Polityka prywatności

1. Odpowiedzialny

Administratorem w rozumieniu ogólnego rozporządzenia o ochronie danych (RODO) jest:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Niemcy
E-Mail: info@lushly.world
Telefon: +49 152 0677 7974

2. Ogólne informacje dotyczące przetwarzania danych

Lushly to platforma internetowa, która łączy klientów końcowych z niezależnymi salonami piękności i wellness. Przetwarzamy dane osobowe naszych użytkowników wyłącznie w zakresie, w jakim jest to niezbędne do zapewnienia funkcjonowania strony internetowej oraz naszych treści i usług.

Przetwarzanie danych osobowych naszych użytkowników odbywa się zazwyczaj wyłącznie za zgodą użytkownika lub w celu wykonania umowy. Wyjątek dotyczy przypadków, w których uzyskanie wcześniejszej zgody nie jest możliwe z przyczyn faktycznych, a przetwarzanie danych jest dozwolone przez przepisy prawa.

Podstawy prawne to art. 6 ust. 1 lit. a RODO (zgoda), lit. b (wykonanie umowy), lit. c (obowiązek prawny) oraz lit. f RODO (uzasadniony interes).

3. Jakie dane zbieramy

3.1 Przy rejestracji jako klient

• Imię i nazwisko
• Adres e-mail
• Numer telefonu (opcjonalnie)
• Hasło (zaszyfrowane i przechowywane za pomocą bcrypt)
• Zdjęcie profilowe (opcjonalne, przesyłane przez użytkownika lub pobierane z Google/Facebook podczas logowania OAuth)
• Preferencje językowe

3.2 Podczas rejestracji jako Salon / Mistrz

• Nazwa firmy, adres, telefon, adres e-mail
• Opis, zdjęcia, ceny, usługi, godziny otwarcia
• Przy aktywacji Stripe: dane bankowe i dane istotne podatkowo — przechowywane wyłącznie przez Stripe, nie przez nas
• Profile Mistrzów (imię, zdjęcie, języki, doświadczenie, portfolio) — ustawiane przez właściciela Salonu

3.3 Podczas rezerwacji

• Imię i nazwisko, adres e-mail, numer telefonu klienta dokonującego rezerwacji
• Wybrana usługa, data, godzina, cena, czas trwania
• W przypadku zapytań konsultacyjnych (np. tatuaż): opis pomysłu, wymiary/miejsce na ciele, ewentualne zdjęcia referencyjne
• W przypadku płatności online: brak danych karty u nas — przetwarzanie odbywa się wyłącznie przez Stripe (certyfikat PCI-DSS Level 1)
• W przypadku płatnego abonamentu Salonu: imię i nazwisko, adres e-mail i adres rozliczeniowy do fakturowania, a także identyfikator klienta i abonamentu od Stripe. Środki płatności (karta, polecenie zapłaty SEPA) są przechowywane wyłącznie przez Stripe
• Oceny (1–5 gwiazdek) i komentarze po zakończonej rezerwacji
• Wiadomości czatu między klientem a Salonem (za pośrednictwem wewnętrznej funkcji wiadomości platformy)

3.4 Automatycznie zbierane dane (logi serwera)

• Adres IP (anonimizowany po 7 dniach)
• Typ i wersja przeglądarki, system operacyjny.
• Data i godzina dostępu
• Adres URL strony odsyłającej (wcześniej odwiedzona strona)
• Region geograficzny (przybliżony, na poziomie miasta, na podstawie IP)
• Identyfikator sesji dla własnych analiz platformy (bez osobistego odniesienia)

Dane te służą bezpieczeństwu i własnej analizie platformy (współczynnik odrzuceń, źródła ruchu, wydajność). Przekazywanie do usług zewnętrznych, takich jak Google Analytics czy Meta, odbywa się wyłącznie, jeśli użytkownik wyraźnie wyraził na to zgodę w banerze plików cookie (pliki cookie analityczne dla Google Analytics lub pliki cookie marketingowe dla Meta Pixel).

3.5 Dane lokalizacyjne (geolokalizacja)

Za wyraźną zgodą użytkownika (zgoda przeglądarki "Znajdź w pobliżu") przybliżona lokalizacja jest wykorzystywana do wyświetlania salonów w okolicy. Lokalizacja jest przetwarzana wyłącznie po stronie klienta i nie jest przechowywana w naszej bazie danych.

