Polityka Prywatności

Administrator danych

Współadministratorami danych osobowych przetwarzanych w serwisie INCI Preferences (dalej: „Serwis”), dostępnym pod adresem incipreferences.app, są Łucja Leśna oraz Oliwia Natzke.

Współadministratorzy wspólnie ustalają cele i sposoby przetwarzania danych osobowych oraz ponoszą wspólną odpowiedzialność za zapewnienie zgodności z RODO.

Kontakt w sprawach prywatności

contact@incipreferences.app

Zakres przetwarzanych danych

Serwis przetwarza następujące dane:

• Nazwa użytkownika (login) – podawana przy rejestracji
• Hasło – przechowywane wyłącznie w postaci nieodwracalnego skrótu kryptograficznego (PBKDF2 z SHA256). Nie przechowujemy haseł w postaci jawnej ani zaszyfrowanej odwracalnie i nie mamy możliwości ich odczytania
• Preferencje składnikowe – lista składników oznaczonych jako bezpieczne, umiarkowane lub niebezpieczne
• Lista ulubionych kosmetyków
• Propozycje edycji wpisów – zgłoszona zmiana kosmetyku lub składnika jest zapisywana razem z informacją o zgłaszającym, aby administrator mógł ją zweryfikować
• Adres IP – zapisywany wyłącznie tymczasowo w pamięci podręcznej aplikacji przy nieudanych próbach logowania, w celu ochrony przed atakami siłowymi. Licznik wygasa automatycznie po 5 minutach i nie trafia do bazy danych
• Adres e-mail – opcjonalny, podawany przy rejestracji lub później w panelu profilu. Wykorzystujemy go wyłącznie do wysłania linku resetującego hasło. Nie prowadzimy newslettera i nie wysyłamy na ten adres żadnych innych wiadomości
• Dane techniczne sesji – pliki cookies opisane w punkcie „Pliki cookies”

Serwis nie wymaga podania adresu e-mail, imienia ani nazwiska. Do założenia konta wystarczy nazwa użytkownika i hasło. Konto bez adresu e-mail działa w pełni, ale zapomnianego hasła nie da się wtedy odzyskać.

Cel przetwarzania danych

Dane osobowe są przetwarzane wyłącznie w celu:

• świadczenia usługi analizy składów kosmetyków,
• zapewnienia funkcjonalności spersonalizowanych rekomendacji,
• umożliwienia logowania i zarządzania kontem,
• umożliwienia zresetowania hasła, jeśli użytkownik podał adres e-mail,
• zapewnienia bezpieczeństwa Serwisu, w tym ochrony przed nieuprawnionym dostępem do kont.

Podstawa prawna przetwarzania

• Art. 6 ust. 1 lit. b RODO – przetwarzanie niezbędne do wykonania umowy o świadczenie usług drogą elektroniczną: prowadzenie konta, zapisywanie preferencji i ulubionych, generowanie rekomendacji.
• Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora, polegający na zapewnieniu bezpieczeństwa Serwisu: ograniczanie liczby nieudanych prób logowania i moderacja treści dodawanych przez użytkowników.

Okres przechowywania danych

Dane są przechowywane przez czas korzystania z konta w Serwisie. Usunięcie konta w panelu profilu powoduje trwałe usunięcie z bazy danych: konta użytkownika, profilu preferencji, oznaczeń składników, listy ulubionych oraz zgłoszonych propozycji edycji.

Operacja jest nieodwracalna – nie prowadzimy kopii tych danych po usunięciu konta. Licznik nieudanych logowań powiązany z adresem IP wygasa samoczynnie po 5 minutach.

Prawa użytkownika

W związku z przetwarzaniem danych osobowych przysługuje Ci prawo do:

• dostępu do swoich danych osobowych,
• sprostowania (poprawienia) danych osobowych,
• usunięcia danych – samodzielnie, przez usunięcie konta w panelu profilu,
• ograniczenia przetwarzania danych,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

W celu realizacji powyższych praw prosimy o kontakt na adres contact@incipreferences.app. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania.

