Polityka prywatności

Zależy nam, żeby było jasne, co robimy z Twoimi danymi i z danymi Twojego dziecka. Ten dokument tłumaczy to prostym językiem. Jest zgodny z RODO, czyli Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

1. Kto jest administratorem danych

Administratorem Twoich danych osobowych jest:

• IRENA JARZĄBEK-PALKA SOPHIA
• ul. Podtatrzańska 25, 34-400 Nowy Targ
• NIP: 7351243039
• REGON: 389986956
• jednoosobowa działalność gospodarcza wpisana do CEIDG, prowadzona od 1 października 2021 r.

Prowadzimy szkółkę pływania pod marką AquaJoy i stronę internetową aquajoy.pl. Zajęcia odbywają się w Nowym Targu (Hotel Ibis Styles, ul. Kolejowa 165) oraz w Bukowinie Tatrzańskiej (ul. Kościuszki 11).

Kontakt w sprawach danych osobowych:

• e‑mail: kontakt@aquajoy.pl
• adres pocztowy: jak wyżej
• telefon: +48 799 267 147

Nie wyznaczyliśmy Inspektora Ochrony Danych. We wszystkich sprawach dotyczących danych osobowych pisz na kontakt@aquajoy.pl lub dzwoń pod numer +48 799 267 147.

2. Skąd mamy Twoje dane

Dane otrzymujemy przede wszystkim od Ciebie:

• z formularza zapisu na zajęcia na stronie aquajoy.pl,
• z zamówienia złożonego w sklepie internetowym,
• z formularza kontaktowego,
• z korespondencji e‑mail, SMS i rozmów telefonicznych,
• z pisemnego Oświadczenia Rodzica lub Opiekuna Prawnego,
• z zapisu dokonanego osobiście przed zajęciami.

Dane dziecka podaje jego rodzic lub opiekun prawny.

Część danych technicznych zbieramy automatycznie, gdy odwiedzasz naszą stronę. Opisujemy to w rozdziale o plikach cookies.

3. Jakie dane przetwarzamy

Dane rodzica lub opiekuna

• imię i nazwisko,
• adres e‑mail,
• numer telefonu,
• adres do wysyłki lub numer paczkomatu, jeżeli zamawiasz voucher fizyczny z dostawą,
• dane do faktury, w tym NIP i adres, jeżeli chcesz fakturę,
• historia zamówień i płatności,
• treść korespondencji z nami.

Dane dziecka (Uczestnika)

• imię i nazwisko,
• wiek lub data urodzenia,
• poziom umiejętności pływackich,
• informacje o stanie zdrowia, w zakresie potrzebnym do bezpiecznego prowadzenia zajęć: choroby przewlekłe, padaczka, astma, cukrzyca, choroby serca, alergie, przyjmowane leki, wady wrodzone i wady postawy, przebyte urazy, zaburzenia rozwojowe, lęk przed wodą i inne okoliczności zgłoszone przez opiekuna,
• informacje o frekwencji i postępach w nauce,
• wizerunek, ale wyłącznie jeżeli wyrazisz na to osobną zgodę.

Dane osób upoważnionych do odbioru dziecka

• imię i nazwisko, numer telefonu, ewentualnie numer i seria dokumentu tożsamości, jeżeli wskażesz je w upoważnieniu.

Dane techniczne

• adres IP, typ przeglądarki i urządzenia, data i godzina wizyty, odwiedzone podstrony i działania na stronie (na przykład kliknięcie w numer telefonu), źródło wizyty (na przykład wyszukiwarka, inna strona albo reklama), identyfikatory z plików cookies, Twoja decyzja w banerze cookies.

4. Dane o zdrowiu dziecka: szczególna kategoria danych

To najważniejszy fragment tej polityki, dlatego opisujemy go osobno.

Informacje o zdrowiu dziecka to dane szczególnej kategorii w rozumieniu art. 9 RODO. Podlegają silniejszej ochronie niż zwykłe dane.

Podstawa prawna: art. 9 ust. 2 lit. a RODO, czyli Twoja wyraźna zgoda wyrażona przy zapisie i w Oświadczeniu Rodzica.

Po co je zbieramy: wyłącznie po to, żeby instruktor wiedział, jak bezpiecznie prowadzić zajęcia z Twoim dzieckiem, jak reagować w razie problemu i czego unikać. Nie używamy tych danych do niczego innego. Nie profilujemy i nie wykorzystujemy ich do marketingu. Nie trafiają też do żadnych narzędzi statystycznych ani reklamowych (Google Analytics, Meta).

