Polityka prywatności
Ostatnia aktualizacja: 23 października 2026 r.
Poniżej wyjaśniamy, jakie dane osobowe przetwarza DPP Host, w jakim celu i jak długo: gdy odwiedzasz stronę dpphost.eu, otwierasz paszport produktu na id.dpphost.eu, piszesz do nas, korzystasz z panelu pod adresem app.dpphost.eu, z API lub z serwera MCP albo odpowiadasz na prośbę skierowaną do dostawcy na forms.dpphost.eu. Za część tych danych odpowiada marka, która korzysta z DPP Host, a my przetwarzamy je w jej imieniu; poniższe sekcje wskazują, kiedy tak jest.
Kto odpowiada za dane
Administratorem danych osobowych jest Qubites ApS, Ulsøparken 49, 2. 2660 Brøndby Strand, Dania (CVR 37061026) – spółka, która prowadzi DPP Host. W sprawach dotyczących Twoich danych osobowych pisz na adres privacy@dpphost.eu, a w pozostałych sprawach – na adres hello@dpphost.eu.
Gdy za dane odpowiada marka
Marki, czyli firmy korzystające z DPP Host, publikują za jego pomocą paszporty produktów, proszą swoich dostawców o dane o produktach, a w planie Premium oferują usługi właścicielom swoich produktów. Za dane osobowe w ramach tej działalności odpowiada marka jako administrator, a DPP Host jest jej podmiotem przetwarzającym: dotyczy to treści, które marka umieszcza w swoich paszportach i na stronach, danych kontaktowych i odpowiedzi jej dostawców oraz danych w jej usługach dla właścicieli. Wykorzystujemy te dane wyłącznie zgodnie z poleceniami marki. Pytania o te dane oraz żądania dostępu do nich, ich sprostowania lub usunięcia kieruj do marki. Jeśli wyślesz je do nas, przekażemy je marce.
Dane techniczne
Gdy otwierasz którąkolwiek z naszych stron lub korzystasz z API, Cloudflare, który je udostępnia, przetwarza Twój adres IP i dane techniczne każdego zapytania, takie jak żądany adres, godzina i Twoja przeglądarka, aby świadczyć usługę i chronić ją przed nadużyciami. Zapytania, które docierają do naszej bazy danych, rejestruje także Supabase. API, serwer MCP i formularze dla dostawców ograniczają liczbę zapytań, jakie jeden adres IP może wysłać w ciągu minuty; Cloudflare liczy je tylko w bieżącej minucie, a my nie zapisujemy adresu. Cloudflare i Supabase usuwają te logi po krótkim czasie. Podstawą prawną jest nasz prawnie uzasadniony interes, jakim jest zapewnienie bezpiecznego działania usługi (art. 6 ust. 1 lit. f RODO).
Na stronach panelu, na których się logujesz, zakładasz konto lub resetujesz hasło – w tym przy logowaniu do usług marki dla właścicieli – a także przy ponownym logowaniu przed czynnością wymagającą szczególnej ochrony Cloudflare Turnstile sprawdza, czy zapytanie wysyła człowiek, a nie zautomatyzowany program; większość osób w ogóle nie zauważa tej weryfikacji. W tym celu Cloudflare – jako nasz podmiot przetwarzający – przetwarza Twój adres IP oraz sygnały techniczne z Twojej przeglądarki i urządzenia. Podstawą prawną jest nasz prawnie uzasadniony interes, jakim jest ochrona kont i logowania przed zautomatyzowanymi nadużyciami (art. 6 ust. 1 lit. f RODO). Ta sama weryfikacja chroni formularz wiadomości do właściciela znalezionego produktu.
Paszporty produktów
Każdy paszport produktu na id.dpphost.eu publikuje marka odpowiedzialna za produkt i to ona decyduje, co w nim widać. Każda nowa wersja paszportu pokazuje ponadto zweryfikowaną nazwę prawną i kraj marki, a w przypadku spółki także jej zweryfikowany numer VAT lub numer rejestrowy. W przypadku osoby prowadzącej jednoosobową działalność gospodarczą nazwą prawną jest jej imię i nazwisko. Jeśli paszport zawiera dane osobowe, odpowiada za nie marka, a my publikujemy je w jej imieniu. Opublikowane paszporty pozostają dostępne online przez okres wymagany przepisami UE, który może wynosić wiele lat. Aby dane osobowe zostały usunięte z paszportu, skontaktuj się ze wskazaną w nim marką albo z nami. Otwarcie paszportu nie wymaga konta. Zliczamy otwarcia paszportów bez danych osobowych: dziennie, według produktu (bez numeru seryjnego), języka i kraju oraz według tego, czy otwarto bieżącą, czy wcześniejszą wersję. Nie rejestrujemy adresów IP, danych przeglądarki, plików cookie ani strony, z której przychodzisz. Marki z planem Premium widzą te dzienne sumy dla własnych produktów. Cloudflare przechowuje te liczniki przez 3 miesiące, a nasza baza danych – dzienne sumy przez 25 miesięcy.
Jeśli marka pokazuje na stronie swojego paszportu film z YouTube lub Vimeo, strona najpierw wyświetla nieruchomy obraz z naszych własnych serwerów i nic nie jest ładowane z YouTube ani Vimeo, dopóki nie włączysz odtwarzania. Wtedy film jest odtwarzany z YouTube (Google) w trybie rozszerzonej prywatności lub z Vimeo z ustawieniem „Do Not Track”, a dany dostawca otrzymuje Twój adres IP i informacje o Twojej przeglądarce oraz może zapisywać informacje w Twojej przeglądarce – zgodnie z własnymi zasadami ochrony prywatności. Linki na stronie paszportu, na przykład do dokumentów lub do weryfikacji certyfikatu, otwierają inne strony dopiero po kliknięciu.
