Polityka prywatności

Lyriot („my”, „nas”) zobowiązuje się chronić Twoją prywatność. Niniejsza polityka wyjaśnia, w jaki sposób zbieramy, wykorzystujemy, udostępniamy i chronimy Twoje dane osobowe, zgodnie z Ogólnym rozporządzeniem o ochronie danych (RODO) oraz obowiązującym prawem francuskim.

Zbieramy następujące kategorie danych:

• Dane rejestracyjne: imię i nazwisko, adres e-mail, zaszyfrowane hasło (bcrypt), miasto, kraj, płeć, data urodzenia, numer telefonu (opcjonalnie).
• Dane profilu: zdjęcie profilowe (przechowywane w Cloudflare R2), opis, zainteresowania.
• Dane o aktywności: utworzone wydarzenia i te, w których uczestniczysz, zapisy na listę oczekujących, opublikowane komentarze, reakcje, meldowania kodem QR, wymieniane wiadomości (treść i data), znajomości, status przeczytania wiadomości (potwierdzenia odczytu), odblokowane osiągnięcia, serie aktywności, kod zaproszenia i lista osób poleconych.
• Dane grywalizacji: punkty zgromadzone według źródła, aktualna ranga, historia rankingów, aktywne wzmocnienia i ich data wygaśnięcia, saldo i historia portfela punktów.
• Dane płatnicze: historia transakcji (subskrypcje, płatne wydarzenia, wzmocnienia), aktywna subskrypcja i data odnowienia. Dane bankowe i dane kart obsługuje wyłącznie Stripe — my nigdy ich nie przechowujemy.
• Dane organizatora (Stripe Connect): w przypadku organizatorów przyjmujących płatności Stripe zbiera dane weryfikacji tożsamości bezpośrednio: tożsamość (imię i nazwisko, data urodzenia, zeskanowany dokument tożsamości), pełny adres pocztowy, dane bankowe (IBAN lub numer rachunku) oraz, w stosownych przypadkach, dane firmy (nazwa, numer identyfikacji podatkowej). Dane te podlegają polityce prywatności Stripe.
• Dane geolokalizacyjne: współrzędne GPS (szerokość i długość geograficzna) podawane przy tworzeniu wydarzenia, aby wyświetlić mapę i umożliwić wyszukiwanie w pobliżu. Nigdy nie zbieramy lokalizacji w sposób ciągły. Jeśli masz już włączoną zgodę na lokalizację na swoim urządzeniu, Twoja pozycja, zaokrąglona do około dziesięciu kilometrów, służy także do porządkowania podpowiedzi miast; nie jest zapisywana na Twoim koncie.
• Dane rekrutacyjne: CV, list motywacyjny i adres LinkedIn przesłane przez /careers/apply, przechowywane w Cloudflare R2 (bucket „resumes”). Są przechowywane maksymalnie przez 2 lata.
• Dane kontaktowe: imię i nazwisko, adres e-mail oraz treść wiadomości wysłanych przez formularz /contact.
• Dane techniczne: adres IP, typ przeglądarki, odwiedzane strony, data i godzina połączenia, identyfikator sesji (NextAuth), tokeny powiadomień push (Firebase).

Twoje dane wykorzystujemy, aby:

• Świadczyć, utrzymywać i ulepszać nasze usługi
• Uwierzytelniać Cię i chronić Twoje konto (logowanie e-mailem i hasłem albo przez Google OAuth)
• Pokazywać Ci wydarzenia, profile i rankingi, które Cię dotyczą
• Realizować płatności (subskrypcje, płatne wydarzenia, wzmocnienia) za pośrednictwem Stripe
• Wypłacać środki organizatorom płatnych wydarzeń za pośrednictwem Stripe Connect
• Wysyłać powiadomienia (e-mail przez Resend, push przez Firebase)
• Automatycznie przyznawać punkty co 15 minut za pomocą zadań zaplanowanych (cron)
• Automatycznie obliczać i aktualizować rangi użytkowników
• Generować powtórzenia wydarzeń cyklicznych (tygodniowych, miesięcznych itd.)
• Pobierać i przekazywać organizatorom płatności za wydarzenia
• Okresowo zerować rankingi tygodniowe, miesięczne i roczne
• Weryfikować warunki programu poleceń (przeciwdziałanie nadużyciom)
• Pokazywać Twój status online i ostatnią aktywność Twoim znajomym
• Umożliwiać moderację treści i obsługę zgłoszeń
• Przeciwdziałać oszustwom, nadużyciom i zakładaniu wielu kont
• Wypełniać nasze obowiązki prawne i księgowe

