Polityka prywatności
W skrócie
- Nie profilujemy Cię i nie sprzedajemy Twoich danych.
- Nie używamy analityki ani cookies marketingowych. Niezbędne cookie utrzymuje Cię zalogowanym, a zewnętrzny odtwarzacz YouTube ładuje się dopiero po Twojej zgodzie.
- Fan może przeglądać trasy, mapę i profile bez konta i bez podawania danych.
- Dyspozycję usunięcia konta składasz samodzielnie w panelu. Jeżeli trwają operacje sprzedażowe lub rozliczeniowe, najpierw muszą zostać bezpiecznie zakończone.
1. Kto jest administratorem Twoich danych
Administratorem danych osobowych jest Localize.pl Agenor Hofmann-Delbor, ul. Włościańska 57/13, 70-021 Szczecin, NIP 9551885714 — operator serwisu koncertuj.com („Administrator”, „my”).
W sprawach dotyczących danych osobowych, w tym w celu realizacji swoich praw, napisz na: info@koncertuj.com lub zadzwoń pod numer +48 533 758 868.
Nie wyznaczyliśmy inspektora ochrony danych — nie jest to wymagane w naszym przypadku (art. 37 RODO). Kontakt w sprawach danych prowadzimy pod adresem wskazanym wyżej.
2. Nasze zasady
- Zbieramy tylko te dane, które są potrzebne do działania konkretnej funkcji.
- Nie profilujemy. Automatyczne sprawdzenie NIP-u i rachunku porównuje wyłącznie podane dane z publicznymi rejestrami. Nie stanowi decyzji opartej na profilowaniu w rozumieniu art. 22 RODO. Gdy rejestr nie potwierdzi danych, sprzedaż nie zostanie uruchomiona, a użytkownik otrzyma informację o przyczynie; może poprawić dane albo skontaktować się z Operatorem w celu ich wyjaśnienia przed ponownym sprawdzeniem.
- Nie sprzedajemy ani nie udostępniamy danych w celach marketingowych.
- Nie używamy narzędzi analitycznych ani reklamowych.
3. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie
| Kogo dotyczy / cel | Zakres danych | Podstawa prawna |
|---|---|---|
| Konto zespołu / miejsca koncertowego — założenie i prowadzenie konta, logowanie, reset hasła | adres e-mail, hasło (przechowywane wyłącznie jako skrót kryptograficzny — nie znamy Twojego hasła), typ konta, data utworzenia, data i wersje zaakceptowanych dokumentów oraz zabezpieczony HMAC adresu IP użytego przy rejestracji (bez przechowywania surowego adresu w dowodzie akceptacji) | art. 6 ust. 1 lit. b RODO — wykonanie umowy o prowadzenie konta |
| Profil publiczny zespołu — prezentacja w katalogu i na profilu | nazwa, gatunek, opis, zdjęcia, logo, linki (YouTube, Spotify, Bandcamp), skład zespołu (imiona i role), licznik odsłon | art. 6 ust. 1 lit. b RODO — w zakresie danych właściciela Konta; art. 6 ust. 1 lit. f RODO — uzasadniony interes zespołu i Administratora polegający na prezentacji składu, w zakresie danych pozostałych członków (patrz uwaga pod tabelą) |
| Profil miejsca koncertowego | nazwa, typ, miasto, adres, pojemność, opis, zdjęcia, dokumenty, warunki współpracy (stawki, backline), licznik odsłon | art. 6 ust. 1 lit. b RODO — wykonanie umowy |
| Zakup biletu — realizacja zamówienia, wysyłka biletu, weryfikacja przy wejściu | imię i nazwisko, adres e-mail, liczba biletów, kwota, status i identyfikator płatności, kod biletu | art. 6 ust. 1 lit. b RODO — wykonanie umowy sprzedaży Biletu (sprzedawcą jest Operator); art. 6 ust. 1 lit. c RODO — obowiązki podatkowe |
