bezpieczeństwo i aktualizacje

Stosujemy szyfrowanie połączenia TLS, kontrolę dostępu według ról, haszowanie haseł i tokenów, ochronę 2FA dla uprzywilejowanych kont, ograniczanie liczby żądań oraz rotacyjne kopie zapasowe. Czat w aktualnej becie jest przechowywany na serwerze i widoczny dla uprawnionych uczestników sprawy; nie jest jeszcze objęty pełnym szyfrowaniem end-to-end.

Polityka może zostać zmieniona wraz z rozwojem Melduno albo zmianą prawa. Aktualna wersja będzie dostępna pod tym samym adresem, a o istotnych zmianach uczestnicy bety zostaną poinformowani.