Polityka Prywatności

1. Postanowienia ogólne

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych użytkowników serwisu NavyFlame (dalej: „Serwis") dostępnego pod adresem navyflame.com oraz pod subdomenami {slug}.navyflame.com przydzielanymi indywidualnym klientom.

Polityka jest zgodna z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO / GDPR) oraz ustawą z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 poz. 1781 z późn. zm.).

2. Administrator danych

Administratorem Pana/Pani danych osobowych jest:

• MDS Software Solutions Group Sp. z o.o. (prowadząca platformę pod marką „NavyFlame")
• Adres siedziby: ul. Majora „Hubala" 1/605, 45-266 Opole, Polska
• NIP: 7543374056
• REGON: 540140409
• KRS: 0001137425 (Sąd Rejonowy w Opolu, VIII Wydział Gospodarczy KRS)
• Kapitał zakładowy: 5 000,00 zł (w pełni opłacony)
• Email kontaktowy: privacy@navyflame.com

W sprawach związanych z ochroną danych osobowych można kontaktować się również z naszym Inspektorem Ochrony Danych pod adresem dpo@navyflame.com lub gdpr@navyflame.com.

3. Kategorie przetwarzanych danych osobowych

W zależności od zakresu korzystania z Serwisu przetwarzamy następujące kategorie:

• Dane identyfikacyjne: imię, nazwisko, adres email
• Dane logowania: hash hasła (bcrypt), tokeny odświeżania (refresh tokens), identyfikatory sesji, IP, user agent, znacznik czasu logowania
• Dane kontaktowe: numer telefonu (opcjonalny), preferencje powiadomień
• Dane firmy klienta: nazwa firmy, NIP, REGON, adres rejestrowy (gdy użytkownik prowadzi działalność gospodarczą)
• Dane rozliczeniowe: historia subskrypcji, identyfikatory Stripe (customer ID, subscription ID — brak danych karty po stronie NavyFlame, są procesowane bezpośrednio przez Stripe)
• Dane audytowe: logi operacji (zmiany konta, logowania, dostępy)
• Dane biznesowe tenanta: dane klientów końcowych merchanta (zamówienia, faktury, wysyłki) — przetwarzane jako podmiot przetwarzający (procesor) w imieniu merchanta-administratora, fizycznie zapisane na dedykowanym serwerze VPS klienta
• Dane techniczne: adres IP, typ przeglądarki, system operacyjny, identyfikatory plików cookies

4. Cel i podstawa prawna przetwarzania

5. Odbiorcy danych (sub-procesorzy)

Korzystamy ze sprawdzonych dostawców usług IT (sub-procesorów) zgodnie z art. 28 RODO. Pełna lista jest publicznie dostępna na stronie /subprocessors. Skrót głównych odbiorców:

• Stripe Payments Europe Ltd. (Irlandia) — procesowanie płatności subskrypcyjnych
• Contabo GmbH (Niemcy) — hosting VPS (infrastruktura)
• Cloudflare, Inc. (USA, EU edge) — DNS, CDN, WAF, Cloudflare Workers (Stripe webhook ingest). Transfer poza EOG na podstawie Data Privacy Framework + Standard Contractual Clauses
• GitHub, Inc. (Microsoft) (USA) — hosting kodu źródłowego + container registry (GHCR). Transfer poza EOG: DPF + SCCs
• Anthropic, PBC (USA) — Claude API dla AI-assisted features katalogu (opt-in). Transfer poza EOG: Standard Contractual Clauses
• Sentry (Functional Software, Inc.) — error tracking, region UE (Frankfurt) — brak transferu poza EOG

Każda zmiana listy sub-procesorów wymaga 30-dniowego powiadomienia klientów B2B (zgodnie z art. 28 ust. 2 RODO).

6. Transfer danych poza EOG

Niektórzy sub-procesorzy (Cloudflare, GitHub, Anthropic) mają siedzibę w USA. Dla każdego transferu poza Europejski Obszar Gospodarczy stosujemy:

• EU-US Data Privacy Framework (DPF) — dla certyfikowanych podmiotów (Stripe, Cloudflare, GitHub/Microsoft)
• Standardowe Klauzule Umowne (SCCs) Komisji Europejskiej zatwierdzone Decyzją Wykonawczą (UE) 2021/914 — fallback + dla Anthropic
• Transfer Impact Assessment wykonywany przed każdą nową integracją z dostawcą spoza EOG

7. Okres przechowywania danych

7a. Newsletter NavyFlame (marketing email)

