Polityka prywatności MopZi

Wersja: 2026-09-10 Data wejścia w życie: 2026-09-10

Administratorem danych osobowych jest [DANE ADMINISTRATORA DO UZUPEŁNIENIA] (dalej: „my", „MopZi"). Dokument opisuje faktyczne przetwarzanie danych w systemie MopZi - szczegółowy rejestr czynności prowadzimy w docs/rodo/rejestr-czynnosci-przetwarzania.md, a okresy przechowywania w docs/rodo/polityka-retencji.md.

1. Jakie dane przetwarzamy

Wszyscy użytkownicy

• dane konta: adres e-mail, numer telefonu, opcjonalnie imię i nazwisko, skrót hasła (argon2id - nie znamy hasła), rola i status konta;
• rejestr zaakceptowanych wersji regulaminu i polityki prywatności;
• powiadomienia (in-app, e-mail, push) i tokeny urządzeń do powiadomień push;
• sesje logowania (wyłącznie skróty tokenów, nie same tokeny).

Odwiedzający landingi klienta i wykonawcy MopZi

Google tag działa w Advanced Consent Mode v2. Dopóki użytkownik nie udzieli zgody - zarówno przed decyzją, jak i także po odrzuceniu - zgody na przechowywanie danych mają wartość denied. Tag może wtedy wysyłać do Google ograniczone, bezciasteczkowe sygnały techniczne, obejmujące m.in. stan zgody oraz domenę i ścieżkę strony, ale bez plików cookie analitycznych. Kod MopZi nie kolejkuje w tym stanie własnych zdarzeń page_view, cta_click ani waitlist_signup; sam tag Google może wysłać techniczny pomiar wizyty.

Po dobrowolnej zgodzie Google Analytics 4 przetwarza identyfikator klienta zapisany w cookies _ga i _ga_<identyfikator>, ścieżkę i tytuł strony, statystyki sesji, przybliżoną lokalizację oraz informacje o przeglądarce i urządzeniu. Wysyłamy wtedy wyłącznie techniczne zdarzenia: identyfikator miejsca kliknięcia CTA, wynik zapisu na listę bez adresu e-mail oraz parametr landing_audience o wartości client albo worker.

Nie przekazujemy do Google wartości pól formularza, adresu e-mail, telefonu, adresu sprzątania ani danych płatniczych.

Osobno od analityki: jeżeli zapiszesz się na listę oczekujących na landingu, podany adres e-mail trafia do MailerLite razem z wybraną dzielnicą, a na landingu wykonawcy także z numerem telefonu. Zapisujemy przy tym adres IP z chwili zapisu - to dowód udzielenia zgody wymagany przez art. 7 ust. 1 RODO. Zapis nie wymaga potwierdzenia adresu (brak double opt-in), więc jeśli ktoś wpisał Twój adres bez Twojej wiedzy, napisz do nas - usuniemy go od ręki. Listy klientów i wykonawców są rozdzielone, ale dane kontaktowe jednej osoby zapisanej na obu tworzą u dostawcy jeden rekord. Zapis na listę oczekujących dotyczy wyłącznie landingów; aplikacje mobilne nie korzystają z MailerLite.

Klienci

• adresy sprzątań (ulica, numer, kod pocztowy, miasto) oraz notatki do zamówień (np. sposób wejścia do lokalu);
• historia zamówień z kwotami, zgłoszone problemy i treści sporów;
• opinie o wykonawcach (ocena, komentarz, prywatna preferencja „ta sama osoba");
• opcjonalne dane do faktury (nazwa firmy, NIP, adres);
• zdjęcia „po sprzątaniu" wykonane w lokalu klienta (dowód wykonania usługi).

Wykonawcy

• profil: opis, adres bazowy, dzienny limit godzin, grafik dostępności;
• dokumenty weryfikacyjne: dokument tożsamości z selfie, potwierdzenie działalności i rachunku, zaświadczenie o niekaralności - pliki trafiają bezpośrednio do magazynu obiektów (podpisane adresy), nie przechodzą przez serwer API ani jego logi;
• numer rachunku (IBAN) do wypłat - na zewnątrz udostępniany wyłącznie w postaci zamaskowanej;
• księga salda, wypłaty i miesięczne dokumenty rozliczeniowe.