4. Cel i podstawa prawna przetwarzania

5. Udostępnianie danych stronom trzecim (podmiotom przetwarzającym)

Udostępniamy dane wyłącznie w następujących przypadkach i na podstawie odpowiednich umów powierzenia przetwarzania danych (umów AV) zgodnie z art. 28 RODO:

• IONOS SE (Montabaur, Deutschland) — Hosting platformy. Serwery znajdują się w Niemczech. Zgodnie z RODO.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Obsługa płatności. Certyfikat PCI-DSS Level 1, zgodne z RODO. Ochrona danych Stripe
• Salon rezerwujący. — otrzymuje imię, dane kontaktowe i szczegóły rezerwacji w celu realizacji umowy. Salony są niezależnymi administratorami danych w rozumieniu RODO.
• Google Ireland Limited (Gemini API) — automatyczne tłumaczenia tekstów interfejsu użytkownika i opisów salonów. Przekazywane są wyłącznie treści publiczne (np. opisy salonów), a nie dane osobowe klientów końcowych. Ochrona danych Google
• Groq, Inc. (USA) — AI-Insights dla właścicieli salonów. Przekazywane są wyłącznie zagregowane i anonimizowane statystyki. Standardowe klauzule umowne zgodnie z art. 46 RODO zapewniają ochronę danych.
• Meta Platforms Ireland Limited (Meta Pixel) — tylko po wyraźnej zgodzie w banerze cookie. Wykorzystywane wyłącznie do kampanii marketingowych. Ochrona danych Meta
• Google Ireland Limited (Google Analytics 4) — tylko po wyraźnej zgodzie w banerze cookie (analityczne pliki cookie). Służy do anonimizowanej analizy zasięgu i użytkowania; adresy IP są skracane/anonimizowane. Przekazywanie danych do USA na podstawie Ram Prywatności Danych UE-USA i/lub standardowych klauzul umownych UE. Ochrona danych Google
• Dostawca SMTP (dostawca WP Mail SMTP) — Wysyłka transakcyjnych wiadomości e-mail (potwierdzenia rezerwacji, przypomnienia, resetowanie hasła).
• n8n (self-hosted, EU) — Przepływy pracy automatyzacji. Serwery w UE.

Dane nie są przekazywane stronom trzecim. W szczególności nie sprzedajemy danych.

5a. Wykorzystanie SI (Sztuczna Inteligencja)

Wykorzystujemy sztuczną inteligencję (SI) w dwóch obszarach:

1. Tłumaczenia: W celu zapewnienia wielojęzycznej dostępności naszych treści korzystamy z systemu SI Google Gemini (Google Ireland Limited). Tłumaczenia treści innych niż niemieckie mogą być generowane maszynowo; zawsze wiążąca jest oryginalna niemiecka wersja.

2. Czat wsparcia SI: Nasz czat wsparcia (w komunikatorze i na stronie pomocy) jest obsługiwany przez asystenta SI (chatbota). Na początku czatu zostaniesz wyraźnie poinformowany, że komunikujesz się z systemem SI (art. 50 Rozporządzenia ws. SI). Aby uzyskać osobistą pomoc, możesz w każdej chwili skontaktować się pod adresem info@lushly.world.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz lit. f RODO (uzasadniony interes w efektywnym wsparciu i wielojęzycznym świadczeniu usług).

5b. Rynek ogłoszeń (Praca i Pomieszczenia)

W naszej sekcji ogłoszeń („Praca i przestrzenie") zarejestrowani użytkownicy mogą publikować własne ogłoszenia (np. oferty pracy, wynajem pomieszczeń i stanowisk pracy) oraz odpowiadać na ogłoszenia innych. Przetwarzane są następujące dane:

Tworzenie ogłoszenia: Tytuł, opis, kategoria, lokalizacja, cena oraz podane przez Ciebie dane kontaktowe (e-mail i/lub numer telefonu) i opcjonalnie przesłane zdjęcia. Te dane są – z wyjątkiem danych kontaktowych – publicznie widoczne. Twój e-mail kontaktowy nie jest bezpośrednio wyświetlany zainteresowanym, lecz służy wyłącznie do przekazywania zapytań.

Odpowiadanie na ogłoszenie: Gdy odpowiadasz na ogłoszenie za pośrednictwem formularza kontaktowego, Twoje imię, adres e-mail i wiadomość zostaną przekazane e-mailem do ogłoszeniodawcy, aby mógł Ci odpowiedzieć. Dane kontaktowe obu stron pozostają wówczas ukryte na platformie.

Lista obserwowanych (Ulubione): Gdy dodasz ogłoszenia do obserwowanych, zapisujemy odpowiednie identyfikatory ogłoszeń na Twoim koncie użytkownika, abyś mógł je później odnaleźć.

