Polityka prywatności

Poniżej opisujemy dokładnie, co dzieje się z Twoimi danymi w serwisie OnduRent.pl. Nie ma tu haczyków: nie sprzedajemy danych, nie udostępniamy ich reklamodawcom i nie wysyłamy niezamówionych wiadomości handlowych.

§1. Administrator danych i kontakt

Administratorem Twoich danych osobowych jest [nazwa podmiotu prowadzącego serwis] z siedzibą w [miejscowość, adres], NIP [NIP], REGON [REGON], wpisany do [KRS / CEIDG] (dalej: „Administrator” albo „my”), prowadzący serwis internetowy OnduRent.pl.

Kontakt we wszystkich sprawach dotyczących danych osobowych: kontakt@ondurent.pl lub pisemnie na adres siedziby. Administrator nie wyznaczył inspektora ochrony danych, korespondencję kierowaną na powyższy adres obsługuje bezpośrednio.

Dane przetwarzamy zgodnie z rozporządzeniem RODO (UE 2016/679), ustawą o ochronie danych osobowych oraz ustawą o świadczeniu usług drogą elektroniczną.

§2. Jakie dane zbieramy

Podane przez Ciebie przy zakładaniu konta

• Nick, nazwa, pod którą występujesz publicznie. Wybierasz ją samodzielnie.
• Adres e-mail, logowanie, powiadomienia o rezerwacjach, komunikaty serwisowe, odzyskiwanie hasła, a jeśli się zapiszesz, newsletter.
• Hasło, przechowywane wyłącznie jako skrót kryptograficzny (PBKDF2 SHA-256). Nie znamy Twojego hasła i nie jesteśmy w stanie go odtworzyć.
• Zgoda na newsletter, jeśli zaznaczysz to pole (domyślnie jest puste).
• Logowanie przez Google, jeśli je wybierzesz: Google przekazuje nam imię, nazwisko, adres e-mail i zdjęcie profilowe z Twojego konta Google. Hasła do konta Google nie poznajemy.
• Weryfikacja dwuetapowa, jeśli ją włączysz: sposób (aplikacja uwierzytelniająca albo kod w e-mailu), data włączenia, zaszyfrowany klucz aplikacji uwierzytelniającej oraz skróty kodów zapasowych i kodu wysłanego mailem (ważnego 10 minut). Samych kodów nie zapisujemy. Po wyłączeniu weryfikacji usuwamy te dane.

Podane przed pierwszym wynajmem

• Imię i nazwisko, do umowy najmu, dokumentów sprzedaży, weryfikacji tożsamości i ewentualnych sporów. Prosimy o nie przy pierwszej rezerwacji albo przy pierwszym potwierdzeniu rezerwacji jako właściciel. Nie są widoczne dla innych użytkowników (zob. §4). Przy koncie firmowym z nazwą firmy w umowie występuje firma, więc imienia i nazwiska nie wymagamy.
• Numer telefonu, ustalenie szczegółów odbioru i zwrotu sprzętu. Udostępniamy go drugiej stronie wynajmu po potwierdzeniu rezerwacji i tylko na czas jego trwania. Nie wykorzystujemy go do marketingu.

Konto firmowe

• Nazwa firmy, NIP, adres do faktur, do wystawiania dokumentów sprzedaży.
• Po wpisaniu NIP-u możesz poprosić o pobranie nazwy i adresu z rejestru publicznego. Zapytanie trafia wtedy do Wykazu podatników VAT Ministerstwa Finansów, a jeśli skonfigurowano dostęp, także do CEIDG. Wysyłamy wyłącznie NIP; nie przekazujemy tym rejestrom żadnych Twoich danych osobowych.

