Polityka prywatności

Kto jest administratorem Twoich danych

Administratorem danych osobowych użytkowników serwisu AutoTeczka (autoteczka.pl) jest podmiot prowadzący serwis:

• Serwis
  AutoTeczka — autoteczka.pl
• Etap
  Prywatna wersja beta dla znajomych i rodziny (dostęp na zaproszenie)
• Dane rejestrowe
  Zostaną podane przed oficjalnym uruchomieniem — działalność jest w trakcie zakładania.
• Kontakt
  [email protected]
• Wiadomości systemowe
  wysyłane z adresu [email protected] (nie odbieramy odpowiedzi na ten adres)

W sprawach dotyczących danych osobowych piszcie na adres [email protected]. Zgłoszenia dotyczące bezpieczeństwa (np. podejrzenie wycieku) przyjmujemy pod adresem [email protected]. Nie powołaliśmy inspektora ochrony danych — obowiązek ten nas nie dotyczy.

Jakie dane zbieramy

Zbieramy tylko to, co jest potrzebne do prowadzenia konta i historii pojazdu. Większość danych podajesz sam — resztę zapisuje aplikacja, żeby serwis działał bezpiecznie.

Dane konta

• imię i nazwisko (lub nazwa, którą podasz przy rejestracji),
• adres e-mail i informacja, czy został potwierdzony,
• hasło — przechowywane wyłącznie jako skrót (hash) wyliczony algorytmem scrypt; nie znamy Twojego hasła i nie da się go odtworzyć,
• identyfikator konta Google, jeśli logujesz się przez Google (wtedy hasła u nas w ogóle nie ma),
• data akceptacji regulaminu i data ewentualnej zgody marketingowej,
• rola w serwisie (użytkownik, pracownik warsztatu, administrator).

Dane techniczne i bezpieczeństwa

• adres IP oraz nazwa przeglądarki i systemu (User-Agent) zapisywane przy tworzeniu sesji,
• daty logowań, czas ważności i wygaśnięcia sesji,
• rejestr nieudanych prób logowania (adres e-mail podany w formularzu oraz adres IP) — chroni konta przed atakami siłowymi,
• dziennik zmian (Audit Log): kto, kiedy i jaki wpis dodał lub zmienił w historii pojazdu.

Dane pojazdów i historii

• dane pojazdu: marka, model, wersja, rocznik, silnik, rodzaj paliwa, kolor, numer VIN, numer rejestracyjny, przebieg, data zakupu,
• wpisy historii: serwisy, naprawy, przeglądy, ubezpieczenia, modyfikacje, uwagi, wraz z datami, przebiegiem, opisem i kosztami,
• koszty, części, tankowania (litry, cena, stacja, przebieg),
• zdjęcia pojazdu i skany dokumentów (faktury, polisy, dowód rejestracyjny) wraz z tekstem odczytanym z dokumentu, jeśli go dodasz,
• przypomnienia (np. termin OC lub przeglądu),
• dane warsztatu, który dodał wpis: nazwa, miasto, adres, telefon oraz imię i nazwisko osoby wprowadzającej wpis.

Dane innych osób

Jeśli zapraszasz współwłaściciela albo przekazujesz pojazd nowemu właścicielowi, zapisujemy adres e-mail tej osoby — wyłącznie po to, by dostarczyć zaproszenie i połączyć konta. Nie prosimy o żadne inne dane osób trzecich. Dodając skany dokumentów, zadbaj o to, żeby nie zawierały danych osób postronnych.

W jakim celu i na jakiej podstawie przetwarzamy dane

Każde przetwarzanie ma swój cel i podstawę prawną z art. 6 ust. 1 RODO. Poniżej pełne zestawienie.

