Polityka prywatności

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób przetwarzamy dane osobowe w związku z prowadzeniem gabinetu i strony internetowej www.krainamasazulegnica.pl. Dokument spełnia obowiązek informacyjny z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz wymogi polskiej ustawy o ochronie danych osobowych i przepisów o cookies (Prawo komunikacji elektronicznej / Prawo telekomunikacyjne).

1. Administrator danych

Administratorem danych osobowych jest:

• Justyna Olszewska-Kapral, przedsiębiorca, prowadząca działalność pod nazwą Kraina Masażu,
• adres: ul. Saperska 1B/4, 59-220 Legnica,
• NIP: 691-221-31-77,
• telefon: +48 695 687 609,
• e-mail: krainamasazulegnica@wp.pl.

Nie wyznaczyliśmy Inspektora Ochrony Danych (IOD). We wszystkich sprawach dotyczących ochrony danych osobowych prosimy o kontakt bezpośrednio z Administratorem, na dane wskazane powyżej.

2. Źródło danych

Dane pochodzą przede wszystkim od Państwa: z formularza kontaktowego, wiadomości e-mail, rozmowy telefonicznej, wiadomości w mediach społecznościowych, osobistego umówienia wizyty w gabinecie albo z korzystania ze strony (dane techniczne i cookies). Jeśli ktoś umawia wizytę w Państwa imieniu, źródłem danych jest ta osoba.

3. Jakie dane przetwarzamy

W zależności od sytuacji możemy przetwarzać:

• dane identyfikacyjne: imię i nazwisko,
• dane kontaktowe: numer telefonu, adres e-mail, ewentualnie adres korespondencyjny,
• treść korespondencji i informacje podane w zapytaniu lub podczas wizyty (np. preferowana usługa, termin),
• dane związane z usługą i rozliczeniami: rodzaj zabiegu, data wizyty, kwota, dane do paragonu lub faktury (w tym NIP, jeśli jest potrzebny),
• dane dotyczące zdrowia — wyłącznie gdy są niezbędne do bezpiecznego wykonania zabiegu i zostaną nam dobrowolnie przekazane (np. ciąża, przeciwwskazania, dolegliwości, uczulenia); są to dane szczególnej kategorii z art. 9 RODO,
• dane techniczne: adres IP, data i czas żądania, typ urządzenia i przeglądarki, przybliżona lokalizacja na podstawie IP, odwiedzone podstrony, źródło wejścia, identyfikatory cookies i podobne technologie.

Nie zbieramy danych w zakresie szerszym, niż jest to potrzebne do konkretnego celu (zasada minimalizacji).

4. Cele i podstawy prawne przetwarzania

Dane przetwarzamy wyłącznie w niżej wskazanych celach:

• odpowiedź na zapytanie i umówienie wizyty — art. 6 ust. 1 lit. b RODO (czynności zmierzające do zawarcia umowy) albo art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: kontakt z osobą, która sama do nas napisała);
• świadczenie usługi masażu / zabiegu SPA — art. 6 ust. 1 lit. b RODO (wykonanie umowy);
• dane o stanie zdrowia potrzebne do bezpiecznego zabiegu — art. 9 ust. 2 lit. a RODO (wyraźna zgoda) oraz — gdy jest to niezbędne do wykonania usługi — art. 9 ust. 2 lit. h RODO w zw. z art. 6 ust. 1 lit. b RODO;
• rozliczenia, księgowość, podatki — art. 6 ust. 1 lit. c RODO (obowiązek prawny, m.in. przepisy o rachunkowości i Ordynacja podatkowa);
• ustalenie, dochodzenie lub obrona roszczeń — art. 6 ust. 1 lit. f RODO;
• zapewnienie bezpieczeństwa i prawidłowego działania strony (logi serwera, cookies niezbędne) — art. 6 ust. 1 lit. f RODO oraz przepisy o komunikacji elektronicznej w zakresie cookies ściśle niezbędnych;
• statystyka odwiedzin strony (Google Analytics 4) — art. 6 ust. 1 lit. a RODO (zgoda) oraz zgoda na cookies analityczne;
• marketing, pomiar reklam i remarketing (Meta Pixel / Facebook Pixel) — art. 6 ust. 1 lit. a RODO (zgoda) oraz zgoda na cookies marketingowe;
• prowadzenie profili w mediach społecznościowych (m.in. Facebook, Instagram) — art. 6 ust. 1 lit. f RODO (promocja gabinetu i kontakt z obserwującymi), a w zakresie narzędzi Meta także — gdy jest wymagana — zgoda.

Zgodę można wycofać w każdej chwili. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.

5. Czy podanie danych jest obowiązkowe

Podanie danych w formularzu lub przy umawianiu wizyty jest dobrowolne, ale bez danych kontaktowych nie będziemy mogli odpowiedzieć ani zrealizować usługi. Dane rozliczeniowe są wymagane, gdy przepisy podatkowe nakazują wystawienie paragonu lub faktury. Zgoda na cookies analityczne i marketingowe nie jest wymagana do korzystania ze strony — można ją odrzucić.

