Polityka prywatności

Administratorem Twoich danych osobowych jest operator serwisu ECU.EXPERT, dostępnego pod adresem ecu.expert (dalej: „my”).

W sprawach dotyczących danych osobowych napisz na adres ecuexpert2026@gmail.com.

Polityka dotyczy osób odwiedzających serwis, osób zakładających konto i korzystających z panelu klienta (np. właścicieli i pracowników warsztatów) oraz osób kontaktujących się z nami.

Większość danych podajesz sam: przy rejestracji, tworzeniu projektu, przesyłaniu plików i składaniu zleceń. Część danych otrzymujemy od innych podmiotów:

• od Google, jeśli logujesz się kontem Google: adres e-mail, imię i nazwisko oraz adres zdjęcia profilowego z Twojego konta Google;
• od Stripe, gdy kupujesz kredyty: status płatności, zapłaconą kwotę i walutę, identyfikatory płatności i klienta w Stripe oraz informacje o zwrotach i sporach (chargeback).

Podanie danych jest dobrowolne, ale bez adresu e-mail nie założysz konta, a bez danych pojazdu i pliku oryginalnego nie wykonamy zlecenia.

• Dane konta

  Przykłady

  adres e-mail, hasło (przechowywane wyłącznie w postaci skrótu przez dostawcę uwierzytelniania), wybrany język, rola konta, daty rejestracji i logowania

  Źródło

  Ty

• Dane z konta Google

  Przykłady

  adres e-mail, imię i nazwisko, adres zdjęcia profilowego, identyfikator konta Google

  Źródło

  Google (gdy wybierzesz logowanie przez Google)

• Projekty i dane pojazdów

  Przykłady

  marka, model, silnik, producent i model sterownika ECU, notatki i opisy zleceń

  Źródło

  Ty

• Pliki ECU

  Przykłady

  pliki oryginalne (ORI) i zmodyfikowane (MOD), nazwy plików, rozmiar, suma kontrolna SHA-256, historia wersji i pobrań

  Źródło

  Ty, nasi specjaliści

• Zlecenia

  Przykłady

  zamówione usługi, statusy, notatki specjalisty, daty, osoba prowadząca zlecenie

  Źródło

  Ty, nasi specjaliści

• Kredyty

  Przykłady

  saldo, rezerwacje i historia operacji kredytowych wraz z powodem korekty

  Źródło

  system, administratorzy

• Zakupy

  Przykłady

  pakiet, liczba kredytów, kwota i waluta, status płatności, identyfikatory Stripe (sesji, płatności, klienta), zwroty i spory

  Źródło

  Ty, Stripe

• Akceptacje dokumentów

  Przykłady

  wersja zaakceptowanego Regulaminu i potwierdzenia rozpoczęcia usługi przed upływem terminu odstąpienia, data, kontekst (zakup kredytów lub zlecenie)

  Źródło

  Ty

• Wiadomości e-mail

  Przykłady

  adresy odbiorców, rodzaj powiadomienia, status wysyłki i identyfikator wiadomości u dostawcy

  Źródło

  system

• Dane techniczne

  Przykłady

  adres IP, typ przeglądarki, adres żądanej strony i czas żądania w logach serwera i dostawcy uwierzytelniania

  Źródło

  Twoja przeglądarka

Nie przetwarzamy pełnych numerów kart płatniczych ani danych logowania do banku: wpisujesz je wyłącznie na stronie płatności Stripe.

• Założenie i prowadzenie konta, logowanie, w tym przez Google

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b: wykonanie umowy o świadczenie usług drogą elektroniczną

• Przyjęcie i realizacja zlecenia modyfikacji pliku ECU, przechowywanie wersji plików i ich udostępnianie do pobrania

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b: wykonanie umowy

• Prowadzenie salda kredytów, sprzedaż pakietów kredytów i obsługa płatności

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b: wykonanie umowy

• Rejestrowanie akceptacji Regulaminu i potwierdzeń wymaganych przepisami o prawach konsumenta, aby móc wykazać warunki umowy