2. Cele i podstawy prawne

3. Odbiorcy danych (dostawcy i podmioty przetwarzające)

Oba wiersze PostHoga to ten sam projekt w regionie UE, a nie osobne konto ani osobna baza. Zdarzenia wysyłane z landingów niosą dodatkowy parametr surface o wartości web, którego nie mają zdarzenia z aplikacji mobilnych - i to on je od siebie odróżnia.

Nie sprzedajemy danych. Do celów marketingowych udostępniamy je wyłącznie Meta - i tylko wtedy, gdy udzielisz osobnej zgody marketingowej, opisanej w sekcji 4. Zgoda na analitykę jej nie obejmuje i odwrotnie: to dwie niezależne decyzje.

Google Analytics pozostaje poza tym: nie jest używany do reklam ani remarketingu, a zgody ad_storage, ad_user_data i ad_personalization pozostają wyłączone niezależnie od Twojej decyzji marketingowej. Piksel Meta nie korzysta z tych sygnałów - ma własną bramkę zgody po naszej stronie.

4. Analityka stron i cookies

• Korzystamy z Advanced Consent Mode v2. Tag Google jest pobierany przy wejściu na stronę, ale bez udzielonej zgody analytics_storage, ad_storage, ad_user_data i ad_personalization mają wartość denied - również po wybraniu „Odrzucam”.
• Przy stanie denied Google może otrzymywać bezciasteczkowe sygnały techniczne. Obejmują one domenę i ścieżkę bez parametrów zapytania i fragmentu adresu, stan zgody oraz techniczny kontekst wizyty. Tag nie zapisuje wtedy plików cookie analitycznych, a kod MopZi nie kolejkuje własnych zdarzeń page_view, cta_click ani waitlist_signup.
• Po akceptacji Google Analytics 4 może utworzyć własne cookies _ga i _ga_<identyfikator> służące do rozróżniania użytkowników i sesji; analytics_storage zmienia się na granted, a wszystkie zgody reklamowe pozostają denied.
• Pytamy o DWIE niezależne zgody: analityczną i marketingową. Można przyjąć samą analitykę - przycisk „Tylko analityka" w banerze zapisuje właśnie taki wybór. Żadna z nich nie wynika z drugiej.
• Decyzje granted albo denied zapisujemy w localStorage pod kluczami mopzi-analytics-consent i mopzi-marketing-consent, wraz z numerem wersji zgody, aby nie pytać przy każdym przeładowaniu. Ten zapis nie zawiera identyfikatora osoby. Decyzję uznajemy za ważną wyłącznie jako komplet: jeśli zapisała się połowicznie, pytamy ponownie, zamiast domyślać się reszty.
• Po zmianie z Basic na Advanced Consent Mode prosiliśmy jednorazowo o ponowną decyzję, ponieważ zmienił się zakres działania tagu bez zgody. Z tego samego powodu prosimy o nią ponownie po dodaniu piksela Meta: wcześniejsza zgoda nie obejmowała dostawcy reklamowego, a baner wprost obiecywał, że zgody reklamowe pozostają wyłączone.
• Landingi klienta i wykonawcy mają osobne strumienie danych. Własne zdarzenia MopZi wysyłane po zgodzie zawierają dodatkowo parametr landing_audience.
• Do Google nie przekazujemy parametrów zapytania, fragmentu adresu ani strony odsyłającej; kontekst strony ograniczamy do domeny i ścieżki.
• Na landingach klienta i wykonawcy działa dodatkowo PostHog. Bez zgody analytics_storage nie uruchamiamy go w ogóle: nie powstaje wtedy identyfikator distinct_id, nie ma nagrań sesji, heatmap, ankiet ani eksperymentów.
• Nagranie sesji na landingu to zapis zmian struktury strony (DOM) oraz zdarzeń wskaźnika i przewijania, odtwarzany później jako rekonstrukcja odwiedzin. Nie jest filmem z ekranu urządzenia ani obrazem z kamery i nie sięga poza kartę przeglądarki z naszym landingiem.
• W nagraniach z landingów maskujemy zawartość pól formularza: adres e-mail wpisany w zapisie na listę oczekujących nie trafia do nagrania, tak samo jak treść każdego innego pola.
