DOKUMENTY

Polityka prywatności

Informacje o tym, jakie dane są przetwarzane, w jakim celu i jakie prawa przysługują użytkownikom.

Ostatnia aktualizacja: 18 września 2026 r.

Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych użytkowników serwisu tattooersz.pl oraz osób kontaktujących się w sprawie projektu lub rezerwacji sesji tatuażu.

1. Administrator danych osobowych

Administratorem danych osobowych jest:
Svitlana Zozulia
jednoosobowa działalność gospodarcza, skrócona nazwa: SZ
adres: al. Kościuszki Tadeusza, gen. 80/82, piętro 2, 90-437 Łódź
NIP: 7252339552
REGON: 52747597900000
e-mail: tattooersz@gmail.com

2. Zakres przetwarzanych danych

W zależności od sposobu korzystania z serwisu mogą być przetwarzane:

  • Dane podane w formularzu: imię, adres e-mail, opcjonalnie numer telefonu lub nazwa profilu Instagram, miejsce planowanego tatuażu na ciele, orientacyjny rozmiar, opis pomysłu, preferowany termin oraz inne informacje wpisane przez użytkownika.
  • Załączniki: przesłane zdjęcia, inspiracje, szkice lub inne pliki graficzne (do 10 plików). Przed wysłaniem zdjęcia są zmniejszane i kompresowane bezpośrednio w przeglądarce użytkownika — bez udziału zewnętrznych usług. Załączniki mogą zawierać wizerunek użytkownika lub inne dane widoczne na fotografii.
  • Dane techniczne: adres IP, rodzaj urządzenia, system operacyjny, przeglądarka, rozdzielczość ekranu, przybliżona lokalizacja, data i czas wizyty, adres strony odsyłającej oraz informacje zapisane w logach serwera.
  • Dane o aktywności: odsłony strony, źródła ruchu (w tym parametry kampanii i identyfikatory kliknięć reklam), przewinięcia strony, kliknięcia przycisków i linków zewnętrznych, korzystanie z portfolio i FAQ, wybrany sposób kontaktu, rozpoczęcie korzystania z formularza oraz jego skuteczne przesłanie.
  • Dane z korespondencji: informacje przekazane w wiadomościach e-mail, na Instagramie, Facebooku, Messengerze lub przez inne używane kanały kontaktu.
  • Dane autorów opinii: imię i nazwisko (lub nazwa profilu) oraz treść i data opinii, które klientki opublikowały w profilu firmy w Google — prezentowane w sekcji z opiniami.

Proszę nie przesyłać dokumentów tożsamości, danych finansowych, dokumentacji medycznej ani innych danych szczególnie chronionych, jeżeli nie jest to niezbędne do obsługi zapytania.

3. Cele i podstawy prawne przetwarzania

  • Obsługa zapytania, konsultacja i rezerwacja (w tym wysłanie automatycznego potwierdzenia przyjęcia zgłoszenia): art. 6 ust. 1 lit. b RODO – podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy oraz wykonanie umowy.
  • Realizacja usługi i rozliczenia: art. 6 ust. 1 lit. b oraz lit. c RODO – wykonanie umowy i realizacja obowiązków prawnych, w tym podatkowych i księgowych.
  • Bezpieczeństwo serwisu, logi techniczne i przeciwdziałanie nadużyciom (w tym ochrona formularza — sekcja 5): art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora polegający na ochronie strony, danych i infrastruktury.
  • Archiwizacja korespondencji i ochrona przed roszczeniami: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora.
  • Ustalenie źródła zapytania i statystyka zgłoszeń (informacja o źródle ruchu dołączana do wysłanego formularza oraz rejestr zgłoszeń bez danych identyfikujących — sekcje 4 i 9): art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora polegający na ocenie skuteczności działań promocyjnych.
  • Podstawowy pomiar bez plików cookies (ograniczone sygnały wysyłane przez tagi Google przy braku zgody — sekcja 6): art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora polegający na zbiorczym pomiarze ruchu i skuteczności reklam.
  • Prezentowanie opinii klientek: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora polegający na przedstawieniu publicznie dostępnych opinii o usługach.
  • Analityka strony (Google Analytics 4 z plikami cookies, Microsoft Clarity): art. 6 ust. 1 lit. a RODO – zgoda udzielona w centrum ustawień cookies (kategoria analityczna).
  • Pomiar reklam, remarketing i tworzenie grup odbiorców (Google Ads, Meta Pixel): art. 6 ust. 1 lit. a RODO – zgoda na technologie marketingowe.

