Polityka cookies i technologii śledzących

Niniejsza Polityka cookies i technologii śledzących (dalej: „Polityka") opisuje zasady przechowywania informacji w urządzeniu końcowym użytkownika oraz uzyskiwania dostępu do informacji już w nim przechowywanych, a także zasady stosowania innych technologii służących do identyfikacji, pomiaru lub śledzenia zachowań użytkownika.

Polityka obejmuje wszystkie serwisy i aplikacje prowadzone przez Administratora:

Polityka stanowi uzupełnienie Polityki prywatności i należy ją czytać łącznie z nią. W zakresie nieuregulowanym w Polityce stosuje się Politykę prywatności.

Polityka nie dotyczy danych klientów i pojazdów, które Usługobiorca (warsztat) wprowadza do Aplikacji. W odniesieniu do tych danych administratorem pozostaje Usługobiorca, a mWarsztat jest podmiotem przetwarzającym na podstawie umowy powierzenia przetwarzania danych (DPA). Zastrzeżenie to ma jednak trzy istotne wyjątki, które Polityka opisuje wprost, ponieważ dotyczą one przechowywania danych powierzonych w urządzeniu końcowym albo ich ujawnienia podmiotom trzecim:

Terminy pisane wielką literą, a niezdefiniowane w Polityce, mają znaczenie nadane im w Regulaminie świadczenia usługi mWarsztat (SaaS).

Administratorem danych osobowych przetwarzanych w związku ze stosowaniem plików cookies i technologii śledzących na Stronie, w Aplikacji i w Aplikacji mobilnej jest:

Jeden adres do wszystkich spraw wynikających z niniejszej Polityki. Wszelkie sprawy dotyczące cookies, technologii śledzących, wycofania zgody oraz realizacji praw z §14 należy kierować na adres kontakt@mwarsztat.eu. Adres ten jest adresem wiążącym, a wszystkie komunikaty w Aplikacji i w wiadomościach automatycznych muszą wskazywać ten sam adres. Żądanie skierowane na dowolny inny adres publikowany przez Administratora wywołuje jednak te same skutki i uważa się je za skutecznie doręczone z chwilą wpływu; Administrator nie może powoływać się na skierowanie pisma pod inny adres.

Administrator nie wyznaczył Inspektora Ochrony Danych. Nie zachodzi żadna z przesłanek obowiązkowego wyznaczenia z art. 37 ust. 1 RODO.

W odniesieniu do niektórych plików cookies podmiotów trzecich (w szczególności Stripe, Google, Microsoft, Meta) dostawca tych plików działa jako odrębny administrator lub współadministrator — zaznaczono to wyraźnie w tabelach §6–§9 oraz w §13.

Pliki cookies (ciasteczka) — niewielkie pliki tekstowe zapisywane przez przeglądarkę w urządzeniu końcowym użytkownika i odsyłane do serwera przy kolejnych żądaniach.

Pamięć lokalna przeglądarki (`localStorage`), pamięć sesji (`sessionStorage`), bazy danych w przeglądarce (IndexedDB, WebSQL/SQLite) oraz — w Aplikacji mobilnej — pamięć chroniona systemu operacyjnego (Keychain / Keystore, `expo-secure-store`), pamięć asynchroniczna (`AsyncStorage`) i lokalna baza SQLite — mechanizmy przechowywania danych w urządzeniu końcowym, technicznie odrębne od cookies, lecz objęte tym samym reżimem prawnym. Art. 5 ust. 3 dyrektywy 2002/58/WE dotyczy „przechowywania informacji lub uzyskiwania dostępu do informacji już przechowywanej w urządzeniu końcowym", niezależnie od użytej technologii; potwierdzają to Wytyczne EROD 2/2023. mWarsztat wykorzystuje wszystkie wymienione mechanizmy i wykazuje je w tabelach na równi z cookies.

Piksel / tag / znacznik pomiarowy — fragment kodu (obraz 1×1 px, skrypt JavaScript lub ramka <iframe>) ładowany z serwera podmiotu trzeciego, którego samo pobranie przekazuje temu podmiotowi adres IP, nagłówek User-Agent, adres odwiedzanej strony i adres strony odsyłającej — nawet jeśli nie zapisuje żadnego pliku cookie.

Menedżer tagów (tag manager) — kontener (u nas: Google Tag Manager), który po załadowaniu uruchamia dalsze znaczniki zgodnie z konfiguracją przechowywaną poza kodem źródłowym serwisu, po stronie dostawcy.

