Polityka prywatności i plików cookies

Niniejsza Polityka Prywatności i Plików Cookies opisuje, w jaki sposób WEBET Sp. z o.o. („Administrator”, „my”, „nas”, „nasz”) zbiera, przetwarza, przechowuje i chroni Twoje dane osobowe w związku z korzystaniem z platformy TaniejPoLek (taniejpolek.pl). Dokument ten został przygotowany zgodnie z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO) oraz ustawy o ochronie danych osobowych.

1.1 Dane administratora

Administratorem Twoich danych osobowych jest:
WEBET SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
ul. 1 Maja 30A
45-355 Opole, Polska
NIP: 7543346806
REGON: 520717497
KRS: 0000940072 (Sąd Rejonowy w Opolu, VIII Wydział Gospodarczy KRS), kapitał zakładowy 5 000,00 zł
Email: biuro@webet.pl
Telefon: +48 798 908 242

1.2 Kontakt w sprawach ochrony danych

We wszystkich sprawach związanych z ochroną danych osobowych możesz kontaktować się z nami:
Email: biuro@webet.pl
Telefon: +48 798 908 242 (pon-pt, 9:00-17:00)
Korespondencyjnie: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, z dopiskiem „Ochrona Danych Osobowych”

2.1 Dane podawane przez użytkownika

Dane konta (obligatoryjne):

• Adres email
• Hasło (przechowywane wyłącznie w formie skrótu kryptograficznego - hash bcrypt z solą, uniemożliwiający odczytanie hasła nawet przez administratorów Serwisu)
• Imię i nazwisko (opcjonalnie)

Dane subskrypcji i płatności:

• Typ subskrypcji (darmowa, roczna)
• Status subskrypcji i data zakupu
• Informacje o płatnościach (przetwarzane przez Stripe)
• Historia transakcji

Dane użytkowe:

• Lista zakupów i wyszukiwane leki
• Historia wyszukiwań i porównań
• Zapisane preferencje użytkownika
• Treść rozmów z Apteczkomatem (wiadomości tekstowe; przesłane obrazy nie są przechowywane)
• Zapytania do aptek w okolicy: pozycje (w tym leki na receptę, które wpiszesz), miejscowość i zasięg, lokalizacja urządzenia (jeśli ją udostępnisz), numer telefonu (jeśli go podasz), komentarz i rozmowa z apteką, odpowiedź apteki, kod odbioru

2.2 Dane zbierane automatycznie

• Adres IP i przybliżona lokalizacja geograficzna
• Typ i wersja przeglądarki
• System operacyjny i typ urządzenia
• Strony odwiedzane i czas spędzony na stronie
• Źródło odwiedzin (referrer)
• Dane techniczne sesji
• Pliki cookies i podobne technologie

2.3 Dane płatności

Ważne: Dane Twojej karty płatniczej (numer karty, CVV, data ważności) są przetwarzane wyłącznie przez Stripe, Inc. - operatora płatności zgodnego z PCI DSS Level 1. My NIE przechowujemy i NIE mamy dostępu do pełnych danych Twojej karty płatniczej.

Przechowujemy jedynie:

• Stripe Customer ID - unikalny identyfikator w systemie Stripe
• Stripe Subscription ID - identyfikator subskrypcji
• Stripe Payment Intent ID - identyfikator transakcji
• Kwotę i walutę płatności (PLN)
• Status płatności (oczekująca, zrealizowana, nieudana, anulowana)
• Ostatnie 4 cyfry karty (dla identyfikacji)

Przetwarzamy Twoje dane osobowe wyłącznie w określonych celach i na podstawie stosownych podstaw prawnych zgodnie z art. 6 RODO:

3.1 Realizacja umowy (art. 6 ust. 1 lit. b RODO)

• Utworzenie i zarządzanie kontem użytkownika
• Świadczenie usług porównywania cen leków
• Realizacja subskrypcji (darmowej lub płatnej)
• Obsługa płatności
• Wysyłanie powiadomień związanych z usługą
• Obsługa Apteczkomatu oraz rozliczanie limitu i pakietów pytań
• Obsługa zapytań do aptek w okolicy: przekazanie odpowiedzi apteki, rezerwacja i potwierdzenie odbioru, rozliczenie miesięcznego limitu zapytań

3.2 Wypełnienie obowiązków prawnych (art. 6 ust. 1 lit. c RODO)

• Wystawianie i przechowywanie faktur VAT
• Wypełnienie obowiązków podatkowych
• Realizacja obowiązków wynikających z prawa konsumenckiego
• Odpowiedź na żądania organów państwowych (w zakresie wymaganym prawem)

3.3 Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO)

• Zapewnienie bezpieczeństwa i wykrywanie nadużyć
• Analiza i doskonalenie działania platformy
• Rozpatrywanie reklamacji i sporów
• Dochodzenie roszczeń lub obrona przed roszczeniami
• Archiwizacja danych na potrzeby zgodności z przepisami

