Polityka prywatności

1. Administrator

Administratorem danych w rozumieniu GDPR oraz znowelizowanej szwajcarskiej ustawy federalnej o ochronie danych (FADP) jest operator serwisu brokaro.io. Nazwę i adres pocztowy uzupełnimy wraz z notą prawną; do tego czasu we wszystkich sprawach dotyczących ochrony danych można się z nami kontaktować pod adresem:

E-mail: info@brokaro.ch

2. Zasada

Przetwarzamy możliwie jak najmniej danych osobowych. Serwis działa bez konta użytkownika, bez śledzących plików cookie podmiotów trzecich, bez sieci reklamowych i bez ładowania choćby jednego skryptu z cudzego serwera. Nasz pomiar oglądalności również działa na własnym serwerze i bez pliku cookie — dlatego na stronie nie pojawia się baner zgody. Sekcja 4 wyjaśnia, dlaczego uważamy to za zgodne z prawem.

3. Serwer i dzienniki

Ta strona działa na własnym serwerze (zob. sekcja 10). Nasz serwer internetowy nie prowadzi dziennika dostępu: otwierane strony nie są rejestrowane razem z adresem IP użytkownika.

Adres IP użytkownika jest nieuchronnie przesyłany przy otwieraniu strony i krótko przetwarzany w pamięci, na przykład na potrzeby ograniczania liczby żądań w celu ochrony przed automatycznym dostępem (sekcje 4, 6, 7, 8 i 9). Na potrzeby ochrony opinii użytkowników przed nadużyciami przechowujemy dodatkowo hash, który obliczamy z niego za pomocą tajnego klucza (sekcja 9). Techniczne komunikaty o błędach serwera, na przykład dotyczące nieudanych prób połączenia, mogą zawierać adres IP.

• Cel: techniczne działanie strony, bezpieczeństwo i analiza błędów
• Podstawa prawna: Art. 6(1)(f) GDPR (prawnie uzasadniony interes w bezpiecznym działaniu)
• Okres przechowywania: komunikaty o błędach maksymalnie 14 dni, następnie są automatycznie usuwane

4. Pomiar oglądalności — własny (first-party) i bez plików cookie

Chcemy wiedzieć, które strony są czytane. Dlatego prowadzony jest własny pomiar: przy wyświetleniu strony przeglądarka wysyła jeden mały rekord do własnego punktu końcowego /api/track. Zawiera on wyłącznie żądaną stronę i jej język. Nie jest ładowany żaden skrypt podmiotu trzeciego, nie jest ustawiany żaden plik cookie i na urządzeniu nie jest umieszczany żaden identyfikator.

Zapisywane jest dokładnie to, co poniżej — nic więcej:

Hash odwiedzającego. Aby dziesięć odsłon strony przez jedną osobę nie zostało policzone jako dziesięć wizyt, potrzebny jest sposób na odróżnienie czytelników w obrębie jednego dnia. Wartość ta jest tworzona jako hash SHA-256 z losowej dziennej soli, adresu IP i ciągu user-agent użytkownika, przy czym zapisywanych jest tylko pierwszych 20 znaków. Dzienna sól to 32 losowe bajty, generowane na nowo dla każdego dnia kalendarzowego (UTC) i przechowywane wyłącznie w pamięci serwera: nigdy nie są zapisywane w bazie danych ani w kopii zapasowej i są odrzucane po zakończeniu dnia. Następnego dnia automatyczny proces usuwania usuwa hash ze wszystkich wierszy z poprzedniego dnia (zob. okres przechowywania). Ogranicza to możliwość odtworzenia wcześniejszych identyfikatorów. Samo w sobie nie wyklucza to możliwości powiązania danych przy użyciu dodatkowych informacji.

Czego nie zapisujemy: adresu IP, ciągu user-agent, informacji o stronie, z której nastąpiło przejście (strona odsyłająca, referrer), plików cookie, odcisku przeglądarki (fingerprint), żadnego identyfikatora działającego między witrynami, czasu spędzonego na stronie, ruchów myszy ani przewijania, ani wyszukiwanych haseł. Adres IP i user agent są wykorzystywane wyłącznie tymczasowo w pamięci — do obliczenia hasha, do ustalenia klasy urządzenia, do ograniczania liczby zautomatyzowanych żądań oraz w ramach prostego filtra odrzucającego znane roboty indeksujące — a następnie są usuwane.

