Polityka prywatności

Wersja z 22 października 2026 r. — wersja archiwalna, obowiązywała do 23 października 2026 r. Aktualna: zamelduj.pl/polityka-prywatnosci.

1. Kto jest administratorem

Administratorem danych osobowych zbieranych przez serwis zamelduj.pl (strona, blog, lista oczekujących, demo) oraz aplikację app.zamelduj.pl jest Paweł Limanówka prowadzący działalność gospodarczą pod firmą „4D Soft” Paweł Limanówka, adres stałego miejsca wykonywania działalności: ul. Józefińska 31a lok. 21, 30-529 Kraków, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, NIP 7272327693, REGON 471696519 (dalej: „my”, „Zamelduj”). Kontakt we wszystkich sprawach dotyczących danych osobowych: [email protected] albo listownie na adres powyżej. Nie wyznaczyliśmy inspektora ochrony danych.

2. Trzy role: administrator, podmiot przetwarzający i Serwis ogłoszeń

Zamelduj to system rezerwacji i ewidencji gości dla małych obiektów noclegowych. Z tego wynikają różne sytuacje:

• Jesteśmy administratorem danych osób odwiedzających stronę, zapisanych na listę oczekujących, korzystających z demo, piszących do nas oraz gospodarzy i ich personelu, którzy korzystają z aplikacji. Tych danych dotyczą sekcje 3–4.
• Jesteśmy podmiotem przetwarzającym (art. 28 RODO) danych gości, które obiekt noclegowy wprowadza do systemu lub które trafiają tam z formularza rezerwacji na stronie obiektu. Administratorem tych danych jest obiekt, a my przetwarzamy je wyłącznie na jego polecenie i w jego imieniu. Zasady tego przetwarzania określa Umowa powierzenia przetwarzania danych osobowych, która jest załącznikiem do Regulaminu usługi zamelduj.pl. Szczegóły w sekcji 5.
• Jesteśmy administratorem treści, które gospodarz przekazuje Serwisowi ogłoszeń (tekst swojej strony, pliki) w celu przygotowania szkicu ogłoszenia. Opis w sekcji 3.

3. Jakie dane zbieramy jako administrator i po co

Lista oczekujących (wczesny dostęp)

Adres e-mail oraz opcjonalnie imię, numer telefonu i rodzaj obiektu. Cel: kontakt w sprawie wczesnego dostępu i założenia konta. Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą możesz cofnąć w każdej chwili e-mailem — bez wpływu na zgodność wcześniejszego przetwarzania. Dane trzymamy do cofnięcia zgody, najpóźniej 12 miesięcy od otwarcia kont. Formularz zapisuje też tymczasowo adres IP w liczniku antyspamowym; licznik wygasa po 24 godzinach.

Demo (demo.zamelduj.pl)

Demo to pokazowa wersja aplikacji z wymyślonymi danymi, które co noc kasujemy i zakładamy od nowa. Nie wpisuj tam prawdziwych danych swoich gości — wszystko, co wpiszesz, zniknie przy najbliższym czyszczeniu. Do demo logujesz się kontem Google; zapisujemy wtedy identyfikator konta Google. Jeśli zgodzisz się na kontakt, zapisujemy też Twój adres e-mail i treść zgody w osobnej bazie, której czyszczenie nie obejmuje. Cel: odezwać się w sprawie Zamelduj. Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO). Dane trzymamy do cofnięcia zgody, najdłużej 12 miesięcy od ostatniego jej udzielenia. Po cofnięciu zgody od razu usuwamy adres e-mail; zostaje tylko wpis bez adresu (skrót identyfikatora, data i wersja treści zgody) jako dowód, że zgodę uszanowaliśmy (lit. f). Kopie zapasowe tej bazy przechowujemy do 90 dni.

Korespondencja

Dane zawarte w wiadomości e-mail, a jeśli umówimy się na rozmowę telefoniczną lub czat — dane potrzebne do kontaktu i ustalenia z tej rozmowy (adres, imię i nazwisko, numer telefonu, treść). Cel: odpowiedź i prowadzenie sprawy. Podstawa: nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO) albo — gdy sprawa dotyczy umowy — jej wykonanie (lit. b). Korespondencję przechowujemy do zakończenia sprawy, a jeśli może z niej wynikać roszczenie, do upływu okresu przedawnienia. Poczta na [email protected] trafia do skrzynki Google (sekcja 6).

