Polityka prywatności

1. Administrator danych osobowych

Administratorem danych osobowych przetwarzanych w związku z funkcjonowaniem Serwisu jest podmiot prowadzący Serwis pod marką miejski.bike (dalej: „Administrator"). We wszelkich sprawach dotyczących przetwarzania danych osobowych, wykonania praw osób, których dane dotyczą, oraz stosowania niniejszej Polityki, można skontaktować się z Administratorem pod następującym adresem poczty elektronicznej:

Kontakt

hello@miejski.bike

Administrator nie powołał inspektora ochrony danych (IOD), w rozumieniu art. 37 ogólnego rozporządzenia o ochronie danych (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, dalej: „RODO"), ponieważ nie zachodzą przesłanki obligatoryjnego jego powołania. Kontakt we wszystkich sprawach związanych z ochroną danych osobowych realizowany jest za pośrednictwem wskazanego adresu poczty elektronicznej.

2. Zakres Polityki oraz brak kont Użytkowników

W Serwisie nie funkcjonują mechanizmy rejestracji, logowania, kont Użytkowników, formularza kontaktowego, płatności, komentarzy ani panelu profilu. Administrator nie prowadzi bazy imion, nazwisk, numerów telefonów, adresów zamieszkania ani danych kart płatniczych.

Brak konta oraz brak dobrowolnego zbierania danych nie oznacza jednak, że korzystanie z Serwisu pozostaje wolne od jakiegokolwiek technicznego przetwarzania danych. Zakres tego przetwarzania zależy od używanej wersji Serwisu, rodzaju urządzenia, systemu operacyjnego oraz zewnętrznych dostawców usług i został szczegółowo opisany w dalszych postanowieniach Polityki.

Kontakt pod adresem hello@miejski.bike realizowany jest za pośrednictwem programu pocztowego Użytkownika. W przypadku wysłania wiadomości przez Użytkownika, jej treść oraz dane kontaktowe podlegają przetwarzaniu przez operatora skrzynki pocztowej Użytkownika oraz przez Administratora w celu udzielenia odpowiedzi.

3. Cele i podstawy prawne przetwarzania danych

Administrator przetwarza dane osobowe w następujących celach oraz na następujących podstawach prawnych, wynikających z art. 6 RODO:

• zapewnienia prawidłowego funkcjonowania Serwisu, bezpieczeństwa teleinformatycznego oraz analizy technicznej ruchu (w tym obsługi logów hostingu, statystyk odpowiedzi API oraz ochrony przed nadużyciami) — na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na utrzymaniu stabilności, jakości i bezpieczeństwa Serwisu);
• udostępniania funkcji opartych na lokalizacji urządzenia oraz przetwarzania danych analitycznych w aplikacjach mobilnych i na mapie internetowej — na podstawie art. 6 ust. 1 lit. a RODO (dobrowolna zgoda Użytkownika wyrażona w ustawieniach systemu operacyjnego lub przeglądarki, którą można wycofać w każdym momencie);
• obsługi korespondencji przesłanej przez Użytkownika na adres poczty elektronicznej Administratora — na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na udzieleniu odpowiedzi na zapytanie);
• rozpatrywania reklamacji, ustalania, dochodzenia lub obrony roszczeń oraz realizacji obowiązków wynikających z powszechnie obowiązujących przepisów prawa — na podstawie art. 6 ust. 1 lit. c i lit. f RODO.

Podanie jakichkolwiek danych osobowych ma charakter dobrowolny. Odmowa udzielenia zgody na przetwarzanie danych analitycznych lub na dostęp do lokalizacji może skutkować ograniczeniem części funkcji Serwisu, jednak nie pozbawia dostępu do jego podstawowych funkcji.

4. Dane techniczne wynikające z korzystania z sieci Internet

Administrator informuje, że samo nawiązanie połączenia z siecią Internet skutkuje przetwarzaniem określonych danych technicznych. Przeglądarka, system operacyjny, dostawca hostingu, sieć oraz usługi zewnętrzne mogą technicznie przetwarzać w szczególności: adres IP, identyfikator User-Agent, informacje o urządzeniu i systemie operacyjnym, czas żądania oraz dane diagnostyczne.

Administrator nie wykorzystuje tych danych do tworzenia konta ani świadomej identyfikacji osoby fizycznej z imienia i nazwiska. Dane techniczne mogą jednak podlegać przepisom o ochronie danych osobowych, jeżeli pozwalają na pośrednie zidentyfikowanie osoby fizycznej.