Jeśli do nas piszesz
Jeśli piszesz do nas na adres hello@dpphost.eu lub privacy@dpphost.eu, na przykład aby przesłać dokumenty do weryfikacji firmy, przetwarzamy Twój adres e-mail, imię i nazwisko oraz treść wiadomości, aby Ci odpowiedzieć i zająć się sprawą. Podstawą prawną jest nasz prawnie uzasadniony interes, jakim jest udzielanie odpowiedzi osobom, które się z nami kontaktują (art. 6 ust. 1 lit. f RODO), a w przypadku żądań dotyczących Twoich praw – nasz obowiązek prawny udzielenia na nie odpowiedzi (art. 6 ust. 1 lit. c RODO). Przechowujemy te wiadomości tak długo, jak jest to potrzebne do udzielenia odpowiedzi i dalszego kontaktu, jednak nie dłużej niż 2 lata od naszej ostatniej wymiany korespondencji.
Jeśli zapisujesz się na powiadomienia o przepisach UE
Jeśli zapisujesz się na dpphost.eu na powiadomienia o przepisach UE dotyczących produktów, przechowujemy Twój adres e-mail, podany przez Ciebie adres strony firmy lub produktu, język strony oraz datę i godzinę zapisu i potwierdzenia. Najpierw wysyłamy e-mail z prośbą o potwierdzenie, a powiadomienia – dopiero gdy potwierdzisz zapis: gdy zostanie ustalony termin przepisu o paszporcie dla produktów takich jak Twoje, i jeszcze raz, zanim zacznie on obowiązywać; nigdy nie wysyłamy reklam. Każdy e-mail zawiera link do rezygnacji z powiadomień. Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą wycofujesz za pomocą tego linku. Adres niepotwierdzony w ciągu 7 dni jest usuwany, a Twój wpis usuwamy 30 dni po rezygnacji z powiadomień. Informację o każdym wysłanym do Ciebie e-mailu usuwamy po 30 dniach. Aby ograniczyć nadużycia formularza, przechowujemy w naszych licznikach – najwyżej przez jeden dzień – skrót Twojego adresu IP obliczony z kluczem, nigdy sam adres.
Konta w panelu
Gdy zakładasz konto w app.dpphost.eu, przetwarzamy Twoje imię i nazwisko, adres e-mail, hasło zapisane w postaci bezpiecznego skrótu kryptograficznego (jeśli je ustawisz), Twój język, organizacje, do których należysz, wraz z Twoją rolą w każdej z nich, oraz dziennik czynności, które w nich wykonujesz. Supabase, który obsługuje nasze logowanie, rejestruje ponadto Twoje sesje i logowania wraz z adresem IP i przeglądarką. Potrzebujemy tych danych, aby świadczyć usługę zamówioną przez Ciebie lub Twoją organizację (art. 6 ust. 1 lit. b RODO); konto wymaga podania imienia i nazwiska oraz adresu e-mail. Sesja logowania trwa najwyżej 90 dni, a przy braku aktywności – najwyżej 30 dni. Przechowujemy Twoje konto, dopóki nie usuniesz go na stronie Konto lub nie poprosisz nas o jego usunięcie. Usunięcie konta od razu usuwa Twoje członkostwa, Twoje dane logowania i dziennik Twoich logowań; wpisy w dziennikach czynności Twoich organizacji dotyczące Twoich działań pozostają pod identyfikatorem, który nie prowadzi już do Twojego konta. Aby móc usunąć konto, musisz najpierw wyznaczyć innego członka na właściciela każdej organizacji, której jesteś jedynym właścicielem i która ma innych członków, napisać do nas, abyśmy zamknęli każdą organizację, której jesteś jedynym członkiem, oraz usunąć każde konto właściciela produktu, które masz u którejś marki. Dziennik czynności organizacji jest przechowywany tak długo, jak długo dostępne są opublikowane przez nią paszporty, ponieważ dokumentuje, kto je opublikował i zmienił.
Możesz też logować się przez Google, Apple lub Microsoft. Wtedy dany dostawca potwierdza Twoją tożsamość zgodnie z własnymi zasadami ochrony prywatności i na Twoją prośbę przekazuje nam Twój adres e-mail, Twój identyfikator użytkownika u tego dostawcy oraz – jeśli je dołącza – Twoje imię i nazwisko i inne podstawowe dane profilu. Zapisujemy je przy Twoim koncie, aby umożliwić Ci ponowne logowanie w ten sam sposób, a dostawca dowiaduje się, że logujesz się do DPP Host. Nigdy nie otrzymujemy Twojego hasła do konta u tego dostawcy. Jeśli wybierzesz funkcję Apple „Ukryj mój adres e-mail”, otrzymujemy od Apple adres przekierowujący, który przekazuje Ci nasze wiadomości. Jeśli włączysz logowanie dwuetapowe, przy Twoim koncie zapisywany jest tajny klucz Twojej aplikacji uwierzytelniającej (w Supabase, we Frankfurcie), a daty i godziny jego użycia są rejestrowane; logowanie dwuetapowe możesz wyłączyć na stronie Konto. Podstawą prawną w obu przypadkach jest umowa z Tobą lub Twoją organizacją (art. 6 ust. 1 lit. b RODO).
