Wersja z 5 listopada 2026

Polityka prywatności

Strona sumario.pl służy obecnie wyłącznie do przedstawienia przygotowywanej aplikacji Sumario. Aplikacja nie jest jeszcze dostępna. Na stronie można zrobić dwie rzeczy: polubić projekt (przycisk z sercem) i zostawić adres e-mail, aby dostać wiadomość o starcie. Ten dokument opisuje, co dzieje się z danymi w obu przypadkach oraz z danymi technicznymi osób odwiedzających stronę.

1. Administrator danych

Administratorem danych osobowych jest twórca Sumario, osoba fizyczna (imię, nazwisko i adres zostaną podane w tym miejscu przed uruchomieniem powiadomień e-mail) (dalej: „Administrator”). Kontakt w sprawach danych osobowych: kontakt@sumario.pl. Administrator nie ma obowiązku wyznaczenia inspektora ochrony danych i go nie wyznaczył; we wszystkich sprawach dotyczących danych wystarczy wiadomość na podany adres e-mail.

2. Jakie dane są przetwarzane

Powiadomienie o starcie (pole e-mail): adres e-mail; data i godzina zapisu; dokładna treść informacji widocznej przy polu w chwili zapisu i jej wersja; skrót (HMAC-SHA256) adresu IP, z którego nie da się odtworzyć adresu, obliczony z tajnym kluczem przechowywanym po stronie serwera; nazwa przeglądarki (user agent); losowy identyfikator techniczny wpisu, potrzebny do przyszłego linku rezygnacji w wiadomości (nie jest nigdzie przekazywany); parametry utm z adresu strony (utm_source, utm_medium, utm_campaign), jeśli były w linku, z którego nastąpiło wejście. Sam adres IP nie jest zapisywany.
Polubienie projektu (serce): skrót (HMAC-SHA256) adresu IP i nazwy przeglądarki, obliczony z tym samym tajnym kluczem, oraz data i godzina kliknięcia. Nie jest zapisywany adres IP, nazwa przeglądarki, adres e-mail ani żaden inny identyfikator; polubienie nie wymaga konta. Skrót służy wyłącznie do tego, żeby jedno urządzenie liczyło się raz (urządzenia za jednym łączem liczą się osobno, jeśli różni je przeglądarka albo jej wersja) i żeby ograniczyć automaty. Licznik polubień pokazywany na stronie to liczba takich wierszy.
Próby wysłania formularza i kliknięcia serca: skrót adresu IP, rodzaj próby i czas, przechowywane do 48 godzin (kasowane codziennym zadaniem po upływie 24 godzin) wyłącznie do limitowania liczby prób.
Rezygnacja z powiadomienia: po usunięciu adresu Administrator zachowuje wyłącznie skrót (HMAC) adresu e-mail obliczony z tajnym kluczem, wersję informacji z chwili zapisu, datę zapisu i datę rezygnacji, jako dowód, że zgoda była i została wycofana.
Odwiedziny strony: standardowe logi dostawcy hostingu (adres IP, czas, żądany adres, przeglądarka), przechowywane przez dostawcę krótko, w celach bezpieczeństwa. Strona nie prowadzi analityki ani profilowania.
Korespondencja e-mail: treść wiadomości i dane podane w niej dobrowolnie.
Dostęp do wersji roboczej aplikacji (na klucz): plik cookie dostępu (pkt 10); wersja robocza działa na firmach przykładowych i nie zbiera danych osobowych.

3. Cele i podstawy prawne

Cel	Podstawa prawna
Wysłanie wiadomości e-mail o starcie Sumario, a w razie potrzeby informacji o testach przed startem lub o zmianie terminu.	Zgoda (art. 6 ust. 1 lit. a RODO), wyrażona przez wpisanie adresu w pole e-mail i kliknięcie przycisku „Powiadom mnie o starcie”; jest to jednocześnie zgoda na otrzymanie informacji handlowej drogą elektroniczną (art. 398 ust. 1 i 2 ustawy z 12 lipca 2024 r. Prawo komunikacji elektronicznej). Obecnie żadne wiadomości nie są wysyłane; pierwszą może być prośba o potwierdzenie adresu.
Udokumentowanie zgody (treść i wersja informacji, czas, skrót adresu IP, nazwa przeglądarki), obsługa rezygnacji, ustalenie i obrona roszczeń.	Prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO); art. 7 ust. 1 RODO wymaga, aby Administrator mógł wykazać zgodę.
Zliczanie polubień tak, aby jedno urządzenie (połączenie i przeglądarka) liczyło się raz, oraz ograniczanie automatów i nadużyć przy polubieniach i zapisach (limity prób).	Prawnie uzasadniony interes Administratora: rzetelny licznik i bezpieczeństwo strony (art. 6 ust. 1 lit. f RODO, motywy 47 i 49).
Ustalenie, z jakiego źródła (parametry utm) pochodzą zapisy, aby ocenić, które kanały informowania o Sumario działają.	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO); parametry nie są łączone z żadnym profilem ani identyfikatorem reklamowym.
Rozpatrywanie żądań dotyczących danych osobowych.	Obowiązek prawny (art. 6 ust. 1 lit. c RODO).
Odpowiedź na korespondencję.	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Dane nie są wykorzystywane do marketingu innych produktów ani podmiotów trzecich, nie są nikomu udostępniane w celach marketingowych i nie służą do wysyłania czegokolwiek poza wiadomościami opisanymi wyżej.

