Polityka prywatności

Aliaksandr Karnilovich (NIP 9512513807, Polska) jest administratorem danych używanych do prowadzenia kont, uwierzytelniania, bezpieczeństwa platformy, administracji i obsługi zgłoszeń.

Agencja nieruchomości lub agent indywidualny decyduje o celu i zakresie przetwarzania danych swoich klientów w pokojach. W tym zakresie właściciel konta jest administratorem, a Property Rooms działa jako podmiot przetwarzający na jego udokumentowane polecenie zgodnie z umową powierzenia (DPA).

Umowa powierzenia jest udostępniana właścicielowi konta przed rozpoczęciem przetwarzania danych klientów i opisuje zakres, cele, obowiązki bezpieczeństwa, wsparcie praw osób oraz zasady zgłaszania naruszeń.

Platforma może przetwarzać następujące kategorie danych:

• adres e-mail, imię lub nazwa wyświetlana, rola, typ konta i status konta;
• nazwę konta, opcjonalny NIP agencji oraz informacje o powiązaniu klientów z kontem;
• hasze haseł agentów, hasze jednorazowych linków i kodów logowania, dane sesji oraz — dla administratorów platformy — zaszyfrowane sekrety MFA i hasze kodów odzyskiwania;
• członkostwo w pokojach, budżet, lokalizacje, preferencje mieszkaniowe i notatki;
• wiadomości, reakcje i aktywność współpracy w pokoju;
• opcjonalne adresy URL zewnętrznych ogłoszeń, ręcznie wprowadzone dane nieruchomości i prywatne komentarze agenta; platforma nie pobiera treści stron źródłowych;
• imię i nazwisko, e-mail, typ konta, opcjonalną nazwę agencji, liczbę agentów i status obsługi zgłoszenia okresu próbnego;
• dzienniki administracyjne, stan przeczytania, status dostarczenia powiadomień oraz ograniczony zestaw zdarzeń produktowych dotyczących wyłącznie agentów i administratorów (logowanie, utworzenie pokoju, zaproszenie klienta, dodanie nieruchomości, archiwizacja pokoju) z identyfikatorem agenta, konta i czasem, a także zagregowane, niezidentyfikowane statystyki aktywności klientów w pokoju (np. liczba reakcji lub komentarzy klientów);
• adres IP przetwarzany w pamięci przez około godzinę w celu ograniczania nadużyć przy logowaniu, zgłoszeniach próbnych i dodawaniu klientów.

Dane pochodzą bezpośrednio od użytkownika, od agencji lub agenta indywidualnego, który tworzy lub łączy konto klienta, oraz z działań wykonywanych w platformie.

Linki do nieruchomości i dotyczące ich informacje są dodawane ręcznie przez agentów. Property Rooms nie pobiera danych z portali ogłoszeniowych.

Zastosowanie art. 13 lub art. 14 RODO do danych klienta zależy od tego, czy dane te zostały pozyskane bezpośrednio od klienta, a nie od tego, czy klient wcześniej kontaktował się z Property Rooms — patrz „Obowiązek informacyjny wobec klientów” poniżej.

W odniesieniu do danych osobowych przetwarzanych w pokojach klientów właściciel konta — biuro nieruchomości lub niezależny profesjonalista — jest co do zasady Administratorem danych, a Property Rooms przetwarza te dane w jego imieniu jako Podmiot przetwarzający.

Administrator odpowiada za przekazanie osobom, których dane dotyczą, informacji wymaganych przez art. 13 lub 14 GDPR, w zależności od źródła danych i okoliczności ich pozyskania.

W szczególności:

• art. 13 GDPR ma zastosowanie, gdy Administrator pozyskuje dane osobowe bezpośrednio od osoby, której dane dotyczą;
• art. 14 GDPR ma zastosowanie, gdy dane osobowe nie zostały pozyskane bezpośrednio od tej osoby, na przykład gdy zostały przekazane przez inną osobę, partnera lub pozyskane z innego źródła.

