Polityka prywatności aplikacji SecondHandy

Wersja: 2026-09 · Obowiązuje od: 25.09.2026

1. Kto jest administratorem Twoich danych

Administratorem danych osobowych jest Marcin Łaskarzewski, przedsiębiorca wpisany do CEIDG, ul. Mostowa 5/2, 72-510 Wolin, NIP 9860225401, REGON 522875160 (dalej: „SecondHandy”, „my”).

Kontakt we wszystkich sprawach dotyczących danych: marcin@secondhandy.com.pl albo listownie na adres powyżej. Nie wyznaczyliśmy inspektora ochrony danych, bo nie mamy takiego obowiązku.

Ta polityka dotyczy aplikacji mapa.secondhandy.com.pl (także dodanej do ekranu głównego telefonu) i panelu dla sklepów. Strona secondhandy.com.pl, Akademia i Dropy mają własne polityki.

2. W skrócie

• Mapę i profile sklepów przeglądasz bez konta.
• Konto zakładasz adresem e-mail. Logujesz się jednorazowym kodem z maila albo hasłem.
• Obserwowanie sklepu nie włącza żadnych wiadomości. E-mail i push od sklepu włączasz osobno, za zgodą, i wyłączasz w każdej chwili.
• Sklep nie dostaje Twojego imienia, e-maila ani telefonu. Widzi tylko liczby zbiorcze.
• W aplikacji nie używamy Google Analytics ani pikseli reklamowych. Nie sprzedajemy danych.

3. Konto i logowanie

Dane: adres e-mail, identyfikator konta, a jeśli je podasz: imię lub nazwa użytkownika, zdjęcie profilowe, bio, miasto. Jeśli ustawisz hasło, przechowujemy tylko jego skrót (hash) w usłudze uwierzytelniania. Przy logowaniu kodem zapisujemy e-mail, skrót kodu i czas ważności (10 minut).

Bezpieczeństwo logowania: żeby utrudnić przejęcie konta, liczymy próby logowania i wysyłki kodu dla adresu e-mail i adresu IP. Kody i liczniki prób usuwamy automatycznie po 24 godzinach.

Cel i podstawa: prowadzenie konta i świadczenie usług z Regulaminu (art. 6 ust. 1 lit. b RODO), ochrona przed nadużyciami (art. 6 ust. 1 lit. f RODO, nasz prawnie uzasadniony interes to bezpieczeństwo usługi).

Czy musisz podać dane: e-mail jest potrzebny do założenia konta. Resztę podajesz dobrowolnie.

4. Mapa i profile sklepów

• Przeglądanie mapy nie wymaga konta. Dostawca hostingu zapisuje w logach techniczne dane połączenia (adres IP, typ przeglądarki).
• Podkłady mapy pobiera Twoja przeglądarka bezpośrednio od OpenStreetMap Foundation i CARTO (CartoDB Inc.). Poznają one Twój adres IP i fragment mapy, który oglądasz. Bez tego mapa się nie wyświetli.
• Wyszukiwanie adresu przekazujemy z naszego serwera do usługi Photon (komoot GmbH, Niemcy). Przekazujemy tylko wpisany tekst, bez Twojego IP i danych konta.
• Twoja lokalizacja: jeśli pozwolisz na to w przeglądarce, używamy jej do pokazania sklepów w pobliżu. Do tego celu nie zapisujemy jej na serwerze.
• Wyświetlenia profili sklepów liczymy, zapisując identyfikator konta (jeśli jesteś zalogowany) i skrót kryptograficzny z adresu IP i przeglądarki, bez samego adresu IP. Służy to do zliczania wyświetleń i odsiewania nadużyć. Sklep widzi tylko liczby.

Podstawa: art. 6 ust. 1 lit. b RODO (świadczenie usługi mapy) i lit. f (statystyki, bezpieczeństwo).

5. Obserwowanie sklepów i alerty

Co robimy. Gdy obserwujesz sklep, zapisujemy to na Twoim koncie. Jeśli włączysz e-mail lub push dla tego sklepu, wysyłamy Ci informacje handlowe o jego dostawach, obniżkach i wydarzeniach, które zaznaczyłeś. Treść i termin podaje sklep, a wiadomości wysyła SecondHandy. Alerty dostajesz tylko od sklepów z aktywną usługą PARTNER.

Każdy kanał osobno.

