Polityka prywatności

1. Kto jest administratorem danych i jak się z nim skontaktować

Administratorem danych osobowych jest Emet delta s.r.o., IČO (odpowiednik NIP/REGON) 09753133, z siedzibą Zbraslavská 12/11, 159 00 Praga, Czechy, z biurem w Opawie.

W praktyce stronę i formularz obsługuje jedna osoba — Samuel Poloha, prezes spółki i autor strony. To on czyta Państwa wiadomość i na nią odpowiada.

Proszę napisać na Pokaż e-mail lub zadzwonić pod Pokaż telefon (obie wartości na stronie są ukryte za przyciskiem „pokaż" — kliknięcie je odsłania).

Nie mamy osobnego inspektora ochrony danych — firma naszej wielkości nie musi go mieć z mocy prawa — więc wszystko dotyczące Państwa danych trafia bezpośrednio do Samuela.

2. Co zbiera formularz i po co

Formularz na stronie ma następujące pola:

Formularz ma jeszcze jedno ukryte pole, którego zwykły odwiedzający nigdy nie widzi ani nie wypełnia — to pułapka na boty spamujące (tzw. honeypot). Jeśli coś je wypełni, formularz traktuje to jako spam i nigdy nie wysyła ani nie zapisuje takiego zgłoszenia; zawartość tego pola nigdzie się nie zapisuje.

Formularz nigdy nie wysyła plików, lokalizacji ani żadnych innych danych o Państwa urządzeniu — tylko to, co sami wpiszą Państwo w polach powyżej.

3. Co się dzieje z wysłanym formularzem

Wysłana wiadomość trafia jako e-mail na adres podany w punkcie 1. Stamtąd usługa przekierowująca wysyła ją dalej do prywatnej skrzynki właściciela strony u Google (Gmail) — tam czyta ją osobiście Samuel (szczegóły i to, dlaczego nie podajemy tu wprost tego adresu, są w punkcie 4). Samo wysłanie e-maila z formularza obsługuje narzędzie Brevo. Sam formularz nigdy nie jest zapisywany w żadnej bazie danych na serwerze — trwały ślad to e-mail w skrzynce oraz (tylko w warunkach opisanych w punkcie 5) zapasowy zapis.

4. Kto jeszcze widzi Państwa dane

Nigdy nie sprzedajemy Państwa danych ani nie wykorzystujemy ich do niczego innego, niż opisuje ta polityka. Poza Samuelem osobiście, technicznie widzą je następujący dostawcy usług, których potrzebujemy, żeby strona i formularz w ogóle działały:

• Brevo (spółka Sendinblue SAS, Paryż, Francja) — przez to narzędzie wysyłany jest e-mail z Państwa zapytaniem, zaadresowany na adres podany w punkcie 1. To europejska firma, która zgodnie z własnym regulaminem przetwarza dane w europejskich centrach danych.
• ForwardEmail.net (USA) — gdy tylko wiadomość (czy to z formularza, czy dlatego że napisali Państwo bezpośrednio, poza formularzem) dotrze na adres podany w punkcie 1, ta usługa przekierowująca wysyła ją dalej do prywatnej skrzynki właściciela strony u Google.
• Google / Gmail (Google LLC, USA) — prywatna skrzynka właściciela strony, do której wiadomość ostatecznie trafia i gdzie czyta ją Samuel. Dokładnego adresu tej skrzynki celowo nie podajemy w tym dokumencie — to ta sama ochrona, dla której e-mail i telefon na stronie są ukryte za przyciskiem „pokaż": nie chcemy wystawiać jej na sczytywanie przez boty zbierające adresy. Google posiada w tym celu certyfikację w ramach tzw. EU-U.S. Data Privacy Framework — mechanizmu, który Komisja Europejska uznaje za wystarczającą ochronę również dla przekazywania danych do USA. Więcej w punkcie 10.
• Dostawca serwera — strona i formularz działają na jednym serwerze u czeskiego dostawcy hostingu (patrz punkt 9). Dostawca hostingu ma do danych na dysku taki sam dostęp, jak każda firma hostingowa do swoich maszyn, ale sam nic z Państwa danymi nie robi — to tylko miejsce, gdzie działa serwer.

Nie przekazujemy Państwa danych żadnemu narzędziu marketingowemu, reklamowemu ani analitycznemu — strona żadnego takiego nie używa (patrz punkt 8).

5. Gdy nie uda się wysłać e-maila — zapasowy zapis

Normalnie Państwa wiadomość znika z pamięci serwera w chwili, gdy wychodzi jako e-mail. Ale technika czasem zawodzi — brama pocztowa bywa chwilowo niedostępna albo trafiamy na dzienny limit wysyłanych e-maili (dzielony z innymi małymi stronami, które prowadzimy). Na te rzadkie przypadki mamy zabezpieczenie: jeśli e-mail nie może zostać wysłany, cała treść Państwa wiadomości zapisywana jest w dedykowanym zapisie na serwerze (te same pola co w punkcie 2, plus przybliżona wersja Państwa adresu IP — patrz punkt 7), żeby zapytanie nie przepadło tylko dlatego, że zawiodła technika. Gdy e-mail wysyła się normalnie, zapisywana jest tylko linia techniczna bez danych osobowych (jaka strona była audytowana i czy zostawili Państwo e-mail lub telefon — nigdy sama wartość).