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b i c oraz lit. f: wykonanie umowy, obowiązek prawny i prawnie uzasadniony interes (dowód zawarcia umowy)

• Wystawianie dokumentów księgowych i przechowywanie dokumentacji podatkowej

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. c: obowiązek prawny wynikający z przepisów podatkowych i o rachunkowości

• Wiadomości transakcyjne o zleceniach (np. przyjęcie zlecenia, zmiana statusu, gotowy plik MOD) oraz wiadomości dotyczące konta (potwierdzenie adresu, zmiana hasła)

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b: wykonanie umowy

• Bezpieczeństwo serwisu, zapobieganie nadużyciom, rejestr działań administracyjnych, obsługa zwrotów i sporów płatniczych

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. f: prawnie uzasadniony interes administratora (ochrona serwisu i rozliczeń)

• Ustalenie, dochodzenie lub obrona roszczeń

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. f: prawnie uzasadniony interes administratora

Nie wysyłamy wiadomości marketingowych i nie przetwarzamy danych na podstawie zgody. Jeśli to się zmieni, poprosimy o zgodę osobno i zaktualizujemy tę politykę.

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne. Każdy plik MOD przygotowuje i sprawdza człowiek.

Pliki ECU to oprogramowanie sterownika pojazdu. Mogą jednak zawierać dane identyfikujące konkretny pojazd, np. numer VIN lub numery seryjne podzespołów, a wraz z Twoim kontem i opisem zlecenia mogą pozwalać na identyfikację właściciela pojazdu. Dlatego traktujemy je jak dane osobowe.

• Pliki są przechowywane w prywatnym magazynie plików. Nie są publicznie dostępne, a pobranie wymaga zalogowania i jest możliwe tylko przez krótkotrwały, podpisany link.
• Dostęp do plików mają Ty (do plików Twoich projektów) oraz nasi specjaliści i administratorzy, którzy realizują zlecenia.
• Plików nie sprzedajemy ani nie udostępniamy innym podmiotom poza dostawcami infrastruktury wymienionymi niżej.

Jeśli przesyłasz pliki lub dane pojazdów swoich klientów, to Ty decydujesz, jakie dane nam przekazujesz, i odpowiadasz za to, że możesz je przekazać. Przesyłaj tylko dane potrzebne do realizacji zlecenia (na przykład dane pojazdu i sterownika), bez danych osobowych swoich klientów.

Pakiety kredytów kupujesz na stronie płatności Stripe (Stripe Checkout). Rozróżniamy dwa zbiory danych:

• Stripe przetwarza dane płatnicze, które podajesz na stronie płatności (np. dane karty, BLIK lub przelewu, adres e-mail, kraj lub adres rozliczeniowy), oraz dane potrzebne do zapobiegania oszustwom. Gdy płatność jest obsługiwana w modelu Stripe Managed Payments, Stripe jest sprzedawcą (merchant of record) tej transakcji i przetwarza te dane jako odrębny administrator na zasadach swojej polityki prywatności.
• My przechowujemy wyłącznie rekord zakupu: pakiet, liczbę kredytów, kwotę i walutę, status, identyfikatory sesji, płatności i klienta w Stripe, daty oraz informacje o zwrotach i sporach. Na podstawie tego rekordu dopisujemy kredyty do Twojego salda. Przekazujemy Stripe Twój adres e-mail (aby wypełnić formularz) oraz wewnętrzne identyfikatory zakupu i konta.

Wysyłamy wyłącznie wiadomości związane z kontem i zleceniami. Powiadomienia o zleceniach wysyłamy przez Resend. Zawierają dane pojazdu i sterownika, zamówione lub wykonane usługi, status, notatkę specjalisty, nazwę pliku i link do panelu. Nie zawierają załączników ani linków do pobrania pliku. Wiadomości dotyczące konta (potwierdzenie adresu e-mail, zmiana hasła) wysyła dostawca uwierzytelniania Supabase przez: Resend.

Zapisujemy, do kogo i kiedy wysłaliśmy powiadomienie oraz jego status, aby nie wysyłać go ponownie i móc wyjaśnić problemy z doręczeniem.