4. Dobrowolność

Podanie adresu e-mail jest dobrowolne i potrzebne wyłącznie po to, żeby dostać wiadomość o starcie; bez niego można normalnie korzystać ze strony i polubić projekt. Polubienie jest dobrowolne i nie wymaga podania żadnych danych; zapisywany jest tylko skrót adresu IP i nazwy przeglądarki oraz czas. Zgodę na wiadomość e-mail można wycofać w każdej chwili; wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

5. Wycofanie zgody i rezygnacja

Rezygnacja jest równie łatwa jak zapis: wystarczy wiadomość na kontakt@sumario.pl z adresem, który ma zostać usunięty (nie trzeba podawać przyczyny). Adres jest usuwany najpóźniej w ciągu 3 dni roboczych, a osoba dostaje krótkie potwierdzenie. Po uruchomieniu wysyłki każda wiadomość będzie zawierać link rezygnacji działający od razu. Rezygnacja oznacza wycofanie zgody i usunięcie adresu; zostaje tylko ślad opisany w pkt 2 (skrót adresu, wersja informacji, daty).

Polubienie można cofnąć tym samym przyciskiem w tej samej przeglądarce i z tego samego połączenia; niezależnie od tego skrót jest kasowany automatycznie po 12 miesiącach. Informację „polubione” zapisaną w przeglądarce można usunąć, czyszcząc dane strony w przeglądarce.

6. Okresy przechowywania

Adres e-mail i dane zapisu: do wycofania zgody, a najpóźniej 30 dni po wysłaniu wiadomości o starcie Sumario (wtedy cel jest spełniony). Jeśli start się opóźni, nie dłużej niż 24 miesiące od zapisu; po tym czasie adres zostanie usunięty, chyba że osoba potwierdzi, że nadal chce dostać wiadomość. W razie decyzji o zakończeniu projektu adresy są usuwane w ciągu 30 dni, a osoby informowane jedną wiadomością.
Skrót adresu IP i nazwa przeglądarki przy zapisie adresu e-mail: 12 miesięcy od zapisu, potem kasowane automatycznie (codzienne zadanie w bazie); zostaje treść i wersja informacji oraz czas.
Skrót adresu IP i nazwy przeglądarki przy polubieniu: 12 miesięcy od kliknięcia, potem kasowany automatycznie; liczba polubień pozostaje jako sama liczba, bez danych.
Próby wysłania formularza i kliknięcia serca używane do limitów: do 48 godzin (kasowane codziennym zadaniem po upływie 24 godzin).
Ślad po rezygnacji (skrót adresu e-mail, wersja informacji, daty): 3 lata od rezygnacji, w związku z terminem przedawnienia roszczeń (art. 118 Kodeksu cywilnego); kasowany automatycznie.
Korespondencja: do 12 miesięcy od zakończenia sprawy.
Logi dostawcy hostingu: zgodnie z zasadami dostawcy, krótko (pkt 7).

7. Odbiorcy danych i przekazywanie poza Europejski Obszar Gospodarczy

Dane przetwarzają w imieniu Administratora, na podstawie umów powierzenia (art. 28 RODO), następujące podmioty:

Supabase, Inc. (USA) / Supabase Pte. Ltd. (Singapur): baza danych (adresy e-mail, skróty, polubienia). Dane są przechowywane w centrum danych w Unii Europejskiej (infrastruktura Amazon Web Services). Wyjątkowy dostęp techniczny zespołu wsparcia spoza EOG odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej (decyzja 2021/914). Umowa powierzenia i lista podwykonawców: supabase.com/legal/dpa.
Vercel, Inc. (USA): hosting strony i obsługa formularza oraz przycisku polubienia. Funkcje serwerowe są skonfigurowane do działania w Unii Europejskiej; część danych technicznych (logi, metadane żądań) może być przetwarzana w USA. Vercel uczestniczy w programie EU-U.S. Data Privacy Framework (decyzja Komisji Europejskiej 2023/1795), a umowa powierzenia zawiera dodatkowo standardowe klauzule umowne. Umowa: vercel.com/legal/dpa.
Organy publiczne: wyłącznie, gdy wymaga tego prawo.

Strona zawiera link do profilu Sumario w serwisie Instagram (Meta Platforms Ireland Ltd.). Jest to zwykły link: strona nie osadza treści z Instagrama ani nie ładuje jego skryptów czy pikseli, więc samo wejście na sumario.pl nie przekazuje Meta żadnych danych. Po kliknięciu linku obowiązują zasady prywatności Meta.

