Polityka prywatności

§ 1. Kto jest administratorem

1. Administratorem Twoich danych jest ATTENTIO — Stowarzyszenie Osób Dorosłych z ADHD z siedzibą we Wrocławiu, ul. Legnicka 65, 54-206 Wrocław, KRS 0000949197, NIP 7382166021.
2. We wszystkich sprawach dotyczących danych — pytania, wycofanie zgody, usunięcie, sprostowanie, kopia danych — piszesz na kontakt@attentio.org.pl. Jest to jedna skrzynka i nie trzeba zgadywać, do której trafić.

§ 2. Czego dotyczy ta polityka

1. Ta polityka dotyczy całego serwisu pod adresem attentio.org.pl — obu jego części naraz:
   1. części informacyjnej — artykuły, porady, aktualności, strony o stowarzyszeniu, powiadomienia o nowych wpisach, komentarze;
   2. części petycyjnej (adresy od /petycje) — podpisywanie petycji, wpłaty, wiadomości o losach petycji i panel wsparcia miesięcznego.
2. To jest jedyna polityka prywatności ATTENTIO — jedna dla całego serwisu, więc nie musisz zgadywać, który dokument dotyczy Twojej sprawy. Obowiązuje wersja opublikowana pod tym adresem, z datą podaną na początku.
3. Obie części serwisu działają na innym oprogramowaniu: część informacyjna na WordPressie, część petycyjna na naszej własnej aplikacji. Dla Twoich praw nie ma to znaczenia — administrator jest jeden. Ma natomiast znaczenie dla tego, jakie ciasteczka i jakie narzędzia zewnętrzne działają w której części, więc rozróżniamy je wszędzie tam, gdzie różnica jest realna (§ 4, § 7, § 8).
4. Polityka nie dotyczy serwisów, do których stąd prowadzą odsyłacze — mediów społecznościowych, stron partnerów, publikacji osób trzecich. Każdy z nich ma własnego administratora i własne zasady.
5. Zasady korzystania z serwisu opisuje regulamin. Ta polityka go nie zastępuje ani nie zmienia.

§ 3. Czym jest Twój podpis, a czym nie jest

1. Podpis pod petycją nie mówi nic o Twoim zdrowiu. Petycję może podpisać każda osoba i rzeczywiście podpisują ją bardzo różne osoby: z rodziny i z grona bliskich, prowadzące terapię, uczące, zatrudniające — i wszystkie, które uznały sprawę za słuszną. Z samego faktu złożenia podpisu nie wynika, że osoba podpisująca ma ADHD — więc podpis nie jest daną szczególnej kategorii z art. 9 RODO. Jest zwykłą daną osobową.
2. Stoją za tym dwa zobowiązania, nie tylko rozumowanie. Po pierwsze: żadna petycja w tym serwisie nie będzie sformułowana tak, żeby podpisanie jej znaczyło „mam ADHD" — podpisujesz postulat, nie oświadczenie o sobie. Po drugie: nie publikujemy w internecie listy podpisów — pod petycją widać tylko trzy ostatnie, a pełną listę dostaje adresat petycji (§ 6 tej polityki, § 8 regulaminu). Gdyby któreś z tych zobowiązań przestało obowiązywać, zmieniłaby się też ta ocena, a razem z nią ten paragraf.
3. Podstawą przetwarzania jest Twoja zgoda — art. 6 ust. 1 lit. a RODO. Zaznaczasz ją w formularzu podpisu i bez niej podpis nie powstaje. Zgoda jest wyraźna i odrębna, choć przepis nie wymaga tu takiej formy: skoro już ją tak zbieramy, nie ma powodu tego osłabiać.
4. Zapisujemy, która dokładnie treść zgody była Ci pokazana: jej numer wersji oraz skrót kryptograficzny tekstu. Robimy to, żeby po latach dało się ustalić, na co zgoda została udzielona. Skrót nie służy do wnioskowania o Tobie — liczy się z treści klauzuli, nie z Twoich danych.
5. Zgodę możesz wycofać w każdej chwili, jednym zdaniem na kontakt@attentio.org.pl, bez uzasadnienia. Wycofanie nie podważa tego, co zostało zrobione zgodnie z prawem przed jego otrzymaniem.