Nagrywanie sesji / mapy ciepła (session replay) — technologia rejestrująca ruchy kursora, kliknięcia, przewijanie oraz odtwarzalny zapis widoku strony.

Sygnał bezplikowy (cookieless ping) — żądanie wysyłane do serwera dostawcy narzędzia pomiarowego mimo braku zgody na zapis w urządzeniu; nie zawiera identyfikatora zapisanego w urządzeniu, ale zawiera adres IP, adres odwiedzanej strony i parametry zdarzenia.

Fingerprinting (odcisk urządzenia) — identyfikacja urządzenia na podstawie kombinacji jego cech (rozdzielczość, zainstalowane czcionki, strefa czasowa, parametry renderowania) bez zapisywania pliku w urządzeniu.

Technologie śledzące — zbiorczo: wszystkie mechanizmy wskazane w ust. 1–7.

Podstawa telekomunikacyjna (zgoda na dostęp do urządzenia końcowego). Przechowywanie informacji w urządzeniu końcowym użytkownika i uzyskiwanie do nich dostępu jest dopuszczalne wyłącznie po uprzednim uzyskaniu zgody użytkownika, z wyjątkiem sytuacji wskazanych w ustawie.

Podstawa unijna. Art. 5 ust. 3 dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej, „ePrivacy"), zmienionej dyrektywą 2009/136/WE.

Podstawa ochrony danych osobowych. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), w szczególności:

Wytyczne organów nadzorczych (charakter interpretacyjny, nie źródło prawa):

Organ nadzorczy: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl). W zakresie obowiązków wynikających z PKE właściwy jest Prezes Urzędu Komunikacji Elektronicznej.

Administrator dzieli stosowane technologie na cztery kategorie. Podział ten musi być odwzorowany jeden do jednego w banerze zgody — użytkownik ma otrzymać tyle niezależnych przełączników, ile jest kategorii wymagających zgody.

Kategorie:

Zasada uprzedniości. Żadna technologia z kategorii funkcjonalnej, analitycznej ani marketingowej nie może zostać uruchomiona przed uzyskaniem zgody. Dotyczy to również samego pobrania skryptu z serwera podmiotu trzeciego — pobranie pliku ujawnia temu podmiotowi adres IP użytkownika i adres odwiedzanej strony, a więc stanowi przetwarzanie danych osobowych niezależnie od tego, czy skrypt zapisze później plik cookie.

Zasada uprzedniości dotyczy także wysyłania zdarzeń. Brak zgody oznacza brak nie tylko zapisu w urządzeniu, ale też brak wysyłki zdarzeń pomiarowych i konwersyjnych do dostawcy — w tym sygnałów bezplikowych (§3 ust. 6). Zdarzenie wysłane mimo odmowy zgody jest przetwarzaniem danych osobowych bez podstawy prawnej, choćby nie zapisało pliku w urządzeniu. Zob. §11.5.

Zasada granularności terytorialnej i międzydomenowej. Odmowa zgody wyrażona na Stronie musi być respektowana w Aplikacji i odwrotnie, jeżeli użytkownik przechodzi między nimi w ramach jednej ścieżki. Uruchomienie w Aplikacji narzędzia, którego użytkownik przed chwilą odmówił na Stronie, jest zignorowaniem otrzymanej odmowy — naruszeniem poważniejszym niż samo niezapytanie o zgodę.

Zasada równorzędności. Przycisk odmowy zgody musi być tak samo widoczny, tak samo dostępny, umieszczony na tym samym poziomie i wymagać tyle samo kliknięć, co przycisk akceptacji. Równorzędność obejmuje wagę wizualną — kontrast, wypełnienie tła i wielkość czcionki — a nie tylko liczbę kliknięć. Odmowa zgody nie może wiązać się z żadnym pogorszeniem funkcjonalności poza brakiem funkcji, których ta zgoda dotyczy.

Zasada rozłączności. Zgoda na analitykę i zgoda na marketing są odrębnymi zgodami. Nie wolno ich łączyć w jeden przełącznik.