Organizacje, weryfikacja firm i numery GTIN
Zanim organizacja będzie mogła publikować paszporty, musi przejść weryfikację firmy. Unijny numer VAT jest sprawdzany automatycznie w unijnym systemie wymiany informacji o VAT (VIES), który Komisja Europejska prowadzi wraz z krajowymi administracjami podatkowymi i który może zwrócić zarejestrowaną nazwę i adres; jeśli VIES nie potwierdzi numeru, weryfikacja zostaje odrzucona, a organizacja może rozpocząć nową weryfikację, którą nasi pracownicy przeprowadzą ręcznie. Inne rejestry, takie jak duński rejestr CVR, nasi pracownicy sprawdzają ręcznie. Jeśli firmy nie da się zweryfikować w żadnym rejestrze, na przykład w przypadku wielu osób prowadzących jednoosobową działalność gospodarczą i firm spoza UE, nasi pracownicy proszą e-mailem o dokumenty, takie jak odpis z rejestru lub zezwolenie na prowadzenie działalności, i usuwają tę wiadomość, gdy tylko weryfikacja zostanie rozstrzygnięta. Zapisujemy kraj, numer, nazwę prawną oraz – jeśli rejestr go podaje – adres, ewentualną notatkę organizacji, wynik, a także to, kto złożył wniosek i kto podjął decyzję. Nasi pracownicy porównują też nazwę prawną z unijnymi listami sankcyjnymi. W przypadku osoby prowadzącej jednoosobową działalność gospodarczą te zapisy są danymi osobowymi. Wykorzystujemy je, aby publikować mogły wyłącznie istniejące firmy, aby każda firma miała tylko jedną zweryfikowaną organizację, aby pokazywać zweryfikowane dane w jej paszportach (zob. „Paszporty produktów”; numer sprawdzony w ścieżce weryfikacji dla jednoosobowych działalności nigdy nie jest pokazywany) i aby paszporty pozostały wiarygodne. Podstawami prawnymi są umowa z Twoją organizacją (art. 6 ust. 1 lit. b RODO), nasz prawnie uzasadniony interes w zapobieganiu nadużyciom (art. 6 ust. 1 lit. f RODO) oraz, w przypadku kontroli sankcyjnej, nasz obowiązek prawny (art. 6 ust. 1 lit. c RODO). Przechowujemy te zapisy tak długo, jak organizacja istnieje w DPP Host, ponieważ wykazują, dlaczego mogła ona publikować.
Aby publikować paszporty dla numeru GTIN (numeru kodu kreskowego), organizacja potrzebuje roszczenia do tego numeru albo zezwolenia organizacji, która posiada roszczenie. Do roszczenia dołącza się dowody, na przykład nazwę licencjobiorcy GS1, potwierdzenie w domenie internetowej organizacji lub adres GS1 Digital Link; nasi pracownicy sprawdzają je ręcznie. Zapisujemy roszczenie, nazwę licencjobiorcy, dowody, ewentualną notatkę lub informację o sporze, a także to, kto złożył wniosek i kto podjął decyzję. Te zapisy są danymi osobowymi tylko wtedy, gdy wskazują konkretną osobę, na przykład osobę prowadzącą jednoosobową działalność gospodarczą. Przechowujemy je tak długo, jak organizacja istnieje, z tych samych powodów i na tych samych podstawach prawnych co w przypadku weryfikacji firmy. Aby wykazać, że kontroluje domenę internetową, organizacja dodaje kod do rekordów DNS domeny, a my sprawdzamy go za pośrednictwem Cloudflare.
Zespoły, zaproszenia i partnerzy
Członkowie organizacji widzą imiona i nazwiska, adresy e-mail i role pozostałych członków, od kiedy są członkami oraz czy korzystają z logowania dwuetapowego; administratorzy organizacji widzą ponadto dziennik czynności organizacji. Administrator organizacji zaprasza nową osobę, tworząc link i przekazując go jej; sami nie wysyłamy e-maili z zaproszeniem. Przechowujemy zaproszony adres e-mail wraz z organizacją i rolą do czasu przyjęcia zaproszenia; jeśli nie zostanie przyjęte, usuwamy go w ciągu 30 dni od wygaśnięcia lub wycofania zaproszenia. Podstawą prawną jest prawnie uzasadniony interes zapraszającej organizacji, jakim jest dodanie członków jej zespołu (art. 6 ust. 1 lit. f RODO). Organizacja może też pozwolić innej firmie, na przykład agencji, pracować w organizacji jako partner. Pracownicy partnera widzą wtedy to, co widzą członkowie z tą samą rolą, członkowie organizacji widzą ich imiona i nazwiska oraz adresy e-mail, a dziennik czynności rejestruje, co robią. Informację o tym, który partner został powiązany z organizacją, przez kogo i kiedy, przechowujemy wraz z danymi organizacji tak długo jak jej dziennik czynności. Podstawą prawną jest umowa z Twoją organizacją (art. 6 ust. 1 lit. b RODO). Partner może też przygotować organizację dla marki, która jeszcze nie dołączyła, i wpisać adres e-mail osoby kontaktowej tej marki, do której wysyłamy prośby partnera o zatwierdzenie paszportów. Przechowujemy ten adres i język wiadomości do czasu, gdy osoba kontaktowa przejmie organizację; jeśli nigdy tego nie zrobi, usuwamy oba 90 dni po wpisaniu adresu lub wygaśnięciu ostatniej prośby, w zależności od tego, co nastąpi później. Pracownicy partnera, którzy wysyłają tam