§ 4. Jakie dane zbieramy

1. Gdy tylko czytasz artykuły — nie zbieramy od Ciebie niczego, co podajesz samodzielnie. Nie ma konta, nie ma logowania i nie ma formularza kontaktowego: kontakt z nami jest zwykłym e-mailem na adres podany na stronie kontaktu. Piszą się natomiast dane techniczne, o których mowa w ust. 2, oraz — po Twojej zgodzie — dane statystyczne z ust. 3.
2. Dane zapisywane automatycznie po stronie serwera przy każdej wizycie: adres IP, informacja o przeglądarce, adres odwiedzanej strony, data i godzina. Są to standardowe logi serwera WWW; służą utrzymaniu serwisu i obronie przed nadużyciami. W części petycyjnej adresu IP nie zapisujemy w postaci jawnej — patrz ust. 10 i § 11 ust. 1.
3. Statystyka odwiedzin w części informacyjnej — korzystamy z Google Analytics 4. Narzędzie zapisuje w Twojej przeglądarce identyfikator (_ga, _ga_*) i przekazuje Google dane o odwiedzanych stronach. Podstawą przetwarzania jest Twoja zgoda, wyrażana w banerze; jak ją cofnąć, opisuje § 7.
4. Powiadomienia o nowych wpisach: adres e-mail, który podajesz w formularzu zapisu, oraz potwierdzenie zapisu. Obsługuje je usługa follow.it i to ona przechowuje listę adresów — my nie mamy jej u siebie w bazie.
5. Komentarze pod artykułami obsługuje Facebook. Treść komentarza, imię i zdjęcie profilowe pochodzą z Twojego konta na Facebooku i tam zostają; my ich nie zapisujemy i nie mamy do nich dostępu inaczej niż każda osoba odwiedzająca stronę. Wtyczka komentarzy działa dopiero po zgodzie na ciasteczka marketingowe.
6. Przy podpisie: imię, nazwisko, adres e-mail oraz — jeśli go podasz — numer telefonu. Numer jest nieobowiązkowy i bez niego podpis działa tak samo.
7. Przy wpłacie: imię, nazwisko, adres e-mail, kwota, wybrany sposób zapłaty oraz identyfikatory transakcji od operatora płatności. Imienia, nazwiska i adresu e-mail potrzebujemy do potwierdzenia wpłaty i do rozliczenia jej w księgach — bez nich formularz wpłaty nie przejdzie dalej. Możesz też podać numer telefonu: jest nieobowiązkowy, a wpłata bez niego działa tak samo. Podany numer przekazujemy operatorowi płatności razem ze zleceniem; samo jego podanie nie zapisuje Cię na SMS-y — wysyłkę włączasz samodzielnie w panelu wsparcia.
8. Numer karty wpisujesz w polu dostarczonym przez Stripe'a — na naszej stronie, w ramce należącej do Stripe'a, albo na jego stronie po przekierowaniu, jeśli Twoja przeglądarka nie wykonuje skryptów. W obu przypadkach dane karty idą wprost z Twojej przeglądarki do Stripe'a: nie przechodzą przez nasze serwery, nie zapisujemy ich i nasz własny kod nie ma do tego pola dostępu, bo należy ono do innej domeny. Zlecenie stałe potwierdzasz w swoim banku. Nie znaczy to, że dane karty są anonimowe — ma je Stripe, jako podmiot przetwarzający, wymieniony w § 8.
9. Kod BLIK — pole jest nasze, ale cyfry do nas nie docierają. Sześć cyfr z aplikacji banku wpisujesz w oknie na naszej stronie, w sześciu polach naszego formularza, po kliknięciu przycisku wpłaty. Kod nie dociera do nas: skrypt w Twojej przeglądarce przekazuje go wprost do Stripe'a. Nasz serwer go nie widzi, nie zapisujemy go w bazie ani nie umieszczamy w logach. Kod jest jednorazowy i traci ważność po około dwóch minutach, więc po zapłaceniu jest bezużyteczny także dla nas. Czym różni się to od numeru karty: numer karty wpisujesz w ramce należącej do Stripe'a, do której nasza strona nie ma dostępu. Pole kodu BLIK należy do nas — to nasz skrypt czyta z niego cyfry, zanim je wyśle dalej. Sam kod przechodzi tę drogę tak samo bez udziału naszego serwera. BLIK-iem wpłacisz jednorazowo; przy wsparciu miesięcznym do wyboru jest karta.
10. Dane techniczne: skrót adresu IP, informacja o przeglądarce (user agent), kraj oraz identyfikator z ciasteczka. Adresu IP nie zapisujemy w postaci jawnej — patrz § 11 ust. 1.
11. Dane o źródle wejścia: parametry kampanii z adresu (utm_source, utm_medium, utm_campaign, utm_content, utm_term) oraz identyfikatory kliknięcia nadawane przez platformy reklamowe. Służą wyłącznie do rozliczenia, która reklama przyprowadziła podpis albo wpłatę.