• Prowadzenie konta i historii pojazdu
  Rejestracja, logowanie, zapisywanie wpisów, dokumentów, zdjęć, tankowań i przypomnień, udostępnianie pojazdu współwłaścicielom i warsztatom, przekazanie pojazdu nowemu właścicielowi.Podstawa: art. 6 ust. 1 lit. b RODO — wykonanie umowy (regulaminu).
• Bezpieczeństwo serwisu
  Utrzymanie sesji, ograniczanie liczby prób logowania, captcha obrazkowa, wykrywanie nadużyć, dziennik zmian pozwalający ustalić autora wpisu.Podstawa: art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes w ochronie kont i danych użytkowników.
• Wiarygodność historii pojazdu
  Utrwalanie informacji o tym, kto dodał wpis i kiedy — dzięki temu historia zachowuje wartość dowodową przy sprzedaży pojazdu.Podstawa: art. 6 ust. 1 lit. b oraz lit. f RODO.
• Obsługa zgłoszeń i reklamacji
  Odpowiedzi na wiadomości wysłane na nasze adresy kontaktowe, rozpatrywanie reklamacji, ustalanie i dochodzenie roszczeń lub obrona przed nimi.Podstawa: art. 6 ust. 1 lit. b oraz lit. f RODO.
• Cookies opcjonalne i marketing
  Analityka oraz informacje o nowych funkcjach — wyłącznie po włączeniu przez Ciebie odpowiedniej kategorii. Obecnie nie korzystamy z żadnych narzędzi tego typu.Podstawa: art. 6 ust. 1 lit. a RODO — Twoja zgoda, którą możesz cofnąć w każdej chwili.
• Obowiązki prawne
  Rozliczenia podatkowe i księgowe, gdyby w przyszłości pojawiły się płatne plany, oraz odpowiadanie na uprawnione żądania organów.Podstawa: art. 6 ust. 1 lit. c RODO — obowiązek prawny.

Podanie imienia, adresu e-mail i hasła jest dobrowolne, ale bez nich nie założysz konta. Dane pojazdu podajesz w takim zakresie, w jakim chcesz prowadzić jego historię.

VIN i numer rejestracyjny — traktujemy je jak dane osobowe

Numer VIN i numer rejestracyjny same w sobie opisują pojazd, a nie człowieka. W praktyce jednak można je powiązać z konkretną osobą — na przykład przez rejestry publiczne, umowę kupna-sprzedaży albo polisę. Dlatego, gdy takie dane są w AutoTeczce zapisane przy Twoim koncie, traktujemy je jak dane osobowe i chronimy tak samo jak resztę.

• VIN i numer rejestracyjny są widoczne tylko dla Ciebie, współwłaścicieli pojazdu oraz warsztatu, któremu udostępnisz pojazd.
• Publiczny profil pojazdu nigdy nie pokazuje numeru rejestracyjnego. Wyświetla natomiast numer VIN, jeśli został uzupełniony — to on potwierdza, że historia dotyczy tego konkretnego auta. Jeśli nie chcesz go pokazywać, usuń VIN z danych pojazdu przed udostępnieniem linku.
• Nie musisz podawać VIN-u ani numeru rejestracyjnego — historia pojazdu działa również bez nich, choć są one najmocniejszym potwierdzeniem, że dokumentacja dotyczy tego konkretnego auta.

Jak długo przechowujemy dane

• Dane konta
  Do momentu usunięcia konta przez Ciebie lub rozwiązania umowy. Po usunięciu konta dane osobowe (imię, e-mail, hash hasła, identyfikator Google) anonimizujemy.
• Historia pojazdu
  Historia należy do pojazdu, nie do konta. Po usunięciu konta wpisy mogą pozostać przy pojeździe, jeśli ma on współwłaścicieli lub został przekazany nowemu właścicielowi — wtedy jednak bez Twoich danych osobowych, z ogólnym oznaczeniem autora.
• Sesje
  30 dni od zalogowania. Wygasłe sesje są usuwane, a wylogowanie kasuje sesję od razu.
• Rejestr nieudanych prób logowania
  Do 12 miesięcy. Udane logowanie kasuje wcześniejsze nieudane próby dla danego konta.
• Dziennik zmian (Audit Log)
  Przez cały czas obecności pojazdu w serwisie — to on nadaje historii wartość dowodową.
• Zgody na cookies
  12 miesięcy od zapisania wyboru albo do jego zmiany.
• Korespondencja
  Do 3 lat od zakończenia sprawy — tyle, ile wynosi zwykły termin przedawnienia roszczeń.
• Kopie zapasowe
  Do 30 dni. Dane usunięte z serwisu znikają z kopii najpóźniej po tym czasie.