prośby, widzą ten adres. Każda prośba pozostaje w danych organizacji: kto wysłał które paszporty i kiedy, decyzja marki, kto ją podjął i ewentualnie podany powód; wszystko to widzą pracownicy partnera, którzy pracują w tej organizacji. Podstawą prawną jest prawnie uzasadniony interes polegający na umożliwieniu marce zatwierdzenia paszportów przygotowanych dla niej przez partnera (art. 6 ust. 1 lit. f RODO). Marka korzystająca z usług dla właścicieli może też zaprosić e-mailem sklep, aby rejestrował jej produkty na klientów sklepu. Przechowujemy zaproszony adres i jego język do czasu przyjęcia lub wycofania zaproszenia, a w przeciwnym razie do 29 dni po jego wygaśnięciu; osoba, która otworzy zaproszenie, widzi nazwę marki i ten adres. Podstawą prawną jest prawnie uzasadniony interes marki, jakim jest dodanie sklepów sprzedających jej produkty (art. 6 ust. 1 lit. f RODO). Gdy sklep przyjmie zaproszenie, przechowujemy informację, która organizacja przyjęła którą wersję Warunków dla sprzedawców, kto je przyjął i kiedy, na podstawie umowy z tą organizacją (art. 6 ust. 1 lit. b RODO). Marka może też powiązać ze sobą dystrybutora dla krajów, które obsługuje; dystrybutor może wtedy zaprosić sklep e-mailem w odniesieniu do produktów marki. Takie zaproszenie przechowujemy tak jak zaproszenie marki, wraz z informacją, który dystrybutor je wysłał; osoba, która je otworzy, widzi też nazwę dystrybutora, a marka widzi każdy sklep dodany przez dystrybutora. Podstawą prawną jest prawnie uzasadniony interes dystrybutora i marki, jakim jest dodanie sklepów sprzedających produkty marki (art. 6 ust. 1 lit. f RODO). Gdy firma wysyła produkty marki do innej firmy przez DPP Host albo oznacza produkty, które ma na stanie, jako zgubione lub skradzione, zapisujemy, który członek to zrobił, wraz z danymi firm, których to dotyczy, i marki – tak długo, jak istnieje organizacja marki, lub do usunięcia konta tego członka – na podstawie umowy z tymi organizacjami (art. 6 ust. 1 lit. b RODO). Jeśli sklep ustawi w swoim systemie fakturowania wysyłanie kopii każdej faktury na swój adres w DPP Host, odczytujemy z kopii numery ramy, numer faktury i datę, przechowujemy je wraz z ewidencją sprzedaży sklepu przez 24 miesiące i natychmiast usuwamy kopię (może zawierać imię, nazwisko i adres nabywcy; kopię, której nie możemy odczytać, odnotowujemy przez 7 dni bez jej treści) – jako podmiot przetwarzający dane w imieniu sklepu na podstawie Warunków dla sprzedawców.
Klucze API, aplikacje AI i sklepy
Gdy administrator organizacji tworzy klucz API, zapisujemy jego nazwę, to, kto go utworzył, jego uprawnienia i datę wygaśnięcia, jego pierwsze znaki, datę ostatniego użycia oraz jego skrót obliczony z kluczem; pełny klucz jest pokazywany jeden raz i nigdy nie jest zapisywany. Zliczamy zapytania każdej organizacji w ujęciu dziennym i przechowujemy te liczby przez 400 dni. Możesz połączyć aplikację AI, na przykład asystenta AI, z DPP Host przez nasz serwer MCP pod adresem mcp.dpphost.eu: logujesz się i pozwalasz jej działać w jednej organizacji przez wybrany przez siebie okres, nie dłuższy niż 365 dni. Zapisujemy połączenie: Twój identyfikator użytkownika, organizację, nazwę i adres internetowy aplikacji, uprawnienia, datę udzielenia zgody oraz informację, w jakim stopniu aplikacja jest używana każdego dnia; te dzienne dane przechowujemy przez 400 dni. Połączenie jest też zapisywane – częściowo w postaci zaszyfrowanej – w Cloudflare Workers KV, usłudze, która nie jest ograniczona do UE. Dostęp jest każdorazowo ważny przez 1 godzinę, a połączenie wygasa także po 30 dniach nieużywania lub gdy zakończysz je w panelu. Administratorzy organizacji widzą, kto połączył którą aplikację. Aplikacja otrzymuje dane paszportów, produktów i wersji roboczych, o które prosi w granicach nadanych przez Ciebie uprawnień, nigdy danych członków ani właścicieli produktów, a jej dostawca przetwarza te dane zgodnie z własnymi warunkami. Aplikacja AI nie może publikować: każdą zmianę zatwierdza człowiek. Aplikacje, które rejestrują się na naszym serwerze MCP, przekazują nam swoją nazwę, adres internetowy oraz, jeśli chcą, adresy kontaktowe; przechowujemy je do 90 dni od ostatniego użycia aplikacji. Gdy administrator organizacji łączy sklep Shopify lub WooCommerce, zapisujemy, kto go połączył i zatwierdził, oraz adres internetowy sklepu, a administratorów organizacji informujemy e-mailem; sklep przesyła nam wyłącznie dane o produktach, nigdy danych klientów, zamówień ani odwiedzających. Zapisy dotyczące kluczy, połączeń i sklepów pozostają w danych organizacji również po ich zakończeniu. Podstawą prawną jest umowa z Twoją organizacją (art. 6 ust. 1 lit. b RODO).