• Cel: pomiar oglądalności jako podstawa decyzji redakcyjnych
• Podstawa prawna: Art. 6(1)(f) GDPR (prawnie uzasadniony interes w pomiarze oglądalności minimalizującym dane). Dzienny hash może łączyć wizyty w obrębie jednego dnia i jest ostrożnie traktowany jako dane pseudonimizowane; samo haszowanie nie gwarantuje anonimowości.
• Odbiorcy: brak. Wiersze znajdują się we własnej bazie danych; nie są udostępniane, nie są łączone z innymi źródłami ani sprzedawane.
• Okres przechowywania: hash odwiedzającego jest potrzebny tylko w dniu, w którym powstał. Następnego dnia automatyczny proces usuwania usuwa go ze wszystkich wierszy z poprzedniego dnia; pozostaje po nim jedynie liczba wizyt z tego dnia. Pozostałe dane wiersza (ścieżka, język, klasa urządzenia, kraj, znacznik czasu) są automatycznie usuwane 13 miesięcy po wyświetleniu strony. Potem pozostają jedynie sumy dzienne — liczba odsłon i wizyt na dzień — bez powiązania z poszczególnymi odsłonami. W wariancie magazynu opartym na plikach przechowywanych jest ponadto najwyżej 50 000 najnowszych wierszy.

Sprzeciw (opt-out). Dwa sposoby, oba skuteczne natychmiast i bez konieczności posiadania konta:

1. 1Włączenie opcji „Do Not Track” w przeglądarce. Pomiar odczytuje to ustawienie w przeglądarce (navigator.doNotTrack) i wówczas od razu nic nie wysyła — nie powstaje żaden rekord, który trzeba by następnie usuwać. Nagłówek HTTP DNT: 1 nie jest analizowany po stronie serwera; popularne przeglądarki ustawiają oba te elementy jednocześnie, a tam, gdzie się różnią, decyduje ustawienie przeglądarki. Wiele stron ignoruje ten sygnał — my nie.
2. 2Ustawienie przełącznika na stronie ustawień prywatności. Zapisuje on w przeglądarce wartość bp-no-analytics; dopóki jest ona ustawiona, nic nie jest wysyłane.

Dlaczego nie ma tu banera cookie. Zgoda jest wymagana na podstawie Art. 5(3) dyrektywy ePrivacy — w Niemczech § 25 TDDDG, dawniej TTDSG — gdy na urządzeniu zapisywane są informacje, które nie są bezwzględnie niezbędne do świadczenia usługi, o którą poproszono, lub gdy takie informacje są z niego odczytywane. Ten pomiar nie ustawia pliku cookie i nie umieszcza na urządzeniu żadnego identyfikatora. Ogranicza się do tego, czego potrzebuje prosty licznik odsłon: przy każdym wyświetleniu strony przeglądarka przekazuje własnemu serwerowi, która strona została otwarta i w jakim języku. Nie odczytuje żadnych innych właściwości urządzenia — takich jak rozmiar ekranu lub okna, zainstalowane czcionki czy strona, z której nastąpiło przejście. Przed wysłaniem sprawdza jedynie, czy włączono „Do Not Track” lub wyrażono sprzeciw na stronie ustawień prywatności; to sprawdzenie służy wyłącznie uszanowaniu sprzeciwu. Dlatego nie uważamy zgody za niezbędną dla tego pomiaru. Baner, który mimo to by o nią prosił, nauczyłby jedynie klikania „akceptuję” bez czytania.

Jest to stwierdzenie dotyczące stanu obecnego, a nie stała gwarancja: w chwili, w której osadzone zostałoby narzędzie podmiotu trzeciego — Google Analytics, piksel Meta, sieć reklamowa lub hostowany skrypt analityczny — ocena uległaby zmianie. Takie narzędzia ustawiają identyfikatory i przekazują dane podmiotom trzecim; wymagają zgody przed ich załadowaniem. Polityka zostałaby wówczas najpierw zaktualizowana, a taka zgoda rzeczywiście zbierana.