Brak domyślnej zgody. Wszystkie przełączniki inne niż „Niezbędne" są domyślnie wyłączone, a wszystkie sygnały zgody przekazywane dostawcom narzędzi mają wartość początkową „odmowa". Zamknięcie banera, przewinięcie strony lub dalsze korzystanie z serwisu nie jest zgodą.

samo pobranie skryptu z analytics.ahrefs.com przekazuje dostawcy adres IP użytkownika, adres URL i nagłówek User-Agent — jest to przetwarzanie danych osobowych w rozumieniu RODO i wymaga podstawy z art. 6 RODO (przyjmujemy art. 6 ust. 1 lit. f — prawnie uzasadniony interes w postaci pomiaru skuteczności treści), a nie jest „przetwarzaniem żadnym";

dostawca ma siedzibę w Singapurze — poza EOG; podstawę transferu opisuje §13;

Aplikacja zapisuje w pamięci lokalnej przeglądarki robocze wersje dokumentów i formularzy, aby przypadkowe zamknięcie karty nie kasowało pracy operatora. Zapisy te obejmują dane, których administratorem jest Usługobiorca (warsztat), a nie mWarsztat:

Zapisy te są niezbędne do realizacji funkcji wyraźnie żądanej przez użytkownika (kontynuowanie rozpoczętego dokumentu) i z tego względu nie wymagają zgody w rozumieniu PKE. Wymagają natomiast ujawnienia — użytkownik i Usługobiorca muszą wiedzieć, że dane ich klientów znajdują się w pamięci przeglądarki, a nie wyłącznie na serwerze.

Ostrzeżenie o skutku dla bezpieczeństwa. Wylogowanie z Aplikacji nie kasuje tych zapisów. Mechanizm czyszczenia uruchamiany przy zdarzeniu SIGNED_OUT obejmuje wyłącznie pamięć podręczną zapytań w pamięci operacyjnej, a nie pamięć lokalną przeglądarki. Na komputerze współdzielonym w warsztacie oznacza to, że po wylogowaniu jednego pracownika pozycje faktur, koszyki i arkusze inwentaryzacyjne pozostają dostępne dla kolejnej osoby korzystającej z tej samej przeglądarki.

Administrator kieruje do Usługobiorcy następujące zastrzeżenie:

Aplikacja nie uruchamia żadnej technologii analitycznej ani marketingowej. Nie działa w niej menedżer tagów, narzędzie analityki ruchu, narzędzie nagrywania sesji ani piksel reklamowy. W konsekwencji Aplikacja nie zapisuje w urządzeniu użytkownika żadnego pliku cookie ani innego identyfikatora z kategorii analitycznej lub marketingowej, a tabele §6.3 i §6.4 nie mają do niej zastosowania.

Rozgraniczenie ze Stroną. Zastrzeżenie z ust. 1 dotyczy wyłącznie Aplikacji. Strona `mwarsztat.eu` nadal stosuje Google Tag Manager, Google Analytics 4, Microsoft Clarity i Piksel Meta — na zasadach opisanych w §6.3, §6.4 i §11, czyli po uzyskaniu zgody i z możliwością jej wycofania. Odwiedzenie Strony i korzystanie z Aplikacji są pod tym względem dwiema różnymi sytuacjami i Polityka nie zrównuje ich.

Stan poprzedni i data zmiany. Do 20 sierpnia 2026 r. Aplikacja ładowała bezwarunkowo, bez pytania o zgodę, ten sam kontener Google Tag Manager (GTM-MGTHGJNP) i ten sam projekt Microsoft Clarity (wx9tcf26i9), z których korzysta Strona, wraz z ramką <noscript> menedżera tagów. Wszystkie trzy zostały usunięte, a polityka bezpieczeństwa treści Aplikacji została zawężona — przestała dopuszczać połączenia z domenami Google i Microsoftu, w tym z punktem końcowym c.bing.com powiązanym z ekosystemem reklamowym Microsoftu. Skutki tego stanu dla danych klientów warsztatów opisuje §7.5.

Zamknięcie problemu wspólnego kontenera. Dopóki Strona i Aplikacja dzieliły kontener GTM-MGTHGJNP, każdy znacznik dodany „dla marketingu" uruchamiał się także wewnątrz systemu, w którym wyświetlane są dane osobowe klientów warsztatów — a osoba konfigurująca kampanię reklamową nie miała powodu przypuszczać, że jej znacznik trafi nad cudzą kartotekę klientów. Problem ten przestał istnieć, ponieważ Aplikacja nie ładuje już kontenera. Rozwiązaniem nie było rozdzielenie kontenerów, lecz rezygnacja z menedżera tagów w Aplikacji.