Zaznaczenie checkboxa przy formularzu stanowi potwierdzenie zapoznania się z Polityką prywatności. Podstawą przetwarzania danych niezbędnych do obsługi zapytania jest przede wszystkim podjęcie działań przed zawarciem umowy, a nie sama zgoda na treść polityki.

4. Formularz kontaktowy, hosting i poczta e-mail

Formularz kontaktowy jest obsługiwany przez własny skrypt PHP (send.php) wykorzystujący bibliotekę PHPMailer, uruchamiany na serwerze hostingowym serwisu. Dane wpisane w formularzu oraz przesłane załączniki nie są przekazywane do żadnej zewnętrznej usługi formularzowej — skrypt wysyła je wiadomością e-mail przez serwer poczty wychodzącej administratora.

Dostawcą hostingu strony oraz serwera poczty wychodzącej jest SiteGround Spain S.L. ( C/ Aragón 264, 5-2, 08007 Barcelona, Hiszpania; operator marki SiteGround) wraz ze spółką grupy SiteGround Hosting EOOD (Sofia, Bułgaria), która prowadzi infrastrukturę techniczną. Dane przesyłane przez formularz przechodzą przez infrastrukturę SiteGround; serwer zapisuje również standardowe logi (m.in. adres IP, datę i czas, adres żądanej strony, dane przeglądarki).

Wiadomość z formularza (wraz z załącznikami i informacją o źródle ruchu — sekcja 9) trafia na skrzynkę administratora tattooersz@gmail.com w usłudze Gmail (Google Ireland Limited). Dalsza korespondencja zwrotna prowadzona jest z tego adresu. Na adres e-mail podany w formularzu wysyłane jest automatyczne potwierdzenie przyjęcia zgłoszenia z kopią przesłanych informacji (imię, miejsce na ciele, rozmiar, opis pomysłu, preferowany termin) — bez ponownego załączania plików.

Po skutecznym wysłaniu formularza serwer dopisuje jeden wiersz do rejestru zgłoszeń przechowywanego poza publicznym katalogiem strony. Rejestr zawiera wyłącznie: datę i godzinę zgłoszenia, adres strony, na którą użytkownik wszedł (bez parametrów), parametry kampanii utm_source, utm_medium i utm_campaign oraz informację „tak/nie”, czy link zawierał identyfikator kliknięcia reklamy Google lub Meta. Rejestr nie zawiera imienia, adresu e-mail, treści wiadomości, adresu IP ani wartości identyfikatorów kliknięć i służy wyłącznie do porównania liczby zapytań ze statystykami kampanii.

Więcej informacji: polityka prywatności SiteGround.

Formularz nie powinien być wykorzystywany do przesyłania danych, które nie są potrzebne do wyceny, konsultacji lub przygotowania projektu.

5. Ochrona formularza — honeypot, ograniczenie liczby zgłoszeń i reCAPTCHA

W celu ochrony formularza przed nadużyciami, spamem i automatycznymi botami stosowane są trzy mechanizmy:

  • Honeypot: ukryte pole formularza, niewidoczne dla użytkownika, wypełniane wyłącznie przez zautomatyzowane skrypty;
  • Ograniczenie liczby zgłoszeń (rate limiting) i ochrona przed podwójnym wysłaniem: serwer odrzuca zbyt częste próby wysłania formularza z tego samego adresu IP (więcej niż 3 w ciągu 10 minut lub 15 w ciągu doby) oraz nie wysyła ponownie identycznego zgłoszenia w ciągu 10 minut. W tym celu w pliku technicznym na serwerze zapisywany jest jednokierunkowy skrót (hash SHA-256) adresu IP wraz z godzinami prób, a przy wysłaniu — skrót danych zgłoszenia. Adres IP nie jest zapisywany w postaci jawnej, a znaczniki czasu starsze niż 24 godziny są pomijane i usuwane przy kolejnej próbie wysłania. Podstawą prawną jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora w zapewnieniu bezpieczeństwa serwisu);
  • Google reCAPTCHA v3: usługa oceny ryzyka „człowiek lub bot”, dostarczana przez Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia), a poza EOG przez Google LLC (USA). Skrypt reCAPTCHA ładowany jest dopiero po rozpoczęciu interakcji z formularzem i przy jego wysyłaniu; przeglądarka kontaktuje się wówczas z infrastrukturą Google i może przekazywać informacje takie jak adres IP, dane przeglądarki, rodzaj urządzenia, liczbę i sposób interakcji (ruch myszy, kliknięcia, czas na stronie) oraz identyfikatory techniczne (m.in. plik cookie _GRECAPTCHA). reCAPTCHA v3 działa w tle, w sposób niewidoczny — nie wyświetla żadnego wyzwania graficznego, lecz przypisuje każdemu wysłaniu ocenę wiarygodności (score). Serwer weryfikuje otrzymany token w usłudze Google, przekazując przy tym adres IP nadawcy, i na tej podstawie decyduje o przyjęciu zgłoszenia.

Korzystanie z reCAPTCHA jest niezbędne do bezpiecznego przesłania formularza oraz ochrony przed spamem i nadużyciami, a jego podstawą prawną jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora w zapewnieniu bezpieczeństwa serwisu i przeciwdziałaniu automatycznym nadużyciom). Dane mogą być przekazywane do Google LLC w USA — zob. sekcja 12. Szczegółowe informacje o przetwarzaniu danych przez Google: Polityka prywatności Google oraz Warunki korzystania z usług Google.

6. Google Analytics 4, Google Tag Manager, Google Ads i Microsoft Clarity

Serwis korzysta z Google Tag Manager oraz Google Analytics 4 dostarczanych przez Google Ireland Limited. Identyfikator kontenera Google Tag Manager: GTM-W2SSHL6F. Identyfikator usługi Google Analytics: G-63Y8Q96TDP.

Google Analytics służy do analizy ruchu, źródeł odwiedzin i sposobu korzystania z serwisu. Rejestrowane mogą być między innymi odsłony, przewinięcia strony, kliknięcia CTA i linków zewnętrznych, otwarcia portfolio, działania w FAQ, rozpoczęcie formularza oraz skuteczne przesłanie zapytania. Google Analytics 4 nie zapisuje adresów IP; przybliżona lokalizacja jest ustalana na ich podstawie w momencie zbierania danych. Dane zdarzeń i użytkowników są przechowywane w Google Analytics przez 14 miesięcy (okres ten liczony jest od nowa przy kolejnej aktywności tego samego użytkownika). Adresy e-mail przypadkowo zawarte w adresach stron są automatycznie usuwane przed zapisaniem danych.

Google Consent Mode v2 — działanie tagów przed wyrażeniem zgody

Serwis korzysta z Google Consent Mode v2. Domyślnie wszystkie zgody (analytics_storage, ad_storage, ad_user_data, ad_personalization) są ustawione na „odmowa”. Tagi Google (Google Analytics 4, Google Ads wraz z łącznikiem konwersji) są wczytywane przy każdej wizycie, ale do czasu wyrażenia zgody działają w trybie ograniczonym: nie zapisują ani nie odczytują plików cookies i wysyłają do Google wyłącznie ograniczone sygnały bez identyfikatorów zapisanych na urządzeniu (np. informację o odsłonie lub konwersji, typ przeglądarki, stronę). Identyfikatory kliknięć reklam są w takich sygnałach usuwane (ustawienie ads_data_redaction), a identyfikator kliknięcia reklamy może być przekazywany między podstronami serwisu w adresie URL zamiast w pliku cookie (ustawienie url_passthrough). Google wykorzystuje te sygnały do tworzenia zagregowanych statystyk i modelowania konwersji. Podstawą prawną jest art. 6 ust. 1 lit. f RODO; użytkownik może wnieść sprzeciw, pisząc na adres administratora, a także ograniczyć te sygnały ustawieniami przeglądarki lub rozszerzeniami blokującymi skrypty.