5. Lokalna pamięć przeglądarki

Wykorzystywane są localStorage oraz dwa pliki cookie, wyłącznie do celów funkcjonalnych:

Cztery wartości z pamięci lokalnej nigdy nie opuszczają urządzenia — nie są wysyłane na serwer. Pliki cookie bp-locale i bp-country są wysyłane z każdym żądaniem, ponieważ kierowanie do wersji językowej oraz wybór kraju są ustalane na serwerze; zawierają wyłącznie kod języka lub kraju i nie służą do rozpoznawania użytkownika. Po kliknięciu linku brokera wybrany kod kraju jest zapisywany razem z kliknięciem, abyśmy mogli analizować kliknięcia według rynków oraz — tam, gdzie istnieją umowy partnerskie obowiązujące odrębnie dla każdego kraju — prawidłowo je przypisać (zob. sekcja 6). Żadna z tych wartości nie jest wykorzystywana do profilowania ani do śledzenia między witrynami. Ponieważ są to funkcje bezwzględnie niezbędne lub inicjowane przez użytkownika, zgoda nie jest wymagana.

Wszystkie sześć wpisów można sprawdzić i usunąć jednym kliknięciem na stronie ustawień prywatności.

6. Kliknięcia w linki do dostawców

Każdy link do brokera w tym serwisie, niezależnie od tego, czy jest oznaczony jako link bezpośredni, czy partnerski, prowadzi przez wewnętrzne przekierowanie (/go/...), które kieruje do dostawcy. Przy każdym takim kliknięciu zapisujemy: identyfikator kliknięcia, klikniętego brokera, miejsce na stronie, w którym znajdował się link, wersję językową, kod kraju, informację, czy kliknięcie przeszło przez umowę partnerską (wraz z naszym wewnętrznym oznaczeniem umowy), czas oraz wyłącznie nazwę hosta witryny odsyłającej. Kodem kraju jest wybrany kraj zamieszkania, w przeciwnym razie rynek, do którego należy link, a w przeciwnym razie kod przekazywany przez platformę hostingową. Identyfikator kliknięcia jest liczbą losową; nie jest wyprowadzany z adresu IP, urządzenia ani przeglądarki użytkownika. Adresy IP, ścieżki URL, parametry zapytania i ciągi user-agent nie są przechowywane.

Nie zliczamy żądań, które identyfikują się jako wyszukiwarki, podglądy linków lub inne programy, wstępnego pobierania przez przeglądarkę (prefetch) ani samych żądań HEAD. Aby je rozróżnić, serwer odczytuje user-agent w pamięci, nie zapisując go. Aby to samo kliknięcie tego samego dnia nie zostało policzone dwukrotnie, serwer tworzy w pamięci hash z adresu IP i user-agenta, przy użyciu dziennego klucza opisanego w sekcji 4. Ta wartość nigdy nie jest zapisywana i znika wraz z końcem dnia (UTC) lub ponownym uruchomieniem serwera.

Jeżeli umowa partnerska obejmuje tylko określone kraje, a nie znamy kraju zamieszkania użytkownika, pytamy o niego przed przekierowaniem. Odpowiedź zapisujemy jako plik cookie bp-country (sekcja 5). Wybór „Inny kraj lub wolę nie podawać” nie ustawia żadnego pliku cookie i prowadzi do zwykłej strony internetowej dostawcy; wówczas zliczane jest jedynie kliknięcie w sposób opisany powyżej. Samo pytanie nie jest rejestrowane.

• Cel: pomiar zasięgu; w przypadku linków partnerskich także rozliczanie wypłat z danym programem partnerskim. Informacja, czy obecnie istnieją jakiekolwiek umowy partnerskie, znajduje się w informacji o reklamie.
• Podstawa prawna: Art. 6(1)(f) GDPR (prawnie uzasadniony interes w pomiarze zasięgu oraz w weryfikowalnym rozliczaniu z programami partnerskimi)
• Brak profilu osobowego: nie jest zapisywany adres IP i nie jest tworzony żaden profil użytkownika. Liczba kliknięć nie stanowi dowodu rejestracji ani prawa do prowizji; miarodajne w tym zakresie są potwierdzone zestawienia partnerów.
• Okres przechowywania: pojedyncze kliknięcia są usuwane po 18 miesiącach. Pozostaje liczba kliknięć dziennie w podziale na brokera, umiejscowienie, wersję językową, kod kraju i umowę, bez identyfikatorów kliknięć. 18 miesięcy obejmuje okres, w którym programy partnerskie z opóźnieniem zgłaszają lub cofają otwarcia rachunków. Jeżeli partner przesłał zgłoszenie dotyczące kliknięcia, identyfikator i dane tego kliknięcia pozostają przy zgłoszeniu tak długo, jak przechowywane jest zgłoszenie (zob. poniżej). W wariancie magazynu opartym na plikach przechowywanych jest ponadto tylko 20 000 najnowszych kliknięć.