Zobowiązanie na przyszłość. Wprowadzenie w Aplikacji jakiegokolwiek narzędzia analitycznego, marketingowego lub nagrywającego sesję wymaga — przed jego uruchomieniem — zmiany niniejszej Polityki, wdrożenia mechanizmu zgody w samej Aplikacji oraz, jeżeli narzędzie mogłoby uzyskać dostęp do danych powierzonych, uzupełnienia Załącznika nr 2 do DPA i przeprowadzenia trybu zmiany podprocesora. Menedżera tagów nie wolno przy tym instalować w kontenerze wspólnym ze Stroną.

Czego dotyczy ta sekcja. W Aplikacji działało narzędzie Microsoft Clarity, które nagrywa sesje użytkownika. Oznaczało to nagrywanie ekranów, na których wyświetlane są dane osobowe klientów Usługobiorcy: imiona i nazwiska, adresy, numery telefonów, adresy e-mail, numery NIP i PESEL, numery dokumentów tożsamości, numery rejestracyjne pojazdów, numery VIN, opisy napraw, kwoty faktur oraz fotografie pojazdów i uszkodzeń. Wraz z Clarity działał w Aplikacji kontener Google Tag Manager, mogący uruchamiać dalsze znaczniki nad tymi samymi ekranami. Nagrywaniem objęty był również publiczny ekran rejestracji konta, na którym użytkownik wpisuje między innymi hasło.

Ryzyko obejmowało dane szczególnych kategorii. W działalności warsztatu samochodowego nie da się wykluczyć, że na nagranym ekranie znalazła się informacja pozwalająca wnioskować o stanie zdrowia osoby — na fotografii przodu pojazdu widoczna bywa karta parkingowa osoby z niepełnosprawnością umieszczana za przednią szybą, a opis zlecenia może dotyczyć montażu lub serwisu przystosowania pojazdu do potrzeb takiej osoby. Nagranie sesji utrwalało to w formie odtwarzalnego wideo i przekazywało podmiotowi trzeciemu.

W odniesieniu do tych danych administratorem jest Usługobiorca (warsztat), a mWarsztat jest podmiotem przetwarzającym. Uruchomienie Clarity wewnątrz Aplikacji stanowiło zatem podpowierzenie przetwarzania danych osobowych klientów warsztatu spółce Microsoft; kontener menedżera tagów — analogiczne podpowierzenie spółce Google.

Podpowierzenie to nie spełniało warunków art. 28 ust. 2 i 4 RODO. W szczególności:

Uprawnienia Usługobiorcy nie wygasają wraz z usunięciem narzędzia. Umowa powierzenia przyznaje Administratorowi (warsztatowi) prawo sprzeciwu wobec podprocesora, a w razie braku porozumienia — prawo wypowiedzenia umowy głównej ze skutkiem natychmiastowym i zwrotu opłat za niewykorzystany okres. Uprawnienie to dotyczy podpowierzenia dokonanego bez zgody Usługobiorcy, a więc odnosi się do stanu, który już zaistniał; zaprzestanie korzystania z podprocesora działa wyłącznie na przyszłość i samo w sobie nie zamyka rozliczenia za okres wcześniejszy.

Sposób zamknięcia i jego zakres. Właściciel rozstrzygnął, że narzędzia zostają usunięte z Aplikacji, a nie utrzymane z maskowaniem po stronie klienta i wpisem Microsoftu oraz Google na listę podprocesorów. Usunięte zostały: znacznik Microsoft Clarity, kontener menedżera tagów wraz z ramką <noscript> oraz dopuszczenia dla domen Google i Microsoftu w polityce bezpieczeństwa treści Aplikacji — w tym dla punktu końcowego c.bing.com powiązanego z ekosystemem reklamowym Microsoftu, którego obecność potwierdzała, że przepływ danych z Aplikacji nie był wyłącznie analityczny.

Okres przetwarzania. Początkiem okresu jest dzień uruchomienia znacznika w Aplikacji, a końcem — dzień, w którym wersja Aplikacji pozbawiona znaczników zostanie wdrożona na produkcję. Do chwili tego wdrożenia okres pozostaje otwarty: usunięcie kodu z repozytorium nie kończy przetwarzania, kończy je dopiero wdrożenie. Ustalenie obu dat jest warunkiem rzetelnego opisu tej czynności w rejestrze czynności przetwarzania i warunkiem odpowiedzi na ewentualne pytanie Usługobiorcy o zakres jego danych objętych nagraniami.

Dane już nagrane. Nagrania wykonane w okresie z ust. 7 znajdują się w systemach Microsoftu i podlegają okresom retencji tego dostawcy, a nie Administratora. Usunięcie znacznika nie usuwa nagrań wykonanych wcześniej; ich usunięcie wymaga odrębnego działania po stronie konta narzędzia.

