Polityka prywatności HOMER
Ostatnia aktualizacja: 18.10.2026 · wersja POL-PRIV-FD02-383843f24cdc · wersja robocza (dane administratora do uzupełnienia)
§ 1. Administrator i kontakt
1. Administratorem danych jest [OPERATOR], [ADRES], [KRS], [NIP], [REGON]. 2. Kontakt w sprawach danych osobowych: [E-MAIL]. 3. Inspektor ochrony danych: [OPERATOR] podaje, czy został wyznaczony, i jego dane kontaktowe. IOD nie jest wymagany, dopóki prawnik nie potwierdzi takiego obowiązku.
§ 2. Zakres „zero-knowledge” — co jest prawdą
1. Zaszyfrowane w przeglądarce: treść wiadomości, treść odpowiedzi oraz zawartość i nazwa nowych załączników. Klucz znajduje się w części linku po znaku #. Przeglądarka tej części nie wysyła do serwera. Administrator nie ma klucza do tych danych — także w bazie, w pamięci plików i w kopiach zapasowych. 2. Nie są zero-knowledge (przetwarzane przez Administratora): czasy utworzenia, otwarcia, zakończenia oglądania i wygaśnięcia; status; wybrany motyw; czas oglądania; rozmiar, typ MIME i losowy identyfikator obiektu załącznika; adres IP i dane żądania w logach serwera; dane kupującego; dane zgłoszeń przekazanych dobrowolnie. 3. Co wysyła przeglądarka poza kluczem #: — klucz licencji PRO jest wysyłany przy sprawdzaniu statusu licencji (strona główna i cennik, gdy licencja jest zapisana), przy aktywacji oraz przy tworzeniu wiadomości lub załączników z funkcjami PRO; — identyfikator pokoju i token nadawcy są wysyłane przy sprawdzaniu statusu i przy unieważnianiu wiadomości; — część po znaku # nigdy nie jest wysyłana. 4. Ograniczenie modelu: Administrator dostarcza kod aplikacji. Zmodyfikowany kod w przeglądarce mógłby przekazać klucz. Opis tego ograniczenia: [do potwierdzenia]. 5. Załączniki przesłane przed 16.10.2026 były przechowywane w innym modelu: klucz pliku znajdował się w bazie do końca wiadomości. Model ten nie jest stosowany. 6. Adresy e-mail w danych transakcyjnych. Adres e-mail kupującego jest potrzebny do płatności, dostarczenia i odzyskania licencji, kontaktu transakcyjnego, reklamacji i dokumentacji zakupu. Jest przechowywany w postaci jawnej w rekordzie licencji i w rekordzie płatności. Ograniczenie jego zapisów w zdarzeniach płatności do pól niezbędnych jest w trakcie wdrażania.
§ 3. Kategorie osób, danych, celów, podstaw i odbiorców
Każda kategoria zawiera: dane, cel, podstawę, odbiorców, okres (§ 8) i prawa (§ 6). Podstawy są propozycjami do potwierdzenia prawnego. A. Użytkownik wiadomości (nadawca i odbiorca) — Dane: zaszyfrowana treść wiadomości i odpowiedzi; czasy; status; motyw; czas oglądania; identyfikator pokoju; skróty tokenów; dane żądania w logach. — Cel: dostarczenie, zakończenie i zabezpieczenie wiadomości. — Podstawa proponowana: art. 6 ust. 1 lit. b RODO (wykonanie usługi); lit. f dla logów. — Odbiorcy: DigitalOcean (hosting); Cloudflare (proxy; R2 dla załączników). B. Kupujący licencję PRO — Dane: adres e-mail; identyfikator płatności i zamówienia; kwota, waluta, status; typ licencji; daty aktywacji i wygaśnięcia; zaszyfrowany adres e-mail i jego skrót do odzyskiwania; skrót identyfikatora urządzenia; wersje zaakceptowanych tekstów i czas akceptacji; dane zdarzeń płatności, adres e-mail w postaci jawnej w metadanych zdarzeń jest usuwany (w trakcie wdrażania); treść powiadomienia dostawcy jest ograniczana do pól niezbędnych (w trakcie wdrażania). — Cel: realizacja zakupu, wydanie i odzyskanie licencji, obsługa