| Faktura (wystawiana do każdego zakupu Biletu) | imię i nazwisko albo nazwa nabywcy oraz adres podany do faktury; przy zakupie „na firmę” także NIP podany w zamówieniu oraz dane firmy zaczytane z rejestrów publicznych (GUS REGON / wykaz podatników VAT) | art. 6 ust. 1 lit. c RODO — obowiązki podatkowe i księgowe. Wystawianie faktur konsumenckich w KSeF jest dobrowolnym wyborem Administratora, a nie ustawowym obowiązkiem dotyczącym sprzedaży na rzecz Konsumenta |
| Dane rozliczeniowe zespołu — rozliczenie sprzedaży, wypłaty, dokumenty księgowe | nazwa podmiotu gospodarczego, NIP, adres, status podatnika VAT, dane z rejestru GUS BIR i wykazu podatników VAT oraz numer rachunku bankowego; po wystawieniu faktury także jej numer, data, kwoty, stawka lub podstawa zwolnienia z VAT i status ręcznej weryfikacji. Rzeczywisty dokument trafia do Operatora przez KSeF albo e-mail; Panel nie przechowuje przesłanego pliku PDF ani nie pobiera faktury automatycznie z KSeF | art. 6 ust. 1 lit. b i lit. c RODO — wykonanie umowy i obowiązki podatkowe |
| Newsletter — wysyłka informacji o nowych trasach | adres e-mail, opcjonalnie miasto, tokeny potwierdzenia i wypisu, daty zapisu i potwierdzenia oraz wersjonowany dowód zgody | art. 6 ust. 1 lit. a RODO — zgoda; art. 398 ustawy — Prawo komunikacji elektronicznej |
| Powiadomienia dla zespołu — np. e-mail o sprzedaży | adres e-mail, ustawienia powiadomień | art. 6 ust. 1 lit. b RODO — wykonanie umowy |
| Reklamacje, kontakt i zgłoszenia nielegalnych treści | imię i nazwisko, adres e-mail, adres zgłaszanej treści, opis i kategoria zgłoszenia oraz korespondencja | art. 6 ust. 1 lit. c RODO — obowiązek rozpatrzenia reklamacji i zgłoszeń wynikający m.in. z Aktu o usługach cyfrowych; art. 6 ust. 1 lit. f RODO — obrona przed roszczeniami |
| Podpowiedź koncertów w Twoim mieście | przybliżony kraj i współrzędne wyznaczone przez infrastrukturę Vercel na podstawie adresu IP; Serwis nie zapisuje tych danych ani surowego adresu IP w celu podpowiadania miasta | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes: ułatwienie znalezienia lokalnych koncertów |
| Bezpieczeństwo serwisu — logi serwera, przeciwdziałanie nadużyciom | adres IP, data i typ żądania, dane przeglądarki | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes: utrzymanie i bezpieczeństwo serwisu |
| Katalog miejsc koncertowych — wpisy obiektów, które nie mają jeszcze konta w Serwisie | nazwa i rodzaj obiektu, miasto, adres, adres strony internetowej oraz kontakt instytucjonalny (ogólna skrzynka e-mail, telefon centrali); dane pochodzą z Wikidata (licencja CC0) i z oficjalnych stron obiektów. Nie publikujemy adresów przypisanych konkretnym osobom ani prywatnych numerów telefonów | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes: prowadzenie branżowego katalogu miejsc koncertowych. Źródło i data jego sprawdzenia są widoczne przy wpisie, a pełną informację z art. 14 RODO publikujemy na stronie Skąd mamy te dane. Sprzeciw można złożyć z profilu albo e-mailem; wpis ukrywamy niezwłocznie, a po potwierdzeniu żądania zabezpieczamy go przed ponownym importem |
Dane pozostałych członków zespołu. Imię i rolę członka zespołu otrzymujemy od osoby prowadzącej Konto, a nie od samego członka. Prowadzący Konto ma obowiązek poinformować tę osobę o dodaniu danych, ich zakresie, celu, podstawie i prawach oraz przekazać jej odnośnik do niniejszej Polityki. Nie wymagamy danych kontaktowych członka i nie wykorzystujemy wpisu składu do innych celów. Członek może wnieść sprzeciw lub zażądać sprostowania albo usunięcia wpisu, pisząc bezpośrednio na info@koncertuj.com.