Komu przekazujemy dane

Nie sprzedajemy danych i nie udostępniamy ich w celach marketingowych. Korzystamy natomiast z usług, bez których serwis nie mógłby działać — poniżej stan obecny i plany.

• Hosting
  Obecnie: aplikacja i baza danych (SQLite) działają na serwerze prowadzonym przez operatora, a pliki — zdjęcia i skany — są zapisywane w katalogu na tym samym serwerze. Docelowo: platforma hostingowa (rozważamy Vercel) oraz zewnętrzna przestrzeń na pliki; przed zmianą zaktualizujemy tę politykę i zawrzemy umowę powierzenia przetwarzania.
• Poczta e-mail
  Obecnie: wiadomości (potwierdzenie adresu, powiadomienia) trafiają do demonstracyjnej skrzynki w bazie serwisu i nie opuszczają serwera. Docelowo: serwer SMTP lub zewnętrzny dostawca wysyłki poczty.
• Google
  Tylko jeśli wybierzesz logowanie przez Google. Wtedy Google przekazuje nam Twój identyfikator, adres e-mail i imię, a sam fakt logowania jest widoczny po stronie Google. Bez skorzystania z tego przycisku żadne dane do Google nie trafiają.
• Warsztaty i współwłaściciele
  Dane pojazdu widzi warsztat, któremu udostępnisz link roboczy, oraz osoby dopisane jako współwłaściciele. To Ty decydujesz o każdym takim udostępnieniu i możesz je cofnąć.
• Organy publiczne
  Wyłącznie na uzasadnione żądanie mające podstawę w przepisach prawa.

Z każdym dostawcą, który przetwarza dane w naszym imieniu, zawieramy umowę powierzenia przetwarzania danych osobowych (art. 28 RODO).

Przekazywanie danych poza Europejski Obszar Gospodarczy

Obecnie dane pozostają na serwerze w Polsce i nie są przekazywane poza EOG. Wyjątkiem jest sytuacja, w której skorzystasz z logowania Google — Google przetwarza dane również poza EOG, na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

Jeśli w przyszłości wybierzemy dostawcę hostingu lub poczty przetwarzającego dane poza EOG, zrobimy to wyłącznie w oparciu o decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony albo o standardowe klauzule umowne. Kopię zabezpieczeń możesz uzyskać, pisząc na [email protected].

Publiczny profil pojazdu

AutoTeczka pozwala wygenerować link do publicznej wizytówki pojazdu — przydatny przy sprzedaży albo przy pokazaniu historii mechanikowi. To jedyne miejsce, w którym dane z serwisu mogą stać się dostępne dla osób spoza Twojego konta, dlatego opisujemy to osobno.

• Link powstaje wyłącznie wtedy, gdy sam go utworzysz. Domyślnie żaden pojazd nie jest publiczny.
• Adres zawiera losowy token — nie da się go odgadnąć ani wyliczyć z numeru pojazdu.
• Publiczny profil nie pokazuje Twoich danych osobowych, kwot ani numeru rejestracyjnego. Widoczne są: dane techniczne pojazdu, przebieg, numer VIN (jeśli go uzupełniłeś), wskaźnik wiarygodności oraz oś czasu zdarzeń bez kosztów.
• Link możesz w każdej chwili wyłączyć w zakładce „Udostępnianie” — od tego momentu strona przestaje działać. Liczymy jedynie zbiorczą liczbę wyświetleń, bez identyfikowania odwiedzających.
• Pamiętaj, że treść wpisów i zdjęć dodajesz Ty — jeśli umieścisz w nich dane osobowe (np. na zdjęciu tablicy rejestracyjnej albo skanie faktury), znajdą się one na udostępnionej stronie.

Twoje prawa

Wobec swoich danych masz pełen zestaw uprawnień z RODO. Z większości skorzystasz samodzielnie w panelu konta, resztę załatwimy mailowo — bez formularzy i bez opłat.

