Zmiany w polityce prywatności — co oznaczają dla użytkowników?

Co oznaczają zmiany w polityce prywatności?

Zgodnie z artykułem 13 RODO, polityka prywatności powinna jasno wskazywać:

• cele przetwarzania danych,
• rodzaje gromadzonych informacji,
• odbiorców,
• okresy ich przechowywania.

Wprowadzone zmiany aktualizują te elementy w świetle RODO i nowych regulacji, takich jak AI Act. Aktualizacja obejmuje opis zastosowań danych osobowych — w jakim celu są zbierane i jak będą wykorzystywane. Wyodrębniono też kategorie danych, takie jak:

• dane kontaktowe,
• informacje transakcyjne,
• zachowania użytkowników.

Osobny punkt poświęcono podmiotom, którym dane są udostępniane, oraz firmom przetwarzającym informacje w naszym imieniu. Polityka opisuje podstawy prawne przetwarzania, w tym:

• zgodę,
• wykonanie umowy,
• obowiązki wynikające z prawa,
• prawnie uzasadniony interes.

Zawarto też informacje o mechanizmach profilowania i algorytmicznym podejmowaniu decyzji, w tym elementach objętych AI Act. Przeźroczyste zasady przekazywania danych poza granice UE obejmują m.in. Standardowe Klauzule Umowne i decyzje o adekwatności. Uwzględniono reguły dotyczące cookies, personalizacji treści oraz reklamy spersonalizowanej. Opisano środki bezpieczeństwa — od szyfrowania po audyty i zarządzanie ryzykiem — które stosujemy, aby chronić dane.

W zaktualizowanej polityce wyjaśniono prawa użytkowników, w tym:

• prawo dostępu,
• prawo sprostowania,
• prawo usunięcia (prawo do bycia zapomnianym),
• prawo przenoszenia danych,
• prawo sprzeciwu,
• prawo ograniczenia przetwarzania.

Procedury wykonywania tych praw zawierają dane kontaktowe inspektora ochrony danych oraz terminy odpowiedzi, zwykle do jednego miesiąca zgodnie z RODO. Zmiany w polityce wprowadzają też zaktualizowane opcje i ustawienia prywatności dostępne dla użytkowników, aby łatwiej zarządzać zgodami i preferencjami. Celem tych modyfikacji jest zwiększenie przejrzystości przetwarzania danych oraz budowanie zaufania klientów przez jasne obowiązki informacyjne i opis stosowanych zabezpieczeń.

Kiedy zmiany w polityce prywatności wchodzą w życie?

Nowe zasady zaczną obowiązywać od 29 września 2025 roku. Od tej chwili będą miały zastosowanie zaktualizowane postanowienia dotyczące przetwarzania danych. Działania wykonywane przed tą datą pozostają uregulowane poprzednią wersją polityki. Użytkownicy z Unii Europejskiej otrzymali informacje o zmianach — przez e‑maile lub powiadomienia w serwisie.

Administrator dodatkowo udostępnia archiwum wcześniejszych wersji polityki, aby zachować przejrzystość i umożliwić porównanie zapisów. Szczególna uwaga dotyczy:

• nowych mechanizmów profilowania,
• przekazywania danych do nowych podmiotów,
• zmian w mechanizmach zgody rodzicielskiej.

Jeśli takie modyfikacje mają wpływ na prawa użytkownika, wymagają one wyraźnej, osobnej zgody przed ich wprowadzeniem. Funkcje zależne od nowej zgody zostaną wyłączone, jeżeli użytkownik jej nie udzieli. Aby skorzystać z dostępnych po aktualizacji opcji, sprawdź ustawienia prywatności i komunikaty o aktualizacji polityki. W razie wątpliwości możesz skontaktować się z Administratorem lub inspektorem ochrony danych, którzy wyjaśnią skutki tych zmian.

Jak zmiany w polityce prywatności wpływają na prawa użytkowników?

Aktualizacja polityki zmienia sposób, w jaki użytkownicy realizują swoje prawa — wprowadza nowe procedury, terminy i narzędzia do zarządzania zgodami oraz przetwarzaniem danych. Zgodnie z RODO odpowiedź na żądanie powinna nastąpić w ciągu miesiąca, a w skomplikowanych sprawach termin może być przedłużony o kolejne dwa miesiące (Art. 12(3)).

Dokument precyzuje dostępne formy kontaktu, na przykład:

• odpowiedź elektroniczną,
• formularz online,
• wskazania sytuacji, gdy żądanie może zostać uznane za bezzasadne albo obciążone opłatą (Art. 12(5)).

Zmiany dotyczą także zasad dostępu do danych i weryfikacji tożsamości. Jako dowody tożsamości akceptowane są na przykład:

• skan dokumentu,
• dwuetapowa weryfikacja (2FA),
• potwierdzenie przez e‑mail.