Dane z publicznego katalogu miejsc. Korzystamy z danych instytucjonalnych i unikamy danych przypisanych konkretnym pracownikom. Gdy informacja może jednak stanowić dane osobowe, stosujemy zabezpieczenia opisane wyżej, wskazujemy źródło oraz umożliwiamy natychmiastowe ukrycie wpisu. Indywidualną informację przekazujemy, gdy posiadamy właściwy kontakt i jest to możliwe bez niewspółmiernego wysiłku; w pozostałych przypadkach informacja jest stale i publicznie dostępna wraz z wpisem.
Podanie danych jest dobrowolne, ale niezbędne do skorzystania z danej funkcji: bez adresu e-mail nie założysz konta ani nie otrzymasz biletu. Przeglądanie serwisu (trasy, mapa, profile, aktualności) nie wymaga podawania żadnych danych.
4. Jak długo przechowujemy dane
| Dane | Okres przechowywania |
|---|---|
| Konto i profil | do wykonania dyspozycji usunięcia konta. Jeżeli trwają sprzedaż, zwroty, reklamacje lub rozliczenia, usunięcie następuje po ich zakończeniu; do tego czasu przetwarzamy dane wyłącznie w zakresie potrzebnym do zamknięcia tych operacji |
| Dokumenty księgowe i podatkowe oraz minimalne dane zakończonych transakcji (opłaconych lub zwróconych) | faktury ustrukturyzowane są przechowywane w KSeF przez 10 lat, licząc od końca roku, w którym zostały wystawione (art. 112aa ustawy o VAT). Jeżeli po tym czasie nie upłynął jeszcze termin przedawnienia zobowiązania podatkowego, przechowujemy je poza KSeF do upływu tego terminu. Pozostałe dokumenty księgowe i minimalne dane transakcji przechowujemy tylko przez okres wymagany przez przepisy podatkowe i rachunkowe, co do zasady do upływu właściwego terminu przedawnienia lub pięcioletniego okresu dokumentacyjnego. Okres może się wydłużyć, gdy termin został zawieszony albo przerwany lub trwa postępowanie. Zasady te obowiązują także po usunięciu Konta (art. 17 ust. 3 lit. b i e RODO) |
| Newsletter | niepotwierdzony adres usuwamy po 7 dniach; po wypisaniu jawny adres, tokeny i kolejkę usuwamy niezwłocznie. Minimalny dowód zgody i jej cofnięcia, zawierający wyłącznie zabezpieczony tajnym kluczem HMAC adresu, nie podlega automatycznemu czyszczeniu logów. Zachowujemy go w zakresie koniecznym do wykazania zgodności i obrony przed roszczeniami |
| Operacyjna historia wysyłek newslettera | zakończone wpisy kolejki, czyli wiadomości wysłane albo anulowane, usuwamy automatycznie po pełnych 12 miesiącach od ostatniej aktualizacji wpisu. Reguła nie usuwa wiadomości oczekujących ani przetwarzanych i nie obejmuje dowodów zgody |
| Token resetu hasła | do użycia albo wygaśnięcia (krótki, ograniczony czas) |
| Reklamacje, zgłoszenia DSA i korespondencja | do 3 lat od zakończenia sprawy |
| Logi serwera | przez okres udostępniany w bieżącym planie dostawcy hostingu, nie dłużej niż 30 dni. Nie prowadzimy osobnego, 12-miesięcznego archiwum logów |
| Techniczne ograniczanie liczby żądań | w bazie zapisujemy wyłącznie HMAC klucza ograniczenia i licznik bieżącego okna, bez surowego adresu IP lub e-maila. Wygasłe wpisy usuwa automatycznie cykliczny maintenance po zakończeniu ich krótkiego okna |
