Polityka prywatności

1.Administrator i kontakt

1. Administratorem danych osobowych użytkowników serwisu skionline.pl jest SKIONLINE Sp. z o.o., ul. Prosta 109, Kawęczynek, 05-520 Konstancin-Jeziorna, KRS 0000815915, NIP 123-145-56-23 (dalej: my).
2. Forum skionline.pl/forum/ ma osobny regulamin, dostępny na forum. Administratorem danych forumowiczów też jesteśmy my: jakie dane forum zbiera i jak długo je przechowuje, opisuje wiersz „Forum” w pkt 3 i regulamin forum.
3. W sprawach danych osobowych pisz na [email protected] albo listownie na adres siedziby. Spraw danych osobowych nie prowadzimy telefonicznie.
4. Nie wyznaczyliśmy inspektora ochrony danych; nie mamy takiego obowiązku.
5. W części spraw administratorem jest inny podmiot: ubezpieczyciel (pkt 4), organizator wyjazdu albo dostawca usługi (pkt 5), operator płatności, Google przy reklamach i pomiarze reklam oraz Meta przy pomiarze reklam (pkt 7.2). Wskazujemy to przy każdym celu.

2.Skąd mamy dane

• od ciebie: formularze (kontakt, zapytanie o ofertę wyjazdu, prośba o oddzwonienie, opinia o serwisie, zakup ubezpieczenia, rezerwacja wyjazdu, „Moja polisa”, newsletter, raport o warunkach na stoku), e‑maile i rozmowy telefoniczne o wyjazdach (rozmów nie nagrywamy),
• od osoby, która podała twoje dane jako ubezpieczonego lub uczestnika wyjazdu (ta osoba potwierdza, że ma twoją zgodę),
• od organizatora wyjazdu, gdy potwierdza, zmienia albo odwołuje rezerwację,
• automatycznie: dane techniczne połączenia (pkt 9) i, po twojej zgodzie, dane z plików cookie (polityka cookies),
• z poprzedniej wersji serwisu: raporty o warunkach na stoku, które były tam już publiczne, z datą i podpisem (pkt 3),
• ze źródeł publicznych: ogólnodostępne wizytówki firm w internecie i strony firm (pkt 6) oraz źródła treści redakcyjnych.

3.Po co i na jakiej podstawie przetwarzamy dane

Skróty podstaw z art. 6 ust. 1 RODO: (a) zgoda, (b) umowa lub działania przed jej zawarciem, (c) obowiązek prawny, (f) nasz prawnie uzasadniony interes (podany w nawiasie). Zapis i odczyt informacji w twoim urządzeniu w celach innych niż niezbędne (statystyka, reklama) wymaga dodatkowo zgody z art. 399 Prawa komunikacji elektronicznej.

3.1. Formularz kontaktowy

1. Administratorem danych z formularza kontaktowego jesteśmy my (pkt 1). Podajesz temat (redakcja, reklama i współpraca, wyjazd, ubezpieczenie, forum i konto, inna sprawa), imię, adres e‑mail i treść wiadomości. Wszystkie pola są potrzebne, żeby odpowiedzieć; bez nich wiadomość nie wyjdzie.
2. Dane przetwarzamy, żeby odpowiedzieć na wiadomość i prowadzić dalszą korespondencję: to nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Gdy pytasz o wyjazd albo polisę przed zakupem, podstawą są też działania przed zawarciem umowy (art. 6 ust. 1 lit. b RODO).
3. Wiadomość trafia do zaszyfrowanej kolejki wysyłki w serwisie, a z niej e‑mailem do naszej skrzynki [email protected] (Google Workspace); odpowiadamy na podany adres e‑mail. Treści nie zapisujemy w logach ani w adresie strony. Wiadomość w kolejce usuwamy 90 dni od wysłania, a kopię w skrzynce przechowujemy do 12 miesięcy od ostatniej wiadomości w sprawie; jeśli sprawa dotyczy rezerwacji albo polisy, korespondencję usuwamy razem z danymi tej umowy (tabela wyżej).
4. Adres IP wysyłającego służy tylko do limitu wysyłek (kilka wiadomości w ciągu kilku minut) i jest liczony w pamięci serwera, bez trwałego zapisu. Formularz chroni też niewidoczny test Cloudflare Turnstile (pkt 7).
5. Masz prawa z pkt 11, w tym prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Nie przetwarzamy numerów PESEL, numerów dokumentów tożsamości, danych o zdrowiu (zgłoszenia szkód prowadzi ubezpieczyciel) ani danych kart płatniczych.

