Polityka prywatności
Data obowiązywania: [DO UZUPEŁNIENIA: data wejścia w życie polityki]
Ostatnia aktualizacja: [DO UZUPEŁNIENIA: data ostatniej aktualizacji]
1. Postanowienia ogólne
Niniejsza Polityka prywatności i cookies (dalej: „Polityka”) wyjaśnia, w jaki sposób przetwarzamy dane osobowe w związku z korzystaniem ze strony internetowej https://fubaraviation.com (dalej: „Strona”), kontaktem z nami (formularz, e-mail, telefon) oraz rezerwacją i realizacją lotów pasażerskich historycznymi odrzutowcami z lotniska Olsztyn-Mazury (EPSY).
Polityka stanowi realizację obowiązku informacyjnego, o którym mowa w art. 13 (a w odpowiednim zakresie art. 14) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO”), oraz zawiera informacje wymagane przepisami dotyczącymi plików cookies i podobnych technologii, w tym art. 399 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej.
2. Administrator danych osobowych
Administratorem Twoich danych osobowych jest [DO UZUPEŁNIENIA: pełna nazwa prawna i forma prawna podmiotu, np. „FUBAR AVIATION LTD” – wskazać, czy jest to spółka zagraniczna, oraz kraj rejestracji], posługujący się na Stronie oznaczeniem „FUBAR Aviation” / „FUBAR AVIATION LTD” (dalej: „Administrator”, „my”).
- Adres siedziby: [DO UZUPEŁNIENIA: adres siedziby]
- Adres do korespondencji: [DO UZUPEŁNIENIA: adres do korespondencji, jeśli inny niż adres siedziby]
- Rejestr i numer rejestrowy: [DO UZUPEŁNIENIA: nazwa rejestru (np. KRS, CEIDG, Companies House lub inny rejestr zagraniczny) oraz numer]
- NIP / numer VAT: [DO UZUPEŁNIENIA: NIP / numer VAT UE, jeśli nadano]
- Oddział lub stałe miejsce działalności w Polsce: [DO UZUPEŁNIENIA: czy podmiot posiada oddział w Polsce lub innym państwie UE (np. oddział przedsiębiorcy zagranicznego wpisany do KRS) – dane oddziału]
- E-mail: fly@fubaraviation.com
- Telefon: +48 605 217 521, +48 608 204 671
[DO WERYFIKACJI PRAWNIKA: jeżeli Administrator jest podmiotem spoza UE/EOG i nie posiada jednostki organizacyjnej w UE, może być konieczne wyznaczenie przedstawiciela w Unii zgodnie z art. 27 RODO i wskazanie jego danych w tym miejscu]
3. Inspektor ochrony danych
[DO UZUPEŁNIENIA: czy wyznaczono Inspektora Ochrony Danych (IOD). Jeśli tak – podać imię i nazwisko lub nazwę oraz dane kontaktowe IOD. Jeśli nie – wpisać: „Administrator nie wyznaczył Inspektora Ochrony Danych. We wszystkich sprawach dotyczących ochrony danych osobowych można kontaktować się z Administratorem pod adresem fly@fubaraviation.com.”]
4. Skąd pochodzą Twoje dane
- bezpośrednio od Ciebie – gdy wypełniasz formularz zapytania/rezerwacji, piszesz do nas e-mail, dzwonisz lub kontaktujesz się z nami w inny sposób;
- od osoby dokonującej rezerwacji lub zakupu vouchera – jeżeli to ona wskazała Cię jako uczestnika lotu lub obdarowanego (w takim przypadku osoba ta powinna przekazać Ci niniejszą Politykę);
- automatycznie z Twojego urządzenia – w zakresie danych technicznych (logi serwera/CDN, a po wyrażeniu zgody – dane analityczne).