Po wyrażeniu zgody analitycznej Google Analytics zapisuje pliki cookies i mierzy wizyty w pełnym zakresie. Po wyrażeniu zgody marketingowej działają dodatkowo funkcje reklamowe opisane poniżej.

Google Ads, łącznik konwersji i ulepszone konwersje

Serwis korzysta z Google Ads (Google Ireland Limited), identyfikator konta: AW-18242422930. Google Ads służy do pomiaru konwersji (skutecznego przesłania zapytania z formularza) oraz — po wyrażeniu zgody marketingowej — do remarketingu. Konto Google Analytics 4 jest połączone z kontem Google Ads (z włączoną personalizacją reklam), co pozwala wykorzystywać grupy odbiorców z Google Analytics w kampaniach. Po wyrażeniu zgody marketingowej funkcja Conversion Linker (łącznik konwersji) zapisuje identyfikator kliknięcia reklamy (gclid) we własnych plikach cookies serwisu (między innymi _gcl_au, _gcl_aw), aby przypisać zapytanie do właściwej reklamy; bez tej zgody pliki te nie są zapisywane (sygnał ad_storage).

W ramach Google Ads działa również funkcja ulepszonych konwersji (Enhanced Conversions). Po skutecznym przesłaniu formularza kontaktowego adres e-mail podany przez użytkownika jest przekazywany do tagu Google w przeglądarce, który normalizuje go i haszuje (SHA-256), a następnie wysyła do Google Ads wyłącznie w postaci zaszyfrowanej (hash) w celu dokładniejszego przypisania konwersji do kliknięcia reklamy. Google nie otrzymuje adresu e-mail w postaci jawnej. Dane te są wysyłane wyłącznie po wyrażeniu zgody marketingowej (Google Consent Mode v2 — sygnał ad_user_data); podstawą prawną jest art. 6 ust. 1 lit. a RODO (zgoda). Dane w postaci zaszyfrowanej mogą być przekazywane do Google LLC w USA — zob. sekcja 12.

Google Signals i tożsamość w raportach

W Google Analytics 4 włączona jest funkcja Google Signals. Po wyrażeniu zgody analitycznej i marketingowej, w przypadku użytkowników zalogowanych na koncie Google, którzy włączyli w swoim koncie personalizację reklam, Google może powiązać wizyty z kontem Google w celu:

  • udostępnienia zbiorczych danych demograficznych (przedziały wiekowe, płeć) oraz zainteresowań,
  • tworzenia grup odbiorców obejmujących różne urządzenia tego samego użytkownika, wykorzystywanych następnie w remarketingu Google Ads.

W raportach Google Analytics 4 stosowana jest tożsamość na podstawie urządzenia — użytkownicy są rozróżniani według identyfikatora zapisanego w pliku cookie przeglądarki, bez łączenia wizyt z różnych urządzeń. Dane z Google Signals administrator widzi wyłącznie w postaci zagregowanej — nigdy jako informacje pozwalające zidentyfikować konkretną osobę. Podstawą prawną jest art. 6 ust. 1 lit. a RODO (zgoda), którą można w każdej chwili wycofać za pomocą przycisku Cookies dostępnego na stronie. Niezależnie od ustawień serwisu użytkownik może wyłączyć personalizację reklam po stronie Google w Moim centrum reklam Google oraz zarządzać danymi swojego konta w ustawieniach danych i prywatności konta Google.

W ustawieniach konta Google Analytics włączone jest udostępnianie danych Google w celu ulepszania produktów i usług Google, anonimowych analiz porównawczych oraz pomocy technicznej — w tym zakresie Google korzysta z danych zgodnie z własnymi zasadami. Więcej informacji: Polityka prywatności Google oraz informacja o korzystaniu przez Google z danych ze stron partnerów.