§ 5. W jakich celach i na jakiej podstawie

1. Udostępnianie treści serwisu i jego utrzymanie — nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO: żeby strona działała, musi zapisywać logi serwera i odróżniać ruch zwykły od nadużyć.
2. Statystyka odwiedzin (Google Analytics w części informacyjnej) — Twoja zgoda, art. 6 ust. 1 lit. a RODO.
3. Powiadomienia o nowych wpisach — Twoja zgoda, art. 6 ust. 1 lit. a RODO, potwierdzona kliknięciem w wiadomości po zapisie.
4. Obsługa petycji i przekazanie jej adresatowi — Twoja zgoda, art. 6 ust. 1 lit. a RODO (§ 3).
5. Obsługa wpłaty — wykonanie umowy darowizny i rozliczenie jej, art. 6 ust. 1 lit. b RODO, oraz obowiązki księgowe i podatkowe, art. 6 ust. 1 lit. c RODO w związku z przepisami o rachunkowości. Na tej samej podstawie przekazujemy operatorowi płatności numer telefonu, jeśli został podany — operator posługuje się nim przy zleceniu i przy jego reklamacji.
6. Wiadomości o losach podpisanej petycji — nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO: osoba, która złożyła podpis, ma prawo dowiedzieć się, co się z nim stało.
7. Wiadomości o innych działaniach stowarzyszenia — osobna, dobrowolna zgoda, art. 6 ust. 1 lit. a RODO. Można ją wycofać, zostawiając zgodę z ustępu 1, i odwrotnie.
8. Pomiar skuteczności reklam — Twoja zgoda wyrażona w banerze zgód albo na stronie Zgoda na pomiar, art. 6 ust. 1 lit. a RODO. Bez zgody na przechowywanie danych reklamowych nie wysyłamy żadnej konwersji ani żadnych Twoich danych — patrz § 9 ust. 3. Jedyny wyjątek, czyli zgłoszenie odsłony przed Twoją decyzją, opisuje § 9 ust. 8; jego podstawą jest nasz prawnie uzasadniony interes w oszacowaniu skuteczności reklamy, art. 6 ust. 1 lit. f RODO, i nie ma w nim ani ciasteczek, ani Twoich danych.
9. Pomiar wewnętrzny strony — Twoja zgoda wyrażona na stronie Zgoda na pomiar, art. 6 ust. 1 lit. a RODO. Jest to zgoda ODRĘBNA od poprzedniej i działa niezależnie: można ją zaznaczyć bez zgody reklamowej i odwrotnie. Dane z tego pomiaru mówią, jak korzysta się z tej strony, i nie są przekazywane platformom reklamowym.
10. Bezpieczeństwo serwisu — nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO: ograniczanie liczby żądań i rozpoznawanie prób automatycznego wypełniania formularza.
11. Obsługa wpłaty złożonej przez platformę agenta zakupowego(regulamin § 20) — wykonanie umowy darowizny i jej rozliczenie, art. 6 ust. 1 lit. b RODO, oraz obowiązki księgowe i podatkowe, art. 6 ust. 1 lit. c RODO — dokładnie jak przy wpłacie w formularzu (ust. 5). Dane dostajemy od platformy, której je powierzasz; nie prosimy o żadną zgodę ponad tę, która została wyrażona u niej, i nie domniemujemy zgody na wiadomości od nas — jeśli chcesz je dostawać, włączasz je osobno (ust. 7).

§ 6. Co widać pod petycją, a co dostaje adresat

1. Nie publikujemy w internecie pełnej listy podpisów. Pod petycją widać wyłącznie trzy ostatnie podpisy, każdy jako imię i pierwsza litera nazwiska. Nigdy pełne nazwisko, nigdy adres e-mail, nigdy numer telefonu. Twój wpis znika z tego miejsca, gdy podpiszą trzy kolejne osoby.
2. Na to miejsce trafia każdy podpis — nie ma osobnego pola wyboru w tej sprawie i mówi o tym regulamin, który przyjmujesz. Możesz w każdej chwili poprosić o zdjęcie wpisu ze strony, pisząc na kontakt@attentio.org.pl.
3. Pełną listę podpisów wysyłamy adresatowi petycji: imię, nazwisko i datę podpisu, bez adresu e-mail i bez numeru telefonu. Co dzieje się z nią dalej, opisuje § 8 ust. 6 tej polityki.

