Polityka prywatności — Step Swap

Wersja: 1.6 · Data wejścia w życie: 2026-08-31

Step Swap pomaga osobom o różnych rozmiarach butów znaleźć parę i wymienić buty. Niniejsza polityka wyjaśnia, jakie dane osobowe przetwarzamy i jakie masz do nich prawa.

Administrator danych: Vitalii Bartashchuk (osoba fizyczna prowadząca działalność gospodarczą), siedziba działalności Za vodou 161/2, 032 03 Liptovský Ján, Republika Słowacka, IČO 54225337 (Rejestr przedsiębiorców Urzędu Okręgowego Liptovský Mikuláš). Kontakt: info@vaet.sk. Nie powołaliśmy inspektora ochrony danych (IOD); w sprawach prywatności kontaktuj info@vaet.sk.

1. Dane, które zbieramy

Dane	Przykłady	Źródło
Konto / tożsamość	E-mail konta Google, imię, zdjęcie profilowe (od Google lub opcjonalne wgranie)	Logowanie Google (OAuth) / ty
Profil butów	Rozmiary EU lewa/prawa, na której stopie nosisz, preferowane style	Ty
Kontakt i dostawa	Adres pocztowy, numer telefonu	Ty
Komunikacja	Wiadomości na czacie z innymi członkami	Ty
Zaufanie i bezpieczeństwo	Lista zablokowanych (kogo zablokowałeś) i zgłoszenia, które składasz (kategoria, opcjonalne szczegóły, identyfikatory wiadomości)	Ty
Dane wymiany	Migawki adresu i zapisy etykiet wysyłkowych dla wymiany	Ty / partner dostawy
Płatność	Że opłaciłeś opłatę za wymianę, kwota, waluta i identyfikatory transakcji Stripe — bez numerów kart (wprowadzasz je w checkout Stripe, nigdy ich nie widzimy)	Ty / Stripe
Diagnostyka	Raporty awarii i błędów oraz (tylko wersja webowa) maskowane nagrania sesji, w których wystąpił błąd — tekst, pola i media są maskowane, bez treści wiadomości, adresu ani telefonu	Sentry
Analityka użycia	Wyświetlenia ekranów i kluczowe działania w aplikacji — tylko liczniki, bez treści wiadomości, adresu ani telefonu	Vercel Analytics

Nie sprzedajemy twoich danych osobowych.

Podanie rozmiarów butów jest konieczne do dopasowania; adres i telefon są konieczne do dostawy wymiany. Bez nich możesz korzystać z aplikacji, ale nie dokończysz wymiany.

2. Jak je wykorzystujemy

Tworzenie konta i logowanie (logowanie Google).
Dopasowywanie z innymi członkami według rozmiaru butów (styl to sygnał rankingowy).
Czat i przepływ wymiany butów.
Generowanie etykiet wysyłkowych dla wymiany (adres + telefon udostępniamy partnerowi dostawy tylko dla wymiany, którą rozpoczynasz).
Pobieranie opłaty za dostawę za wymianę, gdzie ma to zastosowanie (dane karty wprowadzasz w hostowanym checkout Stripe i nigdy nie trafiają na nasze serwery; przechowujemy tylko status płatności, kwotę i identyfikatory Stripe).
Diagnostyka awarii (raporty są oczyszczane z adresu, telefonu, imienia i tekstu wiadomości).
Agregowane zrozumienie użycia w celu ulepszania aplikacji.
Przed logowaniem możesz przeglądać stronę główną, wyszukiwać według rozmiaru butów i widzieć zanonimizowane liczniki dopasowań oraz przykłady, a także publiczne stawki dostawy. Wyszukiwania według rozmiaru trafiają na nasze serwery wyłącznie w celu obliczenia podglądów i nie są przechowywane, dopóki się nie zalogujesz; oczekujące rozmiary mogą być do tego czasu w sessionStorage przeglądarki. Przykłady nigdy nie zawierają imienia, zdjęć, e-maila, adresu ani telefonu.
Wyświetlanie typowej wskazówki opłaty za wymianę według regionu językowego przeglądarki — nie używamy GPS ani dokładnej lokalizacji.
Nie stosujemy zautomatyzowanego podejmowania decyzji wywołującego skutki prawne lub podobnie istotne — dopasowanie według rozmiaru to niewiążąca sugestia, na którą decydujesz się zareagować.