Konto gospodarza w aplikacji

Dane osoby zakładającej i obsługującej konto: imię i nazwisko, adres e-mail, identyfikator konta Google (logowanie odbywa się przez Google, nie przechowujemy haseł). Dane obiektu i firmy: nazwa, adres, NIP, numer CWTON, dane kontaktowe podawane gościom, ustawienia cennika i polityki anulacji, deklaracja statusu podatkowego wraz z historią jej zmian. Cel: zawarcie i wykonanie umowy, w tym korespondencja o akceptacji Regulaminu, która jest dowodem zawarcia umowy. Podstawa: umowa (art. 6 ust. 1 lit. b RODO). Przechowujemy je przez czas trwania umowy, a po jej zakończeniu do upływu okresu przedawnienia roszczeń; dokumenty księgowe — 5 lat od końca roku podatkowego (art. 6 ust. 1 lit. c RODO).

Personel. Dane osób, które gospodarz zaprasza do swojego konta (imię i nazwisko, adres e-mail, rola), otrzymujemy od gospodarza, nie od tych osób (art. 14 RODO). Cel: dostęp do konta w zakresie nadanej roli. Podstawa: uzasadniony interes gospodarza i nasz w wykonaniu umowy (lit. f). Przechowujemy je przez czas trwania umowy, a po jej zakończeniu do upływu okresu przedawnienia roszczeń.

Rejestr zdarzeń. Aplikacja zapisuje, kto (adres e-mail osoby z konta) i kiedy wykonał ważne działanie, np. przyjął wpłatę albo zmienił rezerwację. Cel: rozliczalność i obrona przed roszczeniami. Podstawa: uzasadniony interes (lit. f). Wpisy przechowujemy przez czas trwania umowy, a po jej zakończeniu do upływu okresu przedawnienia roszczeń.

Pomoc techniczna i podgląd ekranu. Gdy włączysz w panelu zgodę „Pozwól wsparciu widzieć mój ekran i pokazywać”, nasze wsparcie może na żywo oglądać ekran panelu, na którym pracujesz — razem z widocznymi na nim danymi gości i tekstem, który wpisujesz. Kody dostępu do obiektu, notatki dla gości i poświadczenia dostawców są zasłonięte. Obrazu ekranu nie zapisujemy: serwer trzyma w pamięci tylko bieżący podgląd i kasuje go, gdy zgoda się kończy. Zgodę kończysz w każdej chwili przyciskiem „Zakończ”. Cel: pomoc w korzystaniu z aplikacji. Podstawa: umowa (lit. b); dla danych gości — Umowa powierzenia, § 10.

Abonament

Abonament opłacasz kartą przez Stripe albo przelewem na podstawie faktury, jeśli tak się umówimy. Przy płatności kartą dane karty podajesz bezpośrednio Stripe'owi i nie trafiają na nasze serwery; przechowujemy identyfikator klienta Stripe i status subskrypcji. W obu przypadkach przechowujemy dane do faktur. Podstawa: umowa (lit. b) i obowiązki podatkowe (lit. c). Stripe jest samodzielnym administratorem w zakresie przeciwdziałania oszustwom i własnych obowiązków regulacyjnych; jego polityka: stripe.com/pl/privacy.

Serwis ogłoszeń (sztuczna inteligencja)

Serwis ogłoszeń pomaga gospodarzowi przygotować szkic ogłoszenia na portale. Przetwarzamy treści, które gospodarz sam wskaże: tekst swojej strony, przesłane pliki oraz pliki wybrane z jego Dysku Google (pobiera je przeglądarka gospodarza, a dostęp do Dysku wygasa zaraz po pobraniu). Przed wysłaniem do modelu usuwamy z treści adresy e-mail, numery telefonów, NIP-y i numery kont. Szkic przygotowuje model Claude firmy Anthropic, PBC (USA), wywoływany przez API; według warunków API Anthropic nie używa tych danych do trenowania modeli i przechowuje je najwyżej 30 dni. Szkiców ani przesłanych plików nie zapisujemy po swojej stronie. Do modelu nigdy nie trafiają dane gości. Cel: przygotowanie szkicu ogłoszenia. Podstawa: umowa (lit. b).