3.4 Zgoda (art. 6 ust. 1 lit. a RODO)

• Wysyłka newslettera z ofertami i promocjami (marketing bezpośredni)
• Personalizacja komunikacji marketingowej
• Umieszczanie i odczytywanie plików cookies analitycznych i marketingowych

Newsletter - łączna podstawa prawna:

Wysyłka newslettera odbywa się na podstawie trzech podstaw prawnych łącznie: (a) art. 6 ust. 1 lit. a RODO - Twojej dobrowolnej zgody na przetwarzanie adresu e-mail; (b) art. 10 ust. 1 ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną - Twojej zgody na otrzymywanie informacji handlowych drogą elektroniczną; (c) art. 172 ust. 1 ustawy z 16 lipca 2004 r. - Prawo telekomunikacyjne - Twojej zgody na używanie telekomunikacyjnych urządzeń końcowych w celach marketingu bezpośredniego. Zgody są zbierane łącznie poprzez aktywne zaznaczenie checkboxa w formularzu zapisu. Możesz cofnąć każdą zgodę w dowolnym momencie klikając link Wypisz się w stopce każdego e-maila lub kontaktując się z biuro@webet.pl.

Zgodę możesz w każdej chwili wycofać, co nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Twoje dane osobowe przechowujemy przez okresy niezbędne do realizacji celów, z uwzględnieniem okresów wymaganych przepisami prawa:

Koszyk leków bez recepty i suplementów, który tworzysz w Serwisie, oraz wiadomości, które wysyłasz do Apteczkomatu, mogą ujawniać informacje o Twoim zdrowiu albo o zdrowiu osób, dla których kupujesz. Są wtedy danymi dotyczącymi zdrowia w rozumieniu art. 4 pkt 15 i art. 9 ust. 1 RODO. Traktujemy je w ten sposób zawsze, bez względu na to, dla kogo kupujesz.

5.1 Podstawa prawna przetwarzania

Wyraźna zgoda Użytkownika (art. 9 ust. 2 lit. a RODO). Prosimy o dwie osobne zgody, każdą wtedy, gdy jest potrzebna: zgodę na koszyk i porównanie cen przed pierwszym dodaniem produktu do koszyka, a zgodę na Apteczkomat przed pierwszą wiadomością do niego. Wyszukiwanie nie wymaga zgody. Odmowa jednej zgody nie wpływa na drugą: bez zgody na koszyk nie tworzymy koszyka na naszym serwerze ani nie porównujemy jego ceny, a bez zgody na Apteczkomat nie wysyłamy wiadomości. Pozostałe strony Serwisu można przeglądać bez nich. O osobną zgodę prosimy przy każdym zapytaniu do aptek w okolicy (pkt 5.8.3).

5.2 Zakres

Zgoda na koszyk: nazwy i ilości produktów w koszyku, w tym plan zapasu i alerty cen przypisane do koszyka. Zgoda na Apteczkomat: treść wiadomości i obrazów wysłanych do Apteczkomatu, wklejone listy, dawki wpisane w planie zapasu oraz lista produktów zbudowana w rozmowie. Do tego pozycje zapytania do aptek w okolicy, w tym leki na receptę, które wpiszesz, komentarz i rozmowa z apteką (pkt 5.8). Łączymy je z identyfikatorem Konta, a bez logowania z losowym identyfikatorem sesji i przeglądarki.

5.3 Cel

Zgoda na koszyk: wyszukanie produktów, zapisanie koszyka i porównanie ceny całego koszyka w aptekach internetowych prezentowanych w Serwisie, a na Koncie także alerty cen i przypomnienia o koszyku. Zgoda na Apteczkomat: udzielenie odpowiedzi na Twoje wiadomości i zapis rozmowy, do której możesz wrócić, najdłużej 12 miesięcy od ostatniej wiadomości. Gdy wysyłasz zapytanie do aptek w okolicy, także przekazanie go tym aptekom i obsługa odbioru (pkt 5.8).

Na podstawie tej samej zgody zapisujemy też przebieg wizyty: czego szukasz, co dodajesz do koszyka, wynik porównania i linki do aptek, które otwierasz. Robimy to wyłącznie po to, żeby sprawdzać i poprawiać wyszukiwarkę i porównanie. Nie używamy tych danych do reklamy ani do profilowania i nie przekazujemy ich podmiotom reklamowym.

Frazy wpisane przed udzieleniem zgody zostają w Twojej przeglądarce. Wysyłamy je na nasz serwer dopiero w chwili zgody i tylko z bieżącej wizyty. Gdy odmówisz albo zamkniesz kartę, znikają z przeglądarki i do nas nie trafiają.