3. Podstawy prawne (RODO)

Opieramy się na różnych podstawach dla różnych celów (art. 6 RODO):

Wykonanie umowy (art. 6 ust. 1 lit. b)) — twoje konto, logowanie Google, dopasowanie, czat, przepływ wymiany, etykiety wysyłkowe i opłata za wymianę. Logowanie Google to sposób świadczenia usługi, więc opiera się na umowie, a nie na zgodzie.
Zgoda (art. 6 ust. 1 lit. a)) — opcjonalna diagnostyka awarii/błędów oraz wszelka nieistotna analityka lub przechowywanie (zob. §10). Zgodę możesz wycofać w dowolnym momencie.
Prawnie uzasadnione interesy (art. 6 ust. 1 lit. f)) — utrzymanie bezpieczeństwa usługi, zapobieganie nadużyciom i oszustwom oraz debugowanie; wyważone z twoimi prawami.
Obowiązek prawny (art. 6 ust. 1 lit. c)) — przechowywanie zapisów płatności i dostawy dla celów podatkowych i księgowych (zob. §5).

4. Z kim je udostępniamy

Procesorzy działający zgodnie z naszymi instrukcjami: Supabase (uwierzytelnianie, baza danych, przechowywanie avatarów, hosting), Sightengine (automatyczna kontrola opcjonalnych avatarów profilowych pod kątem treści jawnych/obraźliwych przed zapisaniem; obrazy są wysyłane do Sightengine w celu analizy i zgodnie z ich polityką nie są przechowywane po wywołaniu API), Google (logowanie), Sentry (diagnostyka błędów/awarii bez identyfikowalnych danych osobowych; tylko w wersji webowej maskowane nagrania sesji u błędów — cały tekst, pola i media maskowane; zainstalowana aplikacja nie rejestruje nagrań sesji), przewoźnik obsługujący twoją trasę (obecnie Packeta/Zásielkovňa dla Słowacji/CEE; Sendcloud ze swoim przewoźnikiem, np. Österreichische Post, dla Austrii/zachodniej Europy; Packlink dla przesyłek nadawanych z Niemiec) (imię odbiorcy, adres, telefon i przy dostawie do domu e-mail — w celu wygenerowania etykiety i dostarczenia przesyłki), Resend (dostarcza nasze wewnętrzne alerty operacyjne — np. spór płatniczy lub zwrot do weryfikacji — naszemu zespołowi; tylko identyfikatory transakcji i kwoty, bez imienia, adresu, telefonu ani treści wiadomości), oraz Vercel (hosting webowy i analityka przyjazna prywatności).

Niezależni administratorzy. Stripe przetwarza opłatę za dostawę za wymianę, a dane twojej karty przetwarza jako własny administrator na podstawie własnej polityki prywatności — nigdy nie widzimy numeru twojej karty i otrzymujemy tylko status płatności, kwotę i identyfikatory transakcji. W przypadku tej płatności o wykorzystaniu danych twojej karty decyduje Stripe, a nie Step Swap.

Inni członkowie widzą tylko twoje wyświetlane imię, avatar, rozmiary i style. Adres pocztowy i numer telefonu nie są pokazywane innym członkom — służą wyłącznie do generowania etykiety wysyłkowej i są udostępniane przewoźnikowi w celu dostarczenia przesyłki.

5. Przechowywanie danych

Profil i ogólne dane konta — twój profil (imię, avatar, rozmiary butów, styl), dane kontaktowe i tokeny push, a także czat, który nie był częścią wymiany, która doszła do etapu płatności lub etykiety wysyłkowej — przez czas aktywności konta i usuwane niezwłocznie po usunięciu konta (zob. §7), z wyjątkiem ograniczonego powiązania tożsamości, które utrzymujemy z poniższymi zapisami.
Zapisy płatności, dostawy i wymian — musimy przechowywać zapisy rozliczeniowe i transakcyjne zgodnie ze słowackim prawem podatkowym i księgowym, zwykle do 10 lat, także po usunięciu konta. Ponieważ taki zapis musi identyfikować osobę, której dotyczy — aby płatność można było powiązać z osobą, która ją dokonała, dla księgowości, chargebacków i oszustw — przechowujemy je z ograniczonym powiązaniem z twoją tożsamością przez ten okres; dostęp jest ograniczony do tych celów. Podstawy prawne: obowiązek prawny (art. 6 ust. 1 lit. c)) oraz nasz uzasadniony interes w bezpiecznej usłudze bez oszustw (art. 6 ust. 1 lit. f)).
Czat przy opłaconych/wysłanych wymianach — dla wymiany, która doszła do etapu płatności lub dostawy, przechowujemy także wymienione wiadomości czatu dla tej wymiany z ograniczonym powiązaniem tożsamości do 3 lat (ogólny termin przedawnienia według prawa słowackiego) po usunięciu konta — i dłużej tylko dopóki trwa spór, roszczenie prawne lub wniosek organu — następnie są usuwane. Przechowywane z ograniczonym dostępem i używane wyłącznie do zgłoszeń, sporów, oszustw i roszczeń prawnych. Podstawa prawna: uzasadniony interes w bezpiecznej usłudze bez oszustw oraz w ustaleniu, dochodzeniu lub obronie roszczeń prawnych (art. 6 ust. 1 lit. f) RODO). Art. 17 ust. 3 lit. e) RODO nie jest podstawą prawną przetwarzania; jest to wyjątek, który pozwala nam zachować te dane mimo żądania usunięcia, w odniesieniu do tych samych roszczeń.
Diagnostyka — raporty błędów przechowujemy przez ograniczony czas (zwykle do 90 dni) i nie zawierają adresu, telefonu, imienia ani tekstu wiadomości.