Ten zapis:

• widzi wyłącznie administrator serwera (Samuel, jako root na własnej maszynie) — jest czytelny tylko dla niego, nikt inny nie ma do niego dostępu;
• na samym serwerze nadpisuje się sam automatycznie, gdy osiągnie określony rozmiar (szczegóły w punkcie 6);
• od 25.09.2026 jest częścią regularnej nocnej kopii zapasowej poza serwerem — wcześniej tak nie było (pisząc pierwszą wersję tej polityki stwierdziliśmy, że akurat ten zapis nie był kopiowany poza serwer, i w związku z tym poprawiliśmy konfigurację). Kopia zapasowa jest szyfrowana jeszcze na serwerze, zanim go opuści — nawet gdyby trafiła w niepowołane ręce, sam plik jest nieczytelny bez hasła.

W praktyce oznacza to dla Państwa: jeśli e-mail z Państwa zapytaniem nie może zostać wysłany, Państwa zgłoszenie zostaje zapisane na serwerze, a dodatkowo w szyfrowanej kopii zapasowej poza nim — nie tylko w zapisie, który wcześniej czy później sam się nadpisze.

Jeśli tak się stanie, wysyłamy sobie dodatkowo jeden e-mail z ostrzeżeniem, że zapytania akurat się nie wysyłają i gromadzą się w tym zapisie — bez treści Państwa danych, tylko informację, że „coś tam jest".

6. Jak długo przechowujemy dane

7. Dzienniki serwera WWW i adresy IP

Gdy przeglądają Państwo stronę, serwer WWW (nginx), na którym ona działa, zapisuje dla każdego żądania (strona, obraz, czcionka…): Państwa adres IP, czas, jakiej strony zażądano, kod odpowiedzi, jej rozmiar, skąd Państwo przyszli (jeśli przeglądarka to wysyła) oraz identyfikator przeglądarki/urządzenia (tzw. user-agent). To standardowy zapis prowadzony przez niemal każdą stronę w internecie — służy do utrzymania działania strony, naprawiania błędów i wykrywania ataków czy nadużyć.

Ten adres IP nie jest anonimizowany — to pełny zapis techniczny, w odróżnieniu od adresu IP używanego przy formularzu (patrz niżej). Dostęp do niego ma tylko administrator serwera, a kasowany jest tą samą automatyczną rotacją co w punkcie 6.

Przy samym formularzu jest inaczej: adres IP, z którego wysłano zgłoszenie, wykorzystujemy tylko do rozpoznania, gdy ktoś wysyła dziesiątki wiadomości na minutę (ochrona przed nadużyciem/spamem) — w tym celu trzymamy go w pamięci maksymalnie 10 minut i nigdzie go nie zapisujemy. Jeśli Państwa adres IP trafi jednak do e-maila z zapytaniem albo do zapisu zapasowego (punkt 5), jest wcześniej skrócony — przy zwykłym adresie IPv4 usuwamy ostatnią liczbę (np. 89.24.15.0 zamiast dokładnego adresu), przy IPv6 zostają tylko pierwsze trzy grupy cyfr. Taka skrócona forma wystarcza, by rozpoznać „mniej więcej ten sam fragment sieci", ale nie pozwala już zidentyfikować konkretnego urządzenia.

8. Cookies

Strona ustawia dokładnie jedno cookie: emet_lang. Zapamiętuje wybrany przez Państwa język (czeski/angielski/polski) na 1 rok. Ustawiane jest tylko w momencie, gdy sami Państwo wybiorą język (klikając przełącznik języka albo link z ?lang=), nigdy automatycznie przy każdej wizycie.

To cookie nie wymaga zgody — niczego nie śledzi, nigdzie nie jest wysyłane poza tę stronę i służy wyłącznie do tego, o co Państwo sami poprosili (żeby strona następnym razem od razu otworzyła się w Państwa języku). Strona nie ma banera zgody na cookies, ponieważ nie ustawia żadnego innego.

9. Gdzie działa strona i formularz

Strona i formularz działają na jednym serwerze wirtualnym u czeskiego dostawcy hostingu (adres IP serwera jest, zgodnie z publicznym zapisem whois, zarejestrowany na Internet CZ, a.s. — marka Forpsi — z adresem rejestrowym w Ktiši, Czechy). Serwer fizycznie znajduje się więc w Unii Europejskiej. Połączenie między Państwa przeglądarką a serwerem jest zawsze szyfrowane (HTTPS).

