RentRay — dokument prawny
Polityka prywatności
Niniejsza Polityka prywatności stanowi informację, której administrator danych osobowych obowiązany jest udzielić zgodnie z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
Obowiązuje od: 15 września 2026 r. — Wersja: 2026-09-15-v1
1. Administrator Danych
Administratorem Twoich danych osobowych jest [MANUAL REQUIRED: Nazwa Firmy / Imię i nazwisko] z siedzibą w [MANUAL REQUIRED: MIEJSCOWOŚĆ], przy [MANUAL REQUIRED: ADRES], NIP: [MANUAL REQUIRED: NIP] (dalej „Administrator” lub „my”).
Kontakt w sprawach związanych z prywatnością możliwy jest pod adresem e-mail: kontakt@rentray.pl. Z uwagi na skalę działalności, obecnie nie powołaliśmy Inspektora Ochrony Danych (IOD).
2. Cele i podstawy przetwarzania Twoich danych (Art. 13 RODO)
Przetwarzamy dane osobowe naszych Użytkowników wyłącznie w określonych celach:
- Rejestracja i obsługa Konta: adres e-mail, identyfikator Użytkownika. Podstawa: wykonanie umowy o świadczenie usług (art. 6 ust. 1 lit. b RODO).
- Płatności i fakturowanie (Zakup Tokenów): identyfikatory transakcji (Stripe Session ID), wybrany pakiet, historia zakupów, e-mail podany przy kasie. Nie przechowujemy Twoich pełnych danych kart płatniczych (robi to wyłącznie operator Stripe). Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO) oraz realizacja obowiązków prawno-podatkowych (art. 6 ust. 1 lit. c RODO).
- Wysyłka e-maili transakcyjnych: powiadomienia o logowaniu, udanym zakupie lub zakończeniu analizy (gotowy Raport). Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO) i uzasadniony interes w postaci bezpieczeństwa (art. 6 ust. 1 lit. f RODO).
- Gromadzenie dowodów prawnych: zapisanie dokładnej wersji akceptowanego Regulaminu (hash, timestamp). Podstawa: obowiązek rozliczalności i obrona przed roszczeniami (art. 6 ust. 1 lit. c oraz f RODO).
3. Informacja dla osób wystawiających ogłoszenia (Art. 14 RODO)
Użytkownicy wklejają do naszego systemu linki do ogłoszeń nieruchomości (np. z OLX, Otodom). RentRay zautomatyzowanie pobiera treść takich ogłoszeń. Może ona zawierać dane osobowe osób wystawiających (np. imię, pseudonim, nazwę agencji pośrednictwa, informacje opisowe zawarte w ofercie).
Źródło danych: publicznie dostępne portale ogłoszeniowe w Internecie (konkretny URL wskazany każdorazowo przez Użytkownika RentRay).
Zakres pobieranych danych i minimalizacja: Pobieramy surowy tekst ogłoszenia. Zanim tekst trafi do jakiejkolwiek analizy AI (lub zostanie na stałe zapisany w naszej bazie bazy danych), systematycznie usuwamy/redagujemy numery telefonów oraz adresy e-mail (tzw. Data Minimisation). Zapisywany jest jedynie niezbędny kontekst pomagający w wycenie kosztów i zanonimizowanej identyfikacji typu sprzedawcy (prywatny / firma).
Cel i podstawa: Dane z ogłoszeń przetwarzamy na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), w celu świadczenia usługi weryfikacji oferty i szacowania opłat najmu.
Ocena z Art. 14(5)(b) RODO: Ponieważ numery telefonów i maile są od razu usuwane przez nasz system redukcji PII (lub są całkowicie ukryte przez portale), a system przetwarza linki dostarczane przez Użytkowników ad-hoc, indywidualne powiadamianie każdego wystawiającego wymagałoby niewspółmiernie dużego wysiłku (lub było fizycznie niemożliwe). Z tego powodu udostępniamy powyższą informację publicznie i zapewniamy pełną realizację praw (w tym prawa do sprzeciwu/usunięcia danych na żądanie).
4. Sztuczna Inteligencja (AI) i udostępnianie danych
Do generowania Raportów wykorzystujemy infrastrukturę AI (API Gemini dostarczane przez Google LLC).
Konfiguracja chroniąca prywatność (Data Minimisation): Do API Gemini wysyłamy zredagowany (pozbawiony e-maili/telefonów) tekst ogłoszenia. Nigdy nie wysyłamy tam adresu e-mail naszego Użytkownika, identyfikatora konta, ani danych płatniczych.