§ 7. Ciasteczka

1. Poniżej jest pełny wykaz ciasteczek w serwisie: co się nazywa, ile żyje i po co jest. Serwis ma dwie części na różnym oprogramowaniu, więc wykaz jest podzielony tak samo.
2. Zgodą zarządzasz na stronie Zgoda na pomiar — odsyłacz do niej stoi w stopce każdej strony i w nawigacji nad tym dokumentem. Widać tam swój obecny wybór i można go zmienić w każdej chwili, tyloma kliknięciami, iloma się go udzieliło. Zgody są dwie i działają osobno: pomiar skuteczności reklam i pomiar wewnętrzny strony. O pierwszą pyta też baner przy pierwszej wizycie. Zgoda nie jest potrzebna do ciasteczek niezbędnych, żeby serwis działał; wszystkie pozostałe powstają dopiero po niej.
3. Zamknięcie banera gestem — na telefonie arkusz z pytaniem o zgodę („Niniejsza strona korzysta z plików cookie”) można zsunąć palcem w dół poza dolną krawędź ekranu. Zamknięcie arkusza w ten sposób traktujemy jak wyrażenie zgody na wszystkie opcjonalne pliki cookie („Zezwól na wszystkie”): zapisujemy wtedy zgodę na cele statystyczne, preferencyjne i marketingowe. W rejestrze zgód odnotowujemy informację, że decyzja powstała przez zamknięcie arkusza gestem, a nie przez naciśnięcie przycisku. Wybór ten można w każdej chwili zmienić lub wycofać na stronie Zgoda na pomiar.
4. Podpisanie petycji bez wyboru w banerze. Jeżeli nie wybierzesz nic w banerze plików cookie, a następnie zaakceptujesz regulamin i podpiszesz petycję, traktujemy to jak wyrażenie zgody na wszystkie opcjonalne pliki cookie („Zezwól na wszystkie”) — na cele statystyczne, preferencyjne i marketingowe. W rejestrze zgód odnotowujemy wtedy, że decyzja powstała przy podpisie petycji, a nie przez naciśnięcie przycisku w banerze. Nie dotyczy to sytuacji, w której w banerze albo w ustawieniach wybrano już cokolwiek: wcześniejsza odmowa zostaje odmową także wtedy, gdy podpiszesz petycję później, i także po zniknięciu banera z ekranu. Zgodę udzieloną w ten sposób można w każdej chwili zmienić lub wycofać na stronie Zgoda na pomiar.
5. Po odmowie pytamy ponownie po 10 minutach. Odmowa nie otwiera żadnego pomiaru — do czasu Twojej zgody działają wyłącznie ciasteczka niezbędne — ale zapamiętujemy ją w przeglądarce tylko na ten czas, więc baner wraca. Jeżeli nie chcesz go widzieć, decyzję możesz zapisać na stałe na stronie Zgoda na pomiar; baner nie blokuje przy tym strony — można go minąć i korzystać z serwisu, nie dotykając go.
6. Część petycyjna — niezbędne i funkcjonalne:
   1. att_klient — identyfikator przeglądarki, po którym łączymy wizytę z podpisem i wpłatą. Żyje 400 dni.
   2. att_sesja — identyfikator jednej wizyty. Ciasteczko sesyjne: ginie po zamknięciu przeglądarki.
   3. att_atr — źródło wejścia (kampania, identyfikator kliknięcia). Żyje 90 dni, czyli tyle, ile najdłuższe okno rozliczenia reklamy.
   4. att_zgoda — Twoja decyzja o zgodzie na pomiar, osobno dla każdego z dwóch celów. Zgoda — także zgoda na część celów — żyje rok. Odmowa żyje 10 minut: po tym czasie ciasteczko wygasa i pytanie o zgodę pojawia się ponownie. Zmienisz ją w każdej chwili na stronie Zgoda na pomiar.
   5. attentio_kontakt — imię, nazwisko i adres e-mail przeniesione z podpisu do formularza wpłaty, żeby nie trzeba było wpisywać ich drugi raz. Numeru telefonu w nim nie ma. Żyje 30 minut i jest niedostępne dla skryptów strony.
   6. attentio_podpis — zapobiega podwójnemu zapisaniu tego samego podpisu.
   7. attentio_otw — znacznik otwarcia formularza, po którym rozpoznajemy automaty wypełniające go w ułamku sekundy.
   8. attentio_platnosc — dane jednej rozpoczętej płatności, żeby dało się ją dokończyć po powrocie od operatora. Żyje 15 minut.