5. Cele, podstawy prawne i okresy przetwarzania
| Cel przetwarzania | Zakres danych | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Udzielenie odpowiedzi na zapytanie oraz obsługa wstępnej rezerwacji (formularz, e-mail, telefon) | imię i nazwisko, adres e-mail, numer telefonu, wybrany pakiet, preferowany termin, liczba osób, treść wiadomości | art. 6 ust. 1 lit. b RODO (działania na Twoje żądanie przed zawarciem umowy); w zakresie zapytań ogólnych – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na udzielaniu odpowiedzi na korespondencję) | [DO UZUPEŁNIENIA: okres przechowywania zapytań, które nie zakończyły się zawarciem umowy, np. X miesięcy od ostatniego kontaktu] |
| Zawarcie i wykonanie umowy (rezerwacja lotu, sprzedaż i realizacja vouchera, organizacja lotu) | dane jak wyżej oraz dane uczestnika lotu i/lub obdarowanego, dane dotyczące płatności i rozliczeń, korespondencja | art. 6 ust. 1 lit. b RODO | przez czas wykonywania umowy, a następnie przez okresy wskazane w wierszach dotyczących obowiązków prawnych i roszczeń |
| Wypełnianie obowiązków prawnych (m.in. rachunkowych, podatkowych oraz wynikających z przepisów lotniczych) | dane z dokumentów księgowych, dane wymagane przepisami lotniczymi lub przez zarządzającego lotniskiem | art. 6 ust. 1 lit. c RODO w zw. z właściwymi przepisami [DO UZUPEŁNIENIA: wskazać przepisy – zależnie od kraju rejestracji i rozliczeń podatkowych Administratora oraz od wymogów lotniczych] | dokumentacja rachunkowa/podatkowa – co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku [DO WERYFIKACJI PRAWNIKA: okres zależny od jurysdykcji podatkowej]; dokumentacja lotnicza – [DO UZUPEŁNIENIA: okres wymagany przepisami lotniczymi] |
| Ustalenie, dochodzenie lub obrona roszczeń | dane niezbędne do wykazania przebiegu współpracy | art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na ochronie naszych praw) | do upływu terminów przedawnienia roszczeń [DO WERYFIKACJI PRAWNIKA: np. terminy z art. 118 Kodeksu cywilnego oraz terminy szczególne z przepisów lotniczych] |
| Zapewnienie bezpieczeństwa i prawidłowego działania Strony (logi serwera/CDN) | adres IP, data i godzina żądania, adres URL, informacje o przeglądarce i systemie (user agent), kod odpowiedzi serwera, adres strony odsyłającej | art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa i ciągłości działania Strony) | [DO UZUPEŁNIENIA: okres przechowywania logów przez wybranego dostawcę hostingu – Cloudflare Pages lub cyber_Folks] |
| Ochrona formularza przed spamem i nadużyciami (Cloudflare Turnstile – jeżeli jest stosowany) | adres IP, dane techniczne przeglądarki i urządzenia, sygnały dotyczące interakcji ze stroną niezbędne do odróżnienia człowieka od bota | art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na ochronie przed spamem i atakami) | zgodnie z zasadami Cloudflare [DO UZUPEŁNIENIA: okres] |
| Statystyki odwiedzin Strony (Google Analytics 4) – wyłącznie po wyrażeniu zgody | identyfikatory zapisane w plikach cookies, dane o urządzeniu i przeglądarce, przybliżona lokalizacja (na poziomie miasta/kraju), informacje o odwiedzonych podstronach i interakcjach | art. 6 ust. 1 lit. a RODO (zgoda) w zw. z art. 399 Prawa komunikacji elektronicznej | do czasu wycofania zgody; dane w Google Analytics przechowywane są przez [DO UZUPEŁNIENIA: ustawiony w GA4 okres przechowywania danych, np. 2 lub 14 miesięcy] |