Weryfikacja tożsamości

• Weryfikację prowadzi nasz dostawca Authologic, m.in. przez aplikację mObywatel. Authologic pobiera z dokumentu Twoje imię, nazwisko, numer PESEL i datę urodzenia (zakres zależy od metody) i przechowuje je u siebie.
• Nasz serwer odczytuje te dane tylko na chwilę, żeby sprawdzić, czy imię i nazwisko zgadzają się z kontem i czy masz ukończone 18 lat, i ich nie zapisuje. U nas zostaje wynik weryfikacji (potwierdzona / niepotwierdzona), jej data i identyfikator. Gdy przyjmiesz imię i nazwisko z dokumentu, zastępują one dane w koncie.
• Dane przechowywane przez Authologic pobieramy wyłącznie na żądanie sądu, prokuratury lub innego uprawnionego organu albo gdy są niezbędne do ustalenia, dochodzenia lub obrony roszczeń, i odnotowujemy każde takie pobranie. Rok po Twoim ostatnim wynajmie (w razie sporu po jego zakończeniu) zlecamy ich usunięcie. Nie przechowujemy zdjęć dokumentów na swoich serwerach.

Powstające w trakcie korzystania z serwisu

• Ogłoszenia, opisy, zdjęcia, cena, lokalizacja sprzętu podana przez właściciela.
• Rezerwacje i płatności, daty, kwoty, status, dokumenty sprzedaży, saldo portfela i historia wypłat.
• Protokół odbioru i zwrotu, zdjęcia i nagrania stanu sprzętu oraz opis stanu; przy odbiorze także potwierdzenie kodem odbioru.
• Dokumenty Wynajmującego dodane do wynajmu (np. regulamin wypożyczalni, instrukcja obsługi), daty ich otwarcia i podpisania przez Najemcę oraz skrót pliku potwierdzający, którą wersję podpisano.
• Umowa najmu, kiedy najemca otworzył ją do przeczytania i kiedy każda ze stron ją podpisała.
• Wiadomości w czacie, treść, dołączone zdjęcia i czas wysłania.
• Dane do wysyłki, gdy wynajem idzie przesyłką InPost: imię i nazwisko, telefon, adres e-mail oraz adres dostawy albo wybrany paczkomat.
• Wiadomości z formularza kontaktowego, wraz z dołączonymi zdjęciami.
• Program poleceń, gdy działa: kto kogo zaprosił i jaki kredyt przyznaliśmy.
• Newsletter, jeśli się zapiszesz: kiedy i gdzie zgoda została wyrażona (formularz rejestracji albo ustawienia powiadomień), kiedy ją wycofano oraz które wydania newslettera i komunikaty serwisowe do Ciebie wysłaliśmy i z jakim wynikiem.
• Powiadomienia push w aplikacji na Androida: identyfikator urządzenia do ich wysyłki (token Firebase Cloud Messaging).
• Opinie i oceny wraz ze zdjęciami dołączonymi przez oceniającego.
• Ulubione, obserwowane wypożyczalnie, zapisane wyszukiwania, historia wyszukiwań, ostatnio oglądane ogłoszenia.
• Lokalizacja, adres, który sam wpiszesz, oraz, jeśli wyrazisz na to zgodę w przeglądarce, Twoje bieżące położenie użyte do wyszukiwania „blisko mnie”. Zgody możesz w każdej chwili cofnąć w ustawieniach przeglądarki lub telefonu.

Zbierane automatycznie

• Dane techniczne, adres IP, typ przeglądarki i urządzenia, daty logowań, logi błędów i zdarzeń bezpieczeństwa.
• Statystyka odwiedzin, bez plików cookie: z adresu IP i rodzaju przeglądarki (w aplikacji: z losowego numeru uruchomienia) serwer liczy skrót zmieniany codziennie, który pozwala policzyć osoby odwiedzające serwis danego dnia. Samego adresu IP do statystyk nie zapisujemy, a skrótu z różnych dni nie da się ze sobą połączyć. Zapisujemy też, z jakiej strony ktoś przyszedł i które strony otworzył. Gdy w tej samej wizycie zakładasz konto, zapisujemy przy nim samo źródło wejścia (np. wyszukiwarka albo nasza kampania reklamowa), żeby liczyć koszt pozyskania klientów.
• Wyszukiwane frazy, zliczane zbiorczo i bez powiązania z kontem, do listy popularnych wyszukiwań. Pokazujemy tylko frazy wpisane przez wiele osób.