5. Lokalizacja

Strona internetowa oraz aplikacje mobilne mogą zainicjować żądanie uzyskania dostępu do lokalizacji urządzenia w celu wyśrodkowania mapy, dopasowania miasta lub prezentacji punktów w najbliższej okolicy. Przekazanie danych o lokalizacji ma charakter fakultatywny i uzależnione jest od wyrażenia zgody w ustawieniach przeglądarki lub systemu operacyjnego.

W aplikacji Android dane o lokalizacji nie są przekazywane do serwera Administratora jako element profilu Użytkownika, a jedynie wykorzystywane lokalnie na urządzeniu do centrowania mapy, sortowania wyników, dopasowania strefy oraz innych funkcji mapowych. Przetwarzanie danych przez system operacyjny, usługę Mapbox, Google Play Services lub usługę geokodowania podlega odrębnym zasadom właściwych dostawców.

W aplikacji iOS dane o lokalizacji pozyskiwane są przy wykorzystaniu uprawnienia „podczas używania aplikacji". Kod analityczny tworzy zdarzenie Firebase Analytics zawierające szerokość i długość geograficzną zaokrągloną do czterech miejsc po przecinku oraz ustawia identyfikator strefy jako właściwość analityczną. Jeżeli analityka iOS jest aktywna w konfiguracji produkcyjnej, wskazane informacje mogą zostać powiązane przez usługę Firebase z technicznymi danymi instancji aplikacji.

Mapa internetowa /mapa wykorzystuje komponent Mapbox GeolocateControl z wysoką dokładnością i w określonych warunkach automatycznie inicjuje żądanie geolokalizacji po załadowaniu strony. Mapa może ponadto zapisywać bieżący widok w fragmencie identyfikatora URL, w związku z czym udostępniony adres URL może zawierać przybliżone współrzędne geograficzne wybranego widoku.

Użytkownik uprawniony jest do odmowy udzielenia uprawnienia lokalizacyjnego. W takim przypadku podstawowe funkcje mapy pozostają dostępne, z wyłączeniem funkcji uzależnionych od informacji o położeniu.

6. Aplikacje mobilne — dostawcy usług i podmioty przetwarzające

Aplikacje mobilne wykorzystują usługi Google/Firebase, Mapbox oraz usługi systemów operacyjnych Android i iOS. Wskazane podmioty działają w charakterze podmiotów przetwarzających w rozumieniu art. 28 RODO lub — w zakresie realizowanym niezależnie — jako odrębni administratorzy. W obecnej wersji Serwisu technicznie występują następujące przepływy danych:

• Firebase Analytics w aplikacji Android — otrzymuje zdarzenia dotyczące wybranej strefy, punktów POI oraz odświeżania danych;
• Firebase Analytics w aplikacji iOS — otrzymuje zdarzenia dotyczące lokalizacji, strefy, wybranych POI, śledzenia lokalizacji, stylu mapy, menu, legendy oraz synchronizacji;
• Firebase Crashlytics — otrzymuje informacje o błędach, logach technicznych oraz danych diagnostycznych urządzenia;
• Firebase Remote Config — przekazuje aplikacji konfigurację mapy oraz częstotliwości odświeżania danych;
• Mapbox Inc. oraz właściwe usługi systemowe Google i Apple — obsługują mapy, dane o lokalizacji, geokodowanie i dane mapowe;
• iOS — przechowuje dane mapy w lokalnej bazie Realm oraz zapisuje ustawienia, ostatnią lokalizację i informację o akceptacji Regulaminu w lokalnym magazynie urządzenia.

Zakres, retencja oraz miejsce przechowywania danych po stronie dostawców uwarunkowane są przyjętą konfiguracją oraz warunkami świadczenia usług przez tych dostawców.

7. Identyfikator techniczny zapytań aplikacji

Aplikacja Android przekazuje do serwera Administratora wartość nagłówka User-Agent zawierającą w szczególności numer wersji aplikacji, identyfikator Firebase Installation ID, wersję systemu Android oraz model urządzenia. Serwer wykorzystuje wskazaną wartość wyłącznie w celu prowadzenia technicznych statystyk endpointów dla żądań poprawnych, nieautoryzowanych oraz błędnych, nie zaś w celu tworzenia konta lub profilu Użytkownika.