5.4 Wycofanie zgody

Każdą z dwóch zgód wycofasz w każdej chwili, niezależnie od drugiej: przełącznikiem w Ustawieniach prywatności (link na dole każdej strony; na Koncie: Ustawienia › Prywatność) albo pisząc na biuro@webet.pl. Usunięcie koszyka nie jest wycofaniem zgody. Po wycofaniu zgody na koszyk usuwamy z naszego serwera zapisane koszyki z ich pozycjami, planem zapasu, linkami do udostępnienia, historią cen i prognozami, a także alerty cen, ukryte produkty i e-maile o koszykach; w rejestrach porównań i zdarzeń usuwamy powiązanie z Tobą. Koszyk zapisany w Twojej przeglądarce zostaje na tym urządzeniu. Po wycofaniu zgody na Apteczkomat usuwamy zapisane rozmowy; kopie przekazane Anthropic znikają u niego w ciągu 30 dni (pkt 6.8). Zapis udzielenia i wycofania zgody przechowujemy 6 lat jako dowód (pkt 4). Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed wycofaniem. Zgodę na przekazanie zapytania aptekom wycofasz, anulując zapytanie (pkt 5.8.8).

5.5 Brak profilowania zdrowotnego

Administrator NIE wykorzystuje tych danych do profilowania zdrowotnego ani marketingu spersonalizowanego. Udostępnia je podmiotom przetwarzającym wymienionym w pkt 6.1–6.8 i 6.10, które działają na jego polecenie, w celach opisanych w pkt 5.3 i 5.7, a gdy wysyłasz zapytanie do aptek w okolicy — także aptekom stacjonarnym, które są odrębnymi administratorami (pkt 5.8 i 6.9). Serwis nie świadczy porad medycznych ani farmaceutycznych.

5.6 Brak przekazywania do marketingu

Dane te NIE są przekazywane do procesorów marketingowych (Google Ads, Meta Platforms) ani analitycznych poza zanonimizowanymi agregatami, w których indywidualne leki nie są identyfikowalne na poziomie pojedynczego Użytkownika.

5.7 Apteczkomat i inne funkcje sztucznej inteligencji

Apteczkomat to asystent oparty na modelu sztucznej inteligencji Claude, dostarczanym przez Anthropic Ireland, Limited (pkt 6.8). Na podstawie Twoich wiadomości wyszukuje produkty w naszym katalogu, układa listę zakupów i liczy, gdzie cały koszyk kosztuje najmniej. Z tego samego modelu korzystamy, gdy odczytujemy nazwy produktów z wklejonej listy lub zdjęcia, gdy proponujemy tańsze odpowiedniki produktów w koszyku i gdy przepisujemy dawkę, którą sam podajesz w planie zapasu.

Jakie dane: treść wiadomości do Apteczkomatu (nazwy leków i suplementów oraz wszystko, co do nich dopiszesz), przesłane obrazy, historia bieżącej rozmowy, lista produktów zbudowana w rozmowie, a przy odpowiednikach nazwy, identyfikatory i ceny produktów w koszyku. Rozmowę łączymy z Twoim Kontem. Rozmowy zapisane przed 16 października 2026 bez logowania są połączone z losowym identyfikatorem sesji i przeglądarki. Obrazów nie przechowujemy. Zapisujemy tylko informację, że obraz był dołączony.

Do wyszukania produktu wystarczy jego nazwa. Nie opisuj objawów ani chorób i nie przesyłaj zdjęć recept ani dokumentacji medycznej. Apteczkomat nie udziela porad zdrowotnych.

Cel: na Twoje żądanie wyszukanie produktów, zbudowanie listy zakupów i porównanie ceny koszyka; zapis rozmowy, żeby można było ją kontynuować; wyjaśnianie błędów w odpowiedziach i zapobieganie nadużyciom.

Podstawa prawna: Twoja wyraźna zgoda na Apteczkomat (art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO), osobna od zgody na koszyk (pkt 5.1). Prosimy o nią przed wysłaniem pierwszej wiadomości do Apteczkomatu. Obejmuje ona też odczyt nazw produktów z wklejonej listy lub zdjęcia oraz przepisanie dawki wpisanej w planie zapasu. Bez zgody Apteczkomat nie wysyła wiadomości. Tańsze odpowiedniki i prognoza ceny wysyłają do modelu tylko katalogowe nazwy produktów, bez identyfikatora osoby, i opierają się na zgodzie na koszyk. Limit pytań i pakiety pytań rozliczamy na podstawie umowy (art. 6 ust. 1 lit. b RODO, § 7 Regulaminu).

Odbiorca: Anthropic Ireland, Limited, jako podmiot przetwarzający, na podstawie umowy powierzenia (pkt 6.8). Przekazujemy mu treść wiadomości, obrazów i historii bieżącej rozmowy. Nie przekazujemy imienia, nazwiska, adresu e-mail, identyfikatora Konta ani adresu IP. Anthropic nie może trenować modeli na tych danych i usuwa je w ciągu 30 dni, z wyjątkami opisanymi w pkt 6.8. Dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym na zasadach z pkt 7.

Odpowiedzi generuje model sztucznej inteligencji i mogą zawierać błędy. Cenę i skład sprawdzisz na karcie produktu i na stronie apteki. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO).

Jak długo przechowujemy dane: pkt 4. Twoje prawa, w tym dostęp do zapisanych rozmów i ich usunięcie: pkt 8.