Danych szczególnych kategorii (m.in. o zdrowiu, poglądach, przynależności) nie zbieramy i prosimy, by nie umieszczać ich w opisach ogłoszeń ani w wiadomościach.

§3. Cele i podstawy prawne przetwarzania

Cel	Podstawa prawna
Prowadzenie konta i udostępnianie funkcji serwisu	art. 6 ust. 1 lit. b RODO, wykonanie umowy o świadczenie usług drogą elektroniczną
Pośredniczenie w zawarciu i rozliczeniu umowy najmu, obsługa płatności, kaucji i przesyłek	art. 6 ust. 1 lit. b RODO
Weryfikacja tożsamości, przeciwdziałanie oszustwom i nadużyciom, bezpieczeństwo serwisu	art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes: ochrona użytkowników i mienia
Udostępnienie danych z weryfikacji sądowi, prokuraturze lub innemu uprawnionemu organowi	art. 6 ust. 1 lit. c RODO, obowiązek prawny; przy dochodzeniu roszczeń art. 6 ust. 1 lit. f RODO
Wystawianie dokumentów sprzedaży, księgowość, rozliczenia podatkowe	art. 6 ust. 1 lit. c RODO, obowiązek prawny
Rozpatrywanie reklamacji i sporów, dokumentacja stanu sprzętu	art. 6 ust. 1 lit. b i lit. f RODO, ustalenie i dochodzenie roszczeń
Opinie i oceny budujące zaufanie w serwisie	art. 6 ust. 1 lit. b i lit. f RODO
Powiadomienia e-mail i push o rezerwacjach, wiadomościach i obserwowanych ogłoszeniach	art. 6 ust. 1 lit. b RODO, każdy rodzaj powiadomień można wyłączyć w ustawieniach konta
Komunikaty serwisowe e-mail: zmiany regulaminu i polityki prywatności, bezpieczeństwo konta, przerwy techniczne	art. 6 ust. 1 lit. b RODO, a przy zmianach regulaminu także lit. c (obowiązek poinformowania o zmianie)
Newsletter: nowości w serwisie i porady o wynajmie, w tym informacje handlowe o usługach OnduRent	art. 6 ust. 1 lit. a RODO, zgoda; ta sama zgoda pozwala nam wysyłać informacje handlowe e-mailem (art. 10 ustawy o świadczeniu usług drogą elektroniczną, art. 398 Prawa komunikacji elektronicznej). Cofniesz ją w każdej chwili
Wykazanie, że zgoda na newsletter została wyrażona, i obrona przed roszczeniami	art. 6 ust. 1 lit. c RODO w związku z art. 7 ust. 1 RODO oraz lit. f, prawnie uzasadniony interes: obrona przed roszczeniami
Odpowiedzi na wiadomości z formularza kontaktowego	art. 6 ust. 1 lit. b i lit. f RODO
Statystyka odwiedzin i poprawa działania serwisu	art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes: rozwój serwisu
Zapamiętywanie historii na Twoim urządzeniu (ostatnie wyszukiwania i oglądane ogłoszenia)	art. 6 ust. 1 lit. a RODO, zgoda w oknie „Prywatność na OnduRent”, którą możesz cofnąć w każdej chwili

Podanie nicku, adresu e-mail i hasła jest dobrowolne, ale niezbędne do założenia konta. Imię, nazwisko i numer telefonu są potrzebne do pierwszego wynajmu, bo trafiają do umowy i dokumentów. Bez weryfikacji tożsamości nie można opłacić wynajmu z kaucją od 700 zł. Bez danych firmowych nie wystawimy faktury. Zgoda na newsletter jest dobrowolna: bez niej serwis działa tak samo, a newslettera nie wysyłamy nikomu, kto się na niego nie zapisał.

