Polityka prywatności

Ostatnia aktualizacja: 2026-10-14

1. Wstęp

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób TO BRIEF Ι.Κ.Ε. („TO BRIEF”, „my”, „nas”) gromadzi, wykorzystuje i chroni dane osobowe w związku ze stronami internetowymi tobrief.gr i tobrief.eu, aplikacjami mobilnymi To Brief na systemy iOS i Android oraz powiązanymi usługami (łącznie „Usługa”). TO BRIEF jest administratorem danych osobowych przetwarzanych za pośrednictwem Usługi, chyba że poniżej wyraźnie wskazano innego administratora.

Dane administratora

• Nazwa prawna: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Siedziba: Troon 26, 118 51, Ateny, Attyka, Grecja
• GEMI: 188116103000
• AFM: 803045387
• Email: [email protected]
• Kontakt w sprawie ochrony danych: [email protected]

Obecnie nie wyznaczyliśmy ustawowego Inspektora Ochrony Danych; niemniej jednak wszystkie zapytania dotyczące ochrony danych są kierowane przez powyższy dedykowany kontakt i obsługiwane zgodnie z udokumentowanym procesem, który spełnia standardy oczekiwane od funkcji IOD zgodnie z art. 37-39 RODO, tam gdzie ma to zastosowanie.

2. Jakie dane gromadzimy

Gromadzimy wyłącznie minimalną ilość danych niezbędną do świadczenia Usługi i wypełniania naszych zobowiązań prawnych.

2.1 Dane konta

Podczas rejestracji konta przechowujemy: Twój adres e-mail, bezpiecznie zahaszowane hasło, wybraną nazwę wyświetlaną (opcjonalnie), datę utworzenia konta, edycję, przez którą dokonano rejestracji (GR lub EU) oraz status subskrypcji. Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO).

2.2 Dane dotyczące korzystania ze strony internetowej i analityka

Jeśli — i tylko jeśli — wyrazisz opcjonalną zgodę na pomiary za pośrednictwem naszego banera plików cookie, gromadzimy zagregowane sygnały użytkowania za pośrednictwem Google Analytics 4, sygnały analityki UX/sesji za pośrednictwem Contentsquare/Hotjar, sygnały konwersji za pośrednictwem piksela X oraz sygnały konwersji za pośrednictwem piksela Meta (Facebook/Instagram): przeglądane strony, klasa urządzenia/przeglądarki, przybliżona lokalizacja geograficzna (kraj/region na podstawie adresu IP, nigdy surowy adres IP), źródło odesłania, czas trwania sesji, zdarzenia interakcji, sygnały trudności w obsłudze (friction signals), rejestracje i konwersje subskrypcji. Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO oraz art. 5 ust. 3 dyrektywy ePrivacy). Na podstawie tej samej zgody nasz serwer informuje również OpenAI, gdy tworzysz konto w naszej witrynie lub gdy zostanie tam zweryfikowana pierwsza płatność za Twoją subskrypcję, abyśmy mogli mierzyć i ulepszać reklamy To Brief w ChatGPT. OpenAI otrzymuje Twój adres e-mail w postaci zahaszowanej, zahaszowany losowy identyfikator klienta, odniesienie do kliknięcia reklamy w ChatGPT, jeśli wizyta pochodziła z takiej reklamy, czas oraz, w przypadku subskrypcji, kwotę i walutę. OpenAI nie zapisuje pliku cookie ani nie ładuje skryptu w Twojej przeglądarce. Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO).