| Dzienniki realizacji Biletów, wiadomości transakcyjnych, płatności, zwrotów i rozliczeń | nie są objęte 12-miesięcznym czyszczeniem logów operacyjnych, ponieważ dokumentują wykonanie umowy, doręczenia, ruch środków, zwroty, wejście na Wydarzenie lub rozliczenie. Nie usuwamy ich wyłącznie z powodu upływu 12 miesięcy. Pozostają powiązane z Kontem lub zamówieniem do zakończenia właściwych operacji, reklamacji i sporów. Przy usunięciu Konta zachowujemy z nich tylko minimalny zakres wymagany prawem lub potrzebny do obrony przed roszczeniami, zgodnie z okresami opisanymi wyżej |
| Wpis obiektu w katalogu miejsc (bez konta) | do zgłoszenia sprzeciwu albo do przejęcia wpisu przez obiekt. Po sprzeciwie zachowujemy wyłącznie informację, że danego obiektu nie wolno ponownie dodać — po to, by nie wrócił przy kolejnej aktualizacji katalogu |
Po upływie właściwego okresu dane są usuwane albo anonimizowane w sposób uniemożliwiający identyfikację. Automatyczne 12-miesięczne czyszczenie obejmuje wyłącznie zakończoną historię wysyłek newslettera.
5. Zespół jako odrębny administrator
Bilety sprzedajemy my (Operator) — w zakresie zakupu Biletu administratorem Twoich danych jesteśmy wyłącznie my. Zespół jest odrębnym administratorem Twoich danych w zakresie danych potrzebnych do organizacji Wydarzenia i weryfikacji Biletu na bramce: zamaskowanego nazwiska Kupującego, końcówki kodu Biletu, czasu użycia oraz informacji o statusie Biletu. Osoba obsługująca bramkę i panel zespołu widzą nazwisko ograniczone do inicjału. Pełne imię i nazwisko pozostaje dostępne Operatorowi do obsługi zamówienia, reklamacji i sporów. Zespół widzi również zbiorczą liczbę sprzedanych i wykorzystanych Biletów; dane zbiorcze nie identyfikują Kupujących.
Sam Bilet jest biletem na okaziciela i nie zawiera imienia ani nazwiska. Znajdują się na nim dane Wydarzenia, numer Biletu i zamówienia oraz kod QR i tekstowa postać kodu.
Jako odrębny administrator zespół odpowiada samodzielnie za zgodność swojego przetwarzania z prawem, w tym za podanie Ci własnej informacji o przetwarzaniu i za realizację Twoich praw wobec niego. Regulamin zobowiązuje go umownie do wykorzystania przekazanych danych wyłącznie do weryfikacji Biletu i rozliczenia Wydarzenia.
Przy aktywacji sprzedaży podmiot działający jako Organizator podaje zweryfikowane dane identyfikacyjne i kontaktowe. Jeżeli chcesz poznać jego pełną tożsamość albo uważasz, że narusza Twoje prawa, napisz do nas. Przekażemy Ci jego dane kontaktowe i zgłosimy mu sprawę, choć decyzje dotyczące swojego przetwarzania podejmuje on sam. Możesz też w każdej chwili złożyć skargę do Prezesa UODO (patrz pkt 7).
6. Komu przekazujemy dane
Korzystamy z zewnętrznych dostawców, którzy przetwarzają dane na nasze zlecenie (podmioty przetwarzające, art. 28 RODO) albo są odrębnymi administratorami. To pełna lista — nie ma na niej analityki ani reklamy, bo ich nie używamy.
