Polityka prywatności

1. Administrator

Administratorem danych jest Łukasz Ostrowski prowadzący działalność gospodarczą pod firmą „Lost – Łukasz Ostrowski”, ul. Kwiatowa 42L, 94-238 Łódź, NIP 9471934445, REGON 385010098. Kontakt w sprawach danych: kontakt@dronera.pl. Administrator nie wyznaczył inspektora ochrony danych.

2. Cele, podstawy i okresy przechowywania

Cel	Dane	Podstawa (RODO)	Jak długo
Konto i świadczenie usług Platformy	e-mail, telefon, imię i nazwisko, hasło (skrót), dane profili	art. 6 ust. 1 lit. b	do usunięcia konta; anonimizacja 30 dni po usunięciu, z wyjątkiem danych o dłuższych okresach z tej tabeli
Akceptacja dokumentów i zgody	wersja Regulaminu i Polityki, treść zgody (w tym na automatyczne odnawianie), data, godzina, adres IP	art. 6 ust. 1 lit. c i f (wykazanie zgody i zawarcia umowy)	do upływu przedawnienia roszczeń po zakończeniu umowy (do 6 lat)
Weryfikacja Operatorów i Pilotów	numer operatora, numer pilota, kompetencje, polisa OC, oświadczenia STS/LUC, dokumenty, data urodzenia	art. 6 ust. 1 lit. b i f (bezpieczeństwo i wiarygodność Platformy)	dokumenty i wynik ich analizy: 12 mies. po wygaśnięciu dokumentu lub usunięciu konta
Wstępna analiza dokumentów przez narzędzie AI	przesłany dokument i dane z profilu potrzebne do porównania (imię i nazwisko lub nazwa, numery, daty)	art. 6 ust. 1 lit. f (szybsza i dokładniejsza weryfikacja)	wynik analizy jak dokument; dostawca AI nie przechowuje dokumentu do trenowania modeli
Zlecenia, Oferty, Realizacje	opis i lokalizacja Zlecenia, treść Ofert, status Realizacji	art. 6 ust. 1 lit. b	do usunięcia konta, potem w formie zanonimizowanej
Raporty dla Zleceniodawcy przygotowywane z pomocą narzędzia AI	zakres i ogólna lokalizacja Zlecenia, notatki i wyniki wpisane przez Wykonawcę (bez kwot zapłaty i danych kontaktowych)	art. 6 ust. 1 lit. b — wobec Wykonawcy korzystającego z narzędzia; art. 6 ust. 1 lit. f — wobec Zleceniodawcy i innych osób, których dane znajdą się w treści (prawnie uzasadniony interes: dokumentacja z realizacji usługi)	raport: jak Realizacja; u dostawcy AI: do 30 dni (logi do wykrywania nadużyć), potem usunięcie
Wiadomości w wątkach Ofert	treść wiadomości, informacja, czy zawierała dane kontaktowe	art. 6 ust. 1 lit. b; analiza treści pod kątem danych kontaktowych — art. 6 ust. 1 lit. f (ochrona przed obchodzeniem weryfikacji i oszustwami)	Oferta wybrana: 24 mies. od zakończenia Realizacji; pozostałe Oferty: 12 mies. od zamknięcia Zlecenia
Spory i anulowania	powód, opis, decyzja, uzasadnienie	art. 6 ust. 1 lit. b i f	24 mies. od decyzji
Dopasowanie Zleceń do Wykonawców	lokalizacja bazowa, promień działania, kompetencje, sprzęt, dostępność, opinie	art. 6 ust. 1 lit. b	jak konto
Płatności, subskrypcje, faktury	dane do faktury, NIP, historia zamówień, token karty i jej ostatnie 4 cyfry (dane karty zna tylko Tpay), status przedsiębiorcy na prawach konsumenta	art. 6 ust. 1 lit. b i c (przepisy podatkowe i rachunkowe)	faktury i dowody księgowe: 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku; token: do wyłączenia odnawiania
Odstąpienia od umowy i zwroty	oświadczenie, data i godzina, wyliczenie zwrotu	art. 6 ust. 1 lit. c i f	jak faktury
Raportowanie DAC7 (jeśli dotyczy)	dane podatkowe Operatora (§6 ust. 5 Regulaminu), liczba i ceny zakończonych Realizacji	art. 6 ust. 1 lit. c	5 lat od końca roku, którego dotyczy raport