Microsoft Clarity

Po wyrażeniu zgody analitycznej serwis korzysta z Microsoft Clarity dostarczanego przez Microsoft Ireland Operations Limited. Skrypt Clarity nie jest wczytywany przed wyrażeniem tej zgody. Clarity tworzy mapy cieplne oraz nagrania sesji (ruch kursora, przewijanie, kliknięcia) w celu ulepszania strony i ułatwienia kontaktu; serwis przekazuje do Clarity także nazwy wybranych etapów kontaktu (np. rozpoczęcie lub wysłanie formularza, kliknięcie kanału kontaktu) — bez treści formularza. Współpracujemy w tym zakresie z Microsoft Clarity i Microsoft Advertising; dane o korzystaniu z serwisu są zbierane przy użyciu własnych plików cookies serwisu oraz plików cookies podmiotów trzecich i służą do optymalizacji strony, bezpieczeństwa i przeciwdziałania nadużyciom, a po wyrażeniu zgody marketingowej — także do celów reklamowych. Clarity jest połączony z kontem Google Analytics 4 i Google Ads serwisu. Dane wpisywane w pola formularza są maskowane w przeglądarce i nie są przekazywane do Microsoft. Nagrania sesji są przechowywane do 30 dni, zbiorcze mapy cieplne i statystyki do 13 miesięcy. Clarity może używać plików _clck i _clsk, a po wyrażeniu zgody marketingowej również identyfikatorów reklamowych Microsoft (np. MUID). Podstawą prawną jest art. 6 ust. 1 lit. a RODO (zgoda), którą można w każdej chwili wycofać w centrum ustawień cookies. Dane mogą być przekazywane do Microsoft Corporation w USA — zob. sekcja 12. Więcej informacji: Oświadczenie o ochronie prywatności Microsoft.

7. Meta Pixel

Po uzyskaniu zgody marketingowej serwis korzysta z Meta Pixel dostarczanego przez Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlandia). Identyfikator piksela: 1478184844108104. Bez zgody marketingowej skrypt Meta Pixel nie jest wczytywany.

Meta Pixel umożliwia pomiar odsłon strony, kliknięć, kontaktów, przeglądania portfolio, rozpoczęcia formularza i skutecznego wysłania zapytania. Wraz ze zdarzeniami Meta otrzymuje m.in. adres odwiedzanej strony, adres IP, dane przeglądarki i identyfikatory zapisane w plikach cookies (np. _fbp, _fbc). Dane mogą być używane do mierzenia skuteczności reklam, tworzenia grup odbiorców, remarketingu oraz optymalizacji kampanii.

W zakresie zbierania danych za pomocą Meta Pixel i ich przekazania do Meta administrator i Meta Platforms Ireland Limited są współadministratorami (art. 26 RODO) na zasadach dodatku Meta dla administratorów (Controller Addendum). Za dalsze przetwarzanie danych po ich otrzymaniu odpowiada Meta. Żądania dotyczące danych przetwarzanych przez Meta można kierować bezpośrednio do Meta lub do administratora.

Funkcja automatycznego oraz ręcznego zaawansowanego dopasowywania Meta jest obecnie wyłączona (piksel działa z ustawieniem autoConfig = false). Oznacza to, że dane wpisane w formularzu, takie jak adres e-mail, imię i nazwisko lub numer telefonu, nie są normalizowane, szyfrowane ani przekazywane do Meta w celu dopasowania zdarzeń. Jeżeli funkcja ta zostanie w przyszłości włączona, niniejsza polityka zostanie odpowiednio zaktualizowana.

Więcej informacji: Polityka prywatności Meta.

8. Google Search Console, Bing Webmaster Tools i Ahrefs Webmaster Tools

Serwis może korzystać z Google Search Console, Bing Webmaster Tools (Microsoft) oraz Ahrefs Webmaster Tools (Ahrefs Pte. Ltd., Singapur) do monitorowania widoczności strony w wynikach wyszukiwania, błędów indeksowania, linków prowadzących do serwisu oraz zbiorczych informacji o kliknięciach i wyświetleniach. Narzędzia te operują wyłącznie na danych zbiorczych, nie instalują na stronie kodu śledzącego i nie zapisują plików cookies na urządzeniach użytkowników.