płatności, reklamacje, rozliczenia. — Podstawa proponowana: art. 6 ust. 1 lit. b RODO; dla dokumentów rozliczeniowych art. 6 ust. 1 lit. c RODO. — Odbiorcy: Stripe, Inc. (płatności); Resend (wysyłka e-maili); DigitalOcean; Cloudflare. — Dawne transakcje i subskrypcje zawarte przez Paddle przed wdrożeniem Stripe (LEGACY): Paddle.com Market Ltd. (Merchant of Record). Dane z tych transakcji są przetwarzane w zakresie dawnych zamówień i aktywnych subskrypcji do ich zakończenia. C. Golden List (zgłaszający i wpis) — Dane: adres e-mail zgłaszającego; nazwa, typ, język, adres URL i opis; ikona i kreacja; status moderacji i płatności; liczniki wyświetleń i kliknięć (bez danych osób). — Publicznie: nazwa, opis, typ, adres URL i ikona. Adres e-mail nie jest publikowany. — Cel: publikacja, moderacja, obsługa płatności. — Podstawa proponowana: art. 6 ust. 1 lit. b RODO. — Odbiorcy: Resend; Stripe. D. Promocja kanałów YouTube (zgłaszający) — Dane: adres e-mail; nazwa i adres kanału; adres filmu promocyjnego; opis; wersja językowa; okres; znacznik czasu potwierdzenia prawa do kanału; zaakceptowane teksty i czas akceptacji. — Publicznie: pola wpisu i odtwarzacz osadzony z YouTube. — Cel: emisja, moderacja, obsługa płatności. — Podstawa proponowana: art. 6 ust. 1 lit. b RODO. — Odbiorcy: Resend; Stripe; YouTube/Google (odtwarzacz; przekazanie danych w chwili odtworzenia, zob. § 4 pkt 6). E. Reklamy banerowe (reklamodawca) — Dane: adres e-mail; nazwa kampanii; adres docelowy; kreacje (desktop i mobile); slot i okres; statystyki wyświetleń i kliknięć przypisane do kampanii; teksty oświadczeń i czas akceptacji. — Cel: emisja, rozliczenie, moderacja. — Podstawa proponowana: art. 6 ust. 1 lit. b RODO. — Odbiorcy: Resend; Stripe; Cloudflare R2 (kreacje). F. Formularz kontaktowy — Dane: adres e-mail nadawcy; temat; treść wiadomości; dane techniczne potrzebne do limitów (adres IP w pamięci procesu, bez zapisu w bazie). — Przepływ: wiadomość jest wysyłana e-mailem do Administratora przez Resend. Nadawca otrzymuje potwierdzenie przyjęcia. Treść nie jest zapisywana w bazie danych. Do 16.10.2026 treść była przekazywana do Abacus.AI (historycznie, § 4 pkt 8). — Podstawa proponowana: art. 6 ust. 1 lit. b lub f RODO. — Okres: § 8, pozycja 12. G. Zgłoszenie nadużycia — Dane: kategoria; adres lub identyfikator treści; opis; adres e-mail zgłaszającego (jeżeli podany); oświadczenie dobrej wiary; numer zgłoszenia; status i decyzja z uzasadnieniem. — Dla wpisu Golden List zgłoszenie nie zawiera identyfikatora zgłaszającego. — Cel: rozpatrzenie zgłoszenia, bezpieczeństwo, obowiązki prawne. — Podstawa proponowana: art. 6 ust. 1 lit. c i f RODO. — Okres: § 8, pozycja 14. H. Logi bezpieczeństwa i serwera — Dane: adres IP; czas; metoda żądania; zredagowana ścieżka (bez parametrów zapytania z tokenami); kod odpowiedzi. — Cel: bezpieczeństwo, diagnostyka, ochrona przed nadużyciami. — Podstawa proponowana: art. 6 ust. 1 lit. f RODO. — Okres: 14 dni (§ 8, pozycje 10–11). I. Zdarzenia statystyczne (tabela zdarzeń) — Typy: PAGE_VIEW (ścieżka strony); ROOM_CREATED (identyfikator pokoju, motyw, czas ważności, czy załącznik); ROOM_READ; CODE_ACTIVATED; AD_CLICK; PAYMENT_SUCCESS (dostawca, identyfikator płatności, typ licencji; adres e-mail w metadanych jest usuwany — w trakcie wdrażania). — Cel: statystyki w panelu administratora. — Podstawa proponowana: art. 6 ust. 1 lit. f RODO. — Okres: § 8, pozycja 8.