Sam fakt, że klient wcześniej nie korzystał z Property Rooms, nie przesądza o zastosowaniu art. 14 GDPR.

Administrator odpowiada za przekazanie wymaganych informacji w terminie wynikającym z odpowiedniego przepisu GDPR.

Jeżeli Property Rooms wysyła zaproszenie lub inną wiadomość do klienta w imieniu Administratora, takie działanie stanowi przetwarzanie wykonywane na udokumentowane polecenie Administratora i nie przenosi odpowiedzialności Administratora za wykonanie jego obowiązku informacyjnego.

Niezależnie od powyższego Property Rooms przekazuje własną Politykę prywatności w zakresie, w jakim Property Rooms działa jako odrębny Administrator, na przykład w związku z bezpieczeństwem platformy, administracją własnych usług lub obsługą określonych danych technicznych.

Dane konta i korzystania z usługi są przetwarzane w celu zawarcia i wykonania umowy o usługę. Dane bezpieczeństwa, przeciwdziałania nadużyciom, audytu i obsługi mogą być przetwarzane na podstawie prawnie uzasadnionego interesu po przeprowadzeniu wymaganej oceny.

Dane ze zgłoszenia próbnego są używane do kontaktu, ręcznej oceny zgłoszenia przez administratora platformy, przygotowania dostępu i obsługi relacji przed zawarciem umowy.

Dane pokojów klientów są przetwarzane przez Property Rooms w imieniu agencji lub agenta indywidualnego. Właściciel konta odpowiada za ustalenie własnej podstawy prawnej i przekazanie klientowi właściwych informacji.

Property Rooms prowadzi ograniczoną, własną (first-party) analitykę produktową dotyczącą wyłącznie agentów i administratorów, a nie klientów, na podstawie prawnie uzasadnionego interesu związanego z rozwojem produktu — patrz sekcja 9 w sprawie prawa do wniesienia sprzeciwu na podstawie art. 21 RODO. Surowe zdarzenia analityczne są przechowywane 90 dni, a wynikające z nich długoterminowe metryki są agregowane i przechowywane do 24 miesięcy. Treść pokojów klientów oraz preferencje klientów dotyczące nieruchomości nie są wykorzystywane do własnej analityki produktowej Property Rooms, która nie prowadzi odrębnej, możliwej do zidentyfikowania historii analitycznej zachowań klientów. Dane o aktywności w pokoju (np. stan przeczytania) są używane operacyjnie do wskazywania nieprzeczytanych zmian i wysyłania zbiorczych powiadomień e-mail.

Dane uwierzytelniające i dzienniki administracyjne służą do logowania, wysyłania zaproszeń, ochrony kont, zarządzania platformą i rozliczalności działań uprzywilejowanych.

Zgoda nie jest używana jako ogólna podstawa dla przetwarzania, które jest rzeczywiście niezbędne do umowy lub bezpieczeństwa.

Dostęp do danych pokojów mają przypisani agenci i klienci danego pokoju oraz właściciele i administratorzy właściwego konta. Upoważnieni administratorzy platformy obsługują zgłoszenia próbne, konta, agentów, dzienniki audytowe i zagregowane raporty produktowe, ale nie otwierają pokojów klientów.

Podprocesorzy obejmują OVH, który zapewnia hosting aplikacji, bazy danych i infrastruktury, oraz Brevo (Sendinblue), który obsługuje pocztę transakcyjną i skrzynki pocztowe @propertyrooms.pl.

Powiadomienia o aktywności są kierowane do innych członków danego pokoju i przekazywane przez skonfigurowanego dostawcę poczty transakcyjnej. Reakcje nie są wysyłane pocztą elektroniczną.

Infrastruktura aplikacji i bazy danych jest utrzymywana przez OVH w Unii Europejskiej. Lokalizacje przetwarzania przez Brevo (Sendinblue) oraz ewentualne transfery międzynarodowe są regulowane przez DPA i ustalenia dotyczące dalszych podmiotów przetwarzających obowiązujące dla konta Property Rooms w Brevo.

