Polityka Prywatności

• Dane konta: adres e-mail, imię lub nazwa firmy, numer telefonu (opcjonalnie), hash hasła.
• Dane o akceptacji dokumentów prawnych: rodzaj i wersja dokumentu, treść oświadczenia, data i godzina akceptacji oraz adres IP, w tym żądanie natychmiastowego rozpoczęcia płatnej usługi.
• Konfiguracja monitoringu: filtry ogłoszeń, preferencje marek i lokalizacji zgłoszone w onboardingzie.
• Powiadomienia push: endpoint subskrypcji przeglądarki i klucze kryptograficzne (VAPID/p256dh/auth), informacje o przeglądarce.
• Powiadomienia mobilne: token FCM, identyfikator instalacji, platforma (Android lub iOS), stan rejestracji urządzenia i historia dostarczenia.
• Adres webhooka Discord (jeśli skonfigurowany przez Użytkownika lub administratora).
• Zdarzenia aplikacyjne: wejście do aplikacji, nazwa oglądanego ekranu oraz identyfikator i sposób otwarcia powiadomienia; nie zapisujemy w analityce treści wiadomości, tokenów FCM ani lokalizacji fizycznej.
• Logi techniczne związane z sesją oraz przeciwdziałaniem nadużyciom (m.in. adres IP).
• Dane rozliczeniowe ograniczone do identyfikatorów Stripe (identyfikator klienta i subskrypcji), statusu planu i okresów rozliczeniowych; pełne dane płatnicze przetwarza operator Stripe.

• Świadczenie usługi elektronicznej — założenie i obsługa konta, dostarczenie filtrów, ocen cen rynkowych i powiadomień (art. 6 ust. 1 lit. b RODO oraz art. 173 Prawa komunikacji elektronicznej).
• Rozliczenia subskrypcji, wystawianie dokumentów podatkowych (art. 6 ust. 1 lit. b RODO w zakresie umowy oraz art. 6 ust. 1 lit. c RODO wobec obowiązków rachunkowo-podatkowych).
• Zapewnienie bezpieczeństwa Serwisu, przeciwdziałanie nadużyciom i spamowi, rate limiting, obrona przed atakami (art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora).
• Dostarczanie powiadomień push poza sesją użytkowania — wyłącznie na podstawie dobrowolnej zgody (art. 6 ust. 1 lit. a RODO); zgodę można cofnąć w dowolnym momencie.
• Wewnętrzna analityka własna dotycząca wydajności i użyteczności panelu WWW oraz aplikacji mobilnej, w tym otwarć powiadomień (art. 6 ust. 1 lit. f RODO).

Powiadomienia push wymagają każdorazowo aktywnej zgody wyrażonej w przeglądarce lub systemie operacyjnym. Zgoda nie jest warunkiem korzystania z pozostałych funkcji Serwisu.

Zgodę można cofnąć w dowolnym momencie: w ustawieniach powiadomień przeglądarki/systemu lub odłączając subskrypcję push w zakładce „Powiadomienia” w panelu klienta. Po cofnięciu zgody przestajemy wysyłać nowe powiadomienia push i usuwamy nieaktywną subskrypcję z naszej bazy danych.

W aplikacji Android lub iOS zgodę i powiadomienia można wyłączyć w ustawieniach systemu. Wylogowanie usuwa rejestrację urządzenia z bieżącej sesji. Do dostarczania powiadomień natywnych używamy Firebase Cloud Messaging (Google); na iOS doręczenie odbywa się także przez usługę APNs firmy Apple. Token urządzenia i treść powiadomienia trafiają do tych dostawców wyłącznie w celu doręczenia komunikatu.

Płatności kartą obsługuje niezależny operator Stripe Payments Europe Ltd. W związku z tym dane karty płatniczej przechwytywane są wyłącznie przez infrastrukturę Stripe i nigdy nie są zapisywane na serwerach Usługodawcy. Przetwarzanie to odbywa się według zasad i polityki prywatności Stripe; przekazujemy jedynie minimalny zakres danych niezbędnych do inicjacji i obsługi subskrypcji (m.in. e-mail konta).