Logi techniczne

Adres IP, identyfikator przeglądarki, czas i adres żądania — także żądań z formularza rezerwacji na stronie obiektu i z panelu gościa. Cel: bezpieczeństwo, wykrywanie nadużyć (np. limity zgłoszeń), diagnostyka błędów. Podstawa: uzasadniony interes (lit. f); w zakresie danych gości przetwarzamy je także na polecenie obiektu (sekcja 5). Przechowujemy je nie dłużej niż 90 dni.

4. Pliki cookie i pamięć przeglądarki

Strona zamelduj.pl używa tagu Google (Google Ads, a po skonfigurowaniu także Google Analytics) do mierzenia skuteczności reklam i liczenia odwiedzin. Pliki cookie Google zapisujemy wyłącznie po Twojej zgodzie wyrażonej w banerze (tak każe Prawo komunikacji elektronicznej; podstawa przetwarzania danych: zgoda, art. 6 ust. 1 lit. a RODO). Bez zgody tag działa w trybie bez plików cookie (Consent Mode) i przesyła Google jedynie zanonimizowane sygnały. Zgodę zmienisz lub cofniesz w każdej chwili przyciskiem „Ustawienia cookies” w stopce strony. Twój wybór zapamiętujemy w pamięci przeglądarki (localStorage), nie w pliku cookie.

Niezależnie od zgody liczymy, jak strona główna i blog są używane: ile było wejść na którą stronę, jak głęboko przewinięto stronę, ile razy kliknięto przyciski i zaczęto wypełniać formularz. To wyłącznie dzienne liczniki — bez plików cookie, bez zapisywania czegokolwiek w Twojej przeglądarce, bez adresu IP i bez identyfikatora, który pozwoliłby powiązać zdarzenia z jedną osobą. Liczniki przechowujemy u Cloudflare przez 90 dni. Z tego samego powodu korzystamy z Cloudflare Web Analytics, który liczy odwiedziny bez plików cookie.

Aplikacja app.zamelduj.pl używa wyłącznie plików cookie niezbędnych do działania: sesji logowania i ochrony przed fałszowaniem żądań (CSRF). Takie pliki nie wymagają zgody i nie służą do śledzenia.

Formularz rezerwacji na stronie obiektu i panel gościa zapisują w przeglądarce wyłącznie to, co jest niezbędne do dokończenia rezerwacji (wyjątek z art. 399 ust. 3 Prawa komunikacji elektronicznej): formularz — losowy identyfikator urządzenia (ochrona przed nadużyciami) i wybrane daty oraz opcje rezerwacji na czas otwartej karty; panel gościa — plik cookie, który utrzymuje dostęp do Twojej rezerwacji. Nie używają cookies analitycznych ani reklamowych. Formularz działa na stronie obiektu, więc te wpisy zapisują się w przeglądarce pod adresem strony obiektu.

Narzędzie	Dostawca	Cel	Jak długo
tag Google (Google Ads, Google Analytics)	Google	pomiar reklam i odwiedzin — tylko po zgodzie	do 2 lat albo do cofnięcia zgody
zapis wyboru zgody (localStorage)	Zamelduj	pamiętanie Twojej decyzji z banera	do usunięcia w przeglądarce
liczniki odwiedzin, Cloudflare Web Analytics	Cloudflare	statystyka bez plików cookie	liczniki 90 dni; nic w przeglądarce
cookies sesji i CSRF w app.zamelduj.pl	Zamelduj	logowanie i bezpieczeństwo	czas sesji
identyfikator urządzenia w formularzu rezerwacji (localStorage)	Zamelduj	ochrona przed nadużyciami	do usunięcia w przeglądarce
stan rezerwacji w formularzu (sessionStorage)	Zamelduj	dokończenie rezerwacji	do zamknięcia karty
cookie panelu gościa	Zamelduj	dostęp do Twojej rezerwacji	30 dni

5. Dane gości obiektów — przetwarzanie w imieniu obiektu

Gdy rezerwujesz nocleg w obiekcie korzystającym z Zamelduj, Twoje dane trafiają do systemu jako dane tego obiektu. Obiekt decyduje, jakie dane zbiera i w jakim celu — prowadzi rezerwacje, rozliczenia, a jeśli tak zdecyduje, także księgę gości (np. w związku ze standardami ochrony małoletnich lub przepisami, które wejdą w życie). My zapewniamy narzędzie i infrastrukturę. Korzystając z panelu gościa, korzystasz z narzędzia, które dostarczamy obiektowi; regulamin pobytu i warunki rezerwacji ustala obiekt.