Takie środki mają ograniczyć ryzyko nadużyć, choć jednocześnie mogą wydłużyć czas weryfikacji. Polityka opisuje procedury sprostowania informacji oraz warunki usunięcia danych, uwzględniając wyjątki wynikające z:

• obowiązków prawnych,
• potrzeb archiwizacyjnych w interesie publicznym,
• konieczności zapobiegania nadużyciom (Art. 16–17).

W kontekście przenoszenia danych określono formaty ustrukturyzowane, takie jak:

• CSV,
• JSON.

Określono również zakres danych objętych prawem przenoszenia oraz techniczne ograniczenia przy przekazywaniu ich innemu administratorowi (Art. 20). Użytkownicy mogą też sprzeciwić się profilowaniu i przetwarzaniu danych w celach marketingowych — polityka wprowadza mechanizmy opt‑out oraz narzędzia do zarządzania plikami cookies.

Zdefiniowano także wiek, od którego wymagana jest zgoda rodziców na przetwarzanie danych dzieci, wraz z procedurami jej potwierdzania. Nowe ustawienia prywatności pozwalają szybko zarządzać zgodami i personalizacją treści, a wycofanie zgody nie wpływa na legalność działających wcześniej operacji przetwarzania.

W dokumencie podano kontakt do inspektora ochrony danych oraz opisano procedurę wniesienia skargi do organu nadzorczego (Art. 77). Wytyczne EDPB i krajowych organów nadzorczych wyznaczają oczekiwane standardy wykonywania praw. Jeśli polityka przewiduje przekazywanie danych partnerom reklamowym, użytkownik otrzymuje informację o tym fakcie, dostęp do ustawień cookies oraz możliwość sprzeciwu albo usunięcia danych związanych z reklamami spersonalizowanymi.

Ogólnie rzecz biorąc zmiany zwiększają transparentność i kontrolę użytkownika, określając konkretne wymagania proceduralne i techniczne wpływające na tempo i sposób realizacji praw.

Kto może otrzymać twoje dane?

Dane osobowe mogą trafić do różnych podmiotów — poniżej przedstawiamy najważniejsze kategorie odbiorców:

• Podmioty przetwarzające: dostawcy usług IT, operatorzy CRM oraz firmy obsługujące płatności; przekazywanie odbywa się na podstawie umów powierzenia zgodnych z art. 28 RODO,
• Partnerzy biznesowi: operatorzy programów lojalnościowych, firmy logistyczne i centra obsługi klienta; dane przekazujemy, aby zrealizować umowę i utrzymać relacje z klientem,
• Dostawcy usług marketingowych i reklamowych: platformy mailingowe oraz sieci reklamowe; ich zadaniem jest personalizacja komunikacji oraz analiza skuteczności kampanii,
• Platformy analityczne i narzędzia śledzące: używane do analizy ruchu na stronie i raportowania KPI; służą celom statystycznym i optymalizacji usług,
• Dostawcy usług chmurowych i hostingu: w tym centra danych i usługi backupu; otrzymują dane przy zastosowaniu odpowiednich zabezpieczeń technicznych i umownych,
• Agencje reklamowe i partnerzy publikujący treści sponsorowane: przekazujemy im wyłącznie informacje potrzebne do realizacji kampanii,
• Organy publiczne i instytucje państwowe: takie jak organy ścigania czy urzędy skarbowe; otrzymują dane tylko wtedy, gdy obowiązek wynika z przepisów prawa.

W przypadku podmiotów spoza EOG stosujemy dodatkowe zabezpieczenia — na przykład standardowe klauzule umowne lub opieramy się na decyzji o adekwatności. Podstawy prawne przekazywania obejmują wykonanie umowy, zgodę, obowiązki prawne oraz prawnie uzasadniony interes. Cele przetwarzania to między innymi:

• obsługa zamówień,
• utrzymanie relacji z klientem,
• działania marketingowe,
• analiza danych,
• zapewnienie bezpieczeństwa,
• wypełnianie obowiązków prawnych.

Aby chronić dane, stosujemy umowy o powierzeniu przetwarzania, standardowe klauzule, oceny DPIA oraz środki techniczne jak szyfrowanie, kontrola dostępu i regularne audyty. W przypadku transferów transgranicznych przeprowadzamy dodatkowe oceny ryzyka i wdrażamy odpowiednie środki ochronne. W obszarze regulacji finansowych identyfikujemy beneficjentów poprzez weryfikację tożsamości i ujawnienie danych beneficjentów rzeczywistych, gdy wymaga tego prawo AML/KYC; dokumentacja wyjaśnia, jakie dane są przekazywane i na jakiej podstawie prawnej. Okres przechowywania zależy od celu i wymogów prawnych — na przykład dokumenty księgowe przechowujemy przez 5 lat, a dane marketingowe tak długo, jak konto jest aktywne lub do wycofania zgody. Użytkownicy mają prawo do informacji o odbiorcach, dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz prawo do sprzeciwu wobec przetwarzania w celach marketingowych. Procedury realizacji tych praw zostały opisane, a kontakt do inspektora ochrony danych jest dostępny dla osób, które chcą skorzystać ze swoich uprawnień.

