Przejdź do treści

Polityka prywatności

Ostatnia aktualizacja: 27 września 2026

Zależy mi na tym, żebyś czuł/a się bezpiecznie, powierzając mi swoje dane. Poniżej znajdziesz jasną informację o tym, jakie dane zbieram, dlaczego i jak je chronię. Jeśli masz pytania - napisz na biuro@studiosubtelnosci.pl.

1. Kto jest administratorem Twoich danych?

Aleksandra Gacek, prowadząca działalność pod firmą Studio Subtelności Aleksandra Gacek, ul. Księdza Piotra Ściegiennego 3A/20, 25-033 Kielce, NIP: 6572999798, REGON: 542303583.

Kontakt: biuro@studiosubtelnosci.pl, tel. +48 696 526 850.

2. Po co i na jakiej podstawie przetwarzam Twoje dane?

Realizacja umowy i kontakt przed jej zawarciem

Gdy wysyłasz zapytanie przez formularz, piszesz maila lub wiadomość na WhatsApp albo dzwonisz - przetwarzam Twoje dane, żeby odpowiedzieć, przygotować wycenę i zrealizować projekt. Podstawa: art. 6 ust. 1 lit. b RODO. Dane przechowuję przez czas trwania umowy + okres przedawnienia roszczeń (do 3 lat).

Obowiązki podatkowe i rachunkowe

Faktury, dokumenty księgowe - to wymóg prawa, nie mój wybór. Podstawa: art. 6 ust. 1 lit. c RODO. Okres przechowywania: 5 lat od końca roku podatkowego.

Odpowiedzi na zapytania

Jeśli pytasz o projekt, ale nie dojdzie do umowy - Twoje dane (imię, e-mail, treść wiadomości) trzymam maksymalnie 12 miesięcy od ostatniego kontaktu, a potem usuwam. Podstawa: art. 6 ust. 1 lit. f RODO (mój uzasadniony interes - możliwość odpowiedzi).

Ochrona przed roszczeniami

Na wypadek reklamacji lub sporu - dane z umowy mogę przechowywać do upływu terminu przedawnienia (do 6 lat). Podstawa: art. 6 ust. 1 lit. f RODO.

Analityka strony i skuteczność formularza

Mierzę ruch na stronie, żeby wiedzieć, co działa i co poprawić. Pomiar zapisuję w mojej bazie Cloudflare D1 bez cookies, bez identyfikatora wizyty, bez zapisywania adresów IP i bez danych wpisanych do formularza:

  • Odsłony - ścieżka strony (bez parametrów adresu), kraj, przedział szerokości okna przeglądarki (np. telefon lub komputer) i czas odsłony. Przy pierwszej odsłonie po wejściu do serwisu (z innej strony, z oznaczonego linku albo bezpośrednio) zapisuję też kategorię źródła wejścia (np. wyszukiwarka Google, wizytówka Google, ChatGPT, Instagram, kod QR albo wejście bezpośrednie), ustalaną przy zapisie z domeny strony odsyłającej i parametrów linku; z tych danych zachowuję tylko domenę serwisu z mojej zamkniętej listy (każdą inną jako „inna”), a przy oznaczeniu spoza mojej listy także nazwę źródła z parametru utm_source w postaci oczyszczonej (małe litery, cyfry i podkreślniki, bez adresów e-mail i dłuższych ciągów cyfr), którą usuwam po 90 dniach. Pełnego adresu strony odsyłającej ani pozostałych parametrów linku nie zapisuję.
  • Zdarzenia na stronie - kliknięcia w przyciski kontaktowe (WhatsApp, telefon, e-mail) i w linki do Facebooka, Instagrama i Pinteresta (m.in. moje profile i przyciski udostępniania wpisu), przejścia między podstronami serwisu, głębokość przewinięcia, czas na stronie, wyjście kursorem poza górną krawędź okna, nazwa pola formularza, w które klikasz, oraz pola, na którym przerwano wypełnianie (bez treści). Zapisuję typ zdarzenia, ścieżkę strony, kraj i czas, a przy kliknięciach także cel (np. inna podstrona) i oznaczenie miejsca linku na stronie.
  • Odrzucone wysyłki formularza - gdy zabezpieczenia odrzucą formularz albo weryfikacja antyspamowa nie zadziała w przeglądarce, zapisuję tylko kod powodu (np. brak weryfikacji, przekroczony limit), ścieżkę strony z formularzem, kraj i czas.