4.Ubezpieczenie: kto jest administratorem

1. Przy sprzedaży ubezpieczenia działamy wyłącznie jako agent ubezpieczyciela: zbieramy dane z kalkulatora i formularza (ubezpieczający i ubezpieczeni), przekazujemy je ubezpieczycielowi, pobieramy składkę w jego imieniu i doręczamy polisę. Administratorem tych danych jest Inter Partner Assistance S.A. Oddział w Polsce, ul. Giełdowa 1, 01-211 Warszawa (Regulamin AXA § 8), a my przetwarzamy je w jego imieniu, na podstawie umowy agencyjnej i zgodnie z jego poleceniami (Broszura RODO ubezpieczyciela: agenci przetwarzają dane „na podstawie umowy z administratorem i wyłącznie zgodnie z poleceniami AXA”). Zasady przetwarzania przez ubezpieczyciela opisuje Broszura RODO, którą dostajesz przed zakupem.
2. Sami jesteśmy administratorem tylko tego, co musimy przechowywać we własnym imieniu: rozliczeń składek i prowizji oraz płatności przez nasz rachunek P24, dowodów wykonania naszych obowiązków informacyjnych i określenia potrzeb (twoich odpowiedzi z kalkulatora), reklamacji i korespondencji skierowanych do nas oraz danych potrzebnych do obrony przed roszczeniami. Okresy: tabela w pkt 3.
3. Podając dane innych osób, potwierdzasz, że masz ich zgodę na przekazanie danych ubezpieczycielowi i przekażesz im informacje z Broszury RODO.

5.Wyjazdy: organizator jako administrator

1. Dane uczestników i osoby rezerwującej przekazujemy organizatorowi wybranej imprezy albo dostawcy usługi pojedynczej, wskazanemu w ścieżce rezerwacji przed potwierdzeniem, przez system rezerwacyjny, z którego korzystają organizatorzy. Organizator albo dostawca jest administratorem tych danych w zakresie zawarcia i wykonania umowy; informacje o jego przetwarzaniu znajdziesz w jego warunkach i w zgodach organizatora w ścieżce rezerwacji.
2. Już w trakcie rezerwacji, gdy zaznaczasz albo zmieniasz usługi dodatkowe, przekazujemy organizatorowi przez system rezerwacyjny dane uczestników (imiona, nazwiska, daty urodzenia, płeć) i wybrane usługi, żeby sprawdzić u niego cenę i dostępność, zanim przejdziesz dalej. Podstawą jest umowa, a dokładniej działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO). Na tym etapie nie przekazujemy danych kontaktowych osoby rezerwującej.
3. My jesteśmy administratorem w zakresie czynności agenta turystycznego: obsługi rezerwacji, zapisu potwierdzenia danych organizatora, płatności i zwrotów, „mojej rezerwacji”, odstąpienia i zmian, reklamacji i rozliczeń.
4. Ten punkt zastępuje dotychczasowy dokument „Obowiązek informacyjny” (PDF) ze stron wyjazdów.

6.Dane firm w katalogu okolicy

1. W katalogach wypożyczalni, szkół narciarskich, parkingów, restauracji i innych miejsc przy ośrodkach pokazujemy nazwę, adres, położenie na mapie, telefon, stronę internetową, logo i ocenę. Dane pochodzą z ogólnodostępnych wizytówek firm w internecie i ze stron internetowych firm; odświeżamy je co miesiąc.
2. Jeśli prowadzisz działalność jednoosobową, te dane mogą być twoimi danymi osobowymi. Przetwarzamy je na podstawie prawnie uzasadnionego interesu: informowania narciarzy o usługach przy stokach. Nie łączymy ich z innymi danymi i nie profilujemy. Nie informujemy każdej osoby z osobna, bo przy liczbie wpisów wymagałoby to niewspółmiernego wysiłku; zamiast tego publikujemy tę informację.
3. Możesz zgłosić sprzeciw, poprawkę lub prośbę o usunięcie wpisu na [email protected], podając nazwę i adres miejsca. Wpis ukrywamy albo poprawiamy w ciągu 14 dni i blokujemy jego ponowne pokazanie; w tym celu rekord wpisu zostaje w bazie, niewidoczny w serwisie.