9. Atrybucja źródeł ruchu (UTM)

Jeżeli użytkownik wejdzie na stronę z linku zawierającego parametry kampanii (UTM, kliknięcie reklamy, polecenie z innego serwisu), serwis odczytuje z adresu: parametry UTM (utm_source, utm_medium, utm_campaign, utm_term, utm_content), identyfikatory kliknięć reklam (gclid, fbclid), adres strony docelowej (bez parametrów zapytania) oraz adres strony odsyłającej (bez parametrów zapytania).

  • Po wyrażeniu zgody marketingowej informacje te są zapisywane w pamięci sesji przeglądarki (sessionStorage) pod kluczem tattooerSzAttribution i mogą być przekazywane do Google Analytics i Google Ads razem ze zdarzeniem wysłania formularza. Podstawą prawną jest zgoda (art. 6 ust. 1 lit. a RODO). Wycofanie zgody marketingowej usuwa ten zapis.
  • Bez zgody marketingowej informacje te nie są zapisywane na urządzeniu — pozostają wyłącznie w pamięci otwartej karty do czasu jej zamknięcia lub przeładowania strony i nie są przekazywane do narzędzi analitycznych ani reklamowych. Jeżeli w tym czasie użytkownik sam wyśle formularz, są dołączane do wysyłanej wiadomości. Podstawą prawną jest prawnie uzasadniony interes administratora polegający na ustaleniu, skąd pochodzą zapytania (art. 6 ust. 1 lit. f RODO).

W obu przypadkach informacja o źródle ruchu trafia do wiadomości e-mail z formularza, a jej ograniczona część (bez wartości identyfikatorów kliknięć) — do rejestru zgłoszeń opisanego w sekcji 4. Dane nie są przekazywane do dostawców zewnętrznych poza tymi wymienionymi w sekcjach 4–8 niniejszej polityki.

10. Cache offline (Service Worker)

Strona korzysta z mechanizmu Service Worker, który zapisuje w pamięci podręcznej przeglądarki (Cache API) statyczne pliki serwisu (HTML, CSS, JavaScript, zdjęcia, fonty). Dzięki temu strona ładuje się szybciej i może w ograniczonym zakresie działać offline. W pamięci podręcznej nie są zapisywane żadne dane osobowe ani treść formularza. Pamięć podręczną można w każdej chwili wyczyścić z poziomu ustawień przeglądarki. Fonty używane na stronie są hostowane na serwerze serwisu — przeglądarka nie łączy się w tym celu z serwerami Google Fonts.

11. Odbiorcy danych

Dane mogą być przekazywane następującym kategoriom odbiorców:

  • SiteGround Spain S.L. / SiteGround Hosting EOOD – w zakresie hostingu, poczty wychodzącej, logów serwera i plików technicznych formularza;
  • Google Ireland Limited – w zakresie poczty Gmail, Google Analytics, Google Tag Manager, Google Ads, Google Search Console i Google reCAPTCHA;
  • Meta Platforms Ireland Limited – w zakresie Meta Pixel i narzędzi reklamowych (jako współadministrator — sekcja 7);
  • Microsoft Ireland Operations Limited – w zakresie Microsoft Clarity (analityka zachowań na stronie);
  • dostawcy usług księgowych, prawnych lub informatycznych, jeżeli jest to konieczne;
  • organy publiczne, jeżeli obowiązek przekazania danych wynika z przepisów.

12. Przekazywanie danych poza Europejski Obszar Gospodarczy

Niektórzy dostawcy technologii mogą przetwarzać dane także poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych — w tym Google LLC (spółka matka Google Ireland; operator reCAPTCHA, Google Analytics, Google Ads i Gmail), Meta Platforms, Inc. (spółka matka Meta Platforms Ireland) oraz Microsoft Corporation (spółka matka Microsoft Ireland; operator Microsoft Clarity).

W takich przypadkach przekazywanie danych odbywa się na podstawie mechanizmów prawnych stosowanych przez danego dostawcę, takich jak decyzja Komisji Europejskiej o adekwatności (Data Privacy Framework dla podmiotów zarejestrowanych w USA), uczestnictwo w odpowiednim programie ochrony danych lub standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską.