6. Odbiorcy danych

Dane mogą być ujawniane wyłącznie podmiotom, które ich potrzebują do realizacji powyższych celów:

• dostawcy hostingu i utrzymania strony internetowej,
• dostawca poczty elektronicznej,
• biuro rachunkowe i podmioty obsługi IT — w zakresie powierzonym umową,
• Google Ireland Limited (Google Analytics 4) oraz — w razie transferu — Google LLC (USA),
• Meta Platforms Ireland Limited (Meta Pixel, Facebook, Instagram) oraz — w razie transferu — Meta Platforms, Inc. (USA),
• podmioty uprawnione na podstawie prawa (np. urzędy skarbowe, sądy, organy ścigania) — wyłącznie gdy obowiązek wynika z przepisów.

Z podmiotami przetwarzającymi dane na nasze zlecenie zawieramy umowy powierzenia (art. 28 RODO). Nie sprzedajemy danych osobowych.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Korzystanie z Google Analytics 4 i Meta Pixel może wiązać się z przekazaniem danych (w tym identyfikatorów online i adresu IP) do Stanów Zjednoczonych.

Przekazanie odbywa się, w zależności od odbiorcy i konfiguracji, na podstawie:

• decyzji Komisji Europejskiej w sprawie adekwatności dla ram ochrony danych UE–USA (EU–US Data Privacy Framework), jeżeli dany podmiot jest w wykazie certyfikowanych organizacji, albo
• standardowych klauzul umownych (SCC) Komisji Europejskiej oraz dodatkowych środków ochronnych stosowanych przez dostawcę.

Wykaz podmiotów w DPF: dataprivacyframework.gov. Szczegóły: polityka prywatności Google, polityka prywatności Meta.

8. Okres przechowywania

• zapytania i korespondencja — do zakończenia sprawy, a następnie do 12 miesięcy, chyba że wcześniej wycofają Państwo zgodę albo zażądają usunięcia i nie mamy innej podstawy przetwarzania;
• dane klientów i dokumentacja wizyt — przez okres współpracy oraz do przedawnienia roszczeń (co do zasady do 6 lat);
• dokumenty księgowe i podatkowe — przez okres wymagany przepisami (co do zasady 5 lat, licząc od końca roku kalendarzowego, w którym minął termin płatności podatku);
• dane o zdrowiu — tylko tak długo, jak są potrzebne do bezpiecznego wykonania usługi i ewentualnej odpowiedzialności za zabieg; potem są usuwane lub anonimizowane;
• logi serwera — zwykle do 14–30 dni, dłużej wyłącznie gdy jest to potrzebne do wyjaśnienia incydentu bezpieczeństwa;
• cookies i dane analityczne / marketingowe — zgodnie z czasem życia danego pliku (tabela poniżej) albo do wycofania zgody, w zależności co nastąpi wcześniej.

9. Pliki cookies i podobne technologie

Strona używa plików cookies oraz podobnych technologii (local storage, piksele). Cookies to małe pliki zapisywane w urządzeniu.

Cookies niezbędne (sesja, bezpieczeństwo, zapis wyboru zgody) są stosowane na podstawie prawnie uzasadnionego interesu i przepisów o komunikacji elektronicznej — nie wymagają zgody, ale informujemy o nich.

Cookies analityczne i marketingowe uruchamiamy dopiero po Państwa zgodzie (baner cookies). Zgodę można ograniczyć do wybranych kategorii, odrzucić w całości albo później zmienić. Odrzucenie nie blokuje korzystania ze strony.

Zgody można też zarządzać w ustawieniach przeglądarki (usunięcie lub blokada cookies). Zablokowanie cookies niezbędnych może utrudnić działanie serwisu.

Kategorie cookies

Przykładowe pliki cookies

Lista ma charakter przykładowy — dokładny zestaw może się zmieniać wraz z aktualizacjami narzędzi. Aktualny stan widać też w banerze zgody (jeśli jest wdrożony).

10. Google Analytics 4 (GA4)

Używamy Google Analytics 4, dostarczanego przez Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Narzędzie pomaga nam rozumieć, jak korzystają Państwo ze strony (odwiedzone podstrony, źródło ruchu, urządzenie, przybliżona lokalizacja, zdarzenia na stronie).

GA4 może przetwarzać identyfikatory cookies, dane urządzenia i przeglądarki oraz — w ograniczonym zakresie — adres IP. W GA4 adres IP jest domyślnie skracany. Google Signals i udostępnianie danych reklamowych Google włączamy wyłącznie, jeśli wynika to z konfiguracji i z Państwa zgody na cookies marketingowe.

Podstawa: art. 6 ust. 1 lit. a RODO (zgoda). Skrypt GA4 nie powinien być uruchamiany przed wyrażeniem zgody na cookies analityczne.

Więcej: polityka prywatności Google, warunki przetwarzania danych Google. Rezygnacja z GA: dodatek Google Analytics Opt-out.