Status. Aplikacja mobilna (eu.mwarsztat.mobile) jest zbudowana w technologii Expo/React Native i dystrybuowana przez App Store oraz Google Play.

Aplikacja mobilna nie zawiera żadnego narzędzia analitycznego ani marketingowego. Nie ma w niej Google Tag Managera, Google Analytics, Microsoft Clarity ani Piksela Meta.

Monitoring błędów — nieuruchomiony. W Aplikacji mobilnej nie działa żadne narzędzie monitorowania błędów i nie są z niej wysyłane raporty o błędach. Uruchomienie takiego narzędzia — w szczególności funkcji nagrywania ekranów (Session Replay) — wymaga uprzedniej zmiany niniejszej Polityki, uzupełnienia Załącznika nr 2 do DPA i, w przypadku nagrywania ekranów, uzyskania zgody użytkownika.

Przechowywanie informacji w urządzeniu. Aplikacja mobilna przechowuje dane w pamięci urządzenia. Wszystkie poniższe pozycje są objęte reżimem art. 5 ust. 3 dyrektywy ePrivacy (zob. §3 ust. 2):

Dane klientów warsztatu na urządzeniu mechanika — ujawnienie szczególne. Aplikacja mobilna zapisuje w lokalnej bazie danych telefonu całą pobraną pamięć podręczną zapytań, czyli w praktyce dane klientów, pojazdów i zleceń warsztatu, po to, aby aplikacja działała bez zasięgu. Administratorem tych danych pozostaje Usługobiorca. Oznacza to, że:

Logowanie biometryczne. Włączenie logowania biometrycznego powoduje zapisanie poświadczeń użytkownika w pamięci chronionej urządzenia (expo-secure-store). Funkcja jest domyślnie wyłączona, uruchamia ją wyłącznie sam użytkownik, a jej wyłączenie usuwa zapisane poświadczenia.

Zgoda w Aplikacji mobilnej. Dopóki aplikacja nie zawiera żadnej technologii analitycznej ani marketingowej, baner zgody nie jest w niej wymagany; pozycje funkcjonalne z ust. 4 są uruchamiane wyłącznie w następstwie czynności użytkownika. Wprowadzenie jakiegokolwiek narzędzia pomiarowego — w tym Sentry z Session Replay — wymaga uprzedniego wdrożenia mechanizmu zgody w aplikacji.

Zakres. Niniejszy paragraf dotyczy wyłącznie użytkowników, którzy uruchomili zakup abonamentu. Opisane niżej pliki cookies Stripe nie są zapisywane u użytkownika, który nie przeszedł na stronę płatności.

Model integracji. mWarsztat korzysta z Stripe Checkout w wariancie hostowanym: użytkownik inicjujący zakup abonamentu jest przekierowywany na domenę Stripe (checkout.stripe.com), tam podaje dane płatnicze i wraca na panel.mwarsztat.eu. Dane karty nigdy nie trafiają na serwery ani do przeglądarki w domenie mWarsztat.

Kto zapisuje cookies. Pliki cookies Stripe są zapisywane w domenie Stripe, przez Stripe, w czasie gdy użytkownik znajduje się na stronie Stripe. Administrator nie ma technicznej możliwości ich zablokowania ani uzależnienia od banera zgody mWarsztat. W tym zakresie Stripe Payments Europe Ltd (Irlandia) działa jako odrębny administrator danych, a nie jako podmiot przetwarzający na zlecenie mWarsztat. Obowiązkiem mWarsztat jest poinformowanie o tym fakcie, a nie zbieranie zgody.

Wykaz plików cookies Stripe (zapisywanych w domenie stripe.com podczas płatności):

Dlaczego cookies Stripe uznajemy za niezbędne — uzasadnienie.

Granica wyłączenia — zastrzeżenie na przyszłość. Wyłączenie opisane w ust. 5 przestaje obowiązywać, jeżeli:

Portal klienta Stripe. Zarządzanie metodą płatności i rezygnacja z abonamentu odbywają się w hostowanym Portalu Klienta Stripe ( billingPortal.sessions.create), na domenie Stripe. Stosuje się do niego ust. 3–5 odpowiednio.

Polityka cookies Stripe: https://stripe.com/legal/cookies-policy — dokument dostawcy, aktualizowany niezależnie od niniejszej Polityki.

