Spis treści 11 sekcji
W skrócie
- Zbieramy tylko dane potrzebne do działania list zakupów, alertów i statystyk poleceń.
- Nie używamy zewnętrznych narzędzi analitycznych ani reklamowych plików cookies.
- Sklepy partnerskie nie dostają Twoich danych osobowych - tylko identyfikator polecenia.
- Konto i wszystkie listy usuniesz samodzielnie w zakładce Moje konto.
1. Administrator danych
Administratorem Twoich danych osobowych przetwarzanych w serwisie Wulpio.pl (dalej: „Serwis”) jest:
- Firma
- Design Solutions
- Adres
- gen. Antoniego Madalińskiego 101/16, 50-443 Wrocław, Polska
- NIP
- 887-176-09-88
- kontakt@wulpio.pl
W sprawach dotyczących danych osobowych możesz pisać na powyższy adres e-mail lub pocztą tradycyjną. Nie wyznaczyliśmy inspektora ochrony danych - przy naszej skali działalności nie ma takiego obowiązku.
Polityka dotyczy danych przetwarzanych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: „RODO”).
2. Jakie dane przetwarzamy
Dane konta
Imię, adres e-mail, skrót (hash) hasła - samego hasła nie znamy. Dla sklepów także nazwa i adres sklepu oraz platforma.
Listy i ustawienia
Listy zakupów i ich produkty, historia oznaczeń „Kupione”, wielkość gospodarstwa domowego, informacja, czy masz Allegro Smart, ustawienia alertów, przypomnień i powiadomień.
Statystyki aktywności
Dni, w których korzystasz z Serwisu, rodzaj platformy (np. Android, iPhone, komputer) i to, czy używasz zainstalowanej aplikacji. Liczymy to sami - bez zewnętrznych narzędzi analitycznych. Zapisujemy też statystyki korzystania z funkcji (np. utworzenie listy, tryb „W sklepie”, szybkie dodawanie, kanał, z którego trafiłeś do Serwisu przy rejestracji) - bez adresu IP i bez dodatkowych ciasteczek; szczegółowe wpisy usuwamy po 13 miesiącach, dalej zostają tylko zbiorcze sumy.
Powiadomienia push
Adres subskrypcji (endpoint) i klucze szyfrujące wygenerowane przez Twoją przeglądarkę, gdy włączysz powiadomienia.
Polecenia i zamówienia
Kliknięcia w oferty sklepów (identyfikator polecenia, czas, oferta) oraz informacje o zamówieniach z polecenia przekazane przez sklep: numer, wartość i status - bez danych osobowych kupującego.
Bezpieczeństwo
Nieudane próby logowania (adres e-mail, adres IP, czas) oraz tokeny „Zapamiętaj mnie” i zaufanych urządzeń (z nazwą przeglądarki i systemu) i jednorazowe kody logowania dwuetapowego - w bazie przechowujemy tylko ich skrót.
Paragony. Gdy zeskanujesz albo wpiszesz paragon, zapisujemy sklep, NIP sprzedawcy, datę, sumę i pozycje (nazwa, ilość, cena, kategoria), żeby policzyć Twój budżet - do czasu, aż usuniesz paragon lub konto. Zdjęcia paragonu nie przechowujemy: usuwamy je zaraz po odczytaniu tekstu na naszym serwerze. Rozpoznany tekst (OCR) kasujemy automatycznie po 30 dniach. Jeśli wybierzesz „Rozpoznaj w telefonie”, zdjęcie jest przetwarzane w Twojej przeglądarce, a do nas trafia tylko tekst.
Logowanie przez Google lub Facebooka. Jeśli wybierzesz „Kontynuuj z Google” lub „Kontynuuj z Facebookiem”, otrzymujemy od tego dostawcy tylko Twoje imię, adres e-mail i identyfikator konta u dostawcy - wyłącznie po to, by założyć konto i Cię logować (połączenie odłączysz w Moje konto); nic nie publikujemy w Twoim imieniu.