Zakres danych, które system może przetwarzać na polecenie obiektu:

• dane rezerwacji: imię i nazwisko, e-mail, telefon, język, daty pobytu, liczba osób w kategoriach wiekowych, zwierzęta, uwagi, kod rabatowy;
• zgody i oświadczenia: akceptacja regulaminu pobytu obiektu wraz z jego wersją, przyjęcie informacji o braku prawa odstąpienia, akceptacja zasad domu;
• dane rozliczeniowe: kwoty, terminy, metoda i status wpłat, zwrotów i kaucji, identyfikatory transakcji nadane przez Stripe;
• numer rachunku bankowego podany do zwrotu kaucji (gdy kaucja jest zwracana przelewem);
• dane nabywcy faktury: nazwa lub imię i nazwisko, adres, NIP;
• dane pobytu: nazwiska współgości, godzina przyjazdu, formularz przed przyjazdem;
• imię i nazwisko dziecka oraz jego relacja z dorosłym opiekunem — tylko gdy obiekt włączy to pytanie;
• wpisy księgi gości — tylko gdy obiekt ją prowadzi;
• treść wiadomości e-mail wysyłanych do gościa przez system i status ich doręczenia.

Nie zbieramy numerów PESEL, numerów ani skanów dokumentów tożsamości, dat urodzenia ani obywatelstwa.

Płatności gości trafiają bezpośrednio na konto gospodarza obiektu u operatora płatności. Nie przechodzą przez nasze rachunki i nie mamy do nich dostępu.

Jak długo. Domyślne okresy ustawia system i są opisane w Umowie powierzenia (Załącznik A): dane osoby z nieopłaconej, wygasłej rezerwacji — 14 dni; numer rachunku do zwrotu kaucji — 14 dni od zwrotu; dane pobytu — do końca roku wyjazdu plus 6 lat; dane nabywcy faktury — do końca roku terminu płatności podatku plus 5 lat; relacja dziecka z dorosłym — 30 dni od wyjazdu; wpisy księgi gości — od 1 do 50 lat, według ustawienia obiektu. Po tym czasie usuwamy dane osoby, a rezerwacja zostaje jako statystyka bez danych osobowych.

Komu. Dane gości przetwarzają nasi podwykonawcy: OVH (serwery i baza danych w Polsce), Cloudflare (przesyłanie ruchu), Resend (wysyłka e-maili do gości), a gdy obiekt włączy kanał sprzedaży — Beds24 (wymiana rezerwacji z portalami). Gdy obiekt włączy płatności online lub faktury, dane trafiają do Stripe i inFakt — na konto obiektu, na podstawie jego własnych umów z tymi firmami. Przez kalendarz iCal portale rezerwacyjne dostają wyłącznie zajęte terminy, bez danych gości. Dane gości nie trafiają do dostawców sztucznej inteligencji. Pełna lista: zamelduj.pl/podprocesorzy.

Twoje prawa jako gościa. Z wnioskami o dostęp, sprostowanie lub usunięcie danych zwróć się do obiektu, w którym rezerwowałeś. Jeśli napiszesz do nas, przekażemy wniosek obiektowi w ciągu 3 dni roboczych i pomożemy go załatwić. Usunięcie danych nie obejmuje ewidencji wpłat i faktur w zakresie, w jakim obiekt musi je przechowywać na podstawie przepisów podatkowych. Po zakończeniu umowy z obiektem zwracamy mu dane lub je usuwamy, zgodnie z jego dyspozycją i przepisami.

6. Komu przekazujemy dane

Podwykonawcy — przetwarzają dane na nasze polecenie, na podstawie umów powierzenia:

• OVH sp. z o.o. (Wrocław) — serwery aplikacji, baza danych i kopie zapasowe (centrum danych w Warszawie);
• Cloudflare, Inc. (USA) — DNS, przesyłanie i ochrona ruchu do aplikacji, hosting strony zamelduj.pl i Serwisu ogłoszeń, lista oczekujących, liczniki odwiedzin bez plików cookie i przekierowanie poczty przychodzącej;
• Plus Five Five, Inc. (Resend) (USA) — wysyłka wiadomości e-mail z systemu (potwierdzenia, przypomnienia);
• Anthropic, PBC (USA) — model sztucznej inteligencji w Serwisie ogłoszeń, wyłącznie treści przekazane przez gospodarza, nigdy dane gości;
• Beds24 GmbH (Berlin) — kanał sprzedaży (channel manager): wymiana dostępności, cen i rezerwacji z portalami, wyłącznie dla obiektów, które go włączą.