   9. attentio_wsparcie — sesja panelu wsparcia miesięcznego, otwierana linkiem z wiadomości. Żyje 2 godziny.
   10. attentio_podpis_przenoszenie — dane z formularza podpisu w drodze do formularza wpłaty. To nie ciasteczko, tylko magazyn sesji przeglądarki: nie wychodzi z karty, ginie razem z nią i kasujemy go zaraz po użyciu.
7. Część petycyjna — preferencje, po Twojej zgodzie: attentio-theme, attentio-contrast i attentio-motion w magazynie lokalnym przeglądarki. Pamiętają wybrany motyw, tryb wysokiego kontrastu i ograniczenie ruchu, żeby strona nie wracała do ustawień domyślnych przy każdym wejściu. Bez zgody na kategorię „Preferencje" nie odczytujemy ich wcale. Twoje ustawienia systemowe — jasny lub ciemny motyw, ograniczony ruch, podwyższony kontrast — działają niezależnie od tej zgody, bo niczego w nich nie przechowujemy.
8. Część petycyjna — po zgodzie na marketing odczytujemy ciasteczka _fbp (Meta), _ttp (TikTok) i _gcl_au (Google), stawiane przez narzędzia tych platform. Ostatnie z nich przechowuje identyfikator kliknięcia w reklamę, po którym przypisujemy wpłatę do kampanii. Bez zgody nie są nam potrzebne i nic z nimi nie robimy.
9. Część informacyjna — niezbędne i funkcjonalne:
   1. WordPress — wp-settings-* i wp-settings-time-* (ustawienia widoku, do roku), WP_PREFERENCES_USER_* (preferencje, bezterminowo), wp_lang (język, sesja), wordpress_test_cookie (sprawdzenie, czy ciasteczka działają, sesja), wordpress_logged_in_* (utrzymanie zalogowania — dotyczy osób redagujących serwis, nie odwiedzających).
   2. Baner zgód — cmplz_banner-status, cmplz_consented_services, cmplz_policy_id, cmplz_functional, cmplz_preferences, cmplz_statistics, cmplz_marketing. Pamiętają Twoją decyzję i to, której wersji dokumentu dotyczyła. Żyją 365 dni.
   3. Ułatwienia dostępu — a11y-larger-fontsize (powiększenie tekstu, 1 dzień) i a11y-high-contrast (tryb wysokiego kontrastu).
   4. Stripe — __stripe_mid, przeciwdziałanie oszustwom płatniczym. Żyje rok.
10. Część informacyjna — statystyczne, po Twojej zgodzie:
    1. Google Analytics — _ga (2 lata) i _ga_* (rok). Liczą odsłony i odróżniają wizyty od siebie.
    2. Elementor — elementor, zapis wykonanych działań na stronie w postaci anonimowej.
11. Część informacyjna — marketingowe, po Twojej zgodzie. Stawiają je treści osadzone z serwisów zewnętrznych; bez zgody na tę kategorię wtyczki się nie uruchamiają, więc ciasteczka nie powstają.
    1. Facebook (komentarze i wtyczki społecznościowe) — _fbp i fr (3 miesiące), _fbc, datr i sb (2 lata), c_user (30 dni), xs (3 miesiące), act i csm (90 dni), fbm* oraz *_fbm_ (rok), wd (tydzień), actppresence (sesja). Służą do rozpoznawania konta, mierzenia zasięgu i kierowania reklam.
    2. Instagram — actppresence (rok), zarządzanie częstotliwością reklam.
    3. YouTube — VISITOR_INFO1_LIVE (6 miesięcy), PREF (8 miesięcy), YSC i GPS (sesja). Zapamiętują ustawienia odtwarzacza i służą kierowaniu reklam.
    4. Google Fonts — nie stawia ciasteczka, ale pobranie kroju pisma z serwerów Google oznacza, że Google poznaje adres IP Twojego urządzenia.
12. Część informacyjna — ciasteczka o nieustalonym przeznaczeniu. Stawiają je wtyczki serwisu i nie mamy potwierdzonego opisu, do czego każde z nich służy. Nie ukrywamy ich z tego powodu: WP_DATA_USER_*, wpEmojiSettingsSupports, e_kit-elements-defaults, n2-colors, ssPanelTop, sab_upsell_shown, rsssl_task_filter, llar_login_flow, SLG_G_WPT_TO, SLG_GWPT_Show_Hide_tmp, SLG_wptGlobTipTmp, mp_*. Jeżeli któreś z nich sprawia Ci kłopot, napisz na kontakt@attentio.org.pl — ustalimy, skąd pochodzi, i wrócimy do Ciebie z odpowiedzią.