Kto ma do nich dostęp: wyłącznie właściciel firmy oraz instruktor prowadzący zajęcia z Twoim dzieckiem, i tylko w zakresie niezbędnym do bezpiecznego przeprowadzenia zajęć. Nie udostępniamy tych informacji innym rodzicom, innym uczestnikom ani nikomu spoza tego kręgu, poza sytuacjami opisanymi niżej.

Jeżeli dojdzie do wypadku: możemy przekazać informacje o zdrowiu dziecka ratownikowi, zespołowi ratownictwa medycznego lub lekarzowi. Podstawą jest wtedy art. 9 ust. 2 lit. c RODO, czyli ochrona żywotnych interesów osoby, której dane dotyczą.

Możesz cofnąć zgodę w każdej chwili. Musisz jednak wiedzieć, że bez informacji o zdrowiu dziecka nie możemy zapewnić mu bezpieczeństwa na zajęciach. Cofnięcie zgody na przetwarzanie danych o zdrowiu w praktyce uniemożliwia dalszy udział dziecka w zajęciach.

5. Cele i podstawy prawne przetwarzania

Po ludzku: większość danych przetwarzamy, bo bez nich nie da się zapisać dziecka i prowadzić zajęć. Dane o zdrowiu przetwarzamy tylko dzięki Twojej zgodzie. Faktury musimy trzymać 5 lat, bo tak każe prawo podatkowe. Cookies statystyczne i reklamowe zapisujemy tylko wtedy, gdy zgodzisz się na nie w banerze cookies.

6. Komu przekazujemy dane

Nie sprzedajemy danych. Jeżeli zgodzisz się na to w banerze cookies, przekazujemy Google, a przy zgodzie na kategorię „Reklamy” także Meta, identyfikatory z plików cookies i informacje o korzystaniu ze strony, a przy zamówieniu także zahashowane dane kupującego. Robimy to w celach statystycznych, do pomiaru skuteczności naszych reklam i do pokazywania ich osobom, które odwiedziły stronę (punkty k i l poniżej oraz rozdział 10). Bez Twojej zgody do Meta nie trafia nic, Google Analytics się nie uruchamia, a Google dostaje tylko techniczne dane związane z pobraniem i działaniem Google Tag Manager (punkt k). Danych dziecka nie przekazujemy tam nigdy.

Korzystamy też z usług firm, które przetwarzają dane w naszym imieniu (tak zwane podmioty przetwarzające). Część danych przekazujemy firmom, które decydują o nich same (niezależni administratorzy) albo razem z nami (współadministratorzy). Są to:

a) Dostawca hostingu

Strona aquajoy.pl działa na serwerze zewnętrznej firmy hostingowej, która przetwarza dane zapisane na stronie w naszym imieniu, jako podmiot przetwarzający. Nazwę i dane tego dostawcy podajemy każdemu, kto o nie poprosi, pisząc na kontakt@aquajoy.pl.

b) Dostawca poczty elektronicznej

Firmowa poczta działa w usłudze Gmail, dostarczanej przez Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Oznacza to, że treść korespondencji, którą z nami prowadzisz, w tym potwierdzenia zapisu i zgłoszenia, jest przechowywana na serwerach Google. Zasady przetwarzania danych przez Google opisuje polityka prywatności Google.

c) Oprogramowanie sklepu

Strona i sklep działają w oparciu o system WordPress z oprogramowaniem sklepowym WooCommerce. Oprogramowanie to jest zainstalowane na naszym serwerze, a dane zamówień przechowujemy w jego bazie danych. WooCommerce ma też funkcję zapisu źródła wizyty w zamówieniu. Włączamy ją tylko po Twojej zgodzie na kategorię „Statystyki” w banerze cookies, a zapisane dane zostają w naszej bazie i nie trafiają do innych firm.

d) Bank i operator płatności

Obecnie płatności przyjmujemy wyłącznie gotówką na zajęciach oraz przelewem bankowym. Dane o przelewie, w tym Twoje imię, nazwisko, numer rachunku i tytuł przelewu, przetwarza bank prowadzący nasz rachunek firmowy, jako niezależny administrator. Nazwę banku widzisz w danych do przelewu, które otrzymujesz w potwierdzeniu zamówienia.