§4. Co jest widoczne publicznie

To najczęstsze pytanie, więc odpowiadamy wprost.

Dane	Kto je widzi
Nick (a przy koncie firmowym, nazwa firmy)	wszyscy, także niezalogowani
Zdjęcie profilowe, ocena, liczba zakończonych wynajmów, miesiąc założenia konta	wszyscy
Treść wystawionych przez Ciebie opinii wraz ze zdjęciami	wszyscy
Ogłoszenia: opis, zdjęcia, cena i przybliżona lokalizacja sprzętu (pinezka przesunięta o ok. 500 m, chyba że właściciel sam wybrał dokładny punkt)	wszyscy
Imię i nazwisko	nikt poza Administratorem; wykorzystywane do weryfikacji, dokumentów i sporów
Adres e-mail	nikt z użytkowników, kontakt prowadzi się przez czat w serwisie
Numer telefonu	druga strona wynajmu, od potwierdzenia rezerwacji do jego zakończenia (przy sporze, do jego rozstrzygnięcia). Poza tym oknem nie widzi go nikt
Treść czatu	tylko rozmówcy; Administrator sięga po nią wyłącznie przy zgłoszonym sporze lub nadużyciu
Zdjęcia protokołu odbioru i zwrotu	strony danego wynajmu oraz Administrator przy rozpatrywaniu sporu
Dokumenty Wynajmującego dodane do wynajmu	strony danego wynajmu oraz Administrator przy rozpatrywaniu sporu

Dane kontaktowe wpisane w treść ogłoszenia albo opinii staną się publiczne. Prosimy ich tam nie podawać.

§5. Komu powierzamy i przekazujemy dane

Nie sprzedajemy danych i nie udostępniamy ich w celach reklamowych. Korzystamy z dostawców niezbędnych do działania serwisu:

Podmiot	Rola	Zakres
Microsoft Azure	hosting aplikacji, bazy danych i zdjęć	wszystkie dane serwisu oraz diagnostyka (Application Insights: logi błędów, dane techniczne żądań, w tym adres IP); region Polska Centralna
Stripe	płatności, blokada kaucji, wypłaty dla właścicieli	dane transakcji i dane rozliczeniowe; dane karty trafiają wyłącznie do Stripe, nie przechodzą przez nasze serwery
Authologic	weryfikacja tożsamości	imię, nazwisko, numer PESEL i data urodzenia z dokumentu, przechowywane u dostawcy; do nas wraca wynik weryfikacji
Google (Google Workspace)	poczta e-mail serwisu, w tym wysyłka komunikatów serwisowych i newslettera	adres e-mail i treść wiadomości systemowych, komunikatów serwisowych i newslettera oraz korespondencji z formularza kontaktowego
Google (Firebase Cloud Messaging)	powiadomienia push w aplikacji na Androida	identyfikator urządzenia i treść powiadomienia
Google (logowanie przez Google)	logowanie i zakładanie konta, jeśli je wybierzesz	dane konta Google, które Google przekazuje za Twoją zgodą; skrypt Google wczytujemy tylko na stronie logowania i rejestracji
InPost	nadawanie i śledzenie przesyłek, gdy wynajem idzie przesyłką	imię i nazwisko, telefon, adres e-mail oraz adres dostawy albo paczkomat
OpenStreetMap Foundation	mapy i wyszukiwanie adresów	wpisany adres i adres IP przeglądarki, kierowane bezpośrednio z Twojego urządzenia
Ministerstwo Finansów, CEIDG	pobranie danych firmy po NIP-ie; Krajowy System e-Faktur, gdy przepisy wymagają e-faktury	NIP wpisany przez Ciebie; przy e-fakturze dane z faktury
Uprawnione organy	obowiązki prawne	zakres wynikający z przepisów, po otrzymaniu wiążącego żądania

Dostęp do danych mają też osoby obsługujące serwis po naszej stronie, wyłącznie w zakresie niezbędnym do wykonywania obowiązków i pod zobowiązaniem do poufności.

