Polityka prywatności
Szanujemy Twoją prywatność. Poniżej wyjaśniamy, jakie dane zbieramy w serwisie Rent-Move.IT, po co, jak długo je przechowujemy, komu je przekazujemy i jakie masz prawa — w tym, jak korzystamy z danych otrzymanych od Google.
1. Administrator danych i kontakt
Administratorem danych osobowych jest Rent-Move.IT Daniel Zasieczny, Huby 6j, 64-553 Grzebienisko, Polska, NIP 7872157437.
W sprawach danych osobowych pisz na danielzasieczny@rent-move.it lub dzwoń +48 734 490 136. Nie wyznaczyliśmy inspektora ochrony danych — wszystkie sprawy obsługuje bezpośrednio administrator.
2. Czego dotyczy ta polityka
Polityka opisuje przetwarzanie danych osobowych w serwisie Rent-Move.IT, czyli: na stronie rent-move.it (w tym kalkulatorach, formularzu rezerwacji i formularzach kontaktowych stron usług IT, dronów i elektryki), w panelu klienta, w panelu operatora wypożyczalni oraz w interfejsie API działającym pod adresem api.rent-move.it. Obejmuje osoby odwiedzające stronę, klientów, kierowców wskazanych w rezerwacji oraz osoby, które wysyłają do nas wiadomości.
Przetwarzamy dane zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), ustawą o ochronie danych osobowych oraz ustawą Prawo komunikacji elektronicznej.
3. Jakie dane przetwarzamy
| Kategoria | Jakie dane | Skąd je mamy |
|---|---|---|
| Konto klienta | imię i nazwisko, adres e-mail, hasło (przechowywane wyłącznie jako skrót kryptograficzny przez Supabase Auth — nie znamy Twojego hasła), opcjonalnie nazwa firmy, numer telefonu (wymagany przy rezerwacji — zapisujemy go też w profilu, żeby podpowiedzieć go przy kolejnej), informacja o zgodzie marketingowej | od Ciebie przy rejestracji albo z konta Google (sekcja 6) |
| Rezerwacja | numer telefonu kontaktowego (wymagany — dzwonimy pod niego w sprawie odbioru i zwrotu pojazdu, np. by potwierdzić rezerwację gotówkową), pojazd, data i godzina odbioru oraz zwrotu, opcje (foteliki, dodatkowy kierowca, pakiet ubezpieczenia, wyjazd zagraniczny, odbiór poza godzinami), cena, rabat, wymagana kaucja, metoda płatności, status rezerwacji, prośby o zmianę terminu, przyczyna anulowania | od Ciebie (kalkulator, panel klienta) lub od operatora przy rezerwacji telefonicznej |
| Kierowca | data urodzenia, kategoria prawa jazdy, data ważności prawa jazdy, oświadczenie o braku zakazu prowadzenia pojazdów | od Ciebie przy rezerwacji; przy kolejnej rezerwacji panel podpowiada dane z poprzedniej |
| Dokument sprzedaży | rodzaj dokumentu (paragon lub faktura), a dla faktury: NIP, nazwa firmy, adres | od Ciebie |
| Płatności | kwota, identyfikator i status transakcji Paynow, data płatności, zwroty; przy płatności gotówką — potwierdzenie przyjęcia wpłaty. Nie przetwarzamy numerów kart ani danych logowania do banku — obsługuje je Paynow | od Paynow i od operatora |
| Kaucja | kwota kaucji przyjętej gotówką przy wydaniu pojazdu, kwota oddana, kwota potrącona i powód potrącenia | od operatora |
| Stan pojazdu i protokół | zdjęcia pojazdu przed wydaniem i po zwrocie, przebieg, poziom paliwa, opis i położenie uszkodzeń, protokół zdawczo-odbiorczy w PDF; przy podpisie elektronicznym — obraz podpisu, imię i nazwisko, data i godzina, adres IP i dane przeglądarki | od operatora; podpis — od Ciebie |
| Wiadomości do klienta | adres e-mail i numer telefonu z rezerwacji, rodzaj wiadomości (np. potwierdzenie, przypomnienie o odbiorze, link do protokołu), status i identyfikator doręczenia u dostawcy | generowane przez system |
| Formularz kontaktowy | imię i nazwisko, adres e-mail, temat i treść wiadomości, opcjonalnie firma i numer telefonu (podaj go, jeśli wolisz, żebyśmy oddzwonili), język strony — w nim wysyłamy na podany adres e-mail potwierdzenie przyjęcia zapytania | od Ciebie |
