Polityka
prywatności

1. Kim jesteśmy i czego dotyczy ta polityka

Niniejsza Polityka prywatności dotyczy przetwarzania danych osobowych w ramach wszystkich usług świadczonych przez Metamorfozis Gletschmann spółka jawna (dalej „Metamorfozis”, „my”), w tym:

• serwis internetowy metamorfozis.pl (strona Anny Marii Gletschmann, blog, artykuły);
• usługi Anny Marii Gletschmann — sesje indywidualne (numerologia, terapia/coaching, sesje dla par, „poznaj swoje dziecko”), warsztaty i kursy: ich rezerwacja, realizacja oraz kontakt z Klientem;
• serwis metamorfozis.club (strona aplikacji — landing) oraz app.metamorfozis.club (aplikacja SaaS do generowania Kart Obliczeń Numerologicznych™);
• widget rezerwacji wizyt oraz generator „Bezpłatna Karta” osadzone na naszej stronie (korzystają z metamorfozis.club);
• komunikacja e-mail oraz lista mailingowa (newsletter) w modelu double opt-in;
• sklep internetowy z towarami fizycznymi (Talia Kart Tarota Metamorfozis) — obsługa zamówień i wysyłka (w przygotowaniu / uruchamiany).

Administrator danych:
Metamorfozis Gletschmann spółka jawna
Gen. Maczka 9/14, 78-100 Kołobrzeg
NIP: 6711868606 · KRS: 0001193277 · REGON: 54267865600000

Kontakt w sprawach ochrony danych: rodo@metamorfozis.pl

2. Cele i podstawy prawne przetwarzania Twoich danych

Przetwarzamy Twoje dane osobowe na różnych podstawach prawnych, zależnie od celu:

2.1 Wykonanie umowy (art. 6 ust. 1 lit. b RODO)

• rejestracja konta administratora (praktyka numerologii) w aplikacji app.metamorfozis.club;
• obsługa subskrypcji (planu Hobby lub Profesjonalnego) — logowanie, generowanie Kart, zarządzanie klientami praktyka;
• realizacja rezerwacji wizyty przez widget rezerwacyjny;
• dostarczenie bezpłatnej Karty pod wskazany adres e-mail (w ramach funkcji „Bezpłatna Karta”).

2.2 Zgoda (art. 6 ust. 1 lit. a RODO)

• zapis na listę mailingową i otrzymywanie newslettera — zgoda w modelu double opt-in (potwierdzenie kliknięciem w link);
• pliki cookies nie będące niezbędne do działania serwisu — obecnie stosowane wyłącznie za Twoją zgodą (np. film z YouTube po kliknięciu); zgodą zarządzasz przez link „Ustawienia cookies” w stopce.

2.3 Obowiązek prawny (art. 6 ust. 1 lit. c RODO)

• prowadzenie dokumentacji księgowej i podatkowej (ustawa o rachunkowości — retencja 5 lat);
• odpowiedź na żądania organów publicznych (np. urząd skarbowy, PUODO, prokuratura).

2.4 Uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO)

• zapewnienie bezpieczeństwa serwisów (logi operacyjne, ochrona przed atakami — retencja do 12 miesięcy);
• obrona przed roszczeniami i dochodzenie roszczeń własnych (retencja przez okres przedawnienia);
• marketing bezpośredni własnych usług kierowany do istniejących klientów (z możliwością sprzeciwu w każdym momencie);
• analiza ruchu w serwisie na poziomie zagregowanym/anonimowym (obecnie nie prowadzimy).

3. Jak długo przechowujemy Twoje dane

Okres przechowywania zależy od rodzaju danych i celu przetwarzania:

