Polityka prywatności Majsternika
Wersja z 23 września 2026.
1. Administrator i kontakt
Administratorem danych osobowych użytkowników Majsternika jest AFP - PIOTR BARANOWSKI, ul. Widok 98 lok. 57, 14-100 Kajkowo, NIP 7412166587, REGON 526354009. Kontakt w sprawach danych osobowych: kontakt@majsternik.pl, tel. 600 790 951. Nie powołaliśmy inspektora ochrony danych — przy tej skali usługi nie ma takiego obowiązku.
2. Dwie role: administrator i podmiot przetwarzający
Majsternik to aplikacja, w której użytkownik — firma usługowa albo osoba prywatna — prowadzi swoich klientów. Dane osobowe występują tu na dwóch poziomach i mamy wobec nich różne role:
- Dane użytkowników Majsternika — osoby, która zakłada konto (e-mail, hasło, opcjonalna nazwa firmy, dane do faktury). Tu jesteśmy administratorem i ten dokument opisuje, co z nimi robimy.
- Dane klientów użytkownika — osób, które użytkownik wpisuje do aplikacji (imię i nazwisko, telefon, e-mail, miejscowość, adres, notatki, zdjęcia z pomiaru). Ich administratorem jest użytkownik, a my jesteśmy podmiotem przetwarzającym na jego zlecenie. Zasady tego powierzenia określa §9 regulaminu. Osoba, której dane wpisano, swoje prawa realizuje u użytkownika, który ją obsługuje; jeśli napisze do nas, przekażemy mu wniosek i pomożemy go wykonać.
Ustalenia przy ofercie. Do danych z pkt 2 należą także wiadomości, które użytkownik (wykonawca) i jego klient dopisują pod publicznym linkiem do oferty — na przykład o zmianie wymiaru, terminie albo dopłacie. Zapisujemy treść wiadomości, czas i to, która strona ją napisała. Nie zapisujemy przy niej imienia, adresu e-mail ani adresu IP piszącego i nie używamy plików cookie. Administratorem tych danych jest wykonawca, który przygotował ofertę, a my jesteśmy podmiotem przetwarzającym. Wiadomości widzi każdy, kto ma link do oferty, dlatego nie należy w nich podawać danych, których zlecenie nie wymaga. Pod linkiem wiadomości są widoczne najdłużej do 30 dni po zamknięciu ustaleń przez wykonawcę albo po upływie okresu, w którym klient może je dopisywać (180 dni od akceptacji oferty, a gdy decyzji nie było — od jej wysłania). Na koncie wykonawcy pozostają jako zapis ustaleń do czasu, gdy usunie on klienta albo konto. Wykonawca może usunąć treść pojedynczej wiadomości (zostaje ślad, że treść usunięto, z datą) oraz unieważnić link — stary adres przestaje wtedy działać. O nowej wiadomości powiadamiamy drugą stronę e-mailem, który nie zawiera jej treści; klient dostaje takie powiadomienie tylko wtedy, gdy wykonawca wpisał jego adres e-mail. Klient, który chce usunięcia albo kopii swoich wiadomości, zwraca się do wykonawcy; jeśli napisze do nas, postąpimy tak jak w pkt 2.
3. Jakie dane przetwarzamy jako administrator i po co
| Dane | Cel | Podstawa prawna (RODO) | Jak długo |
|---|---|---|---|
| E-mail, hasło (wyłącznie jako nieodwracalny skrót, tzw. hash, z którego nie da się odtworzyć hasła), nazwa firmy (opcjonalnie) | założenie i prowadzenie konta, logowanie, potwierdzenie adresu | art. 6 ust. 1 lit. b — umowa | do usunięcia konta |
| Dane do faktury: nazwa, adres, NIP (tylko przy fakturze na firmę) | wystawienie faktury, a przy fakturze na firmę — przekazanie jej do KSeF | art. 6 ust. 1 lit. c — obowiązek prawny | 5 lat od końca roku podatkowego |
| Identyfikator i status transakcji w Przelewy24, kwota, data | uruchomienie planu po wpłacie, reklamacje, zwroty | art. 6 ust. 1 lit. b — umowa | jak faktury |
| Treść reklamacji i korespondencji | rozpatrzenie sprawy | art. 6 ust. 1 lit. b i f | 3 lata od zamknięcia sprawy |
| Adres e-mail nadawcy w mailu z ofertą (Reply-To) | żeby odpowiedź klienta trafiła do użytkownika, nie do nas | art. 6 ust. 1 lit. b | w wysłanym mailu |
| Logi techniczne: czas i ścieżka żądania, kod odpowiedzi, czas obsługi | bezpieczeństwo, diagnostyka błędów | art. 6 ust. 1 lit. f — uzasadniony interes | do 30 dni; plik z ostrzeżeniami aplikacji ma rotację 30 dni |
| Adres IP | przejściowo — ograniczanie liczby żądań (ochrona przed zgadywaniem haseł i spamem) | art. 6 ust. 1 lit. f — uzasadniony interes | nie zapisujemy go nigdzie — ani w bazie, ani w logach; adres żyje wyłącznie w pamięci licznika żądań |
| Token urządzenia do powiadomień push (aplikacja mobilna, jeśli użytkownik je włączy; aplikacja sprawdza to przy każdym uruchomieniu i logowaniu) | dostarczanie przypomnień | art. 6 ust. 1 lit. b | do wyłączenia powiadomień (w ustawieniach systemu — urządzenie znika z serwera przy najbliższym uruchomieniu aplikacji lub logowaniu) lub usunięcia konta |
Podanie e-maila i hasła jest warunkiem założenia konta; nazwa firmy jest opcjonalna. Podanie danych do faktury (NIP tylko wtedy, gdy faktura ma być na firmę) jest warunkiem opłacenia planu. Nie podejmujemy decyzji zautomatyzowanych i nie profilujemy.