• Heatmapy landingów agregują miejsca kliknięć i zasięg przewinięcia. Powstają ze zdarzeń wskaźnika, bez zawartości pól formularza.
• Ankiety na landingach pokazujemy dopiero po zgodzie. Odpowiedź jest dobrowolna, a pytania nie proszą o dane osobowe.
• Eksperymenty (testy wariantów strony) na landingach przypisują odwiedzającemu wariant i zapisują jego oznaczenie razem ze zdarzeniami, żeby dało się porównać skuteczność wariantów.
• Po zgodzie PostHog zapisuje na landingu własne cookies: ph_<klucz>_posthog z identyfikatorem distinct_id i kontekstem sesji oraz __ph_opt_in_out_<klucz> z zapamiętaną decyzją o zgodzie.
• Piksel Meta (Facebook) uruchamiamy WYŁĄCZNIE po udzielonej zgodzie marketingowej. Bez zgody marketingowej skrypt fbevents.js nie jest pobierany w ogóle: nie powstaje żadne ciasteczko Meta i nie wychodzi do niej żadne żądanie. Świadomie nie stosujemy wariantu piksela w znaczniku <noscript>, który działałby bez JavaScriptu - bez niego nie da się ani pokazać banera, ani odczytać Twojej decyzji, więc taki znacznik śledziłby bezwarunkowo.
• Po zgodzie marketingowej Meta zapisuje cookies _fbp (identyfikator przeglądarki nadany przez piksel) oraz _fbc (identyfikator kliknięcia reklamy, jeśli trafiłeś do nas z reklamy).
• W odróżnieniu od Google Analytics, do Meta trafia pełny adres odwiedzanej strony - razem z parametrami zapytania i fragmentem. Tak działa biblioteka Meta i nie da się tego wyłączyć: to właśnie z parametru fbclid w adresie powstaje ciasteczko _fbc, dzięki któremu reklama zostaje powiązana z wizytą. Wyjątkiem są adresy z jednorazowym tokenem (resetu hasła i potwierdzenia adresu e-mail): token usuwamy z adresu, zanim uruchomi się jakikolwiek skrypt pomiarowy, a gdyby tam pozostał, piksel nie uruchomi się na takiej stronie wcale. Wysyłamy trzy zdarzenia: PageView przy wejściu, ViewContent przy kliknięciu przycisku akcji i Lead po potwierdzonym zapisie na listę oczekujących. Nieudany zapis nie generuje zdarzenia Lead.
• Do Meta nie przekazujemy adresu e-mail ani żadnych innych danych z formularza. Automatyczne dopasowanie zaawansowane (advanced matching), które domyślnie zbiera zawartość pól formularza, jest wyłączone w kodzie. Nie korzystamy też z pomiaru serwerowego (Conversions API).
• Można w każdej chwili wycofać zgodę przez „Ustawienia cookies” w stopce. Wycofanie blokuje dalsze własne zdarzenia MopZi, przerywa nagrywanie sesji na landingu, zatrzymuje ankiety i eksperymenty oraz usuwa cookies _ga* i ph_* dostępne dla strony. Tag Google pozostaje w stanie denied i nadal może wysyłać opisane wyżej bezciasteczkowe sygnały techniczne.
• Wycofanie zgody MARKETINGOWEJ wycisza piksel, usuwa skrypt Meta ze strony i kasuje cookies _fbp oraz _fbc. Obie kategorie wycofuje się osobno: odrzucenie marketingu nie kasuje ciasteczek analitycznych ani odwrotnie. Ciasteczka, które Meta zapisuje na własnej domenie - m.in. fr na facebook.com - są dla naszej strony niedostępne i nie możemy ich usunąć; usuwa się je w ustawieniach przeglądarki lub konta Facebook.

5. Okresy przechowywania

• dane konta i zamówień: przez czas istnienia konta;
• dane rozliczeniowe (płatności, zwroty, księga, wypłaty, dokumenty księgowe): 5 lat od końca roku obrotowego - obowiązek z ustawy o rachunkowości;
• rejestr zgód i log audytowy: bezterminowo jako dowód (nie zawierają danych osobowych poza identyfikatorem konta);
• szczegóły per kategoria: docs/rodo/polityka-retencji.md.