3. Cele i podstawy prawne
| Cel | Podstawa prawna |
|---|---|
| Założenie i prowadzenie konta, listy zakupów, porównanie ofert, alerty cenowe, przypomnienia, powiadomienia push i e-mail o działaniu konta | art. 6 ust. 1 lit. b RODO - wykonanie umowy (Regulaminu) |
| Obsługa współpracy ze sklepami: śledzenie poleceń, statystyki przejść i zamówień z polecenia | art. 6 ust. 1 lit. b RODO (umowa ze sklepem); wobec kupujących - art. 6 ust. 1 lit. f RODO (uzasadniony interes: statystyki i atrybucja poleceń) |
| Prowadzenie dokumentacji księgowej i podatkowej | art. 6 ust. 1 lit. c RODO - obowiązek prawny |
| Rozpatrywanie reklamacji i zapytań | art. 6 ust. 1 lit. b i c RODO |
| Bezpieczeństwo: ochrona przed przejęciem konta, blokowanie prób odgadnięcia hasła | art. 6 ust. 1 lit. f RODO - uzasadniony interes |
| Statystyki korzystania z Serwisu i jego rozwój | art. 6 ust. 1 lit. f RODO - uzasadniony interes |
| Statystyki w Google Analytics 4 oraz mierzenie skuteczności reklam Piksela Meta (cookies analityczne i marketingowe) | art. 6 ust. 1 lit. a RODO - zgoda wyrażona w panelu cookies (w związku z art. 173 Prawa telekomunikacyjnego / art. 399 Prawa komunikacji elektronicznej); zgodę możesz wycofać w każdej chwili |
| Ustalenie, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f RODO - uzasadniony interes |
Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie można założyć konta. Szacunki terminu skończenia się produktu i alerty cenowe są automatyczne, ale nie wywołują wobec Ciebie skutków prawnych ani w podobny sposób istotnie na Ciebie nie wpływają (art. 22 RODO) - to tylko podpowiedzi.
4. Odbiorcy danych
Nie sprzedajemy danych. Mogą je otrzymać wyłącznie:
- cyber_Folks S.A. - dostawca serwera VPS, na którym działa Serwis, i usług poczty e-mail; przetwarza dane na nasze zlecenie na podstawie umowy powierzenia (art. 28 RODO);
- dostawcy usług push (Google - Chrome i Android, Apple - Safari i iOS, Mozilla - Firefox) - dostarczają powiadomienia na Twoje urządzenie. Treść powiadomienia jest szyfrowana kluczami z Twojej przeglądarki, więc pośrednik jej nie odczyta; widzi jedynie adres subskrypcji i zaszyfrowaną wiadomość;
- sklepy partnerskie - otrzymują wyłącznie identyfikator polecenia w linku (parametr w adresie), bez Twojego imienia, e-maila ani innych danych osobowych. Dane, które podasz w sklepie przy zakupie, przetwarza sklep jako odrębny administrator;
- Google Ireland Ltd. / Google LLC (Google Analytics 4) oraz Meta Platforms Ireland Ltd. / Meta Platforms Inc. (Piksel Meta) - wyłącznie po Twojej zgodzie na cookies analityczne lub marketingowe: identyfikatory cookies, adres IP, dane o urządzeniu i przeglądarce oraz zdarzenia w Serwisie (np. rejestracja, nowa lista) bez imienia, e-maila i wpisywanego tekstu. Meta jest w zakresie zbierania danych pikselem współadministratorem razem z nami (art. 26 RODO), a dalej przetwarza je jako odrębny administrator;
- dostawcy usług księgowych i prawnych - w niezbędnym zakresie, oraz organy publiczne, gdy wymagają tego przepisy prawa.
5. Przekazywanie poza EOG
Serwer i poczta działają w Polsce. Dostawcy usług push (Google, Apple, Mozilla) mogą przetwarzać adres subskrypcji i zaszyfrowane powiadomienie poza Europejskim Obszarem Gospodarczym, m.in. w USA. Odbywa się to na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych. Powiadomienia push są opcjonalne - możesz ich nie włączać. Po Twojej zgodzie na cookies analityczne lub marketingowe dane z Google Analytics i Piksela Meta mogą trafić do Google LLC i Meta Platforms Inc. w USA - obie firmy uczestniczą w EU-US Data Privacy Framework.
