Polityka prywatności RMAI

Obowiązuje od 1 września 2026 r.

1. Administrator

Administratorem danych osobowych użytkowników Platformy rmai.pl jest Freeride Dariusz Trybocki, Św. Wojciecha 7, 81-347 Gdynia, NIP 5862050688, kontakt: kontakt@rmai.pl. Dane przetwarzane są zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

2. Dwie role — ważne rozróżnienie

  1. Dane kont Serwisów (B2B) — nazwa, e-mail, telefon, dane rozliczeniowe, historia płatności: Operator jest administratorem tych danych. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO) i obowiązki księgowe (lit. c).
  2. Dane klientów końcowych Serwisów — imię, kontakt, treść zgłoszenia, zdjęcia, numery ram/seryjne: administratorem jest Serwis, który przyjął zgłoszenie. Operator działa jako podmiot przetwarzający (art. 28 RODO) wyłącznie na polecenie Serwisu i w celu świadczenia usługi. Akceptacja regulaminu przez Serwis obejmuje zawarcie umowy powierzenia o treści opisanej w pkt 6.

3. Zakres i cele

  1. Zgłoszenia: dane kontaktowe klienta końcowego, opis sprzętu i usterki, numer seryjny lub numer ramy, załączniki (zdjęcia) — w celu obsługi naprawy lub reklamacji oraz komunikacji statusów (e-mail, SMS).
  2. Podpis elektroniczny akceptacji kosztorysu: obraz podpisu złożonego na ekranie wraz z datą, godziną i adresem IP — jako potwierdzenie zlecenia naprawy w określonym zakresie i kwocie. Podstawa: prawnie uzasadniony interes Serwisu (dowód zawarcia umowy).
  3. Kody QR na sprzęcie: adres publicznej karty sprzętu jest skrótem kryptograficznym (HMAC) numeru seryjnego — sam adres nie zawiera danych osobowych ani numeru ramy. Karta pokazuje wyłącznie historię napraw danego sprzętu, bez danych kontaktowych właściciela.
  4. Prośby o opinię: wysyłane po odbiorze sprzętu na podstawie uzasadnionego interesu Serwisu (badanie jakości usługi). Ocena i komentarz przechowywane są razem ze zleceniem; klient nie musi odpowiadać, a osoby, które wybrały „bez kontaktu", nie otrzymują takich wiadomości.
  5. Kampanie marketingowe: adres e-mail i imię klienta, wykorzystywane wyłącznie na podstawie udzielonej zgody. Każda wiadomość zawiera link rezygnacji; adresy wypisane trafiają na listę wykluczeń Serwisu i nie są używane w kolejnych wysyłkach. Rezygnacja z marketingu nie wpływa na powiadomienia o realizacji zgłoszenia.
  6. Przypomnienia o przeglądzie: wysyłane wyłącznie do klientów, którzy wyrazili zgodę marketingową, po ustalonym przez Serwis czasie od odbioru sprzętu. Zgodę można wycofać w każdej chwili.
  7. Faktury: dane nabywcy (nazwa, NIP, adres) podane przez Serwis, przechowywane przez okres wymagany przepisami podatkowymi. Podstawa: obowiązek prawny ciążący na Serwisie jako podatniku.
  8. Dane pracowników Serwisu w dokumentach dla klienta: na raporcie serwisowym i w komunikacji prezentujemy wyłącznie imię i pierwszą literę nazwiska pracownika. Pełne dane pozostają wewnątrz systemu, dostępne dla Serwisu jako pracodawcy.
  9. Czat zespołu: treść wiadomości i identyfikator autora, dostępne wyłącznie dla zalogowanych pracowników danego Serwisu. Administratorem tych danych jest Serwis.
  10. Ewidencja czasu pracy: identyfikator pracownika Serwisu, czas rozpoczęcia i zakończenia sesji — dane pracownicze, których administratorem jest Serwis.
  11. Logowanie dwuskładnikowe: klucz TOTP przypisany do konta pracownika Serwisu — wyłącznie w celu zabezpieczenia dostępu.
  12. Płatności abonamentowe realizuje mElements S.A. (Paynow); Operator otrzymuje potwierdzenie płatności, nie przechowuje danych kart.
  13. Logi techniczne (adres IP, czas żądania) — bezpieczeństwo i diagnostyka, do 90 dni.
  14. Pliki cookies: wyłącznie niezbędne (sesja logowania). Platforma nie używa cookies marketingowych ani trackerów zewnętrznych.