Pliki cookies

Serwis wykorzystuje wyłącznie pliki cookies niezbędne do jego działania. Nie stosujemy cookies marketingowych, analitycznych ani reklamowych – w Serwisie nie działa Google Analytics ani żadne inne narzędzie śledzące.

Ponieważ wszystkie powyższe pliki są niezbędne do świadczenia usługi, ich zapisanie nie wymaga zgody użytkownika. Cookies można usunąć lub zablokować w ustawieniach przeglądarki – zablokowanie uniemożliwi jednak zalogowanie się do Serwisu.

Odbiorcy danych

Dane osobowe nie są sprzedawane ani udostępniane podmiotom trzecim w celach własnych tych podmiotów. Powierzamy je wyłącznie dostawcom infrastruktury niezbędnej do działania Serwisu:

• Railway – hosting aplikacji (region: Amsterdam, Holandia),
• Supabase – zarządzana baza danych PostgreSQL (region: Sztokholm, Szwecja),
• Cloudflare – DNS, CDN, ochrona przed atakami DDoS oraz przekierowanie poczty z adresu kontaktowego,
• Google – skrzynka pocztowa, do której trafia korespondencja wysłana na adres kontaktowy Serwisu.

Podmioty te przetwarzają dane wyłącznie na nasze polecenie, w zakresie niezbędnym do świadczenia usług na rzecz Serwisu, i są zobowiązane do zachowania poufności.

Przekazywanie danych poza EOG

Aplikacja i baza danych Serwisu działają na serwerach zlokalizowanych w Unii Europejskiej – odpowiednio w Amsterdamie i w Sztokholmie. Dane konta, preferencji i ulubionych nie opuszczają EOG.

Cloudflare oraz Google, obsługujące odpowiednio warstwę sieciową i korespondencję kierowaną na adres kontaktowy, działają globalnie, w związku z czym dane techniczne oraz treść wiadomości e-mail mogą być przetwarzane również poza Europejskim Obszarem Gospodarczym.

Takie przekazanie odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, stanowiących odpowiednie zabezpieczenie w rozumieniu art. 46 RODO.

Bezpieczeństwo danych

W celu ochrony danych osobowych stosujemy następujące środki techniczne:

• szyfrowanie połączenia protokołem HTTPS/TLS wymuszone dla całego Serwisu,
• przechowywanie haseł w postaci skrótu PBKDF2 z SHA256,
• ochronę formularzy przed atakami CSRF oraz escapowanie treści chroniące przed XSS,
• politykę bezpieczeństwa treści (Content Security Policy),
• ograniczenie liczby nieudanych prób logowania,
• ograniczenie liczby zapytań do API (rate limiting),
• zasadę minimalizacji danych – zbieramy wyłącznie dane niezbędne do działania Serwisu.

Zautomatyzowane decyzje i profilowanie

Rekomendacje kosmetyków oraz oznaczenia kolorystyczne są wyliczane automatycznie, wyłącznie na podstawie preferencji, które użytkownik sam wprowadził. Nie budujemy profili na podstawie zachowania, lokalizacji ani danych z innych serwisów.

Przetwarzanie to nie wywołuje wobec użytkownika skutków prawnych ani nie wpływa na niego w podobnie istotny sposób w rozumieniu art. 22 RODO.

Dane wprowadzane przez użytkowników

Użytkownicy mogą dodawać do Serwisu informacje o kosmetykach: nazwę, markę i skład. Treści te są dostępne publicznie dla wszystkich odwiedzających i nie są powiązane z publicznie widocznym autorem wpisu.

Prosimy o niewprowadzanie w tych polach jakichkolwiek danych osobowych – ani własnych, ani dotyczących innych osób.

Ograniczenie odpowiedzialności

Zmiany w Polityce Prywatności

Zastrzegamy sobie prawo do zmian w niniejszej Polityce Prywatności. O istotnych zmianach użytkownicy zostaną poinformowani poprzez ogłoszenie w Serwisie. Data ostatniej aktualizacji jest podana na początku dokumentu.

Kontakt

W sprawach dotyczących ochrony danych osobowych oraz niniejszej Polityki Prywatności prosimy o kontakt:

E-mail

contact@incipreferences.app

Adres Serwisu

incipreferences.app