Polityka prywatności

1. Kto odpowiada za dane

Administratorem Twoich danych osobowych jest Cryptionis sp. z o.o. z siedzibą w Warszawie pod adresem podanym wyżej. W sprawach opisanych w tym dokumencie pisz na privacy@hubionis.com.

2. Co zbieramy i po co

2.1. Przeglądanie bez konta

Nie wymagamy niczego, co Cię identyfikuje. Serwer prowadzi zwykłe logi techniczne — adres IP, czas, żądaną stronę, przeglądarkę — potrzebne do utrzymania i zabezpieczenia Serwisu. Podstawa prawna: nasz prawnie uzasadniony interes polegający na prowadzeniu i ochronie Serwisu (art. 6 ust. 1 lit. f RODO). Logi przechowujemy 90 dni.

Wybór języka i motywu zapisuje się w Twojej przeglądarce, nie na naszych serwerach, i nigdy do nas nie trafia.

2.2. Konto

Do rejestracji potrzebujemy adresu e-mail i imienia. Możesz dodać numer telefonu i kraj — oba są nieobowiązkowe. Hasło przechowujemy wyłącznie jako skrót (hash); nie możemy go odczytać.

Zapisujemy też moment akceptacji regulaminu, potwierdzenie adresu e-mail oraz czas i adres IP ostatniego logowania — dzięki temu Ty i my możemy zauważyć, że z konta korzysta ktoś inny.

Podstawa prawna: wykonanie umowy o prowadzenie konta (art. 6 ust. 1 lit. b), a w zakresie danych logowania — bezpieczeństwo jako prawnie uzasadniony interes (art. 6 ust. 1 lit. f).

2.3. Prośba o miejsce na wycieczce

Gdy naciśniesz „Poproś o miejsce", przekazujemy organizatorowi to, czego potrzebuje, by Ci odpowiedzieć: imię, adres e-mail oraz informację, o którą wycieczkę i termin pytasz. Od tego momentu organizator jest odrębnym administratorem tych danych, zgodnie z własną polityką prywatności.

Podstawa prawna: wykonanie umowy na Twoje żądanie (art. 6 ust. 1 lit. b).

Jeśli wycieczkę prowadzi partner i rezerwacja odbywa się u niego, naciśnięcie przycisku przenosi Cię na jego stronę i nie przekazujemy mu niczego — to, co tam wpiszesz, zbiera on.

2.4. Planowana podróż

Jeśli korzystasz z „Mojej podróży", przechowujemy to, co w niej zapiszesz: nazwę podróży, miesiąc, liczbę podróżnych i to, które z sześciu decyzji odhaczyłeś. Należy do Ciebie, widzisz ją tylko Ty i możesz ją w każdej chwili usunąć.

Podstawa prawna: wykonanie umowy o prowadzenie konta (art. 6 ust. 1 lit. b).

2.5. Wyszukiwanie lotów

Wyszukanie lotu wysyła wpisaną trasę i daty do dostawców danych lotniczych, z których korzystamy, żeby mogli zwrócić oferty. Takie zapytanie nie zawiera Twojego imienia ani adresu e-mail. Jeśli zapiszesz trasę do obserwowania, przechowujemy trasę, daty i identyfikator Twojego konta, żeby móc informować Cię o zmianach ceny.

Odnotowujemy fakt przejścia do przewoźnika lub pośrednika i to, do którego — żeby wiedzieć, którzy partnerzy są przydatni, i otrzymać wynagrodzenie za polecenie. Zapis ten wiąże się z Twoim kontem tylko wtedy, gdy byłeś zalogowany.

Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b) dla wyszukiwania i obserwowanych tras; prawnie uzasadniony interes (art. 6 ust. 1 lit. f) dla zapisu polecenia.

2.6. Wiadomości, o które poprosiłeś

Wysyłamy wiadomości transakcyjne — potwierdzenie adresu, reset hasła, odpowiedź organizatora — bo bez nich Serwis nie działa.

Newsletter wysyłamy wyłącznie, jeśli o niego poprosiłeś, a każda wiadomość zawiera odnośnik do wypisania się jednym kliknięciem. Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a), którą możesz wycofać w każdej chwili bez wpływu na to, co wysłano wcześniej.