• E-mail: wysyłamy na aktualny adres e-mail Twojego konta. Po włączeniu dostajesz jeden e-mail powitalny od sklepu.
• Push: Twoja przeglądarka tworzy subskrypcję (adres techniczny i klucze szyfrujące). Zapisujemy ją na Twoim koncie i w pamięci przeglądarki. Zgodę wyrażasz dwa razy: w aplikacji i w okienku przeglądarki.
• SMS: dziś nie wysyłamy alertów SMS. Jeśli uruchomimy ten kanał, poprosimy o osobną zgodę i wcześniej uzupełnimy tę politykę.

Jakie dane zapisujemy: identyfikator konta, obserwowane sklepy, włączone kanały i tematy, daty włączenia i wyłączenia każdej zgody, wersję tekstu zgody, który zaakceptowałeś, źródło, z którego zacząłeś obserwować (np. kod QR w sklepie, Facebook), listę wysłanych do Ciebie alertów oraz to, czy wszedłeś na stronę alertu lub kliknąłeś link.

Podstawa prawna:

• wysyłka alertów: Twoja zgoda (art. 6 ust. 1 lit. a RODO i art. 398 ustawy z 12 lipca 2024 r. Prawo komunikacji elektronicznej), osobno dla każdego sklepu i kanału;
• zapis subskrypcji push w urządzeniu: Twoja zgoda (art. 399 Prawa komunikacji elektronicznej);
• pomiar skuteczności alertów, statystyki zbiorcze dla sklepów i przechowywanie dowodu zgody: nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), czyli rozwój usługi i możliwość wykazania, że działamy zgodnie z prawem.

Wycofanie zgody w każdej chwili, bez podawania powodu:

• linkiem „Wypisz się” w każdym e-mailu (strona /wypisz, działa bez logowania),
• na stronie alertu, na którą prowadzi link z maila lub z powiadomienia push, także bez logowania,
• w ustawieniach powiadomień sklepu w aplikacji,
• przyciskiem „Przestań obserwować” (wyłącza wszystkie kanały dla tego sklepu),
• dla push także w ustawieniach przeglądarki lub telefonu.

Wycofanie zgody nie wpływa na zgodność z prawem wiadomości wysłanych wcześniej.

Co widzi sklep. SecondHandy jest samodzielnym administratorem danych obserwujących. Sklep nie dostaje Twojego imienia, e-maila, numeru telefonu ani identyfikatora konta. Dane o zachowaniu (segmenty, źródła zapisów, otwarcia, kliknięcia, trasy, powroty) pokazujemy sklepowi, gdy w danej grupie jest co najmniej 5 osób. Łączne liczby obserwujących, włączonych kanałów i wizyt pokazujemy zawsze.

Otwarcia e-maili. E-maile wysyłamy przez Brevo. Brevo może rejestrować otwarcie wiadomości niewidocznym pikselem. W naszym koncie Brevo ustawiliśmy śledzenie anonimowe: otwarcia liczymy zbiorczo i nie przypisujemy ich do konkretnej osoby. To, czy przeczytałeś konkretny alert, liczymy sami, dopiero gdy klikniesz link i wejdziesz na stronę alertu w aplikacji.

6. Twoja aktywność w aplikacji: wizyty, perełki, łowy, opinie, punkty

• Potwierdzenie wizyty (kod QR w sklepie): gdy skanujesz kod, wysyłasz nam współrzędne urządzenia. Zapisujemy je razem z wizytą, odległością od sklepu i wynikiem sprawdzenia (wizyta liczy się do 300 m od sklepu), żeby przyznać punkty i odsiać fałszywe wizyty. Dokładne współrzędne wizyty nie są pokazywane innym użytkownikom ani sklepom. Po 90 dniach automatycznie usuwamy współrzędne, a zostaje sama informacja o wizycie. Dane wizyt są dostępne tylko po stronie naszego serwera. Sklep widzi tylko liczbę wizyt. Podstawa: art. 6 ust. 1 lit. b RODO (punkty i odznaki z Regulaminu) i lit. f (ochrona przed nadużyciami).
• Perełki (zdjęcia znalezisk): zdjęcie, opis, marka, cena, sklep i miasto są publiczne, razem z Twoją nazwą użytkownika i zdjęciem profilowym. Przed publikacją zapisujemy zdjęcie na nowo w formacie webp, co usuwa ukryte metadane (EXIF, w tym lokalizację z aparatu). Jeśli użyjesz podpowiedzi AI do opisu, wysyłamy zdjęcie do modelu AI dopiero po usunięciu metadanych (pkt 11).
• Łowy (czego szukasz): tytuł, opis, miasto, rozmiar, budżet i zdjęcia. Jeśli ustawisz łów jako publiczny, widać go razem z Twoją nazwą użytkownika lub imieniem i zdjęciem profilowym. Sklepy z usługą PARTNER mogą odpowiedzieć na łów jako sklep. Łowy dodane bez konta nie są powiązane z żadną osobą.
• Opinie o sklepach: ocena, treść i zdjęcia są publiczne, z Twoją nazwą użytkownika.
• Profil łowcy (quiz: styl, rozmiary, cele): widzisz go tylko Ty. Używamy go do podpowiadania sklepów.
• Publiczny profil (/u/nazwa): nazwa użytkownika, zdjęcie, bio, punkty, liczba perełek, odwiedzonych sklepów i osiągnięć, Twoje perełki, zdobyte odznaki oraz ulubione sklepy (te, które dodałeś do ulubionych).
• Punkty, kupony, polecenia: zapisujemy przyznane punkty, wykorzystane kupony i to, kto kogo polecił. Sklep widzi tylko liczbę wykorzystań kuponu.