§ 4. Odbiorcy danych
1. DigitalOcean — hosting serwera aplikacji, region Frankfurt. Umowa powierzenia: [OPERATOR] potwierdzi. 2. Cloudflare, Inc. — proxy i ochrona ruchu; przechowywanie plików w Cloudflare R2. Umowa powierzenia: [OPERATOR] potwierdzi. 3. Resend — wysyłka wiadomości e-mail: licencje, odzyskiwanie licencji, formularz kontaktowy, wiadomości Golden List, YouTube i reklam. Umowa powierzenia: [OPERATOR] potwierdzi. 4. Stripe, Inc. — dostawca płatności. Dane karty podaje się na stronie Stripe. Rola Administratora wobec Stripe: [do potwierdzenia]. 5. Czcionki motywów (bez Google w czasie działania strony). Czcionki motywów, w tym Inter, są plikami Aplikacji serwowanymi z domeny Aplikacji. Nie są pobierane z serwerów Google w czasie działania strony. Przeglądarka użytkownika nie łączy się w tym celu z fonts.googleapis.com ani fonts.gstatic.com, więc Google nie otrzymuje z tego powodu adresu IP użytkownika. 6. YouTube (Google). Odtwarzacze kanałów promocyjnych są osadzane z youtube-nocookie.com. Dane są przekazywane YouTube w chwili odtworzenia. Odtwarzacz jest ładowany dopiero po wyraźnym działaniu użytkownika (przycisk „Załaduj film”).. 7. Paddle.com Market Ltd. — wyłącznie dla dawnych transakcji i subskrypcji (LEGACY). Dane z dawnych transakcji, w których Paddle działał jako Merchant of Record, oraz z aktywnych subskrypcji zawartych przed wdrożeniem Stripe. 8. Abacus.AI — wyłącznie historycznie. Do 16.10.2026 treść formularza kontaktowego była przekazywana temu dostawcy. Od tej daty formularz wysyła wiadomości przez serwer Aplikacji i Resend. Czy i jak długo dostawca przechowuje wcześniejsze wiadomości: [do potwierdzenia]. 9. Organy publiczne — wyłącznie na podstawie przepisów prawa. AWS nie jest odbiorcą. Pliki są przechowywane w Cloudflare R2.
§ 5. Przekazywanie danych poza EOG
Dostawcy z siedzibą w USA: Cloudflare, Stripe, Resend, YouTube (Google, w chwili odtworzenia filmu po kliknięciu). Mechanizm przekazania (DPF lub SCC) i ocena skutków: [do potwierdzenia]. Kopię zastosowanych zabezpieczeń można uzyskać, pisząc na [E-MAIL].
§ 6. Prawa osób, których dane dotyczą
1. Dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw oraz cofnięcie zgody, jeżeli była wymagana. 2. Skarga do Prezesa Urzędu Ochrony Danych Osobowych. Dane kontaktowe UODO: [OPERATOR] uzupełni po weryfikacji. 3. Termin odpowiedzi na żądanie: [OPERATOR]. 4. Operator nie podejmuje decyzji wyłącznie w sposób zautomatyzowany i nie profiluje użytkowników. 5. Ze względu na model zero-knowledge Administrator nie może odszukać ani odszyfrować treści wiadomości na żądanie. Żądanie dostępu obejmuje metadane z § 2 pkt 2.
§ 7. Bezpieczeństwo
1. Szyfrowanie w przeglądarce (AES-256-GCM; HKDF-SHA256 dla kluczy plików); połączenia HTTPS. 2. Limity żądań dla wrażliwych tras; ochrona formularzy (pole niewidoczne dla człowieka, limity długości i liczby zgłoszeń). 3. Usuwanie treści po zakończeniu wiadomości; usuwanie plików weryfikowane, błędy ponawiane. 4. Hasła administratorów przechowywane jako skrót bcrypt. Sesja administratora trwa 24 h. 5. Ograniczenia opisane w § 2 i § 8. Żadne zabezpieczenie nie jest absolutne.