| Odbiorca | Po co | Co trafia |
|---|---|---|
| Dostawca hostingu i bazy danych | utrzymanie serwisu i przechowywanie danych | wszystkie dane przetwarzane w serwisie |
| Resend (dostawca poczty transakcyjnej) | wysyłka e-maili: bilety, potwierdzenia, reset hasła, newsletter | adres e-mail odbiorcy i treść wiadomości |
| Autopay S.A. | obsługa płatności online, gdy wybierasz sprzedaż przez Serwis | identyfikator i kwota zamówienia oraz adres e-mail podany w procesie płatności; Autopay jest odrębnym administratorem danych przetwarzanych w swojej bramce |
| Esri (dostawca kafli mapy ArcGIS) | wyświetlanie map — kafle pobiera Twoja przeglądarka bezpośrednio z serwerów Esri, więc Esri jest odbiorcą tych zapytań; atrybucja map obejmuje również HERE, Garmin, OpenStreetMap contributors i społeczność GIS | adres IP i informacje o wyświetlanym fragmencie mapy |
| Nominatim (OpenStreetMap Foundation) | ustalenie współrzędnych miasta albo adresu miejsca koncertowego — zapytanie wysyła nasz serwer, nie Twoja przeglądarka | przy mieście: jego nazwa; przy miejscu koncertowym: nazwa kraju, miasto, kod pocztowy, ulica i numer lub pełny adres podany w Panelu; bez adresu IP użytkownika ani danych jego Konta |
| GUS / Szef KAS (wykaz podatników VAT) | weryfikacja podmiotu wystawiającego fakturę oraz jego rachunku bankowego przed uruchomieniem sprzedaży i wypłatą; są to rejestry publiczne, a nie podmioty przetwarzające na zlecenie Operatora | do GUS BIR trafia NIP; do wykazu podatników VAT trafiają NIP i numer rachunku. Otrzymujemy dane identyfikacyjne, status VAT i wynik weryfikacji rachunku |
| Google (YouTube) | odtwarzanie materiałów wideo osadzonych na profilach — tylko na stronach, na których zespół lub klub dodał taki materiał | adres IP i dane o urządzeniu; Google może zapisać pliki cookies (patrz pkt 8) |
| Zespół (Organizator) | weryfikacja biletów przy wejściu na Wydarzenie i obsługa listy wejść | nazwisko Kupującego ograniczone do inicjału, końcówka kodu Biletu, czas użycia oraz status Biletu |
| Osoba weryfikująca bilety (bramkarz wskazany przez Organizatora) | sprawdzenie biletu przy wejściu na Wydarzenie — przez link ze skanerem kodów QR, który Organizator przekazuje tej osobie | kod biletu, zamaskowane nazwisko Kupującego oraz informacja, czy bilet został już wykorzystany |
| Biuro rachunkowe, doradcy, organy publiczne (w tym Krajowy System e-Faktur prowadzony przez Szefa KAS — faktury ustrukturyzowane) | obsługa księgowa oraz wykonanie obowiązków wynikających z prawa | dane z dokumentów księgowych — w niezbędnym zakresie |
Przekazywanie poza Europejski Obszar Gospodarczy. Część wskazanych wyżej dostawców to podmioty ze Stanów Zjednoczonych (m.in. Resend, Esri, Google) — przekazanie danych poza EOG następuje na podstawie decyzji wykonawczej Komisji Europejskiej z 10 lipca 2023 r. o adekwatności ochrony w ramach EU–US Data Privacy Framework, a w braku certyfikacji dostawcy — na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Informację o podstawie dla konkretnego dostawcy oraz kopię zabezpieczeń możesz uzyskać, pisząc na info@koncertuj.com.
7. Twoje prawa
W związku z przetwarzaniem danych przysługuje Ci prawo do:
- dostępu do danych i uzyskania ich kopii (art. 15 RODO);
- sprostowania danych nieprawidłowych lub niekompletnych (art. 16 RODO);
- usunięcia danych — „prawo do bycia zapomnianym” (art. 17 RODO). Konto usuniesz samodzielnie i trwale z poziomu panelu. Dyspozycję możesz złożyć w każdej chwili; przy trwających operacjach jej wykonanie wymaga najpierw ich bezpiecznego zakończenia. Prawo to nie obejmuje danych, które musimy zachować na podstawie przepisów — np. dokumentów księgowych przez okres wskazany w pkt 4, zależny od rodzaju dokumentu i właściwego terminu podatkowego;
- ograniczenia przetwarzania (art. 18 RODO);
- przenoszenia danych — otrzymania ich w formacie nadającym się do odczytu maszynowego (art. 20 RODO);
- sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21 RODO);
- cofnięcia zgody w każdej chwili — bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia (art. 7 ust. 3 RODO). Zgodę na newsletter cofniesz przez link w stopce każdej wiadomości i potwierdzenie dyspozycji.