Podstawa: art. 6 ust. 1 lit. b RODO (funkcje opisane w Regulaminie). O publikacji treści decydujesz Ty i możesz je w każdej chwili usunąć.

7. Formularze, zgłoszenia i kontakt

• Formularz „Podziel się opinią” (także zgłaszanie problemów): kategoria, ocena, treść, adres e-mail (jeśli go podasz), identyfikator konta, adres strony i typ przeglądarki. Zgłoszenie trafia do arkusza Google, w którym obsługujemy zgłoszenia. Tym formularzem możesz też zgłosić treść nielegalną.
• Zapytania do hurtowni i zgłoszenia potrzeb: imię, miasto, telefon, e-mail i treść wysyłamy mailem do SecondHandy, a potwierdzenie do Ciebie.
• Zapis na materiały i newsletter (quiz, formularz „czego szukasz”): e-mail, miasto, odpowiedzi i data zgody trafiają do systemu newslettera SecondHandy (Notifuse) i do arkusza Google. Newsletter prowadzimy według zasad opisanych w polityce prywatności serwisu secondhandy.com.pl. Podstawa: zgoda (art. 6 ust. 1 lit. a RODO, art. 398 Prawa komunikacji elektronicznej).

Podstawa dla zgłoszeń i zapytań: art. 6 ust. 1 lit. f RODO (odpowiedź na wiadomość, poprawa aplikacji).

8. Właściciele sklepów

• Przejęcie profilu: e-mail konta, rola (właściciel, kierownik), NIP i dane sklepu, zdjęcie potwierdzające (np. szyld, dokument). Zdjęcie trzymamy w prywatnym magazynie plików, widzi je tylko moderator przez link ważny 10 minut. Firmę sprawdzamy w CEIDG lub KRS. Podstawa: art. 6 ust. 1 lit. b RODO (przejęcie profilu i umowa) oraz lit. f (sprawdzenie, że działasz w imieniu sklepu).
• Panel: zapisujemy zmiany w profilu sklepu, dostawy, zdarzenia i historię zmian.
• Płatności PARTNER: płacisz przez Stripe. Stripe przetwarza dane płatności (karta, imię i nazwisko, e-mail, adres rozliczeniowy, NIP, jeśli go podasz) jako nasz podmiot przetwarzający, a w części (zapobieganie oszustwom, obowiązki prawne) jako osobny administrator. My dostajemy identyfikator klienta i subskrypcji, plan i status. Pełnych danych karty nie widzimy. Jeśli zapłacisz, a nie masz jeszcze konta, zakładamy je na e-mail podany przy płatności. Podstawa: art. 6 ust. 1 lit. b RODO (umowa) i lit. c (obowiązki podatkowe i rachunkowe).
• Asystent AI w panelu: jeśli zadasz pytanie asystentowi, wysyłamy do modelu AI Twoje pytanie, historię rozmowy i dane sklepu (wyniki, dostawy z liczbą odbiorców, cele). Nie wysyłamy danych osobowych obserwujących. Podstawa: art. 6 ust. 1 lit. b RODO. Dostawców opisuje pkt 11.

9. Pliki cookies i pamięć przeglądarki

Nie używamy cookies analitycznych ani reklamowych. Zapisujemy w przeglądarce tylko to, co jest potrzebne do działania aplikacji albo co sam ustawiasz, np. sesję logowania, subskrypcję push i szkice formularzy. Pełną listę, cele i czas przechowywania opisujemy na stronie Pliki cookies.