5.8 Zapytanie do aptek w okolicy i odbiór na kod

5.8.1. Na czym to polega. Gdy wysyłasz zapytanie do aptek w okolicy, przekazujemy je aptekom ogólnodostępnym w wybranym przez Ciebie zasięgu, kolejno od najbliższej, aż któraś odpowie. Najbliższa otwarta apteka dostaje zapytanie pierwsza, kolejna po około 10 minutach; jeśli masz Premium, zapytanie trafia od razu do dwóch najbliższych aptek. Odpowiedź apteki pokazujemy Tobie, a gdy zarezerwujesz odbiór, nadajemy kod odbioru.

5.8.2. Jakie dane zbieramy.

• a) pozycje zapytania: nazwy, opakowania i ilości leków bez recepty i suplementów z koszyka, a jeśli zaznaczysz przy nich zgodę — także nazwy i ilości leków na receptę, które wpiszesz, z odpłatnością, jeśli ją podasz;
• b) miejscowość i wybrany zasięg (własna miejscowość albo 5, 10 lub 20 km), a jeśli udostępnisz lokalizację urządzenia — współrzędne;
• c) numer telefonu komórkowego, jeśli go podasz;
• d) komentarz do zapytania i rozmowę z apteką;
• e) adres e-mail: adres Konta, a gdy wysyłasz zapytanie bez logowania — adres podany w formularzu, na który zakładamy Konto bez hasła;
• f) przebieg zapytania: czasy przekazania i otwarcia przez apteki, odpowiedź apteki (dostępność, ilości, zamienniki, ceny), kod i termin odbioru, czas odbioru oraz Twoją odpowiedź na pytanie po odbiorze, czy cena się zgadzała;
• g) zapis Twojej zgody: datę, wersję treści zgody, adres IP i identyfikator przeglądarki.

Nazwy leków i suplementów mogą ujawniać informacje o Twoim zdrowiu albo o zdrowiu osoby, dla której kupujesz. Traktujemy je jako dane dotyczące zdrowia, także gdy chodzi o produkty bez recepty.

5.8.3. Podstawa prawna. Przekazujemy zapytanie aptekom na podstawie Twojej wyraźnej zgody (art. 9 ust. 2 lit. a RODO), o którą prosimy przy każdym zapytaniu. Bez zgody zapytania nie wysyłamy. Leki na receptę dołączamy do zapytania tylko wtedy, gdy zaznaczysz zgodę przy lekach na receptę; koszyka złożonego wyłącznie z leków na receptę nie wyślemy bez niej. Pozostałe dane (adres e-mail, miejscowość, przebieg zapytania, limit zapytań) przetwarzamy, żeby wykonać usługę, którą zamawiasz, wysyłając zapytanie (art. 6 ust. 1 lit. b RODO).

Treść zgody:

Wyrażam wyraźną zgodę na przekazanie mojego zapytania — nazw i ilości leków i suplementów, w tym leków na receptę, mojego komentarza, imienia i numeru telefonu, jeśli go podaję — aptekom ogólnodostępnym w wybranym przeze mnie zasięgu, kolejno od najbliższej, w celu uzyskania informacji o dostępności i cenie oraz rezerwacji odbioru. Wiem, że dane te mogą ujawniać informacje o zdrowiu (art. 9 ust. 2 lit. a RODO) i że zgodę mogę wycofać, anulując zapytanie. Szczegóły: Polityka prywatności, pkt 5.8.

5.8.4. Co widzi apteka. Apteki są odrębnymi administratorami: same odpowiadają za to, co robią z danymi z zapytania, i przetwarzają je, żeby odpowiedzieć, przygotować rezerwację oraz sprzedać i wydać produkty.

Apteka nie widzi adresu e-mail, nazwiska ani dokładnej lokalizacji. W e-mailu z powiadomieniem apteka dostaje listę do ośmiu pozycji zapytania, odległość i godzinę, do której może odpowiedzieć, bez imienia i numeru telefonu. SMS do apteki nie zawiera żadnych danych z zapytania.

5.8.5. Kto jeszcze je otrzymuje. Nazwę i adres apteki, która odpowiedziała, pokazujemy w odpowiedzi, razem z jej informacją o przetwarzaniu danych. Listę wszystkich aptek, które otrzymały Twoje zapytanie, podamy na żądanie wysłane na biuro@webet.pl. E-maile z odpowiedzią apteki i kodem odbioru wysyła nasz dostawca poczty (pkt 6.3), a dane przechowujemy u dostawcy hostingu (pkt 6.2). Nie przekazujemy danych z zapytań podmiotom marketingowym (pkt 5.6) i nie pobieramy od aptek opłat zależnych od liczby ani wartości zapytań.

5.8.6. Co Ty widzisz o aptece. Nazwę, adres, numer telefonu i godziny otwarcia poznajesz wyłącznie dla apteki, która odpowiedziała. W trakcie oczekiwania widzisz tylko odległości aptek, do których zapytanie trafiło. Apteki nie poznają nawzajem swoich nazw.