7.Odbiorcy danych

7.1. Podmioty przetwarzające na nasze zlecenie

7.2. Odrębni administratorzy

• Inter Partner Assistance S.A. Oddział w Polsce (ubezpieczenie, pkt 4),
• organizator wyjazdu albo dostawca usługi (pkt 5), a przy zapytaniu o ofertę promowaną jej organizator (pkt 3),
• PayPro S.A., ul. Pastelowa 8, 60-198 Poznań (płatności Przelewy24, według swojej polityki prywatności),
• Google Ireland Limited przy reklamach Google w serwisie oraz przy pomiarze konwersji reklam Google Ads i remarketingu (warunki „Google Ads Controller-Controller Data Protection Terms”); jak Google wykorzystuje dane z witryn partnerów,
• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlandia, przy Pikselu Meta: za zebranie danych na naszej stronie i ich przesłanie Meta odpowiadamy wspólnie z Meta (art. 26 RODO, wyrok TSUE C-40/17 Fashion ID; „Załącznik dotyczący administratora” Meta); istotę tych uzgodnień udostępniamy na życzenie (art. 26 ust. 2 RODO), a wnioski możesz kierować do nas albo do Meta; za dalsze przetwarzanie odpowiada sama Meta według zasad dotyczących danych Meta,
• Cloudflare, Inc. w zakresie, w jakim wykorzystuje sygnały z testu Turnstile do ulepszania wykrywania botów,
• dostawcy map i treści osadzonych: lista, moment wczytania i przekazywane dane w polityce cookies, pkt 6,
• organy publiczne, gdy przepis tego wymaga.

8.Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Serwis, forum, baza i kopie zapasowe są w Polsce (OVH), poczta e‑mail w Google Workspace; co do zasady przetwarzamy dane w EOG. Poza EOG mogą trafić:
   • dane techniczne (adres IP, identyfikatory z plików cookie, odwiedzane strony i zdarzenia) do Google LLC przy statystyce odwiedzin, reklamach i pomiarze konwersji Google Ads, do Meta Platforms, Inc. przy Pikselu Meta oraz do Cloudflare, Inc. przy dostarczaniu treści i teście Turnstile: na podstawie decyzji Komisji Europejskiej (UE) 2023/1795 o odpowiednim stopniu ochrony (EU-US Data Privacy Framework), do którego te firmy przystąpiły,
   • korespondencja e‑mail w Google Workspace do Google LLC: na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) i standardowych klauzul umownych,
   • treść przesyłana przez funkcje serwisu (raporty o warunkach na stoku) i dane wpisów katalogu firm, które Anthropic Ireland, Limited przekazuje do Anthropic, PBC (USA) jako dalszego podmiotu przetwarzającego: na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (decyzja wykonawcza (UE) 2021/914), włączonych do umowy powierzenia,
   • dane ubezpieczenia w grupie AXA: wiążące reguły korporacyjne opisane w Broszurze RODO ubezpieczyciela.
2. Odtwarzacze, kamery i zdjęcia satelitarne mapy (Esri, USA) wczytywane po twoim kliknięciu łączą twoją przeglądarkę bezpośrednio z dostawcą (polityka cookies, pkt 6).
3. Kopię zabezpieczeń możesz uzyskać, pisząc na [email protected].