Nie korzystamy dziś z żadnej bramki płatności elektronicznych. Jeżeli w przyszłości uruchomimy płatności online (BLIK, karta, szybki przelew, Apple Pay, Google Pay), dane niezbędne do rozliczenia transakcji będą trafiać do operatora płatności, który będzie odrębnym administratorem tych danych. Nazwę i dane takiego operatora wpiszemy do tej polityki zanim udostępnimy tę formę płatności, a nie po fakcie.

e) Firma kurierska i operator paczkomatów

Jeżeli zamówisz voucher fizyczny z dostawą, przekazujemy Twoje imię, nazwisko, telefon, e‑mail i numer paczkomatu firmie InPost S.A. z siedzibą w Krakowie, ul. Pana Tadeusza 4, 30-727 Kraków. InPost przetwarza te dane jako odrębny administrator w celu doręczenia przesyłki.

f) Biuro rachunkowe

Jeżeli księgowość prowadzi dla nas zewnętrzne biuro rachunkowe, otrzymuje ono dane z faktur i dokumentów płatniczych, w zakresie niezbędnym do rozliczeń podatkowych. Biuro rachunkowe nie otrzymuje danych o zdrowiu dziecka. Nazwę biura podajemy na żądanie, pisząc na kontakt@aquajoy.pl.

g) Właściciele i zarządcy obiektów basenowych

Zajęcia odbywają się w Hotelu Ibis Styles w Nowym Targu, ul. Kolejowa 165, oraz w obiekcie w Bukowinie Tatrzańskiej, ul. Kościuszki 11. Jeżeli wejście na basen wymaga listy uczestników, przekazujemy obiektowi imię i nazwisko dziecka oraz informację o przynależności do grupy. Nie przekazujemy obiektom danych o zdrowiu dziecka, chyba że jest to niezbędne dla bezpieczeństwa lub w sytuacji wypadku.

h) Instruktorzy współpracujący

Instruktorzy otrzymują dane potrzebne do prowadzenia zajęć, w tym informacje o zdrowiu dziecka, wyłącznie w zakresie dotyczącym prowadzonej przez nich grupy i wyłącznie na nasze polecenie.

i) Podmioty uprawnione na podstawie prawa

Sądy, prokuratura, policja, organy podatkowe, jeżeli zwrócą się do nas z żądaniem mającym podstawę prawną. Ratownicy i personel medyczny w razie wypadku.

j) Doradca prawny

W razie sporu lub postępowania możemy przekazać dane pełnomocnikowi procesowemu lub doradcy prawnemu, w zakresie niezbędnym do ustalenia, dochodzenia lub obrony roszczeń.

k) Google: statystyki i pliki cookies Google

Na stronie działa Google Tag Manager, czyli narzędzie, które uruchamia baner cookies i pozostałe skrypty, oraz Google Analytics (statystyki odwiedzin i sprzedaży). Google Analytics działa tylko po Twojej zgodzie na kategorię „Statystyki”, a pliki cookies Google łączące wizytę z reklamą Google tylko po zgodzie na kategorię „Reklamy”. Bez zgody Google Analytics w ogóle się nie uruchamia. Dostawcą jest Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Google Tag Manager ładuje się z serwerów Google przy każdej wizycie, także zanim podejmiesz decyzję, bo to on uruchamia baner cookies. Wyjątkiem są strony z kodem dostępu w adresie (strefa rodzica, sprawdzanie i pobieranie vouchera, opłacanie zamówienia): tam nie uruchamiamy go wcale. Google otrzymuje przy tym techniczne dane połączenia (adres IP i informacje o przeglądarce) i dane o działaniu samego narzędzia, na przykład czas ładowania. Co dokładnie trafia do Google po Twojej zgodzie, opisujemy w rozdziale 10. Jak Google korzysta z tych danych, wyjaśnia strona „Jak Google używa danych z witryn i aplikacji, które korzystają z naszych usług”.

l) Meta: pomiar skuteczności reklam na Facebooku i Instagramie

Tylko jeżeli wyrazisz zgodę na kategorię „Reklamy” w banerze cookies, na stronie działa Meta Pixel, a nasz serwer przekazuje informacje o zamówieniach przez Meta Conversions API. Odbiorcą jest Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlandia. Za zebranie tych danych na naszej stronie i ich przekazanie do Meta odpowiadamy razem z Meta jako współadministratorzy, zgodnie z warunkami Meta dla firm (tak zwany Controller Addendum). Za to, co Meta robi z danymi później, Meta odpowiada samodzielnie, zgodnie ze swoją polityką prywatności. Swoje prawa w tym zakresie możesz wykonywać wobec nas albo wobec Meta. Szczegóły opisujemy w rozdziale 10.