Jak zgłosić żądanie dostępu do danych?

Administrator powinien odpowiedzieć na żądanie dostępu do danych w ciągu miesiąca. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące (art. 12 RODO).

Żądanie zgłosić można przez:

• formularz online,
• e‑mail do punktu kontaktowego Administratora lub Inspektora Ochrony Danych,
• list polecony — dane kontaktowe znajdziesz w dokumentacji RODO i w polityce prywatności.

W zgłoszeniu podaj swoje dane identyfikacyjne: imię i nazwisko, adres e‑mail oraz numer telefonu. Określ jasno, czego oczekujesz — np. „dostęp do danych” albo „przenoszenie danych” — oraz wskaż zakres czasowy przetwarzania (np. od 01.01.2023 do 31.12.2024). Gdy żądasz przeniesienia danych, zaznacz preferowany format wymiany, np. CSV lub JSON.

Aby potwierdzić tożsamość, dołącz skan dokumentu tożsamości (dowód osobisty, paszport) lub skorzystaj z dwuetapowej weryfikacji (2FA) bądź potwierdzenia e‑mail. Jeżeli działasz w imieniu innej osoby, dołącz pełnomocnictwo oraz dokument tożsamości pełnomocnika.

Po złożeniu wniosku otrzymasz informacje o:

• kategoriach przetwarzanych danych,
• celach ich użycia,
• odbiorcach,
• okresie przechowywania,
• źródłach pochodzenia.

W przypadku przenoszenia, dane zostaną przekazane w ustrukturyzowanym formacie nadającym się do odczytu maszynowego (np. CSV lub JSON). Powtarzające się lub ewidentnie bezpodstawne żądania mogą być obciążone opłatą lub odrzucone (art. 12 ust. 5 RODO).

Jeśli Administrator odmówi, otrzymasz uzasadnienie i informację o możliwościach odwołania. Gdy odpowiedź będzie niewystarczająca lub odmowa zostanie podtrzymana, możesz złożyć skargę do organu nadzorczego (np. UODO) oraz skorzystać z procedur odwoławczych opisanych w polityce prywatności.

Przykładowy tekst zgłoszenia: „Proszę o udostępnienie kopii wszystkich moich danych osobowych przetwarzanych przez Administratora w okresie od [DD.MM.RRRR] do [DD.MM.RRRR]. Proszę o przekazanie danych w formacie JSON. Kontakt: [adres e‑mail]. Załącznik: skan dowodu tożsamości.” Stosowanie powyższych wskazówek usprawni realizację prawa dostępu i przyspieszy procedurę zgodnie z RODO.

Kto informuje o zmianach polityki prywatności?

Administrator danych ma obowiązek informować o zmianach w polityce prywatności. Komunikat powinien zawierać trzy kluczowe elementy:

• krótki opis najważniejszych modyfikacji,
• datę ich wejścia w życie,
• wskazówki co do zgody lub kroków, które użytkownik powinien podjąć.

Za przygotowanie informacji odpowiada zespół administratora — w tym działy prawne, IT i komunikacji — a wsparcia udziela Inspektor Ochrony Danych, pełniący rolę punktu kontaktowego. Administrator powiadamia również partnerów i podmioty przetwarzające dane, jednocześnie dokumentując cały proces zgodnie z RODO i w raportach z audytów.

Typowe kanały komunikacji to:

• e‑maile z linkiem do zaktualizowanej polityki,
• powiadomienia w serwisie (np. baner, modal czy panel użytkownika),
• pushy,
• newslettery,
• wiadomości w ustawieniach konta,
• informacje w stopce strony lub w archiwum dokumentów.

Dla użytkowników z UE warto opracować osobne komunikaty, które jasno wyjaśnią konsekwencje zmian dla ich praw. Administrator prowadzi też archiwum poprzednich wersji polityki, co zwiększa przejrzystość i umożliwia porównanie zapisów. Jeśli zmiany dotyczą uprawnień lub podstaw prawnych przetwarzania danych, musi być dostępny mechanizm do wyrażenia lub wycofania zgody. Wszystkie podjęte działania i wyniki audytów są na bieżąco dokumentowane.

Jak organy ochrony danych kontrolują zgodność z RODO?

Organy nadzorcze mogą przeprowadzać inspekcje zarówno na miejscu, jak i zdalnie, zgodnie z art. 58 RODO. W trakcie kontroli żądają różnych dokumentów — na przykład:

• rejestrów czynności przetwarzania,
• ocen skutków dla ochrony danych (DPIA),
• dokumentacji wdrożonych środków technicznych i organizacyjnych.