9.Dane techniczne, logi i lokalizacja

1. Serwer zapisuje adres IP, adres żądanej strony z parametrami, przeglądarkę, czas i stronę odsyłającą. Logi służą do wykrywania nadużyć i usuwania błędów; przechowujemy je 14 dni. W logu dostępu parametry punkt= i obszar= i wszystko po pierwszym z nich (w adresie i w stronie odsyłającej) zastępujemy znakiem ~. Log błędów maskujemy tak samo przy codziennej rotacji, więc log błędów z bieżącego dnia może przez najwyżej dobę zawierać te parametry bez maskowania.
2. Funkcja „Szukaj w pobliżu” i przycisk lokalizacji na mapie korzystają z lokalizacji przeglądarki tylko po twoim kliknięciu i po zgodzie w przeglądarce. Nie zapisujemy lokalizacji w bazie. Adres strony z wynikiem zawiera położenie zaokrąglone do ok. 1 km (parametr punkt=); strona nie jest indeksowana. Wyszukiwanie w obszarze mapy przekazuje granice widocznego obszaru (parametr obszar=), które przy małym obszarze też wskazują miejsce. Oba parametry maskujemy w logach jak w ust. 1.
3. Mapa pobiera kafelki z serwera OpenFreeMap, a po włączeniu przełącznika „Satelita” (wybór zapamiętujemy, więc kolejne mapy wczytują zdjęcia od razu) zdjęcia z serwerów Esri: dostawca otrzymuje adres IP i współrzędne oglądanego obszaru (polityka cookies, pkt 6).
4. Limity wysyłek i zapytań liczymy w pamięci serwera, bez trwałego zapisu. Wyjątek to limit jednego raportu o warunkach dziennie na ośrodek z jednego adresu: zapisujemy przy raporcie skrót (HMAC) adresu IP, a przy IPv6 sieci /64, liczony z tajnym kluczem serwera, bez samego adresu, i usuwamy go po 7 dniach (pkt 3).
5. Forum działa na naszych serwerach w OVH i zapisuje własne logi.
6. Widget pogodowy osadzony na innych stronach pobiera dane z naszego serwera. W rejestrze osadzeń zapisujemy tylko adres (host) strony, ośrodek, wariant i liczniki wyświetleń (tabela w pkt 3). Samo żądanie trafia jednak do logu serwera z ust. 1 (adres IP odwiedzającego i adres strony odsyłającej) na ten sam okres.
7. Aplikacja (PWA) nie zbiera dodatkowych danych: service worker przechowuje w przeglądarce tylko stronę o braku połączenia i nic nam nie wysyła (polityka cookies, pkt 3).

10.Bezpieczeństwo

Dane ubezpieczających, ubezpieczonych, uczestników wyjazdów i treść wiadomości przechowujemy zaszyfrowane, z okresową wymianą kluczy. Dostęp do danych klientów mają tylko upoważnione osoby po zalogowaniu. Połączenia z serwisem są szyfrowane (HTTPS). Linki do polisy i rezerwacji zawierają unikalny klucz i wygasają.

11.Twoje prawa

1. Masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (gdy podstawą jest umowa lub zgoda) i cofnięcia zgody w każdej chwili bez wpływu na wcześniejsze przetwarzanie. Zgodę na pliki cookie wycofasz linkiem „Ustawienia zgód” w stopce strony albo w polityce cookies.
2. Masz prawo w każdej chwili wnieść sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, w tym wobec wpisu w katalogu firm. Po sprzeciwie przestajemy przetwarzać dane, chyba że wykażemy ważne, nadrzędne podstawy.
3. Wniosek wyślij na [email protected]. Odpowiadamy w ciągu miesiąca; przy złożonych sprawach możemy wydłużyć termin o kolejne dwa miesiące, o czym poinformujemy. Możemy poprosić o potwierdzenie tożsamości, np. przez odpowiedź z adresu e‑mail użytego przy zakupie.
4. Wnioski dotyczące danych wniosku ubezpieczeniowego, polisy lub szkody przekazujemy ubezpieczycielowi, a dotyczące wykonania imprezy organizatorowi, i informujemy cię o tym.
5. Raport o warunkach na stoku usuniemy na prośbę autora. Raporty nie są przypisane do konta, więc w prośbie (przez formularz kontaktowy albo na [email protected]) podaj ośrodek, datę, podpis i początek opisu raportu; na tej podstawie potwierdzamy, że raport jest twój.
6. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
7. Podanie danych jest dobrowolne, ale bez danych oznaczonych jako wymagane nie zawrzemy umowy ani nie odpowiemy na wiadomość.