2.3 Dane płatności

Płatności za subskrypcję są przetwarzane przez Stripe Payments Europe, Limited („Stripe”). Wprowadzanie danych karty jest obsługiwane przez Stripe; numery kart i kody CVV nie są przesyłane do naszych serwerów aplikacji za pośrednictwem naszego systemu płatności. Informacja o prywatności Stripe znajduje się pod adresem https://stripe.com/privacy. Otrzymujemy dane niezbędne do administrowania subskrypcjami i weryfikacji płatności: identyfikatory klienta, subskrypcji, faktury i zwrotu; kwoty i waluty płatności/zwrotu; daty i status; dane rozliczeniowe oraz dokumenty faktur. Powiązujemy te dane z Twoim kontem To Brief. Podstawa prawna: wykonanie umowy oraz obowiązek prawny w zakresie rozliczeń i księgowości. Opcjonalne wykorzystanie zweryfikowanej płatności do celów reklamowych podlega odrębnym zasadom określonym w §2.7.

2.4 Dane dotyczące skarg i zgłoszeń

Kiedy korzystasz z /report lub wysyłasz skargę e-mailem, przechowujemy: Twój adres e-mail, treść skargi, dostarczone załączniki, posolony skrót (hash) Twojego adresu IP (nie surowy adres IP), przypisany przez nas numer zgłoszenia oraz wynik dochodzenia. Podstawa prawna: prawnie uzasadniony interes (prowadzenie odpowiedzialnego serwisu informacyjnego i obrona przed roszczeniami prawnymi) oraz obowiązek prawny (art. 20 EMFA, art. 16 DSA).

2.5 Dane urządzenia i przeglądarki

Nasze serwery otrzymują standardowe metadane żądań HTTP — user-agent, Accept-Language, referrer, skrócony adres IP — które są przechowywane w logach dostępu. Podstawa prawna: prawnie uzasadniony interes (bezpieczeństwo, zapobieganie oszustwom, diagnostyka).

2.6 Kategorie wrażliwe

Nie gromadzimy świadomie szczególnych kategorii danych osobowych (art. 9 RODO), takich jak dane dotyczące zdrowia, religii, poglądów politycznych czy orientacji seksualnej. Prosimy o nieprzesyłanie takich danych w polach tekstowych.

2.7 Pomiary w aplikacji mobilnej

Korzystamy z AppsFlyer, aby zrozumieć, które kampanie prowadzą do instalacji aplikacji i pozyskania płacących subskrybentów, oraz aby ulepszać reklamy To Brief w serwisach Meta (Facebook/Instagram), X i Reddit. Ten pomiar reklamowy jest opcjonalny i opiera się na zgodzie. Dostęp do konta, administracja subskrypcją oraz dane bezpieczeństwa niezbędne do respektowania Twoich wyborów pozostają odrębnymi funkcjami usługi.

W tej wersji tylko nowi użytkownicy. Opcjonalny pomiar przez AppsFlyer rozpoczyna się dopiero po zweryfikowaniu nowego konta i pierwszej instalacji wykonanej po rozpoczęciu wdrożenia oraz po udzieleniu zgody. Istniejące konta, aktualizacje, ponowne instalacje i instalacje o niepewnym pochodzeniu są wykluczone. Warunki sprawdzamy przed prośbą o zgodę na śledzenie lub załadowaniem AppsFlyer. Wybory pomiaru dotychczasowych czytelników nie zmieniają się.

Gdy pomiar w aplikacji jest włączony i dozwolony, AppsFlyer otrzymuje swój identyfikator instalacji, dostępny identyfikator reklamowy, informacje o uruchomieniach aplikacji oraz techniczne informacje o aplikacji/urządzeniu wykorzystywane do atrybucji, analityki i zapobiegania oszustwom. Może to obejmować wersje systemu operacyjnego i aplikacji, język, diagnostykę uruchamiania oraz informacje o sieci. Jego serwery otrzymują adres IP połączenia i mogą określić przybliżoną lokalizację geograficzną. Nie żądamy dostępu do precyzyjnej lokalizacji ani GPS w celu tego pomiaru. Nasz backend przechowuje powiązanie instalacji, stan uprawnień i wersje, informacje o aplikacji/platformie, natywny czas instalacji oraz ograniczone obserwacje kampanii, jeśli są dostępne.