| Statystyka odwiedzin | odwiedzona podstrona, oglądany pojazd, rodzaj zdarzenia (np. rozpoczęcie rezerwacji), kraj ustalony ze strefy czasowej przeglądarki (adresu IP nie wysyłamy do żadnej usługi geolokalizacji) oraz identyfikator odwiedzającego: bez zgody — anonimowy, wyliczany na serwerze ze skrótu adresu IP i przeglądarki z kluczem zmienianym codziennie (nic nie zapisujemy w przeglądarce, identyfikatora nie da się powiązać z osobą ani z wizytą z innego dnia); po zgodzie — losowy identyfikator zapisany w przeglądarce. Samego adresu IP nie zapisujemy; bez treści formularzy, e-maili i numerów rezerwacji | z Twojej przeglądarki; „Tylko niezbędne” w banerze cookies wyłącza zbieranie całkowicie |
| Banery partnerów | dzienna liczba wyświetleń i kliknięć każdego banera — bez identyfikatora osoby i bez zapisu w przeglądarce; przy „Tylko niezbędne” nie zliczamy nic. Po kliknięciu przechodzisz na stronę partnera, która ma własną politykę prywatności | automatycznie z Twojej przeglądarki |
| Dane techniczne i bezpieczeństwa | adres IP, typ przeglądarki i urządzenia, czas i adres żądania w logach serwera, liczniki ograniczające liczbę prób (ochrona przed nadużyciami) | automatycznie z Twojego urządzenia |
| Pamięć przeglądarki | sesja logowania, wybór języka i motywu, decyzja w banerze cookies, niedokończona rezerwacja — szczegóły w polityce cookies | zapisywane w Twojej przeglądarce |
Nie zbieramy danych szczególnych kategorii (np. o zdrowiu) ani danych o wyrokach skazujących. Nie przechowujemy w serwisie skanów dowodu osobistego ani prawa jazdy; jeżeli umowa najmu wymaga okazania lub kopii dokumentu, dzieje się to przy odbiorze pojazdu.
4. Cele i podstawy prawne
| Cel | Podstawa prawna (RODO) |
|---|---|
| założenie i prowadzenie konta klienta | art. 6 ust. 1 lit. b — umowa o świadczenie usługi drogą elektroniczną |
| wycena, rezerwacja, wydanie i zwrot pojazdu, wykonanie umowy najmu | art. 6 ust. 1 lit. b — umowa lub działania przed jej zawarciem |
| wstępna weryfikacja kierowcy (wiek, kategoria i ważność prawa jazdy) | art. 6 ust. 1 lit. b oraz lit. f — bezpieczeństwo floty |
| płatności online i gotówkowe, rozliczenie kaucji | art. 6 ust. 1 lit. b |
| wystawianie paragonów i faktur (w tym przez KSeF), księgowość | art. 6 ust. 1 lit. c — obowiązki podatkowe i rachunkowe |
| dokumentowanie stanu pojazdu, protokół i podpis, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f — prawnie uzasadniony interes |
| wiadomości transakcyjne (potwierdzenia, przypomnienia, link do protokołu) e-mailem i SMS-em | art. 6 ust. 1 lit. b |
| odpowiedź na zapytanie z formularza kontaktowego | art. 6 ust. 1 lit. b lub lit. f |
| informacje marketingowe | art. 6 ust. 1 lit. a — zgoda (dobrowolna, możesz ją wycofać w ustawieniach panelu) |
| anonimowa, zbiorcza statystyka odwiedzin (bez zapisu w przeglądarce) | art. 6 ust. 1 lit. f — uzasadniony interes: wiedza, które strony i usługi interesują odwiedzających; sprzeciw: „Tylko niezbędne” w banerze cookies |
| analityka z identyfikatorem zapisanym w przeglądarce | art. 6 ust. 1 lit. a — zgoda w banerze cookies |
| rozliczanie banerów partnerów (zbiorcze liczby wyświetleń i kliknięć) | art. 6 ust. 1 lit. f — uzasadniony interes: rozliczenie z reklamodawcami |
| bezpieczeństwo serwisu, ochrona przed nadużyciami, dziennik działań operatorów | art. 6 ust. 1 lit. f |
| synchronizacja rezerwacji z kalendarzem Google właściciela wypożyczalni | art. 6 ust. 1 lit. f — organizacja pracy wypożyczalni (sekcja 7) |
5. Czy musisz podać dane
Podanie danych jest dobrowolne, ale bez danych konta, rezerwacji i kierowcy nie możemy zawrzeć ani wykonać umowy najmu, a bez danych do faktury — wystawić faktury. Numer telefonu jest wymagany przy rezerwacji, bo kontaktujemy się pod nim w sprawie odbioru i zwrotu pojazdu; w formularzach kontaktowych telefon jest opcjonalny. Zgoda marketingowa i zgoda na analitykę nie są warunkiem skorzystania z usług.