5.8.7. Jak długo przechowujemy dane. Zapytanie (pozycje, odpowiedź, kod odbioru): 12 miesięcy od zakończenia zapytania. Numer telefonu, komentarz i rozmowa z apteką: 30 dni od zakończenia zapytania. Lokalizacja podana przy zapytaniu: 30 dni od zakończenia zapytania. Zapis zgody (data, wersja dokumentu, adres IP): 6 lat od udzielenia zgody. Treść e-maili z pozycjami zapytania przechowujemy tak długo jak samo zapytanie. Po usunięciu zapytania ceny podane przez aptekę zostają u nas jako dane o cenach, bez powiązania z Tobą. Usunięcie Konta usuwa Twoje zapytania od razu.

5.8.8. Twoje prawa. Masz wszystkie prawa z pkt 8. Ponadto:

• a) Zgodę wycofasz, anulując zapytanie. Apteki, które nie odpowiedziały, tracą wtedy dostęp do Twoich danych od razu; apteka, która już odpowiedziała, traci numer telefonu od razu, a pozostałe dane po 24 godzinach.
• b) Wycofanie zgody nie cofa przekazania, które już nastąpiło. Żądania dotyczące danych, które apteka zachowała u siebie, kieruj do apteki.
• c) Numer telefonu i komentarz są nieobowiązkowe.
• d) Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub podobnie istotnie na Ciebie wpływały. Kolejność aptek wynika wyłącznie z odległości.
• e) Link do statusu zapytania wysłanego bez logowania jest ważny 7 dni.

Twoje dane osobowe udostępniamy podmiotom przetwarzającym (pkt 6.1–6.8 i 6.10) wyłącznie w zakresie niezbędnym do realizacji celów przetwarzania; z każdym z nich zawarliśmy umowę powierzenia zgodnie z art. 28 RODO. Gdy wysyłasz zapytanie do aptek w okolicy, dane z zapytania otrzymują także apteki stacjonarne (pkt 6.9). Są odrębnymi administratorami i nie zawieramy z nimi umowy powierzenia.

6.1 Stripe Payments Europe Ltd. oraz Stripe, Inc. (operator płatności)

• Rola: Procesor (podmiot przetwarzający)
• Cel przetwarzania: Realizacja płatności kartą kredytową/debetową oraz innymi metodami płatności, zarządzanie subskrypcjami i automatycznym odnowieniem, obsługa zwrotów oraz zapobieganie oszustwom płatniczym.
• Zakres danych: identyfikator klienta Stripe, identyfikator subskrypcji, identyfikator transakcji, kwota i waluta, status płatności, ostatnie 4 cyfry karty, adres email Użytkownika, adres IP (na potrzeby weryfikacji antyfraudowej). Pełne dane karty (numer, CVV, data ważności) są wprowadzane bezpośrednio do systemu Stripe i nie przechodzą przez nasze serwery.
• Lokalizacja: Stripe Payments Europe Ltd. - Irlandia (EOG); Stripe, Inc. - Stany Zjednoczone (infrastruktura globalna).
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes - przeciwdziałanie oszustwom).
• Podstawa transferu poza EOG: EU-US Data Privacy Framework (decyzja wykonawcza Komisji Europejskiej (UE) 2023/1795 z 10 lipca 2023 r.) - Stripe, Inc. jest podmiotem certyfikowanym. Dodatkowo standardowe klauzule umowne (SCC) oraz certyfikacja PCI DSS Level 1.
• Polityka prywatności: stripe.com/privacy

6.2 Hetzner Online GmbH (hosting infrastruktury)

• Rola: Procesor (podmiot przetwarzający)
• Cel przetwarzania: Hosting aplikacji webowej, API oraz bazy danych PostgreSQL, hosting indeksu wyszukiwania Elasticsearch oraz pamięci podręcznej Redis.
• Zakres danych: pełen zakres danych Użytkownika przechowywanych w bazie (dane konta, listy zakupów, historia wyszukiwań, dane sesji, logi techniczne).
• Lokalizacja: Niemcy (Europejski Obszar Gospodarczy) - dane nie opuszczają EOG.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Podstawa transferu: nie dotyczy - przetwarzanie odbywa się w całości na terenie EOG. Hetzner posiada certyfikaty ISO 27001 oraz ISO 9001.

