II. POLITYKA PRYWATNOŚCI I PLIKÓW COOKIES ORKIESTRADY

Wersja: 1.3

Obowiązuje od: 23.07.2026

1. Kim jesteśmy i do czego stosuje się Polityka

1. Administratorem danych w celach opisanych w niniejszej Polityce jest Usługi IT inż. Mateusz Radecki, przedsiębiorca prowadzący jednoosobową działalność gospodarczą wpisany do CEIDG, adres: Dąbrówka 248, 32-712 Bratucice, NIP 8681908206, REGON 366142707, dalej „Administrator” albo „Orkiestrada”.

2. W sprawach prywatności można skontaktować się pod adresem kontakt@orkiestrada.art, telefonicznie pod numerem +48 605 989 136 albo pisemnie na adres Administratora.

3. Administrator nie wyznaczył Inspektora Ochrony Danych. Mateusz Radecki jest punktem kontaktowym w sprawach prywatności i ochrony danych, lecz nie występuje jako IOD. Kontakt odbywa się zgodnie z pkt 2.

4. Polityka wyjaśnia przetwarzanie danych:

• odwiedzających stronę;

• osób zakładających Konto i logujących się;

• Kierowników, Kapelmistrzów i przedstawicieli Organizacji;

• osób kontaktujących się, zgłaszających udział w pilotażu lub reklamację;

• odbiorców newslettera;

• osób korzystających z Integracji zewnętrznych;

• osób, których dane występują w zgłoszeniach treści bezprawnych.

5. W odniesieniu do danych członków i innych osób wprowadzonych przez Organizację, administratorem jest co do zasady Organizacja. Orkiestrada przetwarza te dane w jej imieniu na podstawie umowy powierzenia. Szczegóły opisano w pkt 5.

2. Jakie dane możemy przetwarzać

W zależności od sposobu korzystania z Serwisu możemy przetwarzać:

1. Dane strony i urządzenia: adres IP, czas żądania, adres podstrony, źródło wejścia, typ przeglądarki i urządzenia, system operacyjny, identyfikator sesji, logi błędów i bezpieczeństwa.

2. Dane rejestracyjne: imię, nazwisko, adres e-mail, zaszyfrowane/zhashowane dane uwierzytelniające, data rejestracji, potwierdzenie e-mail, wersja zaakceptowanego Regulaminu, ustawienia języka i strefy czasowej. Dla Konta zarządzanego zapisujemy wyłącznie techniczną kategorię wieku, identyfikator Organizacji, identyfikator zatwierdzającego Kierownika/Kapelmistrza, jego rolę, czas i wersję oświadczenia. Nie zbieramy w tym procesie imienia, nazwiska, e-maila ani dokumentu przedstawiciela ustawowego.

3. Dane logowania Google: identyfikator konta Google, imię i nazwisko, adres e-mail, zdjęcie profilowe - wyłącznie w zakresie zatwierdzonym przez Użytkownika i faktycznie pobieranym przez aplikację.

4. Dane Organizacji: nazwa, identyfikator, typ organizacji, dane kontaktowe, logo, informacje o przedstawicielu, Plan, ustawienia, role Kierowników i Kapelmistrzów oraz historia zmian zarządczych.

5. Dane kontaktowe i wsparcia: treść wiadomości, historia korespondencji, załączniki, dane diagnostyczne, numer zgłoszenia, ocena obsługi.

6. Dane rozliczeniowe: nazwa/nazwisko nabywcy, adres, NIP, dane dokumentu księgowego, Plan, okres rozliczeniowy, status płatności - gdy zostaną uruchomione płatne usługi. Orkiestrada nie powinna przechowywać pełnych danych karty płatniczej.

7. Newsletter: adres e-mail, data i źródło zgody, potwierdzenie double opt-in, data cofnięcia zgody i techniczne dane dostarczenia. Newsletter nie jest obecnie wysyłany. Statystyki otwarć i kliknięć mogą być przetwarzane dopiero po odrębnym, dobrowolnym wyborze dotyczącym takiego pomiaru; w przeciwnym razie tracking pozostaje wyłączony.

8. Integracje: identyfikatory logowania Google, zakres przyznanych uprawnień i historia błędów. Google Calendar jest obecnie nieaktywny i nie powinien powodować pobierania zakresów ani przechowywania tokenów. Planowane SMS API nie przetwarza danych do czasu wyboru i uruchomienia dostawcy.

9. Web push: identyfikator subskrypcji, endpoint dostawcy push, klucze techniczne, typ przeglądarki, data udzielenia i cofnięcia uprawnienia.