| Wyświetlenie mapy Google Maps – wyłącznie po kliknięciu/wyrażeniu zgody | adres IP, dane techniczne przeglądarki, dane zapisywane w plikach cookies przez Google | art. 6 ust. 1 lit. a RODO (zgoda) w zw. z art. 399 Prawa komunikacji elektronicznej | do czasu wycofania zgody; po stronie Google – zgodnie z zasadami Google |
| Zapamiętanie Twojego wyboru dotyczącego zgód (localStorage „fa-consent”) i wykazanie zgodności z przepisami | informacja o udzielonych lub odmówionych zgodach [DO UZUPEŁNIENIA: czy zapisywana jest data/wersja zgody] | art. 6 ust. 1 lit. c RODO w zw. z art. 7 ust. 1 RODO oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na wykazaniu rozliczalności) | do czasu usunięcia danych przeglądarki przez użytkownika lub zmiany wyboru [DO UZUPEŁNIENIA: czy wybór wygasa po określonym czasie, np. 12 miesięcy] |
| Płatności za vouchery przez Stripe – gdy zostanie uruchomione | imię i nazwisko, adres e-mail, dane transakcji, status płatności (dane karty płatniczej przetwarza wyłącznie Stripe) | art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. c RODO (obowiązki rachunkowe) | jak w przypadku umowy i obowiązków prawnych |
6. Pole akceptacji w formularzu
Formularz nie zawiera pola zgody: pod formularzem znajduje się klauzula informacyjna odsyłająca do niniejszej Polityki. Dane z formularza przetwarzamy w celu udzielenia odpowiedzi i obsługi rezerwacji na podstawach wskazanych w pkt 5, a nie na podstawie zgody marketingowej. Nie wysyłamy informacji handlowych bez odrębnej zgody.
[DO WERYFIKACJI PRAWNIKA: jeżeli pole w formularzu jest sformułowane jako „zgoda na przetwarzanie danych”, rozważyć zmianę jego treści na potwierdzenie zapoznania się z Polityką, aby uniknąć niejasności co do podstawy prawnej]
7. Dane przetwarzane w związku z realizacją lotu
W związku z przygotowaniem i realizacją lotu możemy przetwarzać dodatkowe dane uczestnika, zbierane poza Stroną (np. w potwierdzeniu rezerwacji lub na lotnisku):
- dane identyfikacyjne i dane z dokumentu tożsamości – [DO UZUPEŁNIENIA: czy i w jakim zakresie są wymagane, np. przez zarządzającego lotniskiem lub przepisy ochrony lotnictwa];
- data urodzenia/wiek, waga, wzrost – [DO UZUPEŁNIENIA: czy są zbierane i w jakim celu, np. ograniczenia fotela wyrzucanego i wyważenia statku powietrznego];
- oświadczenie o stanie zdrowia lub zaświadczenie lekarskie – [DO UZUPEŁNIENIA: czy jest wymagane i w jakiej formie];
- dane osoby do kontaktu w nagłych wypadkach – [DO UZUPEŁNIENIA: czy są zbierane];
- wizerunek (zdjęcia/nagrania wideo z lotu) – [DO UZUPEŁNIENIA: czy Administrator wykonuje zdjęcia/nagrania, czy są udostępniane uczestnikowi i czy są publikowane (wymaga odrębnej zgody na rozpowszechnianie wizerunku)].
Dane dotyczące zdrowia stanowią szczególną kategorię danych osobowych w rozumieniu art. 9 RODO. [DO WERYFIKACJI PRAWNIKA: podstawa przetwarzania danych o zdrowiu (np. art. 9 ust. 2 lit. a RODO – wyraźna zgoda, lub inna podstawa wynikająca z przepisów lotniczych), podstawa przetwarzania danych z dokumentu tożsamości, okresy przechowywania oraz zasady przetwarzania wizerunku]
Jeżeli dokonujesz rezerwacji lub kupujesz voucher dla innej osoby, prosimy o przekazanie jej informacji zawartych w niniejszej Polityce.