W sekcji „Nowy paszport” możesz upuścić pliki dotyczące produktu (pliki PDF lub zdjęcia) albo wkleić link do jego strony. Wysyłamy je jednorazowo do firmy Anthropic, której model AI Claude je odczytuje, aby znaleźć wartości potrzebne w paszporcie i wskazać, gdzie każda z nich jest podana; zdjęcia wysyłamy bez danych o lokalizacji i aparacie. Każda wartość pozostaje propozycją, dopóki nie potwierdzi jej człowiek. Gdy administrator organizacji dołącza do roszczenia do GTIN certyfikat licencji GS1 lub fakturę za członkostwo w GS1, w ten sam sposób wysyłamy ten dokument jednorazowo do firmy Anthropic, aby odczytać podane w nim dane firmy (wystawcę, licencjobiorcę, prefiksy firmy i daty); wraz z roszczeniem przechowujemy wyłącznie te dane, a nie plik, i na ich podstawie decydujemy o roszczeniu. Nie przechowujemy plików ani strony: są odczytywane w pamięci i usuwane wraz z zakończeniem żądania. Przechowujemy znalezione wartości – każdą z nazwą pliku i krótkim cytatem pokazującym, gdzie ją znaleziono – oraz przez 400 dni zestawienie odczytów każdej organizacji (kto, kiedy i ile plików, bez ich treści), aby przestrzegać limitu miesięcznego. Anthropic przetwarza pliki w Stanach Zjednoczonych lub w innym kraju, w którym świadczy swoją usługę, na podstawie standardowych klauzul umownych UE. Usuwa pliki i odpowiedź w ciągu 30 dni i nie wykorzystuje ich do trenowania modeli; jedynie treści, które automatyczne mechanizmy kontroli firmy Anthropic oznaczą jako naruszające jej zasady użytkowania, mogą być przechowywane dłużej, maksymalnie przez 2 lata. W panelu Przewodnik, asystent AI, pomaga redaktorom Twojej organizacji tworzyć paszporty. Gdy piszesz do Przewodnika, wysyłamy Twoją wiadomość, wcześniejsze wiadomości z rozmowy oraz te dane konta Twojej organizacji, które są potrzebne do odpowiedzi (plan, wersje robocze i ich braki, ceny i kredyty AI), do Anthropic, którego model Claude pisze odpowiedź; plik dodany w Przewodniku jest odczytywany tak jak w sekcji „Nowy paszport”. Wartości proponowane przez Przewodnika pozostają w wersji roboczej propozycjami, dopóki osoba ich nie potwierdzi. Rozmowę, widoczną tylko dla Ciebie, przechowujemy przez 30 dni od ostatniej wiadomości, a licznik wiadomości każdej osoby (kto, kiedy i ile, bez treści) przez 400 dni na potrzeby limitu godzinowego i kredytów AI. Anthropic przetwarza je w sposób opisany powyżej, usuwa je w ciągu 30 dni i nie wykorzystuje ich do trenowania modeli. Poza tym DPP Host nie przetwarza Twoich danych za pomocą modeli AI. Podstawą prawną jest umowa z Twoją organizacją (art. 6 ust. 1 lit. b RODO).
Wysyłane przez nas wiadomości e-mail
Wiadomości e-mail wysyłamy z adresu noreply@dpphost.eu za pośrednictwem Resend, naszego podmiotu przetwarzającego: kody i linki do logowania, potwierdzenia adresu e-mail i wiadomości umożliwiające zresetowanie hasła, a także wiadomości o korzystaniu z DPP Host przez Twoją organizację, na przykład o płatnościach i nieudanych płatnościach, zmianach planu, decyzjach w sprawie weryfikacji firm i roszczeń do numerów GTIN, certyfikatach, które wkrótce wygasną, gotowych eksportach, przypomnieniu o zapisanym imporcie, jeśli o nie poprosisz, odpowiedziach na prośby skierowane do dostawców, prośbach właścicieli produktów o naprawę, zaproszeniu marki lub dystrybutora dla sklepu, linku, który sklep prosi nas wysłać jego klientowi, dostawach, które firma otrzymuje lub które zostają cofnięte, wycofaniach i ostrzeżeniach dotyczących bezpieczeństwa wydanych przez markę w sprawie produktów, które firma ma na stanie, oraz problemach z webhookami lub połączeniami sklepów. Trafiają one do osoby, której dotyczą, albo – najczęściej – do właścicieli i administratorów organizacji; wiadomości o dostawach, wycofaniach i ostrzeżeniach dotyczących bezpieczeństwa trafiają też do jej redaktorów. Nie wysyłamy newsletterów ani reklam i nie śledzimy, czy otwierasz nasze wiadomości lub klikasz zawarte w nich linki. Resend wysyła je z UE (z Irlandii) i przechowuje kopię każdej wiadomości oraz jej dziennik wysyłki w Stanach Zjednoczonych przez 30 dni. Rejestrujemy każdą wysłaną wiadomość wraz z adresem, na który trafiła, aby móc wykazać, co zostało wysłane, i nie wysyłać jej dwukrotnie; zapisy wiadomości do Ciebie są usuwane wraz z Twoim kontem, a pozostałe przechowujemy tak długo, jak istnieje organizacja, której dotyczą. Podstawą prawną jest umowa z Tobą lub Twoją organizacją (art. 6 ust. 1 lit. b RODO). Nie odpowiadaj na te wiadomości; zamiast tego napisz na adres hello@dpphost.eu. Gdy znalazca wyśle wiadomość o produkcie, który właściciel oznaczył jako zgubiony lub skradziony, informujemy właściciela e-mailem o nowej wiadomości, nie przekazując treści napisanej przez znalazcę. Gdy poprosisz nas o pomoc przy zapisanym imporcie, przechowujemy Twoją prośbę (Twoją wiadomość, jeśli ją napiszesz, liczby z importu oraz to, kto poprosił) i przesyłamy ją naszym pracownikom wraz z Twoim adresem e-mail, abyśmy mogli Ci odpowiedzieć; członkowie Twojej organizacji widzą, że prośba pochodzi od Ciebie, a prośbę usuwamy 2 lata po jej zamknięciu.
