Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Mateusz Przybysz, osoba fizyczna, adres do korespondencji: Skrzyniec 49, 24-200 Bełżyce. Kontakt w sprawach danych: kontakt@z-dykty.pl.

2. Dane użytkowników Serwisu

Dane osobowe użytkowników przetwarzamy tylko wtedy, gdy założysz konto:

• adres e-mail – identyfikacja konta i logowanie;
• „Twoja gmina" (nazwa i identyfikator) – synchronizacja wyboru między urządzeniami;
• przy logowaniu przez Google – podstawowe dane konta Google (e-mail, identyfikator), przekazywane w zakresie niezbędnym do uwierzytelnienia;
• jeśli włączysz zabezpieczenia: dane weryfikacji dwuetapowej (TOTP) oraz klucz publiczny passkey (WebAuthn) – klucz prywatny nigdy nie opuszcza Twojego urządzenia;
• data i wersja zaakceptowanego regulaminu (ślad zgody).

Bez konta nie zbieramy danych osobowych o Tobie – preferencje (motyw, „moja gmina") zostają wyłącznie w Twojej przeglądarce (localStorage).

Osobną kategorią są dane osób, o których Serwis informuje – posłów, radnych, stron umów z podmiotami publicznymi. Zasady ich publikacji opisuje pkt 8.

3. Pomiar ruchu – statystyki bez zgody

Żeby wiedzieć, które strony są czytane i co poprawiać, prowadzimy własny, anonimowy pomiar odwiedzin. Jest tak zaprojektowany, żeby nie identyfikował osób – dlatego nie prosimy o zgodę i nie blokujemy go banerem.

Co zapisujemy: adres odwiedzonej strony, host strony odsyłającej, zgrubną klasę urządzenia (telefon / tablet / komputer), kod kraju oraz techniczny odcisk opisany niżej.

Adres strony odsyłającej: gdy wejście przyszło z serwisu społecznościowego z naszej listy (m.in. Facebook, X, TikTok, Instagram, Reddit, Wykop, LinkedIn, YouTube), zapisujemy też adres konkretnego wpisu – bo tylko tak wiemy, który post kieruje do nas ludzi. Nigdy nie zapisujemy tego, co stoi w adresie po znaku zapytania, więc frazy wpisane w wyszukiwarkę ani tokeny z adresu nie trafiają do naszej bazy. Przy wszystkich pozostałych witrynach zostaje sama domena, bez adresu podstrony.

Czego nie zapisujemy: Twojego adresu IP ani identyfikatora przeglądarki (user-agent). Serwer używa ich wyłącznie w pamięci, żeby wyliczyć skrót – nie trafiają do żadnej tabeli ani do logów. Nie zapisujemy też niczego na Twoim urządzeniu: żadnego cookie, żadnego localStorage.

Odcisk techniczny powstaje przez zaszyfrowanie (funkcją skrótu) adresu IP i przeglądarki razem z sekretem losowanym co dobę. Sekret kasujemy po 48 godzinach – po tym czasie odcisku nie da się powiązać z żadnym urządzeniem, również nam. Odcisk zmienia się każdej doby sam z siebie, więc nie pozwala śledzić powracających odwiedzin.

Roboty wyszukiwarek i asystentów AI: wpuszczamy je świadomie (patrz robots.txt) i liczymy ich wizyty, żeby wiedzieć, które treści są przez nie czytane. Do bazy trafia wyłącznie nazwa robota (np. GPTBot) i wzorzec adresu (np. „karta gminy"), nigdy surowy identyfikator przeglądarki ani adres IP. Ten licznik dotyczy wyłącznie automatów – ruch ludzi nie jest w nim ujmowany w żaden sposób.

Jak długo: pojedyncze zdarzenia przechowujemy maksymalnie 13 miesięcy, po czym zostają wyłącznie zbiorcze liczby dzienne, których nie da się odnieść do osoby.

Możesz go wyłączyć – przełącznik „Pomiar ruchu" w ustawieniach cookies. To realizacja prawa sprzeciwu z art. 21 RODO.

