Polityka prywatności

1.Administrator i kontakt

1. Administratorem danych osobowych użytkowników serwisu aktywnelato.pl jest SKIONLINE Sp. z o.o., ul. Prosta 109, Kawęczynek, 05-520 Konstancin-Jeziorna, KRS 0000815915, NIP 123-145-56-23 (dalej: my). Ta sama spółka prowadzi serwis skionline.pl, który ma własną politykę prywatności.
2. W sprawach danych osobowych pisz na [email protected] albo listownie na adres siedziby. Spraw danych osobowych nie prowadzimy telefonicznie.
3. Nie wyznaczyliśmy inspektora ochrony danych; nie mamy takiego obowiązku.
4. W części spraw administratorem jest inny podmiot: ubezpieczyciel (pkt 4), organizator wyjazdu albo dostawca usługi (pkt 5), operator płatności, Google i Meta przy pomiarze naszych reklam (pkt 7.2). Wskazujemy to przy każdym celu.

2.Skąd mamy dane

• od ciebie: formularze (kontakt, zakup ubezpieczenia, rezerwacja wyjazdu, „Moja polisa”, newsletter, planer atrakcji), e‑maile i rozmowy telefoniczne o wyjazdach (rozmów nie nagrywamy),
• od osoby, która podała twoje dane jako ubezpieczonego lub uczestnika wyjazdu (ta osoba potwierdza, że ma twoją zgodę),
• od organizatora wyjazdu, gdy potwierdza, zmienia albo odwołuje rezerwację,
• automatycznie: dane techniczne połączenia (pkt 9) i, po twojej zgodzie, dane z plików cookie (polityka cookies),
• ze źródeł publicznych: dane miejsc w katalogu atrakcji (pkt 6) oraz źródła treści redakcyjnych.

3.Po co i na jakiej podstawie przetwarzamy dane

Skróty podstaw z art. 6 ust. 1 RODO: (a) zgoda, (b) umowa lub działania przed jej zawarciem, (c) obowiązek prawny, (f) nasz prawnie uzasadniony interes (podany w nawiasie). Zapis i odczyt informacji w twoim urządzeniu w celach innych niż niezbędne (statystyka, reklama) wymaga dodatkowo zgody z art. 399 Prawa komunikacji elektronicznej.

3.1. Formularz kontaktowy

1. Administratorem danych z formularza kontaktowego jesteśmy my (pkt 1). Podajesz temat (wyjazd, ubezpieczenie, blog i współpraca, inna sprawa), imię, adres e‑mail i treść wiadomości. Wszystkie pola są potrzebne, żeby odpowiedzieć; bez nich wiadomość nie wyjdzie.
2. Dane przetwarzamy, żeby odpowiedzieć na wiadomość i prowadzić dalszą korespondencję: to nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Gdy pytasz o wyjazd albo polisę przed zakupem, podstawą są też działania przed zawarciem umowy (art. 6 ust. 1 lit. b RODO).
3. Wiadomość trafia do zaszyfrowanej kolejki wysyłki w serwisie, a z niej e‑mailem do naszej skrzynki (Google Workspace); odpowiadamy na podany adres e‑mail. Treści nie zapisujemy w logach ani w adresie strony. Wiadomość w kolejce usuwamy 90 dni od wysłania, a kopię w skrzynce przechowujemy do 12 miesięcy od ostatniej wiadomości w sprawie; jeśli sprawa dotyczy rezerwacji albo polisy, korespondencję usuwamy razem z danymi tej umowy (tabela wyżej).
4. Adres IP wysyłającego służy tylko do limitu wysyłek (kilka wiadomości w ciągu kilku minut) i jest liczony w pamięci serwera, bez trwałego zapisu. Formularz chroni też niewidoczny test Cloudflare Turnstile (pkt 7).
5. Masz prawa z pkt 11, w tym prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Nie przetwarzamy numerów PESEL, numerów dokumentów tożsamości, danych o zdrowiu (zgłoszenia szkód prowadzi ubezpieczyciel) ani danych kart płatniczych.