§ 8. Komu przekazujemy dane

1. Operatorzy płatności — Stripe (karty płatnicze, BLIK przy wpłacie jednorazowej, przelew online z banku, PayPal i Revolut) oraz Fizen. Przy przelewie online z banku Stripe korzysta z Przelewy24 (PayPro S.A.), a Twoje dane trafiają dalej do banku, który wskażesz — to on wyświetla stronę logowania i potwierdzenia. Przy płatności PayPalem albo Revolutem odbiorcą jest odpowiednio PayPal albo Revolut. Przy zwykłym przelewie nie ma pośrednika: pieniądze idą prosto na konto stowarzyszenia. Operator dostaje dane potrzebne do zlecenia: kwotę, adres e-mail, imię i nazwisko oraz — jeśli został podany — numer telefonu.
2. Wysyłka wiadomości — Resend (e-mail) i SMSAPI (SMS). Do SMSAPI trafia wyłącznie numer osoby, która sama włączyła powiadomienia SMS w panelu wsparcia. Samo podanie numeru — pod petycją albo przy wpłacie — nie wystarcza i niczego nie uruchamia.
3. Infrastruktura — Vercel (hosting aplikacji petycyjnej), Neon (baza danych), Cloudflare (warstwa brzegowa i ochrona przed przeciążeniem) oraz dostawca hostingu części informacyjnej. Vercel dostaje dodatkowo pomiary szybkości działania strony (czas wczytania, stabilność układu, czas reakcji na kliknięcie) oraz statystykę odwiedzin (odsłony, strona, z której nastąpiło wejście, kraj, rodzaj urządzenia i przeglądarki) — razem z adresem strony, której dotyczą. Żaden z tych dwóch pomiarów nie zapisuje niczego w Twojej przeglądarce: nie ma w nich ciasteczka ani żadnego identyfikatora. Nie obejmują też stron prywatnych: panelu wsparcia, odsyłaczy jednorazowych z wiadomości ani panelu redakcji. Z adresów zostawiamy wyłącznie oznaczenia kampanii reklamowej (parametry utm_*), po których rozpoznajemy, która reklama Cię tu przyprowadziła; wszystko inne doklejone do odsyłacza — w tym identyfikatory kliknięcia reklamy — usuwamy, zanim cokolwiek wyślemy.
4. Narzędzia części informacyjnej — Google (Analytics oraz kroje pisma), Meta (komentarze i wtyczki Facebooka, materiały z Instagrama), Google w zakresie materiałów osadzonych z YouTube'a oraz follow.it (powiadomienia o nowych wpisach). Ciasteczka marketingowe tych narzędzi powstają wyłącznie po Twojej zgodzie — patrz § 7.
5. Platformy reklamowe — Google, Meta i TikTok, wyłącznie w zakresie i na zasadach z § 9, i wyłącznie za Twoją zgodą.
6. Adresat petycji — dostaje petycję razem z pełną listą podpisów: imię, nazwisko i datę podpisu każdej osoby, której podpis jest pod petycją w chwili wysyłki. Adresu e-mail ani numeru telefonu nie dostaje. To jest cel, dla którego podpis powstaje. Po otrzymaniu listy adresat jest odrębnym administratorem tych danych i przetwarza je na własnych zasadach. Gdy petycja jest składana na podstawie ustawy o petycjach, adresat zamieszcza na swojej stronie internetowej jej odwzorowanie cyfrowe (skan) i datę złożenia (art. 8 tej ustawy) — czy i w jakim zakresie pokaże przy tym dane z listy, zależy od adresata i przepisów, które go obowiązują, a nie od nas. Jeśli poprosisz o usunięcie podpisu, gdy lista jest już u adresata, usuniemy go u nas i poinformujemy adresata o Twoim żądaniu (art. 19 RODO); o kopii, którą już ma, decyduje on.
7. Część odbiorców z ustępów 1–4 ma siedzibę poza Europejskim Obszarem Gospodarczym. Przekazanie danych do państwa trzeciego odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony albo standardowych klauzul umownych. Kopię odpowiedniej podstawy udostępniamy na żądanie wysłane na kontakt@attentio.org.pl.
8. Platformy agentów zakupowych — gdy wpłacasz przez taką platformę (regulamin § 20), to ona przekazuje nam kwotę i cel darowizny, Twój adres e-mail, imię i nazwisko oraz numer telefonu, jeśli został jej podany. Przy części platform dochodzi do tego jednorazowy token płatniczy Stripe'a; przy platformach korzystających z usługi handlu agentowego Stripe'a nie ma nawet tokenu, bo zapłatę prowadzi u siebie Stripe i przekazuje nam wyłącznie potwierdzenie. Operator płatności z ust. 1 dostaje w obu przypadkach to samo co przy wpłacie w formularzu. Platforma dostaje od nas stan darowizny (przyjęta, zaksięgowana, zwrócona) i kwotę — nic więcej, w szczególności nie dostaje numeru płatności ani odsyłaczy do Twojego panelu. Platforma może mieć siedzibę poza Europejskim Obszarem Gospodarczym; wtedy stosuje się ust. 7.