Dane mogą być przekazywane następującym kategoriom odbiorców:

• dostawcy usług hostingowych i serwerowych (w tym baza PostgreSQL);
• Stripe Payments Europe Ltd. — operator płatności subskrypcyjnych;
• Google (Firebase Cloud Messaging) oraz Apple (APNs dla iOS) — doręczanie powiadomień natywnych;
• Discord Inc. — wyłącznie w zakresie, w jakim Użytkownik sam decyduje o doręczaniu mu powiadomień na wskazany webhook Discord (Usługodawca nie wysyła danych osobowych do Discorda poza treścią powiadomienia);
• dostawca poczty e-mail dla komunikatów systemowych (m.in. reset hasła, monity o wygasaniu próbnego okresu);
• podmioty doradcze, księgowe, audytorskie — w niezbędnym zakresie;
• organy państwa uprawnione na mocy przepisów prawa.

Część odbiorców (m.in. Stripe, Discord, dostawcy hostingu) może być zlokalizowana poza EOG. Transfery takie są zabezpieczone odpowiednimi środkami ochrony przewidzianymi w RODO — głównie decyzją Komisji Europejskiej stwierdzającą adekwatność lub standardowymi klauzulami umownymi.

• Cookie sesyjne httpOnly (`session`) służące wyłącznie utrzymaniu zalogowanej sesji (uwierzytelnianie JWT). Nie stosujemy cookies marketingowych ani cookies stron trzecich śledzących użytkownika poza Serwisem.
• Lokalny magazyn przeglądarki (localStorage/Cache Storage) wykorzystywany jest przez komponenty interfejsu i service workera do buforowania widoków oraz obsługi trybu offline / instalacji PWA.
• Nie korzystamy z zewnętrznych narzędzi analitycznych tego typu jak Google Analytics ani pikseli reklamowych.

• Dane konta — przez okres obowiązywania umowy, a po jej zakończeniu przez czas niezbędny do zabezpieczenia roszczeń (do 3 lat).
• Faktury i dokumentacja rozliczeniowa — co najmniej 5 lat, licząc od końca roku podatkowego wynikającego z przepisów podatkowych.
• Zapisy akceptacji dokumentów, aktywacji płatnej usługi i odstąpień od umowy przechowujemy przez okres potrzebny do wykonania umowy, rozliczeń i obrony przed roszczeniami.
• Zdarzenia analityki WWW — do 12 miesięcy albo do momentu usunięcia konta.
• Szczegółowe zdarzenia analityki mobilnej — do 180 dni albo do momentu usunięcia konta. Dostęp do raportu mają uprawnieni administratorzy Ofertello.
• Logi techniczne i sesje — do 90 dni.
• Tokeny resetu hasła — do momentu ich wygaśnięcia lub użycia.
• Tokeny urządzeń mobilnych — do wylogowania, usunięcia rejestracji urządzenia, unieważnienia tokenu lub usunięcia konta.

• Hasła przechowywane są jako wielokrotnie solone hashe algorytmu bcrypt — serwer nie zna Twojego hasła w formie jawnej.
• Sesja uwierzytelniana tokenem podpisanym cyfrowo zapisywanym w cookie httpOnly, chronionym przed dostępem skryptów strony.
• Stosujemy limitowanie prób logowania i rejestracji, kontrolę dostępu do panelu administracyjnego oraz szyfrowanie transmisji (HTTPS).

Zgłaszając się na adres contact@neextlayer.com masz prawo:

• dostępu do swoich danych i uzyskania kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych („prawo do bycia zapomnianym”) — o ile nie zachodzą podstawy prawne do dalszego przetwarzania,
• ograniczenia przetwarzania,
• przenoszenia danych do innego administratora,
• wstąpienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO,
• cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Ponadto masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Konto można usunąć w ustawieniach aplikacji mobilnej po potwierdzeniu hasłem. Bez dostępu do aplikacji można złożyć żądanie przez publiczną stronę usunięcia konta Ofertello. Obowiązkowa dokumentacja księgowa może być przechowywana przez okres wskazany powyżej.

Nie podejmujemy decyzji w sposób wyłącznie zautomatyzowany, który wywoływałby skutek prawny lub podobnie istotnie wpływał na Twoją sytuację. Oceny cen rynkowych w Serwisie mają charakter informacyjny i nie wpływają na treść relacji umownej między Tobą a Usługodawcą.

Polityka może ulegać zmianom. O istotnych zmianach poinformujemy z odpowiednim wyprzedzeniem w panelu klienta lub drogą mailową. Aktualna wersja wraz z datą obowiązywania zawsze dostępna jest pod tym adresem.

Wersja 1.2, obowiązuje od dnia 30 września 2026 r.