Opinie	ocena, komentarz, imię autora; sygnały ryzyka nadużyć (wiek konta, powiązania kont stron, NIP, adres IP)	art. 6 ust. 1 lit. f (rzetelna informacja dla użytkowników)	opinie: do usunięcia lub ukrycia; sygnały: 24 mies.
Zgłoszenia treści i moderacja (DSA)	treść zgłoszenia, imię i e-mail zgłaszającego, decyzje i uzasadnienia	art. 6 ust. 1 lit. c (rozpatrzenie zgłoszenia) i lit. f (obrona przy odwołaniach i skargach)	24 mies. od decyzji
Bezpieczeństwo i zapobieganie nadużyciom	adres IP, logi, dziennik zdarzeń	art. 6 ust. 1 lit. f	adresy IP logowań: 30 dni; pozostałe logi i dziennik zdarzeń: 24 mies.
Ochrona przed nadużyciami programu osiągnięć i nagród (Zlecenia kwalifikowane)	konta stron Zlecenia (adresy e-mail), numery NIP i telefony stron, adresy IP z ostatnich 30 dni	art. 6 ust. 1 lit. f (zapobieganie nadużyciom programu osiągnięć i nagród)	jak Realizacja; adresy IP logowań: 30 dni
Dochodzenie i obrona roszczeń	dane niezbędne do sprawy	art. 6 ust. 1 lit. f	do przedawnienia roszczeń
Wiadomości marketingowe	e-mail, data i treść udzielonej zgody	art. 6 ust. 1 lit. a (zgoda)	do wycofania zgody; potwierdzenie zgody i jej wycofania — do przedawnienia roszczeń
Profil Pilota (Praca)	doświadczenie (zlecenia poza Dronerą, szkolenia, aktywności), deklarowane lata latania, nalot, dojazdy, formy współpracy, języki — publicznie; opis „Dla operatora” i nazwy klientów — tylko dla Operatora, do którego Pilot wyśle zgłoszenie	art. 6 ust. 1 lit. b (prowadzenie profilu na żądanie Pilota)	do usunięcia wpisu albo konta
Zgłoszenia na Ogłoszenia (Praca)	profil Pilota (część publiczna i „Dla operatora”), wiadomość, e-mail i telefon przekazane Operatorowi, status zgłoszenia, wiadomości	art. 6 ust. 1 lit. b (usługa Praca na żądanie Pilota)	6 mies. od zamknięcia lub wygaśnięcia Ogłoszenia; po przekazaniu Operator przetwarza dane jako odrębny administrator
Powiadomienia o nowych Ogłoszeniach (Pilot)	region, rodzaj ogłoszeń, e-mail	art. 6 ust. 1 lit. b (usługa włączona przez Pilota)	do wyłączenia powiadomień
Kod powitalny	e-mail, kod, Operator, który go wykorzystał, skrót e-maila (żeby kod przysługiwał raz)	art. 6 ust. 1 lit. b (warunki akcji w Regulaminie)	kod: do końca jego ważności lub wykorzystania; skrót e-maila: do zakończenia akcji
Sprawdzenie numeru pilota lub operatora w publicznym rejestrze drony.gov.pl (Polska Agencja Żeglugi Powietrznej)	numer, status i kompetencje z rejestru	art. 6 ust. 1 lit. f (rzetelność informacji na platformie)	jak dane profilu
Statystyki odwiedzin (Google Analytics 4)	identyfikator z pliku _ga, odwiedzane strony, źródło wejścia, typ urządzenia i przeglądarki, przybliżona lokalizacja ustalona z adresu IP (adresu IP nie zapisujemy)	art. 6 ust. 1 lit. a (zgoda w banerze cookies)	pliki: 13 mies.; dane w Google Analytics: do 14 mies.
Remarketing i pomiar reklam (Google Ads, Meta Pixel; po włączeniu tagów)	identyfikatory z plików cookies, odwiedzane strony, typ urządzenia i przeglądarki, adres IP przekazywany dostawcy	art. 6 ust. 1 lit. a (zgoda w banerze cookies)	do wycofania zgody; czas życia plików w Polityce cookies
Zapis wyboru w banerze cookies	identyfikator zgody, decyzja, data, wersja banera, skrót adresu IP, konto (jeśli zalogowany)	art. 6 ust. 1 lit. c i f (wykazanie zgody)	do upływu przedawnienia roszczeń (do 6 lat)

