Polityka prywatności

Obowiązuje od 2026-10-10

Ta polityka wyjaśnia, jak serwis Volun3 przetwarza dane osobowe, i stanowi informację, o której mowa w art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO). Zawiera też informację o plikach cookie.

1. Administrator danych i kontakt

Usługodawcą serwisu jest Szymon Haponiuk, osoba fizyczna prowadząca działalność nierejestrowaną, adres: ul. Rydygiera 13/37, 01-793 Warszawa, Polska, e-mail: shaponiuk@volun3.com (dalej: „Usługodawca”). Usługodawca nie wyznaczył inspektora ochrony danych; we wszystkich sprawach dotyczących danych osobowych można pisać na powyższy adres e-mail.

2. Dwie role: administrator i podmiot przetwarzający

Z serwisu korzystają organizacje (np. wspólnoty, stowarzyszenia, zespoły wolontariuszy), które planują w nim grafiki swoich członków. Dlatego Usługodawca występuje w dwóch rolach:

• Organizacja jest administratorem danych, które jej administratorzy wprowadzają o członkach i wolontariuszach (osoby, role, kategorie, wydarzenia, przydziały, dostępność, konta logowania utworzone dla członków). Usługodawca przetwarza te dane wyłącznie w imieniu organizacji, jako podmiot przetwarzający, na podstawie umowy powierzenia przetwarzania danych stanowiącej załącznik do Regulaminu. Pytania i żądania dotyczące tych danych (np. ich sprostowania lub usunięcia) należy kierować w pierwszej kolejności do swojej organizacji; Usługodawca pomoże jej je zrealizować.
• Usługodawca jest administratorem danych potrzebnych do świadczenia i zabezpieczenia samej usługi: danych osoby zakładającej organizację, danych logowania (w zakresie zawarcia i wykonania umowy o świadczenie usług), dzienników technicznych i zabezpieczeń, danych wysyłki wiadomości oraz korespondencji kierowanej do Usługodawcy.

3. Jakie dane przetwarzamy

• Dane konta logowania: adres e-mail (służący do logowania) i informacja, czy został potwierdzony, skrót (hash) hasła — nigdy samo hasło, wybrany język, ustawienie czasu pozostania zalogowanym, uprawnienia administracyjne, data i wersja zaakceptowanego Regulaminu.
• Dane osoby w organizacji: imię, nazwisko, adres e-mail, przynależność do kategorii i kompetencje (role), status aktywności.
• Dane grafiku: zgłoszona dostępność na wydarzenia wraz z opcjonalną notatką, przydziały do ról, potwierdzenia przydziałów.
• Dane techniczne: sekretny adres kalendarza (token), jednorazowe linki (zaproszenia, resetu hasła, potwierdzenia adresu e-mail — przechowywane jako losowe tokeny lub ich skróty), liczniki ograniczające liczbę prób logowania i rejestracji (przechowywane jako nieodwracalne skróty adresu IP lub identyfikatora, bez samego adresu), treść i adresat wiadomości oczekujących na wysyłkę.
• Korespondencja kierowana do Usługodawcy (np. reklamacje, żądania z RODO).

Serwis nie służy do przetwarzania szczególnych kategorii danych (art. 9 RODO). Organizacja nie powinna wpisywać takich danych, np. w notatkach czy opisach wydarzeń.

4. Cele i podstawy prawne przetwarzania (gdy Usługodawca jest administratorem)

Cel	Podstawa prawna
Założenie konta i organizacji, świadczenie usługi, wysyłka wiadomości niezbędnych do korzystania z niej (potwierdzenie adresu, reset hasła, zaproszenia, komunikaty o usłudze, np. o planowanych pracach serwisowych)	art. 6 ust. 1 lit. b RODO — wykonanie umowy o świadczenie usług drogą elektroniczną
Bezpieczeństwo serwisu: ochrona przed nadużyciami i atakami (limity prób logowania, dzienniki techniczne)	art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Usługodawcy
Rozpatrywanie reklamacji i żądań, kontakt z użytkownikami	art. 6 ust. 1 lit. b, c i f RODO
Ustalenie, dochodzenie i obrona roszczeń	art. 6 ust. 1 lit. f RODO

Dane wprowadzane przez organizację przetwarzane są w celach i na podstawach określonych przez tę organizację jako administratora.

5. Odbiorcy danych

Dane nie są sprzedawane ani udostępniane w celach marketingowych. Mogą je otrzymać:

• OVH SAS (Roubaix, Francja) — dostawca serwerów, na których działa serwis i jest przechowywana baza danych, oraz poczty e-mail, przez którą serwis wysyła wiadomości; dane przetwarzane są na serwerach w Unii Europejskiej;
• usługi kalendarzowe (np. Google Calendar, Outlook, Apple Calendar), które pobierają kalendarz osoby — wyłącznie gdy ta osoba sama doda do nich adres swojego kalendarza; dostawcy tych usług przetwarzają dane według własnych zasad;
• administratorzy organizacji, do której należy dana osoba, w zakresie danych tej organizacji;
• zalogowani członkowie organizacji, którzy na stronie Pomoc widzą imię i nazwisko oraz adres e-mail administratorów tej organizacji, aby wiedzieć, do kogo zwrócić się o pomoc;
• organy publiczne, gdy obowiązek przekazania danych wynika z przepisów prawa.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Usługodawca nie przekazuje danych poza Europejski Obszar Gospodarczy. Jeśli zrobi to sama osoba, dodając swój kalendarz do usługi spoza EOG, odbywa się to na jej własne żądanie.