Kraj (poziom państwa, np. „PL”) ustala Cloudflare na podstawie połączenia; adresu IP ani user-agenta nie zapisuję. Zdarzenia z przeglądania strony (odsłony, kliknięcia, przewinięcia, czas) nie są łączone w sesje ani przypisywane do osób. Wszystkie opisane wyżej zdarzenia przechowuję maksymalnie 25 miesięcy. Pełne parametry kampanii (UTM oraz, przy reklamach OpenAI, identyfikator kampanii i reklamy) zapisuję i mogę przypisać do numeru sprawy wyłącznie dla kampanii z zamkniętej listy, przez maksymalnie 25 miesięcy; takie parametry nie zawierają danych kontaktowych. Z innych oznaczeń zachowuję tylko opisaną wyżej nazwę źródła (przez 90 dni), bez przypisania do sprawy. Podstawa: art. 6 ust. 1 lit. f RODO - uzasadniony interes polegający na poprawie serwisu i ocenie skuteczności własnych kanałów pozyskania.

Każde zapytanie z formularza otrzymuje losowy numer sprawy. Ten sam numer jest w wiadomości, którą otrzymuję, więc mogę go powiązać z Twoim zapytaniem. Pod tym numerem zapisuję w D1: ścieżkę podstrony z formularzem, podstronę wejścia (przy wejściu z oznaczonego linku), kraj, parametry kampanii (UTM oraz identyfikator kampanii i reklamy), techniczny status wysyłki (próba wysłania, przyjęcie przez dostawcę, dostarczenie, błąd lub odbicie), a jeśli sprawa trafi dalej, mogę oznaczyć jej etap, np. wysłana oferta, jej wartość i rodzaj usługi. Te wpisy przechowuję maksymalnie 25 miesięcy. Imię, e-mail, telefon i treść wiadomości nie trafiają do tabel analitycznych.

W wiadomości z formularza, poza danymi, które wpisujesz, otrzymuję numer sprawy, adres podstrony tej witryny odwiedzonej tuż przed formularzem oraz parametry kampanii UTM, jeśli wejście nastąpiło z oznaczonego linku. Dzięki temu wiem, które treści prowadzą do kontaktu.

Jeżeli wejdziesz na stronę z reklamy OpenAI, adres może zawierać nieczytelny identyfikator kliknięcia oppref. Strona nie zapisuje go w cookie ani pamięci przeglądarki. Przy wysłaniu formularza identyfikator, ścieżka strony i numer sprawy są przechowywane wyłącznie po stronie serwera, maksymalnie przez 72 godziny, a po potwierdzeniu dostarczenia wiadomości są usuwane. Tylko dla zapytań z reklamy OpenAI do OpenAI Ads trafia zdarzenie dostarczonego leada: numer sprawy, czas, ścieżka strony i - jeśli występował - surowy oppref. Zapytań z innych źródeł nie zgłaszam do OpenAI. Nie przekazuję imienia, e-maila, telefonu, treści wiadomości, adresu IP ani user-agenta. Zdarzenie ma wyłączoną personalizację użytkownika (opt_out). Cel: pomiar skuteczności reklamy. Podstawa: art. 6 ust. 1 lit. f RODO - uzasadniony interes w ocenie skuteczności płatnych działań promocyjnych.