Linki partnerskie i zgłoszenia od partnerów

Jeżeli link nie przechodzi przez umowę partnerską, do docelowego adresu URL dodawane są utm_source=brokaro, utm_medium=referral oraz utm_campaign wskazujący umiejscowienie, chyba że link zawiera już własne parametry. Parametry te nie mówią nic o użytkowniku; w tym przypadku nie przekazujemy identyfikatora kliknięcia.

Zatwierdzone linki partnerskie są używane bez zmian, aby wymagane lub podpisane parametry śledzące zachowały ważność. Jeżeli przewiduje to umowa partnerska, dodajemy dokładnie jeden dodatkowy parametr: identyfikator kliknięcia, ewentualnie wraz z umiejscowieniem, wersją językową i kodem kraju. Partner otrzymuje go za pośrednictwem przeglądarki użytkownika, gdy otwiera ona stronę partnera. Jeżeli użytkownik następnie otworzy rachunek, program partnerski może za pomocą tego identyfikatora poinformować nas, że kliknięcie doprowadziło do rejestracji, kwalifikowanego rachunku lub innego zdarzenia określonego w umowie, oraz jaka prowizja jest z tego tytułu należna albo została potwierdzona, cofnięta lub wypłacona. Zgłoszenia te otrzymujemy bezpośrednio od programu partnerskiego (postback) lub jako plik z zestawieniem.

Zapisujemy z nich wyłącznie: program partnerski, numer referencyjny transakcji partnera, identyfikator kliknięcia, rodzaj zdarzenia, jego status, kwotę i walutę, czasy, dane odpowiadającego kliknięcia (broker, umiejscowienie, wersja językowa, kod kraju, umowa) oraz te pola w brzmieniu ze zgłoszenia, a także dalsze przewidziane w umowie pola, które nie mówią nic o użytkowniku, takie jak identyfikator produktu lub kampanii partnera. Nie żądamy imion i nazwisk, adresów e-mail, numerów rachunków ani innych danych o użytkowniku; jeżeli partner mimo to prześle takie pola, nie zapisujemy ich. Dzięki temu wiemy, które kliknięcie doprowadziło do płatnego otwarcia rachunku, ale nie wiemy, kim jest użytkownik. Partner zna użytkownika z otwarcia rachunku; identyfikator pozwala mu przypisać ten rachunek do kliknięcia w naszym serwisie.

• Podstawa prawna: Art. 6(1)(f) GDPR (prawnie uzasadniony interes w weryfikowalnym rozliczaniu); w zakresie przechowywania dodatkowo szwajcarski obowiązek prowadzenia ksiąg rachunkowych zgodnie z art. 958f Kodeksu zobowiązań.
• Okres przechowywania: zgłoszenia te stanowią dokumentację handlową. Przechowujemy je przez dziesięć lat od końca roku, w którym zostały ostatnio zmienione, a następnie automatycznie je usuwamy. Techniczne logi odbioru zgłoszeń (czas, wynik, nazwy przesłanych pól, bez treści) są usuwane po 90 dniach.

Broker, do którego następuje przekierowanie, samodzielnie odpowiada za prowadzone przez siebie przetwarzanie danych i zazwyczaj ustawia własne pliki cookie. Należy zapoznać się z jego polityką prywatności.

7. Newsletter i powiadomienia o zmianach cen

W przypadku zapisania się do newslettera przechowywany jest adres e-mail, wersja językowa, źródło zapisu (np. stopka strony), znacznik czasu, losowy token oraz status potwierdzenia i rezygnacji. Adres IP nie jest przechowywany; jest wykorzystywany wyłącznie tymczasowo, do ograniczania liczby żądań.