Niezależnie od korzystania z platformy SaaS możesz dobrowolnie zapisać się na nasz newsletter marketingowy. Przetwarzamy wtedy następujące dane na zasadach opisanych poniżej:

• Zakres danych: adres email, źródło zapisu (URL strony), hash adresu IP, user-agent przeglądarki w momencie zapisu, wersja treści zgody, którą zaakceptowałeś, timestampy (zapis, potwierdzenie, wypisanie).
• Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) + art. 10 ustawy o świadczeniu usług drogą elektroniczną (zgoda na komunikację handlową).
• Cel: wysyłka cyklicznego newslettera (~co 2 tygodnie) z informacjami o platformie NavyFlame, treściami z bloga, statusem partnerstw i informacjami o launch. Bez profilowania, bez handlu listą.
• Double opt-in: po zapisie wysyłamy email z linkiem potwierdzającym (ważny 24h). Bez kliknięcia linku Twój adres NIE trafia na aktywną listę i nie wyślemy żadnych dalszych maili.
• Wycofanie zgody (one-click): każdy mail newsletterowy zawiera link "Wypisz się" oraz nagłówekList-Unsubscribe(RFC 8058) wspierany przez Gmail/Yahoo/Outlook. Kliknięcie linku lub użycie przycisku "Unsubscribe" w kliencie pocztowym natychmiast usuwa Twój adres z listy — bez loginu, bez pytań, bez warunków.
• Sub-procesor delivery: Resend (EU region) — zewnętrzny dostawca SMTP/Broadcast API używany do faktycznej wysyłki. Szczegóły zobowiązań Resenda: lista podwykonawców.
• Brak profilowania: wysyłamy wszystkim subskrybentom tę samą treść. Nie segmentujemy listy na podstawie behawioralnych danych (otwarcia, kliknięcia trafiają tylko do statystyk agregatu kampanii, nie do profilu indywidualnego).
• Right-to-be-forgotten: żądanie usunięcia danych (art. 17 RODO) realizujemy w ciągu 30 dni — usuwamy email z listy i z mirrora w Resend Audiences. Hash adresu retencjonujemy tylko po to, żeby przypadkowy re-import nie wskrzesił subskrypcji.

8. Prawa użytkownika (art. 15-22 RODO)

Przysługują Panu/Pani następujące prawa wynikające z RODO:

• Prawo dostępu (art. 15) — uzyskanie informacji o tym, czy i w jakim zakresie przetwarzamy dane oraz otrzymanie ich kopii. Realizacja: panel /app/konto/profil → „Pobierz moje dane"
• Prawo do sprostowania (art. 16) — żądanie poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych. Realizacja: panel profilu lub email privacy@navyflame.com
• Prawo do usunięcia (art. 17) — żądanie usunięcia („prawo do bycia zapomnianym") z zastrzeżeniem wyjątków (compliance finansowa, audyt bezpieczeństwa). Realizacja: panel → „Usuń konto" lub email
• Prawo do ograniczenia przetwarzania (art. 18) — żądanie zawieszenia przetwarzania w określonych przypadkach
• Prawo do przenoszenia (art. 20) — otrzymanie danych w ustrukturyzowanym formacie (JSON) lub przeniesienie ich do innego administratora. Realizacja: ten sam export co art. 15
• Prawo do sprzeciwu (art. 21) — np. wobec marketingu bezpośredniego. Realizacja: unsubscribe link w każdym mailu marketingowym + panel preferencji powiadomień
• Prawo do cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem

Procedurę realizacji każdego prawa, weryfikację tożsamości oraz termin odpowiedzi (maksymalnie 1 miesiąc, cel wewnętrzny 14 dni) opisujemy w osobnym dokumencie wewnętrznym, dostępnym na żądanie radcy prawnego klienta.

9. Pliki cookies

Serwis używa plików cookies w trzech kategoriach:

• Niezbędne — wymagane do prawidłowego działania strony (sesja, preferencje języka, koszyk). Aktywne zawsze, nie wymagają zgody na mocy art. 173 ust. 3 ustawy Prawo telekomunikacyjne
• Analityczne — anonimowe statystyki ruchu i optymalizacja UX (m.in. Google Analytics 4 z włączonym Consent Mode v2 oraz anonimizacją IP). Aktywne dopiero po wyrażeniu zgody
• Marketingowe — personalizacja treści i remarketing. Aktywne dopiero po wyrażeniu zgody

Zgody są zarządzane przez baner cookie wyświetlany przy pierwszej wizycie. Można je w każdej chwili zmienić — wyczyszczenie cookies w przeglądarce spowoduje ponowne wyświetlenie banera.