Dzienne rekordy statystyczne przeznaczone są do krótkotrwałej agregacji. Po wygenerowaniu raportu rekordy szczegółowe usuwane są przez odpowiedni proces serwerowy; agregaty statystyczne przechowywane są zgodnie z zasadami określonymi w § 9 Polityki.

8. Aplikacje internetowe i pliki cookies

Strona główna oraz Mapa internetowa stanowią dwie odrębne, technicznie niezależne aplikacje internetowe, różniące się zakresem wykorzystywanych bibliotek zewnętrznych oraz sposobem przetwarzania danych. Zasady przetwarzania danych dla każdej z aplikacji określono odrębnie w postanowieniach niniejszej sekcji.

8.1. Strona główna (miejski.bike)

Strona główna nie wykorzystuje własnego systemu kont, formularzy, mechanizmu localStorage ani autorskiej analityki. Strona ładuje jednak zasoby zewnętrzne, w szczególności bibliotekę Mapbox GL JS, zasoby serwisu Mapbox oraz Google Fonts. Zewnętrzni dostawcy oraz dostawca hostingu mogą otrzymywać dane techniczne niezbędne do obsługi żądania, w szczególności adres IP oraz nagłówki żądania HTTP.

8.2. Mapa internetowa (miejski.bike/mapa)

Mapa internetowa stanowi odrębną, historyczną aplikację internetową, niezależną od Strony głównej pod względem kodu źródłowego oraz wykorzystywanych bibliotek zewnętrznych. Aplikacja ta wykorzystuje usługę Google Analytics dostarczaną przez Google Ireland Limited (dalej: „Google"). Skrypt analityczny inicjalizuje pomiar oraz przekazuje do Google zdarzenie odsłony strony. Google Analytics w standardowej konfiguracji wykorzystuje pliki cookies oraz przetwarza w szczególności adres IP, informacje o przeglądarce i urządzeniu, czas wizyty oraz identyfikatory analityczne.

W ramach usług Google Analytics wykorzystywane mogą być w szczególności następujące pliki cookies:

• _ga — służy do rozróżniania Użytkowników; okres przechowywania: do 2 lat;
• _gid — służy do rozróżniania Użytkowników; okres przechowywania: do 24 godzin;
• _gat — służy do ograniczania częstotliwości żądań kierowanych do Google Analytics; okres przechowywania: do 1 minuty.

Użytkownik uprawniony jest do zarządzania plikami cookies za pośrednictwem ustawień własnej przeglądarki, w tym do ich blokowania lub usuwania. Wyłączenie plików cookies może wpływać na funkcjonowanie części elementów Serwisu.

9. Okresy przechowywania danych

• dane mapy, wybrana strefa, ostatnia lokalizacja oraz ustawienia aplikacji — przechowywane lokalnie na urządzeniu Użytkownika, w szczególności w bazie Realm oraz w magazynie UserDefaults, do czasu usunięcia danych aplikacji lub jej odinstalowania;
• dane dziennych statystyk serwera — przechowywane do czasu wykonania procesu agregacji, po którym podlegają usunięciu; agregaty statystyczne przechowywane są przez okres niezbędny do realizacji celu, w którym zostały zgromadzone;
• logi aplikacyjne — przechowywane maksymalnie przez okres 30 dni w konfiguracji podstawowej; logi hostingu, serwera reverse proxy oraz kopie zapasowe mogą podlegać odrębnym okresom przechowywania wynikającym z konfiguracji dostawcy usług;
• dane przetwarzane przez usługi Firebase Analytics, Firebase Crashlytics, Google Analytics, Mapbox, dostawcę hostingu oraz dostawcę usług poczty elektronicznej — przechowywane zgodnie z konfiguracją oraz zasadami wskazanych dostawców; w szczególności w usłudze Firebase Analytics oraz Google Analytics maksymalny okres przechowywania danych zdarzeń wynika z ustawień retencji w panelu administracyjnym danej usługi;
• korespondencja elektroniczna kierowana do Administratora — przechowywana przez okres niezbędny do udzielenia odpowiedzi oraz przez czas ewentualnego dochodzenia lub obrony roszczeń.

10. Przekazywanie danych do państw trzecich

W związku z korzystaniem z usług dostarczanych przez Google LLC (Firebase, Google Analytics), Mapbox Inc. oraz Apple Inc., dane Użytkowników mogą podlegać transferowi do państw znajdujących się poza Europejskim Obszarem Gospodarczym, w szczególności do Stanów Zjednoczonych Ameryki.