6.3 Twilio SendGrid, Inc. (e-maile transakcyjne i newsletter)

• Rola: Procesor (podmiot przetwarzający)
• Cel przetwarzania: Wysyłka e-maili transakcyjnych (potwierdzenia rejestracji, potwierdzenia płatności, powiadomienia o odnowieniu subskrypcji, resety hasła, linki konfirmacyjne) oraz newsletterów marketingowych, a także wiadomości do aptek z propozycją współpracy, razem z informacją, czy wiadomość została doręczona.
• Zakres danych: adres email, imię i nazwisko (jeśli podane przy onboardingu), treść wiadomości, linki konfirmacyjne, status doręczenia/otwarcia.
• Lokalizacja: Stany Zjednoczone.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy - e-maile transakcyjne) oraz art. 6 ust. 1 lit. a RODO w związku z art. 10 ust. 1 ustawy o świadczeniu usług drogą elektroniczną i art. 172 ust. 1 Prawa telekomunikacyjnego (zgoda - newsletter marketingowy).
• Podstawa transferu poza EOG: EU-US Data Privacy Framework (decyzja Komisji Europejskiej (UE) 2023/1795) - Twilio SendGrid jest podmiotem certyfikowanym. Dodatkowo standardowe klauzule umowne (SCC).

6.4 Amazon Web Services EMEA SARL (hosting plików S3)

• Rola: Procesor (podmiot przetwarzający)
• Cel przetwarzania: Przechowywanie plików załączników, zasobów statycznych oraz kopii zapasowych w usłudze Amazon S3 (Active Storage).
• Zakres danych: pliki załączane przez Użytkownika lub generowane przez Serwis (faktury PDF, eksporty danych RODO, zasoby statyczne).
• Lokalizacja: Amazon Web Services EMEA SARL - Luksemburg (centrala). Dane przechowujemy w regionie Unii Europejskiej.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. c RODO (obowiązek prawny - przechowywanie faktur).
• Podstawa transferu poza EOG: EU-US Data Privacy Framework (Amazon Web Services jest podmiotem certyfikowanym) oraz standardowe klauzule umowne (SCC). AWS posiada certyfikaty ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3.

6.5 Rollbar, Inc. (monitoring błędów aplikacji)

• Rola: Procesor (podmiot przetwarzający)
• Cel przetwarzania: Wykrywanie, raportowanie i diagnostyka błędów aplikacji w celu utrzymania jakości oraz bezpieczeństwa Serwisu.
• Zakres danych: stack trace błędu, identyfikator sesji, user agent, adres IP, kontekst techniczny żądania. Dane osobowe Użytkownika są filtrowane (PII scrubbing) przed wysyłką - imię, nazwisko, adres e-mail, hasło oraz dane płatnicze nie są przekazywane.
• Lokalizacja: Stany Zjednoczone.
• Podstawa prawna: art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes Administratora polegający na zapewnieniu bezpieczeństwa, stabilności i jakości świadczonej usługi.
• Podstawa transferu poza EOG: standardowe klauzule umowne (SCC - decyzja wykonawcza Komisji Europejskiej (UE) 2021/914). Rollbar, Inc. nie jest na dzień aktualizacji niniejszej Polityki certyfikowany w ramach EU-US Data Privacy Framework - dane są przekazywane wyłącznie na podstawie SCC oraz dodatkowych środków technicznych (PII scrubbing).

6.6 Google Ireland Ltd. oraz Google LLC (Google Tag Manager, Google Analytics 4, Google Ads)

• Rola: Procesor (podmiot przetwarzający) - w zakresie GA4 i Google Ads zgodnie z postanowieniami Google Ads Data Processing Terms.
• Cel przetwarzania: Pomiar ruchu, analiza zachowań użytkowników, mierzenie skuteczności kampanii reklamowych (konwersje), retargeting oraz Enhanced Conversions. Identyfikator kontenera Google Tag Manager: GTM-5ZLFN8Z7.
• Zakres danych: dane behawioralne (odwiedzane strony, czas sesji, ścieżka konwersji), eventy konwersji, identyfikatory urządzeń (Google Client ID), adres IP (skrócony / anonimizowany). Dla Enhanced Conversions: identyfikator użytkownika oraz adres e-mail w postaci haszowanej SHA-256.
• Lokalizacja: Google Ireland Ltd. - Irlandia (EOG); Google LLC - Stany Zjednoczone (infrastruktura globalna).
• Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda Użytkownika wyrażona w banerze cookies) w związku z art. 399 ust. 1 ustawy z 12 lipca 2024 r. – Prawo komunikacji elektronicznej.
• Podstawa transferu poza EOG: EU-US Data Privacy Framework (Google LLC jest podmiotem certyfikowanym - decyzja Komisji Europejskiej (UE) 2023/1795). Dodatkowo standardowe klauzule umowne (SCC).
• Polityka prywatności: policies.google.com/privacy