10. Jak długo przechowujemy dane

Co się dzieje po usunięciu konta. Konto usuniesz sam: Ustawienia → Bezpieczeństwo i konto → Usuń konto. Kasujemy wtedy konto, profil, profil łowcy, obserwowane sklepy, zgody, subskrypcje push, zdjęcia perełek i łowów, zdjęcia potwierdzające przejęcie profilu oraz Twoje pozostałe wgrane pliki. Zdjęcia, które dodałeś do profilu sklepu i które nadal są na jego karcie, zostają jako treść sklepu. Tam, gdzie zapis jest częścią historii sklepu (np. poprawka godzin otwarcia), usuwamy powiązanie z Tobą, a sama informacja o sklepie zostaje bez danych osobowych. Log wysłanych e-maili i dane rozliczeniowe zostają na okres z tabeli. Jeśli masz aktywną subskrypcję PARTNER, najpierw ją anuluj (Panel → Ustawienia → Zarządzaj subskrypcją i płatnością). Do tego czasu aplikacja nie pozwoli usunąć konta. Subskrypcja już anulowana, która działa tylko do końca opłaconego okresu, usunięcia nie blokuje.

11. Komu przekazujemy dane

Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu (podmioty przetwarzające, art. 28 RODO):

Samodzielni odbiorcy (nie działają w naszym imieniu):

• OpenStreetMap Foundation (Wielka Brytania) i CartoDB Inc. (USA): podkłady mapy, pobierane bezpośrednio przez Twoją przeglądarkę (adres IP, fragment mapy);
• komoot GmbH (Niemcy): wyszukiwarka adresów Photon (tylko wpisany tekst);
• sklep, który obserwujesz: wyłącznie liczby zbiorcze (pkt 5);
• inni użytkownicy: treści, które sam publikujesz (pkt 6);
• organy publiczne, gdy wymaga tego prawo.

Nie sprzedajemy danych osobowych i nie przekazujemy ich reklamodawcom.

12. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część dostawców (Vercel, Supabase, Stripe, Anthropic, OpenAI, Google, dostawcy push, CARTO) to firmy z USA albo korzystające z serwerów w USA. Przekazanie opiera się na:

• decyzji Komisji Europejskiej z 10.07.2023 w sprawie EU-US Data Privacy Framework, gdy dostawca jest w nim certyfikowany,
• standardowych klauzulach umownych zatwierdzonych przez Komisję Europejską (decyzja 2021/914), zawartych w umowach powierzenia dostawców,
• dla Wielkiej Brytanii (OpenStreetMap Foundation): decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony.

Kopię zabezpieczeń możesz dostać, pisząc do nas.

13. Twoje prawa

Masz prawo:

• dostępu do danych i otrzymania ich kopii,
• sprostowania błędnych danych,
• usunięcia danych (konto usuniesz sam w ustawieniach),
• ograniczenia przetwarzania,
• przenoszenia danych, które nam przekazałeś, w formacie nadającym się do odczytu maszynowego (przygotujemy plik na Twój wniosek),
• sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu, a wobec marketingu bez podawania przyczyny,
• wycofania zgody w każdej chwili (pkt 5), bez wpływu na wcześniejsze przetwarzanie.

Napisz na marcin@secondhandy.com.pl. Odpowiemy w ciągu miesiąca. Możemy poprosić o potwierdzenie, że wniosek wysyłasz z adresu przypisanego do konta.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na Ciebie wpływają. Podpowiedzi sklepów i odznaki przyznajemy automatycznie, ale nie mają takich skutków.

Skarga do organu nadzorczego. Jeśli uważasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

14. Bezpieczeństwo

Stosujemy m.in.: szyfrowanie połączeń (HTTPS), hasła przechowywane wyłącznie jako skrót, jednorazowe kody logowania ważne 10 minut i przechowywane jako skrót, limity prób logowania, reguły dostępu w bazie danych (użytkownik widzi tylko swoje prywatne dane), prywatny magazyn dla zdjęć potwierdzających przejęcie profilu, usuwanie ukrytych metadanych ze zdjęć, dostęp administracyjny tylko dla osób, które go potrzebują, kopie zapasowe bazy.

15. Dzieci

Konto może założyć osoba, która ukończyła 16 lat. Młodsza osoba potrzebuje zgody rodzica lub opiekuna. Jeśli dowiemy się, że konto założyło dziecko bez takiej zgody, usuniemy je.

16. Zmiany polityki

Politykę zmieniamy, gdy zmieniają się przepisy, funkcje aplikacji albo dostawcy. Aktualna wersja jest zawsze pod adresem mapa.secondhandy.com.pl/privacy, z datą obowiązywania. O istotnych zmianach (nowy cel przetwarzania, nowy rodzaj odbiorcy) poinformujemy mailem lub w aplikacji, zanim wejdą w życie. Jeśli zmiana wymaga Twojej zgody, poprosimy o nią osobno. Poprzednie wersje udostępnimy na prośbę.