Każdy transfer poza EOG musi być zgodny z rozdziałem V RODO. Zweryfikowany mechanizm transferu zostanie udokumentowany i udostępniony na żądanie pod adresem privacy@propertyrooms.pl.

Jednorazowy link lub kod logowania jest ważny 15 minut, zaproszenie agenta albo administratora 48 godzin, wyzwanie MFA 5 minut, a sesja internetowa 12 godzin albo 30 dni, gdy agent logujący się hasłem zaznaczy „Nie wylogowuj mnie”.

Dane konta, pokojów i współpracy są przechowywane przez okres korzystania z usługi oraz do 30 dni po zakończeniu umowy, chyba że dłuższy okres wynika z prawa lub bezpieczeństwa. Procedury wdrożeniowe przewidują kopie zapasowe przed wdrożeniami, a konfiguracja operacyjna może obejmować harmonogram dzienny i rotację ostatnich 14 plików.

Dane ze zgłoszenia próbnego są przechowywane do 12 miesięcy od kontaktu lub do momentu aktywacji konta. Dzienniki bezpieczeństwa i audytu — do 24 miesięcy.

Surowe zdarzenia analityki produktowej dotyczące agentów i administratorów (patrz sekcja 5) są przechowywane 90 dni, a następnie usuwane; wynikające z nich zagregowane metryki miesięczne są przechowywane do 24 miesięcy.

Żądanie usunięcia można zgłosić na privacy@propertyrooms.pl; jego realizacja zależy od roli Property Rooms i właściciela konta oraz obowiązków prawnych.

W zależności od roli Property Rooms lub właściciel konta obsłuży żądanie dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych albo sprzeciwu. Żądanie można rozpocząć przez adres kontaktowy poniżej.

Aplikacja nie ma samoobsługowego usuwania konta ani pełnego eksportu. Żądania są obsługiwane ręcznie według uzgodnionej procedury i mogą wymagać współpracy właściwej agencji albo agenta indywidualnego.

Odpowiedź jest udzielana bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Tożsamość osoby składającej żądanie może zostać zweryfikowana w bezpieczny sposób.

Użytkownik może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Property Rooms nie podejmuje decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany i nie profiluje użytkowników do celów reklamowych. Wewnętrzne statystyki produktowe nie służą reklamie ani śledzeniu między witrynami.

Property Rooms nie korzysta z żadnych zewnętrznych narzędzi analitycznych ani reklamowych — analityka produktowa opisana w sekcji 5 jest w całości własna (first-party) i działa po stronie serwera.

Platforma stosuje kontrolę dostępu według konta i pokoju, haszowanie haseł agentów oraz jednorazowych tokenów, a dla administratorów platformy także MFA z szyfrowanym sekretem i haszowanymi kodami odzyskiwania. Sesje korzystają z plików HttpOnly.

Aktualne rodzaje danych przechowywanych w przeglądarce, ich cele i okresy opisuje oddzielna polityka plików cookie.

Serwer Property Rooms sprawdza wyłącznie format zapisanego adresu URL i nie łączy się ze stroną źródłową. Kliknięcie przycisku otwiera ją bezpośrednio w przeglądarce użytkownika.

Otwarcie nieruchomości lub linku zewnętrznego nie jest zapisywane jako możliwe do zidentyfikowania zdarzenie przypisane konkretnemu klientowi. Korzystanie z narzędzia porównania jest odzwierciedlone wyłącznie w zagregowanym, niezidentyfikowanym liczniku użycia. Żadna z tych czynności nie powoduje pobrania treści strony zewnętrznej przez Property Rooms.

Zewnętrzny portal staje się wtedy odrębnym administratorem i może otrzymać adres IP, dane przeglądarki oraz standardowe informacje o przejściu. Obowiązują jego własne warunki i polityka prywatności.