• Podstawa prawna: Art. 6(1)(a) GDPR (zgoda)
• Procedura — prawdziwy double opt-in: adres jest najpierw zapisywany jako niepotwierdzony. Wysyłana jest jedna wiadomość e-mail z linkiem potwierdzającym zawierającym losowy token. Subskrypcja zaczyna obowiązywać dopiero po otwarciu tego linku. Bez potwierdzenia newsletter nie jest wysyłany — po e-mailu potwierdzającym na niepotwierdzony adres nie trafia już nic więcej.
• Token: losowy ciąg znaków, który istnieje wyłącznie w wiadomości e-mail, nigdy nie jest wyświetlany na stronie, a później służy również do rezygnacji z subskrypcji jednym kliknięciem.
• Rezygnacja z subskrypcji: każda wiadomość e-mail zawiera link do rezygnacji oraz nagłówki List-Unsubscribe i List-Unsubscribe-Post zgodnie z RFC 8058. Program pocztowy pozwala zatem na rezygnację jednym kliknięciem — bez etapu potwierdzenia, bez logowania. Wycofanie zgody jest skuteczne na przyszłość.
• Niepotwierdzone zapisy: jeśli link potwierdzający nie zostanie otwarty, automatyczny proces usuwania usuwa adres 30 dni po zapisie.
• Po rezygnacji: rekord jest zachowywany wraz z czasem rezygnacji, aby adres nie został przypadkowo ponownie wykorzystany do wysyłki. Na żądanie jest on całkowicie usuwany.
• Wysyłka: wiadomości e-mail są wysyłane za pośrednictwem własnego serwera SMTP operatora lub usługi SMTP. Nie jest wykorzystywane żadne narzędzie newsletterowe podmiotu trzeciego mierzące otwarcia lub kliknięcia. Wysyłka odbywa się za pośrednictwem skrzynki pocztowej info@brokaro.ch w firmie METANET AG, Josefstrasse 218, 8005 Zurich, Szwajcaria.

Powiadomienia o zmianach cen. W przypadku ustawienia powiadomień dla poszczególnych brokerów na stronie brokera lub na stronie powiadomień o zmianach cen przechowywane są adres e-mail, wybrani brokerzy, wersja językowa, czas zapisu i potwierdzenia (adresu oraz każdego poszczególnego brokera) oraz losowy klucz. Adres IP nie jest przechowywany; jest wykorzystywany wyłącznie tymczasowo, do ograniczania liczby żądań. Zapis na powiadomienia nie oznacza zapisu do newslettera i odwrotnie.

• Cel: program pobiera strony internetowe dostawców oraz strony dostawców, które nasze wpisy podają jako źródła. Jeżeli to porównanie wykryje zmianę, a my ją potwierdzimy, wysyłamy każdej osobie, która zapisała się na powiadomienia dla tego brokera, krótką wiadomość e-mail z naszym podsumowaniem i linkiem do źródła. Tych informacji nie wykorzystujemy do żadnych innych celów.
• Podstawa prawna: Art. 6(1)(a) GDPR (zgoda)
• Procedura — double opt-in: adres i wybór są najpierw zapisywane jako niepotwierdzone. Wiadomość potwierdzająca prowadzi do strony, na której powiadomienia włącza się przyciskiem „Potwierdź alerty”; samo otwarcie linku niczego nie zmienia. W przypadku późniejszego dodania brokerów to samo dotyczy nowo dodanych. Do tego czasu nie wysyłamy żadnych powiadomień dotyczących tych brokerów.
• Klucz: losowy ciąg znaków, który pojawia się wyłącznie w naszych wiadomościach e-mail do użytkownika. Za jego pomocą można wyświetlić, zmienić lub zakończyć powiadomienia bez konta. Strona zarządzania nie przekazuje go innym stronom jako referrer.
• Okres przechowywania: automatyczny proces usuwania usuwa niepotwierdzone zapisy 30 dni po ostatnim zapisie, a dodanych, lecz niepotwierdzonych brokerów 30 dni po zgłoszeniu. Potwierdzone dane są przechowywane do momentu rezygnacji. Na potrzeby wysłania powiadomienia tworzymy jedno zlecenie doręczenia na odbiorcę (adres i powiadomienie). Jest ono usuwane, gdy tylko wiadomość e-mail zostanie doręczona lub po trzeciej nieudanej próbie, najpóźniej po 30 dniach; przy powiadomieniu pozostają wyłącznie liczby (odbiorców, doręczonych, nieudanych).
• Wycofanie zgody i rezygnacja: każda wiadomość z powiadomieniem zawiera link do zarządzania i rezygnacji oraz nagłówki List-Unsubscribe i List-Unsubscribe-Post zgodnie z RFC 8058. Rezygnacja usuwa adres, wybór oraz otwarte zlecenia doręczenia natychmiast i w całości; w przypadku powiadomień nie prowadzimy listy blokad (suppression list). Wycofanie zgody jest skuteczne na przyszłość. Bez linku usuwamy dane na żądanie przesłane na adres info@brokaro.ch.
• Wysyłka: tak jak w przypadku newslettera, za pośrednictwem skrzynki pocztowej info@brokaro.ch w firmie METANET AG, bez narzędzi podmiotów trzecich. Wiadomości nie zawierają obrazów ani pikseli śledzących, a ich linki nie zawierają żadnego identyfikatora — z wyjątkiem linku do zarządzania i rezygnacji, który musi zawierać klucz użytkownika. Nie mierzymy otwarć ani kliknięć.

