Polityka prywatności

0. To jest demo

Fasong jest fikcyjnym barbershopem stworzonym jako demo strony internetowej. Nazwa, adres, telefon i NIP podane w tym serwisie nie odpowiadają żadnemu realnemu podmiotowi.

Formularze na tej stronie mimo to działają naprawdę. Jeśli wpiszesz w rezerwację albo w formularz kontaktowy prawdziwe dane, zostaną naprawdę zapisane na serwerze, wyłącznie w celu pokazania działania tego dema, i usunięte najpóźniej po okresach opisanych w punkcie 3 poniżej.

1. Administrator danych

Dane firmy pokazane na tej stronie należą do firmy zmyślonej na potrzeby demo: Fasong, ul. Przykładowa 1, 41-100 Siemianowice Śląskie, NIP 000-000-00-00 (placeholder), e-mail: kontakt@fasong.example. Ten adres nie odbiera niczego.

Administratorem danych, które faktycznie trafiają na ten serwer, jest Wojciech Imiołczyk, wojtekimiolczyk@gmail.com. Pisz na ten adres w każdej sprawie dotyczącej danych zebranych przez formularze tej strony.

2. Formularz kontaktowy

Formularz kontaktowy zbiera imię, adres e-mail albo numer telefonu oraz treść wiadomości, wyłącznie po zaznaczeniu zgody na kontakt (art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes w postaci odpowiedzi na zapytanie).

2a. Rezerwacja wizyty

Formularz rezerwacji zbiera imię, telefon, e-mail, wybraną usługę (z ewentualnym dodatkiem depilacji woskiem), wybranego barbera i termin wizyty. Podstawa prawna to art. 6 ust. 1 lit. b RODO (wykonanie umowy) - rezerwacja nie wymaga osobnej zgody marketingowej, bo żadnej nie zbieramy.

Dane rezerwacji kasujemy 90 dni po dacie wizyty (kopie zapasowe żyją do 7 dni dłużej, z tego samego powodu co w punkcie 3). Odwołaną rezerwację też trzymamy do tego terminu, żeby dało się rozstrzygnąć ewentualną reklamację terminu.

2b. Dlaczego nie ma pola na uwagi

W formularzu rezerwacji celowo nie ma pola tekstowego na uwagi. Wolny tekst w tej branży równie łatwo niesie "chcę krótszy fade niż ostatnio" jak "mam łuszczycę skóry głowy" albo "jestem po chemioterapii" - a to są dane o zdrowiu z art. 9 RODO, które wymagają odrębnej, wyraźnej podstawy przetwarzania. Nie zbieramy takich danych, więc nie dajemy pola, w które mogłyby wpaść przez pomyłkę. Zamiast tego w potwierdzeniu rezerwacji prosimy: weź zdjęcie fasonu, który chcesz, i pokaż je barberowi przy fotelu.

Z tego samego powodu formularz rezerwacji nie pyta o wiek dziecka: strzyżenie dziecka do 12 lat jest zwykłą pozycją cennika, a sam wiek niczego w systemie nie zmienia.

2c. Asystent w dymku

Jeśli w rogu strony widoczny jest przycisk "Zapytaj", treść rozmowy z asystentem jest wysyłana do dostawcy modelu językowego wyłącznie po to, żeby ułożyć odpowiedź. Rozmowa nie jest zapisywana na serwerze; w przeglądarce żyje do zamknięcia karty (punkt 4), a serwer liczy wyłącznie zużycie tokenów (data, liczba tokenów, liczba zapytań), bez adresu, bez pytania i bez odpowiedzi.

Asystent może przenieść do formularza rezerwacji WYŁĄCZNIE barbera, usługę, datę i godzinę, które sam napisałeś w rozmowie - nigdy imienia, telefonu, e-maila ani zgody: te pola zawsze wpisujesz i zaznaczasz sam, w samym formularzu. Informacje o zdrowiu wpisane w wiadomość nie są przenoszone do żadnego pola formularza ani do żadnego zapisu. Gdy tego przycisku nie ma, asystent jest wyłączony i żadne dane nie opuszczają serwera tą drogą.