Demo działa pod oddzielnymi ścieżkami i korzysta z oddzielnego zaplecza serwerowego, bazy danych oraz plików sesyjnych z fikcyjnymi kontami i przykładowymi treściami.

Środowisko demonstracyjne służy wyłącznie do zapoznania się z produktem. Dane demonstracyjne mogą zostać zresetowane bez uprzedzenia.

W przypadku płatnych abonamentów Property Rooms wystawia faktury klientom profesjonalnym — biurom nieruchomości i niezależnym agentom — za płatną część usługi (konta agentów). Przetwarzanie danych rozliczeniowych i fakturowych jest odrębne od przetwarzania Danych Pokoi Klientów opisanego w innych częściach niniejszej Polityki oraz w DPA; status właściciela konta jako Administratora Danych Pokoi Klientów nie zależy od sposobu rozliczeń.

Property Rooms przetwarza dane rozliczeniowe w celu wystawiania i zarządzania fakturami, administrowania i rozliczania płatności, wykonania umowy o abonament oraz wypełnienia obowiązków podatkowych i księgowych, w tym obowiązków związanych z Krajowym Systemem e-Faktur (KSeF), jeżeli ma to zastosowanie. Przetwarzanie niezbędne do wykonania lub administrowania umową handlową odbywa się na podstawie art. 6 ust. 1 lit. b RODO. Przetwarzanie niezbędne do wypełnienia obowiązków podatkowych, fakturowych i księgowych odbywa się na podstawie art. 6 ust. 1 lit. c RODO. W razie potrzeby Property Rooms może także przetwarzać dane rozliczeniowe w celu ustalenia, dochodzenia lub obrony roszczeń związanych z nieopłaconymi fakturami, na podstawie prawnie uzasadnionego interesu z art. 6 ust. 1 lit. f RODO.

Osoba fizyczna, która kupuje Property Rooms w celu związanym z działalnością zawodową lub gospodarczą, na przykład jako niezależny agent, nie jest uznawana za konsumenta tylko z tego powodu, że kupującym jest osoba fizyczna. Obowiązkowe fakturowanie w KSeF nie obejmuje faktur konsumenckich (B2C), które mogą być wystawiane poza KSeF zgodnie z obowiązującymi przepisami.

• nazwa firmy lub nazwa klienta, a także imię i nazwisko, jeżeli ma to zastosowanie;
• adres do faktury;
• NIP lub inny identyfikator podatkowy, jeżeli ma to zastosowanie;
• adres e-mail do rozliczeń lub kontaktu;
• identyfikatory i daty faktur;
• informacje o abonamencie i liczbie kont agentów potrzebne do wystawienia faktury;
• kwoty na fakturach;
• status płatności;
• informacje o przelewie bankowym potrzebne do identyfikacji i rozliczenia płatności;
• identyfikatory KSeF, status przekazania faktury oraz powiązane metadane faktury, jeżeli ma to zastosowanie.

Dane rozliczeniowe są przekazywane następującym odbiorcom: Fakturownia — oprogramowanie do fakturowania i rozliczeń, które przetwarza dane faktur w imieniu Property Rooms jako podmiot przetwarzający i umożliwia przekazywanie faktur do KSeF, jeżeli ta funkcja jest włączona; Szef Krajowej Administracji Skarbowej (KSeF) — jako niezależny administrator i organ publiczny w odniesieniu do danych przekazywanych do KSeF, jeżeli przekazanie faktury do KSeF jest wymagane albo zostanie wybrane zgodnie z obowiązującymi przepisami podatkowymi; banki i instytucje płatnicze uczestniczące w przelewie bankowym — jako niezależni administratorzy w zakresie obsługi płatności i przelewów, działający na podstawie własnych obowiązków prawnych. Obecnie żadne zewnętrzne biuro księgowe nie ma dostępu do danych rozliczeniowych Property Rooms. W zakresie, w jakim fakturowanie jest realizowane za pomocą Fakturowni, administracją rozliczeń i fakturowaniem zajmuje się właściciel Property Rooms wraz z Fakturownią.