10. Zgłoszenia prawne i treści: dane zgłaszającego, dokładna lokalizacja Treści, opis naruszenia, dokumenty, decyzja, uzasadnienie i korespondencja odwoławcza.

11. Dane Organizacji przetwarzane na zlecenie: dane członków, role, sekcje, instrumenty, wydarzenia, obecności, komentarze, ankiety, komunikaty, pliki i pozostałe dane opisane w umowie powierzenia.

3. Cele i podstawy prawne, gdy Orkiestrada jest administratorem

4. Czy podanie danych jest obowiązkowe

1. Podanie danych oznaczonych jako wymagane przy rejestracji jest konieczne do utworzenia Konta. Bez adresu e-mail nie można aktywować Konta ani odzyskać dostępu.

2. Identyfikator Organizacji jest opcjonalny, chyba że Użytkownik chce automatycznie dołączyć do konkretnej Organizacji.

3. Podanie danych w kontakcie jest dobrowolne, ale bez danych umożliwiających odpowiedź możemy nie rozpatrzyć sprawy.

4. Newsletter jest całkowicie dobrowolny i nie wpływa na możliwość utworzenia Konta.

5. Dane w profilu członka mogą być wymagane przez Organizację. To Organizacja powinna wskazać, które dane są obowiązkowe i z jakiej przyczyny.

6. Użytkownik nie powinien przesyłać danych szczególnych kategorii, dokumentów tożsamości ani danych niepotrzebnych do sprawy.

5. Gdy Orkiestrada przetwarza dane w imieniu Organizacji

1. Organizacja decyduje, jakie dane swoich członków wprowadza, kto ma do nich dostęp, jak długo są potrzebne i do jakich celów są używane.

2. Orkiestrada zapewnia narzędzie i wykonuje instrukcje Organizacji jako podmiot przetwarzający na podstawie Załącznika nr 1 do Regulaminu.

3. W sprawie dostępu, poprawienia, usunięcia, sprzeciwu lub ograniczenia danych członkowskich należy w pierwszej kolejności skontaktować się z Organizacją, w szczególności z jej Kierownikiem lub Kapelmistrzem.

4. Jeżeli żądanie trafi do Orkiestrady, przekażemy je Organizacji lub pomożemy jej wykonać żądanie, chyba że dotyczy danych, dla których sami jesteśmy administratorem.

5. Organizacja ma obowiązek przekazać członkom własną klauzulę informacyjną, która identyfikuje Organizację jako administratora i wyjaśnia korzystanie z Orkiestrady jako procesora.

6. Członek powinien widzieć w swoim profilu nazwę i dane kontaktowe administratora swojej Organizacji.

7. Jeżeli Użytkownik należy do kilku Organizacji, każda z nich jest odrębnym administratorem swoich danych i Treści.

6. Skąd pochodzą dane

1. Dane otrzymujemy bezpośrednio od Użytkownika podczas rejestracji, kontaktu, ustawień i korzystania z funkcji.

2. Dane mogą pochodzić od Kierownika albo Kapelmistrza, który dodaje członka lub wysyła zaproszenie w imieniu Organizacji. W takiej sytuacji informacja o przetwarzaniu powinna zostać przekazana najpóźniej przy pierwszym kontakcie lub pierwszym logowaniu.

3. Dane mogą pochodzić z Google lub innej Integracji wyłącznie po działaniu Użytkownika i w zakresie udzielonego uprawnienia.

4. Dane techniczne powstają automatycznie podczas połączenia z Serwisem.

5. Dane mogą pochodzić od osoby zgłaszającej naruszenie, organu, doradcy albo publicznego źródła, jeżeli jest to konieczne do obsługi sprawy.

7. Odbiorcy danych

Dane mogą być ujawniane:

1. pracownikom i współpracownikom Administratora, którzy potrzebują dostępu i są zobowiązani do poufności;

2. dostawcom hostingu, serwerów, kopii zapasowych, poczty, monitoringu, wsparcia, narzędzi bezpieczeństwa i innych usług IT;

3. Google lub innemu dostawcy Integracji, gdy Użytkownik ją wybierze;

4. dostawcy płatności, bankowi, księgowości i doradcom - po uruchomieniu usług płatnych i tylko w potrzebnym zakresie;

5. kancelarii, ubezpieczycielowi, audytorowi lub podmiotowi dochodzącemu roszczeń;

6. organom publicznym i sądom, gdy obowiązek wynika z prawa lub wiążącego żądania;

7. Kierownikowi, Kapelmistrzowi i Użytkownikom posiadającym odpowiednią rolę;

8. podmiotowi przejmującemu działalność, po zapewnieniu zgodności z prawem i odpowiedniej informacji.