3. Czego nie robimy

• Nie sprzedajemy Twoich danych ani nie udostępniamy ich na cudze potrzeby marketingowe.
• Nie przyjmujemy danych kart za wycieczki. Serwis nie obsługuje płatności za wycieczkę, więc nie ma tu czego przechowywać.
• Nie profilujemy Cię w sposób wywołujący skutki prawne lub podobnie istotne i nie podejmujemy takich decyzji automatycznie.
• Nie śledzimy Cię na innych stronach.

4. Kto jeszcze widzi te dane

Wyłącznie podmioty, które muszą:

• organizator wycieczki, u którego poprosiłeś o miejsce — i tylko w zakresie z pkt 2.3;
• dostawcy hostingu i poczty, jako podmioty przetwarzające związane umową;
• dostawcy danych lotniczych obsługujący wyszukiwanie oraz przewoźnik lub pośrednik, do którego zdecydujesz się przejść;
• organy publiczne, gdy wymaga tego prawo.

Część tych dostawców może przetwarzać dane poza Europejskim Obszarem Gospodarczym. W takim przypadku przekazanie opiera się na standardowych klauzulach umownych Komisji Europejskiej albo na decyzji o adekwatności.

5. Jak długo przechowujemy

• Dane konta — przez czas istnienia konta, następnie usuwane w ciągu 30 dni od Twojego żądania, z wyjątkiem faktur, które przepisy o rachunkowości każą przechowywać 5 lat.
• Podróże — do czasu ich usunięcia albo usunięcia konta.
• Logi serwera — 90 dni.
• Zapis zgody na newsletter — 3 lata po jej wycofaniu, jako dowód udzielenia i wycofania.
• Zapisy poleceń — 24 miesiące, później w formie zagregowanej.

6. Twoje prawa

Na podstawie RODO możesz żądać, abyśmy:

• powiedzieli, jakie dane o Tobie mamy, i wydali ich kopię;
• sprostowali to, co jest błędne;
• usunęli je („prawo do bycia zapomnianym");
• ograniczyli ich przetwarzanie;
• przekazali je Tobie lub innemu administratorowi w formacie umożliwiającym przeniesienie;
• zaprzestali przetwarzania opartego na prawnie uzasadnionym interesie — przez wniesienie sprzeciwu;
• przyjęli wycofanie udzielonej zgody, w każdej chwili.

Pisz na privacy@hubionis.com. Odpowiadamy w ciągu miesiąca. Konto możesz też usunąć samodzielnie w jego ustawieniach.

Jeśli uważasz, że postąpiliśmy z Twoimi danymi niewłaściwie, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

7. Pliki cookie i dane w przeglądarce

Używamy plików cookie i równoważnych mechanizmów wyłącznie do tego, czego Serwis potrzebuje, żeby działać:

• Sesja — utrzymuje Cię zalogowanym. Usuwana przy wylogowaniu.
• Preferencje — język i motyw, zapisane w przeglądarce i nigdy do nas niewysyłane.
• Bezpieczeństwo — chroni formularze przed atakami CSRF.

Nie ustawiamy plików reklamowych ani śledzących między stronami. Możesz je w każdej chwili wyczyścić w przeglądarce; będzie wtedy potrzebne ponowne zalogowanie.

8. Dzieci

Serwis nie jest kierowany do dzieci poniżej 16 lat i świadomie nie zakładamy im kont. Jeśli sądzisz, że dziecko się zarejestrowało, napisz do nas — usuniemy konto.

9. Bezpieczeństwo

Ruch jest szyfrowany w transporcie (HTTPS). Hasła przechowujemy jako skróty. Dostęp do danych produkcyjnych mają wyłącznie osoby, które go potrzebują. Żaden system nie jest doskonały; jeśli naruszenie kiedykolwiek zagrozi Twoim prawom, poinformujemy Ciebie i organ nadzorczy w terminach, które przewiduje RODO.

10. Zmiany polityki

O istotnej zmianie tej polityki informujemy zarejestrowanych użytkowników mailem co najmniej 14 dni wcześniej. Wersja i data u góry zawsze wskazują, który tekst obowiązuje.