# Polityka prywatności Aestia **Wersja 1.1, obowiązuje od 24.10.2026** --- ## 1. Kto jest administratorem Administratorem Twoich danych osobowych jest **OSTEOPATIA BIODYNAMICZNA sp. z o.o.**, ul. Jana Mohna 50G/8, 87-100 Toruń, NIP 9562402889, KRS 0001172798. Kontakt w sprawach danych osobowych: **osteopatia.biodynamiczna@gmail.com**. Aestia to nazwa serwisu prowadzonego przez tę spółkę. Spółka jest administratorem danych zbieranych w serwisie aestia.eu, w kontach użytkowników i na liście wiadomości o kursach. Nie wyznaczyliśmy inspektora ochrony danych, bo nie jest to wymagane przy naszej skali i rodzaju przetwarzania. Wszystkie sprawy dotyczące danych prowadzi administrator pod powyższym adresem. --- ## 2. Jakie dane zbieramy i po co ### 2.1 Konto w serwisie Zbieramy: adres e-mail, hasło w postaci nieodwracalnego skrótu kryptograficznego bcrypt, datę utworzenia konta, datę ostatniego logowania, język interfejsu, identyfikator techniczny sesji. Cel: prowadzenie konta, potwierdzenie adresu, logowanie, odzyskiwanie hasła i wylogowanie. Podstawa: art. 6 ust. 1 lit. b RODO, czyli wykonanie umowy o świadczenie usługi drogą elektroniczną. **Konto jest bezpłatne i nie daje dostępu do płatnych kursów ani nie zapisuje Cię na listę wiadomości o kursach.** To trzy niezależne rzeczy. Założenie konta nie oznacza zgody na wiadomości marketingowe. ### 2.2 Lista wiadomości o kursach Zbieramy: adres e-mail, datę i godzinę zapisu, datę i godzinę potwierdzenia, wersję tekstu zgody, której dotyczyła Twoja zgoda, język i kurs, który Cię interesuje, informację o wycofaniu zgody. Cel: wysyłanie wiadomości o kursach, materiałów dydaktycznych i zaproszeń na spotkania Aestii. Podstawa: art. 6 ust. 1 lit. a RODO, czyli Twoja zgoda. Zgodę możesz wycofać w każdej chwili. Wycofanie nie wpływa na zgodność z prawem wysyłek wykonanych przed wycofaniem. Zapis jest dwustopniowy. Po podaniu adresu wysyłamy wiadomość z linkiem potwierdzającym. Dopiero kliknięcie w link uruchamia zapis. Link jest ważny 7 dni. Adres niepotwierdzony usuwamy po 7 dniach i nie trafia on na listę wysyłkową. ### 2.3 Bezpieczeństwo i przeciwdziałanie nadużyciom Zbieramy: adres IP, informacje o przeglądarce i urządzeniu, znaczniki czasu żądań, identyfikatory zabezpieczeń. Cel: ochrona serwisu przed atakami, oszustwami, spamem i nieuprawnionym dostępem, zapewnienie stabilności działania. Podstawa: art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes w ochronie serwisu i użytkowników. Możesz wnieść sprzeciw, ale wtedy musimy ocenić, czy nasz interes nie przeważa. ### 2.4 Statystyki zbiorcze Liczymy wyświetlenia strony według dnia, kursu i źródła. **Licznik nie zapisuje adresów IP i nie identyfikuje odwiedzających.** Wynik jest liczbą zbiorczą i nie stanowi danych osobowych. Nie łączymy go z kontami ani z listą. ### 2.5 Kontakt, reklamacje i realizacja praw Zbieramy: adres e-mail, treść wiadomości, załączniki, które sam prześlesz, oraz korespondencję w sprawie. Cel: odpowiedź na pytanie, rozpatrzenie reklamacji, usunięcie konta i realizacja praw dotyczących danych. Podstawa: art. 6 ust. 1 lit. b RODO przy sprawach umownych, art. 6 ust. 1 lit. c RODO przy realizacji obowiązków związanych z obsługą praw, art. 6 ust. 1 lit. f RODO przy pozostałych, bo mamy interes w prowadzeniu korespondencji i obronie przed roszczeniami. ### 2.6 Obowiązki prawne Cel: wypełnienie obowiązków wynikających z przepisów, w tym podatkowych i rachunkowych, gdy pojawi się sprzedaż. Podstawa: art. 6 ust. 1 lit. c RODO. --- ## 3. Czego nie robimy Nie profilujemy Cię w sposób wywołujący skutki prawne. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu. Nie zbieramy danych o zdrowiu, przekonaniach ani innych danych szczególnych kategorii. Nie sprzedajemy danych i nie udostępniamy ich do celów reklamowych podmiotom trzecim. Nie łączymy konta z listą wysyłkową. Jeśli masz konto i nie zapisałeś się na listę, nie otrzymasz od nas wiadomości marketingowych. --- ## 4. Komu przekazujemy dane Dane przekazujemy podmiotom, które przetwarzają je na nasze zlecenie i na podstawie umowy powierzenia, oraz podmiotom uprawnionym na podstawie przepisów. **Dostawcy, którzy przetwarzają dane na nasze zlecenie:** | Dostawca | Rola | Jakie dane | Gdzie | |---|---|---|---| | Cloudflare, Inc. | hosting strony publicznej, ochrona przed atakami, DNS | adres IP, metadane żądań | Stany Zjednoczone | | Supabase Pte. Ltd | baza kont, logowanie, prywatny rejestr dowodów zgody | adres e-mail, dane konta, dowody zgody | Singapur, dane przechowywane w regionie Frankfurt w Unii Europejskiej | | Plus Five Five, Inc., działająca jako Resend | wysyłka wiadomości konta, potwierdzenie adresu, odzyskiwanie hasła, potwierdzenie zapisu na listę | adres e-mail, treść wiadomości, status dostarczenia | Stany Zjednoczone | | MailerLite, UAB | lista wysyłkowa i segmenty | adres e-mail, język, zainteresowanie kursem | Litwa, Unia Europejska | **Kiedy adres trafia do kogo.** Adres podany przy rejestracji konta obsługują Supabase i Resend. Adres podany przy zapisie na listę obsługują Supabase i Resend już na etapie wysyłki wiadomości potwierdzającej, a MailerLite dopiero po potwierdzeniu. Przed potwierdzeniem adres nie jest przekazywany do MailerLite. **Filmów na tym etapie nie udostępniamy.** Dostawcę transmisji wideo wskażemy w tej polityce przed uruchomieniem kursów, po zawarciu z nim umowy powierzenia. **Inni odbiorcy:** dostawca usług księgowych i doradcy prawni, jeśli zajdzie taka potrzeba, a także organy publiczne, gdy zobowiązuje nas do tego prawo. **Umowy powierzenia.** Z Cloudflare, Supabase, Resend i MailerLite mamy zawarte umowy powierzenia. U każdego z nich umowa jest częścią warunków usługi i wchodzi w życie z chwilą akceptacji tych warunków, bez odrębnego podpisu. --- ## 5. Przekazywanie danych poza Unię Europejską Dane kont i dowodów zgody są przechowywane na serwerach w regionie Frankfurt, w Unii Europejskiej. Nasi dostawcy mają jednak siedziby poza Unią: Cloudflare w Stanach Zjednoczonych, Resend w Stanach Zjednoczonych, Supabase w Singapurze. W tych przypadkach dane mogą być przekazywane poza Europejski Obszar Gospodarczy. Podstawą przekazania są standardowe klauzule umowne zatwierdzone przez Komisję Europejską, zawarte w umowach powierzenia z każdym z tych dostawców. Umowa z Cloudflare przewiduje dodatkowo ramy Data Privacy Framework. MailerLite ma siedzibę na Litwie, więc dane na liście pozostają w Unii Europejskiej. MailerLite korzysta z podwykonawców w Unii Europejskiej, w tym z centrów danych w Niemczech i Holandii. Możesz otrzymać kopię stosowanych zabezpieczeń, pisząc na adres kontaktowy. --- ## 6. Jak długo przechowujemy dane | Dane | Okres | Dlaczego | |---|---|---| | Konto aktywne | do usunięcia konta | umowa | | Konto niepotwierdzone | 7 dni od rejestracji, potem usunięcie | brak potwierdzenia adresu | | Kopie zapasowe bazy | 7 dni | plan BackupPro, odtworzenie po awarii | | Dane objęte reklamacją lub sporem | 3 lata od zakończenia sprawy | przedawnienie roszczeń, art. 118 Kodeksu cywilnego | | Niepotwierdzony zapis na listę | **7 dni** od wysłania wiadomości potwierdzającej | jeśli nie potwierdzisz, usuwamy automatycznie | | Potwierdzony zapis i dowód zgody | przez czas trwania zgody | musimy wykazać zgodę, art. 7 ust. 1 RODO | | Dowód wycofania zgody | **3 lata** od wycofania | obrona przed roszczeniami | | Adres na liście wycofanych | czas nieoznaczony, przegląd raz na 3 lata | bez adresu nie da się respektować sprzeciwu | | Korespondencja i reklamacje | 3 lata od zakończenia sprawy | przedawnienie roszczeń | | Logi techniczne i bezpieczeństwa | nasze własne do 30 dni; logi Cloudflare, Supabase i Resend zgodnie z ich dokumentacją i planem, z którego korzystamy | wykrywanie i analiza incydentów | | Statystyki zbiorcze | 24 miesiące | analiza ruchu, dane nieosobowe | **Ważność linku to nie to samo co okres przechowywania.