Dostawcy działający na polecenie obiektu, na podstawie jego własnych umów — tylko gdy obiekt włączy daną funkcję:

• Stripe Payments Europe, Ltd. (Irlandia) i spółki grupy Stripe — płatności gości na konto obiektu (Stripe jest też samodzielnym administratorem w zakresie przeciwdziałania oszustwom);
• inFakt Sp. z o.o. (Kraków) — faktury wystawiane z konta obiektu.

Odrębni administratorzy:

• Google Ireland Ltd. / Google LLC (USA) — logowanie do aplikacji i demo, skrzynka pocztowa, do której trafia korespondencja na [email protected], pliki z Dysku Google wybrane przez gospodarza w Serwisie ogłoszeń oraz — po Twojej zgodzie — pomiar reklam i odwiedzin na stronie zamelduj.pl (Google Ads, Google Analytics);
• Stripe — abonament Zamelduj opłacany kartą (sekcja 3).

Dane możemy też udostępnić organom publicznym, gdy wymaga tego prawo. Nie sprzedajemy danych i nie udostępniamy ich do celów marketingowych osób trzecich.

7. Przekazywanie poza Europejski Obszar Gospodarczy

Cloudflare, Resend, Anthropic, Google LLC i Stripe, Inc. to podmioty z siedzibą w USA; Resend przechowuje dane w USA. Przekazywanie danych do Cloudflare, Resend, Google i Stripe odbywa się na podstawie decyzji Komisji Europejskiej w sprawie EU-US Data Privacy Framework (te podmioty są certyfikowane) oraz standardowych klauzul umownych zatwierdzonych przez Komisję. Do Anthropic przekazujemy dane na podstawie standardowych klauzul umownych. Gdyby decyzja w sprawie Data Privacy Framework została uchylona, podstawą przekazywania pozostaną standardowe klauzule umowne. Kopię zabezpieczeń udostępnimy na prośbę.

8. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii;
• sprostowania danych nieprawidłowych lub niepełnych;
• usunięcia danych, gdy nie ma już podstawy do ich przetwarzania;
• ograniczenia przetwarzania;
• przenoszenia danych przetwarzanych na podstawie zgody lub umowy;
• sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie;
• cofnięcia zgody w każdej chwili;
• skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Wnioski kieruj na [email protected]. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Jeśli jesteś gościem obiektu, właściwym adresatem wniosku o Twoje dane z rezerwacji jest obiekt (sekcja 5). Podanie danych jest dobrowolne, ale bez adresu e-mail nie zapiszemy Cię na listę, a bez danych konta nie założymy obiektu.

9. Bezpieczeństwo

Połączenia ze stroną i aplikacją są szyfrowane (TLS). Do aplikacji logujesz się kontem Google — nie przechowujemy haseł. Dostęp do danych zależy od roli w koncie, a ważne działania zapisujemy w rejestrze zdarzeń. Dane gości usuwamy automatycznie po upływie okresów przechowywania (sekcja 5). Dane kart płatniczych przetwarza wyłącznie Stripe i nie dotykają naszych serwerów. Kopie zapasowe bazy danych wykonujemy codziennie i przechowujemy przez 7 dni.

10. Zmiany polityki

Zmiany publikujemy na tej stronie z nową datą wersji. O zmianach istotnych dla użytkowników aplikacji poinformujemy dodatkowo e-mailem.

11. Historia wersji

• 22 października 2026 r. — pełne dane administratora; odesłania do Regulaminu, Umowy powierzenia i listy podprocesorów; nowe opisy: demo, personel i rejestr zdarzeń, Serwis ogłoszeń, pamięć przeglądarki w formularzu rezerwacji i panelu gościa; pełny zakres danych gości i okresy ich przechowywania; podział odbiorców na podwykonawców, dostawców obiektu i odrębnych administratorów; Anthropic; kopie zapasowe.
• 1 października 2026 r. — pierwsza wersja.