Po pierwszym kwalifikującym się zalogowaniu na konto, łączymy instalację z tym kontem za pomocą oddzielnego losowego identyfikatora klienta. Rejestrujemy rejestrację, początkowe kwalifikujące się użycie aplikacji, rozpoczęcie procesu płatności oraz zdarzenia zweryfikowanej subskrypcji. Jeśli płacisz na naszej stronie internetowej przy użyciu tego samego konta To Brief, możemy powiązać tę płatność z kwalifikującą się instalacją aplikacji. Dozwolone zdarzenia przesyłane przez AppsFlyer mogą obejmować rejestrację i płatności subskrypcyjne, odnowienia lub zwroty, wraz z identyfikatorem zdarzenia, kwotą, walutą i czasem. Każdy partner otrzymuje zdarzenia skonfigurowane dla swojej integracji; nie każde zdarzenie jest wysyłane do każdego partnera. Na podstawie tego samego uprawnienia w aplikacji nasz serwer wysyła również bezpośrednio do OpenAI maksymalnie trzy zdarzenia, abyśmy mogli mierzyć i ulepszać reklamy To Brief w ChatGPT: rejestrację, pierwszą zweryfikowaną płatność za subskrypcję oraz nową instalację aplikacji. Są one wysyłane wyłącznie dla kwalifikujących się nowych instalacji i wyłącznie dla zdarzeń, które nastąpiły po udzieleniu przez Ciebie zgody, nigdy dla istniejących instalacji, aktualizacji aplikacji ani ponownych instalacji. Każde zdarzenie zawiera Twój adres e-mail w postaci zahaszowanej, zahaszowany losowy identyfikator klienta, odniesienie do kliknięcia reklamy w ChatGPT, jeśli zostało zapisane przy rejestracji, czas oraz, w przypadku subskrypcji, kwotę i walutę. Odnowienia i zwroty nie są wysyłane do OpenAI.

Nie uwzględniamy Twojego adresu e-mail, imienia i nazwiska, numeru telefonu, treści komentarzy, tytułów artykułów, tematów czytania, zapytań wyszukiwania, zainteresowań politycznych, danych karty ani dokumentów faktur w tych ładunkach zdarzeń reklamowych. Udostępnianie partnerom może obejmować kwalifikujących się nowych użytkowników ze źródeł organicznych i innych źródeł kampanii, nie tylko użytkowników przypisanych do danego partnera. Jedynym wyjątkiem są zdarzenia przekazywane do OpenAI opisane w §2.2 i w tej sekcji, które zawierają Twój adres e-mail wyłącznie w postaci zahaszowanej, nigdy w postaci zwykłego tekstu.

Twój wybór. W systemie iOS standardowy monit Apple App Tracking Transparency (ATT) jest jedynym monitem o zgodę na śledzenie. Możesz go zmienić później w Ustawieniach iPhone'a. W systemie Android użyj wyboru pomiarów w aplikacji i odpowiedniej pozycji w Ustawieniach. Możesz korzystać z aplikacji po odmowie. Wybór plików cookie na stronie internetowej nie może nadpisać odmowy śledzenia w aplikacji. Aplikacja sprawdza ponownie wybór platformy po powrocie na pierwszy plan; nasz backend sprawdza aktualnie zarejestrowane uprawnienia i powiązanie z kontem przed wysłaniem zakolejkowanych zdarzeń. Wycofanie zgody zatrzymuje SDK na urządzeniu i aktualizuje nasz backend; jeśli urządzenie jest offline, aktualizacja serwera jest ponawiana po przywróceniu łączności.