Aby skorzystać z tych praw, napisz na info@koncertuj.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania.
Masz również prawo wnieść skargę do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).
8. Pliki cookies
Cookies dzielimy na niezbędne i opcjonalne. Niezbędne utrzymują sesję i zapisują Twoje zgody — bez nich Serwis nie działa, więc nie pytamy o nie o zgodę. Opcjonalne włączamy dopiero po Twojej decyzji, osobno dla każdego celu; wybór zmienisz w każdej chwili przez „Ustawienia plików cookies" w stopce.
Na dziś jedyną kategorią opcjonalną są zewnętrzne media. Nie korzystamy z analityki, statystyk ani cookies marketingowych. Materiały YouTube są blokowane do czasu wyrażenia zgody na zewnętrzne media.
| Nazwa | Po co | Rodzaj / czas |
|---|---|---|
| kc_consent | zapis Twoich decyzji o cookies opcjonalnych, osobno dla każdej kategorii; brak zgody na zewnętrzne media pozostawia odtwarzacz YouTube zablokowany | preferencja zgody; wygasa po 180 dniach. Zgodę można w każdej chwili wycofać w ustawieniach cookies w stopce |
| kc_session | utrzymanie sesji zalogowanego użytkownika (bez niego nie da się korzystać z panelu) | niezbędny, zaszyfrowany, niedostępny dla skryptów (httpOnly); wygasa po 14 dniach lub przy wylogowaniu |
Cookie sesyjny niezbędny do świadczenia usługi żądanej przez użytkownika nie wymaga zgody — wymaga jedynie poinformowania (art. 399 ustawy — Prawo komunikacji elektronicznej, która od 10 listopada 2024 r. zastąpiła w tym zakresie Prawo telekomunikacyjne).
Materiały wideo z YouTube. Na profilach zespołów i klubów, które dodały materiał wideo, pokazujemy najpierw lokalny placeholder. Dopiero po zgodzie przeglądarka ładuje odtwarzacz z domeny youtube-nocookie.com. Po jego uruchomieniu Google otrzymuje adres IP i informacje o urządzeniu oraz może zapisać własne dane na zasadach opisanych w polityce prywatności Google. Dotyczy to wyłącznie stron z osadzonym wideo i tylko po udzieleniu zgody. Wycofanie zgody blokuje kolejne ładowanie odtwarzaczy.
Ustawienia plików cookies możesz zmienić w swojej przeglądarce, w tym zablokować je lub usunąć. Zablokowanie pliku kc_session uniemożliwi zalogowanie się.
9. Bezpieczeństwo
- Połączenie z serwisem jest szyfrowane (HTTPS).
- Hasła przechowujemy wyłącznie jako skróty kryptograficzne (bcrypt) — nie znamy ich i nie jesteśmy w stanie ich odczytać.
- Cookie sesyjny jest zaszyfrowany i niedostępny dla skryptów.
- Dostęp do panelu wymaga zalogowania. Wyjątkiem jest skaner biletów: działa na podstawie linku z unikalnym tokenem, który Organizator przekazuje osobie weryfikującej bilety przy wejściu — kto zna ten link, może sprawdzać bilety na dane Wydarzenie (zakres danych: patrz pkt 6). Organizator może wygenerować nowy link, co unieważnia poprzedni.
10. Zmiany Polityki
Politykę możemy zmieniać — np. gdy dodamy nową funkcję albo zmieni się dostawca. O istotnych zmianach poinformujemy posiadaczy kont e-mailem oraz komunikatem w serwisie z 14-dniowym wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod tym adresem, z datą obowiązywania na górze strony.