6. Usunięcie konta (prawo do wymazania)

1. Usunięcie konta można zainicjować w aplikacji (żądanie DELETE /api/users/me). Jeżeli konto ma otwarte zlecenie, nierozliczone saldo lub niezakończoną wypłatę, operacja zostanie wykonana po ich rozliczeniu. Sama anonimizacja jest natychmiastowa i nieodwracalna.
2. Usuwamy: sesje, tokeny, tokeny push, powiadomienia (także powiadomienia innych użytkowników zawierające adres usuwanego klienta), profil klienta, grafik i dokumenty weryfikacyjne wykonawcy (wraz z plikami w magazynie), zdjęcia „po" z zamówień klienta.
3. Anonimizujemy: dane konta (e-mail, telefon, imię i nazwisko, hasło), adresy i notatki w zamówieniach, treści opinii (ocena liczbowa zostaje - dotyczy wykonawcy), treści sporów, profil wykonawcy (opis, adres, IBAN).
4. Zachowujemy z obowiązku prawnego: płatności, zwroty, księgę salda, wypłaty i dokumenty rozliczeniowe (w tym dane nabywcy na fakturze) - art. 6 ust. 1 lit. c RODO; a także log audytowy i rejestr zgód jako dowód.
5. Żądanie wymazania przekazujemy również do Sentry i PostHog zgodnie z procedurą docs/rodo/procedura-usuwania-danych.md. Odwiedzający landing bez konta nie ma u nas identyfikatora konta - jego zdarzenia wiąże wyłącznie distinct_id z cookies w przeglądarce; wniosek realizujemy tą samą procedurą (docs/rodo/procedura-usuwania-danych.md).
6. Pełna tabela „usunąć / zanonimizować / zachować" z podstawami prawnymi: docs/rodo/wymagania-usuwania-konta.md.

7. Prawa użytkownika

Użytkownikowi przysługują prawa: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu oraz skargi do Prezesa UODO. Wnioski przyjmujemy kanałem kontaktowym wskazanym poniżej.

8. Bezpieczeństwo

• hasła: argon2id z jawnie ustawionymi parametrami pracy;
• tokeny sesji i tokeny jednorazowe: w bazie wyłącznie skróty SHA-256;
• dokumenty wrażliwe: bezpośredni upload podpisanym adresem do magazynu obiektów - plik nie przechodzi przez serwer API;
• księga salda i log audytowy: append-only, wymuszone triggerami w bazie;
• dostęp do decyzji finansowych i moderacyjnych mają wyłącznie operatorzy, a każda decyzja jest podpisana w logu audytowym.

9. Kontakt

Kontakt w sprawach danych osobowych: [DANE ADMINISTRATORA DO UZUPEŁNIENIA].

Do uzupełnienia przed publikacją

• [ ] Pełne dane administratora (nazwa, adres, NIP, KRS/CEIDG) w nagłówku i sekcji kontaktowej.
• [ ] Adres e-mail do wniosków RODO; ewentualne wyznaczenie IOD.
• [ ] Lokalizacje serwerów dostawców (regiony) i mechanizmy transferu poza EOG (SCC) dla Stripe, Resend, Sentry, PostHog, Google Analytics, Meta, S3/R2, Expo.
• [ ] Ustawić i wpisać okres retencji danych użytkownika i zdarzeń w obu usługach Google Analytics 4.
• [ ] Potwierdzić z kancelarią podstawę prawną bezciasteczkowych sygnałów Advanced Consent Mode v2 wysyłanych przy stanie denied - przed decyzją i po odrzuceniu.
• [ ] Ustalić z kancelarią status Meta przy pikselu: czy jest to współadministrowanie w rozumieniu art. 26 RODO, a jeśli tak - opublikować zasadniczą treść uzgodnień.
• [ ] Ustawić i wpisać okno atrybucji oraz retencję zdarzeń w Events Managerze konta reklamowego Meta.
• [ ] Weryfikacja podstawy przetwarzania zaświadczenia o niekaralności (art. 10 RODO wymaga podstawy w przepisie prawa) przez kancelarię.