Osobny mechanizm zagregowanej atrybucji Apple może pozostać aktywny po odmowie ATT. Raportuje on ograniczone wartości konwersji bez naszych identyfikatorów konta lub AppsFlyer. Wycofanie zgody zatrzymuje przyszłe pomiary reklam osobistych; nie jest to automatyczne usunięcie danych już otrzymanych przez dostawcę. Usunięcie konta rozpoczyna odpowiedni proces usuwania, usuwa lokalne obserwacje kampanii i zrywa powiązania reklamowe z przechowywanymi danymi rozliczeniowymi. Dane przechowywane przez dostawców są obsługiwane w ramach procesu usuwania, a nie uznawane za usunięte natychmiast. Możesz również zażądać usunięcia danych poprzez [email protected]. Obowiązują rozróżnienia dotyczące przechowywania danych określone w §4.

3. Dlaczego wykorzystujemy Twoje dane

Cel	Kategorie danych	Podstawa prawna
Zapewnienie doświadczenia czytania	Konto, urządzenie	Umowa, prawnie uzasadniony interes
Rozliczenia, zapobieganie oszustwom, zgodność podatkowa	Płatność, konto	Umowa, obowiązek prawny
Pomiar zaangażowania i ulepszanie produktu	Pomiar	Zgoda
Analityka UX przez Contentsquare/Hotjar	Pomiar	Zgoda
Pomiar konwersji przez piksel X	Pomiar	Zgoda
Pomiar konwersji przez piksel Meta	Pomiar	Zgoda
Pomiar konwersji reklam OpenAI (po stronie serwera)	Pomiar	Zgoda
Opcjonalny pomiar pozyskiwania aplikacji i subskrypcji	Instalacja, uprawnienia, zdarzenia konta i płatności	Zgoda
Obsługa skarg i korekt	Skargi, konto	Prawnie uzasadniony interes, obowiązek prawny
Bezpieczeństwo, wykrywanie nadużyć, reagowanie na incydenty	Urządzenie, konto	Prawnie uzasadniony interes
Przestrzeganie zgodnych z prawem żądań	Wszystkie kategorie, stosownie do potrzeb	Obowiązek prawny

Nie wykorzystujemy danych osobowych do zautomatyzowanego podejmowania decyzji, które wywołują skutki prawne lub w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO).

4. Jak długo przechowujemy Twoje dane

• Lokalne obserwacje kampanii aplikacji: wygasają 89 dni po wcześniejszej z dat: rejestracji pierwszej instalacji w backendzie lub otrzymania obserwacji kampanii, i są usuwane wcześniej w przypadku wycofania zgody lub usunięcia konta. Powtarzające się wywołania zwrotne kampanii nie przedłużają tego okresu.
• Bezpośrednie powiązania zdarzenie-instalacja: wykluczone z raportowania pomiarów po 89 dniach od zdarzenia i usuwane w ramach zaplanowanego czyszczenia. Stare roszczenia dotyczące konwersji w przeglądarce są również usuwane po 89 dniach. Identyfikatory finansowe, kwoty i minimalne rekordy zdarzeń niezbędne do zapobiegania duplikatom płatności/konwersji są oddzielone od tych powiązań reklamowych.
• Rekordy uprawnień i usuwania: rekordy instalacji niezbędne do egzekwowania wyborów, zapobiegania ponownemu przypisaniu konta i realizacji żądań usunięcia są przechowywane oddzielnie od obserwacji kampanii. Identyfikator dostawcy wymagany do oczekującego żądania usunięcia pozostaje do momentu potwierdzenia zakończenia. Ograniczony rekord blokady (suppression record) jest przechowywany, aby zapobiec ponownemu wykorzystaniu tej wycofanej tożsamości do celów reklamowych. Rekordy te nie są anonimowe i nie są wykorzystywane jako dane grupy docelowej kampanii. Przechowywanie po stronie dostawcy i indywidualne żądanie usunięcia są oddzielone od naszego lokalnego wygaśnięcia kampanii.
• Dane konta: tak długo, jak konto jest aktywne oraz do dwóch (2) lat po jego zamknięciu, w celu obsługi sporów i obciążeń zwrotnych po zamknięciu.
• Dane analityczne: czternaście (14) miesięcy dla GA4; pliki cookie pomiarowe Contentsquare/Hotjar są przechowywane zgodnie z ich celem i zazwyczaj do trzynastu (13) miesięcy w przypadku plików cookie analityki UX na poziomie użytkownika.
• Dane płatności / faktur: siedem (7) lat, aby spełnić greckie obowiązki w zakresie archiwizacji podatkowej (Κ.Φ.Α.Σ. / Ustawa 4174/2013).
• Dane dotyczące skarg: trzy (3) lata od ostatecznej odpowiedzi, zgodnie z pięcioletnim okresem przedawnienia roszczeń umownych, ale skrócone tam, gdzie to możliwe.
• Logi dostępu: dziewięćdziesiąt (90) dni.
• Kopie zapasowe: zaszyfrowane kopie zapasowe są usuwane w ciągu 35 dni.