Dane powierzamy dostawcom, którzy przetwarzają je w naszym imieniu i na nasze polecenie (podmioty przetwarzające), oraz udostępniamy podmiotom działającym jako odrębni administratorzy:

• Supabase

  Rola

  podmiot przetwarzający

  Zakres

  baza danych, uwierzytelnianie (konta, sesje, logi logowania), magazyn plików ECU

• Vercel

  Rola

  podmiot przetwarzający

  Zakres

  hosting aplikacji i logi serwera (adres IP, żądania)

• Resend

  Rola

  podmiot przetwarzający

  Zakres

  wysyłka powiadomień e-mail o zleceniach i wiadomości dotyczących konta

• Cloudflare (Turnstile)

  Rola

  podmiot przetwarzający

  Zakres

  ochrona formularzy rejestracji, logowania i resetu hasła przed automatycznymi zgłoszeniami (adres IP, dane techniczne przeglądarki i urządzenia)

• Stripe

  Rola

  podmiot przetwarzający lub odrębny administrator (patrz „Płatności”)

  Zakres

  obsługa płatności

• Google

  Rola

  odrębny administrator

  Zakres

  logowanie kontem Google, jeśli je wybierzesz; zdjęcie profilowe wyświetlane w panelu jest pobierane z serwerów Google

Dane mogą też otrzymać nasi specjaliści i administratorzy w zakresie potrzebnym do realizacji zleceń, a także organy publiczne, jeśli wymagają tego przepisy prawa.

Dane są przetwarzane w infrastrukturze wymienionych dostawców, w regionach, w których świadczą oni swoje usługi. Przetwarzanie poza Europejskim Obszarem Gospodarczym odbywa się na zasadach opisanych poniżej.

Część wymienionych dostawców ma siedzibę w Stanach Zjednoczonych lub może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Takie przekazanie odbywa się wyłącznie przy zastosowaniu zabezpieczeń wymaganych przez rozdział V RODO: na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

Kopię zastosowanych zabezpieczeń możesz otrzymać, pisząc na adres ecuexpert2026@gmail.com.

• Konto i dane konta

  Okres przechowywania

  Przez czas prowadzenia konta, a po jego usunięciu przez okres potrzebny do ustalenia, dochodzenia lub obrony roszczeń (do upływu terminu przedawnienia).

• Projekty, pliki ECU i historia zleceń

  Okres przechowywania

  Przez czas prowadzenia konta, a po jego usunięciu przez okres potrzebny do rozpatrzenia reklamacji oraz ustalenia, dochodzenia lub obrony roszczeń.

• Rekordy zakupów, historia kredytów i dokumentacja księgowa

  Okres przechowywania

  Przez okres wymagany przepisami podatkowymi i o rachunkowości.

• Logi serwera i logowania

  Okres przechowywania

  Przez krótki okres określony przez dostawców hostingu i uwierzytelniania (Vercel, Supabase).

Dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń możemy przechowywać do upływu okresu przedawnienia tych roszczeń.

Na zasadach określonych w RODO masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii (art. 15);
• sprostowania danych (art. 16);
• usunięcia danych (art. 17);
• ograniczenia przetwarzania (art. 18);
• przenoszenia danych przetwarzanych w celu wykonania umowy (art. 20);
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21).

Aby skorzystać z tych praw, napisz na adres ecuexpert2026@gmail.com z adresu e-mail przypisanego do konta. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Możemy poprosić o dodatkowe informacje potrzebne do potwierdzenia tożsamości.

Panel klienta nie ma jeszcze przycisku usuwania konta. Aby usunąć konto, napisz na adres ecuexpert2026@gmail.com z adresu e-mail przypisanego do konta.

Po usunięciu konta nie można się na nie zalogować. Projekty, pliki ECU, historię zleceń, kredytów i zakupów usuwamy lub anonimizujemy osobno, z wyjątkiem danych, które musimy zachować na podstawie przepisów (np. dokumentacji księgowej) albo do ustalenia, dochodzenia lub obrony roszczeń. W odpowiedzi poinformujemy Cię, jakie dane i z jakiego powodu zachowaliśmy.