5. Odbiorcy danych (Procesorzy) i Transfery poza EOG
Współpracujemy wyłącznie z podmiotami dostarczającymi niezbędną infrastrukturę. Większość dostawców uczestniczy w EU-US Data Privacy Framework (DPF) lub stosuje SCC. Aktualny status weryfikacji Data Processing Agreements (DPA):
- Supabase (Auth, DB) – DPA Zweryfikowane (infrastruktura zlokalizowana w EOG).
- Stripe (Płatności) – DPA Zweryfikowane (Niezależny Administrator oraz Procesor, USA/DPF).
- Google LLC (Gemini API) – PENDING / UNVERIFIED. Ze względu na fakt, że nasza obecna infrastruktura znajduje się w fazie audytu i nie potwierdzono oficjalnie posiadania płatnego planu (Paid API / Cloud DPA), traktujemy API dostawcy w sposób ostrożnościowy. Google w darmowych planach może wykorzystywać prompty do analiz własnych. Z tego powodu stosujemy surową anonimizację (redagowanie PII) w kodzie – żadne bezpośrednie identyfikatory nie opuszczają naszego systemu. Wdrożenie płatnego DPA jest traktowane jako ACTION REQUIRED przed publicznym startem.
- Vercel (Hosting Edge) – ACTION REQUIRED. Zgodnie z oficjalną dokumentacją Vercel Data Processing Agreement obejmuje wyłącznie plany Pro oraz Enterprise. Ponieważ wdrożenie projektu funkcjonuje w darmowym planie Hobby, brakuje formalnych gwarancji RODO. Zmiana planu na Pro jest obowiązkowa (Status: UNVERIFIED).
- Dostawca E-mail (np. Resend) – Procesor e-maili transakcyjnych (Status: PENDING BEFORE PROD).
6. Harmonogram Retencji Danych
Przechowujemy dane tylko tak długo, jak jest to niezbędne w określonym celu.
| Kategoria danych | Okres retencji | Podstawa |
|---|---|---|
| Dane profilowe (e-mail, konto) | Natychmiastowo usuwane z chwilą zamknięcia konta. | Art. 6(1)(b) |
| Gotowy Raport AI (ReportData) | Do momentu usunięcia raportu lub zamknięcia konta przez Użytkownika. | Art. 6(1)(b) |
| Surowe dane ogłoszenia (Raw Source Text) | Przetwarzane wyłącznie w pamięci operacyjnej do momentu zredagowania. W bazie (jako element raportu) zapisywana jest WYŁĄCZNIE wersja zanonimizowana/pozbawiona danych kontaktowych. | Art. 6(1)(b) / f |
| Dane wystawiającego ogłoszenie (Seller Data) | Minimalizowane tuż po pobraniu; telefony i e-maile są automatycznie usuwane (Data Minimisation). W bazie ląduje tylko oszacowany typ sprzedawcy (prywatny/agencja) użyty jako parametr raportu. | Art. 6(1)(f) |
| Dowody zakupów (Stripe Session), faktury | 5 lat (zgodnie z przepisami rachunkowo-podatkowymi). Nie są automatycznie usuwane przy kasowaniu konta. | Art. 6(1)(c) |
| Dowody zgód konsumenckich (checkout_consents) | Do upływu okresu przedawnienia roszczeń konsumenckich (obrona prawna). | Art. 6(1)(f) / c |
| Logi bezpieczeństwa i idempotencji maili (email_events) | Krótkoterminowo (rotacyjne usunięcie). Nie są powiązane z Tobą po usunięciu konta. | Art. 6(1)(f) |
8. Twoje Prawa
Niezależnie czy jesteś Użytkownikiem serwisu, czy osobą wystawiającą ogłoszenie, przysługują Ci prawa:
- Dostępu do treści swoich danych oraz ich kopii,
- Sprostowania, ograniczenia przetwarzania oraz usunięcia („prawo do bycia zapomnianym”),
- Wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (Art. 21).
Najprostszym sposobem usunięcia swoich danych dla Użytkowników jest kliknięcie "Usuń konto" w panelu ustawień – wymazuje to całą wygenerowaną historię raportów z bazy produkcyjnej.
Masz prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), jeśli uznasz, że przetwarzanie Twoich danych osobowych narusza przepisy RODO.