Płatności
Gdy organizacja płaci za DPP Host, płatność obsługuje Stripe. Przekazujemy Stripe nazwę organizacji, jej adres e-mail do faktur (lub adres e-mail osoby dokonującej zakupu) i jej język. Stripe zbiera adres rozliczeniowy, ewentualny numer VAT, który Stripe sprawdza, oraz dane płatnicze; nigdy nie otrzymujemy pełnych numerów kart ani rachunków bankowych. Stripe oblicza VAT, wystawia faktury i prowadzi portal klienta, w którym administratorzy organizacji przeglądają faktury i zmieniają dane płatnicze. Zapisujemy identyfikator klienta w Stripe, adres e-mail do faktur, kraj, numer VAT i jego status oraz powiadomienia Stripe o płatnościach. Stripe przetwarza płatność jako nasz podmiot przetwarzający; w celu zapobiegania oszustwom i wypełniania własnych obowiązków prawnych, takich jak przepisy o przeciwdziałaniu praniu pieniędzy, jest niezależnym administratorem działającym zgodnie z własną polityką prywatności. Podstawami prawnymi są umowa z Twoją organizacją (art. 6 ust. 1 lit. b RODO) oraz nasz obowiązek prowadzenia księgowości (art. 6 ust. 1 lit. c RODO). Powiadomienia Stripe są usuwane 400 dni po ich otrzymaniu, gdy już je przetworzymy. Dane rozliczeniowe przechowujemy tak długo, jak istnieje organizacja, a faktury i inne dokumenty księgowe tak długo, jak wymaga tego duńska ustawa o rachunkowości (bogføringsloven), czyli przez 5 lat od końca roku obrotowego. Stripe może przetwarzać dane w Stanach Zjednoczonych; takie przekazanie objęte jest Ramami ochrony danych UE–USA oraz standardowymi klauzulami umownymi Komisji Europejskiej.
Jeśli odpowiadasz na prośbę skierowaną do dostawcy
Marka może poprosić swoich dostawców o dane o produktach za pomocą linku do formularza na forms.dpphost.eu; link wysyła sama marka albo my e-mailem w jej imieniu, z najwyżej dwoma przypomnieniami. Administratorem jest marka, a my jesteśmy jej podmiotem przetwarzającym. Marka przekazuje nam Twoje dane kontaktowe, takie jak imię i nazwisko, adres e-mail, kraj i język, a otrzymuje Twoje odpowiedzi i przesłane przez Ciebie pliki, takie jak certyfikaty czy zdjęcia; przed zapisaniem zdjęć usuwamy z nich dane o lokalizacji i aparacie. Marka decyduje, jak długo przechowuje Twoje dane kontaktowe i odpowiedzi. Pliki, których marka nie wykorzystała w żadnym paszporcie, są usuwane 90 dni po zakończeniu prośby, czyli po jej wycofaniu lub wygaśnięciu linku. Formularz nie wymaga konta i nie zapisuje plików cookie. Pytania o Twoje dane w tym zakresie kieruj do marki, która wysłała prośbę. Jeśli użyjesz przycisku „Zgłoś tę prośbę”, przechowujemy skrót Twojego adresu e-mail, aby nie wysyłać Ci już próśb od tej marki. W tym zakresie administratorem jesteśmy my – na podstawie naszego prawnie uzasadnionego interesu w zapobieganiu nadużyciom (art. 6 ust. 1 lit. f RODO) – i przechowujemy ten skrót, dopóki nie poprosisz nas o jego usunięcie.
Jeśli korzystasz z usług marki dla właścicieli
Niektóre marki pozwalają właścicielom swoich produktów rejestrować je pod adresem app.dpphost.eu/owner/…. W tej strefie administratorem danych jest marka, a DPP Host przetwarza Twoje dane w jej imieniu; znajdziesz tam informacje marki o ochronie prywatności, a pytania o Twoje produkty, zgłoszenia lub dane w tej strefie kieruj do marki. DPP Host odpowiada za Twoje logowanie (adres e-mail i datę jego potwierdzenia), z którego możesz korzystać u kilku marek; potrzebujemy go, aby zapewnić Ci logowanie, o które prosisz (art. 6 ust. 1 lit. b RODO). Do strefy właścicieli możesz też logować się przez Apple lub Google; to, co przekazuje nam ten dostawca i co z tego przechowujemy, opisano w punkcie „Konta w panelu”. Imię i nazwisko, które właściciel podaje dla swojej karty lub które Apple albo Google przekazuje przy logowaniu, są widoczne na własnej karcie i stronie produktu tego właściciela; druga osoba biorąca udział w przekazaniu widzi tylko imię i pierwszą literę nazwiska – podobnie jak później karta poprzedniego właściciela; potwierdzenie rejestracji udostępnione przez właściciela pokazuje produkt, jego numer seryjny, datę, od której jest zarejestrowany, oraz inicjały właściciela albo – jeśli właściciel tak wybierze – pełne imię i nazwisko; paszport produktu nigdy nie pokazuje imienia i nazwiska, a żadne z tych miejsc nie pokazuje adresu e-mail, numeru telefonu ani adresu pocztowego. Jeśli sklep powiązany przez markę przekaże Ci produkt, nazwa sklepu i data sprzedaży stają się częścią Twojej rejestracji i gwarancji, a Twoja karta i strona produktu pokazują „Kupiono w” z nazwą sklepu; sklep widzi Twoje imię i pierwszą literę nazwiska do 30 dni po przekazaniu i nic więcej o Tobie. Jeśli sklep poprosi nas o wysłanie Ci linku e-mailem, Twój adres jest używany tylko do tej wiadomości. Otwarcia potwierdzenia rejestracji są zliczane, ale nie zapisujemy przy tym niczego o Tobie. Twoje logowanie przechowujemy, dopóki masz konto właściciela u którejś marki lub konto w panelu. Jeśli poprosisz o link do logowania, ale nigdy nie założysz konta właściciela, albo Twoje ostatnie konto właściciela zostanie usunięte, usuwamy logowanie po 30 dniach nieużywania. Pytania o logowanie: privacy@dpphost.eu.