4.Ubezpieczenie: kto jest administratorem

1. Przy sprzedaży ubezpieczenia działamy wyłącznie jako agent ubezpieczyciela: zbieramy dane z kalkulatora i formularza (ubezpieczający i ubezpieczeni), przekazujemy je ubezpieczycielowi, pobieramy składkę w jego imieniu i doręczamy polisę. Administratorem tych danych jest Inter Partner Assistance S.A. Oddział w Polsce, ul. Giełdowa 1, 01-211 Warszawa (Regulamin AXA § 8), a my przetwarzamy je w jego imieniu, na podstawie umowy agencyjnej i zgodnie z jego poleceniami (Broszura RODO ubezpieczyciela: agenci przetwarzają dane „na podstawie umowy z administratorem i wyłącznie zgodnie z poleceniami AXA”). Zasady przetwarzania przez ubezpieczyciela opisuje Broszura RODO, którą dostajesz przed zakupem.
2. Sami jesteśmy administratorem tylko tego, co musimy przechowywać we własnym imieniu: rozliczeń składek i prowizji oraz płatności przez nasz rachunek P24, dowodów wykonania naszych obowiązków informacyjnych i określenia potrzeb (twoich odpowiedzi z kalkulatora, które przed płatnością wysyłamy w e‑mailu z dokumentami), reklamacji i korespondencji skierowanych do nas oraz danych potrzebnych do obrony przed roszczeniami. Okresy: tabela w pkt 3.
3. Podając dane innych osób, potwierdzasz, że masz ich zgodę na przekazanie danych ubezpieczycielowi i przekażesz im informacje z Broszury RODO.

5.Wyjazdy: organizator jako administrator

1. Dane uczestników i osoby rezerwującej przekazujemy organizatorowi wybranej imprezy albo dostawcy usługi pojedynczej, wskazanemu w ścieżce rezerwacji przed potwierdzeniem, przez system rezerwacyjny, z którego korzystają organizatorzy. Organizator albo dostawca jest administratorem tych danych w zakresie zawarcia i wykonania umowy; informacje o jego przetwarzaniu znajdziesz w jego warunkach i w zgodach organizatora w ścieżce rezerwacji.
2. Już w trakcie rezerwacji, gdy zaznaczasz albo zmieniasz usługi dodatkowe, przekazujemy organizatorowi przez system rezerwacyjny dane uczestników (imiona, nazwiska, daty urodzenia, płeć) i wybrane usługi, żeby sprawdzić u niego cenę i dostępność, zanim przejdziesz dalej. Podstawą jest umowa, a dokładniej działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO). Na tym etapie nie przekazujemy danych kontaktowych osoby rezerwującej.
3. My jesteśmy administratorem w zakresie czynności agenta turystycznego: obsługi rezerwacji, zapisu potwierdzenia danych organizatora, płatności i zwrotów, „mojej rezerwacji”, odstąpienia i zmian, reklamacji i rozliczeń.

6.Dane miejsc w katalogu atrakcji

1. Przy kierunkach i hotelach pokazujemy atrakcje w okolicy: nazwę, kategorię, opis, położenie na mapie, odległość od hotelu, stronę internetową i ocenę. Dane pochodzą z ogólnodostępnych źródeł w internecie, w tym ze stron internetowych tych miejsc, i odświeżamy je okresowo.
2. Jeśli atrakcję prowadzi osoba w ramach działalności jednoosobowej, te dane mogą być jej danymi osobowymi. Przetwarzamy je na podstawie prawnie uzasadnionego interesu: informowania podróżnych o atrakcjach w okolicy. Nie łączymy ich z innymi danymi i nie profilujemy. Nie informujemy każdej osoby z osobna, bo przy liczbie wpisów wymagałoby to niewspółmiernego wysiłku; zamiast tego publikujemy tę informację.
3. Możesz zgłosić sprzeciw, poprawkę lub prośbę o usunięcie wpisu na [email protected], podając nazwę i adres miejsca. Usuwamy albo poprawiamy wpis w ciągu 14 dni i blokujemy jego ponowne pobranie; w tym celu zachowujemy tylko nazwę i adres miejsca.

7.Odbiorcy danych

7.1. Podmioty przetwarzające na nasze zlecenie

7.2. Odrębni administratorzy

• Inter Partner Assistance S.A. Oddział w Polsce (ubezpieczenie, pkt 4),
• organizator wyjazdu albo dostawca usługi (pkt 5),
• PayPro S.A., ul. Pastelowa 8, 60-198 Poznań (płatności Przelewy24, według swojej polityki prywatności),
• Google Ireland Limited przy pomiarze konwersji i remarketingu Google Ads (warunki „Google Ads Controller-Controller Data Protection Terms”); jak Google wykorzystuje dane z witryn partnerów,
• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlandia, przy Pikselu Meta: za zebranie danych na naszej stronie i ich przesłanie Meta odpowiadamy wspólnie z Meta (art. 26 RODO, wyrok TSUE C-40/17 Fashion ID; „Załącznik dotyczący administratora” Meta); istotę tych uzgodnień udostępniamy na życzenie (art. 26 ust. 2 RODO), a wnioski możesz kierować do nas albo do Meta; za dalsze przetwarzanie odpowiada sama Meta według zasad dotyczących danych Meta,
• Cloudflare, Inc. w zakresie, w jakim wykorzystuje sygnały z testu Turnstile do ulepszania wykrywania botów,
• dostawcy map i treści osadzonych: lista, moment wczytania i przekazywane dane w polityce cookies, pkt 6,
• organy publiczne, gdy przepis tego wymaga.