Zapisane wyszukiwania i powiadomienia: Możesz zapisać kryteria wyszukiwania (np. kategoria, lokalizacja, słowo kluczowe). Zapisujemy te kryteria na Twoim koncie i wysyłamy Ci powiadomienie e-mail, gdy tylko nowe ogłoszenie pasuje do Twojego zapisanego wyszukiwania. Możesz w każdej chwili wyłączyć te powiadomienia, usuwając zapisane wyszukiwanie ze swojego konta.

Statystyki wyświetleń: Aby wyświetlić liczbę wyświetleń ogłoszenia, tymczasowo przechowujemy spseudonimizowaną (zahashowaną) wartość Twojego adresu IP, aby uniknąć wielokrotnego zliczania. Nie następuje identyfikacja poszczególnych osób.

Zgłoszenia: Jeśli zgłosisz ogłoszenie, przetwarzamy podany powód i opcjonalną wskazówkę, aby zweryfikować ogłoszenie.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (realizacja żądanych przez Ciebie funkcji) oraz lit. f RODO (uzasadniony interes w funkcjonowaniu wolnego od nadużyć rynku ogłoszeń). Powiadomienia dotyczące zapisanych wyszukiwań opierają się na lit. b i Twoim, możliwym do odwołania w każdej chwili, korzystaniu z tej funkcji.

Widoczność Twoich danych: Tytuł, opis, kategoria, lokalizacja, cena i zdjęcia ogłoszenia są publicznie widoczne i mogą być indeksowane przez wyszukiwarki. Twój adres e-mail i numer telefonu NIE są publicznie wyświetlane — służą wyłącznie do dostarczania powiadomień. Kontakt odbywa się poprzez wewnętrzną sekcję wiadomości.

Po upływie terminu: Wygasłe ogłoszenia są usuwane z przeglądu i wyszukiwania, ale pozostają w Twoim koncie, dopóki ich nie usuniesz. Jeśli usuniesz ogłoszenie, usuniemy jego treści i zdjęcia. Wcześniejsze rozmowy pozostają nienaruszone, aby obie strony zachowały historię.

Zgłoszenia: Jeśli zgłosisz ogłoszenie, zapisujemy zgłoszenie wraz z datą i godziną oraz — jeśli jesteś zalogowany/a — Twoim identyfikatorem użytkownika. Jest to konieczne do wykrywania wielokrotnych zgłoszeń i utrzymania przejrzystości procesu. Podstawa prawna: Art. 6 ust. 1 lit. c RODO w związku z art. 16 rozporządzenia (UE) 2022/2065 oraz art. 6 ust. 1 lit. f RODO. Czas przechowywania: dwanaście miesięcy.

5c. Asystent Telegramu

Salony i specjaliści/specjalistki mogą dobrowolnie połączyć swoje konto z naszym asystentem Telegram, aby otrzymywać zapytania o rezerwacje i odpowiadać na nie bezpośrednio. Połączenie jest opcjonalne i można je w każdej chwili cofnąć — w koncie w sekcji „Asystent Telegram” lub za pomocą polecenia /stop na czacie.

Przetwarzane są: identyfikator czatu Telegram, wyświetlana tam nazwa, wybrany język oraz treści powiadomień (termin, usługa, skrócona nazwa klienta/klientki, wiadomości z czatu). Pełne imiona i nazwiska, numery telefonów i adresy e-mail celowo nie są przesyłane do Telegramu.

Przekazywanie do kraju trzeciego: Dostawcą jest Telegram FZ-LLC, Dubaj, Zjednoczone Emiraty Arabskie. Dla ZEA nie ma decyzji Komisji Europejskiej o adekwatności. Przekazywanie odbywa się na podstawie Twojej wyraźnej zgody zgodnie z art. 49 ust. 1 lit. a RODO, którą wyrażasz, łącząc konto. Bez połączenia nie następuje przekazywanie.

Historia klientów w asystencie: Podczas przeglądania rezerwacji salon może zobaczyć dotychczasową historię tego klienta/klientki w swoim salonie: liczba wizyt, data ostatniej wizyty, wykonane usługi, własne notatki salonu oraz niepojawienia się. Są to dane, które salon i tak zarządza — są jedynie przedstawione w inny sposób.

Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) dla przekazywania do Telegramu, art. 6 ust. 1 lit. b RODO dla prezentacji historii. Okres przechowywania: do momentu rozłączenia połączenia.

5d. Ochrona przed nieuprawnionym dostępem

W celu ochrony kont rejestrujemy nieudane próby logowania wraz z adresem IP, czasem i użytą nazwą użytkownika. Jeśli nieudane próby z danego zakresu sieci się kumulują, jest on tymczasowo blokowany — od jednej godziny do siedmiu dni.