Narzędzia opisane w niniejszym paragrafie nie zapisują niczego w urządzeniu końcowym użytkownika i nie odczytują z niego żadnych informacji. Nie podlegają zatem obowiązkowi zgody wynikającemu z PKE. Przetwarzają jednak dane osobowe i wymagają podstawy z RODO.

Wykaz:

Ujawnienie szczególne — logi i raporty błędów mogą zawierać dane powierzone. Mechanizm maskowania w rejestratorze zdarzeń obejmuje hasła, tokeny, klucze API oraz — po audycie H17 — numer telefonu, adres e-mail, PESEL i NIP. Nie obejmuje natomiast:

Zakres danych trafiających do Sentry. Filtr beforeSend usuwa wyłącznie znane błędy operacyjne (wygasły token, CORS, limit żądań, zerwane połączenia) i nie usuwa danych osobowych. Nie jest jednak prawdą, że do Sentry trafiają wskutek tego pełne treści żądań: SDK @sentry/node w wersji 10 domyślnie działa z sendDefaultPii: false, a opcja ta nie została w projekcie włączona — a więc treść żądania, ciasteczka i adres IP użytkownika nie są dołączane automatycznie. Realny zakres ryzyka jest węższy, ale nadal istnieje i obejmuje: komunikat błędu, ślad stosu, adres URL wraz z parametrami zapytania oraz wszystko, co kod przekazuje do Sentry jawnie.

Okres przechowywania logów:

Zastrzeżenie na przyszłość. Sentry występuje obecnie wyłącznie w wersji serwerowej. Wdrożenie przeglądarkowego SDK Sentry (@sentry/react) albo aktywacja SDK mobilnego (§8 ust. 3), a w szczególności funkcji Session Replay, zmieniłoby tę kwalifikację całkowicie: Session Replay zapisuje dane w urządzeniu końcowym, nagrywa widok ekranu i — w Aplikacji — objąłby dane klientów warsztatu. Wymagałoby to zgody, wpisu w tabeli §7 lub §8 oraz wpisania Sentry na listę podprocesorów w DPA.

Formularz kontaktowy. Zgłoszenia z formularza na Stronie trafiają do systemu pod adresem panel.lvl3.pl.

Przy pierwszej wizycie na Stronie wyświetlany jest baner zgody zawierający:

Kategorie prezentowane w banerze i ich stan początkowy:

Do czasu dokonania wyboru przez użytkownika nie jest uruchamiana żadna technologia z kategorii funkcjonalnej, analitycznej ani marketingowej. Zamknięcie banera bez wyboru, przewinięcie strony ani dalsze przeglądanie nie stanowią zgody i skutkują traktowaniem użytkownika tak, jakby odmówił zgody.

Ponowne zapytanie. Zgoda jest ważna przez 12 miesięcy. Po upływie tego okresu baner wyświetla się ponownie. Baner jest wyświetlany ponownie także wtedy, gdy Administrator doda nowe narzędzie lub nowy cel przetwarzania — poprzednia zgoda nie rozciąga się na cele, o których użytkownik nie był informowany.

Aplikacja nie wyświetla banera zgody i nie musi go wyświetlać w zakresie kategorii analitycznej i marketingowej, ponieważ nie stosuje żadnej technologii z tych kategorii (§7.4 ust. 1). Uruchomienie w Aplikacji takiej technologii wymaga uprzedniego wdrożenia mechanizmu zgody w samej Aplikacji — zgoda wyrażona na Stronie nie jest zgodą udzieloną w Aplikacji, a jej brak nie może być zastąpiony domniemaniem wynikającym z zalogowania się do systemu. Kwalifikacja kluczy funkcjonalnych z §7.2 jest przedmiotem odrębnego rozstrzygnięcia i nie jest przez ust. 5 przesądzona.

Decyzja użytkownika zapisywana jest w pamięci lokalnej przeglądarki pod kluczem cookieConsent.

Zapis musi obejmować co najmniej:

Traktowanie zgód już zapisanych. Po wdrożeniu czterech kategorii istniejąca wartość {necessary: true, analytics: true} nie może zostać potraktowana jako zgoda na obie nowe kategorie (analityczną i marketingową) — użytkownik nie miał możliwości ich rozdzielenia. Taką wartość należy traktować jako zgodę wygasłą i ponownie wyświetlić baner.

Zgoda zapisywana jest wyłącznie lokalnie, w przeglądarce użytkownika. Administrator nie prowadzi centralnego rejestru zgód powiązanego z tożsamością odwiedzającego — co jest świadomym wyborem minimalizującym zakres przetwarzania.