Kopię zabezpieczeń transferu można uzyskać pod podanymi adresami albo pisząc na kontakt@sumario.pl.

8. Prawa osób, których dane dotyczą

Każdej osobie przysługuje prawo: dostępu do danych i ich kopii; sprostowania; usunięcia; ograniczenia przetwarzania; przenoszenia danych (dane przetwarzane na podstawie zgody); sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie; wycofania zgody w dowolnym momencie. Żądania można kierować na kontakt@sumario.pl; odpowiedź następuje najpóźniej w ciągu miesiąca. W przypadku polubień Administrator nie jest w stanie ustalić, który wiersz dotyczy danej osoby (art. 11 RODO), chyba że osoba sama wskaże adres IP, z którego kliknęła, i datę. Przysługuje też prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

9. Zautomatyzowane decyzje i profilowanie

Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu i nie profiluje. Licznik polubień to zwykła liczba wierszy w bazie; zapisanie adresu e-mail nie wiąże się z żadną kolejką, numerem ani oceną. Jedynym automatycznym mechanizmem są limity liczby prób (ochrona przed automatami), które nie wywołują skutków prawnych wobec osoby.

10. Cookies i pamięć przeglądarki

Strona nie używa plików cookies ani innych technologii zapisu w urządzeniu do celów analitycznych, reklamowych ani do śledzenia. Nie korzysta z narzędzi analitycznych, pikseli, osadzonych treści podmiotów trzecich ani czcionek ładowanych z zewnętrznych serwerów. Dlatego nie wyświetla banera cookies.

W przeglądarce zapisywane są wyłącznie elementy niezbędne do działania funkcji, o którą prosi osoba odwiedzająca (art. 399 ust. 3 pkt 2 ustawy Prawo komunikacji elektronicznej; nie wymagają zgody):

po kliknięciu serca: informacja „polubione” w pamięci przeglądarki (localStorage), dzięki której serce pozostaje wypełnione przy kolejnej wizycie; nie zawiera żadnego identyfikatora ani daty i zostaje w tej przeglądarce do czasu wyczyszczenia jej danych;
plik cookie dostępu do wersji roboczej aplikacji, ustawiany wyłącznie osobom, które weszły z kluczem dostępu (ważny 30 dni);
w wersji roboczej (dostęp na klucz): ustawienia i dane wpisane podczas testu, zapisane wyłącznie w pamięci tej przeglądarki (localStorage), nieprzesyłane na serwer; znikają po wyczyszczeniu danych strony.

Strona nie zapisuje nic w pamięci sesji (sessionStorage). Jeśli w przyszłości pojawią się narzędzia wymagające zgody, polityka zostanie zaktualizowana, a Administrator poprosi o zgodę przed ich uruchomieniem.

11. Bezpieczeństwo

Połączenie ze stroną jest szyfrowane (HTTPS), baza danych jest szyfrowana w spoczynku, a dostęp do niej ma wyłącznie Administrator; dostawca bazy może uzyskać dostęp techniczny wyłącznie w zakresie opisanym w pkt 7. Adres IP nie trafia do bazy: zapisywany jest tylko skrót obliczony z tajnym kluczem przechowywanym po stronie serwera, poza bazą; klucz nie jest nikomu udostępniany. Formularz i przycisk polubienia mają limity liczby prób i zabezpieczenia przed automatami. Przeglądarka nie ma bezpośredniego dostępu do bazy; zapis i polubienie przechodzą przez funkcję serwerową. W razie naruszenia ochrony danych, które mogłoby zagrozić prawom osób, Administrator poinformuje je oraz, gdy wymaga tego prawo, Prezesa UODO (w ciągu 72 godzin od stwierdzenia naruszenia).

12. Osoby niepełnoletnie

Strona i powiadomienie o starcie są przeznaczone dla osób pełnoletnich prowadzących działalność gospodarczą lub zamierzających ją założyć; treści nie są kierowane do dzieci. Administrator nie weryfikuje wieku, ale jeśli dowie się, że adres e-mail należy do osoby poniżej 16 lat, usunie go. Polubienie nie wiąże się z podaniem danych, które pozwalałyby ustalić wiek.

13. Zmiana administratora w przyszłości

Sumario jest projektem na wczesnym etapie. Jeżeli prowadzenie projektu przejmie firma założona przez Administratora (jednoosobowa działalność gospodarcza albo spółka), stanie się ona administratorem danych w tym samym celu i zakresie, w szczególności adresów e-mail zapisanych do powiadomienia o starcie. Osoby, które zostawiły adres, zostaną o tym poinformowane e-mailem z wyprzedzeniem i będą mogły zrezygnować przed zmianą; wiadomość ta nie będzie zawierać treści promocyjnych.

14. Zmiany polityki

O istotnych zmianach Administrator poinformuje na stronie, a osoby, które zostawiły adres e-mail, także jedną wiadomością bez treści promocyjnych. Wcześniejsze wersje są dostępne na żądanie. Data wersji jest podana u góry dokumentu. Zasady usług opisuje regulamin.