12.Profilowanie, decyzje automatyczne, marketing, statystyka i reklamy

1. Sami nie profilujemy użytkowników i nie podejmujemy wobec nich decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywołują wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływają (art. 22 RODO). Składkę wylicza kalkulator według taryfy ubezpieczyciela; przetwarzanie po stronie ubezpieczyciela opisuje jego Broszura RODO.
2. Newsletter wysyłamy tylko za zgodą (pkt 3). System wysyłkowy zapisuje, które wiadomości otworzyłeś i które linki kliknąłeś; używamy tego wyłącznie do mierzenia skuteczności newslettera, nie do personalizacji treści ani ofert. System wysyłkowy nie pozwala wyłączyć tego pomiaru dla jednej osoby, dlatego sprzeciw wobec niego (pkt 11) oznacza wypisanie z newslettera. Wiadomości mogą zawierać reklamy naszych partnerów, oznaczone jako reklama; adresów subskrybentów partnerom nie przekazujemy. Innego marketingu bezpośredniego nie prowadzimy.
3. Do statystyki odwiedzin używamy Google Analytics 4 wczytywanego przez Google Tag Manager. Pliki cookie Google Analytics zapisują się dopiero po twojej zgodzie na statystykę w banerze zgód. Bez zgody Google dostaje tylko pomiary bez plików cookie i bez identyfikatora przeglądarki (tryb zgody Google, Consent Mode), z których szacuje ruch. Adresy stron z kluczami dostępu są usuwane, a dane osobowe z formularzy nie są wysyłane. Nie łączymy tych statystyk z danymi klientów. Szczegóły: polityka cookies, pkt 4.
4. W serwisie wyświetlamy reklamy przez Google Ad Manager (także kampanie naszych partnerów) i Google AdSense. Bez twojej zgody na reklamy Google pokazuje reklamy ograniczone, bez plików cookie, a po zgodzie w banerze zapisuje pliki reklamowe i pokazuje reklamy dopasowane do twoich zainteresowań (zasady Google dotyczące reklam).
5. Po twojej zgodzie na reklamy mierzymy skuteczność naszych reklam w Google Ads i w Meta (Facebook, Instagram) i budujemy grupy odbiorców reklam (remarketing) w Google Ads i Meta: tagi konwersji i remarketingu Google Ads i Piksel Meta z kontenera Google Tag Manager zapisują identyfikatory w plikach cookie i przekazują zdarzenia (odsłony stron, wejście z reklamy, wyszukiwanie, wyświetlenie karty hotelu albo oferty, rozpoczęcie zakupu, zapytanie o ofertę, zakup polisy, rezerwacja). Google i Meta mogą przypisać cię do grupy odbiorców naszych reklam w swoich serwisach i mierzyć, czy po kliknięciu reklamy doszło do zapytania, zakupu polisy albo rezerwacji; Meta może też powiązać te dane z kontem na Facebooku lub Instagramie i wykorzystać je do własnych celów jako odrębny administrator. Jeśli w ustawieniach Meta działa automatyczne zaawansowane dopasowanie, Piksel Meta po twojej zgodzie może też przesłać Meta dane kontaktowe wpisane w formularzach na stronie w postaci zaszyfrowanej skrótem (hash); danych z formularzy zakupu ubezpieczenia i rezerwacji nasz kod mu nie przekazuje. Bez zgody na reklamy tagi Google Ads nie zapisują plików cookie i wysyłają tylko pomiar bez plików cookie i bez identyfikatora przeglądarki (tryb zgody Google; podstawą jest nasz prawnie uzasadniony interes w pomiarze skuteczności reklam), a Piksel Meta się nie wczytuje. Zgodę wycofasz w „Ustawieniach zgód” (polityka cookies, pkt 8); reklamy dobierane na podstawie twojej aktywności wyłączysz też w ustawieniach konta Google (adssettings.google.com) i konta na Facebooku (instrukcja w Centrum pomocy Facebooka). Szczegóły: polityka cookies, pkt 4.

13.Wiek

Zakup ubezpieczenia i rezerwacja wymagają 18 lat. Dane dzieci jako ubezpieczonych lub uczestników wyjazdu podaje ubezpieczający albo osoba rezerwująca.

14.Zmiany polityki

Politykę zmieniamy, gdy zmieniają się przepisy, zakres usług lub dostawcy. Nowa wersja ma datę w nagłówku; poprzednie wersje udostępniamy na prośbę. O zmianach istotnych dla osób, z którymi mamy umowę, informujemy e‑mailem.