4. Odbiorcy danych

Dostawca hostingu OVH (serwery VPS na terenie UE/EOG), dostawca usług e-mail (SMTP), dostawca bramki SMS (SerwerSMS.pl), operator płatności mElements S.A. — każdorazowo w zakresie niezbędnym do działania usługi. Dane nie są przekazywane poza EOG ani sprzedawane.

Nie analizujemy, nie profilujemy i nie odsprzedajemy danych klientów końcowych Serwisów. Operator nie wykorzystuje bazy klientów jednego Serwisu na rzecz innego Serwisu ani do własnej działalności handlowej. Dane każdego Serwisu są odseparowane logicznie i dostępne wyłącznie jego uprawnionym użytkownikom.

Widget rezerwacji osadzony na stronie Serwisu nie ustawia plików cookies ani nie śledzi odwiedzających; formularz ładuje się dopiero po kliknięciu przycisku przez użytkownika.

5. Okres przechowywania i prawa

  1. Dane kont — przez czas trwania umowy i do 6 lat dla celów podatkowych (dokumenty rozliczeniowe).
  2. Dane zgłoszeń — do usunięcia przez Serwis albo do usunięcia konta Serwisu (30 dni od żądania).
  3. Każdemu przysługuje prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia, sprzeciwu oraz skargi do Prezesa UODO. Klienci końcowi kierują żądania do swojego Serwisu; Operator pomaga Serwisowi je zrealizować.

6. Program partnerski

Osoby zgłaszające się do programu partnerskiego podają imię, nazwisko, adres e-mail, numer telefonu (weryfikowany kodem SMS), miasto i branżę. Dane służą wyłącznie obsłudze zgłoszenia, rozliczeniu wynagrodzenia i kontaktowi. Partner otrzymuje konto demonstracyjne z danymi przykładowymi — nie zawiera ono danych rzeczywistych klientów żadnego Serwisu. Partner widzi w swoim panelu wyłącznie nazwy pozyskanych przez siebie Serwisów i naliczone kwoty prowizji; nie ma dostępu do zgłoszeń, klientów ani danych operacyjnych Serwisu.

7. Bezpieczeństwo

  1. Transmisja szyfrowana (HTTPS/TLS), hasła przechowywane w postaci skrótów (bcrypt).
  2. Opcjonalne logowanie dwuskładnikowe (TOTP) dla kont Serwisów.
  3. Uprawnienia w ramach Serwisu: właściciel decyduje, które dane widzą poszczególne role (manager, serwisant, recepcja, praktykant). Rola „praktykant" widzi wyłącznie zlecenia jemu przypisane.
  4. Kopie zapasowe bazy danych przechowywane na terenie EOG, tworzone automatycznie i rotowane.
  5. Dziennik dostępu: operacje obejmujące komplet danych osobowych (eksport listy klientów, pełna kopia danych, wysyłka kampanii) są rejestrowane wraz z użytkownikiem, czasem i adresem IP. Zwykła praca na pojedynczych zleceniach nie jest logowana. Serwis może też wymusić dwuskładnikowe logowanie dla całego zespołu.
  6. Szyfrowanie danych osobowych w spoczynku (AES-256-GCM): imię i nazwisko, adres e-mail oraz numer telefonu klienta końcowego przechowywane są w postaci zaszyfrowanej, z osobnym kluczem wyprowadzanym dla każdego Serwisu. Klucz główny znajduje się poza bazą danych — sama kopia bazy nie pozwala odczytać danych osobowych.

8. Powierzenie przetwarzania (dla Serwisów)

  1. Przedmiot: przechowywanie i obsługa danych zgłoszeń w Platformie. Czas: okres trwania umowy. Charakter i cel: świadczenie usługi SaaS opisanej w regulaminie.
  2. Operator przetwarza dane wyłącznie na udokumentowane polecenie Serwisu, zapewnia poufność, stosuje środki techniczne (szyfrowanie transmisji TLS, kopie zapasowe, kontrola dostępu wg ról) i pomaga Serwisowi w obowiązkach z art. 32–36 RODO.
  3. Dalsze powierzenie obejmuje wyłącznie dostawców z pkt 4; Operator informuje o zmianach z wyprzedzeniem.
  4. Po zakończeniu umowy Operator usuwa powierzone dane w terminie 30 dni, chyba że prawo wymaga ich zachowania.