Polityka prywatnosci

§1 Kto jest administratorem twoich danych

Administratorem serwisu fibon.pl i danych przekazywanych w jego ramach jest Grzegorz Adamczyk, działający pod marką Fibon.

Dane kontaktowe:

• Adres: ul. Krótka 7, 26-026 Bilcza
• NIP: 6572799183
• E-mail: info@fibon.pl Nie powołuję Inspektora Ochrony Danych (DPO) — skala działalności i brak przetwarzania danych szczególnych kategorii (RODO Art. 9) nie wymagają tego prawnie. We wszystkich sprawach związanych z ochroną danych piszesz bezpośrednio na info@fibon.pl z tematem [RODO] — odpowiadam osobiście.

Realizuję obowiązek informacyjny z RODO Art. 13 — dowiesz się stąd, jakie dane zbieram, po co, na jakiej podstawie prawnej, komu je powierzam, jak długo przechowuję, jakie masz uprawnienia i jak je egzekwować.

§2 Cele przetwarzania i podstawy prawne

Przetwarzam twoje dane w sześciu celach. Każdy ma swoją podstawę prawną wskazaną w RODO Art. 6 ust. 1.

Zamówienia złożone w sklepie sklep.fibon.pl przetwarzam jako ten sam administrator, na zasadach polityki prywatności sklepu.

Cookies analityczne i marketingowe — tylko gdy wyrazisz zgodę

• Podstawa: Art. 6 ust. 1 lit. a RODO (twoja zgoda).
• Forma zgody: granularny panel cookies — wybierasz kategorie świadomie, na starcie wszystko opcjonalne jest wyłączone. Zgodę możesz wycofać w każdej chwili przez link "Zarządzaj cookies" w stopce strony.
• Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonałem przed wycofaniem.

Formularz kontaktowy

• Podstawa: Art. 6 ust. 1 lit. b RODO (czynności przed zawarciem umowy) lub lit. f (uzasadniony interes — odpowiedź na twoją wiadomość).
• Jakie dane: imię, adres e-mail, treść wiadomości; opcjonalnie telefon, nazwa firmy, NIP i informacje o twoim projekcie.
• Dobrowolność: podanie danych jest dobrowolne, ale niezbędne, żeby otrzymać ode mnie odpowiedź. Bez adresu e-mail nie mam gdzie wysłać odpowiedzi. Pozostałe pola (telefon, firma, NIP, informacje o projekcie) są w pełni opcjonalne — pomagają mi wycenić projekt, ale nie są warunkiem nawiązania kontaktu.
• Przepływ danych: zgłoszenie przechodzi przez ochronę przed spamem Cloudflare Turnstile i moją instancję n8n do CRM w Notion, a o nowym zgłoszeniu powiadamia mnie Slack.
• Okres przechowywania: do momentu, aż poprosisz o usunięcie, lub aż upłynie 36 miesięcy bez aktywnej komunikacji.

Kontakt e-mailowy

• Podstawa: Art. 6 ust. 1 lit. b RODO (czynności przed zawarciem umowy) lub lit. f (uzasadniony interes, czyli odpowiedź na twoją wiadomość).
• Jakie dane: adres e-mail, imię i nazwisko lub nazwa nadawcy, temat i treść wiadomości oraz dane ze stopki.
• Automatyczna kategoryzacja: przychodzące wiadomości są automatycznie sortowane. Model językowy rozpoznaje rodzaj sprawy i wstępnie ocenia, czy zapytanie pasuje do mojej oferty (więcej w §5).
• Prawo sprzeciwu: możesz w każdej chwili sprzeciwić się tej ocenie (RODO Art. 21), pisząc na info@fibon.pl, a twoje maile obsłużę bez niej.
• Przepływ danych: poczta trafia do Google Workspace, a moja instancja n8n przekazuje ją do kategoryzacji w Groq i Google Gemini API, zapisuje zapytanie w CRM w Notion i powiadamia mnie na Slacku.
• Okres przechowywania: jak przy formularzu kontaktowym.