• Dostęp do danych
  Możesz zapytać, jakie dane przetwarzamy, i otrzymać ich kopię (art. 15 RODO).
• Sprostowanie
  Dane konta i pojazdów poprawisz sam w aplikacji; jeśli czegoś nie da się zmienić — napisz do nas (art. 16 RODO).
• Usunięcie
  Konto usuniesz w panelu /konto. Historia pojazdu może pozostać przy pojeździe, jeśli ma współwłaścicieli lub nowego właściciela — wtedy w postaci pozbawionej Twoich danych osobowych (art. 17 RODO).
• Ograniczenie przetwarzania
  Możesz żądać, byśmy wstrzymali przetwarzanie na czas wyjaśnienia sprawy (art. 18 RODO).
• Przenoszenie danych
  Eksport danych konta, pojazdów i historii do pliku znajdziesz w panelu /konto (art. 20 RODO).
• Sprzeciw
  Wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją (art. 21 RODO).
• Cofnięcie zgody
  Zgody (cookies opcjonalne, marketing) cofniesz w każdej chwili — przyciskiem „Ustawienia cookies” albo mailem. Cofnięcie nie wpływa na to, co zrobiliśmy wcześniej zgodnie z prawem.
• Skarga do organu
  Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Zgłoszenia przyjmujemy pod adresem [email protected] i odpowiadamy najpóźniej w ciągu miesiąca. Jeśli sprawa jest skomplikowana, uprzedzimy o przedłużeniu terminu.

Brak profilowania i decyzji automatycznych

Nie podejmujemy wobec Ciebie decyzji wyłącznie w sposób automatyczny i nie profilujemy Cię w rozumieniu art. 22 RODO. Wskaźnik wiarygodności pojazdu jest prostym wyliczeniem kompletności dokumentacji (liczba wpisów, dokumentów, zdjęć i tankowań) — dotyczy pojazdu, nie osoby, i nie wywołuje wobec Ciebie żadnych skutków prawnych.

Jak chronimy dane

• hasła przechowujemy wyłącznie jako skróty wyliczone algorytmem scrypt z losową solą — porównanie odbywa się w czasie stałym,
• sesja jest zapisywana w bazie, a w przeglądarce zostaje jedynie ciasteczko at_session z atrybutami httpOnly i SameSite=Lax (w wersji produkcyjnej także Secure) — skrypty na stronie nie mają do niego dostępu,
• w bazie trzymamy tylko skrót tokenu sesji, więc nawet z podglądu bazy nie da się odtworzyć ciasteczka,
• po kilku nieudanych próbach logowania pojawia się captcha (obrazek generowany przez nas — bez żadnej usługi zewnętrznej), a przy dalszych próbach konto jest czasowo blokowane,
• adres e-mail wymaga potwierdzenia linkiem, a linki weryfikacyjne są jednorazowe i wygasają po 24 godzinach,
• połączenie z serwisem jest szyfrowane (HTTPS), a dostęp do bazy i plików mają wyłącznie osoby obsługujące serwis,
• zmiany w historii pojazdu zapisujemy w dzienniku zmian, więc każdą modyfikację da się prześledzić.

Pliki cookies

Używamy wyłącznie plików cookies niezbędnych do działania serwisu: utrzymania zalogowania, zapamiętania wyboru motywu i zapisania Twojej decyzji o zgodach. Nie mamy Google Analytics, Facebook Pixela ani innych narzędzi śledzących. Szczegóły — łącznie z nazwami i czasem przechowywania — opisuje polityka cookies.

Zmiany polityki prywatności

Politykę aktualizujemy, gdy zmienia się sposób działania serwisu — na przykład gdy dojdzie nowy dostawca hostingu albo nowa funkcja. O istotnych zmianach poinformujemy w aplikacji lub e-mailem co najmniej 14 dni przed ich wejściem w życie. Na górze strony zawsze widnieje data ostatniej aktualizacji.

Kontakt

• sprawy dotyczące danych osobowych: [email protected]
• pytania ogólne i reklamacje: [email protected]
• zgłoszenia bezpieczeństwa: [email protected]
• błędy w działaniu aplikacji: [email protected]