Ochrona formularza przed spamem

Formularz kontaktowy chroni Cloudflare Turnstile. Skrypt ładuje się tylko na stronie z formularzem: gdy zbliżasz się do formularza albo przy pierwszej interakcji ze stroną (dotknięcie, kliknięcie, klawisz). Turnstile sprawdza adres IP i techniczne cechy przeglądarki (np. user-agent), żeby odróżnić człowieka od automatu, i wydaje jednorazowy token. Przy wysyłce przekazuję Cloudflare ten token i adres IP do weryfikacji po stronie serwera. Token nie trafia do wiadomości ani do bazy.

Stosuję też ukryte pole-pułapkę, minimalny czas wypełnienia formularza i limit 3 zapytań na godzinę z jednego adresu IP. Adres IP przechowuję w tym celu do 1 godziny i nie łączę go z Twoimi danymi z formularza. Gdy zabezpieczenia odrzucą wysyłkę albo weryfikacja nie zadziała, w statystyce zapisuję tylko kod powodu, ścieżkę strony z formularzem, kraj i czas. Podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes: ochrona formularza i skrzynki przed spamem).

Zamówienie telefonu przez asystenta AI

Jeśli poprosisz asystenta AI (np. ChatGPT lub Claude) o zamówienie telefonu ode mnie, asystent przekazuje przez usługę tej strony Twoje imię, numer telefonu i opis sprawy oraz, jeśli je podasz, metraż, budżet i preferowany czas rozmowy. Zapisuję je w bazie Cloudflare D1 razem ze skrótem (hashem) adresu IP, z którego wysłano zgłoszenie, i nazwą programu, który je złożył, a następnie wysyłam sobie e-mailem (przez Resend) na skrzynkę biuro@studiosubtelnosci.pl. Skrót adresu IP służy też do limitu zgłoszeń z jednego źródła i w tym celu jest przechowywany osobno przez 24 godziny. Asystent AI przetwarza Twoją rozmowę na zasadach swojego dostawcy. Szczegóły techniczne: usługa dla asystentów AI.

Cel: oddzwonienie do Ciebie i utrzymanie limitu trzech rozmów tygodniowo. Podstawa: art. 6 ust. 1 lit. b RODO (działania na Twoje żądanie przed zawarciem umowy). Wiadomość e-mail ze zgłoszeniem przechowuję tak jak inne zapytania (patrz „Odpowiedzi na zapytania”). Wpis w bazie D1 nie ma dziś ustalonego terminu automatycznego usunięcia: usunę go na Twoją prośbę.

3. Jakie dane zbieram?

Dane, które mi podajesz: imię, adres e-mail, numer telefonu (w formularzu opcjonalny) i treść wiadomości; przy zamówieniu telefonu przez asystenta AI także opis sprawy, metraż, budżet i preferowany czas rozmowy; w trakcie współpracy adres nieruchomości (do celów projektowych).

Dane zbierane automatycznie: kraj ustalony na podstawie połączenia, ścieżki odwiedzanych podstron, przedział szerokości okna przeglądarki, zdarzenia na stronie (kliknięcia, przewinięcie, czas, nazwy pól formularza bez ich treści), parametry kampanii z oznaczonych linków, kategoria źródła wejścia przy pierwszej odsłonie (z domeną z zamkniętej listy albo „inna” i oczyszczoną nazwą nierozpoznanego źródła utm_source), adres IP i techniczne cechy przeglądarki na potrzeby ochrony formularza (Turnstile i limit zapytań), techniczne zgłoszenia naruszeń zasad bezpieczeństwa strony (CSP, szczegóły w punkcie 8), a przy zamówieniu telefonu przez asystenta AI także skrót adresu IP i nazwa programu, który złożył zgłoszenie.

Podanie imienia, e-maila i treści wiadomości jest dobrowolne, ale bez nich nie odpowiem na zapytanie. Nie zbieram danych wrażliwych (art. 9 RODO). Strona nie używa cookies marketingowych ani analitycznych (szczegóły w punkcie 7).

4. Komu mogę przekazać Twoje dane?

Korzystam z zewnętrznych usług. Większość z nich przetwarza dane w moim imieniu; jeśli dostawca działa także we własnym imieniu, piszę o tym przy jego nazwie.