6. Okres przechowywania
| Dane | Jak długo |
|---|---|
| Konto, listy zakupów, ustawienia, statystyki aktywności | do usunięcia konta; kopie zapasowe nadpisujemy w ciągu 30 dni |
| Subskrypcje push | do wyłączenia powiadomień, wygaśnięcia subskrypcji w przeglądarce lub usunięcia konta |
| Kliknięcia i zamówienia z polecenia | do 24 miesięcy na potrzeby statystyk; po usunięciu konta nie są już powiązane z Twoją osobą (zostają tylko zanonimizowane sumy) |
| Nieudane próby logowania (e-mail, IP) | usuwane po udanym logowaniu lub zmianie hasła, nie dłużej niż 30 dni |
| Tokeny „Zapamiętaj mnie” | 30 dni lub do wylogowania |
| Dane w Google Analytics 4 (zdarzenia powiązane z identyfikatorem cookie) | 14 miesięcy (ustawienie przechowywania danych w GA4), cookies _ga do 2 lat lub do wycofania zgody |
Cookies Piksela Meta (_fbp, _fbc) | 90 dni lub do wycofania zgody |
| Korespondencja i reklamacje | do upływu terminu przedawnienia roszczeń |
7. Twoje prawa
W związku z przetwarzaniem danych masz prawo do:
- dostępu do danych i otrzymania ich kopii;
- sprostowania danych - imię i e-mail zmienisz w zakładce Moje konto;
- usunięcia danych - konto usuniesz samodzielnie w zakładce Moje konto;
- ograniczenia przetwarzania;
- przenoszenia danych, które przetwarzamy na podstawie umowy - kopię swoich danych (pliki JSON w archiwum ZIP) pobierzesz sam w zakładce Moje konto przyciskiem „Pobierz moje dane”;
- sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 6 ust. 1 lit. f RODO);
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Aby skorzystać z praw, napisz na kontakt@wulpio.pl. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca.
8. Przetwarzanie z użyciem AI
Nazwy produktów, które wpisujesz na listę (np. „pasta blend a med 75”), mogą być analizowane przez model językowy AI uruchomiony na naszym własnym serwerze - aby rozpoznać rodzaj produktu, markę i pojemność oraz odrzucić niepasujące oferty.
Model nie otrzymuje Twojego imienia, adresu e-mail ani innych danych konta, a jego odpowiedzi nie trafiają do zewnętrznych dostawców AI. Nie wpisuj w nazwach produktów danych osobowych - pole służy wyłącznie do opisu produktu. Wyniki analizy mogą być zapisywane w pamięci podręcznej bez powiązania z Twoim kontem.
9. Cookies i pamięć przeglądarki
Niezbędne pliki cookies (art. 173 ust. 3 Prawa telekomunikacyjnego / Prawa komunikacji elektronicznej) działają zawsze. Cookies analityczne (Google Analytics 4) i marketingowe (Piksel Meta) włączamy wyłącznie za Twoją zgodą wyrażoną w panelu cookies - do tego czasu ich skrypty w ogóle się nie wczytują. Zgodę zmienisz lub wycofasz w ustawieniach cookies.
| Nazwa | Cel | Ważność |
|---|---|---|
az_session | sesja: utrzymanie zalogowania, ochrona formularzy (CSRF) | do zamknięcia przeglądarki |
az_remember | „Zapamiętaj mnie” - automatyczne logowanie | 30 dni |
Dla wygody korzystamy też z pamięci przeglądarki (localStorage i sessionStorage), np. aby zapamiętać, że zamknięto baner instalacji aplikacji, lub aby nie wysyłać statystyki dnia kilka razy. Aplikacja przechowuje również kopie ostatnio otwieranych stron do pracy offline. Te dane zostają na Twoim urządzeniu - możesz je usunąć w ustawieniach przeglądarki. Pełny wykaz znajdziesz w Polityce cookies.
10. Bezpieczeństwo
- połączenie szyfrowane (HTTPS) i ciasteczka z atrybutami HttpOnly i SameSite;
- hasła przechowywane wyłącznie jako skróty kryptograficzne, tokeny „Zapamiętaj mnie” - jako skróty SHA-256;
- ograniczenie liczby prób logowania i ochrona formularzy przed atakami CSRF;
- szyfrowanie treści powiadomień push end-to-end;
- dostęp do panelu administracyjnego ograniczony do upoważnionych osób; regularne kopie zapasowe bazy danych przechowywane na serwerach w Polsce i nadpisywane w ciągu 30 dni.
11. Zmiany polityki i kontakt
Politykę możemy aktualizować, np. przy zmianie funkcji Serwisu lub przepisów. O istotnych zmianach poinformujemy e-mailem lub komunikatem w Serwisie. Pytania dotyczące prywatności kieruj na kontakt@wulpio.pl.
