Polityka prywatności i plików cookies

Operatorem serwisu WaveStory.pl (dalej „Serwis") oraz administratorem Twoich danych osobowych (dalej „Administrator") jest:

Administrator nie wyznaczył Inspektora Ochrony Danych. We wszelkich sprawach dotyczących ochrony danych osobowych możesz kontaktować się bezpośrednio pod adresem e-mail powyżej.

WaveStory to platforma premium, która łączy trzy obszary:

• Strona informacyjna i blog — pod adresem https://wavestory.pl prezentujemy ofertę, pakiety i materiały edukacyjne.
• Sklep — pod ścieżkami /pakiety oraz /zamowienie umożliwiamy zakup pakietów usług (Basic, Standard, Premium oraz pakietów indywidualnych) i zbieramy dane niezbędne do realizacji zamówienia i wystawienia faktury.
• Aplikacja (panel pary młodej i strony gości) — po aktywacji pakietu para młoda otrzymuje dostęp do panelu pod adresem /panel, a ich goście mogą korzystać z publicznych stron /e/[kod_wydarzenia] oraz /r/[kod_zaproszenia], na których potwierdzają obecność, przesyłają zdjęcia, proponują utwory muzyczne i biorą udział w dodatkowych modułach (quiz, wybór diety, rezerwacja prezentu).

Przetwarzamy następujące kategorie danych osobowych:

3.1. Dane kupującego (sklep)

Podczas składania zamówienia zbieramy: imię i nazwisko, adres e-mail, numer telefonu, adres rozliczeniowy (ulica, kod pocztowy, miasto), a jeśli kupujesz jako przedsiębiorca dodatkowo — NIP i nazwę firmy. Dane te są niezbędne do zawarcia i wykonania umowy sprzedaży oraz wystawienia faktury.
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy), art. 6 ust. 1 lit. c RODO (obowiązki podatkowe i rachunkowe).

3.2. Dane konta pary młodej

Po opłaceniu pakietu wysyłamy zaproszenie na wskazany adres e-mail. W ramach konta w panelu przechowujemy: imię i nazwisko obojga z pary, numer telefonu, datę wydarzenia, personalizację zaproszenia (tytuły, kolory, banery, zdjęcia).
Podstawa prawna: art. 6 ust. 1 lit. b RODO (świadczenie usługi).

3.3. Dane gości weselnych (tryb publiczny)

Goście pary młodej korzystają z serwisu bez zakładania konta. W ich przypadku przetwarzamy: imię i nazwisko (przy potwierdzeniu obecności, w quizie lub przy rezerwacji prezentu), informację o wybranej diecie (opcjonalnie), zdjęcia i filmy, które dobrowolnie przesyłają na galerię wydarzenia, propozycje utworów muzycznych oraz anonimowy identyfikator sesji gościa (cookie). Administratorem tych danych pozostaje AnyWave, natomiast dostęp operacyjny do materiałów ma para młoda, która jest odbiorcą usługi.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda — dobrowolne przesłanie treści) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — dostawa usługi na rzecz pary młodej).

3.4. Dane z formularzy kontaktowych i zgłoszeń

Jeśli wysyłasz zapytanie lub zgłoszenie przez formularz kontaktowy, zbieramy adres e-mail, treść wiadomości oraz dane identyfikacyjne podane dobrowolnie.
Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — komunikacja z użytkownikami).

3.5. Dane techniczne

Adres IP, typ przeglądarki, system operacyjny, identyfikatory plików cookies, dane o sposobie korzystania ze Serwisu (odwiedzane podstrony, czas wizyty, kliknięcia). Zbieramy je automatycznie.
Podstawa prawna: art. 6 ust. 1 lit. f RODO (cookies niezbędne — prawidłowe działanie serwisu) oraz art. 6 ust. 1 lit. a RODO (cookies analityczne i marketingowe — na podstawie Twojej zgody).

• Dane z zamówień i faktur — przez okres wymagany przepisami prawa, minimum 5 lat od końca roku obrachunkowego, w którym wystawiono fakturę.
• Dane konta pary młodej i materiały z wydarzenia — przez okres obowiązywania umowy (pakietu), a następnie do 24 miesięcy po jej wygaśnięciu lub do momentu usunięcia konta na żądanie.
• Materiały gości (zdjęcia, filmy, propozycje muzyki, potwierdzenia RSVP) — do momentu usunięcia ich przez parę młodą, zakończenia obsługi pakietu lub złożenia żądania usunięcia przez osobę, której dane dotyczą.
• Dane z formularzy kontaktowych — do czasu zakończenia korespondencji, a następnie przez okres przedawnienia ewentualnych roszczeń.
• Dane z Google Analytics — zgodnie z ustawieniami narzędzia (domyślnie do 14 miesięcy).
• Dane marketingowe (piksele Meta, TikTok, Google Ads) — zgodnie z politykami poszczególnych dostawców, z reguły 13 miesięcy od ostatniej interakcji.
• Dane na podstawie zgody — do momentu cofnięcia zgody.

W związku z przetwarzaniem Twoich danych osobowych przysługują Ci:

• prawo dostępu do danych oraz otrzymania ich kopii,
• prawo do sprostowania (poprawiania) danych,
• prawo do usunięcia danych („prawo do bycia zapomnianym"),
• prawo do ograniczenia przetwarzania,
• prawo do przenoszenia danych,
• prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem,
• prawo do wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

W celu realizacji swoich praw skontaktuj się z Administratorem pod adresem kontakt@wavestory.pl. Odpowiadamy w terminie do 30 dni.