8. Odbiorcy danych
Twoje dane mogą być przekazywane następującym kategoriom odbiorców, wyłącznie w zakresie niezbędnym do realizacji wskazanych celów:
- dostawca hostingu Strony – [DO UZUPEŁNIENIA: Cloudflare, Inc. (Cloudflare Pages) lub cyber_Folks S.A. – wskazać faktycznie używanego dostawcę i dane];
- Resend – dostawca usługi wysyłki wiadomości e-mail, za pośrednictwem którego treść formularza przekazywana jest do naszej skrzynki pocztowej [DO UZUPEŁNIENIA: pełna nazwa prawna i adres podmiotu świadczącego usługę Resend];
- dostawca naszej poczty elektronicznej (skrzynka fly@fubaraviation.com) – [DO UZUPEŁNIENIA: nazwa dostawcy poczty];
- Cloudflare, Inc. – usługa Cloudflare Turnstile (jeżeli jest stosowana) oraz ewentualnie usługi CDN/bezpieczeństwa;
- Google Ireland Limited / Google LLC – Google Analytics 4 i Google Maps (wyłącznie po wyrażeniu zgody);
- Stripe – obsługa płatności (gdy zostanie uruchomiona) [DO UZUPEŁNIENIA: właściwy podmiot Stripe, np. Stripe Payments Europe, Limited]; w niektórych zakresach Stripe działa jako odrębny administrator danych;
- podmioty współpracujące przy realizacji lotu – [DO UZUPEŁNIENIA: np. piloci, obsługa techniczna, zarządzający lotniskiem Olsztyn-Mazury, służby ochrony lotniska – jeżeli otrzymują dane uczestników];
- ubezpieczyciel – [DO UZUPEŁNIENIA: czy i w jakim zakresie dane uczestników są przekazywane ubezpieczycielowi];
- biuro rachunkowe, doradcy prawni, dostawcy usług IT – [DO UZUPEŁNIENIA: czy korzystacie z takich podmiotów];
- organy publiczne (np. Urząd Lotnictwa Cywilnego, organy podatkowe, sądy, organy ścigania) – wyłącznie gdy obowiązek przekazania danych wynika z przepisów prawa.
Podmioty przetwarzające dane w naszym imieniu robią to na podstawie umów powierzenia przetwarzania danych (art. 28 RODO).
9. Przekazywanie danych poza Europejski Obszar Gospodarczy
Niektórzy z naszych dostawców mają siedzibę lub przetwarzają dane poza EOG, w szczególności w Stanach Zjednoczonych:
- Resend (USA) – przekazanie odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) [DO WERYFIKACJI PRAWNIKA: potwierdzić zawarcie DPA z SCC oraz ewentualną certyfikację w ramach EU-US Data Privacy Framework];
- Google LLC (USA) – na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework, art. 45 RODO) w zakresie, w jakim Google posiada certyfikację, a uzupełniająco – standardowych klauzul umownych;
- Cloudflare, Inc. (USA) – na podstawie EU-US Data Privacy Framework w zakresie, w jakim Cloudflare posiada certyfikację, a uzupełniająco – standardowych klauzul umownych [DO WERYFIKACJI PRAWNIKA: aktualny status certyfikacji];
- Stripe (gdy zostanie uruchomione) – [DO UZUPEŁNIENIA: mechanizm transferu wskazany w umowie ze Stripe];
- [DO WERYFIKACJI PRAWNIKA: jeżeli Administrator ma siedzibę poza UE/EOG (np. w Zjednoczonym Królestwie), opisać przekazywanie danych do tego państwa i jego podstawę, np. decyzję stwierdzającą odpowiedni stopień ochrony].
Możesz uzyskać kopię zastosowanych zabezpieczeń, kontaktując się z nami pod adresem fly@fubaraviation.com.