Współpraca przy zleceniu

• Podstawa: Art. 6 ust. 1 lit. b RODO (wykonanie umowy), lit. c (obowiązek prawny, czyli rozliczenia podatkowe) i lit. f (uzasadniony interes, czyli ustalenie, dochodzenie lub obrona roszczeń).
• Jakie dane: dane kontaktowe, dane do rozliczenia (np. nazwa firmy, NIP, adres), ustalenia i korespondencja dotycząca zlecenia.
• Odbiorcy: jeśli rozliczamy zlecenie przez serwis Useme, przekazuję mu dane potrzebne do rozliczenia, a Useme przetwarza je jako odrębny administrator.
• Okres przechowywania: dokumenty rozliczenia przechowuję przez okres wymagany przepisami podatkowymi, a korespondencję i inne dane potrzebne do ewentualnych roszczeń do upływu terminu ich przedawnienia. Dotyczy to także danych z formularza i maili, jeśli po zapytaniu zlecisz mi pracę.

Newsletter — jeśli się zapiszesz

• Podstawa: Art. 6 ust. 1 lit. a RODO (twoja zgoda, potwierdzona kliknięciem linku aktywacyjnego w mailu).
• Jakie dane: adres e-mail (niezbędne); opcjonalnie imię (do personalizacji wiadomości).
• Dobrowolność: zapis do newslettera jest dobrowolny. Brak zapisu nie blokuje dostępu do żadnej części serwisu.
• Okres przechowywania: do momentu, aż się wypiszesz (link "Wypisz się" w każdym mailu) lub poprosisz o usunięcie. Po wypisie kasuję twoje dane z bazy newslettera w ciągu kilku dni.

Logi serwera — zawsze, bez zgody, uzasadniony interes

• Podstawa: Art. 6 ust. 1 lit. f RODO (bezpieczeństwo serwisu, wykrywanie nadużyć i prób ataku).
• Jakie dane: adres IP, data i czas żądania, adres odwiedzanej strony, informacje o przeglądarce i systemie. Logi zapisuje automatycznie hosting Vercel, a przy formularzu także Cloudflare Turnstile.
• Retencja: maksymalnie 90 dni, potem są kasowane lub agregowane do anonimowych statystyk.
• Wykorzystanie: logi służą wyłącznie do administrowania serwisem i obrony przed atakami. Nie używam ich do identyfikacji konkretnych osób ani do profilowania marketingowego.

§3 Cookies — co używamy, kiedy i dlaczego

Cookies dzielę na trzy kategorie zgodnie z EDPB Guidelines 2/2023 (interpretacja Art. 5 ust. 3 dyrektywy ePrivacy) oraz polskim prawem (art. 399 Prawa komunikacji elektronicznej). Niezbędne włączam zawsze — bez nich strona albo nie zadziała, albo nie zapamięta twojej decyzji o zgodach. Analityczne i marketingowe — tylko gdy wyrazisz zgodę w panelu cookies.

Domyślnie wszystko opcjonalne jest wyłączone (denied). Nie stosujemy modelu "korzystanie ze strony = zgoda" — taki model nie spełnia wymogu zgody świadomej i wyraźnej zgodnie z RODO Art. 7 i wytycznymi EDPB.

Google Consent Mode v2. Jeśli odrzucisz cookies analityczne, Google Analytics może nadal wysłać do Google anonimowy sygnał bez identyfikatora, sesji i profilu, używany do ogólnych szacunków ruchu. Na twoim urządzeniu nie zapisują się wtedy żadne cookies.

§3.1 Niezbędne (zawsze włączone, nie wymagają zgody)

§3.2 Analityczne (opt-in, domyślnie wyłączone)

W konfiguracji GA4 mam anonimizację IP włączoną — twój adres IP jest skracany po stronie Google, zanim trafi do raportów. Retencja danych użytkownika w GA4: 14 miesięcy (wartość domyślna).

§3.3 Marketingowe (opt-in, domyślnie wyłączone)

Obecnie nie używam żadnych cookies marketingowych.

Kategoria istnieje w panelu zgód na przyszłość. Jeśli dodam takie narzędzia, zaktualizuję tę tabelę i pokażę panel zgód ponownie, żebyś mógł/mogła zdecydować świadomie, czy zgadzasz się na taki nowy typ przetwarzania.

§3.4 Co możesz zrobić ze swoimi cookies

• Otworzyć panel preferencji przez link "Zarządzaj cookies" w stopce strony i odznaczyć dowolną kategorię — zmiana zapisuje się natychmiast.
• Zablokować lub wyczyścić cookies w ustawieniach przeglądarki.
• Wycofać zgodę w każdej chwili — wycofanie nie wpływa na zgodność z prawem przetwarzania, którego dokonałem przed wycofaniem. Zablokowanie cookies niezbędnych w przeglądarce może spowodować, że strona nie zapamięta twoich decyzji o zgodach (przy kolejnej wizycie zobaczysz panel od nowa), ale nie wpływa to na dostępność samych treści.