Ponadto, przyczyny takich działań są różne: skargi, zgłoszenia naruszeń, losowe audyty lub tematyczne kampanie sektorowe mogą być impulsem do wszczęcia kontroli. Inspektor ochrony danych współdziała z organem nadzorczym, udostępniając:

• protokoły,
• logi,
• dokumenty dotyczące zastosowania szyfrowania end-to-end,
• raporty z testów penetracyjnych.

Metody badawcze obejmują przegląd polityk i procedur, analizę konfiguracji systemów, weryfikację uprawnień dostępu, kontrolę kopii zapasowych oraz sprawdzenie dokumentacji zarządzania ryzykiem. Organy często zlecają też ekspertyzy techniczne dotyczące bezpieczeństwa oraz oceny mechanizmów nadzoru nad przetwarzaniem.

Gdy chodzi o profilowanie, kontrolerzy analizują:

• algorytmy i opisy modeli uczenia maszynowego,
• dokumentację walidacyjną,
• stosowane środki ograniczające ryzyko i zapewniające wyjaśnialność decyzji automatycznych.

W przypadku systemów uznanych za wysokiego ryzyka wymagane są dodatkowe dowody zgodności z AI Act — na przykład rejestry testów i procedury nadzorcze. Jeżeli stwierdzone zostaną nieprawidłowości, organ może wydać decyzję administracyjną, taką jak:

• pouczenie,
• upomnienie,
• nakaz doprowadzenia do zgodności,
• czasowe zawieszenie operacji przetwarzania,
• zakaz przekazywania danych.

Może też zobowiązać administratora do powiadomienia osób, których dane dotyczą. Sankcje finansowe, przewidziane w art. 83 RODO, sięgają nawet 20 000 000 euro lub 4% globalnego rocznego obrotu za najpoważniejsze naruszenia, a do 10 000 000 euro lub 2% obrotu za inne przewinienia. Decyzje i raporty z kontroli są zwykle publikowane, co ma wpływ na reputację podmiotu.

W sprawach transferów międzynarodowych organy sprawdzają:

• umowy transferowe,
• Standardowe Klauzule Umowne,
• oceny ryzyka związane z miejscem przetwarzania.

Przy działaniach transgranicznych stosowana jest procedura „one-stop-shop” oraz współpraca z Europejską Radą Ochrony Danych i innymi krajowymi organami. Po zakończeniu kontroli organ monitoruje wdrożenie zaleceń i może wyznaczyć następne kontrole w określonym terminie. Dokumentacja z przebiegu kontroli oraz wydane decyzje administracyjne stanowią z kolei dowód w ewentualnych postępowaniach odwoławczych.

Gdzie znaleźć poprzednie wersje polityki prywatności?

Na stronie serwisu znajdziesz sekcję „Archiwum wersji” w Polityce prywatności, gdzie można przeglądać i pobierać wcześniejsze wydania dokumentu w formatach HTML lub PDF. Archiwum jest dostępne w kilku miejscach:

• przez link w stopce,
• poprzez sekcję „Historia zmian” w treści polityki (z odnośnikami do poszczególnych wersji),
• w panelu użytkownika lub ustawieniach konta (wymaga logowania),
• w centrum pomocy/FAQ lub na osobnej stronie dokumentacji prawnej.

Czasem archiwalne wersje dołączane są do e-maili informujących o aktualizacjach (z linkiem do konkretnej wersji), a w przypadku wersji technicznych lub dla deweloperów można je znaleźć w repozytorium publicznym (np. GitHub). Każdy wpis w archiwum zawiera kluczowe informacje:

• daty publikacji i obowiązywania,
• krótkie streszczenie istotnych zmian,
• porównanie z poprzednią wersją (changelog/diff).

Znajdziesz tam także szczegóły dotyczące:

• plików cookies,
• reklam spersonalizowanych,
• treści sponsorowanych i przekazywania danych,
• informacji o okresie przechowywania danych związanych z daną wersją,
• danych kontaktowych Inspektora Ochrony Danych i procedur RODO związanych z dochodzeniem praw.

Jeżeli nie możesz odnaleźć konkretnej wersji, skontaktuj się z Administratorem lub Inspektorem Ochrony Danych i podaj datę wydania, której potrzebujesz. Możesz zażądać kopii do pobrania (PDF/HTML) — w praktyce administratorzy udostępniają archiwalia na żądanie w celach audytowych i dla potrzeb dochodzenia praw. Archiwum przechowuje się co najmniej 5 lat, co wspiera przejrzystość przekazywania danych i umożliwia udokumentowanie wcześniejszych zapisów wymaganych przez RODO.