To jest cały nasz pomiar odwiedzin. Do 4 sierpnia 2026 r. obok niego działała druga, głębsza analityka (PostHog): trwały identyfikator, nagrania sesji, mapy kliknięć i ścieżki pojedynczych osób, uruchamiane za zgodą. Usunęliśmy ją w całości – w Twojej przeglądarce nie działa już żaden zewnętrzny skrypt analityczny, a nagrania i profile zebrane wcześniej zostały skasowane. Nie da się tego włączyć z powrotem przełącznikiem; wymagałoby to zmiany serwisu i tej polityki.

Jeśli masz konto: zapisujemy dodatkowo jeden bit na dobę – że tego dnia korzystałeś z Serwisu na swoim koncie. Bez godziny, bez adresu strony, bez urządzenia i bez adresu IP: sama data i identyfikator konta. Służy to wyłącznie do policzenia, ilu użytkowników wraca (statystyka zbiorcza) – nie budujemy z tego historii przeglądania. Te zapisy kasujemy po 400 dniach, a przy usunięciu konta znikają natychmiast razem z nim. Wyłączenie „Pomiaru ruchu" wyłącza także ten zapis. Podstawa: art. 6 ust. 1 lit. f RODO – rozwój Serwisu.

Osobna sprawa: zgłoszenia błędów. Gdy strona się wysypie, wysyłamy sobie opis błędu (nazwa, komunikat, ślad wykonania, adres strony) – bez identyfikatora i bez treści, którą wpisałeś. Robi to nasz serwer, nie skrypt w przeglądarce, więc nic nie zapisuje się na Twoim urządzeniu. Podstawą jest art. 6 ust. 1 lit. f RODO – utrzymanie sprawnego serwisu.

4. Podstawa prawna

• art. 6 ust. 1 lit. b RODO – świadczenie usługi konta na Twoje żądanie;
• art. 6 ust. 1 lit. a RODO – zgoda (zapisy na Twoim urządzeniu, które nie są niezbędne: licznik pokazów naszych banerów i wariant testu; w przyszłości cookies marketingowe);
• art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes: bezpieczeństwo i utrzymanie Serwisu (w tym zgłoszenia błędów z pkt 3), pomiar ruchu opisany w pkt 3. W zakresie, w jakim odcisk techniczny przestaje być powiązywalny (po skasowaniu dobowego sekretu), dane te przestają być danymi osobowymi i RODO ich nie obejmuje.
• dla danych publikowanych w Serwisie (osoby pełniące funkcje publiczne, strony umów z podmiotami publicznymi) – art. 85 RODO i art. 2 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (działalność redakcyjna), a w zakresie nieobjętym tym wyłączeniem art. 6 ust. 1 lit. f RODO; szczegóły w pkt 8.

5. Odbiorcy i procesorzy

Dane konta oraz statystyki ruchu przechowujemy w infrastrukturze Supabase (uwierzytelnianie i baza danych). Serwis hostuje Vercel. Logowanie przez Google realizuje Google Ireland Ltd. Ochronę przed botami (CAPTCHA) zapewnia Cloudflare. Zgłoszenia błędów przyjmuje PostHog na serwerach w Unii Europejskiej – wyłącznie zgłoszenia błędów i wyłącznie wysyłane z naszego serwera; od 4 sierpnia 2026 r. nie przekazujemy tam żadnych danych o Twoich odwiedzinach. Podmioty te przetwarzają dane jako nasi dostawcy, na podstawie odpowiednich umów powierzenia.

6. Okres przechowywania

Dane konta przechowujemy do czasu jego usunięcia przez Ciebie lub zgłoszenia żądania usunięcia. Po usunięciu konta dane są kasowane, o ile przepisy nie wymagają inaczej. Pojedyncze zdarzenia pomiaru ruchu – maksymalnie 13 miesięcy; dobowy sekret służący do wyliczenia odcisku – 48 godzin; dobowy zapis korzystania z konta – 400 dni. Po tych terminach zostają wyłącznie zbiorcze statystyki dzienne, niepowiązywalne z osobą.

7. Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu, a także prawo do cofnięcia zgody i wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Żądania kieruj na kontakt@z-dykty.pl.

Sprzeciw wobec pomiaru ruchu (pkt 3) możesz zgłosić od ręki, bez pisania do nas – wystarczy wyłączyć przełącznik „Pomiar ruchu" w ustawieniach cookies.

8. Osoby opisywane w Serwisie – klauzula informacyjna

Serwis publikuje informacje o działaniach władzy i wydatkach publicznych, więc pojawiają się w nim dane osób, których nie dostaliśmy od nich samych – pochodzą z jawnych rejestrów państwowych. Ta sekcja jest klauzulą informacyjną (art. 14 RODO) dla tych osób.

Kogo dotyczy: osób pełniących funkcje publiczne (posłowie, senatorowie, europosłowie, radni, wójtowie, burmistrzowie, prezydenci miast), kandydatów w wyborach, osób, których oświadczenia majątkowe są jawne z mocy ustawy, oraz przedsiębiorców – w tym osób prowadzących jednoosobową działalność gospodarczą – będących stroną umów z podmiotami publicznymi albo wykonawcami zamówień publicznych.

Jakie dane i skąd: imię i nazwisko, pełniona funkcja lub mandat, przynależność (klub, komitet), okręg, treść jawnych dokumentów (głosowania, interpelacje, oświadczenia majątkowe w ustawowym zakresie jawności), firma przedsiębiorcy oraz przedmiot i kwota umowy z podmiotem publicznym. Źródłami są wyłącznie rejestry i serwisy urzędowe – m.in. Kancelaria Sejmu i Kancelaria Senatu, Parlament Europejski, Państwowa Komisja Wyborcza, Centralny Rejestr Umów, Biuletyn Zamówień Publicznych, Krajowy Rejestr Sądowy, Biuletyny Informacji Publicznej i dzienniki urzędowe. Przy publikowanych liczbach linkujemy dokument źródłowy.

Po co i na jakiej podstawie: celem jest informowanie opinii publicznej o działalności organów władzy i o wydatkowaniu środków publicznych – działalność redakcyjna w rozumieniu art. 85 RODO i art. 2 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych. W zakresie, w jakim to wyłączenie nie ma zastosowania, podstawą jest art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes polegający na jawności życia publicznego i społecznej kontroli wydatków publicznych.

Czego nie publikujemy: adresów zamieszkania ani miejsc położenia nieruchomości z oświadczeń majątkowych (usuwamy je także wtedy, gdy urząd tego nie zrobił), numerów PESEL, prywatnych danych kontaktowych. Odczyt maszynowy oświadczenia zawsze stoi obok skanu źródłowego, a pozycje odczytane niepewnie są oznaczone i nie wchodzą do statystyk.

Jak długo: przez czas, w którym informacja ma znaczenie dla kontroli społecznej – co do zasady przez okres pełnienia funkcji oraz okresy jawności przewidziane ustawami. Zasadność dalszej publikacji materiałów archiwalnych przeglądamy okresowo.

Twoje prawa: możesz żądać sprostowania (wskaż błąd – poprawiamy odczyt i pokazujemy skan źródłowy), usunięcia danych (art. 17 RODO – rozpatrujemy indywidualnie, a ewentualna odmowa zawsze wskazuje podstawę, np. ustawową jawność informacji albo cel redakcyjny), zgłosić sprzeciw oraz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych. Kontakt: kontakt@z-dykty.pl.

Dlaczego nie zawiadamiamy listownie: rejestry, z których korzystamy, nie zawierają adresów ani innych danych kontaktowych opisywanych osób, więc indywidualne zawiadomienie nie jest możliwe. Tę funkcję pełni niniejsza, publicznie dostępna klauzula (art. 14 ust. 5 lit. b RODO).

9. Pliki cookies

Zasady stosowania plików cookies i zarządzania zgodami opisuje osobna Polityka cookies.