8. Formularz kontaktowy

Wiadomości z formularza kontaktowego są zapisywane, a dodatkowo przesyłane e-mailem do skrzynki odbiorczej operatora — zapisywane, ponieważ wiadomość nie może zostać utracona w razie awarii poczty.

• Co jest zapisywane: wybrana kategoria zgłoszenia (błąd w danych, dostępność, współpraca partnerska, prasa, sprawy ogólne), imię, adres e-mail, temat wiadomości, treść wiadomości (w tym broker i adres URL strony, jeśli zostały podane), wersja językowa, znacznik czasu oraz informacja, czy wiadomość powiadamiającą udało się dostarczyć.
• Co nie jest zapisywane: adres IP. Jest on wykorzystywany wyłącznie tymczasowo, do ograniczania liczby żądań.
• Wysyłka: powiadomienie trafia do skrzynki odbiorczej operatora z podanym adresem jako adresem do odpowiedzi (reply-to). Na podany adres wysyłane jest potwierdzenie otrzymania. Jeśli nie skonfigurowano dostępu SMTP, wiadomość jest wyłącznie zapisywana i wewnętrznie oznaczana jako niedostarczona — nie jest udawane, że wiadomość e-mail została wysłana.
• Podstawa prawna: Art. 6(1)(a) GDPR (wyraźna, niezaznaczona domyślnie zgoda wyrażona przy wysyłaniu formularza) oraz Art. 6(1)(f) GDPR (prawnie uzasadniony interes w udzieleniu odpowiedzi).
• Wykorzystanie: wyłącznie w celu obsługi zgłoszenia. Podany adres nie jest dodawany do newslettera ani udostępniany.
• Okres przechowywania: do czasu załatwienia sprawy, o ile nie stoi temu na przeszkodzie żaden obowiązek przechowywania. Automatyczny proces usuwania usuwa wiadomość zapisaną w naszej bazie danych najpóźniej 12 miesięcy po jej otrzymaniu. Na żądanie wiadomość jest usuwana wcześniej, w dowolnym momencie.

9. Opinie użytkowników

Po przesłaniu opinii przetwarzane jest podane imię, opcjonalnie kraj i okres korzystania z brokera, ocena ogólna i ewentualne oceny szczegółowe, nagłówek i treść opinii oraz data przesłania. Jeśli treść opinii jest bardzo podobna do treści innej opinii, odnotowujemy to przy opinii na potrzeby moderacji; ta adnotacja nie jest publikowana i jest usuwana wraz z opinią.

Samego adresu IP nie zapisujemy; w pamięci jest on krótko wykorzystywany do ograniczania liczby żądań. Aby chronić opinie przed automatycznym i wielokrotnym przesyłaniem, dla każdej przyjętej opinii przechowujemy hash, który obliczamy z adresu IP za pomocą tajnego klucza (w przypadku IPv6 z jego pierwszych 64 bitów), wraz z ocenianym brokerem i czasem. Ten zapis nie wskazuje opinii, ale można go do niej przyporządkować na podstawie brokera i czasu. W ten sposób z jednego połączenia internetowego przyjmujemy najwyżej trzy opinie dziennie i jedną na brokera w ciągu 30 dni. Gdy użytkownik oznacza opinię jako pomocną, również przechowujemy hash adresu IP i opinii, wraz z oznaczoną opinią i czasem; dzięki temu jedno połączenie internetowe jest liczone tylko raz na opinię w ciągu 30 dni. Klucz nie jest przechowywany ani w bazie danych, ani w jej kopiach zapasowych. Podczas ładowania formularz pobiera podpisany znacznik czasu, który nie zawiera żadnych informacji o użytkowniku i nie jest zapisywany.