2a. Skąd mamy dane, jeśli nie od Ciebie (art. 14 RODO)

• Zaproszenia: admin Operatora lub Zleceniodawcy może podać Twój e-mail, aby zaprosić Cię do zespołu. Używamy go tylko do wysłania zaproszenia; nieprzyjęte zaproszenie wygasa po 14 dniach.
• Rejestry publiczne: przy weryfikacji porównujemy dane Operatora i Pilota z publicznymi rejestrami (rejestr operatorów BSP, CEIDG, KRS, REGON). Przy zakupie przez osobę z NIP możemy zapisać kody PKD z CEIDG.
• Inni Użytkownicy: opinie o Operatorze i Pilocie wystawiają Zleceniodawcy; spory i zgłoszenia treści mogą dotyczyć Twojego profilu.

3. Dane widoczne dla innych

• Publicznie: nazwa wyświetlana Operatora lub Pilota, miejscowość, opis, zweryfikowane kompetencje z datą ważności, status OC z datą, opinie bez danych autora. Przy Zleceniu — tylko miejscowość lub powiat.
• Drugiej stronie po wyborze Oferty: e-mail i telefon Zleceniodawcy oraz Operatora, potrzebne do zawarcia i wykonania Umowy o usługę.
• Nigdy publicznie: numery polis i pilota, dokumenty, dokładne adresy, dane podatkowe.

4. Zautomatyzowane przetwarzanie i AI

• Dopasowanie. Platforma automatycznie ustala, którym Wykonawcom wskazać Zlecenie i w jakiej kolejności, na podstawie kompetencji, sprzętu, odległości, dostępności, doświadczenia, opinii i specjalizacji. Opis kryteriów jest na stronie „Jak działa dopasowanie”. Dopasowanie nie wywołuje skutków prawnych w rozumieniu art. 22 RODO: o złożeniu i wyborze Oferty decydują Użytkownicy.
• Analiza dokumentów. Przesłany dokument weryfikacyjny wstępnie analizuje narzędzie AI dostarczane przez OpenAI: rozpoznaje rodzaj dokumentu, odczytuje dane, porównuje je z profilem i sprawdza daty. Do narzędzia trafia tylko plik i dane potrzebne do porównania (bez e-maila, telefonu i adresu). Dronera korzysta z usługi w trybie, w którym dane nie służą do trenowania modeli i nie są zapisywane w historii zapytań. Narzędzie porównuje dokument także z wzorcem tego rodzaju dokumentu przygotowanym przez Dronerę. Dokument w pełni zgodny z wzorcem i z profilem może zostać zatwierdzony automatycznie; dostajesz wtedy informację o tym w wiadomości i możesz poprosić, żeby decyzję sprawdził człowiek, wyrazić swoje stanowisko i zakwestionować decyzję (art. 22 ust. 3 RODO). Automatyczne zatwierdzenie przyznaje to, o co prosisz, i jest potrzebne do wykonania umowy (art. 22 ust. 2 lit. a RODO). Odrzucenie i każdą wątpliwość zawsze rozstrzyga człowiek, który ogląda dokument. Nie przesyłaj dokumentów tożsamości — usuwamy je.
• Raporty dla Zleceniodawcy. Wykonawca może przygotować raport z Realizacji z pomocą narzędzia AI dostarczanego przez OpenAI Ireland Ltd. Do narzędzia trafiają zakres i ogólna lokalizacja Zlecenia oraz notatki i wyniki wpisane przez Wykonawcę — bez kwot zapłaty i danych kontaktowych. Dostawca nie wykorzystuje tych danych do trenowania modeli. Raport jest dokumentem Wykonawcy: Wykonawca sprawdza i zatwierdza jego treść przed wysłaniem.
• Zlecenia kwalifikowane. Do osiągnięć i nagród liczą się tylko Zlecenia kwalifikowane. Porównujemy konta (adresy e-mail), numery NIP i telefony stron Zlecenia oraz adresy IP z ostatnich 30 dni. Nie używamy odcisku urządzenia ani identyfikatorów przeglądarki. Zgodność adresu IP nie oznacza automatycznej decyzji: Zlecenie sprawdza moderator.
• Wiadomości. Platforma automatycznie sprawdza, czy wiadomość w wątku Oferty zawiera adres e-mail lub numer telefonu, i wtedy pokazuje ostrzeżenie. Nie blokuje wiadomości.
• Opinie. Platforma automatycznie oznacza opinie z sygnałami ryzyka nadużyć do sprawdzenia przez moderatora. O publikacji lub ukryciu decyduje człowiek.