6. Logowanie przez Google
Możesz założyć konto lub zalogować się przyciskiem „Kontynuuj z Google”. Logowanie obsługuje Supabase Auth w naszym imieniu. Od Google otrzymujemy wyłącznie podstawowe dane profilu: imię i nazwisko, adres e-mail, adres zdjęcia profilowego oraz identyfikator konta Google — w zakresie „openid”, „email” i „profile”.
Te dane służą wyłącznie do utworzenia konta, zalogowania Cię i kontaktu w sprawie rezerwacji. Nie uzyskujemy dostępu do Twojej poczty Gmail, kontaktów, plików, kalendarza ani innych danych w Twoim koncie Google. Połączenie możesz w każdej chwili cofnąć na stronie myaccount.google.com/permissions.
7. Dane użytkownika Google — integracja z Kalendarzem Google
Panel operatora pozwala właścicielowi wypożyczalni połączyć jego własne konto Google, aby rezerwacje pojawiały się w jego Kalendarzu Google. Z integracji korzysta wyłącznie właściciel (administrator) Rent-Move.IT. Klienci nigdy nie są proszeni o dostęp do swojego kalendarza.
Do jakich danych uzyskujemy dostęp
- Zakres uprawnień: https://www.googleapis.com/auth/calendar.events — tworzenie, zmiana i usuwanie wydarzeń w kalendarzu.
- Aplikacja tworzy, aktualizuje i usuwa wyłącznie wydarzenia, które sama utworzyła dla rezerwacji Rent-Move.IT (każde oznaczone identyfikatorem rezerwacji). Nie odczytuje, nie wyszukuje i nie analizuje innych wydarzeń w kalendarzu.
- Jeżeli Google ją udostępni, zapisujemy też adres e-mail połączonego konta — tylko po to, by pokazać w panelu, które konto jest połączone.
Jak ich używamy
Wydarzenie w kalendarzu właściciela zawiera: pojazd, numer rezerwacji, imię i nazwisko klienta, e-mail i telefon klienta, kwotę, status płatności i status rezerwacji oraz godziny odbioru i zwrotu. Dane te służą wyłącznie organizacji wydań i zwrotów pojazdów. Po zmianie lub anulowaniu rezerwacji wydarzenie jest aktualizowane albo usuwane.
Jak je przechowujemy i chronimy
- Token odświeżania (refresh token) od Google przechowujemy w bazie danych w Unii Europejskiej (Supabase, Frankfurt) wyłącznie w postaci zaszyfrowanej algorytmem AES-256-GCM; klucz szyfrujący jest przechowywany osobno, w konfiguracji serwera.
- Token dostępu (access token) jest używany tylko w pamięci serwera na czas wywołania API Google i nie jest zapisywany.
- Połączenie z Google i cała komunikacja są szyfrowane (HTTPS). Integrację może włączyć lub wyłączyć wyłącznie konto z rolą właściciela.
Komu je udostępniamy
Danych otrzymanych z interfejsów API Google nie sprzedajemy, nie udostępniamy innym podmiotom, nie używamy do reklam (w tym reklam spersonalizowanych), do oceny zdolności kredytowej ani do trenowania modeli sztucznej inteligencji lub uczenia maszynowego. Nikt nie czyta tych danych, chyba że właściciel wyrazi na to zgodę, jest to konieczne ze względów bezpieczeństwa (np. wyjaśnienie nadużycia) albo wymaga tego prawo.