§ 8. Retencja: okresy według kategorii
Zasada: dane są przechowywane tylko przez okres potrzebny do konkretnego celu albo wymagany przepisami. Kategorie nie są przechowywane bezterminowo. Okresy, których automatyczne egzekwowanie jest w trakcie wdrażania, są okresami docelowymi. 1. Zaszyfrowana treść wiadomości i IV — miejsce: tabela wiadomości; okres: usuwana po zakończeniu oglądania; jeżeli oglądanie nie zostanie zakończone, usuwana po upływie czasu oglądania; nie dłużej niż czas ważności (maks. 7 dni) 2. Wiersz wiadomości (czasy, status, motyw, czas oglądania, skróty tokenów) — miejsce: tabela wiadomości; okres: usuwany najpóźniej 5 minut po upływie czasu ważności 3. Odpowiedź (zaszyfrowana) — miejsce: tabela wiadomości; okres: usuwana po pierwszym odebraniu przez nadawcę 4. Załącznik (zaszyfrowany plik) — miejsce: Cloudflare R2 + kolejka usuwania; okres: usuwany po zakończeniu wiadomości; błędy ponawiane 5. Rezerwacja załącznika przed wiadomością — miejsce: Cloudflare R2 + kolejka; okres: 24 h od rezerwacji 6. Nazwa, typ MIME i rozmiar załącznika — miejsce: tabela wiadomości; okres: jak wiersz wiadomości 7. Użycie motywu (ThemeUsage) — miejsce: tabela użycia motywów; okres: identyfikator pokoju usuwany razem z wierszem wiadomości; zachowane są agregaty dzienne według motywu przez 24 miesiące 8. Zdarzenia (PAGE_VIEW, ROOM_CREATED, ROOM_READ, CODE_ACTIVATED, AD_CLICK, PAYMENT_SUCCESS) — miejsce: tabela zdarzeń; okres: zdarzenia surowe przez 90 dni, potem agregaty dzienne bez identyfikatorów przez 24 miesiące 9. Adres e-mail w zdarzeniu płatności — miejsce: tabela zdarzeń; okres: usunięty z metadanych (natychmiast po wdrożeniu) 10. Logi serwera proxy (IP, czas, metoda, zredagowana ścieżka) — miejsce: pliki logów; okres: 14 dni (rotacja dzienna) 11. Logi aplikacji i zadań cyklicznych — miejsce: pliki logów; okres: 14 dni; adresy e-mail nie są w nich zapisywane 12. Formularz kontaktowy — miejsce: skrzynka Administratora; Resend; okres: w bazie brak zapisu; skrzynka: 12 miesięcy od zakończenia sprawy; Resend zgodnie z jego polityką 13. Limity żądań (formularz, logowanie, odzyskiwanie) — miejsce: pamięć procesu; okres: do końca okna limitu; czyszczone przy restarcie 14. Zgłoszenia nadużyć — miejsce: tabela zgłoszeń; okres: 12 miesięcy od zamknięcia sprawy; dłużej tylko przy sporze, roszczeniu, obowiązku prawnym, bezpieczeństwie lub żądaniu organu, do ustania tej przyczyny 15. Licencje PRO (klucz, typ, daty, identyfikatory transakcji) — miejsce: tabela licencji; okres: do końca licencji; po jej końcu rekord licencji z identyfikatorami transakcji zachowywany 24 miesiące, potem usuwany 16. Adres e-mail kupującego PRO: pole jawne, pole zaszyfrowane, skrót — miejsce: tabela licencji; okres: pakiety: usuwane po wyczerpaniu lub wygaśnięciu; subskrypcje: 30 dni po wygaśnięciu; Lifetime: nie czyszczone, dopóki licencja istnieje 17. Próby odzyskiwania (skróty e-maila, IP, UA) — miejsce: tabela prób; okres: udane: 24 h; nieudane: 30 dni 18. Rekord płatności (kwota, waluta, status, identyfikatory, adres e-mail, wersje zaakceptowanych tekstów) — miejsce: tabela płatności; okres: adres e-mail: do zakończenia obsługi transakcji, potem usuwany; rekord z kwotą i identyfikatorami: okres rachunkowy i podatkowy 19. Surowe powiadomienie dostawcy płatności — miejsce: tabela płatności; okres: 30 dni, potem usuwane; zachowane są tylko pola niezbędne (identyfikatory, kwota, status) 20. Zdarzenia płatności (przebieg transakcji) — miejsce: tabela zdarzeń płatności; okres: 24 miesiące od zdarzenia 21. Wpis Golden List (nazwa, opis, URL, status) — miejsce: tabela wpisów; okres: po wygaśnięciu wpis nie jest publikowany; wpis usuwany 12 miesięcy po wygaśnięciu, chyba że trwa spór 22. Adres e-mail zgłaszającego Golden List — miejsce: tabela