Polityka prywatności

Obowiązuje od 2026-10-10

Ta polityka wyjaśnia, jak serwis Volun3 przetwarza dane osobowe, i stanowi informację, o której mowa w art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO). Zawiera też informację o plikach cookie.

1. Administrator danych i kontakt

Usługodawcą serwisu jest Szymon Haponiuk, osoba fizyczna prowadząca jednoosobową działalność gospodarczą wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), NIP: 5214087024, REGON: 529722710, adres: ul. Rydygiera 13/37, 01-793 Warszawa, Polska, e-mail: shaponiuk@volun3.com (dalej: „Usługodawca”). Usługodawca nie wyznaczył inspektora ochrony danych; we wszystkich sprawach dotyczących danych osobowych można pisać na powyższy adres e-mail.

2. Dwie role: administrator i podmiot przetwarzający

Z serwisu korzystają organizacje (np. wspólnoty, stowarzyszenia, zespoły wolontariuszy), które planują w nim grafiki swoich członków. Dlatego Usługodawca występuje w dwóch rolach:

• Organizacja jest administratorem danych, które jej administratorzy wprowadzają o członkach i wolontariuszach (osoby, role, zespoły, wydarzenia, przydziały, dostępność, konta logowania utworzone dla członków). Usługodawca przetwarza te dane wyłącznie w imieniu organizacji, jako podmiot przetwarzający, na podstawie umowy powierzenia przetwarzania danych stanowiącej załącznik do Regulaminu. Pytania i żądania dotyczące tych danych (np. ich sprostowania lub usunięcia) należy kierować w pierwszej kolejności do swojej organizacji; Usługodawca pomoże jej je zrealizować.
• Usługodawca jest administratorem danych potrzebnych do świadczenia i zabezpieczenia samej usługi: danych osoby zakładającej organizację, danych logowania (w zakresie zawarcia i wykonania umowy o świadczenie usług), dzienników technicznych i zabezpieczeń, danych wysyłki wiadomości oraz korespondencji kierowanej do Usługodawcy.

3. Jakie dane przetwarzamy

• Dane konta logowania: adres e-mail (służący do logowania) i informacja, czy został potwierdzony, skrót (hash) hasła — nigdy samo hasło, wybrany język i format daty, ustawienie czasu pozostania zalogowanym, uprawnienia administracyjne, data i wersja zaakceptowanego Regulaminu.
• Dane osoby w organizacji: imię, nazwisko, adres e-mail, przynależność do zespołów i umiejętności (role), status aktywności.
• Dane grafiku: zgłoszona dostępność na wydarzenia wraz z opcjonalną notatką, przydziały do ról, potwierdzenia przydziałów.
• Dane techniczne: sekretny adres kalendarza (token), jednorazowe linki (zaproszenia, resetu hasła, potwierdzenia adresu e-mail — przechowywane jako losowe tokeny lub ich skróty), liczniki ograniczające liczbę prób logowania i rejestracji (przechowywane jako nieodwracalne skróty adresu IP lub identyfikatora, bez samego adresu), treść i adresat wiadomości oczekujących na wysyłkę.
• Statystyki odwiedzin (wyłącznie na stronach publicznych — stronie głównej, rejestracji, poradnikach, stronie Pomoc i tych dokumentach — i tylko jeśli zaakceptujesz je w okienku plików cookie): odwiedzone strony, strona, z której przychodzisz, rodzaj urządzenia i przeglądarki, przybliżona lokalizacja ustalona na podstawie adresu IP oraz identyfikator zapisany w pliku cookie Google Analytics. Strony wewnątrz organizacji nigdy nie są śledzone.
• Korespondencja kierowana do Usługodawcy (np. reklamacje, żądania z RODO).

Serwis nie służy do przetwarzania szczególnych kategorii danych (art. 9 RODO). Organizacja nie powinna wpisywać takich danych, np. w notatkach czy opisach wydarzeń.