Rodzaj danych	Okres przechowywania
Dane konta administratora (praktyka) w aplikacji	Przez okres aktywnej subskrypcji. Po jej zakończeniu konto przechowujemy jeszcze przez 30 dni (możliwość reaktywacji), po czym konto i powiązane dane są usuwane z naszych systemów. Wyjątek: dane niezbędne do prowadzenia dokumentacji księgowej — 5 lat.
Konto administratora bez aktywnej subskrypcji	Konto, które nie posiada (lub utraciło) aktywną subskrypcję, przechowujemy przez 30 dni — po uprzednim powiadomieniu e-mail — po czym konto i powiązane dane są usuwane. Dane, które musimy zachować z przyczyn prawnych (np. dokumentacja księgowa), przechowujemy przez wymagany okres.
Wygenerowane Karty Obliczeń Numerologicznych™ — plan Profesjonalny	Przez okres aktywnej subskrypcji administratora + 30 dni grace.
Wygenerowane Karty — plan Hobby oraz Bezpłatna Karta	Bezpłatna Karta — nie przechowujemy jej na serwerze; jest generowana, wysyłana/udostępniana do pobrania i natychmiast usuwana (model generate-and-forget). Plan Hobby — Kartę przechowujemy tymczasowo, maksymalnie przez 24 godziny (aby umożliwić jej pobranie), po czym jest automatycznie i trwale usuwana.
Dane klientów praktyka (osób obsługiwanych przez administratora w ramach planu Profesjonalnego)	Przez okres aktywnej subskrypcji praktyka. Szczegóły reguluje odrębna umowa powierzenia przetwarzania (DPA) zawierana z administratorem.
Dane rezerwacji i realizacji sesji (Klienci Anny Marii Gletschmann)	Przez okres współpracy, a następnie przez okres przedawnienia ewentualnych roszczeń. Dane do faktur — 5 lat (przepisy podatkowe).
Dane osoby korzystającej z Bezpłatnej Karty	Adres e-mail przechowywany w formie skrótu kryptograficznego (SHA-256) przez 12 miesięcy — wyłącznie w celu egzekwowania dożywotniego limitu (maks. 3 Karty na adres e-mail) i ochrony przed nadużyciami. Dla ochrony przed nadużyciami zapisujemy również adres IP oraz podstawowe dane techniczne żądania (do 12 miesięcy). Dane z formularza (imiona, nazwisko, data urodzenia) nie są zapisywane na serwerze po wygenerowaniu Karty.
Lista mailingowa (newsletter)	Do momentu wypisania się. Po wypisaniu — dane są usuwane w ciągu 30 dni; do tego czasu przechowujemy informację o statusie rezygnacji, aby nie wysłać niechcianych wiadomości.
Dane do faktur i rozliczeń	5 lat kalendarzowych od końca roku, w którym powstał obowiązek podatkowy (ustawa o rachunkowości, ustawa o VAT). Nie przechowujemy danych kart płatniczych — obsługuje je bezpośrednio Stripe.
Logi operacyjne (dostęp, zdarzenia bezpieczeństwa)	Do 12 miesięcy, po czym są agregowane do postaci nieosobowej lub usuwane.
Korespondencja e-mail z Metamorfozis	Przez okres niezbędny do zakończenia sprawy + 3 lata (przedawnienie roszczeń konsumenckich).

4. Komu przekazujemy Twoje dane (podprocesorzy i odbiorcy)

Korzystamy z zaufanych dostawców usług IT („podprocesorów”), którzy przetwarzają dane wyłącznie zgodnie z naszymi poleceniami i w zakresie niezbędnym do świadczenia usług. Z każdym podprocesorem zawarliśmy umowę powierzenia przetwarzania zgodną z art. 28 RODO.

Podprocesor	Rola	Lokalizacja danych	Podstawa transferu poza EOG
Hetzner Online GmbH Gustav-Stresemann-Ring 1, 65189 Wiesbaden, Niemcy	Hosting serwerów, bazy danych, przechowywanie plików	Niemcy (EOG)	Brak transferu poza EOG
Cloudflare, Inc. 101 Townsend St, San Francisco, CA 94107, USA	CDN, ochrona DDoS, tunel bezpieczeństwa, firewall aplikacyjny	Sieć globalna (w tym USA)	EU-US Data Privacy Framework + standardowe klauzule umowne (SCCs)
Microsoft Ireland Operations Ltd. One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlandia (podmiot zależny Microsoft Corporation, USA)	Wysyłka poczty elektronicznej oraz przechowywanie plików (mediów) — Microsoft 365 / Exchange Online / SharePoint / Microsoft Graph API	Polska — w ramach usługi EU Data Boundary (dane Exchange Online, Exchange Online Protection przechowywane w centrach danych Microsoft w Polsce; zadeklarowane geograficznie na obszarze Unia Europejska / EFTA)	Dane przetwarzane w EOG (brak transferu poza EOG w zakresie danych przechowywanych w spoczynku). W pojedynczych przypadkach czynności wsparcia technicznego mogą wymagać dostępu z USA — zabezpieczone przez EU-US Data Privacy Framework + standardowe klauzule umowne (SCCs).
SMSAPI.pl sp. z o.o. Rondo Wiatraczna 1, 04-105 Warszawa, Polska	Wysyłka wiadomości SMS (kody weryfikacyjne, MFA)	Polska (EOG)	Brak transferu poza EOG
Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Dublin, Irlandia	Obsługa płatności kartą (subskrypcje aplikacji oraz płatności za sesje i warsztaty)	Irlandia + USA	EU-US Data Privacy Framework + SCCs
Meta Platforms Ireland Ltd. 4 Grand Canal Square, Dublin, Irlandia (planowane — po integracji WhatsApp)	Wysyłka powiadomień przez WhatsApp Business Cloud API	Irlandia + USA	EU-US Data Privacy Framework + SCCs