wpisów; okres: usuwany 90 dni po wygaśnięciu lub odrzuceniu wpisu 23. Zgłoszenia promocji YouTube i reklam (adres e-mail, dane kampanii) — miejsce: tabela zgłoszeń; okres: adres e-mail usuwany 90 dni po zamknięciu zgłoszenia; rekord bez adresu zachowywany 24 miesiące 24. Kreacje banerów — miejsce: Cloudflare R2; okres: usuwane po zakończeniu emisji i po okresie retencji slotu (w bazie 24 h) 25. Konta administratorów (e-mail, skrót hasła, daty) — miejsce: tabela administratorów; okres: do odwołania konta 26. Kopie zapasowe bazy — miejsce: katalog kopii serwera; okres: 60 dni; punkty odtworzenia przed wdrożeniem: 3 najnowsze; kopie z kluczami: sanityzacja w 24 h 27. Kopie źródeł aplikacji — miejsce: katalog kopii serwera; okres: zgodnie z polityką punktów odtworzenia
§ 9. Cookies i pamięć przeglądarki
Cookies: — NEXT_LOCALE — zapamiętany język strony. Konieczny. Cookie sesyjne: wygasa po zamknięciu przeglądarki. — admin_token — uwierzytelnienie administratora (httpOnly, secure w środowisku produkcyjnym, sameSite: lax). Ustawiany wyłącznie przy logowaniu administratora. Ważność: 24 h. Użytkownik serwisu bez konta administratora go nie otrzymuje. — Cloudflare — cookies ochrony ruchu. Nazwy i okresy: [OPERATOR] potwierdzi po sprawdzeniu. — Stripe — na stronie płatności zgodnie z polityką Stripe. — YouTube — odtwarzacz ładowany po wyraźnym działaniu użytkownika może ustawiać własne cookies (§ 4 pkt 6). Pamięć przeglądarki (localStorage i sessionStorage). Dane pozostają w przeglądarce. Część z nich jest wysyłana na serwer wyłącznie przy korzystaniu z danej funkcji: — keymes_messages — lista wysłanych wiadomości na tym urządzeniu (strona /sent): identyfikator pokoju, etykieta, czasy utworzenia i wygaśnięcia, ostatni znany status oraz link statusu. Link zawiera token nadawcy i klucz szyfrujący (część po #). Przy sprawdzaniu statusu lub unieważnianiu wiadomości przeglądarka wysyła identyfikator pokoju i token nadawcy. Część po # nigdy nie jest wysyłana. Wygasłe wpisy są usuwane automatycznie. Wpis można usunąć w ustawieniach przeglądarki. — homer_pro_license — klucz licencji PRO zapisany na tym urządzeniu. Wysyłany na serwer przy sprawdzaniu statusu licencji (strona główna i cennik, gdy licencja jest zapisana), przy aktywacji oraz przy tworzeniu wiadomości lub załączników z funkcjami PRO. Serwer sprawdza go w rejestrze kluczy licencyjnych. Konieczny do działania PRO. — homer_device_id — losowy identyfikator urządzenia (UUID v4), tworzony w przeglądarce, gdy na urządzeniu jest zapisana lub aktywowana licencja PRO. Wysyłany razem z kluczem licencji. Serwer zapisuje wyłącznie jego skrót SHA-256, do powiązania licencji z urządzeniem. Konieczny dla licencji przypisanych do jednego urządzenia (Unlimited i Lifetime). — homer_cookie_consent — wybór w banerze cookies (accepted lub essential-only), bez daty wygaśnięcia. Nie jest wysyłany na serwer. Konieczny do zapamiętania wyboru. — homer-apicache:* (sessionStorage) — krótkotrwała pamięć podręczna publicznych danych strony (motywy, reklamy, Golden List, kanały YouTube), ważna 60 sekund. Nie zawiera treści wiadomości. Jest czyszczona po zamknięciu karty. Analityka i cookies marketingowe: Aplikacja ich nie używa. Strony nie wysyłają danych do narzędzi analitycznych stron trzecich. Baner cookies: zapisuje wybór użytkownika. Czy baner wymaga realnej zgody dla elementów opcjonalnych (osadzenia YouTube): [do potwierdzenia].
§ 10. Zmiany polityki
Administrator może zmienić Politykę. Zmiany są oznaczane datą. Sposób powiadomienia o istotnych zmianach: [do potwierdzenia].
Zasady prywatności
- 🔒 ZERO-KNOWLEDGE — treść wiadomości szyfrujemy w przeglądarce (zakres w § 2)
- 🗑️ ZAKRES DANYCH — opisany w § 3 i § 9
- ⏰ OKRESY PRZECHOWYWANIA — § 8; część okresów jest w trakcie wdrażania