4. Cele i podstawy prawne przetwarzania (gdy Usługodawca jest administratorem)

Cel	Podstawa prawna
Założenie konta i organizacji, świadczenie usługi, wysyłka wiadomości niezbędnych do korzystania z niej (potwierdzenie adresu, reset hasła, zaproszenia, komunikaty o usłudze, np. o planowanych pracach serwisowych)	art. 6 ust. 1 lit. b RODO — wykonanie umowy o świadczenie usług drogą elektroniczną
Bezpieczeństwo serwisu: ochrona przed nadużyciami i atakami (limity prób logowania, dzienniki techniczne)	art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Usługodawcy
Pytanie użytkowników, w szczególności Administratorów Organizacji, o opinię o usłudze i sugestie dotyczące jej rozwoju (wiadomości niehandlowe; w każdej chwili możesz poprosić, byśmy przestali je wysyłać)	art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Usługodawcy polegający na ulepszaniu usługi
Statystyki odwiedzin stron publicznych (Google Analytics), aby wiedzieć, jak użytkownicy trafiają do serwisu, i go ulepszać	art. 6 ust. 1 lit. a RODO — Twoja zgoda, którą możesz w każdej chwili wycofać w „Ustawieniach cookie” w stopce strony; wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania
Rozpatrywanie reklamacji i żądań, kontakt z użytkownikami	art. 6 ust. 1 lit. b, c i f RODO
Ustalenie, dochodzenie i obrona roszczeń	art. 6 ust. 1 lit. f RODO

Dane wprowadzane przez organizację przetwarzane są w celach i na podstawach określonych przez tę organizację jako administratora.

5. Odbiorcy danych

Dane nie są sprzedawane ani udostępniane w celach marketingowych. Mogą je otrzymać:

• OVH SAS (Roubaix, Francja) — dostawca serwerów, na których działa serwis i jest przechowywana baza danych; serwery znajdują się w centrum danych OVHcloud w Beauharnois w Kanadzie (zob. pkt 6);
• Amazon Web Services EMEA SARL (Luksemburg) — usługa Amazon SES, przez którą serwis wysyła wiadomości e-mail; otrzymuje adres odbiorcy i treść wiadomości, przetwarzane w UE (Sztokholm, Szwecja);
• Google Ireland Limited (Dublin, Irlandia) — usługa Google Analytics, jako podmiot przetwarzający na zlecenie Usługodawcy, wyłącznie w odniesieniu do osób, które zaakceptowały analityczne pliki cookie na stronach publicznych;
• usługi kalendarzowe (np. Google Calendar, Outlook, Apple Calendar), które pobierają kalendarz osoby — wyłącznie gdy ta osoba sama doda do nich adres swojego kalendarza; dostawcy tych usług przetwarzają dane według własnych zasad;
• administratorzy organizacji, do której należy dana osoba, w zakresie danych tej organizacji;
• zalogowani członkowie organizacji, którzy na stronie Pomoc widzą imię i nazwisko oraz adres e-mail administratorów tej organizacji, aby wiedzieć, do kogo zwrócić się o pomoc;
• organy publiczne, gdy obowiązek przekazania danych wynika z przepisów prawa.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Serwery, na których działa serwis i jest przechowywana baza danych, znajdują się w Kanadzie (centrum danych OVHcloud w Beauharnois, Quebec), więc dane przechowywane w serwisie są przekazywane poza Europejski Obszar Gospodarczy. Komisja Europejska stwierdziła, że Kanada zapewnia odpowiedni stopień ochrony danych osobowych przetwarzanych przez podmioty prowadzące działalność gospodarczą (decyzja 2002/2/WE), dlatego przekazanie odbywa się na podstawie tej decyzji (art. 45 RODO) i nie wymaga dodatkowych zabezpieczeń.

Dane Google Analytics mogą być przekazywane do Google LLC w Stanach Zjednoczonych. Google LLC uczestniczy w programie EU–US Data Privacy Framework, wobec którego Komisja Europejska wydała 10 lipca 2023 r. decyzję stwierdzającą odpowiedni stopień ochrony, więc przekazanie odbywa się na podstawie tej decyzji (art. 45 RODO). Ma to miejsce wyłącznie po zaakceptowaniu analitycznych plików cookie.

Poza tym Usługodawca nie przekazuje danych poza EOG. Jeśli zrobi to sama osoba, dodając swój kalendarz do usługi spoza EOG, odbywa się to na jej własne żądanie.

7. Jak długo przechowujemy dane

• Dane konta logowania — do jego usunięcia (przez Ciebie w ustawieniach lub przez organizację) albo do usunięcia całej organizacji.
• Dane osoby w organizacji — do usunięcia przez Ciebie konta wraz z danymi w ustawieniach, do usunięcia osoby przez organizację albo do usunięcia całej organizacji. Usługodawca nie przechowuje kopii zapasowych, więc usunięcie jest ostateczne.
• Wiadomości e-mail — treść jest kasowana z bazy w chwili wysłania; adresat, temat i status wysyłki są przechowywane przez 14 dni, a potem usuwane.
• Liczniki ograniczające liczbę prób (skróty adresów IP i identyfikatorów) — do 24 godzin.
• Statystyki odwiedzin w Google Analytics — 14 miesięcy; pliki cookie Google Analytics wygasają po 13 miesiącach albo z chwilą wycofania zgody.
• Linki jednorazowe — ważne 1 godzinę (reset hasła) lub 7 dni (potwierdzenie adresu e-mail); zaproszenie — do jego wykorzystania albo usunięcia przez organizację.
• Dzienniki techniczne serwera (adres IP, czas i adres żądania), jeśli są prowadzone — do 30 dni.
• Korespondencja i dane potrzebne do obrony roszczeń — do upływu terminów przedawnienia.