Dodatkowo, Twoje dane mogą być udostępnione następującym kategoriom odbiorców — wyłącznie gdy jest to niezbędne:

• biuro rachunkowe Metamorfozis (w zakresie niezbędnym do prowadzenia ksiąg);
• radca prawny lub adwokat (w zakresie niezbędnym do obrony przed roszczeniami lub ich dochodzenia);
• organy publiczne uprawnione na podstawie przepisów prawa (np. urząd skarbowy, PUODO, prokuratura, sąd);
• operator dostawy InPost (InPost S.A.) — w zakresie danych niezbędnych do doręczenia przesyłki (imię i nazwisko, adres lub wybrany paczkomat, telefon, e-mail), jeśli zamówisz towar w naszym sklepie;
• Krajowy System e-Faktur (KSeF) prowadzony przez Ministerstwo Finansów — w zakresie danych z faktury, jeśli zażądasz jej wystawienia.

Komunikacja i sesje online. Kontakt oraz sesje online prowadzimy za pośrednictwem komunikatora WhatsApp (Meta Platforms Ireland Ltd.), z którego korzystasz również Ty. Rozmowy i wiadomości przechodzą wtedy przez tę usługę i podlegają jej własnej polityce prywatności; może ona przekazywać dane do USA (zabezpieczenie: EU-US Data Privacy Framework / SCCs). Korzystamy z WhatsApp jako komunikatora. Obecnie nie prowadzimy zautomatyzowanej wysyłki wiadomości przez WhatsApp Business/Cloud API — taka integracja jest przygotowywana i zostanie opisana w tej polityce po jej uruchomieniu.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Niektóre z podprocesorów wymienionych w sekcji 4 mają siedzibę w USA lub przetwarzają dane w infrastrukturze globalnej. W takich przypadkach stosujemy następujące mechanizmy ochrony wymagane przez art. 45-46 RODO:

• Decyzja Komisji Europejskiej o adekwatności — dla Stanów Zjednoczonych obowiązuje decyzja z lipca 2023 r. w ramach programu EU-US Data Privacy Framework (DPF). Dostawcy, którzy przystąpili do DPF, zapewniają odpowiedni poziom ochrony.
• Standardowe klauzule umowne (SCCs) — przyjęte przez Komisję Europejską (decyzja 2021/914/UE) jako dodatkowe zabezpieczenie kontraktowe.
• Techniczne i organizacyjne środki bezpieczeństwa — szyfrowanie w tranzycie (TLS 1.3), szyfrowanie danych w spoczynku, minimalizacja danych przekazywanych poza EOG.

Kopię stosowanych klauzul umownych możesz otrzymać na wniosek pod adresem rodo@metamorfozis.pl.