m) Dostawca banera cookies

Baner, w którym decydujesz o cookies, dostarcza usługa CookieScript, prowadzona przez Objectis, UAB (numer rejestrowy 304037472), Laisvės g. 60, LT-05120 Wilno, Litwa. Skrypt banera pobiera się z serwerów CookieScript, więc CookieScript otrzymuje techniczne dane połączenia (adres IP i informacje o przeglądarce). Twoja decyzja jest zapisywana w pliku CookieScriptConsent na Twoim urządzeniu. Nie korzystamy z funkcji CookieScript, która zapisuje decyzje odwiedzających na jej serwerach. Jeżeli składasz zamówienie, zapisujemy w nim też, czy zgoda była wtedy udzielona (rozdział 5).

Na dzień wejścia w życie tej polityki nie mamy zawartej umowy ubezpieczenia odpowiedzialności cywilnej i nie przekazujemy danych żadnemu ubezpieczycielowi. Jeżeli taką umowę zawrzemy, dane niezbędne do zgłoszenia i likwidacji szkody będą przekazywane ubezpieczycielowi, a jego nazwę wskażemy w tej polityce.

7. Czy przekazujemy dane poza Europejski Obszar Gospodarczy

Co do zasady nie. Staramy się korzystać z dostawców działających w Unii Europejskiej.

Musimy Cię jednak uczciwie uprzedzić o dwóch wyjątkach. Pierwszy to poczta. Nasza poczta firmowa działa w usłudze Gmail, świadczonej przez Google Ireland Limited z siedzibą w Irlandii, czyli w Unii Europejskiej. Google należy jednak do grupy kapitałowej z siedzibą w Stanach Zjednoczonych i w ramach świadczenia tej usługi dane mogą być przetwarzane także poza Europejskim Obszarem Gospodarczym. Google deklaruje, że takie przekazania odbywają się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Szczegóły opisują dokumenty Google dotyczące ochrony danych.

W praktyce oznacza to, że treść wiadomości e‑mail, które do nas wysyłasz, może być przechowywana na serwerach Google. Dlatego prosimy, żeby informacje o zdrowiu dziecka przekazywać przede wszystkim w formularzu zapisu i w papierowym Oświadczeniu Rodzica, a nie w swobodnej korespondencji e‑mail.

Drugi wyjątek to narzędzia statystyczne i reklamowe opisane w rozdziale 10. Google Ireland Limited i Meta Platforms Ireland Limited mają siedziby w Irlandii, ale należą do grup kapitałowych z siedzibą w Stanach Zjednoczonych, a dane mogą trafiać do amerykańskich spółek z tych grup: Google LLC i Meta Platforms, Inc. Obie te spółki przystąpiły do programu EU-US Data Privacy Framework, dla którego Komisja Europejska 10 lipca 2023 r. wydała decyzję stwierdzającą odpowiedni stopień ochrony danych. Tam, gdzie ta decyzja nie obejmuje przekazania, Google i Meta deklarują stosowanie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Bez Twojej zgody w banerze cookies do Meta nie trafiają żadne dane, a do Google tylko techniczne dane związane z pobraniem i działaniem Google Tag Manager, opisane w rozdziale 6 w punkcie k.

Jeżeli uruchomimy narzędzia kolejnych dostawców spoza EOG, opiszemy je w tej polityce i wskażemy podstawę przekazania danych, zanim je włączymy.

Możesz poprosić nas o informację o zastosowanych zabezpieczeniach, pisząc na kontakt@aquajoy.pl.

8. Twoje prawa

Masz prawo do:

1. Dostępu do danych i otrzymania ich kopii (art. 15 RODO).
2. Sprostowania danych, jeżeli są nieprawidłowe lub niekompletne (art. 16 RODO).
3. Usunięcia danych, czyli prawo do bycia zapomnianym (art. 17 RODO). Nie zawsze możemy je spełnić, na przykład faktury musimy przechowywać przez okres wymagany przepisami podatkowymi.
4. Ograniczenia przetwarzania (art. 18 RODO).
5. Przenoszenia danych, czyli otrzymania ich w formacie nadającym się do odczytu maszynowego i przesłania innemu administratorowi (art. 20 RODO). Dotyczy danych przetwarzanych na podstawie zgody lub umowy.
6. Sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21 RODO). W przypadku marketingu bezpośredniego sprzeciw jest bezwarunkowy: po jego zgłoszeniu natychmiast przestajemy przetwarzać dane w tym celu.
7. Cofnięcia zgody w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem (art. 7 ust. 3 RODO).
8. Wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne.