8. Twoje prawa

Przysługuje Ci prawo do: dostępu do danych i otrzymania ich kopii (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20) oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21). Imię, nazwisko, język, format daty i hasło możesz sam zmienić w ustawieniach konta. Tam też, w sekcji „Twoje dane”, możesz pobrać kopię swoich danych (plik JSON) i usunąć swoje konto: razem z danymi osobowymi (Twój profil, dostępność i przydziały są usuwane od razu, a administratorzy organizacji dostają informację, żeby mogli znaleźć zastępstwo w nadchodzących wydarzeniach) albo tylko konto logowania, zostawiając dane, które prowadzi o Tobie organizacja. Pozostałe żądania wyślij na shaponiuk@volun3.com — odpowiemy w ciągu miesiąca. Jeśli żądanie dotyczy danych, których administratorem jest Twoja organizacja, przekażemy je jej i pomożemy w jego realizacji.

9. Skarga do organu nadzorczego

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), jeśli uważasz, że przetwarzanie Twoich danych narusza RODO.

10. Czy podanie danych jest obowiązkowe

Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie można założyć konta ani korzystać z serwisu.

11. Zautomatyzowane decyzje

Serwis nie podejmuje decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany i nie profiluje użytkowników. Podpowiedzi w grafiku (np. kto jest dostępny) są jedynie pomocą dla administratora organizacji, który sam decyduje o przydziałach.

12. Bezpieczeństwo

Stosujemy m.in.: połączenia szyfrowane (HTTPS), przechowywanie haseł wyłącznie w postaci kryptograficznych skrótów, wymóg silnych haseł, limity prób logowania, ochronę przed atakami CSRF i XSS, oddzielenie danych poszczególnych organizacji, panel administracyjny Usługodawcy dostępny wyłącznie lokalnie przez szyfrowany tunel, a także minimalizację danych (np. kasowanie treści wiadomości po wysłaniu).

13. Pliki cookie i pamięć przeglądarki

Serwis używa plików cookie i pamięci przeglądarki niezbędnych do działania usługi lub zapamiętujących ustawienia, które sam wybierasz; takie informacje nie wymagają zgody (art. 399 ust. 3 ustawy — Prawo komunikacji elektronicznej). Na stronach publicznych używamy też plików cookie Google Analytics, ale wyłącznie po kliknięciu „Akceptuję” w okienku plików cookie (art. 399 ust. 1); jeśli klikniesz „Odrzucam” albo nic nie wybierzesz, skrypt Google w ogóle się nie wczyta. Wybór możesz w każdej chwili zmienić w „Ustawieniach cookie” w stopce strony. Nie używamy reklamowych plików cookie, a strony wewnątrz organizacji nie zapisują analitycznych plików cookie. Pliki cookie możesz usunąć lub zablokować w ustawieniach przeglądarki, ale logowanie przestanie wtedy działać.

Nazwa	Rodzaj	Cel	Czas
session	cookie	utrzymanie zalogowania, ochrona formularzy przed atakami CSRF, zapamiętanie wybranego języka	do zamknięcia przeglądarki
remember_token	cookie	pozostanie zalogowanym po zamknięciu przeglądarki	domyślnie 30 dni
kch-theme	pamięć lokalna	wybrany motyw (jasny/ciemny)	do usunięcia
kch_grid_density	pamięć lokalna	układ grafiku (kompaktowy/wygodny)	do usunięcia
kch_collapsed_cats	pamięć lokalna	zwinięte zespoły w grafiku	do usunięcia
kch_analytics_consent	pamięć lokalna	Twój wybór w okienku plików cookie	do usunięcia
_ga, _ga_<id>	cookie (Google Analytics, tylko po wyrażeniu zgody)	rozróżnienie kolejnych odwiedzin stron publicznych, na potrzeby statystyk	13 miesięcy

Aplikacja instalowana na ekranie głównym (PWA) przechowuje w pamięci podręcznej przeglądarki wyłącznie pliki stylów, skryptów i ikon — bez Twoich danych.

14. Zmiany polityki

O istotnych zmianach tej polityki poinformujemy w serwisie z wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod adresem /privacy.