§ 9. Reklama — co wychodzi na zewnątrz, a co nie

1. Ten paragraf jest napisany dokładniej niż zwykle, bo łatwo tu obiecać więcej, niż mechanizm daje.
2. Do platform reklamowych wysyłamy informację, że doszło do konwersji, razem ze skrótami Twoich danych — nie z ich jawną treścią. Są to skróty adresu e-mail, numeru telefonu, imienia, nazwiska, kraju oraz naszego identyfikatora, który przypisujemy Twojej przeglądarce. Platformy nazywają to konwersjami rozszerzonymi i używają do połączenia zdarzenia — wpłaty, podpisu albo kliknięcia z ustępu 4 — z reklamą, która je przyprowadziła. Nie każde takie zdarzenie jest konwersją; co to znaczy w praktyce, mówi ustęp 4.
3. Skrót nie jest anonimizacją i nie będziemy tego tak nazywać. Jest funkcją jednokierunkową, więc platforma nie odczyta z niego Twojego adresu — ale mając ten sam adres u siebie, policzy taki sam skrót i dlatego dopasowanie w ogóle działa. To pseudonimizacja, czyli nadal Twoje dane osobowe, i przekazujemy je wyłącznie wtedy, gdy zgoda na dane reklamowe jest zaznaczona. Bez tej zgody wysyłamy sam fakt konwersji z identyfikatorem kliknięcia, a bez zgody na przechowywanie danych reklamowych — nic.
4. Zgłaszamy także kliknięcie w link w naszym e-mailu albo SMS-ie — jako zdarzenie, nie jako konwersję. Różnica nie jest słowna i wygląda tak: takie kliknięcie idzie wyłącznie do Meta i TikToka, bez kwoty, bez waluty i bez numeru zamówienia, a do Google Ads nie idzie w ogóle, bo tam zdarzenie da się zgłosić tylko jako konwersję. U nas nie jest liczone jako konwersja ani w panelu, ani w raportach — stoi w osobnej kolumnie. Kliknięcie nie ma żadnego identyfikatora z reklamy, więc platforma może połączyć je z Tobą wyłącznie przez skróty z ustępu 2. Wyjątkiem jest link „nie chcę już dostawać takich wiadomości" — jego kliknięcia nie wysyłamy nigdzie, bo znaczy ono dokładnie odwrotność zainteresowania.
5. Nazwa zdarzenia jest jedną z czterech neutralnych: Lead, Purchase, Subscribe albo ViewContent (to ostatnie dla kliknięcia z ustępu wyżej). Nie mówi ani o ADHD, ani o zdrowiu — pilnują tego dwa niezależne mechanizmy: jeden sprawdza kod przy każdej zmianie, drugi każdy ładunek tuż przed wysłaniem.
6. Wysyłamy natomiast nazwę petycji, której dotyczy Twój podpis albo Twoja wpłata — jako nazwę pozycji, tak jak sklep internetowy przekazuje nazwę kupionego produktu. Idzie tam kod pozycji oraz nazwa petycji. Platforma reklamowa wie więc, której petycji dotyczy konwersja, i jest to jedyna droga, którą się tego dowiaduje — patrz ustęp niżej.
7. Adres strony wysyłamy w całości — razem z adresem konkretnej petycji i z oznaczeniami kampanii, które stoją w adresie po znaku zapytania. Platforma reklamowa widzi więc, która petycja była oglądana. Nadal nie dostaje tą drogą Twojego imienia, nazwiska ani adresu e-mail w jawnej postaci — te idą wyłącznie jako skróty z ustępu 2. Adres nigdy nie zawiera linku z Twojego maila ani linku z zaproszenia: z takich adresów zapisujemy wyłącznie nazwę strony, bez części będącej kluczem. Chroni to dwa niezależne mechanizmy — jeden zdejmuje link przekierowaniem, drugi odmawia zapisania go w ogóle — i żadnego z nich nie zmieniamy.
8. Możemy budować z tych danych publiczności reklamowe i prowadzić remarketing — wyłącznie wtedy, gdy zgoda na personalizację reklam jest zaznaczona.
9. Jest to możliwe dlatego, że podpis pod petycją nie jest daną szczególnej kategorii (§ 3). Zakaz z art. 26 ust. 3 aktu o usługach cyfrowych dotyczy reklamy opartej na profilowaniu z użyciem danych z art. 9 RODO, więc tu nie ma zastosowania. Nazwy zdarzeń pozostają neutralne, a dane kontaktowe idą wyłącznie jako skróty (ust. 2 i 3).
10. Bez Twojej zgody na przechowywanie danych reklamowych nie wysyłamy żadnej konwersji ani żadnych Twoich danych — również skrótów. Zdarzenie zapisujemy wtedy u siebie ze statusem mówiącym „pominięte z braku zgody", żeby dało się później policzyć, ile pomiaru świadomie utracono, a nie żeby kiedykolwiek je dosłać.
11. Jedna rzecz dzieje się jednak przed Twoją decyzją i mówimy o tym wprost. Skrypt Google Tag Managera wczytuje się na stronie, zanim klikniesz cokolwiek w banerze — w trybie, który Google nazywa zaawansowanym. Do czasu Twojej decyzji ma on zakaz zapisu i odczytu ciasteczek reklamowych, a to, co wychodzi, jest jednym zgłoszeniem odsłony: adres strony, godzina i podstawowe dane przeglądarki, które każdy serwer widzi z samego faktu połączenia. Nie ma w nim ciasteczek, identyfikatora z reklamy, Twojego adresu e-mail, imienia ani żadnego skrótu. Google używa tego do oszacowania liczby odsłon, których nie widzi. Gdy odmówisz, przestajemy wczytywać ten skrypt w ogóle — na kolejnych stronach nie ma go już wcale, a temu, który wczytał się przed Twoją decyzją, natychmiast odbieramy wszystkie zgody. Jest to zaostrzenie wobec wzorca Google'a, który każe w takiej sytuacji wysyłać zgłoszenia dalej.