Przetwarzamy Twoje dane na następujących podstawach prawnych:

• Wykonanie umowy: aby świadczyć Ci usługi Lyriot, z których korzystasz (konto, wydarzenia, płatności, wiadomości)
• Prawnie uzasadniony interes: aby ulepszać platformę, przeciwdziałać oszustwom, zapewniać bezpieczeństwo, wyświetlać status online i prowadzić rankingi
• Zgoda: na powiadomienia push (możliwa do wycofania w każdej chwili w ustawieniach) oraz na opcjonalne komunikaty handlowe
• Obowiązek prawny: aby przestrzegać obowiązujących przepisów, w szczególności obowiązków księgowych (przechowywanie przez 5 lat) oraz żądań organów wymiaru sprawiedliwości

Nigdy nie sprzedajemy Twoich danych osobowych. Udostępniamy je wyłącznie naszym dostawcom technicznym i tylko w zakresie niezbędnym do świadczenia usługi:

• Stripe: obsługa płatności (subskrypcje, płatne wydarzenia, wzmocnienia) oraz wypłaty dla organizatorów przez Stripe Connect — polityka Stripe
• OVH: hosting bazy danych PostgreSQL (VPS, Francja); Cloudflare R2: przechowywanie plików (zdjęcia profilowe, CV)
• Resend: wysyłka e-maili transakcyjnych (potwierdzenie rejestracji, resetowanie hasła, powiadomienia o wydarzeniach)
• Mapbox: wyświetlanie interaktywnych map lokalizacji wydarzeń i wyszukiwanie w pobliżu
• Photon (komoot) i Nominatim (OpenStreetMap Foundation, dane w Wielkiej Brytanii i Holandii): podpowiedzi miast podczas pisania; Nominatim jest używany tylko wtedy, gdy Photon nie odpowiada. Nasze serwery przekazują im wyłącznie wpisany tekst, a Photon także przybliżoną pozycję: środek Twojego kraju lub, jeśli masz już włączoną zgodę na lokalizację, Twoją pozycję zaokrągloną do około dziesięciu kilometrów. Twoje imię i nazwisko, adres IP ani konto nigdy nie są im przekazywane.
• Firebase (Google): wysyłka powiadomień push na Twoje urządzenia (jeśli je włączysz)
• Google OAuth: jeśli wybierzesz logowanie przez Google, Twoje imię i nazwisko, adres e-mail oraz zdjęcie profilowe Google zostaną przekazane do Lyriot
• Właściwe organy: gdy wymaga tego prawo, orzeczenie sądu lub obrona naszych uzasadnionych praw

Niektórzy dostawcy mają siedzibę poza Unią Europejską (Firebase/Google, Stripe — w Stanach Zjednoczonych). Przekazywanie danych zabezpieczają:

• Standardowe klauzule umowne przyjęte przez Komisję Europejską
• Decyzje Komisji stwierdzające odpowiedni stopień ochrony (na przykład Ramy ochrony danych UE–USA dla Stripe i Google)
• Odpowiednie zabezpieczenia przewidziane w art. 46 RODO

Przechowujemy Twoje dane tak długo, jak Twoje konto pozostaje aktywne. Po jego usunięciu dane są kasowane w ciągu 30 dni, o ile nie stoi temu na przeszkodzie obowiązek prawny:

• Dane transakcyjne: 5 lat (francuski obowiązek księgowy)
• Dane rekrutacyjne (CV, listy): maksymalnie 2 lata
• Dzienniki techniczne: 12 miesięcy
• Historia moderacji i sankcji: bezterminowo (bezpieczeństwo i przeciwdziałanie nadużyciom)
• Usunięte wiadomości prywatne: metadane (data, uczestnicy) mogą być przechowywane także po usunięciu treści

Na mocy RODO przysługują Ci następujące prawa:

• Prawo dostępu: wgląd w dane, które o Tobie przechowujemy
• Prawo do sprostowania: poprawienie nieprawidłowych danych (bezpośrednio w Ustawieniach lub kontaktując się z nami)
• Prawo do usunięcia: usunięcie konta w Ustawienia → Strefa wrażliwa (realizowane w ciągu 30 dni)
• Prawo do przenoszenia danych: uzyskanie kopii swoich danych w ustrukturyzowanym formacie
• Prawo sprzeciwu: sprzeciw wobec niektórych operacji przetwarzania (na przykład komunikatów handlowych lub statusu online)
• Prawo do ograniczenia: żądanie wstrzymania przetwarzania w określonych przypadkach
• Prawa związane z decyzjami zautomatyzowanymi: uzyskanie informacji o przetwarzaniu zautomatyzowanym (przyznawanie punktów, obliczanie rangi, weryfikacja poleceń) i zakwestionowanie jego wyniku

Aby skorzystać z tych praw: formularz kontaktowy. Możesz również wnieść skargę do CNIL.

Wdrożone środki techniczne i organizacyjne:

• Szyfrowanie całej komunikacji w tranzycie (HTTPS/TLS)
• Hasła szyfrowane algorytmem bcrypt (nigdy nieprzechowywane jawnie)
• Dostęp do danych ograniczony zgodnie z zasadą najmniejszych uprawnień
• Bezpieczne przechowywanie plików w Cloudflare R2 (dostęp przez tymczasowy podpisany adres URL)
• Ochrona CSRF we wszystkich formularzach (token NextAuth)
• Rejestrowanie czynności administracyjnych
• Regularne kopie zapasowe bazy danych
• W razie naruszenia ochrony danych osoby, których dotyczy, zostaną poinformowane w ciągu 72 godzin, zgodnie z RODO

Używamy technicznych plików cookie niezbędnych do działania platformy (sesja użytkownika, ochrona CSRF). Korzystamy też z pamięci lokalnej Twojej przeglądarki, aby zapamiętać Twoje preferencje (motyw jasny lub ciemny, waluta wyświetlania, język): dane te nigdy nie opuszczają Twojego urządzenia. Więcej informacji znajdziesz w naszej polityce plików cookie.

Lyriot jest dostępny dla osób w wieku co najmniej 15 lat, zgodnie z art. 7-1 francuskiej ustawy o ochronie danych. W krajach, których prawo przewiduje inny wiek (na przykład 13 lat w Stanach Zjednoczonych na mocy COPPA lub 16 lat w niektórych państwach członkowskich UE), stosuje się wiek bardziej chroniący. Nie zbieramy świadomie danych osób małoletnich, które nie osiągnęły wymaganego wieku. Jeśli uważasz, że taka osoba założyła konto, skontaktuj się z nami niezwłocznie.

Poza europejskim RODO Lyriot przestrzega następujących przepisów o ochronie danych, zależnie od Twojego kraju zamieszkania:

• Kalifornia (CCPA/CPRA): jeśli mieszkasz w Kalifornii, przysługują Ci dodatkowe prawa na mocy California Consumer Privacy Act i California Privacy Rights Act: prawo do informacji, jakie dane osobowe są zbierane, prawo do usunięcia, prawo do sprzeciwu wobec sprzedaży danych (my nie sprzedajemy Twoich danych) oraz prawo do niebycia dyskryminowanym za skorzystanie z nich. Napisz do nas na contact@lyriot.com, aby z nich skorzystać.
• Wielka Brytania (UK GDPR): przestrzegamy brytyjskiego RODO obowiązującego po brexicie. Organem nadzorczym jest ICO (Information Commissioner's Office). Twoje prawa są równoważne z tymi z europejskiego RODO.
• Brazylia (LGPD): na mocy Lei Geral de Proteção de Dados Pessoais przysługują Ci prawa dostępu, sprostowania, usunięcia, przenoszenia danych i sprzeciwu. Organem właściwym jest ANPD (Autoridade Nacional de Proteção de Dados).
• Kanada (PIPEDA + ustawa 25): przestrzegamy ustawy o ochronie informacji osobowych i dokumentach elektronicznych (PIPEDA), a w Quebecu — ustawy 25 (ustawy modernizującej przepisy o ochronie informacji osobowych). Organy: OPC (federalny) i CAI (Quebec).
• Australia (Privacy Act 1988): przestrzegamy australijskiej ustawy o prywatności i Australian Privacy Principles. Organem właściwym jest OAIC (Office of the Australian Information Commissioner).
• Japonia (APPI): na mocy ustawy o ochronie informacji osobowych (個人情報の保護に関する法律) wypełniamy obowiązki wynikające z APPI. Organem właściwym jest PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Chiny (PIPL): na mocy ustawy o ochronie informacji osobowych (个人信息保护法) przetwarzamy Twoje dane zgodnie z zasadami legalności, zasadności i niezbędności. Organem właściwym jest CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Korea Południowa (PIPA): na mocy ustawy o ochronie informacji osobowych (개인정보 보호법) przysługują Ci prawa dostępu, sprostowania, usunięcia i sprzeciwu. Organem właściwym jest PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• Indie (DPDP Act 2023): na mocy Digital Personal Data Protection Act 2023 masz prawo do informacji, sprostowania i usunięcia swoich cyfrowych danych osobowych. Organem właściwym jest Data Protection Board of India (w trakcie powoływania przez MeitY).
• Turcja (KVKK): na mocy ustawy nr 6698 o ochronie danych osobowych (Kişisel Verilerin Korunması Kanunu) przysługują Ci prawa dostępu, sprostowania i usunięcia. Organem właściwym jest KVKK (Kişisel Verileri Koruma Kurumu).
• Indonezja (UU PDP): na mocy ustawy nr 27/2022 o ochronie danych osobowych (Undang-Undang Perlindungan Data Pribadi) Twoje prawa obejmują dostęp, sprostowanie i usunięcie. Organem właściwym jest Kementerian Komunikasi dan Informatika.
• Tajlandia (PDPA): na mocy Personal Data Protection Act B.E. 2562 (2019) przysługują Ci prawa dostępu, przenoszenia danych, usunięcia i sprzeciwu. Organem właściwym jest PDPC (Personal Data Protection Committee).
• Arabia Saudyjska (PDPL): na mocy Personal Data Protection Law (نظام حماية البيانات الشخصية) przysługują Ci prawa dostępu i sprostowania. Organem właściwym jest SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Organy nadzorcze według kraju :

Możemy w każdej chwili zaktualizować niniejszą politykę. W razie istotnej zmiany poinformujemy Cię e-mailem lub powiadomieniem na platformie. Dalsze korzystanie z Lyriot po takim powiadomieniu oznacza akceptację zmian.

Niniejszą politykę sporządzono w języku francuskim. Wersje w innych językach są tłumaczeniami udostępnianymi wyłącznie w celach informacyjnych; w razie rozbieżności wiążąca jest wyłącznie wersja francuska.

Administrator danych: Lyriot, Francja.

W sprawie pytań dotyczących Twoich danych osobowych, skorzystania z praw wynikających z RODO (dostęp, sprostowanie, usunięcie, przenoszenie, sprzeciw, ograniczenie) lub wszelkich skarg na przetwarzanie Twoich danych: formularz kontaktowy albo bezpośrednio contact@lyriot.com.

Możesz również wnieść skargę do właściwego organu nadzorczego: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paryż.