Ta blokada jest zautomatyzowanym środkiem, jednakże nie wywołuje skutków prawnych w rozumieniu art. 22 RODO: dotyczy ona wyłącznie dostępu do maski logowania, a nie istniejącej umowy. Blokady wygasają automatycznie i mogą zostać natychmiastowo cofnięte na żądanie.

Podstawa prawna: art. 6 ust. 1 lit. f RODO. Nasz uzasadniony interes polega na ochronie kont naszych użytkowników przed przejęciem. Okres przechowywania: 90 dni.

5e. Potwierdzenie e-mail, lista zapamiętanych i lista oczekujących

Potwierdzenie e-mail: Po rejestracji wysyłamy link potwierdzający. Przechowywany jest jednorazowy token w zaszyfrowanej formie oraz czas wysyłki. Bez potwierdzenia zamieszczanie ogłoszeń nie jest możliwe. Podstawa prawna: art. 6 ust. 1 lit. b i lit. f RODO.

Powiadomienia dotyczące zapamiętanych ogłoszeń: Jeśli zapamiętasz ogłoszenie, zapisujemy jego identyfikator i czas. Wynikają z tego dwa rodzaje wiadomości: powiadomienie, gdy zmieni się cena lub status ogłoszenia, oraz jednorazowe przypomnienie po dwóch dniach, jeśli jeszcze nie skontaktowałeś się z osobą oferującą. Obie opcje można wyłączyć w Ustawieniach konta → E-maile. Podstawa prawna: art. 6 ust. 1 lit. f RODO.

Lista oczekujących: Jeśli termin jest zajęty, możesz zapisać się na listę oczekujących. Przechowywane są preferowany termin, dane kontaktowe oraz jednorazowy token dla linku potwierdzającego. Usunięcie po 30 dniach lub z rezygnacją. Podstawa prawna: art. 6 ust. 1 lit. b RODO.

5f. Sprawdzanie przesłanych zdjęć

Każde przesłane zdjęcie jest automatycznie sprawdzane: pod kątem metadanych wskazujących na generację AI (C2PA, IPTC), pod kątem wbudowanych komponentów programowych w celu ochrony przed złośliwym oprogramowaniem oraz pod kątem zgodności z już znanymi obrazami AI.

W tym celu z obrazu obliczamy krótką wartość liczbową, która opisuje jego ogólną strukturę jasności. Z niej nie da się odtworzyć obrazu; służy ona wyłącznie do porównania. Rozpoznawanie twarzy ani rozpoznawanie osób nie ma miejsca.

Podstawa prawna: art. 6 ust. 1 lit. c RODO (obowiązek oznaczania zgodnie z art. 50 Rozporządzenia AI) oraz art. 6 ust. 1 lit. f RODO (bezpieczeństwo naszych systemów).

6. Pliki cookie i podobne technologie

Używamy wyłącznie technicznie niezbędnych plików cookie (sesje logowania, bezpieczeństwo, status zgody na pliki cookie, wybór języka). Te pliki cookie są niezbędne do działania platformy i są ustawiane zgodnie z § 25 ust. 2 TDDDG bez zgody.

Marketingowe pliki cookie (Meta Pixel) są ustawiane wyłącznie po wyraźnej zgodzie za pośrednictwem naszego banera cookie. Zgodę można w każdej chwili wycofać.

Do własnej analizy platformy dodatkowo przechowujemy anonimowe dane w naszej własnej bazie danych (first-party).

Google Analytics 4. Za Twoją wyraźną zgodą (analityczne pliki cookie w banerze cookie) używamy Google Analytics 4 (dostawca: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia). Google Analytics używa plików cookie do oceny korzystania ze strony internetowej – na przykład wyświetleń stron, czasu przebywania, używanych urządzeń i przybliżonej lokalizacji geograficznej. Adresy IP są anonimizowane lub skracane. Dane mogą być przekazywane na serwery Google – również w USA; przekazywanie odbywa się na podstawie ram prawnych EU-US Data Privacy Framework i/lub standardowych klauzul umownych UE zgodnie z art. 46 RODO. Podstawą prawną jest Twoja zgoda zgodnie z art. 6 ust. 1 lit. a RODO. Możesz w każdej chwili wycofać swoją zgodę ze skutkiem na przyszłość za pośrednictwem ustawień plików cookie. Polityka prywatności Google