Po tych okresach usuwamy lub nieodwracalnie anonimizujemy dane.

5. Komu udostępniamy dane

Udostępniamy dane osobowe tylko odbiorcom i w celach wymienionych tutaj. Nie sprzedajemy danych osobowych żadnym podmiotom trzecim.

• Stripe (płatności, jako niezależny administrator).
• Google Ireland Limited (GA4) — tylko jeśli wyrazisz zgodę na analitykę.
• Contentsquare/Hotjar — tylko jeśli wyrazisz zgodę na opcjonalny pomiar analityki UX.
• X — opcjonalny pomiar konwersji na stronie internetowej i dozwolone udostępnianie zdarzeń aplikacji przez AppsFlyer.
• Meta (Facebook/Instagram) — opcjonalny pomiar konwersji na stronie internetowej i dozwolone udostępnianie zdarzeń aplikacji przez AppsFlyer.
• AppsFlyer — nasz dostawca usług atrybucji i pomiarów mobilnych, w tym dozwolone powiązanie konta z subskrypcją i obsługa usuwania danych opisana w §2.7.
• Reddit — dozwolone udostępnianie zdarzeń aplikacji przez AppsFlyer w celu pomiaru i ulepszania kampanii To Brief.
• OpenAI (OpenAI Ireland Limited): opcjonalny pomiar konwersji reklam To Brief w ChatGPT, przesyłany przez nasz serwer zgodnie z opisem w §2.2 i §2.7.
• Dostawcy hostingu i infrastruktury (np. Vercel, AWS, Cloudflare) działający ściśle jako podmioty przetwarzające na podstawie umów zgodnie z art. 28.
• Doradcy zawodowi (prawnicy, księgowi, audytorzy), gdy jest to prawnie konieczne i pod warunkiem zachowania poufności.
• Właściwe organy, gdy jesteśmy do tego zobowiązani na podstawie zgodnego z prawem, konkretnego i proporcjonalnego żądania (nakaz sądowy, organ ochrony danych, organ podatkowy).

Aktualna, podlegająca audytowi lista podmiotów przetwarzających jest utrzymywana wewnętrznie i może zostać udostępniona na żądanie.

6. Międzynarodowe przekazywanie danych

Niektórzy z naszych podmiotów przetwarzających mają siedzibę w Stanach Zjednoczonych lub działają globalnie. W przypadku przekazywania danych osobowych poza EOG opieramy się na:

• Standardowych klauzulach umownych Komisji Europejskiej (decyzja 2021/914), lub
• decyzji stwierdzającej odpowiedni stopień ochrony (np. Ramy ochrony danych UE-USA, dla Stripe, Google i innych certyfikowanych importerów), lub
• Twojej wyraźnej zgodzie na ograniczone, ukierunkowane transfery.

Środki uzupełniające, takie jak szyfrowanie w trakcie przesyłania (TLS 1.2+), szyfrowanie w spoczynku oraz kontrola dostępu, są stosowane jako uzupełnienie mechanizmu prawnego transferu.