Na Stronie wdrożono mechanizm Google Consent Mode v2. Przed uruchomieniem jakiegokolwiek znacznika Google ustawiane są wartości domyślne:

Wartość domyślna sygnału `functionality_storage`. Sygnał functionality_storage jest ustawiany na granted już przed uzyskaniem zgody; pozostałe sygnały pozostają w stanie denied do czasu jej wyrażenia. Zakres technologii funkcjonalnych i zasady zgody dla nich określa §5 ust. 2 pkt 2.

Po wyrażeniu zgody wartości są zmieniane na granted (updateGoogleConsent). Uwaga: blok przywracający zapisaną decyzję przy starcie strony odczytuje jedno pole __consent.analytics i na jego podstawie nadaje granted również sygnałom reklamowym ad_storage, ad_user_data i ad_personalization. Jest to techniczne potwierdzenie połączenia dwóch odrębnych celów w jedną zgodę (§5 ust. 7).

Ograniczenie, o którym należy poinformować uczciwie. Consent Mode v2 zapobiega zapisaniu plików cookies przez narzędzia Google, ale nie zapobiega:

Ramka `<noscript>` GTM. Strona zawiera ramkę <iframe> wskazującą na googletagmanager.com/ns.html, uruchamianą u użytkowników z wyłączoną obsługą JavaScript. Ramka ta nie może zostać objęta zgodą, ponieważ baner wymaga JavaScriptu. Z Aplikacji ramka została usunięta wraz z kontenerem (§7.4 ust. 3).

Zasada. Zdarzenia pomiarowe — odsłona strony oraz zdarzenia konwersji generate_lead i phone_click — są wysyłane wyłącznie wtedy, gdy użytkownik wyraził zgodę analityczną. Odmowa zgody wyłącza je w całości, także wtedy, gdy użytkownik kliknie numer telefonu albo wyśle formularz kontaktowy.

Piksel Meta ładuje się dopiero po udzieleniu zgody marketingowej, więc przed nią do Meta nie trafia żadne zdarzenie.

Zakres zasady. Reguła uprzedniości zgody z §5 ust. 4 obejmuje nie tylko zapis informacji w urządzeniu, lecz także samo wysłanie zdarzenia do dostawcy — również wtedy, gdy zdarzenie takie nie zapisuje identyfikatora w urządzeniu.

Zgodę można wycofać w każdej chwili, bez podania przyczyny. Wycofanie zgody jest tak samo łatwe jak jej udzielenie (art. 7 ust. 3 RODO). Wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem.

Sposoby wycofania zgody:

Zakres działania przycisku „Zarządzaj cookies" — informacja rzetelna. Wycofanie zgody powoduje, że narzędzia analityczne i marketingowe przestają być uruchamiane przy kolejnych wizytach. Wycofanie zgody nie usuwa automatycznie plików cookies już zapisanych w przeglądarce (_ga, _clck, _clsk, _fbp i pozostałych). Aby je usunąć, należy skorzystać z ustawień przeglądarki.

Instrukcje dla przeglądarek:

Skutek wyłączenia cookies niezbędnych. Zablokowanie cookies niezbędnych w ustawieniach przeglądarki uniemożliwi zalogowanie się do Aplikacji, dokonanie płatności oraz zapamiętanie decyzji o zgodzie (baner będzie pojawiał się przy każdym wejściu).

Wycofanie zgody a dane robocze. Wycofanie zgody nie usuwa zapisów opisanych w §6.2, §7.1, §7.3 i §8 ust. 4 — są to dane wprowadzone przez samego użytkownika albo niezbędne do działania usługi. Kalkulatory (§6.2) mają otrzymać własny przycisk „Wyczyść zapisane dane"; dane robocze w Aplikacji usuwa się przez wyczyszczenie danych witryny w przeglądarce.

Zbiorczy wykaz odbiorców danych zbieranych za pomocą technologii śledzących oraz telemetrii opisanej w §10:

Ujawnienie lokalizacji bazy danych. Podstawowa baza danych i repozytorium plików Aplikacji — a więc pełen zakres danych klientów warsztatów, w tym fotografie pojazdów — znajdują się w regionie AWS `eu-central-1` (Frankfurt, Niemcy), a więc w Unii Europejskiej i w Europejskim Obszarze Gospodarczym. Fakt ten ma trzy skutki dla niniejszej Polityki:

Kopię zastosowanych zabezpieczeń transferu można uzyskać, kontaktując się z Administratorem pod adresem kontakt@mwarsztat.eu.