Alerty bezpieczeństwa: ze strony paszportu produktu możesz bez konta właściciela poprosić o alerty bezpieczeństwa dotyczące tego produktu. Marka przechowuje wtedy Twój adres e-mail, język alertów oraz produkt i wykorzystuje je wyłącznie do informowania Cię o ostrzeżeniach dotyczących bezpieczeństwa i wycofaniach produktu (art. 35 rozporządzenia (UE) 2023/988), nigdy do celów marketingowych; widzi jedynie, ile osób o nie poprosiło. Zarejestrowani właściciele otrzymują te alerty na adres swojego konta lub na podany przez siebie osobny adres. Każdy alert zawiera link do rezygnacji – po rezygnacji adres jest usuwany; usuwany jest też osobny adres niepotwierdzony w ciągu 7 dni. Logowanie, za pomocą którego potwierdzasz adres, jest usuwane zaraz potem, chyba że masz konto właściciela lub konto w panelu.
Dowody zakupu: jeśli sklep powiązany przez markę doda Twój dowód zakupu przy zakupie produktu, a Ty zachowasz go przy przejęciu produktu, jest on przechowywany wraz z Twoją rejestracją i tylko Ty możesz go zobaczyć lub pobrać. Marka widzi go tylko wtedy, gdy dołączysz go do zgłoszenia naprawy lub zgłoszenia gwarancyjnego, i tylko dopóki to zgłoszenie jest otwarte. Dowód zakupu jest usuwany, gdy kończy się Twoja rejestracja (na przykład gdy przekazujesz produkt) albo gdy go usuniesz; następny właściciel nigdy go nie widzi. Jest przechowywany w UE, w Cloudflare, i nie trafia do żadnej kopii zapasowej.
Rowery i baterie: jeśli rower i jego bateria są zarejestrowane na Ciebie, zapisujemy też, która bateria jest zamontowana w którym rowerze, aby każda karta wskazywała drugą część, a sprzedaż mogła obejmować obie; marka tego nie widzi, a powiązanie wygasa, gdy jedna z części zostanie sprzedana osobno, oznaczona jako zgubiona lub skradziona albo osobno oddana do recyklingu.
Zgubione lub skradzione: jeśli oznaczysz produkt jako zgubiony lub skradziony i pozwolisz znalazcom do Ciebie pisać, strona jego paszportu informuje, że właściciel go szuka, i ma przycisk do wysłania Ci wiadomości; strona nigdy nie pokazuje Twojego imienia ani sposobu kontaktu z Tobą. To, co wyśle znalazca, trafia tylko do Ciebie: na stronę Twojego produktu, na Twoją kartę w portfelu cyfrowym oraz – w postaci informacji o nowej wiadomości – do Twojej skrzynki e-mail. Marka tego nie widzi. Każda wiadomość jest usuwana po 30 dniach, a także wtedy, gdy ją zgłosisz lub gdy zakończy się Twoja rejestracja.
Jeśli piszesz do właściciela znalezionego produktu
Gdy właściciel produktu oznaczy go jako zgubiony lub skradziony i pozwoli znalazcom do siebie pisać, na stronie paszportu produktu pojawia się przycisk do wysłania mu wiadomości. Formularz na app.dpphost.eu pyta, gdzie jest produkt; możesz też dodać swoją lokalizację (tylko jeśli chcesz, a przeglądarka najpierw pyta Cię o zgodę), sposób kontaktu z Tobą i krótką wiadomość. Przekazujemy to wyłącznie zarejestrowanemu właścicielowi produktu: wszystko – na stronie jego produktu, a wpisane przez Ciebie miejsce – na jego karcie w portfelu cyfrowym; e-mail do niego informuje tylko o nowej wiadomości. Marka nigdy nie widzi Twojej wiadomości i nie jest ona wykorzystywana do niczego innego. Marka jest administratorem danych w swoich usługach dla właścicieli, a DPP Host przetwarza Twoją wiadomość w jej imieniu (zob. „Jeśli korzystasz z usług marki dla właścicieli”); podstawą prawną jest prawnie uzasadniony interes właściciela i Twój, polegający na zwrocie produktu właścicielowi (art. 6 ust. 1 lit. f RODO). Twoja wiadomość jest usuwana po 30 dniach albo wcześniej, gdy właściciel ją zgłosi lub jego rejestracja się zakończy.
Aby chronić właścicieli przed nadużyciami, DPP Host jako administrator sprawdza za pomocą Cloudflare Turnstile, czy formularz wysyła człowiek, i ogranicza liczbę wiadomości, które można wysłać z jednego adresu sieciowego. Na potrzeby tych limitów przechowujemy skrót Twojego adresu IP obliczony z kluczem, nigdy sam adres: w naszych licznikach – najwyżej przez jeden dzień, a wraz z Twoją wiadomością – tak długo, jak jest ona przechowywana. Jeśli właściciel zgłosi Twoją wiadomość, zostaje ona usunięta, a wiadomości z adresu o tym samym skrócie są odrzucane przez 7 dni. Linki w wiadomościach są niedozwolone. Formularz nie zapisuje plików cookie i niczego nie przechowuje w Twojej przeglądarce. Podstawą prawną jest nasz prawnie uzasadniony interes, jakim jest bezpieczeństwo usługi (art. 6 ust. 1 lit. f RODO). Aby Twoja wiadomość została usunięta wcześniej, napisz na adres privacy@dpphost.eu, podając produkt i godzinę jej wysłania.