7. Okres przechowywania

• Konto klienta: do momentu usunięcia przez użytkownika
• Dane rezerwacji: 10 lat (obowiązek przechowywania danych zgodnie z prawem podatkowym na podstawie § 147 AO)
• Oceny: na stałe, dopóki użytkownik nie usunie (możliwa pseudonimizacja)
• Sesje analityczne: 12 miesięcy
• Logi serwera: 30 dni
• Adresy IP: 7 dni, następnie anonimizacja
• Wiadomości czatu: do momentu usunięcia konta
• Zgoda na marketing e-mailowy: do odwołania

8. Twoje prawa jako osoby, której dane dotyczą

Jako osoba, której dane dotyczą, masz w każdej chwili prawo do:

• Informacje (Art. 15 DSGVO) — jakie dane o Panu/Pani przetwarzamy
• Korekta (Art. 16 DSGVO) — Korekta błędnych danych
• Usunięcie (Art. 17 DSGVO) — Prawo do bycia zapomnianym
• Ograniczenie przetwarzania (Art. 18 DSGVO)
• Przenoszalność danych (Art. 20 DSGVO) — Dane w formacie nadającym się do odczytu maszynowego
• Sprzeciw (Art. 21 DSGVO) — wobec przetwarzania na podstawie prawnie uzasadnionego interesu
• Wycofanie zgody (Art. 7 Abs. 3 DSGVO) — ze skutkiem na przyszłość

Usunięcie konta jest możliwe w każdej chwili pod adresem: Mein Konto → Ustawienia
Zapytania dotyczące praw związanych z ochroną danych prosimy kierować drogą mailową na adres: info@lushly.world

9. Prawo do złożenia skargi do organu nadzorczego

Zgodnie z art. 77 RODO ma Pan/Pani prawo wniesienia skargi do organu nadzorczego ds. ochrony danych — w szczególności w państwie członkowskim swojego zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia.

Organem właściwym dla nas jest:
Pełnomocnik Kraju Związkowego Brandenburgia ds. Ochrony Danych i Prawa Dostępu do Akt
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Bezpieczeństwo danych

Stosujemy szyfrowanie SSL/TLS (HTTPS) dla całej transmisji danych. Hasła są haszowane za pomocą bcrypt i nigdy nie są przechowywane w postaci jawnej. Dane płatnicze są przetwarzane wyłącznie przez Stripe (PCI-DSS Level 1). Kopie zapasowe są przechowywane w zaszyfrowanej formie.

11. Przekazywanie danych do państw trzecich

W zakresie, w jakim dane są przekazywane do krajów trzecich, odbywa się to na jednej z poniższych podstaw. Do USA — na przykład poprzez Groq, Meta-Pixel lub Google Analytics — na podstawie standardowych klauzul umownych UE zgodnie z art. 46 RODO i/lub decyzji stwierdzającej odpowiedni poziom ochrony danych zgodnie z art. 45 RODO (np. EU-US Data Privacy Framework). Do Zjednoczonych Emiratów Arabskich — wyłącznie za pośrednictwem opcjonalnego Asystenta Telegramu, patrz sekcja 5c — na podstawie Twojej wyraźnej zgody zgodnie z art. 49 ust. 1 lit. a RODO; dla ZEA nie ma decyzji o adekwatności. Bez połączenia Asystenta Telegramu to przekazywanie nie ma miejsca. Dokładnie sprawdzamy odbiorców.

12. Zautomatyzowane podejmowanie decyzji, profilowanie

Nie stosujemy w pełni zautomatyzowanych procesów decyzyjnych wywołujących skutki prawne. Automatycznie generowane cotygodniowe raporty dla właścicieli salonów służą wyłącznie celom informacyjnym i nie stanowią prawnie wiążącej decyzji.

13. Powiadomienia push (PWA)

Lushly to progresywna aplikacja internetowa (PWA). Powiadomienia push są wysyłane wyłącznie po wyraźnej zgodzie użytkownika (zgoda przeglądarki). Zgodę można w każdej chwili wycofać w ustawieniach przeglądarki.

14. Logowanie przez media społecznościowe (Google / Facebook OAuth)

Podczas logowania za pośrednictwem Google lub Facebooka przekazywane są nam następujące dane: imię i nazwisko, adres e-mail i zdjęcie profilowe. Inne dane z Państwa profilu Google/Facebook nie są pobierane. Dodatkowo obowiązują zasady ochrony danych Google lub Meta.

15. Zmiany w niniejszej polityce prywatności

Zastrzegamy sobie prawo do sporadycznego dostosowywania niniejszej polityki prywatności w celu dostosowania jej do aktualnych wymogów prawnych lub wdrożenia zmian w naszych usługach. Aktualna wersja jest zawsze dostępna na tej stronie. O istotnych zmianach zarejestrowani użytkownicy zostaną poinformowani drogą mailową.