11. Meta Pixel (Facebook Pixel) i współadministrowanie

Na stronie możemy używać Meta Pixel (Facebook Pixel) — narzędzia Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlandia. Pixel służy do pomiaru skuteczności reklam, analizy działań na stronie oraz lepszego dopasowania komunikacji w serwisach Facebook i Instagram (remarketing, grupy odbiorców).

Pixel może zbierać m.in.: informacje o odwiedzinach i zdarzeniach na stronie, identyfikatory cookies, dane urządzenia i przeglądarki, przybliżoną lokalizację oraz — jeśli są przekazywane — ograniczone dane zdarzeń (np. wysłanie formularza).

Podstawa: art. 6 ust. 1 lit. a RODO (zgoda). Pixel nie powinien być uruchamiany przed zgodą na cookies marketingowe.

W zakresie statystyk strony (Page Insights) Administrator i Meta mogą być współadministratorami w rozumieniu art. 26 RODO. Zasady współadministrowania określa dodatek Meta o administratorze. Meta odpowiada za przetwarzanie po stronie swoich systemów; my — za informowanie Państwa i uzyskanie zgody na stronie.

Więcej: polityka prywatności Meta. Preferencje reklam: ustawienia konta Facebook/Instagram oraz Your Online Choices.

12. Media społecznościowe i linki zewnętrzne

Na stronie mogą znajdować się odnośniki do profili (np. Facebook, Instagram). Po przejściu na te serwisy obowiązują ich własne polityki prywatności. Nie odpowiadamy za zasady przetwarzania danych przez niezależnych administratorów tych serwisów.

13. Profilowanie i zautomatyzowane decyzje

Nie podejmujemy wobec Państwa decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Państwa wpływały (art. 22 RODO).

Narzędzia marketingowe (Meta Pixel, ewentualnie funkcje reklamowe Google) mogą tworzyć profil zainteresowań na potrzeby wyświetlania reklam. Dzieje się to wyłącznie po wyrażeniu zgody. Nie wykorzystujemy takiego profilu do automatycznego odmawiania usługi ani do oceny zdolności do skorzystania z zabiegu.

14. Państwa prawa

Przysługują Państwu następujące prawa:

• dostęp do danych oraz kopia danych (art. 15 RODO),
• sprostowanie nieprawidłowych lub uzupełnienie niekompletnych danych (art. 16 RODO),
• usunięcie („prawo do bycia zapomnianym”), gdy zachodzi przesłanka z art. 17 RODO,
• ograniczenie przetwarzania (art. 18 RODO),
• przenoszenie danych — w zakresie danych przetwarzanych na podstawie zgody lub umowy, w ustrukturyzowanym, powszechnie używanym formacie (art. 20 RODO),
• sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO),
• wycofanie zgody w dowolnym momencie, gdy podstawą jest zgoda,
• skarga do organu nadzorczego (pkt 16).

Aby skorzystać z praw, wystarczy napisać na krainamasazulegnica@wp.pl lub zadzwonić. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca (w sprawach złożonych termin może być przedłużony o kolejne dwa miesiące — poinformujemy o tym).

Przed realizacją wniosku możemy poprosić o potwierdzenie tożsamości, aby nie udostępnić danych osobie nieuprawnionej.

15. Bezpieczeństwo danych

Stosujemy środki organizacyjne i techniczne odpowiednie do ryzyka, m.in.: połączenie HTTPS (SSL), ograniczenie dostępu do danych, aktualizacje oprogramowania, kopie zapasowe oraz powierzenie przetwarzania sprawdzonym dostawcom. Żadne rozwiązanie nie daje jednak stuprocentowej gwarancji. W razie naruszenia ochrony danych, które może powodować ryzyko dla Państwa praw, poinformujemy Państwa i — gdy wymaga tego RODO — Prezesa UODO, co do zasady w ciągu 72 godzin od stwierdzenia naruszenia.

16. Prawo do skargi

Jeżeli uważają Państwo, że przetwarzamy dane niezgodnie z prawem, przysługuje skarga do Prezesa Urzędu Ochrony Danych Osobowych:

• Urząd Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa,
• strona: uodo.gov.pl,
• infolinia: 606 950 000 (dni robocze, 10:00–14:00).

Przed złożeniem skargi warto najpierw zgłosić sprawę bezpośrednio do nas — postaramy się ją wyjaśnić.

17. Osoby małoletnie

Strona i usługi gabinetu nie są kierowane do dzieci poniżej 16. roku życia w zakresie zgód na przetwarzanie danych w internecie. Masaż dla dzieci realizujemy wyłącznie za zgodą i w obecności rodzica lub opiekuna prawnego.

18. Zmiany polityki

Politykę możemy aktualizować, gdy zmieni się prawo, narzędzia na stronie albo sposób przetwarzania danych. Aktualna wersja jest zawsze publikowana na tej podstronie. Istotne zmiany ogłosimy na stronie.

19. Kontakt w sprawie danych

Kraina Masażu — Justyna Olszewska-Kapral
ul. Saperska 1B/4, 59-220 Legnica
tel. +48 695 687 609
e-mail: krainamasazulegnica@wp.pl

Ostatnia aktualizacja: 14 sierpnia 2026 r.