13. Okres przechowywania danych

  • Dane z formularza i korespondencji są przechowywane przez okres potrzebny do obsługi zapytania, konsultacji i ewentualnej realizacji usługi, a następnie nie dłużej niż 3 lata od ostatniego kontaktu — na potrzeby ewentualnych dalszych pytań oraz ochrony przed roszczeniami. Po tym czasie są usuwane.
  • Dokumenty związane z wykonaną usługą i rozliczeniami są przechowywane przez okres wymagany przez przepisy podatkowe i księgowe.
  • Pliki techniczne ochrony formularza: znaczniki czasu prób wysłania są uwzględniane przez 24 godziny, a ochrona przed podwójnym wysłaniem działa przez 10 minut. Rejestr zgłoszeń (bez danych identyfikujących) jest przechowywany przez 3 lata — starsze wpisy są usuwane automatycznie. Logi serwera są przechowywane przez okres ustalony przez dostawcę hostingu.
  • Informacja o źródle ruchu w pamięci sesji przeglądarki jest usuwana po zamknięciu karty, a wybór zgód jest ważny przez 12 miesięcy — po tym czasie serwis ponownie prosi o decyzję.
  • Dane przetwarzane na podstawie zgody są wykorzystywane do czasu jej wycofania, przy czym wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.
  • Dane analityczne i marketingowe: w Google Analytics 4 — 14 miesięcy; pliki cookies Google Ads (_gcl_*) i Meta (_fbp, _fbc) — do 90 dni od ostatniej wizyty; w Microsoft Clarity — nagrania sesji do 30 dni, mapy cieplne i statystyki do 13 miesięcy. Dane otrzymane przez Google, Meta i Microsoft są przechowywane także zgodnie z zasadami tych dostawców.

14. Prawa użytkownika

Osobie, której dane dotyczą, przysługuje prawo do:

  • dostępu do danych i otrzymania ich kopii;
  • sprostowania danych;
  • usunięcia danych, jeżeli nie istnieje podstawa do ich dalszego przetwarzania;
  • ograniczenia przetwarzania;
  • przenoszenia danych – jeżeli spełnione są warunki określone w RODO;
  • wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
  • wycofania zgody w dowolnym momencie;
  • wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

W celu realizacji praw należy napisać na adres: tattooersz@gmail.com.

15. Profilowanie i zautomatyzowane podejmowanie decyzji

Google, Meta i Microsoft mogą, zgodnie z własnymi zasadami, wykorzystywać dane o aktywności do tworzenia grup odbiorców, modelowania konwersji lub dopasowywania reklam. Funkcje remarketingu i personalizacji reklam są aktywowane dopiero po uzyskaniu zgody marketingowej.

Ocena ryzyka reCAPTCHA (sekcja 5) służy wyłącznie do odrzucania zautomatyzowanych zgłoszeń. Administrator nie podejmuje wobec użytkownika decyzji wywołujących skutki prawne lub w podobny sposób istotnie na niego wpływających wyłącznie na podstawie automatycznego przetwarzania danych.

16. Bezpieczeństwo danych

Serwis korzysta z szyfrowanego połączenia HTTPS (TLS) z wymuszonym przekierowaniem oraz nagłówkiem HSTS. Na poziomie serwera stosowane są nagłówki bezpieczeństwa: Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy i Permissions-Policy. Formularz kontaktowy chroniony jest przez honeypot, ograniczanie liczby zgłoszeń i reCAPTCHA (sekcja 5), a dane dostępowe do poczty i usług przechowywane są poza publicznym katalogiem strony. Dostęp do korespondencji i zapytań jest ograniczony do administratora oraz upoważnionych podmiotów technicznych. Stosowane są również mechanizmy walidacji danych po stronie przeglądarki i serwera oraz zarządzania zgodami.

17. Pliki cookies

Szczegółowe informacje o plikach cookies, pamięci lokalnej, Google Consent Mode i sposobie zmiany zgód znajdują się w Polityce cookies dostępnej w serwisie.

18. Zmiany Polityki prywatności

Polityka może być aktualizowana w przypadku zmiany funkcjonalności serwisu, konfiguracji narzędzi, sposobu przetwarzania danych lub obowiązujących przepisów. Data ostatniej aktualizacji jest podana na początku dokumentu.