10. Twoje prawa
Na zasadach określonych w RODO przysługuje Ci prawo do:
- dostępu do swoich danych oraz otrzymania ich kopii (art. 15 RODO);
- sprostowania (poprawienia) danych (art. 16 RODO);
- usunięcia danych (art. 17 RODO);
- ograniczenia przetwarzania (art. 18 RODO);
- przenoszenia danych – w zakresie danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany (art. 20 RODO);
- sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO) – z przyczyn związanych z Twoją szczególną sytuacją (art. 21 RODO);
- wycofania zgody w dowolnym momencie – bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem (art. 7 ust. 3 RODO). Zgodę na pliki cookies analityczne i mapę możesz wycofać, zmieniając ustawienia w panelu zgód [DO UZUPEŁNIENIA: wskazać, gdzie na Stronie znajduje się link do ponownego otwarcia panelu zgód, np. „Ustawienia cookies” w stopce].
Aby skorzystać ze swoich praw, skontaktuj się z nami: fly@fubaraviation.com lub listownie na adres [DO UZUPEŁNIENIA: adres do korespondencji]. Odpowiemy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania (z możliwością przedłużenia zgodnie z art. 12 ust. 3 RODO).
11. Prawo do wniesienia skargi
Jeżeli uważasz, że przetwarzanie Twoich danych narusza przepisy, masz prawo wnieść skargę do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl) lub do organu nadzorczego w państwie członkowskim UE, w którym masz miejsce zwykłego pobytu, miejsce pracy lub w którym doszło do domniemanego naruszenia.
12. Dobrowolność podania danych
Podanie danych jest dobrowolne, ale niezbędne do udzielenia odpowiedzi na zapytanie, dokonania rezerwacji i zawarcia umowy. Pola obowiązkowe w formularzu są oznaczone [DO UZUPEŁNIENIA: wskazać, które pola są obowiązkowe]. W zakresie, w jakim podanie danych wynika z przepisów prawa (np. podatkowych lub lotniczych), jest ono obowiązkowe. Wyrażenie zgody na analitykę i wyświetlenie mapy jest całkowicie dobrowolne i nie wpływa na możliwość korzystania ze Strony.
13. Zautomatyzowane podejmowanie decyzji i profilowanie
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Weryfikacja Cloudflare Turnstile służy wyłącznie ochronie formularza przed automatycznymi zgłoszeniami.
14. Pliki cookies i localStorage
14.1. Czym są pliki cookies i localStorage
Pliki cookies to niewielkie pliki tekstowe zapisywane na Twoim urządzeniu przez przeglądarkę. localStorage to mechanizm przeglądarki umożliwiający zapisanie danych na urządzeniu bez daty wygaśnięcia, do czasu ich usunięcia. Oba mechanizmy umożliwiają przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanych na Twoim urządzeniu.
14.2. Zasady stosowania
- Mechanizmy niezbędne (np. zapamiętanie wyboru zgód, zabezpieczenia) stosujemy bez Twojej zgody, ponieważ są konieczne do świadczenia usługi, o którą prosisz, lub do zapewnienia bezpieczeństwa.
- Google Analytics 4 uruchamiamy wyłącznie po wyrażeniu zgody. Stosujemy Google Consent Mode v2: domyślnie wszystkie parametry zgody (analytics_storage, ad_storage, ad_user_data, ad_personalization) są ustawione na „odmowa”, a znaczniki Google Analytics nie są ładowane przed wyrażeniem zgody. Nie korzystamy z funkcji reklamowych Google [DO UZUPEŁNIENIA: potwierdzić, że wdrożono tryb podstawowy (basic) Consent Mode bez wysyłania pingów bez plików cookies oraz że wyłączono Google Signals i funkcje reklamowe].
- Mapa Google Maps ładowana jest dopiero po kliknięciu/wyrażeniu zgody. Do tego momentu Twoja przeglądarka nie łączy się z serwerami Google w celu wyświetlenia mapy.
- Fonty są hostowane lokalnie na naszym serwerze – nie korzystamy z Google Fonts, w związku z czym Twoja przeglądarka nie łączy się w tym celu z serwerami Google.