Jak długo i jak usunąć
- Token przechowujemy tylko do czasu odłączenia kalendarza. Przycisk „Odłącz Google” w panelu operatora natychmiast usuwa zaszyfrowany token z bazy.
- Dostęp można też cofnąć w dowolnej chwili na stronie myaccount.google.com/permissions — aplikacja traci wtedy możliwość zapisu do kalendarza.
- Wydarzenia już utworzone pozostają w kalendarzu właściciela, który może je usunąć w Kalendarzu Google. Na prośbę wysłaną na adres podany w sekcji 1 usuniemy wszystkie dane pochodzące z integracji w ciągu 30 dni.
Korzystanie przez Rent-Move.IT z informacji otrzymanych z interfejsów API Google i ich przekazywanie do innych aplikacji jest zgodne z Zasadami dotyczącymi danych użytkownika w usługach Google API (Google API Services User Data Policy), w tym z wymogami dotyczącymi ograniczonego użytkowania (Limited Use).
8. Komu przekazujemy dane
Dane powierzamy wyłącznie dostawcom, bez których usługa nie mogłaby działać, i tylko w potrzebnym zakresie. Z podmiotami przetwarzającymi dane w naszym imieniu mamy umowy powierzenia.
| Odbiorca | Zakres i cel |
|---|---|
| Supabase, Inc. | baza danych, logowanie (w tym przez Google) i prywatne przechowywanie plików (zdjęcia pojazdów, protokoły, dokumenty sprzedaży); serwery w UE (Frankfurt) |
| dostawca hostingu | serwery strony rent-move.it i API api.rent-move.it, logi serwera |
| Paynow (mBank S.A.) | płatności online; Paynow przetwarza dane płatnicze jako odrębny administrator |
| Resend, Inc. | wysyłka e-maili transakcyjnych (adres e-mail, treść wiadomości) |
| SMSAPI (LINK Mobility Poland sp. z o.o.) | wysyłka SMS-ów transakcyjnych (numer telefonu, treść) — tylko jeśli wysyłka SMS jest włączona |
| Google Ireland Limited / Google LLC | logowanie przez Google (sekcja 6), kalendarz właściciela (sekcja 7), mapa dojazdu (Google Maps ładuje się z serwerów Google dopiero po kliknięciu „Pokaż mapę”) |
| Ministerstwo Finansów (KSeF) | faktury ustrukturyzowane w Krajowym Systemie e-Faktur — obowiązek prawny |
| biuro rachunkowe, doradcy prawni | księgowość i ochrona prawna, w niezbędnym zakresie |
| ubezpieczyciel, serwis, organy państwowe | obsługa szkód lub gdy wymaga tego prawo (np. policja, sąd, urząd skarbowy) |
Nie sprzedajemy danych osobowych i nie przekazujemy ich w celach reklamowych.
9. Przekazywanie danych poza EOG
Część dostawców (Supabase, Resend, Google) to firmy z siedzibą w USA. Dane bazy przechowujemy w UE, ale dostawca może mieć do nich dostęp serwisowy z USA. Takie przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) — jeśli dostawca jest nią objęty — albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Kopię zabezpieczeń możesz otrzymać, pisząc na adres z sekcji 1.
10. Jak długo przechowujemy dane
| Dane | Okres |
|---|---|
| konto klienta | do usunięcia konta; potem tylko dane powiązane z rezerwacjami i dokumentami, na okresy poniżej |
| rezerwacje, płatności, dokumenty sprzedaży | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (przepisy podatkowe i rachunkowe) |
| protokół zdawczo-odbiorczy, zdjęcia, podpis, rozliczenie kaucji | jak dokumenty sprzedaży, a jeśli trwa spór — do jego zakończenia i przedawnienia roszczeń |
| link do podpisu protokołu | jednorazowy, ważny 72 godziny; w bazie zapisujemy tylko jego skrót kryptograficzny |
| dane kierowcy | jak dane rezerwacji, do której zostały podane |
| kopia dokumentu (jeśli wymaga jej umowa) | czas trwania umowy i maksymalnie rok po jej zakończeniu, chyba że dłużej wymaga tego prawo lub obrona roszczeń |
| formularz kontaktowy | 90 dni, a jeśli zapytanie prowadzi do rezerwacji — jak dane rezerwacji |
| statystyka odwiedzin | maksymalnie 13 miesięcy, potem automatyczne usunięcie |
| metadane powiadomień o rezerwacjach gotówkowych | 13 miesięcy |
| wiadomości e-mail i SMS (rejestr wysyłki) | jak dane rezerwacji, której dotyczą |
| token Kalendarza Google właściciela | do odłączenia kalendarza (sekcja 7) |
| zgoda marketingowa i dane do marketingu | do wycofania zgody |
| logi serwera i liczniki bezpieczeństwa | krótko, tylko przez czas potrzebny do diagnostyki i ochrony przed nadużyciami |
Po upływie okresu dane usuwamy lub nieodwracalnie anonimizujemy. Dłużej przechowujemy je tylko wtedy, gdy jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń — do upływu okresu przedawnienia (co do zasady 6 lat, a dla roszczeń związanych z prowadzeniem działalności gospodarczej 3 lata).