Jak skorzystać z praw: napisz na kontakt@aquajoy.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W skomplikowanych sprawach możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o tym.

9. Dane dzieci

1. Dane dziecka podaje wyłącznie jego rodzic lub opiekun prawny. To on wyraża zgody w imieniu dziecka.
2. Zgody dotyczące dziecka poniżej 16. roku życia (zgoda na dane o zdrowiu, zgoda na wizerunek) są ważne tylko wtedy, gdy wyrazi je lub zaakceptuje osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem. Wynika to z art. 8 RODO.
3. Prawa dziecka, o których mowa w rozdziale 8, wykonuje w jego imieniu rodzic lub opiekun prawny.
4. Nie kierujemy działań marketingowych bezpośrednio do dzieci.
5. Zbieramy o dziecku tylko te dane, które są naprawdę potrzebne do prowadzenia zajęć i zapewnienia bezpieczeństwa.
6. Danych dziecka, w tym informacji o jego zdrowiu, nie przekazujemy do narzędzi statystycznych ani reklamowych. Szczegóły opisujemy w rozdziale 10.

10. Pliki cookies

Czym są cookies: to małe pliki tekstowe zapisywane na Twoim urządzeniu, gdy odwiedzasz naszą stronę. Pomagają stronie działać i zapamiętywać Twoje ustawienia. Podobnie działają skrypty narzędzi statystycznych i reklamowych, które odczytują informacje z przeglądarki i wysyłają je do dostawcy narzędzia, oraz zapisy w pamięci przeglądarki (localStorage). Wszystko, co piszemy niżej o cookies, dotyczy także ich.

Jakich cookies używamy:

a) Cookies niezbędne

Bez nich strona i sklep nie działają. Zapewniają działanie koszyka, procesu zamówienia, sesji użytkownika i zabezpieczeń formularzy. Do niezbędnych należy też plik CookieScriptConsent, który zapamiętuje Twoją decyzję w banerze cookies, także odmowę, żeby baner nie pojawiał się na każdej podstronie. Podstawa: nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Nie wymagają zgody. Pełną listę podajemy w tabeli na końcu tego rozdziału.

b) Cookies funkcjonalne

Nie używamy dziś cookies, które zapamiętywałyby inne Twoje preferencje, dlatego kategoria „Funkcjonalność” w banerze niczego nie uruchamia. Wybór dotyczący cookies zapamiętuje plik niezbędny CookieScriptConsent, opisany wyżej.

c) Cookies analityczne (kategoria „Statystyki”): Google Analytics i źródło wizyty w zamówieniu

Tylko po Twojej zgodzie na kategorię „Statystyki” uruchamiamy Google Analytics (dostawca: Google Ireland Limited) i zapisujemy jego pliki cookies. Dzięki nim wiemy, ile osób odwiedza stronę, co czyta, skąd przychodzi i ile wizyt kończy się zapisem lub zakupem. Google Analytics otrzymuje wtedy:

• identyfikator z pliku _ga, informacje o przeglądarce i urządzeniu oraz przybliżoną lokalizację (na przykład miasto), którą Google ustala na podstawie adresu IP,
• adresy odwiedzanych podstron i to, jak daleko je przewinięto; na stronach, których adres zawiera kod dostępu (strefa rodzica, sprawdzanie i pobieranie vouchera, opłacanie zamówienia), narzędzia statystyczne i reklamowe w ogóle się nie uruchamiają, a adresy strony potwierdzenia zamówienia i stron konta skracamy przed wysłaniem, więc zawarte w nich kody nie trafiają do Google,
• działania na stronie: kliknięcie w numer telefonu, adres e‑mail, link do Booksy, do mapy albo do naszych profili na Facebooku i Instagramie, kliknięcie w przyciski, otwarcie pytania w sekcji pytań i odpowiedzi, obejrzenie filmu, rozpoczęcie i wysłanie formularza zapisu (przy błędach w formularzach tylko nazwy pól z błędem, nigdy ich treść), skład vouchera w kreatorze (bez danych osoby obdarowanej i dedykacji) oraz logowanie i założenie konta; ze strefy rodzica nic, bo narzędzia te się tam nie uruchamiają,
• kolejne kroki zamówienia: oglądane zajęcia i vouchery (przy oglądaniu oferty także poziom i przedział wiekowy grupy, tak jak w jej opisie), koszyk, przejście do kasy i wybraną formę płatności, a po złożeniu zamówienia jego numer, wartość, wybrane zajęcia lub vouchery, datę pierwszych zajęć, sposób dostarczenia vouchera oraz informację, czy w ciągu mniej więcej 18 ostatnich miesięcy było już zamówienie z tym samym adresem e‑mail. Przy koszyku, kasie i zamówieniu zajęcia opisujemy tylko lokalizacją, dniem i godziną grupy oraz datą pierwszych zajęć, bez przedziału wiekowego i poziomu grupy, więc nie ma tam informacji o wieku ani umiejętnościach dziecka,
• na stronie potwierdzenia zamówienia, jeżeli zgoda obejmuje też kategorię „Reklamy”, także zahashowany e‑mail, telefon, imię i nazwisko kupującego oraz kraj, żeby Google Analytics dokładniej mierzył sprzedaż (co znaczy „zahashowane”, wyjaśniamy niżej).

Dane w Google Analytics przechowujemy najdłużej 14 miesięcy. Zbiorcze raporty mogą zostać dłużej.

Po zgodzie na kategorię „Statystyki” włączamy też wbudowaną w WooCommerce funkcję zapisu źródła wizyty (pliki sbjs_*). Gdy złożysz zamówienie, zapisujemy w nim, skąd przyszła wizyta: rodzaj źródła (na przykład wyszukiwarka, inna strona, link z kampanii albo wejście bezpośrednie), parametry utm, adres strony, z której nastąpiło przejście (zwykle sama domena, na przykład google.com), stronę wejścia, czas rozpoczęcia wizyty, liczbę odwiedzonych podstron i wizyt oraz informacje o przeglądarce i typie urządzenia. Te dane zostają w naszej bazie zamówień i nie trafiają do innych firm.

d) Cookies marketingowe (kategoria „Reklamy”): pomiar i wyświetlanie reklam, Meta i Google

Tylko po Twojej zgodzie na kategorię „Reklamy”:

• Meta Pixel (Meta Platforms Ireland Limited) zapisuje pliki _fbp i _fbc i przekazuje Meta informacje o odwiedzanych podstronach i działaniach na stronie: obejrzenie oferty, kliknięcie w numer telefonu, adres e‑mail, link do Booksy albo do mapy, rozpoczęcie zapisu, obejrzenie filmu, rozpoczęcie komponowania vouchera, dodanie do koszyka, przejście do kasy, wybór płatności i złożenie zamówienia (z numerem, wartością i identyfikatorami produktów). Razem z nimi Meta otrzymuje adres IP i informacje o przeglądarce, a przy zamówieniu zahashowane dane kupującego: e‑mail, telefon, imię, nazwisko i identyfikator utworzony z adresu e‑mail. Meta Pixel nie działa w strefie rodzica, przy sprawdzaniu vouchera, przy opłacaniu zamówienia ani na stronach konta. Zanim wyrazisz zgodę, skrypt Meta w ogóle się nie ładuje.
• Meta Conversions API: jeżeli zamówienie zostało złożone po udzieleniu zgody, nasz serwer przekazuje Meta informację o tym zamówieniu bezpośrednio, bez udziału przeglądarki, żeby pomiar działał także wtedy, gdy przeglądarka blokuje skrypty. Przekazujemy: zahashowany e‑mail, telefon, imię i nazwisko kupującego, zahashowany kraj, a przy voucherze wysyłanym do paczkomatu także zahashowane miasto i kod pocztowy; identyfikator utworzony z adresu e‑mail; identyfikatory z plików _fbp i _fbc; adres IP i informacje o przeglądarce zapisane przy zamówieniu; adres strony, na której złożono zamówienie; numer, czas złożenia i wartość zamówienia; identyfikatory produktów z ich liczbą i ceną oraz rodzaj zakupu (karnet albo voucher). Zamówień złożonych bez zgody nie wysyłamy.
• Pliki Google łączące wizytę z reklamą Google (_gcl_au, _gcl_aw i podobne, dostawca: Google Ireland Limited) zapamiętują między innymi, czy wizyta zaczęła się od kliknięcia reklamy Google. Dzięki temu da się zmierzyć skuteczność takiej reklamy. Przy zgodzie na tę kategorię tag Google wysyła też do usług reklamowych Google adres odwiedzanej podstrony razem z identyfikatorem z tych plików, żeby dało się policzyć wizyty i zamówienia z reklam Google.