Wskazany transfer odbywa się w oparciu o instrumenty legalizujące przekazywanie danych, o których mowa w rozdziale V RODO, w szczególności:

• decyzję wykonawczą Komisji Europejskiej (UE) 2023/1795 z dnia 10 lipca 2023 r. stwierdzającą odpowiedni stopień ochrony danych osobowych w ramach EU–U.S. Data Privacy Framework (DPF) — w odniesieniu do dostawców posiadających certyfikację DPF;
• standardowe klauzule umowne (Standard Contractual Clauses) przyjęte przez Komisję Europejską — w odniesieniu do transferów realizowanych poza mechanizmem DPF.

Szczegółowe informacje dotyczące zasad przekazywania danych osobowych przez wskazanych dostawców znajdują się w ich politykach prywatności oraz warunkach świadczenia usług.

11. Bezpieczeństwo danych

Administrator wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa przetwarzanych danych, adekwatne do zidentyfikowanego ryzyka naruszenia praw lub wolności osób, których dane dotyczą, zgodnie z art. 32 RODO. W szczególności Administrator zapewnia:

• szyfrowanie transmisji danych z wykorzystaniem protokołu HTTPS (TLS);
• ograniczenie dostępu do systemów i danych wyłącznie do osób upoważnionych;
• korzystanie z usług renomowanych dostawców infrastruktury, posiadających uznane certyfikaty bezpieczeństwa (m.in. ISO/IEC 27001 oraz SOC 2);
• bieżące aktualizacje komponentów oprogramowania oraz monitorowanie zdarzeń bezpieczeństwa.

12. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie podejmuje wobec Użytkowników decyzji, które opierają się wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, i wywołują wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływają, w rozumieniu art. 22 RODO.

13. Dane osób poniżej 16 roku życia

Serwis nie jest kierowany do osób poniżej 16 roku życia. Administrator nie zbiera świadomie danych osobowych osób, które nie ukończyły 16 lat. W przypadku powzięcia wiarygodnej informacji, że dane takiej osoby zostały przekazane bez wymaganej zgody rodzica lub opiekuna prawnego, Administrator podejmie niezwłocznie niezbędne działania w celu ich usunięcia.

14. Prawa osób, których dane dotyczą

W zakresie, w jakim Administrator przetwarza dane osobowe Użytkownika, przysługują mu prawa wynikające z RODO, w tym prawo do:

• dostępu do danych oraz uzyskania ich kopii (art. 15 RODO);
• sprostowania danych nieprawidłowych lub uzupełnienia danych niekompletnych (art. 16 RODO);
• usunięcia danych („prawo do bycia zapomnianym") (art. 17 RODO);
• ograniczenia przetwarzania danych (art. 18 RODO);
• wniesienia sprzeciwu wobec przetwarzania danych opartego na art. 6 ust. 1 lit. f RODO (art. 21 RODO);
• przenoszenia danych (art. 20 RODO);
• cofnięcia zgody w dowolnym momencie, jeżeli przetwarzanie odbywa się na podstawie zgody, przy czym cofnięcie zgody pozostaje bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO).

Osobie, której dane dotyczą, przysługuje ponadto prawo wniesienia skargi do organu nadzorczego, którym w Rzeczypospolitej Polskiej jest Prezes Urzędu Ochrony Danych Osobowych z siedzibą pod adresem: ul. Stawki 2, 00-193 Warszawa.

Żądanie w zakresie realizacji powyższych praw należy skierować na adres poczty elektronicznej hello@miejski.bike. Z uwagi na brak kont Użytkowników w Serwisie, do rozpatrzenia żądania niezbędne może być podanie dodatkowych informacji umożliwiających odnalezienie danych, których żądanie dotyczy. Dane przetwarzane niezależnie przez Google, Firebase, Mapbox, Apple, dostawcę hostingu lub dostawcę usług poczty elektronicznej mogą wymagać skierowania żądania bezpośrednio do właściwego administratora.

15. Zmiany Polityki

Polityka może podlegać aktualizacji w związku ze zmianą zakresu świadczonych usług, konfiguracji dostawców zewnętrznych lub powszechnie obowiązujących przepisów prawa. Aktualna data wersji Polityki wskazywana jest w niniejszym dokumencie. Zmiany o istotnym charakterze będą komunikowane Użytkownikom w sposób adekwatny do zakresu wprowadzanych zmian.