5. Odbiorcy danych

Odbiorca	Rola	Zakres
xCloud i dostawca serwera (serwer w Warszawie)	podmiot przetwarzający	hosting aplikacji i bazy danych
Cloudflare (R2)	podmiot przetwarzający	przechowywanie plików i dokumentów
Krajowy Integrator Płatności S.A. (Tpay)	odrębny administrator w zakresie realizacji płatności	obsługa płatności i zapis karty; dane karty przetwarza wyłącznie Tpay
Power Media S.A. (iFirma)	podmiot przetwarzający	wystawianie faktur, wysyłka do KSeF
LH.pl Sp. z o.o.	podmiot przetwarzający	wysyłka powiadomień i wiadomości marketingowych
OpenAI Ireland Ltd	podmiot przetwarzający (umowa powierzenia przetwarzania)	analiza przesłanych dokumentów weryfikacyjnych — o zatwierdzeniu decyduje Dronera (wzorzec albo człowiek); przygotowanie szkicu raportu dla Zleceniodawcy na żądanie Wykonawcy; dane przechowywane do 30 dni (logi do wykrywania nadużyć), potem usuwane
Sentry	podmiot przetwarzający	monitorowanie błędów aplikacji
Google Ireland Ltd. (Google Analytics 4)	podmiot przetwarzający	statystyki odwiedzin — tylko po Twojej zgodzie w banerze cookies
Google Ireland Ltd. (Google Ads)	odrębny administrator w zakresie własnych celów reklamowych	remarketing i pomiar reklam — tylko po Twojej zgodzie na pliki marketingowe
Meta Platforms Ireland Ltd. (Meta Pixel)	współadministrator zbierania i przekazywania danych, dalej odrębny administrator	reklamy na Facebooku i Instagramie — tylko po Twojej zgodzie na pliki marketingowe
Główny Urząd Geodezji i Kartografii, OpenStreetMap Foundation	odbiorcy zapytań	zamiana adresu na współrzędne
OpenStreetMap Foundation	odbiorca zapytań	wyświetlanie map (adres IP przeglądarki)
Druga strona Oferty	odrębny administrator	e-mail i telefon po wyborze Oferty
Operatorzy, na których Ogłoszenia się zgłaszasz	odrębni administratorzy	Twój profil Pilota (także część „Dla operatora”), wiadomość, e-mail i telefon — tylko gdy sam wyślesz zgłoszenie
Szef Krajowej Administracji Skarbowej (w tym przez KSeF)	odrębny administrator	faktury; dane DAC7 Operatorów, jeśli obowiązek raportowania obejmie Platformę — Szef KAS może je przekazać innym państwom UE
Inne organy publiczne (np. Policja, prokuratura, Prezes UKE, sądy)	odrębni administratorzy	gdy wymagają tego przepisy

6. Przekazywanie poza EOG

Niektórzy dostawcy (Cloudflare, Sentry, OpenAI, Google, Meta) mogą przetwarzać dane w USA. Podstawą jest decyzja Komisji Europejskiej w sprawie Data Privacy Framework (dla dostawców w nim certyfikowanych) albo standardowe klauzule umowne zatwierdzone przez Komisję. OpenAI Ireland Ltd przekazuje dane podmiotom OpenAI poza EOG na podstawie standardowych klauzul umownych, a stosownie także decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony. Kopię zabezpieczeń możesz otrzymać, pisząc na kontakt@dronera.pl.

7. Twoje prawa

Masz prawo do dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia, sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu oraz do wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania).

Prawo sprzeciwu. W każdej chwili możesz wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie prawnie uzasadnionego interesu (bezpieczeństwo, analiza dokumentów przez AI, sprawdzanie wiadomości, opinie, dochodzenie roszczeń) z przyczyn związanych z Twoją szczególną sytuacją. Przestaniemy je przetwarzać, chyba że wykażemy ważne podstawy nadrzędne lub potrzebę dochodzenia albo obrony roszczeń. Jeśli sprzeciwiasz się analizie dokumentów przez AI, napisz na kontakt@dronera.pl przed przesłaniem dokumentu — sprawdzimy go bez tego narzędzia.

W panelu możesz samodzielnie pobrać swoje dane (plik JSON), wycofać zgodę marketingową i usunąć konto. Zgodę marketingową wycofasz też jednym kliknięciem w linku „Wypisz się” w każdej wiadomości marketingowej; wycofanie nie odbiera kodu powitalnego. Pozostałe żądania wyślij na kontakt@dronera.pl — odpowiemy w ciągu miesiąca.

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

8. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do założenia konta, weryfikacji i złożenia Oferty. Dane do faktury są wymagane przepisami podatkowymi. Dane podatkowe Operatora są wymagane do weryfikacji (§6 ust. 5 Regulaminu).

9. Bezpieczeństwo

Połączenia są szyfrowane (HTTPS). Hasła są przechowywane w postaci skrótu (Argon2id). Numery polis, pilotów, numery seryjne i dane podatkowe są szyfrowane w bazie. Dokumenty leżą w prywatnym magazynie i są dostępne tylko przez krótkotrwałe linki dla uprawnionych osób. Każda decyzja personelu jest zapisywana w dzienniku zdarzeń.

10. Zmiany

O zmianach Polityki prywatności informujemy e-mailem i w panelu przed ich wejściem w życie.