** Link potwierdzający adres przy rejestracji konta jest ważny 24 godziny. Jeśli go nie użyjesz, konto pozostaje niepotwierdzone i usuwamy je po 7 dniach. Link potwierdzający zapis na listę jest ważny 7 dni, a niepotwierdzony zapis usuwamy po 7 dniach. Po upływie okresu dane usuwamy albo anonimizujemy w sposób nieodwracalny. --- ## 7. Twoje prawa Masz prawo do: 1. **Dostępu** do danych i otrzymania ich kopii. 2. **Sprostowania** danych nieprawidłowych i uzupełnienia niekompletnych. 3. **Usunięcia** danych, w zakresie, w jakim nie mamy obowiązku ich dalej przechowywać. 4. **Ograniczenia przetwarzania.** 5. **Przenoszenia** danych w formacie nadającym się do odczytu maszynowego. 6. **Sprzeciwu** wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie. 7. **Wycofania zgody** w każdej chwili, bez podania przyczyny i bez wpływu na wcześniejsze wysyłki. Aby skorzystać z praw, napisz na **osteopatia.biodynamiczna@gmail.com**. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Jeśli sprawa jest złożona, możemy ten termin przedłużyć o dwa miesiące i poinformujemy Cię o tym. Usunięcie konta nie wymaga korzystania z panelu. Wystarczy wiadomość na powyższy adres. Usuwamy konto i dane, które nie podlegają obowiązkowi dalszego przechowywania. Masz też prawo wniesienia skargi do **Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa**, jeśli uważasz, że przetwarzamy dane niezgodnie z prawem. --- ## 8. Dobrowolność podania danych Podanie adresu e-mail jest dobrowolne, ale bez niego nie założysz konta ani nie zapiszesz się na listę. Adres IP nie jest od Ciebie zależny, powstaje przy każdym połączeniu z serwisem. --- ## 9. Pliki cookies i technologie podobne Serwis używa wyłącznie plików cookies i technologii niezbędnych do działania i bezpieczeństwa, w tym zabezpieczeń dostawcy hostingu przed atakami i botami. Nie stosujemy cookies reklamowych ani analitycznych śledzących Twoje zachowanie między stronami. Z tego powodu nie wyświetlamy banera zgody na cookies. Jeśli w przyszłości dodamy narzędzie analityczne albo reklamowe, pojawi się baner, a ta polityka zostanie zaktualizowana przed uruchomieniem narzędzia. Możesz samodzielnie ograniczyć lub wyłączyć cookies w ustawieniach przeglądarki. Wyłączenie cookies niezbędnych może uniemożliwić logowanie. --- ## 10. Bezpieczeństwo Stosujemy szyfrowanie połączeń, kontrolę dostępu, oddzielne środowiska i ograniczenie dostępu do danych do osób, które potrzebują go do pracy. Hasła przechowujemy wyłącznie w postaci nieodwracalnego skrótu kryptograficznego bcrypt. Nie znamy Twojego hasła i nie możemy go odczytać ani odtworzyć. Jeśli je utracisz, ustawisz nowe przez funkcję odzyskiwania hasła. W razie naruszenia ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, poinformujemy Cię o tym bez zbędnej zwłoki i zgłosimy naruszenie do Prezesa UODO w ciągu 72 godzin od stwierdzenia. --- ## 11. Zmiany polityki Politykę aktualizujemy, gdy zmienia się zakres przetwarzania, dostawcy albo przepisy. Każda wersja ma numer i datę. O istotnych zmianach informujemy mailem, jeśli masz konto albo jesteś na liście, oraz publikujemy nową wersję w serwisie. Archiwum wcześniejszych wersji udostępniamy na żądanie. --- ## 12. Wersja Wersja 1.1 z 24.10.2026. Zastępuje wersję 1.0 z 24.10.2026.