§4 Komu powierzam twoje dane (procesorzy)

Korzystam z usług zewnętrznych dostawców, którzy przetwarzają dane w moim imieniu (RODO Art. 28). Z każdym z nich działam w ramach umowy powierzenia (DPA) lub równoważnych klauzul wymaganych przez RODO.

Tam gdzie dane trafiają poza UE (głównie USA), podstawą transferu są:

• Data Privacy Framework (DPF) — decyzja wykonawcza Komisji Europejskiej z 10 lipca 2023 r. uznająca odpowiedni poziom ochrony danych dla certyfikowanych firm w USA. Google, Vercel, Cloudflare, Notion i Slack (przez Salesforce) znajdują się na liście DPF.
• Standardowe Klauzule Umowne (SCC) — komplementarny mechanizm na wypadek wycofania DPF lub w przypadkach niepokrytych przez DPF. Na samych SCC opiera się transfer do Groq, który nie ma certyfikatu DPF.

Pełne polityki prywatności tych dostawców znajdziesz na ich stronach:

• Vercel: vercel.com/legal/privacy-policy↗
• Cloudflare: cloudflare.com/privacypolicy↗
• Google: policies.google.com/privacy↗
• Groq: groq.com/privacy-policy↗
• MailerLite: mailerlite.com/legal/privacy-policy↗
• Notion: notion.so/notion/Privacy-Policy↗
• Slack: slack.com/trust/privacy/privacy-policy↗
• OVHcloud: ovhcloud.com/pl/personal-data-protection↗ Lista dostawców może się zmieniać. Datę ostatniej aktualizacji znajdziesz na górze strony.

Linki do mediów społecznościowych

W stopce strony są linki do moich profili w mediach społecznościowych. Po kliknięciu opuszczasz fibon.pl, a zasady przetwarzania danych w tych serwisach reguluje ich własna polityka prywatności. Nie osadzam na stronie pikseli śledzących ani widgetów tych serwisów.

§5 Twoje prawa wynikające z RODO

Wobec mnie masz pełen zestaw uprawnień określonych w RODO Art. 15-22. W skrócie, możesz:

• Dowiedzieć się, co o tobie wiem (Art. 15 — prawo dostępu) — poprosić o kopię danych, jakie przechowuję, i informację, w jakim celu je przetwarzam.
• Poprawić swoje dane (Art. 16 — sprostowanie) — jeśli coś jest nieaktualne, niepoprawne lub niekompletne.
• Zostać zapomnianym/zapomnianą (Art. 17 — usunięcie, "prawo do bycia zapomnianym") — żądać skasowania danych, jeśli nie mam nadrzędnej podstawy prawnej, żeby je trzymać.
• Ograniczyć przetwarzanie (Art. 18) — np. zamrozić dane, zamiast je kasować, gdy walidujemy ich poprawność albo gdy zgłosiłeś sprzeciw, który dopiero rozpatruję.
• Przenieść dane (Art. 20) — dostać kopię w formacie strukturalnym (CSV / JSON), żeby przekazać innemu administratorowi.
• Sprzeciwić się przetwarzaniu (Art. 21) — wobec danych przetwarzanych na podstawie uzasadnionego interesu (logi serwera, automatyczna kategoryzacja i ocena maili, działania marketingowe wynikające z relacji biznesowej).
• Cofnąć zgodę w każdej chwili — dla cookies opcjonalnych, newslettera i innych zgód marketingowych. Cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia. Jak skorzystać: napisz na info@fibon.pl z tematem [RODO] — twoje żądanie. Odpowiem w ciągu 30 dni (RODO Art. 12 ust. 3). Jeśli sprawa jest skomplikowana lub mam wiele żądań naraz, mogę przedłużyć ten termin maksymalnie o kolejne 2 miesiące — poinformuję cię wtedy wraz z uzasadnieniem opóźnienia.

Jeśli uznasz, że naruszam twoje prawa, możesz złożyć skargę do organu nadzorczego:

Prezes Urzędu Ochrony Danych Osobowych (UODO) ul. Stawki 2, 00-193 Warszawa Strona: uodo.gov.pl↗

Decyzje automatyczne i profilowanie

Nie podejmuję decyzji wyłącznie na podstawie automatycznego przetwarzania danych (RODO Art. 22). Żadna decyzja, która ma wobec ciebie skutki prawne lub w podobny istotny sposób na ciebie wpływa (np. odmowa świadczenia usługi, wycena), nie zapada bez udziału człowieka.