W związku z przetwarzaniem danych osobowych zbieranych za pomocą technologii śledzących użytkownikowi przysługuje prawo do:

Granica praw wobec danych powierzonych. Jeżeli żądanie dotyczy danych, których administratorem jest warsztat (klient warsztatu, pojazd, zlecenie), Administrator przekazuje je właściwemu warsztatowi i informuje o tym wnioskodawcę. Dotyczy to również danych opisanych w §7.3, §7.5, §8 ust. 5 i §10 ust. 3 — mimo że fizycznie znajdują się one w urządzeniu końcowym albo w systemach dostawców mWarsztat, rolę administratora pełni wobec nich warsztat.

Profilowanie. Piksel Meta oraz znaczniki Google Ads uruchamiane po wyrażeniu zgody marketingowej wiążą się z profilowaniem w rozumieniu art. 4 pkt 4 RODO — tworzeniem grup odbiorców i dobieraniem treści reklamowych na podstawie zachowania użytkownika. Profilowanie to nie wywołuje wobec użytkownika skutków prawnych ani nie wpływa na niego w podobnie istotny sposób, a zatem nie jest zautomatyzowanym podejmowaniem decyzji w rozumieniu art. 22 ust. 1 RODO.

fingerprintingu urządzenia w celach reklamowych;

sprzedaży ani udostępniania danych o zachowaniu użytkowników brokerom danych;

tzw. cookie walls — dostęp do Strony, Aplikacji i Aplikacji mobilnej nie jest uzależniony od wyrażenia zgody na cookies funkcjonalne, analityczne lub marketingowe;

przetwarzania szczególnych kategorii danych (art. 9 RODO) w celach analitycznych lub marketingowych; zastrzeżenie to nie wyłącza ryzyka incydentalnego opisanego w §7.5 ust. 2, które Administrator ujawnia wprost, zamiast go negować — źródło tego ryzyka w Aplikacji (nagrywanie sesji) zostało usunięte, lecz dotyczyło okresu wskazanego w §7.5 ust. 7;

zautomatyzowanego podejmowania decyzji wywołującego skutki prawne (art. 22 ust. 1 RODO) na podstawie danych zbieranych technologiami śledzącymi.

Niniejsza Polityka stanowi część pakietu dokumentów obejmującego również: Regulamin usługi płatnej, Zasady płatności, odnowień i zwrotów, Politykę prywatności oraz umowę powierzenia przetwarzania danych (DPA).

Wartości liczbowe są identyczne we wszystkich dokumentach pakietu i w komunikatach wyświetlanych użytkownikowi. Dotyczy to w szczególności:

Rozbieżność między dwoma wiążącymi dokumentami zostanie w razie sporu odczytana na korzyść użytkownika (art. 385 § 2 zd. 2 k.c.).

W zakresie danych powierzonych (§7.3, §7.5, §8 ust. 5, §10 ust. 3) pierwszeństwo mają postanowienia DPA. Każdy podmiot wskazany w §13 jako podprocesor danych powierzonych musi być wymieniony w Załączniku nr 2 do DPA; rozbieżność między §13 a tym załącznikiem jest samodzielną wadą dokumentacji i podstawą roszczeń Usługobiorcy.

Administrator może zmieniać Politykę, w szczególności w razie dodania nowego narzędzia, zmiany dostawcy lub zmiany stanu prawnego.

Każda wersja Polityki otrzymuje oznaczenie wersji (COOKIE-RRRR-x.y) i datę wejścia w życie. Wersje archiwalne są publikowane pod stałym, publicznie dostępnym adresem, tak aby użytkownik mógł w każdym czasie odtworzyć treść wersji, na której podstawie udzielił zgody. Udostępnianie wersji archiwalnych „na żądanie" jest niewystarczające — bez publicznego archiwum utrwalone przy zgodzie oznaczenie wersji nie wskazuje na żaden możliwy do odtworzenia dokument.

Zmiana polegająca na dodaniu nowego celu lub nowego odbiorcy danych powoduje ponowne wyświetlenie banera zgody. Wcześniej udzielona zgoda nie rozciąga się na cele, o których użytkownik nie był informowany.

O istotnych zmianach Usługobiorcy posiadający konto są informowani drogą elektroniczną z wyprzedzeniem.

Warunek wykonalności. Zobowiązanie z ust. 4 nie może zostać opublikowane, dopóki nie działa kanał wysyłki wiadomości do Usługobiorców. Zobowiązanie bez mechanizmu jest gorsze niż jego brak.