  • Cloudflare, Inc. (USA) - infrastruktura strony (CDN, DNS, edge computing), ochrona formularza (Turnstile), wewnętrzna statystyka zdarzeń, zapis zgłoszeń od asystentów AI i zgłoszeń bezpieczeństwa strony (Cloudflare D1) oraz tymczasowy limit zapytań (Workers KV). Przy każdym wyświetleniu strony Cloudflare przetwarza dane techniczne połączenia (m.in. adres IP), żeby ją dostarczyć i chronić przed atakami. Podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes: dostarczenie strony i ochrona przed atakami). Sygnały Turnstile Cloudflare wykorzystuje także jako osobny administrator do ulepszania wykrywania botów. Transfer do USA na podstawie SCC. Polityka prywatności, informacja o Turnstile.
  • Google (Google Workspace) - skrzynka e-mail biuro@studiosubtelnosci.pl, w której otrzymuję i przechowuję wiadomości z formularza, e-maile i zgłoszenia od asystentów AI. Jeśli dane są przetwarzane poza EOG, odbywa się to na podstawie zabezpieczeń wymaganych przez RODO. Warunki przetwarzania danych.
  • Resend, Inc. (USA) - dostarczanie wiadomości z formularza kontaktowego i zgłoszeń od asystentów AI na moją skrzynkę. Przetwarza dane zawarte w tych wiadomościach (imię, e-mail, telefon, treść wiadomości, numer sprawy, podstronę odwiedzoną przed formularzem, parametry UTM, a przy zgłoszeniu od asystenta AI także opis sprawy, metraż, budżet i preferowany czas) - wyłącznie w celu wysłania e-maila do mnie. Serwery w UE (AWS eu-west-1, Irlandia). Transfer do USA na podstawie SCC. Dane przechowywane do 30 dni w logach, potem usuwane. Polityka prywatności.
  • Cloudflare Pages - hosting strony (wszystkie podstrony). Dane techniczne połączenia. Transfer do USA na podstawie SCC.
  • Meta Platforms (Facebook, Instagram, WhatsApp) - strona nie instaluje piksela Meta ani cookies Meta i nie przekazuje Meta danych o odwiedzinach. Metatag fb:app_id jedynie identyfikuje domenę w ekosystemie Meta. Na stronach bloga jest przycisk WhatsApp: to zwykły link, który otwiera rozmowę ze mną w WhatsApp. Jeśli napiszesz do mnie przez WhatsApp, odwiedzisz mój profil na Facebooku lub Instagramie albo udostępnisz wpis na Facebooku, Twoje dane przetwarza również Meta na zasadach swojej polityki prywatności. Polityka prywatności Meta, polityka prywatności WhatsApp.
  • OpenAI, L.L.C. (USA) - pomiar dostarczonych leadów pochodzących z reklam OpenAI, tylko dla zapytań z tych reklam. Otrzymuje wyłącznie numer sprawy, czas, ścieżkę strony oraz opcjonalny identyfikator kliknięcia oppref. Nie otrzymuje danych kontaktowych ani treści formularza; personalizacja zdarzenia jest wyłączona. Transfer do USA na podstawie odpowiednich zabezpieczeń wymaganych przez RODO. Polityka prywatności.

Nie udostępniam platformom reklamowym imienia, e-maila, telefonu ani treści formularza. Pomiar OpenAI Ads służy wyłącznie do przypisania technicznego zdarzenia dostarczonego leada do reklamy i nie jest używany przeze mnie do profilowania użytkownika. Informację o zabezpieczeniach przekazania danych poza EOG i ich kopię otrzymasz, pisząc na biuro@studiosubtelnosci.pl.

5. Profilowanie

Nie tworzę profili użytkowników, nie śledzę Cię między stronami (poza opisanym w punkcie 2 pomiarem skuteczności reklam OpenAI, tylko dla wejść z tych reklam) i nie podejmuję zautomatyzowanych decyzji na podstawie Twoich danych (art. 22 RODO).