6.7 Meta Platforms Ireland Ltd. oraz Meta Platforms, Inc. (Facebook Pixel)

• Rola: Współadministrator danych (w zakresie pomiaru eventów konwersji - zgodnie z Controller Addendum dla Facebook Business Tools).
• Cel przetwarzania: Pomiar konwersji kampanii reklamowych w sieci Meta (Facebook, Instagram), retargeting oraz tworzenie grup podobnych odbiorców (Lookalike Audiences). Identyfikator pixela: 699317922143678.
• Zakres danych: eventy konwersji (PageView, AddToCart, PharmacyClick - custom event Serwisu), identyfikator użytkownika Meta (jeśli posiada), parametry standardowe (URL, czas zdarzenia), adres IP. Dane są przekazywane bez bezpośrednich identyfikatorów osobowych po stronie Serwisu.
• Lokalizacja: Meta Platforms Ireland Ltd. - Irlandia (EOG); Meta Platforms, Inc. - Stany Zjednoczone (infrastruktura globalna).
• Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda Użytkownika wyrażona w banerze cookies) w związku z art. 399 ust. 1 ustawy z 12 lipca 2024 r. – Prawo komunikacji elektronicznej.
• Podstawa transferu poza EOG: EU-US Data Privacy Framework (Meta Platforms, Inc. jest podmiotem certyfikowanym - decyzja Komisji Europejskiej (UE) 2023/1795). Dodatkowo standardowe klauzule umowne (SCC).
• Polityka prywatności: facebook.com/privacy/policy

6.8 Anthropic Ireland, Limited (model sztucznej inteligencji Claude)

• Rola: Podmiot przetwarzający. Stroną umowy z Administratorem jest Anthropic Ireland, Limited (Irlandia). Anthropic korzysta z dalszych podmiotów przetwarzających wymienionych na stronie anthropic.com/subprocessors.
• Cel przetwarzania: generowanie odpowiedzi Apteczkomatu, odczytywanie nazw produktów z tekstu i obrazów, proponowanie odpowiedników produktów w koszyku oraz przepisywanie dawek podanych przez Użytkownika w planie zapasu — zob. pkt 5.7.
• Zakres danych: treść wiadomości i obrazów wysłanych do Apteczkomatu, historia bieżącej rozmowy, lista produktów w rozmowie oraz nazwy, identyfikatory i ceny produktów w koszyku. Bez imienia, nazwiska, adresu e-mail, identyfikatora Konta i adresu IP Użytkownika.
• Lokalizacja: Anthropic Ireland, Limited — Irlandia (EOG); przetwarzanie przez Anthropic i jego dalsze podmioty przetwarzające odbywa się także poza EOG.
• Podstawa prawna: wyraźna zgoda Użytkownika (art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO) — zob. pkt 5.7. Umowa powierzenia (art. 28 RODO): warunki handlowe Anthropic (Commercial Terms of Service) wraz z Data Processing Addendum, zaakceptowane przez Administratora. Anthropic nie może trenować modeli na danych przekazanych przez Administratora.
• Podstawa transferu poza EOG: standardowe klauzule umowne (decyzja wykonawcza Komisji Europejskiej (UE) 2021/914) włączone do Data Processing Addendum Anthropic.
• Okres przechowywania u Anthropic: dane wejściowe i odpowiedzi są usuwane w ciągu 30 dni; dłużej — do 2 lat — wyłącznie wtedy, gdy automatyczne systemy bezpieczeństwa Anthropic oznaczą rozmowę jako naruszającą zasady korzystania z usługi, albo gdy wymaga tego prawo.
• Informacje Anthropic o ochronie danych: anthropic.com/legal/privacy; lista dalszych podmiotów przetwarzających: anthropic.com/subprocessors.

6.9 Apteki stacjonarne (odbiorcy zapytań)

• Kategoria odbiorców: apteki ogólnodostępne w Polsce, które zawarły z nami umowę i mieszczą się w zasięgu wybranym przez Ciebie.
• Rola: odrębni administratorzy. Nie zawieramy z aptekami umowy powierzenia; apteka nie przetwarza danych w naszym imieniu.
• Zakres danych: pkt 5.8.4.
• Cel: odpowiedź na zapytanie, rezerwacja, sprzedaż i wydanie produktów.
• Podstawa przekazania: Twoja wyraźna zgoda (art. 9 ust. 2 lit. a RODO).
• Lokalizacja: Polska.

6.10 SMSAPI (powiadomienia SMS dla aptek)

• Rola: podmiot przetwarzający.
• Cel przetwarzania: wysyłka powiadomień SMS do aptek, które włączyły ten kanał.
• Zakres danych: numer telefonu apteki i treść powiadomienia. Bez danych pacjentów.
• Lokalizacja: Polska.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy z apteką).

Ze wszystkimi podmiotami przetwarzającymi wymienionymi powyżej (pkt 6.1–6.8 i 6.10) zawarliśmy umowy powierzenia przetwarzania danych osobowych (DPA) zgodnie z art. 28 RODO. Administrator nie wyznaczył Inspektora Ochrony Danych (IOD) - przetwarzanie nie spełnia warunków obowiązkowego wyznaczenia IOD określonych w art. 37 ust. 1 RODO. Wszelkie sprawy dotyczące ochrony danych osobowych można kierować bezpośrednio do Administratora pod adresem biuro@webet.pl.