8.Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Serwis, baza i kopie zapasowe są w Polsce (OVH), poczta e‑mail w Google Workspace; co do zasady przetwarzamy dane w EOG. Poza EOG mogą trafić:
   • dane techniczne (adres IP, identyfikatory z plików cookie, odwiedzane strony i zdarzenia) do Google LLC przy statystyce odwiedzin i pomiarze reklam Google Ads, do Meta Platforms, Inc. przy Pikselu Meta oraz do Cloudflare, Inc. przy dostarczaniu treści i teście Turnstile: na podstawie decyzji Komisji Europejskiej (UE) 2023/1795 o odpowiednim stopniu ochrony (EU-US Data Privacy Framework), do którego te firmy przystąpiły,
   • korespondencja e‑mail w Google Workspace do Google LLC: na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) i standardowych klauzul umownych,
   • dane ubezpieczenia w grupie AXA: wiążące reguły korporacyjne opisane w Broszurze RODO ubezpieczyciela.
2. Odtwarzacze filmów w artykułach wczytywane po twoim kliknięciu łączą twoją przeglądarkę bezpośrednio z dostawcą (polityka cookies, pkt 6).
3. Kopię zabezpieczeń możesz uzyskać, pisząc na [email protected].

9.Dane techniczne, logi i lokalizacja

1. Serwer zapisuje adres IP, adres żądanej strony z parametrami, przeglądarkę, czas i stronę odsyłającą. Logi służą do wykrywania nadużyć i usuwania błędów; przechowujemy je 14 dni. W logu dostępu parametr obszar= i wszystko po nim (w adresie i w stronie odsyłającej) zastępujemy znakiem ~, a w adresach z kluczem dostępu („moja rezerwacja”, wznowienie rezerwacji, status zamówienia polisy, pobranie polisy) zastępujemy nim klucz. Log błędów maskujemy tak samo przy codziennej rotacji, więc log błędów z bieżącego dnia może przez najwyżej dobę zawierać te dane bez maskowania.
2. Pozostałe parametry adresu zostają w logu na te 14 dni. Dotyczy to też zapytania w wyszukiwarce serwisu, filtrów list wyjazdów (np. liczba dorosłych i wiek dzieci) i odpowiedzi z planera atrakcji.
3. Przycisk lokalizacji na mapie korzysta z lokalizacji przeglądarki tylko po twoim kliknięciu i po zgodzie w przeglądarce. Położenie służy tylko do pokazania punktu na mapie w twojej przeglądarce: nie wysyłamy go na serwer i nie zapisujemy. Wyszukiwanie w obszarze mapy przekazuje w adresie strony granice widocznego obszaru (parametr obszar=), które przy małym obszarze wskazują miejsce; ten parametr maskujemy w logach jak w ust. 1.
4. Mapa pobiera kafelki z serwera OpenFreeMap: dostawca otrzymuje adres IP i współrzędne oglądanego obszaru (polityka cookies, pkt 6). Przycisk „Sprawdź dojazd” to zwykły link, który otwiera trasę w Mapach Google w nowej karcie; przed kliknięciem nic się nie wczytuje.
5. Limity wysyłek i zapytań liczymy w pamięci serwera, bez trwałego zapisu.

10.Bezpieczeństwo

Dane ubezpieczających, ubezpieczonych, uczestników wyjazdów i treść wiadomości przechowujemy zaszyfrowane, z okresową wymianą kluczy. Dostęp do danych klientów mają tylko upoważnione osoby po zalogowaniu. Połączenia z serwisem są szyfrowane (HTTPS). Linki do polisy i rezerwacji zawierają unikalny klucz i wygasają.