10. Bezpieczeństwo danych

Stosujemy adekwatne środki techniczne i organizacyjne zgodnie z art. 32 RODO:

• Szyfrowanie w transporcie (TLS 1.2+)
• Szyfrowanie w spoczynku (filesystem-level + application-level dla wrażliwych pól)
• Hashowanie haseł algorytmem bcrypt (cost 12)
• Wieloskładnikowe uwierzytelnianie (MFA) dla ról administracyjnych
• mTLS dla komunikacji wewnętrznej (Step CA z rotacją certów 7 dni)
• Izolacja per-tenant (każdy tenant na osobnym VPS z osobną bazą Prisma)
• Audit log wszystkich zmian danych osobowych
• Regularny audyt bezpieczeństwa + zewnętrzny pentest (annualnie)
• Program bug bounty (uruchomienie 30 dni po launchu)

11. Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych, które może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych:

• Powiadamiamy Prezesa Urzędu Ochrony Danych Osobowych (UODO) w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO)
• Powiadamiamy osoby, których dane dotyczą, bez zbędnej zwłoki, jeśli naruszenie wiąże się z wysokim ryzykiem (art. 34 RODO) — email + baner in-app

12. Prawo do skargi do organu nadzorczego

Przysługuje Panu/Pani prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pan/Pani, iż przetwarzanie danych narusza przepisy RODO:

• Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa
• Strona internetowa: https://uodo.gov.pl/pl/p/skargi
• Telefon: +48 22 531 03 00

13. Klienci B2B — DPA

Gdy klient (administrator) korzysta z NavyFlame do przetwarzania danych swoich klientów końcowych, NavyFlame występuje jako podmiot przetwarzający. Standardowa Umowa Powierzenia Przetwarzania Danych (DPA) zgodna z art. 28 RODO jest dostępna na życzenie — szczegóły /dpa.

14. Kontakt

Wszelkie pytania i żądania dotyczące ochrony danych osobowych prosimy kierować na poniższe adresy:

• Ogólne sprawy prywatności: privacy@navyflame.com
• Inspektor Ochrony Danych: dpo@navyflame.com
• Żądania RODO (art. 15-22): gdpr@navyflame.com
• Sprawy prawne i DPA: legal@navyflame.com
• Adres pocztowy: MDS Software Solutions Group Sp. z o.o., ul. Majora „Hubala" 1/605, 45-266 Opole, Polska

Odpowiadamy w terminie do 1 miesiąca od otrzymania żądania (cel wewnętrzny: 14 dni).

8. Google Analytics i Google Tag Manager

Serwis korzysta z usług Google Analytics 4 (GA4) oraz Google Tag Manager (GTM) dostarczanych przez Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia) — administratora danych w EOG. Dane mogą być przekazywane do Google LLC (USA) na podstawie Standardowych Klauzul Umownych UE oraz certyfikacji EU-US Data Privacy Framework.

• Cel przetwarzania: analiza ruchu, pomiar konwersji, optymalizacja doświadczenia użytkownika
• Podstawa prawna: art. 6 ust. 1 lit. a RODO — zgoda wyrażona w panelu cookie consent (Consent Mode v2)
• Stan domyślny (Consent Mode v2): wszystkie kategorie analityczne i marketingowe są wyłączone (denied) do momentu wyrażenia przez Ciebie zgody. Bez zgody nie zapisujemy żadnych identyfikatorów ani plików cookies tych dostawców.
• Kategorie danych: zanonimizowany adres IP, identyfikatory plików cookies, eventy nawigacji, identyfikator tenanta (custom dimension tenant_slug) w celu separacji raportów per klient
• Czas przechowywania w GA4: 14 miesięcy (domyślna retencja Google Analytics 4 skonfigurowana w panelu właściwości)
• Anonimizacja IP: aktywna (standard GA4 — Google nie udostępnia pełnych adresów IP w raportach)
• Wycofanie zgody: w dowolnym momencie możesz zmienić preferencje — kliknij ustawienia plików cookies, aby ponownie otworzyć panel zarządzania zgodami
• Pełna lista podwykonawców: patrz lista podwykonawców

9. Kontakt

Niniejsza Polityka może być aktualizowana w przypadku zmian regulacyjnych, zmiany sub-procesorów lub modyfikacji procesów przetwarzania. O istotnych zmianach informujemy z 30-dniowym wyprzedzeniem (email + baner in-app). Drobne zmiany redakcyjne publikujemy wraz z aktualizacją daty na początku dokumentu.