6. Bezpieczeństwo

Dane są szyfrowane w tranzycie i w spoczynku. Dostęp do bazy danych wykorzystuje zabezpieczenia na poziomie wierszy (row-level security), dzięki czemu członek może czytać tylko własne dane i dane osób, z którymi dzieli czat; dostęp do naszych systemów jest ograniczony do tego, co konieczne do obsługi usługi. Jeśli naruszenie ochrony danych osobowych prawdopodobnie zagraża twoim prawom, powiadomimy cię i słowacki Urząd Ochrony Danych Osobowych (Úrad na ochranu osobných údajov SR), zgodnie z wymogami RODO.

7. Twoje prawa i usuwanie konta

Możesz uzyskać dostęp do danych i je poprawiać w aplikacji oraz usunąć konto w dowolnym momencie — powiązane dane usuwamy niezwłocznie, z wyjątkiem ograniczonych zapisów, które musimy lub możemy przechowywać zgodnie z §5 (zapisy podatkowe/księgowe oraz zapisy konieczne dla bezpieczeństwa, zapobiegania oszustwom lub roszczeń prawnych): w aplikacji przez Profil → Ustawienia → Usuń konto, lub na żądanie — zob. usuwanie konta. W zależności od lokalizacji możesz mieć także prawa do przenoszenia danych, sprzeciwu/ograniczenia, wycofania zgody oraz złożenia skargi do organu ochrony danych. Naszym wiodącym organem nadzorczym w mechanizmie one-stop-shop RODO jest słowacki Úrad na ochranu osobných údajov SR (dataprotection.gov.sk). Jeśli mieszkasz w Polsce, możesz skontaktować się także z UODO (uodo.gov.pl). Jeśli mieszkasz w innym kraju UE/EOG, możesz złożyć skargę do swojego organu krajowego — Europejska Rada Ochrony Danych prowadzi wykaz wszystkich (edpb.europa.eu).

8. Transfery międzynarodowe

Niektórzy z powyższych dostawców (np. Google, Stripe, Sentry, Vercel, Resend) mogą przetwarzać dane poza EOG, w tym w Stanach Zjednoczonych. Takie transfery opierają się na odpowiednich zabezpieczeniach — standardowych klauzulach umownych UE i/lub ramach UE–USA w zakresie prywatności danych (Data Privacy Framework), gdy dostawca jest certyfikowany. Szczegóły możesz uzyskać e-mailem na info@vaet.sk.

9. Dzieci

Step Swap nie jest przeznaczony dla dzieci poniżej 18 lat i świadomie nie zbieramy ich danych.

10. Pliki cookie i pamięć lokalna

Pliki cookie i pamięć lokalną ograniczamy do minimum:

Niezbędne — Supabase ustawia pamięć/pliki cookie, aby utrzymać cię zalogowanym i zabezpieczyć aplikację. Są konieczne do działania usługi i nie wymagają zgody.
Przeglądanie jako gość (wygoda) — jeśli szukasz rozmiarów przed logowaniem, oczekujące rozmiary mogą być w sessionStorage przeglądarki, dopóki się nie zalogujesz lub nie zamkniesz karty; preferencja języka może być w localStorage. Konto nie powstaje, dopóki nie zalogujesz się przez Google.
Diagnostyka i analityka (zgoda) — raportowanie awarii/błędów (Sentry) i analityka produktu (Vercel Analytics) są używane tylko za zgodą, zgodnie ze słowacką ustawą o łączności elektronicznej (ustawa nr 452/2021 zb.). Gdzie wymagane, pytamy przed ustawieniem nieistotnej pamięci i możesz zmienić wybór w dowolnym momencie. Nie używamy reklamowych ani cross-site cookies śledzących.

11. Zmiany

Możemy aktualizować niniejszą politykę. Aktualny numer wersji i data wejścia w życie są podane u góry; starsze wersje przechowujemy na żądanie. Istotne zmiany ogłosimy w aplikacji lub na stronie przed wejściem w życie. Dalsze korzystanie po dacie wejścia w życie oznacza akceptację zaktualizowanej polityki.

12. Kontakt

Pytania lub wnioski: info@vaet.sk.