11. Zautomatyzowane decyzje i profilowanie
Kalkulator automatycznie wylicza cenę na podstawie pojazdu, terminu i opcji. Panel automatycznie sprawdza, czy kierowca ma ukończone 18 lat w dniu odbioru oraz czy prawo jazdy kategorii B jest ważne do dnia zwrotu — to wstępna weryfikacja; ostateczną decyzję o wydaniu pojazdu podejmuje człowiek przy odbiorze. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały, i nie profilujemy Cię w celach marketingowych.
12. Twoje prawa
- prawo dostępu do danych i otrzymania ich kopii (art. 15 RODO),
- prawo do sprostowania danych (art. 16),
- prawo do usunięcia danych, w tym usunięcia konta (art. 17),
- prawo do ograniczenia przetwarzania (art. 18),
- prawo do przenoszenia danych (art. 20),
- prawo sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21),
- prawo do wycofania zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem,
- prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Aby skorzystać z praw, napisz na adres z sekcji 1. Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (w szczególnych przypadkach termin może zostać przedłużony o dwa miesiące — poinformujemy o tym). Możemy poprosić o potwierdzenie tożsamości, aby nie ujawnić danych niewłaściwej osobie. Zgodę na analitykę zmienisz przyciskiem „Ustawienia cookies” w stopce strony, a zgodę marketingową — w ustawieniach panelu klienta.
13. Bezpieczeństwo danych
- całe połączenie ze stroną, panelem i API jest szyfrowane (HTTPS, HSTS),
- hasła przechowuje Supabase Auth wyłącznie jako skróty kryptograficzne,
- dostęp do panelu operatora mają tylko osoby z przypisaną rolą, a uprawnienia (np. do danych klientów i finansów) są sprawdzane po stronie serwera; działania operatorów są zapisywane w dzienniku,
- zdjęcia, protokoły i dokumenty sprzedaży leżą w prywatnym magazynie plików, a przeglądarka dostaje do nich tylko krótko ważne, podpisane odnośniki,
- tokeny integracji z Google są szyfrowane (AES-256-GCM), a klucze usług przechowujemy wyłącznie w konfiguracji serwera,
- ograniczamy liczbę prób logowania i wysyłki formularzy oraz weryfikujemy podpisy powiadomień o płatnościach.
W ramach umowy najmu możesz zostać poinformowany o monitorowaniu położenia pojazdu przez system GPS; dane lokalizacyjne służą wyłącznie bezpieczeństwu pojazdu, wykonaniu umowy i ochronie roszczeń. Serwis nie monitoruje ani nie nagrywa wnętrza pojazdu. Żadna metoda przesyłania danych przez internet nie daje jednak stuprocentowej gwarancji bezpieczeństwa; o naruszeniu ochrony danych, które mogłoby powodować wysokie ryzyko, poinformujemy Cię zgodnie z RODO.
14. Dzieci
Usługi są przeznaczone dla osób pełnoletnich. Nie zbieramy świadomie danych osób poniżej 16 roku życia; jeśli dowiemy się, że takie dane trafiły do nas, usuniemy je.
15. Zmiany polityki
Politykę aktualizujemy, gdy zmienia się zakres usług, sposób przetwarzania danych lub przepisy. Aktualna wersja jest zawsze dostępna na tej stronie wraz z datą ostatniej zmiany. O istotnych zmianach dotyczących zarejestrowanych klientów poinformujemy także e-mailem.