4. Analityka strony i pliki cookie
Na stronie majsternik.pl działa analityka Umami uruchomiona na naszym własnym serwerze. Nie używa plików cookie, nie tworzy identyfikatora osoby i nie przekazuje danych żadnej firmie trzeciej; liczy odwiedziny i odsłony. Dlatego strona nie wyświetla banera cookie. Aplikacja app.majsternik.pl przechowuje w pamięci przeglądarki wyłącznie token sesji potrzebny do utrzymania zalogowania; wylogowanie go usuwa.
5. Komu przekazujemy dane (odbiorcy i podmioty przetwarzające)
| Podmiot | Rola | Co dostaje | Gdzie |
|---|---|---|---|
| OVH Sp. z o.o. | hosting serwera aplikacji i bazy danych; Object Storage na kopie zapasowe | wszystkie dane w usłudze (zaszyfrowany dysk, kopie zaszyfrowane AES-256) | Polska — serwer i kopie zapasowe w Warszawie |
| Vercom S.A. (EmailLabs) | wysyłka e-maili transakcyjnych: potwierdzenie adresu, reset hasła, zestawienie dnia, oferta do klienta, powiadomienia o decyzji klienta i o nowej wiadomości w ustaleniach przy ofercie | adres odbiorcy, treść wiadomości | Polska |
| PayPro S.A. (Przelewy24) | operator płatności — odrębny administrator danych płatniczych | dane potrzebne do przeprowadzenia płatności; my otrzymujemy identyfikator transakcji, kwotę i status | Polska |
| Fakturownia Sp. z o.o. | wystawianie faktur i ich przekazanie do KSeF | dane do faktury, adres e-mail | Polska |
| Ministerstwo Finansów (KSeF) | obowiązkowy rejestr faktur | treść faktury | Polska |
| Google LLC (Firebase Cloud Messaging) | dostarczanie powiadomień push — tylko w aplikacji mobilnej i tylko po ich włączeniu | token urządzenia, treść powiadomienia | możliwe przekazanie poza EOG na podstawie standardowych klauzul umownych |
| Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia), z dostępem Google LLC (USA) | przekierowanie korespondencji wysłanej na kontakt@majsternik.pl do skrzynki Gmail, w której ją czytamy i na nią odpowiadamy | adres e-mail nadawcy, treść wiadomości i dane podane w korespondencji | UE i USA — przekazanie do USA na podstawie decyzji Komisji Europejskiej o adekwatności (EU-US Data Privacy Framework; Google LLC ma certyfikację) oraz standardowych klauzul umownych |
Poza Europejski Obszar Gospodarczy mogą trafić wyłącznie dane powiadomień push i korespondencja wysłana na kontakt@majsternik.pl — przez Google, na zasadach opisanych w tabeli powyżej; pozostałych danych nie przekazujemy poza EOG. Danych nie sprzedajemy i nie udostępniamy do celów reklamowych.
6. Prawa osób, których dane dotyczą
Użytkownik ma prawo do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia (eksport wszystkich danych firmy do pliku ZIP w sekcji Konto), sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, a także skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa). Hasło zmienia się w aplikacji. Konto razem ze wszystkimi danymi firmy użytkownik usuwa sam w aplikacji (Konto → „Usuń konto i dane firmy”); co znika, co zostaje i na jak długo, opisuje §6 ust. 2 regulaminu i strona majsternik.pl/usuwanie-konta.html. Adres e-mail, nazwę firmy i pozostałe sprawy (także usunięcie konta, do którego użytkownik nie ma już dostępu) załatwiamy na wniosek wysłany na kontakt@majsternik.pl — odpowiadamy najpóźniej w ciągu 30 dni.
7. Bezpieczeństwo
Hasła przechowujemy wyłącznie jako skróty (ASP.NET Core Identity) — nie da się z nich odtworzyć hasła i nikt po naszej stronie go nie widzi. Transmisja jest szyfrowana (TLS). Dane firm są od siebie oddzielone na poziomie bazy danych (filtr tenantowy w każdym zapytaniu). Tokeny sesji są rotowane i unieważniane przy zmianie hasła. Kopie zapasowe wykonujemy co noc, przechowujemy przez 7 dni poza serwerem aplikacji i testujemy ich odtwarzanie. Po usunięciu konta dane znikają z kopii najpóźniej po 7 dniach, wraz z wygaśnięciem ostatniej kopii sprzed usunięcia. Naruszenia ochrony danych zgłaszamy zgodnie z art. 33–34 RODO, a użytkownikowi jako administratorowi danych jego klientów — w ciągu 48 godzin od stwierdzenia.
8. Zmiany
Jeżeli zmienimy sposób przetwarzania danych, zmieni się też ten dokument, a użytkownicy z kontem dostaną informację e-mailem. Data u góry strony pokazuje bieżącą wersję.