Pokazywanie reklam osobom, które odwiedziły stronę: na podstawie tych danych możemy pokazywać nasze reklamy na Facebooku i Instagramie osobom, które były na naszej stronie, na przykład oglądały ofertę grupy albo zaczęły zapis i go nie dokończyły. Jeżeli uruchomimy reklamy Google, to samo dotyczy reklam Google. Takie grupy odbiorców tworzą Meta i Google w swoich systemach reklamowych, a my nie widzimy, kto do nich należy. Dotyczy to tylko osób, które zgodziły się na kategorię „Reklamy”.

Co znaczy „zahashowane”: przed wysłaniem zamieniamy dane na skrót (algorytmem SHA-256), z którego nie da się wprost odczytać adresu e‑mail ani numeru telefonu. Meta i Google mogą jednak porównać ten skrót z takim samym skrótem danych swoich użytkowników i w ten sposób powiązać zamówienie z kontem w swoim serwisie, na przykład żeby ustalić, czy zamówienie złożyła osoba, która widziała naszą reklamę. Dlatego taki skrót nadal traktujemy jako dane osobowe. Meta i Google nie przekazują nam danych z Twoich kont w ich serwisach. Meta może jednak wykorzystywać otrzymane dane także do własnych celów, na przykład do dopasowywania reklam, na zasadach opisanych w swojej polityce prywatności.

Czego nigdy nie przekazujemy: do Google, Meta ani innych narzędzi statystycznych i reklamowych nie trafiają dane dziecka podane przy zapisie: imię, nazwisko, wiek, data urodzenia, poziom umiejętności pływackich ani informacje o zdrowiu. Nie trafiają tam też uwagi do zamówienia, dane osoby obdarowanej, treść dedykacji na voucherze ani kody voucherów. Narzędzia te w ogóle nie działają w panelu, w którym instruktorzy pracują z danymi dzieci.

Co się dzieje, zanim zdecydujesz albo gdy odmówisz: nie zapisujemy ani nie odczytujemy cookies analitycznych i marketingowych, Google Analytics i Meta Pixel w ogóle się nie uruchamiają, a źródło wizyty nie jest zapisywane w zamówieniu. Z zewnętrznych serwerów Twoja przeglądarka pobiera wtedy tylko Google Tag Manager (od Google), bo to on uruchamia baner cookies, oraz skrypt banera (od CookieScript). Google i CookieScript otrzymują przy tym techniczne dane połączenia (adres IP i informacje o przeglądarce), a Google także dane techniczne o działaniu samego narzędzia, na przykład czas ładowania. Podstawą jest nasz prawnie uzasadniony interes w wyświetleniu banera i zapamiętaniu Twojej decyzji (art. 6 ust. 1 lit. f RODO).

Zarządzanie zgodą: przy pierwszej wizycie wyświetlamy baner, w którym możesz kliknąć „Akceptuj wszystkie” albo „Odrzuć wszystkie” albo zaznaczyć wybrane kategorie i kliknąć „Zapisz i zamknij”. Kategoria „Statystyki” obejmuje narzędzia z punktu c, a kategoria „Reklamy” narzędzia z punktu d. Jeżeli zgodzisz się tylko na jedną z nich, narzędzia z drugiej działają tak jak przy odmowie. Zapisanie wyboru bez zaznaczonych kategorii oznacza odmowę. Odrzucenie jest tak samo łatwe jak akceptacja. Zgody wyrażone przed 23.09.2026 w poprzedniej wersji banera, bez podziału na kategorie, już nie obowiązują: baner zapyta o decyzję ponownie. Decyzję pamiętamy przez 30 dni, potem baner pojawi się ponownie. Możesz ją zmienić albo cofnąć zgodę w każdej chwili, klikając „Ustawienia cookies” w stopce strony. Cofnięcie zgody nie wpływa na zgodność z prawem tego, co działo się przed cofnięciem. Po cofnięciu narzędzia przestają zapisywać i odczytywać pliki, ale część z nich (na przykład _ga) może zostać w przeglądarce do wygaśnięcia. Możesz je usunąć w ustawieniach przeglądarki.