6. Twoje prawa

W związku z przetwarzaniem Twoich danych osobowych przysługują Ci następujące prawa:

• prawo dostępu do danych (art. 15 RODO);
• prawo sprostowania danych nieprawidłowych lub niekompletnych (art. 16 RODO);
• prawo usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO) — w granicach wynikających z innych przepisów prawa (np. obowiązku przechowywania dokumentacji podatkowej);
• prawo ograniczenia przetwarzania (art. 18 RODO);
• prawo do przenoszenia danych — otrzymania ich w formacie maszynowym lub przekazania innemu administratorowi (art. 20 RODO);
• prawo sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO) — w tym sprzeciwu wobec marketingu bezpośredniego;
• prawo wycofania zgody w dowolnym momencie (art. 7 ust. 3 RODO) — dotyczy newslettera i innych przetwarzań opartych na zgodzie; wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania;
• prawo wniesienia skargi do organu nadzorczego — Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Jak skorzystać z tych praw:

• wyślij wiadomość na adres rodo@metamorfozis.pl;
• odpowiemy na Twoje żądanie bez zbędnej zwłoki, nie później niż w terminie 30 dni od otrzymania wniosku (termin może zostać przedłużony o maksymalnie 2 miesiące w przypadku żądań skomplikowanych — z odpowiednim uzasadnieniem);
• w niektórych przypadkach możemy poprosić Cię o potwierdzenie tożsamości (np. przez zalogowanie się do konta), jeśli mamy uzasadnione wątpliwości co do osoby składającej wniosek.

7. Decyzje zautomatyzowane i profilowanie

Nie podejmujemy wobec Ciebie decyzji w sposób wyłącznie zautomatyzowany, w tym nie dokonujemy profilowania, które miałoby istotny wpływ na Twoją sytuację prawną lub znacząco na Ciebie oddziaływało (w rozumieniu art. 22 RODO).

Generowanie Karty Obliczeń Numerologicznych™ jest czynnością obliczeniową — Karta przedstawia wynik obliczenia matematycznego, a nie decyzję wywołującą skutki prawne. Interpretacja Karty dokonywana jest przez człowieka (praktyka numerologii).

8. Specyficzne sposoby przetwarzania

8.1 Bezpłatna Karta (Free tier)

Funkcja „Bezpłatna Karta” umożliwia bezpłatne wygenerowanie Karty. Aby zapobiec nadużyciom stosujemy dożywotni limit 3 Kart na adres e-mail oraz limit liczby żądań z jednego adresu IP:

• Twój adres e-mail jest przechowywany wyłącznie w formie skrótu kryptograficznego (SHA-256) — nie mamy dostępu do adresu w formie jawnej po zakończeniu procesu generowania;
• dane z formularza (imiona, nazwisko, data urodzenia) są przetwarzane tranzytowo — wyłącznie w celu wygenerowania Karty, a następnie usuwane z pamięci serwera;
• deduplikacja żądań odbywa się po skrócie danych wejściowych (nie po danych jawnych);
• logi zdarzeń (generowanie udane / nieudane, liczba prób) wraz z adresem IP i podstawowymi danymi technicznymi żądania są przechowywane maksymalnie 12 miesięcy — wyłącznie w celu egzekwowania limitów i ochrony przed nadużyciami.

8.2 Lista mailingowa (newsletter)

Zapis na listę mailingową odbywa się w modelu double opt-in: po przesłaniu adresu (np. przy generowaniu Bezpłatnej Karty, po zaznaczeniu zgody) otrzymasz e-mail z prośbą o potwierdzenie chęci zapisu kliknięciem w link. Bez potwierdzenia Twój adres nie zostanie dodany do listy wysyłkowej. Zapis jest dobrowolny i niezależny od wygenerowania Karty.

W każdej wiadomości newslettera umieszczony jest link do wypisania się („unsubscribe”). Kliknięcie jest natychmiastowe i nieodwracalne (możesz w każdej chwili zapisać się ponownie). Po wypisaniu usuwamy Twoje dane w ciągu 30 dni.

Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) + art. 172 ust. 1 ustawy Prawo telekomunikacyjne + art. 10 ust. 1 ustawy o świadczeniu usług drogą elektroniczną.

8.3 Aplikacja metamorfozis.club — rola administratora i procesora

W zależności od korzystanej funkcji aplikacji, Metamorfozis występuje w dwóch różnych rolach:

• Administrator danych — w zakresie danych dotyczących samego praktyka (imię, nazwisko, e-mail, dane firmowe, dane logowania, historia subskrypcji);
• Podmiot przetwarzający (procesor) — w zakresie danych klientów praktyka, które praktyk wprowadza do aplikacji w planie Profesjonalnym (dane niezbędne do wygenerowania Karty klienta, notatki, pliki mediów udostępnione klientowi).