• Podstawa prawna: Art. 6(1)(a) GDPR (zgoda wyrażona poprzez przesłanie)
• Podstawa prawna ochrony przed nadużyciami: Art. 6(1)(f) GDPR (prawnie uzasadniony interes w ochronie opinii i ich licznika oznaczeń „pomocna” przed automatycznym i wielokrotnym przesyłaniem)
• Publikacja: po moderacji, z podanym imieniem, datą oraz — jeśli zostały podane — krajem i okresem korzystania, wraz z nagłówkiem, treścią i ocenami
• Uwaga: jeśli użytkownik nie chce być identyfikowalny, należy użyć pseudonimu. W opinii nigdy nie należy podawać numerów kont ani innych danych wrażliwych.
• Okres przechowywania: opublikowane opinie są przechowywane do czasu zgłoszenia żądania usunięcia lub ich usunięcia przez nas; opinie jeszcze niezmoderowane do czasu podjęcia decyzji. Automatyczny proces usuwania usuwa odrzucone opinie po upływie 30 dni od przesłania.
• Okres przechowywania danych ochrony przed nadużyciami: automatyczny proces usuwania usuwa hashe po upływie 30 dni od ich utworzenia. Gdy usuwamy opinię, usuwamy wraz z nią oddane na nią głosy; zapis przesłania pozostaje do upływu jego 30 dni, ponieważ nie wskazuje opinii.
• Usunięcie: na żądanie, w dowolnym momencie

10. Hosting

Strona działa na serwerze, który wynajmujemy od netcup GmbH, Emmy-Noether-Strasse 10, 76131 Karlsruhe, Niemcy; serwer znajduje się w centrum danych w mieście Nuremberg. Serwer i jego oprogramowanie obsługujemy samodzielnie. Poczta e-mail wysyłana na adres info@brokaro.ch i z tego adresu jest obsługiwana przez METANET AG, Josefstrasse 218, 8005 Zurich, Szwajcaria.

Dane są zatem przetwarzane w Niemczech i w Szwajcarii. Nie są przekazywane do żadnego państwa spoza UE, EOG i Szwajcarii.

Kopie zapasowe: kopia zapasowa bazy danych jest tworzona raz dziennie na tym samym serwerze. Kopie zapasowe są dostępne wyłącznie dla operatora i są automatycznie usuwane najpóźniej 16 dni po ich utworzeniu. Wszystko, co usuwamy z bazy danych — na żądanie lub w ramach opisanych wyżej procesów usuwania — znika zatem najpóźniej po tym czasie również z kopii zapasowych. Kopia zapasowa obejmuje wyłącznie bazę danych: klucz ochrony przed nadużyciami (sekcja 9) jest przechowywany poza nią i nie znajduje się w żadnej kopii zapasowej.

11. Czcionki

Czcionki są udostępniane z własnego serwera. Nie jest nawiązywane żadne połączenie z Google Fonts ani z żadną inną zewnętrzną usługą czcionek.

12. Prawa użytkownika

Użytkownikowi przysługuje prawo dostępu do danych (Art. 15), ich sprostowania (Art. 16), usunięcia (Art. 17), ograniczenia przetwarzania (Art. 18), przenoszenia danych (Art. 20) oraz sprzeciwu (Art. 21). Zgodę można wycofać w dowolnym momencie, ze skutkiem na przyszłość.

Jedna szczera uwaga dotycząca pomiaru oglądalności: na podstawie tego, co jest przechowywane, nie ma możliwości przypisania tych wierszy do konkretnej osoby — nie jest przechowywany ani adres IP, ani ciąg user-agent, dzienna sól istnieje wyłącznie w pamięci i jest odrzucana po zakończeniu dnia, a od następnego dnia wiersze nie zawierają już również hasha odwiedzającego. Dostęp lub ukierunkowane usunięcie wymagałyby dodatkowych informacji od użytkownika, które umożliwiłyby takie przypisanie; jeśli użytkownik może ich dostarczyć, odpowiednie żądanie zostanie zrealizowane. Wyraźnie nie twierdzimy, że te wiersze są anonimowe — sekcja 4 traktuje je ostrożnie jako dane pseudonimizowane. Niezależnie od tego, sprzeciw opisany w sekcji 4 jest skuteczny natychmiast i zapobiega powstawaniu przyszłych rekordów.

Użytkownikowi przysługuje również prawo do wniesienia skargi do organu nadzorczego.

13. Zmiany

Niniejsza polityka jest aktualizowana w przypadku zmian w sposobie przetwarzania danych. Wersja opublikowana tutaj jest wersją obowiązującą.