3. Okres przechowywania

Zgłoszenia z formularza kontaktowego i kopie wysłanych powiadomień przechowujemy 90 dni od dnia złożenia zgłoszenia, a rezerwacje 90 dni od dnia wizyty, a następnie kasujemy w całości.

W najgorszym przypadku dane mogą przeżyć o 7 dni dłużej. Powód jest prosty: serwer co noc robi kopię zapasową plików, a każda taka kopia sama żyje 7 dni, zanim ją nadpiszemy. Wpis skasowany z bazy mógł trafić do kopii zrobionej dzień wcześniej, więc jego ślad gaśnie ostatecznie dopiero, gdy ta kopia się zestarzeje.

Usunięcie danych na żądanie działa naprawdę. Napisz na adres z punktu 6 albo zadzwoń, a usuniemy je od razu, bez czekania na koniec okresu retencji; z kopii zapasowych znikną najpóźniej w 7 dni od tego usunięcia, z tego samego powodu co wyżej.

4. Pliki cookies i localStorage

Ta strona nie używa żadnych plików cookies ani zapisów w przeglądarce wymagających zgody: nie ma tu analityki, pikseli reklamowych ani osadzonych treści z obcych domen (mapa dojazdu w stopce to zwykły odnośnik do Google Maps, nie ramka, więc nic z tamtej domeny się nie ładuje, dopóki sama go nie klikniesz). Jedyne ciasteczko na całej witrynie to ciasteczko sesji panelu administracyjnego (niezbędne do zalogowania w panelu, art. 173 ust. 3 pkt 2 Prawa telekomunikacyjnego), widoczne wyłącznie dla osoby zalogowanej pod adresem /admin/, nigdy dla odwiedzającej stronę publiczną. Publiczny odwiedzający nie dostaje ani jednego Set-Cookie. Jedyny zapis w przeglądarce widoczny dla publicznego odwiedzającego to treść Twojej rozmowy z asystentem (jeśli jest włączony), trzymana w pamięci karty (sessionStorage) po to, żeby rozmowa nie znikała przy przejściu na inną podstronę; znika sama z chwilą zamknięcia karty, nie opuszcza Twojej przeglądarki i nie służy do niczego poza wyświetleniem jej Tobie, więc jest to zapis niezbędny do usługi, z której właśnie korzystasz, i nie wymaga zgody. W panelu administracyjnym, wyłącznie po zalogowaniu, zapisujemy dodatkowo w localStorage jedną flagę (rt-admin-byla-sesja), żeby panel nie musiał pytać serwera o stan sesji przy każdym wejściu; kasuje się przy wylogowaniu i przy wygaśnięciu sesji. Ta flaga też jest niezbędna do działania panelu (art. 173 ust. 3 pkt 2 Prawa telekomunikacyjnego) i też nie wymaga zgody. Dlatego na tej stronie nie ma banera zgody na cookies: zbierałby zgodę na coś, co i tak się nie dzieje.

5. Odbiorcy danych

Dane przetwarzamy na serwerach hostingu mydevil.net (Polska). Gdy formularze działają w trybie wysyłki przez SMTP, potwierdzenia i powiadomienia przechodzą przez operatora poczty SMTP mydevila; w trybie demo powiadomienia nie opuszczają serwera w ogóle, tylko lądują w pliku na tym samym serwerze. Zero analityki, zero pikseli reklamowych, zero osadzonych ramek z obcych domen. Polityka bezpieczeństwa treści (CSP) tej strony jest ustawiona wyłącznie na własną domenę ('self'), a żaden formularz nie zapisuje adresu IP ani nagłówka przeglądarki (user agent) osoby, która go wysłała.

Treść rozmowy z asystentem (jeśli jest włączony) trafia do dostawcy modelu językowego - opisane dokładnie w punkcie 2c.

6. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu. W tym celu napisz na wojtekimiolczyk@gmail.com: to jedyny działający adres na tej stronie, kontakt@fasong.example jest zmyślony razem z resztą danych firmy. Masz też prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.