7. Twoje prawa wynikające z RODO

Masz następujące prawa wynikające z art. 15-22 RODO:

• Dostęp — potwierdzenie, że przetwarzamy Twoje dane oraz kopia tych danych.
• Sprostowanie — poprawienie niedokładnych lub niekompletnych danych.
• Usunięcie („prawo do bycia zapomnianym”) — usunięcie danych, gdy istnieją ku temu podstawy.
• Ograniczenie — ograniczenie sposobu przetwarzania Twoich danych do czasu weryfikacji.
• Przenoszenie — kopia danych w formacie nadającym się do odczytu maszynowego, które dostarczyłeś na podstawie umowy lub zgody.
• Sprzeciw — wobec przetwarzania opartego na prawnie uzasadnionych interesach, w tym profilowania.
• Wycofanie zgody — w dowolnym momencie, bez wpływu na przetwarzanie wykonane przed wycofaniem.
• Skarga do organu nadzorczego — zwłaszcza do Greckiego Urzędu Ochrony Danych Osobowych (patrz §12).

Aby skorzystać z jakiegokolwiek prawa, wyślij e-mail na adres [email protected] z adresu zarejestrowanego w systemie lub zapewnij inny rozsądny sposób weryfikacji tożsamości. Odpowiadamy w ciągu jednego (1) miesiąca, z możliwością przedłużenia o kolejne dwa (2) miesiące w przypadku skomplikowanych żądań; wyjaśnimy powód każdego przedłużenia.

8. Pliki cookie

Używamy plików cookie i podobnych technologii. Kategorie, cele i czas trwania każdego pliku cookie są opisane w Polityce plików cookie. Możesz skonfigurować swoje preferencje i wycofać zgodę w dowolnym momencie za pośrednictwem /cookie-preferences.

9. Dzieci

Usługa nie jest skierowana do dzieci poniżej piętnastego (15) roku życia, czyli wieku cyfrowej zgody w Grecji zgodnie z ustawą 4624/2019 art. 21. Nie gromadzimy świadomie danych od młodszych dzieci. Jeśli uważasz, że dziecko dokonało rejestracji, prosimy o kontakt pod adresem [email protected], a my usuniemy konto.

10. Bezpieczeństwo

Stosujemy uzasadnione handlowo środki techniczne i organizacyjne — w tym TLS, haszowane hasła (rodzina Argon2), odizolowane środowiska, zasadę ograniczonego dostępu (principle-of-least-privilege), logowanie, kopie zapasowe i procedury reagowania na incydenty — jednak żaden system nie jest w pełni bezpieczny. W przypadku naruszenia ochrony danych osobowych, które może skutkować ryzykiem dla Twoich praw, powiadomimy Grecki Urząd Ochrony Danych Osobowych w ciągu 72 godzin, zgodnie z wymogami art. 33 RODO, a w przypadku wysokiego ryzyka powiadomimy również bezpośrednio Ciebie.

11. Zmiany w niniejszej polityce

Opublikujemy zmienioną wersję pod tym adresem URL, a w przypadku istotnych zmian powiadomimy o nich z co najmniej trzydziestodniowym (30) wyprzedzeniem za pośrednictwem Usługi lub pocztą elektroniczną. Data „Ostatnia aktualizacja” na górze zawsze odzwierciedla najnowszą aktualizację. Historyczne wersje tego dokumentu są przechowywane w dzienniku zmian stron prawnych.

12. Kontakt i organ nadzorczy

• Zapytania dotyczące ochrony danych: [email protected]
• Adres pocztowy: Troon 26, 118 51, Ateny, Attyka, Grecja

Masz prawo wnieść skargę do Greckiego Urzędu Ochrony Danych Osobowych (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Strona internetowa: https://www.dpa.gr
• Adres pocztowy: Kifissias 1-3, 115 23 Ateny, Grecja

Mieszkańcy UE spoza Grecji mogą również skontaktować się z organem nadzorczym w swoim państwie członkowskim zwykłego pobytu.