Twoje dane osobowe możemy przekazywać następującym kategoriom odbiorców:

• upoważnionym pracownikom i współpracownikom Administratora,
• parze młodej — w zakresie treści przesłanych przez gości jej wydarzenia (zdjęcia, propozycje muzyki, potwierdzenia obecności, odpowiedzi w quizie, rezerwacje prezentów),
• dostawcom infrastruktury chmurowej:
  • Supabase, Inc. (USA) — baza danych i storage plików,
  • small.pl — hosting aplikacji,
• dostawcom narzędzi analitycznych i marketingowych (wyłącznie po wyrażeniu zgody):
  • Google Ireland Limited / Google LLC — Google Analytics 4, Google Ads,
  • Meta Platforms Ireland Limited / Meta Platforms, Inc. — Meta Pixel (Facebook, Instagram),
  • TikTok Technology Limited / TikTok Inc. — TikTok Pixel,
• dostawcy usług płatniczych — Krajowy Integrator Płatności S.A. (Tpay), ul. Plac Andersa 3, 61-894 Poznań — w zakresie obsługi płatności online (BLIK, karty, szybkie przelewy, Apple/Google Pay). Tpay otrzymuje imię, nazwisko, e-mail i kwotę transakcji w celu jej zrealizowania,
• dostawcom usług e-mail transakcyjnego — wysyłka zaproszeń, resetów hasła i powiadomień (SMTP serwera pocztowego),
• podmiotom świadczącym obsługę formularzy kontaktowych — w zakresie koniecznym do przekazania treści zapytania,
• organom państwowym — wyłącznie gdy wynika to z obowiązku prawnego (żądanie sądu, prokuratury itp.).

W związku z korzystaniem z usług Google (Analytics, Ads), Meta (Facebook, Instagram), TikTok oraz Supabase Twoje dane mogą być przekazywane do państw trzecich, w szczególności do Stanów Zjednoczonych. Transfer odbywa się w oparciu o:

• decyzję wykonawczą Komisji Europejskiej z 10 lipca 2023 r. stwierdzającą odpowiedni stopień ochrony danych osobowych w ramach EU–U.S. Data Privacy Framework, do których przystąpili Google LLC oraz Meta Platforms, Inc.,
• standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską — stosowane przez pozostałych dostawców,
• dodatkowe zabezpieczenia techniczne: anonimizacja adresów IP w Google Analytics, ograniczenia przetwarzania danych reklamowych (Data Processing Options w Meta Pixel).

Twoje dane osobowe nie są wykorzystywane do zautomatyzowanego podejmowania decyzji wywołującego wobec Ciebie skutki prawne.

Po wyrażeniu zgody marketingowej dostawcy reklam (Meta, TikTok, Google) mogą korzystać z profilowania w celu doboru reklam — dotyczy to jednak wyłącznie treści reklamowych wyświetlanych w ich sieciach i nie wpływa na warunki świadczonej usługi. Zgodę możesz cofnąć w każdej chwili w ustawieniach ciasteczek.

• szyfrowanie transmisji danych certyfikatem SSL/TLS,
• hasła użytkowników przechowywane w formie hashy (bcrypt) przez dostawcę uwierzytelniania (Supabase Auth),
• dostęp do panelu wyłącznie dla zalogowanych użytkowników z indywidualnymi rolami (para młoda, administrator),
• polityki row-level security w bazie danych,
• rate limiting na endpointach publicznych,
• regularne kopie bezpieczeństwa,
• bieżąca aktualizacja oprogramowania.

Serwis korzysta z plików cookies i podobnych technologii (localStorage, sessionStorage). Dzielimy je na cztery kategorie, nad którymi masz pełną kontrolę w panelu ustawień cookies.

Stosowane cookies mogą być sesyjne (usuwane po zamknięciu przeglądarki) lub stałe (przechowywane przez określony czas, najczęściej od 30 dni do 24 miesięcy — zgodnie z politykami dostawców).

Przy pierwszej wizycie w serwisie wyświetlamy baner cookies, w którym możesz:

• zaakceptować wszystkie pliki cookies,
• odrzucić wszystkie opcjonalne (zostawiając tylko niezbędne),
• dostosować szczegółowo, które kategorie opcjonalne chcesz włączyć (funkcjonalne, analityczne, marketingowe).

Do momentu wyrażenia zgody nie uruchamiamy żadnych skryptów analitycznych ani marketingowych — stosujemy Google Consent Mode v2 z domyślnie ustawionymi flagami „denied".

Swoją decyzję możesz zmienić w dowolnym momencie:

Większość przeglądarek umożliwia również blokowanie lub usuwanie plików cookies po stronie przeglądarki — szczegóły znajdziesz w dokumentacji używanej przeglądarki.

Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności, w szczególności w związku z rozwojem Serwisu (nowe integracje marketingowe, zmiana operatora płatności, dodanie nowych funkcjonalności). O istotnych zmianach poinformujemy użytkowników poprzez publikację zaktualizowanej wersji Polityki na stronie Serwisu oraz — w przypadku zmiany zakresu lub celów przetwarzania wymagających nowej zgody — poprzez ponowne wyświetlenie banera cookies.