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) lub do organu nadzorczego w państwie członkowskim UE, w którym mieszkasz lub pracujesz.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

• szyfrowane połączenie (HTTPS) z serwisem;
• sesje logowania w ciasteczkach httpOnly, niedostępnych dla skryptów na stronie;
• kontrolę dostępu w bazie danych: każdy klient widzi wyłącznie własne projekty, pliki, kredyty i zakupy;
• prywatny magazyn plików z krótkotrwałymi, podpisanymi linkami do pobrania;
• sprawdzanie uprawnień administratora na serwerze przy każdej operacji administracyjnej i rejestr operacji na kontach;
• klucze dostępowe do usług przechowywane wyłącznie po stronie serwera;
• sumy kontrolne plików, które pozwalają wykryć ich zmianę.

Żaden system nie jest w pełni odporny na ataki. Jeśli dojdzie do naruszenia ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, poinformujemy Cię o tym zgodnie z RODO.

Serwis nie używa plików cookie analitycznych, reklamowych ani śledzących i nie zawiera narzędzi analitycznych ani pikseli reklamowych. Używamy wyłącznie technologii niezbędnych do działania funkcji, o które prosisz, dlatego nie wyświetlamy banera zgody:

• sb-…-auth-token (cookie)

  Dostawca

  ECU.EXPERT (Supabase Auth)

  Cel

  utrzymanie sesji po zalogowaniu (httpOnly; długa sesja może być podzielona na części .0, .1)

  Rodzaj

  niezbędne

  Czas przechowywania

  do wylogowania, maksymalnie 400 dni

  Zgoda

  niewymagana

• sb-…-auth-token-code-verifier (cookie)

  Dostawca

  ECU.EXPERT (Supabase Auth)

  Cel

  zabezpieczenie logowania przez Google i resetu hasła (PKCE, httpOnly)

  Rodzaj

  niezbędne

  Czas przechowywania

  do zakończenia logowania (wtedy jest usuwany); jeśli logowanie zostanie przerwane, maksymalnie 400 dni

  Zgoda

  niewymagana

• ecu.sidebar.collapsed (pamięć lokalna)

  Dostawca

  ECU.EXPERT

  Cel

  zapamiętanie zwiniętego menu bocznego w panelu

  Rodzaj

  funkcjonalne, ustawiane Twoim działaniem

  Czas przechowywania

  do usunięcia w przeglądarce

  Zgoda

  niewymagana

• ecu.operator-shell.v1 (pamięć lokalna)

  Dostawca

  ECU.EXPERT

  Cel

  konsola operatora: zapamiętanie układu nawigacji (zwinięta lub rozwinięta, szerokość, zwinięte grupy) i kolejności wiadomości w rozmowie; bez danych klientów

  Rodzaj

  funkcjonalne, ustawiane Twoim działaniem

  Czas przechowywania

  do usunięcia w przeglądarce

  Zgoda

  niewymagana

Język strony wynika wyłącznie z adresu URL i nie jest zapisywany w pliku cookie. Na stronie płatności Stripe (checkout.stripe.com) oraz na stronie logowania Google obowiązują pliki cookie i polityki tych podmiotów: Stripe, Google.

Formularze rejestracji, logowania i resetu hasła wczytują usługę Cloudflare Turnstile (challenges.cloudflare.com), która sprawdza, czy formularz wysyła człowiek, a nie automat. Jest to zabezpieczenie niezbędne do ochrony kont i serwisu przed nadużyciami; Turnstile działa tylko na tych formularzach. Zasady Cloudflare: Cloudflare.

Możesz usunąć pliki cookie i dane strony w ustawieniach przeglądarki; usunięcie ciasteczek sesji spowoduje wylogowanie.

Możemy aktualizować tę politykę, gdy zmieni się sposób działania serwisu, dostawcy lub przepisy. Data ostatniej aktualizacji jest podana na początku strony. O istotnych zmianach poinformujemy zalogowanych użytkowników z wyprzedzeniem, np. e-mailem lub komunikatem w panelu.