7. Jak długo przechowujemy dane

• Dane konta logowania — do jego usunięcia (przez Ciebie w ustawieniach lub przez organizację) albo do usunięcia całej organizacji.
• Dane osoby w organizacji — do usunięcia przez Ciebie konta wraz z danymi w ustawieniach, do usunięcia osoby przez organizację albo do usunięcia całej organizacji. Usługodawca nie przechowuje kopii zapasowych, więc usunięcie jest ostateczne.
• Wiadomości e-mail — treść jest kasowana z bazy w chwili wysłania; adresat, temat i status wysyłki są przechowywane przez 14 dni, a potem usuwane.
• Liczniki ograniczające liczbę prób (skróty adresów IP i identyfikatorów) — do 24 godzin.
• Linki jednorazowe — ważne 1 godzinę (reset hasła) lub 7 dni (potwierdzenie adresu e-mail); zaproszenie — do jego wykorzystania albo usunięcia przez organizację.
• Dzienniki techniczne serwera (adres IP, czas i adres żądania), jeśli są prowadzone — do 30 dni.
• Korespondencja i dane potrzebne do obrony roszczeń — do upływu terminów przedawnienia.

8. Twoje prawa

Przysługuje Ci prawo do: dostępu do danych i otrzymania ich kopii (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20) oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21). Imię, nazwisko, język i hasło możesz sam zmienić w ustawieniach konta. Tam też, w sekcji „Twoje dane”, możesz pobrać kopię swoich danych (plik JSON) i usunąć swoje konto: razem z danymi osobowymi (Twój profil, dostępność i przydziały są usuwane od razu, a administratorzy organizacji dostają informację, żeby mogli znaleźć zastępstwo w nadchodzących wydarzeniach) albo tylko konto logowania, zostawiając dane, które prowadzi o Tobie organizacja. Pozostałe żądania wyślij na shaponiuk@volun3.com — odpowiemy w ciągu miesiąca. Jeśli żądanie dotyczy danych, których administratorem jest Twoja organizacja, przekażemy je jej i pomożemy w jego realizacji.

9. Skarga do organu nadzorczego

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), jeśli uważasz, że przetwarzanie Twoich danych narusza RODO.

10. Czy podanie danych jest obowiązkowe

Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie można założyć konta ani korzystać z serwisu.

11. Zautomatyzowane decyzje

Serwis nie podejmuje decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany i nie profiluje użytkowników. Podpowiedzi w grafiku (np. kto jest dostępny) są jedynie pomocą dla administratora organizacji, który sam decyduje o przydziałach.

12. Bezpieczeństwo

Stosujemy m.in.: połączenia szyfrowane (HTTPS), przechowywanie haseł wyłącznie w postaci kryptograficznych skrótów, wymóg silnych haseł, limity prób logowania, ochronę przed atakami CSRF i XSS, oddzielenie danych poszczególnych organizacji, panel administracyjny Usługodawcy dostępny wyłącznie lokalnie przez szyfrowany tunel, a także minimalizację danych (np. kasowanie treści wiadomości po wysłaniu).

13. Pliki cookie i pamięć przeglądarki

Serwis używa wyłącznie plików cookie i pamięci przeglądarki niezbędnych do działania usługi lub zapamiętujących ustawienia, które sam wybierasz. Nie używamy cookie analitycznych, reklamowych ani narzędzi śledzących podmiotów trzecich, a czcionki i skrypty serwowane są z naszego serwera. Takie informacje nie wymagają zgody (art. 399 ust. 3 ustawy — Prawo komunikacji elektronicznej); możesz je usunąć lub zablokować w ustawieniach przeglądarki, ale logowanie przestanie wtedy działać.

Nazwa	Rodzaj	Cel	Czas
session	cookie	utrzymanie zalogowania, ochrona formularzy przed atakami CSRF	do zamknięcia przeglądarki
remember_token	cookie	pozostanie zalogowanym po zamknięciu przeglądarki	domyślnie 30 dni
kch-theme	pamięć lokalna	wybrany motyw (jasny/ciemny)	do usunięcia
kch_grid_density	pamięć lokalna	układ grafiku (kompaktowy/wygodny)	do usunięcia
kch_collapsed_cats	pamięć lokalna	zwinięte kategorie w grafiku	do usunięcia

Aplikacja instalowana na ekranie głównym (PWA) przechowuje w pamięci podręcznej przeglądarki wyłącznie pliki stylów, skryptów i ikon — bez Twoich danych.

14. Zmiany polityki

O istotnych zmianach tej polityki poinformujemy w serwisie z wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod adresem /privacy.