Aktualna lista podmiotów przetwarzających i integracji jest dostępna pod adresem https://orkiestrada.art/podmioty-przetwarzajace ****.

8. Przekazywanie danych poza EOG

1. Preferujemy przetwarzanie danych w Europejskim Obszarze Gospodarczym.

2. Niektórzy dostawcy globalni mogą przetwarzać dane lub zapewniać zdalny dostęp poza EOG.

3. W takim przypadku stosujemy mechanizm zgodny z RODO, w szczególności decyzję o odpowiednim stopniu ochrony, Data Privacy Framework w zakresie certyfikacji, standardowe klauzule umowne oraz - gdy potrzebne - dodatkowe zabezpieczenia.

4. Informację o właściwym mechanizmie transferu można uzyskać pod adresem kontakt@orkiestrada.art.

5. Postmark jest świadczony dla konta utworzonego w 2026 r. przez AC PM, LLC i może wiązać się z przetwarzaniem w USA. Usługi Google mogą korzystać z globalnej infrastruktury. Stosujemy mechanizmy wskazane w umowach i DPA dostawców; szczegóły publikuje lista podmiotów..

9. Okresy przechowywania

Jeżeli dane są objęte obowiązkiem zachowania, sporem, blokadą dowodową lub nakazem, możemy ograniczyć ich użycie i zachować je dłużej w niezbędnym zakresie.

10. Prawa osoby

W zależności od podstawy i sytuacji przysługują prawa do:

1. uzyskania informacji i dostępu do danych;

2. sprostowania nieprawidłowych danych;

3. usunięcia danych, gdy zachodzą przesłanki z art. 17 RODO;

4. ograniczenia przetwarzania;

5. przenoszenia danych dostarczonych przez osobę, gdy przetwarzanie odbywa się automatycznie na podstawie zgody lub umowy;

6. sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie z przyczyn związanych ze szczególną sytuacją;

7. bezwarunkowego sprzeciwu wobec marketingu bezpośredniego;

8. cofnięcia zgody w każdym czasie, bez wpływu na zgodność wcześniejszego przetwarzania;

9. niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne lub podobnie istotnie wpływa;

10. wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Żądanie można wysłać na kontakt@orkiestrada.art. Możemy poprosić o informacje niezbędne do potwierdzenia tożsamości, ale nie będziemy rutynowo wymagać skanu dokumentu. Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca.

11. Zautomatyzowane decyzje i profilowanie

1. Orkiestrada nie podejmuje wobec Użytkownika decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie na niego wpływają.

2. Serwis może automatycznie porządkować wydarzenia, wskazywać brak odpowiedzi, wysyłać przypomnienia, obliczać wyniki ankiet lub prezentować statystyki. Są to funkcje organizacyjne, a decyzje dotyczące członków podejmuje Organizacja.

3. Jeżeli w przyszłości zostanie uruchomione profilowanie marketingowe lub rekomendacje o istotnym wpływie, Polityka i mechanizmy zgód zostaną zaktualizowane przed uruchomieniem.

12. Bezpieczeństwo

1. Stosujemy środki odpowiednie do ryzyka, w tym szyfrowaną transmisję, mechanizmy uwierzytelniania i kontroli dostępu, własny monitoring Prometheus/Grafana oraz codzienny pojedynczy backup. Hashowanie haseł, izolacja Organizacji, logowanie istotnych zdarzeń, aktualizacje, uprawnienia i procedura incydentowa muszą zostać potwierdzone testami przed publikacją.

2. Dokładne środki są okresowo oceniane i nie wszystkie szczegóły są publiczne ze względów bezpieczeństwa.

3. Użytkownik odpowiada za ochronę hasła, urządzenia i skrzynki e-mail. Nie powinien logować się na współdzielonym urządzeniu z funkcją „Zapamiętaj mnie”.

4. Żaden system nie daje absolutnej gwarancji bezpieczeństwa. Podejrzenie naruszenia należy zgłosić niezwłocznie na kontakt@orkiestrada.art.

5. Szczegółowy opis zabezpieczeń nie jest publikowany w całości ze względów bezpieczeństwa. Administrator prowadzi wewnętrzny wykaz środków, testów, uprawnień, backupów i procedur incydentowych.