10. Przekazywanie danych poza Unię Europejską

Większość przetwarzania odbywa się w Unii Europejskiej — serwer jest w Czechach, a Brevo, narzędzie przekazujące pocztę, to francuska firma z europejskimi centrami danych.

Dwa powiązane kroki wiążą się jednak z rzeczywistym przekazaniem danych poza UE: e-mail z Państwa zapytaniem (podobnie jak wiadomość wysłana bezpośrednio, poza formularzem) najpierw przechodzi przez amerykańską usługę przekierowującą ForwardEmail.net, a na końcu trafia do prywatnej skrzynki właściciela strony u Google — czyli do amerykańskiej firmy Google LLC. Nie chcemy tego ukrywać ani upiększać: zgodnie z RODO formalnie stanowi to przekazanie danych osobowych poza UE. Oba te podmioty mają jednak w miejscu przekazania mechanizm prawny, który Komisja Europejska uznaje za odpowiednią ochronę (w przypadku Google jest to certyfikacja EU-U.S. Data Privacy Framework, którą Google LLC aktualnie posiada; ForwardEmail.net w swoich warunkach przetwarzania danych odwołuje się do tego samego rodzaju zabezpieczeń). Innymi słowy: przekazanie odbywa się zgodnie z zasadami, nie wbrew nim, ale uczciwie jest o tym powiedzieć wprost.

Państwa danych nigdy nie przekazujemy żadnemu innemu podmiotowi komercyjnemu ani reklamowemu poza UE.

11. Czego strona nie robi

Strona jest skonfigurowana tak, że nie może wczytać niczego z obcej domeny — jej polityka bezpieczeństwa treści (CSP) pozwala przeglądarce pobrać skrypt, arkusz stylów, czcionkę czy obraz wyłącznie z emetstudio.eu. To nie jest tylko obietnica w tym tekście — jest to wymuszone technicznie, przez samą przeglądarkę.

• Brak analityki. Od 22.09.2026 strona nie używa żadnego narzędzia analitycznego (wcześniejsza instancja Umami została skompromitowana przez lukę bezpieczeństwa i całkowicie usunięta) — strona nigdzie nie wysyła informacji o tym, jak Państwo ją przeglądają, i nie ustawia żadnego cookie śledzącego.
• Brak profilowania i zautomatyzowanego podejmowania decyzji. Nikt (ani żaden program) nie podejmuje automatycznie decyzji o Państwu ani o tym, co byśmy zaproponowali, na podstawie Państwa danych — każde zapytanie czyta i obsługuje osobiście Samuel.
• Brak reklam. Strona nie wczytuje żadnego skryptu reklamowego ani śledzącego od żadnej trzeciej strony — patrz akapit powyżej.
• Brak sprzedaży danych. Nigdy nie sprzedajemy Państwa danych ani nie przekazujemy ich do celów marketingowych nikomu innemu.

12. Państwa prawa

Zgodnie z RODO mają Państwo prawo do:

• dostępu — zapytać, jakie dane o Państwu przechowujemy;
• sprostowania — poprawienia nieprawidłowych danych;
• usunięcia — poproszenia o usunięcie swoich danych (np. zapytania, którym nie są już Państwo zainteresowani);
• ograniczenia przetwarzania — w uzasadnionych przypadkach czasowego wstrzymania przetwarzania;
• przenoszenia danych — otrzymania swoich danych w formacie nadającym się do odczytu maszynowego;
• sprzeciwu — zwłaszcza wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (typowo dzienniki i ochrona formularza przed nadużyciem, punkty 5 i 7).

Formularz nie jest przetwarzany na podstawie zgody (to obsługa Państwa zapytania jako krok przed ewentualną współpracą, art. 6 ust. 1 lit. b RODO), więc nie ma czego „wycofywać" — wystarczy napisać na kontakt podany w punkcie 1, a zrobimy z Państwa danymi to, o co Państwo poproszą.

13. Skarga do urzędu

Jeśli uważają Państwo, że nie postępujemy właściwie z Państwa danymi, mogą się Państwo zwrócić do czeskiego organu nadzorczego:

Úřad pro ochranu osobních údajů (Urząd Ochrony Danych Osobowych, Czechy)

Pplk. Sochora 27, 170 00 Praha 7, Czechy

e-mail: posta@uoou.cz · telefon: +420 234 665 111

uoou.gov.cz

Jeśli mieszkają Państwo poza Czechami, mogą Państwo zamiast tego zwrócić się do organu nadzorczego we własnym kraju UE — na przykład do polskiego UODO.

14. Zmiany tej polityki i data wejścia w życie

Możemy od czasu do czasu aktualizować tę politykę — na przykład gdy zmieni się strona, formularz albo dostawcy, z których korzystamy. Aktualna wersja zawsze znajduje się na tej stronie.

Niniejsza polityka obowiązuje od 1 października 2026.