6. Twoje prawa

Możesz w każdej chwili:

  • Zapytać jakie Twoje dane posiadam i poprosić o ich kopię (art. 15 RODO).
  • Poprawić dane, jeśli są nieprawidłowe (art. 16 RODO).
  • Usunąć dane - „prawo do bycia zapomnianym” (art. 17 RODO).
  • Ograniczyć przetwarzanie (art. 18 RODO).
  • Przenieść dane do innego podmiotu (art. 20 RODO).
  • Sprzeciwić się przetwarzaniu opartemu na moim uzasadnionym interesie (art. 21 RODO).

Napisz na biuro@studiosubtelnosci.pl - odpowiem bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Jeśli uważasz, że Twoje dane są przetwarzane niezgodnie z prawem, masz prawo złożyć skargę do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

7. Cookies i pamięć przeglądarki

Strona nie używa cookies marketingowych ani analitycznych i nie zapisuje identyfikatora wizyty w localStorage lub sessionStorage. Pomiar odsłon i zdarzeń opisany w punkcie 2 działa bez cookies. Pomiar OpenAI Ads nie instaluje piksela ani dodatkowego cookie; opcjonalny oppref jest przenoszony wyłącznie w adresie oznaczonego CTA i odczytywany podczas wysłania formularza.

Jeśli w Twojej przeglądarce zostały analityczne pliki cookie z wcześniejszych wersji pomiaru (np. Cloudflare Zaraz), strona usuwa je przy kolejnym wyświetleniu dowolnej podstrony.

Pamięć przeglądarki przy formularzu

Cloudflare Turnstile (ładowany tak, jak opisuje punkt 2) działa w osobnej ramce z serwera challenges.cloudflare.com i zapisuje w niej techniczny wpis cf.turnstile.u w pamięci przeglądarki (localStorage tej ramki). Nie ustawia plików cookie. Wpis jest częścią ochrony formularza przed automatami.

Cookies techniczne (niezbędne)

Cloudflare może zapisać na Twoim urządzeniu pliki cookie niezbędne do ochrony strony:

  • __cf_bm - odróżnia ruch użytkownika od botów. Wygasa po 30 minutach.
  • cf_clearance - zapisywane po przejściu weryfikacji bezpieczeństwa. Czas ważności zależy od konfiguracji zabezpieczeń.

Są to cookies niezbędne do działania strony - nie można ich wyłączyć bez utraty dostępu. Więcej: dokumentacja Cloudflare.

8. Bezpieczeństwo

Stosuję szyfrowanie połączeń (HTTPS/TLS), nagłówki bezpieczeństwa (HSTS, CSP), kontrolę dostępu do systemów oraz regularne przeglądy infrastruktury. Dane z formularza kontaktowego przesyłane są szyfrowanym kanałem i nie są zapisywane w bazie danych strony - przez Resend trafiają bezpośrednio do mojej skrzynki e-mail.

Gdy przeglądarka wykryje na stronie skrypt niezgodny z zasadami bezpieczeństwa treści (CSP), może automatycznie wysłać techniczne zgłoszenie. Zapisuję z niego w bazie Cloudflare D1 tylko ścieżkę podstrony, naruszoną regułę, adres zablokowanego zasobu i pliku źródłowego (bez parametrów adresu), położenie w pliku, krótki fragment kodu lub nazwę użytej funkcji i czas, bez adresu IP, user-agenta i cookies. Przechowuję je 90 dni. Cel: wykrywanie błędów strony i prób wstrzyknięcia złośliwego kodu. Podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes: bezpieczeństwo strony).

9. Zmiany polityki

Jeśli zmienię coś istotnego w tej polityce, zaktualizuję datę na górze strony. Zachęcam do okresowego sprawdzania.

10. Kontakt

Studio Subtelności Aleksandra Gacek
ul. Księdza Piotra Ściegiennego 3A/20, 25-033 Kielce
NIP: 6572999798 · REGON: 542303583
E-mail: biuro@studiosubtelnosci.pl
Tel.: +48 696 526 850