13. Dzieci i dane małoletnich

1. Orkiestrada dopuszcza Konta osób małoletnich jako Konta zarządzane w ramach Organizacji. Globalna rola Zarządcy Systemu jest odrębna; w Organizacji zatwierdzeń dokonuje pełnoletni Kierownik albo Kapelmistrz.

2. Osoba poniżej 13 lat nie rejestruje się samodzielnie. Kierownik albo Kapelmistrz tworzy lub zatwierdza Konto, podając imię, nazwisko i e-mail oraz wybierając kategorię „poniżej 13 lat”. Serwis nie zbiera w tym procesie danych opiekuna ani skanu dokumentu.

3. Osoba w wieku 13-17 lat może rozpocząć rejestrację lub otrzymać zaproszenie, lecz dostęp do danych Organizacji jest możliwy dopiero po zatwierdzeniu członkostwa przez Kierownika albo Kapelmistrza.

4. Organizacja odpowiada za podstawę prawną, obowiązek informacyjny i dokumentację dotyczącą małoletniego. Jeżeli zgoda lub upoważnienie przedstawiciela ustawowego jest wymagane, Organizacja uzyskuje i przechowuje je poza Serwisem. Oświadczenie Kierownika/Kapelmistrza w Serwisie nie zastępuje takiej zgody.

5. Interfejs i komunikaty dla dzieci są proste, krótkie i zrozumiałe. Małoletni widzi informację, że dostęp utworzyła jego Organizacja, oraz może zwrócić się do Kierownika, Kapelmistrza albo Orkiestrady w sprawie swoich danych.

6. Dla Kont zarządzanych domyślnie nie uruchamiamy publicznego profilu, newslettera, marketingu ani opcjonalnej analityki. Adres e-mail nie jest udostępniany zwykłym członkom, a logowanie Google osoby poniżej 13 lat pozostaje wyłączone.

7. Nie należy wpisywać do komentarzy przy obecności diagnoz, informacji o leczeniu, sytuacji rodzinnej ani innych wrażliwych danych.

14. Cookies, pamięć przeglądarki i podobne technologie

1. Serwis może używać cookies, local storage, session storage, tokenów, service workera i podobnych technologii.

2. Technologie niezbędne mogą działać bez zgody, jeżeli są konieczne do transmisji komunikatu albo dostarczenia funkcji wyraźnie żądanej przez Użytkownika, np. sesji logowania, ochrony CSRF, równoważenia ruchu, bezpieczeństwa, zapamiętania wyboru cookies lub funkcji „Zapamiętaj mnie” włączonej przez Użytkownika.

3. Technologie analityczne, preferencyjne wykraczające poza żądaną funkcję i marketingowe uruchamiamy dopiero po uprzednim wyborze Użytkownika, gdy wymaga tego prawo.

4. Brak zgody na opcjonalne technologie nie może blokować podstawowego Konta, logowania ani dostępu do Organizacji.

5. Baner powinien na pierwszej warstwie umożliwiać równie łatwe: „Akceptuję wszystkie”, „Odrzucam opcjonalne” i „Ustawienia”.

6. Użytkownik może zmienić wybór w każdej chwili przez stały link „Ustawienia cookies”. Wycofanie zgody powinno być równie łatwe jak jej udzielenie.

7. Zgoda przeglądarki na powiadomienia web push jest udzielana w systemowym oknie przeglądarki. Serwis powinien poprosić o nią dopiero po jasnym wyjaśnieniu celu, a nie automatycznie przy pierwszym wejściu.

8. Logowanie Google może powodować przekazanie danych do Google dopiero po kliknięciu odpowiedniego przycisku. Google Calendar jest obecnie nieaktywny. Google Analytics/Firebase Analytics wolno uruchomić dopiero po zgodzie analitycznej, a Firebase Cloud Messaging - po świadomym włączeniu web push.

Rejestr technologii używanych przez Orkiestradę

15. Zmiany Polityki

1. Polityka może być aktualizowana w razie zmiany prawa, funkcji, dostawców, przepływów danych, retencji lub środków bezpieczeństwa.

2. Aktualna wersja będzie dostępna w Serwisie z datą wejścia w życie. O istotnej zmianie dotyczącej Konta poinformujemy e-mailem lub w aplikacji.

3. Zmiana celu wymagająca zgody nie będzie oparta na starej zgodzie, jeżeli nowy cel nie jest z nią zgodny.

4. Archiwalne wersje powinny być przechowywane przez Administratora dla celów rozliczalności.