Wiadomości e-mail są kategoryzowane automatycznie (§2, „Kontakt e-mailowy”). Kategoria kieruje zapytanie do właściwej ścieżki, ale nie wywołuje wobec ciebie skutków prawnych ani nie wpływa na ciebie w podobny sposób istotnie. O odpowiedzi i o wszystkich ustaleniach handlowych decyduję osobiście.

Profilowanie. Automatyczna kategoryzacja maili obejmuje wstępną ocenę, czy zapytanie pasuje do mojej oferty: rodzaj potrzeby, wielkość firmy, sygnały o budżecie i warunkach współpracy. To profilowanie w rozumieniu RODO Art. 4 pkt 4, oparte na moim uzasadnionym interesie, czyli sprawnej obsłudze zapytań (Art. 6 ust. 1 lit. f). Nie prowadzi do decyzji, o których mowa w Art. 22 ust. 1.

Google Analytics agreguje ruch na poziomie ogólnym, ale nie tworzę z tego indywidualnych profili dla celów marketingowych ani decyzji handlowych.

§6 Jak wycofać zgodę

Zgodę na cookies i newsletter wycofasz samodzielnie. O usunięcie pozostałych danych poproś mailem.

Cookies opcjonalne (analityczne, marketingowe)

Kliknij link "Zarządzaj cookies" w stopce strony. Otworzy się panel preferencji, w którym możesz odznaczyć dowolną kategorię. Zmiana zapisuje się natychmiast, bez przeładowania strony, bez logowania.

Newsletter

W każdym mailu, który ode mnie dostajesz, jest link "Wypisz się". Wypis działa od razu, bez logowania i bez dodatkowych kroków.

Usunięcie danych

Prześlij prośbę na info@fibon.pl z tematem [RODO] — usunięcie danych. W ciągu 30 dni skasuję twoje dane. Nie skasuję tylko tych, które muszę przechowywać z mocy prawa, np. dokumentów rozliczenia (RODO Art. 17 ust. 3 lit. b), albo które są mi potrzebne do ustalenia, dochodzenia lub obrony roszczeń (Art. 17 ust. 3 lit. e). W odpowiedzi napiszę, co zostaje i dlaczego.

§7 Jak chronię twoje dane

• HTTPS na całej domenie — ruch między twoją przeglądarką a stroną jest szyfrowany.
• Sekrety wyłącznie po stronie serwera — klucze i tokeny dostępowe nie trafiają do kodu wysyłanego do twojej przeglądarki.
• Dane u sprawdzonych dostawców — dane przechowują dostawcy wymienieni w §4, z własnymi zabezpieczeniami i certyfikatami. Moja instancja n8n przekazuje zgłoszenia między tymi usługami i nie służy do ich przechowywania.
• Minimalizacja danych — zbieram tylko to, co realnie potrzebne. Nie proszę o PESEL, numer dowodu, datę urodzenia ani adres zamieszkania w formularzu kontaktowym.
• Logi i metryki — agregowane i anonimizowane, gdzie to możliwe; retencja maksymalnie 90 dni.
• Aktualizacje — stronę, biblioteki i automatyzacje trzymam w aktualnych wersjach, żeby na bieżąco łatać znane podatności.
• Kontrola dostępu — do danych mam dostęp ja oraz, w zakresie niezbędnym do konkretnego zlecenia, wybrani podwykonawcy zobowiązani do zachowania poufności. Mimo tych środków żaden system w internecie nie jest w 100% odporny na incydenty. Jeśli kiedykolwiek dojdzie do naruszenia ochrony danych osobowych, które może wiązać się z ryzykiem dla twoich praw — zgłoszę to do UODO w ciągu 72 godzin (RODO Art. 33). Jeśli ryzyko będzie wysokie, poinformuję cię też bezpośrednio (RODO Art. 34).

§8 Zmiany w polityce

Data ostatniej aktualizacji jest widoczna na górze tej strony.

Gdy zmienię cookies albo skrypty analityczne lub marketingowe (nowy typ cookies, nowy skrypt, nowy dostawca), pokażę ci panel zgód ponownie, żebyś mógł/mogła zdecydować świadomie, czy dalej akceptujesz takie przetwarzanie.

---

Ostatnia aktualizacja: 13 września 2026