§6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dane serwisu przechowujemy w Unii Europejskiej (Microsoft Azure, region Polska Centralna). Część dostawców może jednak przetwarzać dane poza EOG:

• Stripe i Google (USA): na podstawie decyzji Komisji Europejskiej w sprawie ram ochrony danych UE–USA (Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję;
• OpenStreetMap Foundation (Wielka Brytania): na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych.

Kopię zastosowanych zabezpieczeń udostępnimy na żądanie.

§7. Jak długo przechowujemy dane

Kategoria	Okres
Dane konta	do czasu usunięcia konta, a następnie przez okres przedawnienia roszczeń
Dokumenty sprzedaży i dane rozliczeniowe	5 lat licząc od końca roku, w którym powstał obowiązek podatkowy
Historia rezerwacji i wynajmów	do 6 lat, okres przedawnienia roszczeń
Wiadomości w czacie	12 miesięcy od wysłania, po czym są trwale usuwane automatycznie
Ogłoszenia usunięte przez właściciela	6 miesięcy w stanie ukrytym, po czym są trwale usuwane
Zdjęcia i nagrania protokołu odbioru i zwrotu	12 miesięcy od zakończenia wynajmu, tyle wynosi termin przedawnienia roszczeń o uszkodzenie rzeczy (art. 677 k.c.), po czym są trwale usuwane automatycznie; przy sporze pozostają do jego zakończenia
Treść protokołu, umowa najmu i dokumenty Wynajmującego podpisane przez Najemcę	razem z historią wynajmu, do 6 lat
Wiadomości z formularza kontaktowego	w skrzynce pocztowej przez czas potrzebny do załatwienia sprawy i obrony przed ewentualnymi roszczeniami
Historia zapamiętywana na urządzeniu	do cofnięcia zgody albo wyczyszczenia danych przeglądarki; przechowujemy ją tylko na Twoim urządzeniu
Wynik weryfikacji tożsamości (u nas)	przez okres posiadania konta
Imię, nazwisko, PESEL i data urodzenia z weryfikacji (u Authologic)	rok od Twojego ostatniego wynajmu (gdy nie było wynajmu, od weryfikacji), przy sporze do jego zakończenia; z nieudanej albo niedokończonej weryfikacji 30 dni
Opinie	bezterminowo, w oderwaniu od usuniętego konta, po usunięciu konta pozostają bez powiązania z Twoimi danymi
Logi techniczne i zdarzenia bezpieczeństwa	do 12 miesięcy
Newsletter (wysyłka na Twój adres)	do cofnięcia zgody albo usunięcia konta
Ślad zgody na newsletter (kiedy i gdzie wyrażona, kiedy wycofana)	razem z danymi konta, także po wycofaniu zgody, jako dowód jej wyrażenia
Lista wysłanych wydań newslettera i komunikatów serwisowych	12 miesięcy od wysyłki, po czym jest trwale usuwana automatycznie
Dane przetwarzane na podstawie zgody	do cofnięcia zgody

Usunięcie konta nie kasuje danych, które musimy zachować z mocy prawa (dokumenty księgowe) albo dla obrony przed roszczeniami. Takie dane ograniczamy wyłącznie do tego celu.

§8. Twoje prawa

Wobec Administratora przysługuje Ci prawo do:

• dostępu do danych i otrzymania ich kopii,
• sprostowania danych nieprawidłowych lub uzupełnienia niekompletnych,
• usunięcia danych, o ile nie stoi temu na przeszkodzie obowiązek prawny albo trwający wynajem lub spór,
• ograniczenia przetwarzania,
• przenoszenia danych przetwarzanych na podstawie umowy lub zgody, w ustrukturyzowanym formacie,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją; wobec marketingu bezpośredniego sprzeciw jest bezwarunkowy,
• cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia.

