Polityka prywatności

Administrator danych

Dane identyfikacyjne administratora, adres korespondencyjny, właściwy kontakt do spraw prywatności oraz ewentualny inspektor ochrony danych muszą zostać uzupełnione i zatwierdzone przed oznaczeniem dokumentu jako obowiązującego.

Jakie dane przetwarzamy

• dane konta, profilu i uwierzytelnienia, w tym dane otrzymane od dostawcy logowania społecznościowego;
• treść ogłoszeń i aukcji, zdjęcia, lokalizację, dane kontaktowe oraz historię zmian;
• ulubione, oferty w licytacjach, wynik aukcji i dane udostępniane stronom po jej zakończeniu;
• dane dotyczące płatności za usługi portalu, dane płatnika, dane do faktury i identyfikatory techniczne transakcji;
• korespondencję, reklamacje, zgłoszenia naruszeń i historię decyzji moderacyjnych;
• dane techniczne, logi bezpieczeństwa, identyfikatory sesji, cookies oraz — wyłącznie po wymaganej zgodzie — dane analityczne.
• minimalny rejestr udzielenia lub cofnięcia zgody analitycznej: losowy identyfikator zgody, wersja polityki, rewizja, kategorie, język i znaczniki czasu.

Cele i podstawy prawne

Dane mogą być potrzebne do wykonania umowy o korzystanie z portalu, obsługi płatnych usług, realizacji obowiązków prawnych, ochrony bezpieczeństwa i dochodzenia roszczeń. Analityka niewymagana technicznie wymaga uprzedniej zgody.

Przypisanie konkretnych podstaw prawnych do każdego celu, w tym moderacji, przeciwdziałania nadużyciom, fakturowania i komunikacji pomiędzy użytkownikami, musi zostać zatwierdzone przez kancelarię.

Publiczne dane i udostępnienie po aukcji

Dane kontaktowe wskazane w zwykłym ogłoszeniu mogą być publicznie dostępne. Po zakończeniu aukcji dane potrzebne do kontaktu mogą zostać udostępnione zwycięzcy i wystawiającemu. Użytkownik powinien otrzymać tę informację bezpośrednio przed publikacją treści lub udziałem w aukcji.

Odbiorcy i dostawcy

Finalna polityka musi podawać faktycznie uruchomionych dostawców, ich role, regiony przetwarzania, mechanizmy transferów poza EOG i wymagane umowy powierzenia. Sama obecność integracji w kodzie nie oznacza, że dostawca otrzymuje dane.

• dostawcy bazy danych, uwierzytelnienia, storage i realtime;
• operator płatności oraz — po skonfigurowaniu — dostawca fakturowania;
• dostawca wysyłki wiadomości transakcyjnych;
• opcjonalni dostawcy monitoringu błędów, analityki i pomocniczej moderacji AI;
• dostawca hostingu i infrastruktury, który nie został jeszcze wybrany dla środowiska produkcyjnego.

Retencja i usuwanie

Okresy przechowywania powinny wynikać z celu, cyklu życia konta i treści, obowiązków podatkowych, terminów reklamacyjnych oraz ochrony przed roszczeniami. Finalna macierz retencji musi oddzielać dane konta, publiczne treści, płatności i faktury, logi bezpieczeństwa, analitykę, zgody oraz kopie zapasowe.

Usunięcie konta nie może automatycznie usuwać danych, które operator musi nadal przechowywać na podstawie prawa lub dla ustalenia i obrony roszczeń. Zakres wyjątków i harmonogram usuwania wymagają zatwierdzenia prawnego.

Prawa osoby

Finalny dokument musi wskazać zweryfikowany kanał realizacji praw, sposób potwierdzania tożsamości oraz terminy obsługi wniosków.

• dostęp do danych i otrzymanie ich kopii;
• sprostowanie, usunięcie lub ograniczenie przetwarzania, gdy spełnione są przesłanki prawne;
• przeniesienie danych i sprzeciw w przypadkach przewidzianych prawem;
• cofnięcie zgody bez wpływu na zgodność wcześniejszego przetwarzania;
• skarga do Prezesa Urzędu Ochrony Danych Osobowych.

Bezpieczeństwo i automatyzacja

Portal stosuje kontrolę dostępu, polityki bazy danych, walidację operacji serwerowych i rejestrowanie zdarzeń bezpieczeństwa. Automatyczna analiza treści ma charakter pomocniczy. Kancelaria powinna potwierdzić wymagany opis profilowania, automatycznych decyzji i udziału człowieka w moderacji.