W drugim przypadku to praktyk jest administratorem danych swoich klientów, a Metamorfozis jedynie przetwarza te dane na jego polecenie. Zasady tej współpracy reguluje odrębna Umowa powierzenia przetwarzania (DPA) akceptowana przez praktyka przy rejestracji lub aktywacji planu Profesjonalnego.

Treść DPA dostępna jest wyłącznie w panelu administratora po zalogowaniu do Aplikacji (nie jest publikowana publicznie — stanowi indywidualną umowę pomiędzy Usługodawcą a konkretnym administratorem Planu Profesjonalnego).

8.4 Sesje, warsztaty i Karta Obliczeń — jakie dane przetwarzamy

Aby zarezerwować i zrealizować sesję lub udział w warsztacie oraz przygotować Kartę Obliczeń Numerologicznych™, przetwarzamy: imię i nazwisko, datę urodzenia oraz — jeśli je podasz — imiona, nazwiska i relacje osób bliskich (patrz sekcja 8.5), a także Twoje dane kontaktowe. Podstawą jest wykonanie umowy (art. 6 ust. 1 lit. b RODO).

Nie przetwarzamy danych szczególnej kategorii (tzw. danych wrażliwych, np. dotyczących zdrowia) w rozumieniu art. 9 RODO. Nasza praca opiera się na dacie urodzenia oraz imionach i nazwiskach — nie na informacjach o zdrowiu; nie prowadzimy dokumentacji medycznej.

8.5 Dane osób bliskich (osób trzecich)

Karta Obliczeń Numerologicznych™ oraz niektóre sesje mogą wymagać podania danych osób bliskich — np. imion i nazwisk drugiego rodzica dziecka, byłego partnera lub małżonka albo dzieci. Podane w ten sposób dane przetwarzamy wyłącznie w celu przygotowania Twojej Karty lub sesji, na podstawie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Nie kontaktujemy się z tymi osobami i nie wykorzystujemy ich danych do żadnych innych celów. Podając dane osób bliskich, upewnij się, że jesteś do tego uprawniony; dane dzieci ograniczamy do niezbędnego minimum.

8.6 Sklep i wysyłka towarów

Jeżeli złożysz zamówienie w naszym sklepie (np. na Talię Kart Tarota Metamorfozis), przetwarzamy dane niezbędne do realizacji zamówienia i dostawy: imię i nazwisko, adres e-mail, numer telefonu oraz adres dostawy lub wybrany paczkomat InPost. Podstawą jest wykonanie umowy sprzedaży (art. 6 ust. 1 lit. b RODO). Dane adresowe przekazujemy operatorowi dostawy InPost wyłącznie w celu doręczenia przesyłki.

Jeżeli zażądasz faktury, przetwarzamy dane do faktury (w tym NIP, nazwę i adres) na podstawie obowiązku prawnego (art. 6 ust. 1 lit. c RODO); faktury wystawiamy i przekazujemy elektronicznie za pośrednictwem Krajowego Systemu e-Faktur (KSeF). Płatności obsługuje Stripe — nie przechowujemy danych kart płatniczych.

9. Pliki cookies

Szczegółowe informacje na temat plików cookies znajdziesz w odrębnych dokumentach — zakres cookies zależy od serwisu:

• Polityka cookies dla metamorfozis.pl: Polityka plików cookies
• Polityka cookies dla metamorfozis.club i aplikacji: Polityka cookies metamorfozis.club

10. Naruszenia ochrony danych

W przypadku naruszenia ochrony Twoich danych osobowych, jeśli może ono skutkować wysokim ryzykiem naruszenia Twoich praw lub wolności, powiadomimy Cię o tym bez zbędnej zwłoki (art. 34 RODO) oraz zgłosimy incydent Prezesowi UODO w terminie 72 godzin (art. 33 RODO).

11. Zmiany polityki prywatności

Niniejsza Polityka prywatności może być aktualizowana. Data ostatniej zmiany widnieje na początku dokumentu. O istotnych zmianach (np. zmianie celu przetwarzania, dodaniu nowego podprocesora) powiadomimy Cię z wyprzedzeniem — e-mailem (jeśli posiadamy Twoje konto) lub komunikatem w serwisie.