§ 10. Jak długo przechowujemy dane

1. Podpis — tak długo, jak trwa sprawa, której dotyczy petycja: do jej złożenia u adresata, otrzymania odpowiedzi i poinformowania Cię o niej. Podpis usuwamy wcześniej, gdy o to poprosisz. Ten termin dotyczy nas — listę, którą dostał adresat petycji, przechowuje on według własnych zasad (§ 8 ust. 6).
2. Dane wpłaty — przez okres wymagany przepisami o rachunkowości i podatkach, liczony od końca roku, w którym wpłata została zaksięgowana.
3. Numer telefonu — do czasu, w którym usuwamy dane czynności, przy której został podany: podpisu albo wpłaty, zależnie od tego, która z nich trwa dłużej. Numer nie leży przy pojedynczej wpłacie, tylko przy Twoich danych kontaktowych, i możesz poprosić o jego usunięcie w każdej chwili — bez wpływu na podpis i na wpłatę.
4. Identyfikatory kliknięcia z reklam, skrót adresu IP, user agent oraz utm_content i utm_term — zerujemy po 90 dniach. Robi to codzienne zadanie, nie ręczne porządki. Sam wiersz o źródle wejścia zostaje, bo wskazują na niego podpis i wpłata — usunięcie go zerwałoby powiązanie wpłaty z kampanią, czyli zniszczyłoby dane o rozliczeniu, nie o człowieku.
5. Linki jednorazowe z wiadomości (potwierdzenie podpisu, panel wsparcia, wypisanie) — kasujemy 14 dni po wygaśnięciu. Karencja jest celowa: dzięki niej na stary link odpowiadamy „ten link wygasł", a nie „nie znam takiego linku".
6. Liczniki zabezpieczające przed przeciążeniem — okno liczenia trwa godzinę, a wygasłe wiersze kasuje codzienne zadanie.
7. Logi serwera części informacyjnej — przechowuje je dostawca hostingu w ramach standardowej obsługi serwera. Nie budujemy z nich żadnych profili i nie zestawiamy ich z danymi z podpisu.
8. Adres zapisany na powiadomienia o wpisach — do czasu wypisania się. Wypisanie kasuje adres z listy w usłudze follow.it.
9. Dane statystyczne z Google Analytics — zgodnie z okresem ustawionym w tym narzędziu; identyfikator w Twojej przeglądarce żyje do dwóch lat, a Ty możesz go skasować, czyszcząc ciasteczka albo cofając zgodę.
10. Po upływie tych okresów dane usuwamy albo pozbawiamy cech pozwalających Cię zidentyfikować.

§ 11. Jak chronimy dane

1. Adresu IP nie zapisujemy w postaci jawnej — zapisujemy jego skrót liczony z dodatkowym sekretem. Ten sam adres daje w naszej bazie zawsze ten sam skrót, ale ze skrótu nie da się odtworzyć adresu bez znajomości sekretu.
2. Dane kontaktowe przechowujemy zaszyfrowane, a adres e-mail i numer telefonu mają dodatkowo postać skróconą, po której rozpoznajemy powtórny podpis bez odszyfrowywania czegokolwiek.
3. Nie twierdzimy, że te środki wykluczają każde ryzyko — żadne nie wykluczają. Jeżeli dojdzie do naruszenia ochrony Twoich danych, które może powodować wysokie ryzyko dla Twoich praw, zawiadomimy Cię o tym, tak jak wymaga art. 34 RODO.

§ 12. Twoje prawa

1. Masz prawo: dostępu do swoich danych i kopii tych danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie oraz wycofania zgody w każdej chwili.
2. Żądanie wysyłasz na kontakt@attentio.org.pl. Nie wymagamy formularza ani uzasadnienia. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.
3. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.
4. Podanie danych jest dobrowolne, ale bez imienia, nazwiska i adresu e-mail nie da się podpisać petycji — nie z powodu naszej decyzji, lecz dlatego, że podpis bez tych danych nie byłby podpisem. Te same trzy dane są wymagane przy wpłacie: bez nich nie wystawimy potwierdzenia ani nie zaksięgujemy darowizny. Numer telefonu jest w obu formularzach nieobowiązkowy i jego niepodanie nie ma żadnych skutków.
5. Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00‑193 Warszawa.

§ 13. Dostępność

Ten dokument ma być czytelny także dla osób korzystających z czytnika ekranu i z powiększenia. Stan dostępności całego serwisu — obu jego części — wraz z wykazem tego, czego jeszcze nie sprawdzono, opisuje deklaracja dostępności.

§ 14. Zmiany polityki

1. Politykę możemy zmienić — na przykład gdy dojdzie nowy sposób zapłaty albo zmienią się przepisy. Nową wersję publikujemy tutaj razem z datą, od której obowiązuje.
2. Data obowiązywania tej polityki jest osobna od numeru wersji zgody, którą zaznaczasz w formularzu. Zmiana tego dokumentu nie zmienia treści Twojej zgody i nie unieważnia zgód już udzielonych. Gdy zmienia się treść samej zgody, zbieramy ją od nowa — mówi o tym § 17 ust. 2 regulaminu.