Polityka Prywatności RODO

1. Administrator Danych Osobowych

Administratorem Twoich danych osobowych jest Dragonfly Operations Sp. z o.o. z siedzibą: Korzecznik 16, 62-650 Kłodawa (KRS: 0001240056, NIP: 6662139556).

W sprawach związanych z RODO i ochroną prywatności kontaktuj się pod adresem: kontakt@dfops.eu.

2. Jakie dane zbieramy i po co?

Niniejsza polityka dotyczy danych osób zakładających konto i korzystających z Serwisu DFCMS (panel, subskrypcja, rozliczenia). Osobne zasady przetwarzania danych gości stron utworzonych w DFCMS opisuje polityka prywatności publikowana na tych stronach — tam administratorem jest właściciel danej wizytówki, a Dragonfly Operations Sp. z o.o. występuje jako podmiot przetwarzający.

Rejestracja i logowanie: adres e-mail, zahaszowane hasło, identyfikator konta (cel: realizacja umowy, art. 6 ust. 1 lit. b RODO).
Strona w Serwisie: wybrany adres (slug), treść strony, ustawienia, przesłane zdjęcia i pliki graficzne, dane konfiguracyjne integracji (np. mapa, opinie Google, link rezerwacji) — w zakresie, w jakim wprowadzasz je w panelu (cel: realizacja umowy, art. 6 ust. 1 lit. b RODO).
Fakturowanie i księgowość: NIP, nazwa firmy, adres, dane z systemu e-Faktur (cel: wypełnienie obowiązku prawnego, art. 6 ust. 1 lit. c RODO).
Płatności: płatności subskrypcyjne obsługuje Stripe (m.in. identyfikator klienta, status subskrypcji). DFCMS nie przechowuje pełnego numeru karty płatniczej.
Bezpieczeństwo i diagnostyka: dane techniczne związane z działaniem panelu (np. komunikaty o błędach) — w zakresie niezbędnym do utrzymania Serwisu (cel: prawnie uzasadniony interes administratora, art. 6 ust. 1 lit. f RODO).
Narzędzia Sztucznej Inteligencji (AI Studio i Generator Treści): zapytania (prompty), informacje o profilu działalności, branży, ofercie oraz instrukcje edycyjne wprowadzane w dialogu z Agentem AI w celu wygenerowania lub modyfikacji struktury i treści strony (cel: realizacja umowy, art. 6 ust. 1 lit. b RODO). Narzędzia te nie służą profilowaniu w rozumieniu art. 22 RODO i nie podejmują zautomatyzowanych decyzji wywołujących skutki prawne wobec Użytkownika ani gości jego witryny.

Planujemy umożliwienie prowadzenia wielu stron pod jednym kontem. Po uruchomieniu tej funkcji zakres przetwarzanych danych może obejmować dodatkowe identyfikatory stron i rozliczeń — zaktualizujemy wtedy niniejszą politykę.

3. Odbiorcy danych i lokalizacja serwerów

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka związanego z przetwarzaniem danych. Główne bazy danych i magazyn plików Serwisu (Supabase) znajdują się na terenie Unii Europejskiej (m.in. Francja / Irlandia).

W celu świadczenia usługi powierzamy przetwarzanie danych następującym podmiotom przetwarzającym:

Supabase Inc. – baza danych PostgreSQL, uwierzytelnianie użytkowników, magazyn plików (zdjęcia i grafiki wgrywane w panelu); infrastruktura w UE.
Cloudflare, Inc. – hosting i dystrybucja treści (CDN), ochrona przed nadużyciami, weryfikacja antyspamowa (Turnstile), obsługa niestandardowych domen klientów (Custom Hostnames).
Google LLC (Google Cloud / Gemini API) – przetwarzanie zapytań tekstowych w ramach modułu DFCMS AI Studio, asystenta Zero-CMS oraz generatora i tłumacza treści. Dane przekazywane są za pośrednictwem bezpiecznego, komercyjnego interfejsu API i nie są wykorzystywane przez dostawcę technologii do trenowania publicznych modeli sztucznej inteligencji. Ponadto Google LLC świadczy opcjonalne usługi wybrane przez Użytkownika: osadzanie map (Google Maps) oraz pobieranie publicznych opinii miejsca (Google Places API). Przekazywanie danych poza EOG (m.in. do USA) zabezpieczone jest na podstawie Standardowych Klauzul Umownych (SCC) oraz ram Data Privacy Framework.
wFirma (Web INnovative Software Sp. z o.o.) – polski system ERP/CRM, automatyczne wystawianie faktur i integracja z KSeF; dane adresowe i NIP wyłącznie do dokumentów księgowych.
Stripe Inc. – operator płatności; dane mogą być przekazywane poza EOG na podstawie standardowych klauzul umownych (m.in. do USA).
Sentry (Functional Software, Inc.) – rejestrowanie błędów panelu administracyjnego w celu diagnostyki i poprawy stabilności Serwisu.

4. Umowa powierzenia przetwarzania (DPA dla B2B)

Jeśli jesteś przedsiębiorcą i zbierasz dane swoich klientów na stronie stworzonej w DFCMS (np. w formularzu kontaktowym lub przy rezerwacji), występujesz jako administrator danych tych osób. Założenie konta i akceptacja Regulaminu stanowi prawnie wiążące zawarcie umowy powierzenia przetwarzania danych osobowych, w której Dragonfly Operations Sp. z o.o. występuje jako podmiot przetwarzający. Lista podprocesorów technologicznych (m.in. Supabase, Cloudflare) obejmuje również dane przetwarzane na rzecz gości Twojej strony — w zakresie niezbędnym do jej działania.

5. Pliki cookies i technologie podobne

Serwis DFCMS (dfcms.pl, panel, rejestracja) wykorzystuje następujące kategorie plików cookies i podobnych technologii:

Niezbędne: ciasteczka sesyjne wymagane do zalogowania do panelu, utrzymania sesji oraz skrypty zabezpieczające (m.in. Stripe Checkout, Cloudflare Turnstile przy rejestracji i płatności). Ładowane domyślnie, bez wymogu zgody.
Funkcjonalne: zapamiętanie ustawień w panelu oraz — na stronach klientów — elementy zewnętrzne wybrane przez właściciela strony (np. mapa Google, opinie Google).
Analityczne i marketingowe (opcjonalne, obecnie nieużywane na dfcms.pl): na dzień publikacji niniejszej polityki nie uruchamiamy na głównej witrynie Serwisu narzędzi takich jak Google Analytics, Google Tag Manager ani Meta Pixel. Możemy je wprowadzić w przyszłości — wyłącznie po uprzedniej aktualizacji polityki i, jeśli wymagają tego przepisy, po uzyskaniu zgody w banerze cookies.
Na stronach utworzonych przez Użytkowników: właściciel strony może skonfigurować w panelu identyfikatory Google Tag Manager lub Meta Pixel; skrypty te uruchamiają się u gości dopiero po wyrażeniu zgody w banerze cookies na danej stronie.

6. Twoje prawa

Zgodnie z RODO, masz prawo żądania dostępu do swoich danych, sprostowania, usunięcia, a także ograniczenia przetwarzania. Ponieważ większość danych (faktury) podlega nadrzędnym polskim przepisom podatkowym, usunięcie konta w systemie nie powoduje fizycznego wymazania wystawionych już dokumentów księgowych przed upływem wymaganego prawem terminu 5 lat.