11.Twoje prawa

1. Masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (gdy podstawą jest umowa lub zgoda) i cofnięcia zgody w każdej chwili bez wpływu na wcześniejsze przetwarzanie. Zgodę na pliki cookie wycofasz linkiem „Ustawienia zgód” w stopce strony albo w polityce cookies.
2. Masz prawo w każdej chwili wnieść sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, w tym wobec wpisu w katalogu atrakcji. Po sprzeciwie przestajemy przetwarzać dane, chyba że wykażemy ważne, nadrzędne podstawy.
3. Wniosek wyślij na [email protected]. Odpowiadamy w ciągu miesiąca; przy złożonych sprawach możemy wydłużyć termin o kolejne dwa miesiące, o czym poinformujemy. Możemy poprosić o potwierdzenie tożsamości, np. przez odpowiedź z adresu e‑mail użytego przy zakupie.
4. Wnioski dotyczące danych wniosku ubezpieczeniowego, polisy lub szkody przekazujemy ubezpieczycielowi, a dotyczące wykonania imprezy organizatorowi, i informujemy cię o tym.
5. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
6. Podanie danych jest dobrowolne, ale bez danych oznaczonych jako wymagane nie zawrzemy umowy ani nie odpowiemy na wiadomość.

12.Profilowanie, decyzje automatyczne, marketing, statystyka i reklamy

1. Sami nie profilujemy użytkowników i nie podejmujemy wobec nich decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywołują wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływają (art. 22 RODO). Składkę wylicza kalkulator według taryfy ubezpieczyciela; przetwarzanie po stronie ubezpieczyciela opisuje jego Broszura RODO.
2. Newsletter wysyłamy tylko za zgodą (pkt 3). System wysyłkowy zapisuje, które wiadomości otworzyłeś i które linki kliknąłeś; używamy tego wyłącznie do mierzenia skuteczności newslettera, nie do personalizacji treści ani ofert. System wysyłkowy nie pozwala wyłączyć tego pomiaru dla jednej osoby, dlatego sprzeciw wobec niego (pkt 11) oznacza wypisanie z newslettera. Innego marketingu bezpośredniego nie prowadzimy.
3. Do statystyki odwiedzin używamy Google Analytics 4 wczytywanego przez Google Tag Manager (kontener aktywnelato.pl). Pliki cookie Google Analytics zapisują się dopiero po twojej zgodzie na statystykę w banerze zgód. Bez zgody Google dostaje tylko pomiary bez plików cookie i bez identyfikatora przeglądarki (tryb zgody Google, Consent Mode), z których szacuje ruch. Adresy stron z kluczami dostępu są usuwane, a dane osobowe z formularzy nie są wysyłane. Nie łączymy tych statystyk z danymi klientów. Szczegóły: polityka cookies, pkt 4.
4. W serwisie nie wyświetlamy reklam Google AdSense ani innych sieci reklamowych.
5. Po twojej zgodzie na reklamy mierzymy skuteczność naszych reklam w Google Ads i w Meta (Facebook, Instagram) i budujemy grupy odbiorców reklam (remarketing) w Google Ads i Meta: tagi konwersji i remarketingu Google Ads i Piksel Meta z kontenera Google Tag Manager zapisują identyfikatory w plikach cookie i przekazują zdarzenia (odsłony stron, wejście z reklamy, wyszukiwanie wyjazdów, wyświetlenie karty hotelu, rozpoczęcie zakupu, zakup polisy, rezerwacja). Meta może przypisać cię do grupy odbiorców naszych reklam na Facebooku i Instagramie i mierzyć, czy po kliknięciu reklamy przeglądałeś oferty, wyszukiwałeś wyjazdy, zacząłeś zakup, kupiłeś polisę albo zarezerwowałeś wyjazd; może też powiązać te dane z kontem na Facebooku lub Instagramie i wykorzystać je do własnych celów jako odrębny administrator. Bez zgody na reklamy tagi Google Ads nie zapisują plików cookie, a Piksel Meta się nie wczytuje. Zgodę wycofasz w „Ustawieniach zgód” (polityka cookies, pkt 7); reklamy dobierane na podstawie twojej aktywności wyłączysz też w ustawieniach konta Google (adssettings.google.com) i konta na Facebooku (instrukcja w Centrum pomocy Facebooka). Szczegóły: polityka cookies, pkt 4.

13.Wiek

Zakup ubezpieczenia i rezerwacja wymagają 18 lat. Dane dzieci jako ubezpieczonych lub uczestników wyjazdu podaje ubezpieczający albo osoba rezerwująca.

14.Zmiany polityki

Politykę zmieniamy, gdy zmieniają się przepisy, zakres usług lub dostawcy. Nowa wersja ma datę w nagłówku; poprzednie wersje udostępniamy na prośbę. O zmianach istotnych dla osób, z którymi mamy umowę, informujemy e‑mailem.