Wniosek złóż na kontakt@ondurent.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; przy sprawach skomplikowanych termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy. Realizacja praw jest bezpłatna.

Część praw zrealizujesz od ręki w ustawieniach konta: zmiana danych, zmiana nicku, wyłączenie poszczególnych powiadomień, wypisanie z newslettera (także linkiem „Wypisz się z newslettera” w każdym wydaniu), usunięcie ogłoszeń oraz pobranie kopii swoich danych w ustrukturyzowanym pliku (JSON). Konto usuniesz samodzielnie w ustawieniach profilu. Dane osobowe znikają wtedy natychmiast, z wyjątkiem tych, które według §7 musimy zachować.

Przysługuje Ci również skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

§9. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.

Kolejność ogłoszeń na liście wyników zależy od wybranego przez Ciebie sortowania, dopasowania do zapytania, odległości i dostępności w wybranym terminie. Właściciel może wykupić wyróżnienie ogłoszenia; takie pozycje są oznaczone napisem „Wyróżnione” i pokazywane wyżej albo w wydzielonych miejscach. Poza tym nie budujemy profili reklamowych ani nie personalizujemy cen.

Na komputerze mogą pojawiać się reklamy firm, zawsze z napisem „Reklama” i nazwą reklamodawcy. Dobieramy je do kategorii i miejscowości oglądanej strony, nie do Ciebie. Reklamodawca nie dostaje żadnych Twoich danych ani nie uruchamia u nas swoich skryptów, a wyświetlenia i kliknięcia liczymy zbiorczo, bez plików cookie.

§10. Pliki cookie i statystyka

Na Twoim urządzeniu zapisujemy to, co niezbędne do działania serwisu: logowanie, Twój wybór w oknie zgody, zabezpieczenia płatności oraz ustawienia wybrane przez Ciebie, np. tryb ciemny. Historię (ostatnio wyszukiwane frazy, ostatnio oglądane ogłoszenia i ostatnio wybrane miasto) zapisujemy wyłącznie za Twoją zgodą, którą zmienisz w każdej chwili.

Nie używamy narzędzi analitycznych ani reklamowych. Odwiedziny liczymy bez plików cookie, jak opisano w §2. Pełny wykaz tego, co zapisujemy, i przycisk zmiany zgody znajdziesz w Polityce cookies.

§11. Bezpieczeństwo danych

• transmisja szyfrowana protokołem TLS,
• hasła przechowywane wyłącznie jako skróty kryptograficzne z solą (PBKDF2 SHA-256, 100 000 iteracji),
• dobrowolna weryfikacja dwuetapowa przy logowaniu (kod z aplikacji uwierzytelniającej albo z e-maila),
• dane kart płatniczych nie trafiają na nasze serwery, obsługuje je Stripe,
• kontrola dostępu do panelu administracyjnego ograniczona do wskazanych kont,
• kopie zapasowe bazy danych,
• automatyczne usuwanie danych po upływie okresów z §7.

Żaden system nie jest odporny na wszystko. Jeśli dojdzie do naruszenia ochrony danych mogącego powodować wysokie ryzyko dla Twoich praw, zawiadomimy Cię bez zbędnej zwłoki, a organ nadzorczy w ciągu 72 godzin.

§12. Dzieci

Serwis jest przeznaczony dla osób pełnoletnich. Nie zbieramy świadomie danych osób poniżej 18. roku życia. Jeśli dowiemy się o takim koncie, usuniemy je wraz z danymi.

§13. Zmiany polityki

Politykę aktualizujemy, gdy zmienia się sposób działania serwisu albo przepisy. O istotnych zmianach poinformujemy z wyprzedzeniem pocztą elektroniczną lub komunikatem w serwisie. Aktualna wersja jest zawsze dostępna pod tym adresem wraz z datą obowiązywania.