Ustawienia przeglądarki: cookies możesz też usunąć lub zablokować w ustawieniach przeglądarki. Pamiętaj, że zablokowanie cookies niezbędnych może uniemożliwić złożenie zamówienia.

Podstawa prawna dla cookies: art. 399 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej oraz RODO. Cookies niezbędne zapisujemy bez zgody (art. 399 ust. 3 tej ustawy), a cookies analityczne i marketingowe wyłącznie za Twoją zgodą (art. 399 ust. 1 tej ustawy i art. 6 ust. 1 lit. a RODO).

Szczegółowy wykaz cookies:

Czas przechowywania liczymy od ostatniego zapisu pliku, a niektóre pliki odnawiają się przy kolejnych wizytach. Google i Meta mogą zmieniać nazwy swoich plików albo dodawać pliki pomocnicze o tym samym celu (na przykład o nazwach zaczynających się od _ga, _gcl lub _fb). Również takie pliki są zapisywane wyłącznie po Twojej zgodzie. Jeżeli w tej samej przeglądarce korzystasz z Facebooka lub Instagrama, Meta może też odczytać własne pliki cookies zapisane w domenach Meta i powiązać wizytę na naszej stronie z Twoim kontem. Opisuje to polityka cookies Meta. Aktualny wykaz możesz też dostać na żądanie: napisz na kontakt@aquajoy.pl.

Po ludzku: bez Twojej zgody nie zapisujemy cookies statystycznych ani reklamowych. Google Analytics działa tylko po zgodzie na „Statystyki”, a Meta dostaje od nas cokolwiek tylko po zgodzie na „Reklamy”. Po zgodzie sprawdzamy, skąd przychodzą odwiedzający i które reklamy działają, a przy zgodzie na „Reklamy” możemy też pokazywać nasze reklamy osobom, które były na stronie. Danych dziecka nie wysyłamy do tych narzędzi nigdy.

11. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne, aby chronić Twoje dane:

• szyfrowane połączenie ze stroną (certyfikat SSL, protokół HTTPS),
• ograniczenie dostępu do danych tylko do osób, które muszą je znać: właściciela firmy i instruktora prowadzącego zajęcia z Twoim dzieckiem,
• aktualizowanie oprogramowania strony i sklepu,
• kopie zapasowe danych sklepu,
• przechowywanie dokumentów papierowych, w tym Oświadczeń Rodzica, w zamykanym miejscu.

Nie twierdzimy, że nasze zabezpieczenia są nie do pokonania. Twierdzimy tylko to, co faktycznie robimy. Jeżeli chcesz wiedzieć więcej o konkretnym zabezpieczeniu, napisz na kontakt@aquajoy.pl.

Jeżeli mimo to dojdzie do naruszenia ochrony danych, które może powodować wysokie ryzyko naruszenia Twoich praw, poinformujemy Cię o tym bez zbędnej zwłoki, a naruszenie zgłosimy Prezesowi UODO w ciągu 72 godzin.

12. Czy podanie danych jest obowiązkowe

• Dane oznaczone jako obowiązkowe w formularzu zapisu są niezbędne do zawarcia umowy. Bez nich nie możemy zapisać dziecka na zajęcia.
• Podanie danych o zdrowiu dziecka jest niezbędne ze względów bezpieczeństwa. Bez nich nie możemy przyjąć dziecka na zajęcia.
• Dane do faktury są potrzebne tylko wtedy, gdy chcesz otrzymać fakturę.
• Zgoda na wizerunek, zgoda na newsletter i zgoda na cookies inne niż niezbędne są całkowicie dobrowolne. Ich brak nie ma żadnego wpływu na możliwość korzystania z naszych usług ani na cenę.

13. Zmiany polityki prywatności

Możemy aktualizować tę politykę, na przykład gdy zmienimy narzędzia, uruchomimy płatności online albo gdy zmienią się przepisy. Aktualna wersja jest zawsze dostępna na stronie aquajoy.pl wraz z datą wejścia w życie. O istotnych zmianach poinformujemy Cię e‑mailem, jeżeli mamy Twój adres.

14. Kontakt

Masz pytanie o swoje dane albo o dane dziecka? Napisz na kontakt@aquajoy.pl lub zadzwoń pod numer +48 799 267 147.

Możesz też napisać na adres: IRENA JARZĄBEK-PALKA SOPHIA, ul. Podtatrzańska 25, 34-400 Nowy Targ.

Odpowiadamy na każdą wiadomość.