14.3. Wykaz stosowanych mechanizmów
| Nazwa | Dostawca | Rodzaj | Cel | Okres przechowywania | Wymaga zgody |
|---|---|---|---|---|---|
| fa-consent | FUBAR Aviation (własny) | localStorage | zapamiętanie Twojego wyboru dotyczącego zgód | do usunięcia przez użytkownika [DO UZUPEŁNIENIA: ewentualny okres ważności wyboru] | nie (niezbędny) |
| _ga | Google (Google Analytics 4) | cookie | rozróżnianie użytkowników na potrzeby statystyk | do 2 lat | tak |
| _ga_[DO UZUPEŁNIENIA: identyfikator usługi GA4] | Google (Google Analytics 4) | cookie | utrzymanie stanu sesji na potrzeby statystyk | do 2 lat | tak |
| pliki cookies Google (np. NID i inne ustawiane przez Google) | Google (Google Maps) | cookie | wyświetlenie i działanie osadzonej mapy, zapamiętanie preferencji, bezpieczeństwo | zgodnie z zasadami Google (np. NID – ok. 6 miesięcy) | tak |
| mechanizmy Cloudflare Turnstile | Cloudflare, Inc. | dane techniczne / pamięć przeglądarki w ramach widżetu | ochrona formularza przed botami i spamem | zgodnie z zasadami Cloudflare [DO UZUPEŁNIENIA: okres] | nie (niezbędny do bezpieczeństwa) [DO WERYFIKACJI PRAWNIKA] |
| __cf_bm [DO UZUPEŁNIENIA: jeśli dotyczy] | Cloudflare, Inc. | cookie | ochrona przed ruchem botów | 30 minut | nie (niezbędny) |
| __stripe_mid, __stripe_sid (gdy płatności zostaną uruchomione) | Stripe | cookie | realizacja płatności i zapobieganie oszustwom | __stripe_mid – 1 rok, __stripe_sid – 30 minut | nie (niezbędny do realizacji płatności) |
[DO UZUPEŁNIENIA: przed publikacją zweryfikować faktycznie ustawiane pliki cookies, np. za pomocą narzędzi deweloperskich przeglądarki, i zaktualizować tabelę]
14.4. Zarządzanie zgodami
Swój wybór możesz w każdej chwili zmienić lub wycofać zgodę za pomocą panelu zgód dostępnego na Stronie [DO UZUPEŁNIENIA: lokalizacja linku]. Możesz również usunąć pliki cookies i dane localStorage lub zablokować ich zapisywanie w ustawieniach swojej przeglądarki. Zablokowanie mechanizmów niezbędnych może wpłynąć na działanie Strony (np. panel zgód będzie wyświetlany ponownie).
15. Profile w mediach społecznościowych
Na Stronie znajdują się wyłącznie linki do naszych profili w serwisach Facebook i Instagram. Nie stosujemy wtyczek społecznościowych ani pikseli tych serwisów – samo wejście na Stronę nie powoduje przekazania danych do Meta. Po kliknięciu linku przechodzisz do serwisu Meta Platforms Ireland Limited, który przetwarza dane na własnych zasadach. W zakresie prowadzenia naszych profili możemy być współadministratorem danych wspólnie z Meta – [DO UZUPEŁNIENIA / DO WERYFIKACJI PRAWNIKA: zasady przetwarzania danych osób odwiedzających profile, np. odrębna klauzula dla fanpage].
16. Bezpieczeństwo danych
Stosujemy odpowiednie środki techniczne i organizacyjne, w tym szyfrowane połączenie (HTTPS), ograniczenie dostępu do danych do osób upoważnionych oraz współpracę wyłącznie z dostawcami zapewniającymi odpowiednie gwarancje ochrony danych [DO UZUPEŁNIENIA: ewentualne dodatkowe środki].
17. Zmiany Polityki
Polityka może być aktualizowana, w szczególności w razie zmiany przepisów, stosowanych narzędzi lub zakresu usług (np. uruchomienia płatności online). Aktualna wersja jest zawsze dostępna na Stronie wraz z datą obowiązywania.