Zgłoszenia dotyczące treści
Jeśli zgłaszasz treść za pomocą formularza na stronie o zgłaszaniu treści, przechowujemy to, co napiszesz, zgłoszony adres internetowy, Twoje imię i nazwisko oraz adres e-mail, jeśli je podasz, a także skrót Twojego adresu IP obliczony z kluczem. Zgłoszenie wykorzystujemy do jego rozpatrzenia i wypełnienia obowiązków wynikających z aktu o usługach cyfrowych (art. 6 ust. 1 lit. c RODO). Organizacja, której dotyczy zgłoszenie, nigdy nie dowiaduje się, kto je wysłał. Skrótu adresu IP używamy wyłącznie do ograniczania nadużyć formularza, co stanowi nasz prawnie uzasadniony interes w tym, aby formularz pozostał dostępny dla wszystkich (art. 6 ust. 1 lit. f RODO). Skrót adresu IP usuwamy po 30 dniach. Po upływie 3 lat od naszej decyzji usuwamy Twoje imię i nazwisko, adres e-mail i treść zgłoszenia; zachowujemy tylko numer referencyjny, daty, kategorię, zgłoszony adres internetowy i decyzję jako zapis sposobu rozpatrzenia zgłoszenia.
Gdzie przechowujemy dane i kto je otrzymuje
Nasza baza danych, system logowania i funkcje serwerowe działają w Supabase we Frankfurcie (Niemcy). Cloudflare udostępnia nasze strony w swojej globalnej sieci z najbliższego Ci centrum danych, przechowuje nasze pliki w UE i przekazuje wiadomości wysłane na adresy hello@dpphost.eu i privacy@dpphost.eu do naszych skrzynek w Microsoft (Microsoft 365) i Google (Gmail). Resend wysyła nasze wiadomości e-mail. Anthropic odczytuje pliki i strony, które upuszczasz w sekcji „Nowy paszport”, oraz dokumenty GS1, które dołączasz do roszczeń do GTIN, a także pisze odpowiedzi Przewodnika. Supabase, Cloudflare, Microsoft, Resend i Anthropic to nasze podmioty przetwarzające. Stripe obsługuje płatności, jak opisano powyżej. Wszystkie te firmy są amerykańskie lub należą do amerykańskich grup kapitałowych. Jeśli dane osobowe trafiają do Stanów Zjednoczonych lub uzyskuje się do nich dostęp spoza UE, przekazanie do naszych podmiotów przetwarzających i do Stripe jest objęte standardowymi klauzulami umownymi Komisji Europejskiej zawartymi w umowie powierzenia przetwarzania danych z każdym dostawcą, a w przypadku Cloudflare, Resend i Stripe – także Ramami ochrony danych UE–USA. Kopię tych zabezpieczeń możesz otrzymać, pisząc na adres privacy@dpphost.eu. Lista naszych podmiotów podprzetwarzających wraz z dniem, od którego zaczyna działać każdy nowy podmiot, jest dostępna pod adresem dpphost.eu/sub-processors (w języku angielskim).
Inni odbiorcy: unijny system VIES otrzymuje numer VAT weryfikowanej organizacji; Google, Apple i Microsoft uczestniczą – jako niezależni administratorzy – w logowaniach, które rozpoczynasz za ich pośrednictwem; dostawcy połączonych przez Ciebie aplikacji AI otrzymują to, co aplikacja odczytuje w Twoim imieniu; marki otrzymują dane, które według niniejszej polityki widzą; a organy publiczne otrzymują dane, gdy wymaga tego prawo, na przykład policja na podstawie aktu o usługach cyfrowych. Nie sprzedajemy danych osobowych.
Kopie zapasowe i eksporty
Co noc kopiujemy każdy opublikowany paszport do osobnego magazynu danych w Cloudflare w UE, aby można było przywrócić paszporty; kopia zawiera tylko to, co pokazują strony paszportów. Każdą nocną kopię przechowujemy przez 35 dni, a jedną kopię miesięcznie – przez 400 dni. Administratorzy organizacji mogą pobrać jej paszporty, wersje robocze, pliki od dostawców, multimedia i strony jako pliki ZIP, które usuwamy po 7 dniach; taki eksport nie zawiera danych członków ani właścicieli produktów, kluczy ani danych rozliczeniowych. Usunięte dane mogą pozostawać w zaszyfrowanych kopiach zapasowych bazy danych przez okres do 7 dni, zanim zostaną nadpisane.
Twoje prawa
Możesz zażądać dostępu do swoich danych, ich sprostowania lub usunięcia, ograniczenia ich przetwarzania lub otrzymania ich kopii w formacie nadającym się do odczytu maszynowego, a także wnieść sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie. Napisz na adres privacy@dpphost.eu. Odpowiadamy w ciągu miesiąca i możemy poprosić Cię o potwierdzenie tożsamości. Jeśli za Twoje dane odpowiada marka (zob. „Gdy za dane odpowiada marka”), zwróć się do marki albo napisz do nas, a my przekażemy jej Twoje żądanie. Poza automatycznym sprawdzeniem w VIES (zob. „Organizacje, weryfikacja firm i numery GTIN”) nie podejmujemy wobec Ciebie decyzji, które opierają się wyłącznie na zautomatyzowanym przetwarzaniu i wywołują wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływają. Przysługuje Ci również prawo wniesienia skargi do duńskiego organu nadzorczego ds. ochrony danych osobowych (Datatilsynet, datatilsynet.dk) lub do organu nadzorczego w państwie, w którym mieszkasz lub pracujesz.
Zmiany tej polityki
Aktualizujemy tę politykę, gdy zmienia się sposób, w jaki przetwarzamy dane osobowe. Data u góry strony wskazuje, kiedy ostatnio ją zmieniliśmy.