Dokumentacja rozliczeniowa, faktury i dane dotyczące płatności są przechowywane przez okresy wymagane przez obowiązujące przepisy podatkowe i o rachunkowości, a w razie potrzeby także przez okres niezbędny do ustalenia, dochodzenia lub obrony roszczeń związanych z rozliczeniami. Faktury przekazane do KSeF są dodatkowo przechowywane w KSeF zgodnie z ustawowym okresem przechowywania obowiązującym w tym systemie. Property Rooms nie stosuje krótszego okresu usuwania danych rozliczeniowych niż wynika to z obowiązujących przepisów podatkowych.

Property Rooms udostępnia mechanizm zgłaszania treści, które w ocenie zgłaszającego są niezgodne z prawem, zgodnie z art. 16 Aktu o usługach cyfrowych (DSA). W zakresie przetwarzania takich zgłoszeń Property Rooms działa jako niezależny Administrator danych; zgłoszenia nie są Danymi Pokoi Klientów i nie są przetwarzane w imieniu właściciela konta.

W związku ze zgłoszeniem przetwarzamy: dane identyfikacyjne i kontaktowe zgłaszającego (imię i nazwisko, adres e-mail), treść i lokalizację zgłoszonej treści, wyjaśnienie powodów zgłoszenia oraz historię obsługi zgłoszenia, w tym podjętą decyzję i jej uzasadnienie.

Dane te przetwarzamy w celu wypełnienia obowiązków wynikających z DSA, obsługi zgłoszenia oraz — w razie potrzeby — ustalenia, dochodzenia lub obrony roszczeń związanych ze zgłoszeniem. Podstawą prawną przetwarzania jest obowiązek prawny (art. 6 ust. 1 lit. c RODO w związku z DSA) oraz, w zakresie ustalenia, dochodzenia lub obrony roszczeń, prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Dane dotyczące zgłoszenia przechowujemy tak długo, jak jest to niezbędne do prowadzenia dokumentacji wymaganej przez DSA oraz do obrony przed związanymi z nią roszczeniami; okres ten jest okresowo weryfikowany.

Jeżeli Property Rooms usunie treść, ograniczy do niej dostęp albo ograniczy część usługi lub konto z powodu treści niezgodnej z prawem lub naruszenia Regulaminu, przetwarzamy ograniczony zestaw danych potrzebnych do udokumentowania tego działania i przygotowania uzasadnienia wymaganego przez art. 17 DSA. W tym zakresie Property Rooms działa jako niezależny Administrator; dane te nie są Danymi Pokoi Klientów i nie są przetwarzane w imieniu właściciela konta.

Przetwarzamy w szczególności: dane osoby, wobec której zastosowano ograniczenie (identyfikator konta oraz, w odpowiednich przypadkach, adres e-mail wykorzystany do powiadomienia), rodzaj i zakres zastosowanego ograniczenia, jego podstawę (treść niezgodna z prawem lub naruszenie Regulaminu), powiązane zgłoszenie w ramach mechanizmu opisanego w sekcji 15, jeżeli istnieje, oraz historię administracyjną działania, w tym ewentualną prośbę o ponowne rozpatrzenie i jej wynik. Tożsamości zgłaszającego nie ujawniamy osobie, wobec której zastosowano ograniczenie, poza przypadkami, w których jest to bezwzględnie niezbędne.

Podstawą prawną przetwarzania jest obowiązek prawny wynikający z DSA (art. 6 ust. 1 lit. c RODO) w zakresie przygotowania i przekazania uzasadnienia oraz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w zakresie utrzymania bezpieczeństwa platformy i obrony przed roszczeniami związanymi z zastosowanym ograniczeniem.

Dane te przechowujemy tak długo, jak jest to niezbędne do udokumentowania zastosowanego ograniczenia oraz do obrony przed związanymi z nim roszczeniami; okres ten jest okresowo weryfikowany.