Niektóre dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym. Przetwarzanie poza EOG dotyczy następujących podmiotów: Stripe, Inc. (Stany Zjednoczone), Twilio SendGrid, Inc. (Stany Zjednoczone), Amazon Web Services - infrastruktura globalna (przy czym dane Serwisu są hostowane w regionach UE), Rollbar, Inc. (Stany Zjednoczone), Google LLC (Stany Zjednoczone), Meta Platforms, Inc. (Stany Zjednoczone), Anthropic — dalsze podmioty przetwarzające Anthropic Ireland, Limited poza EOG. Dane przetwarzane przez Hetzner Online GmbH pozostają w całości na terenie Niemiec (EOG). Transfer danych poza EOG odbywa się na podstawie:

• (a) Decyzji wykonawczej Komisji Europejskiej (UE) 2023/1795 z 10 lipca 2023 r. w sprawie EU-US Data Privacy Framework - w odniesieniu do podmiotów certyfikowanych (Stripe, Twilio SendGrid, AWS, Google, Meta)
• (b) Standardowych klauzul umownych (decyzja wykonawcza Komisji Europejskiej (UE) 2021/914) - w pozostałych przypadkach, w tym dla Rollbar, Inc. oraz Anthropic.
• (c) Środków organizacyjnych i technicznych zgodnych z PCI DSS Level 1, ISO 27001, SOC 2 - w zależności od dostawcy
• (d) Dodatkowych zabezpieczeń technicznych takich jak szyfrowanie SSL/TLS, pseudonimizacja oraz filtracja danych osobowych (PII scrubbing) przed wysyłką

Kopię standardowych klauzul umownych (SCC) oraz informacje o konkretnych zabezpieczeniach transferu można uzyskać kontaktując się z Administratorem pod adresem biuro@webet.pl.

Zgodnie z RODO przysługują Ci następujące prawa:

8.1 Prawo dostępu do danych (art. 15 RODO)

Możesz uzyskać potwierdzenie, czy przetwarzamy Twoje dane oraz dostęp do tych danych.

8.2 Prawo do sprostowania (art. 16 RODO)

Możesz żądać sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych.

8.3 Prawo do usunięcia - „prawo do bycia zapomnianym” (art. 17 RODO)

Możesz żądać usunięcia danych, jeżeli nie są już niezbędne lub wycofałeś zgodę.

8.4 Prawo do ograniczenia przetwarzania (art. 18 RODO)

Możesz żądać ograniczenia przetwarzania w określonych sytuacjach.

8.5 Prawo do przenoszenia danych (art. 20 RODO)

Możesz otrzymać swoje dane w formacie CSV lub JSON i przesłać je innemu administratorowi.

8.6 Prawo sprzeciwu (art. 21 RODO)

Możesz w dowolnym momencie wnieść sprzeciw wobec przetwarzania danych w celach marketingowych.

8.7 Prawo do wycofania zgody (art. 7 ust. 3 RODO)

Jeżeli przetwarzanie odbywa się na podstawie zgody, możesz ją wycofać w dowolnym momencie.

8.8 Prawo do skargi (art. 77 RODO)

Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych:

Urząd Ochrony Danych Osobowych
ul. Stawki 2, 00-193 Warszawa
Email: kancelaria@uodo.gov.pl
Telefon: +48 22 531 03 00
Strona: uodo.gov.pl

Jak skorzystać z praw?

Aby skorzystać z któregokolwiek z powyższych praw, skontaktuj się z nami:

• Email: biuro@webet.pl
• Telefon: +48 798 908 242
• Korespondencyjnie: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole (z dopiskiem „Ochrona Danych”)

Odpowiemy na Twoje żądanie bez zbędnej zwłoki - nie później niż w ciągu miesiąca od otrzymania żądania.

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych osobowych:

9.1 Środki techniczne

• Szyfrowanie SSL/TLS dla wszystkich transmisji danych
• Hashowanie haseł algorytmem bcrypt z indywidualną solą (one-way, nieodwracalne - hasło nie jest możliwe do odzyskania nawet przez administratora)
• Szyfrowanie wrażliwych danych w bazie danych
• Regularne kopie zapasowe z szyfrowaniem
• Firewall i ochrona przed atakami DDoS
• Monitoring bezpieczeństwa 24/7

9.2 Środki organizacyjne

• Ograniczony dostęp do danych osobowych
• Polityki bezpieczeństwa informacji
• Regularne szkolenia pracowników
• Umowy o poufność z pracownikami i współpracownikami
• Okresowe audyty bezpieczeństwa

10.1 Czym są pliki cookies?

Pliki cookies to małe pliki tekstowe zapisywane przez przeglądarkę na Twoim urządzeniu podczas przeglądania stron internetowych. Pozwalają one rozpoznać Twoje urządzenie i zapamiętać informacje o Twojej wizycie.

10.2 Jakie pliki cookies używamy?

Pliki cookies niezbędne

Cel: Niezbędne do prawidłowego funkcjonowania strony
Podstawa prawna: Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO)
Okres: Sesja lub do 1 roku

Przykłady: session ID, CSRF token, cookie_consent

Pliki cookies funkcjonalne

Cel: Zapamiętywanie preferencji i ustawień
Podstawa prawna: Prawnie uzasadniony interes
Okres: Do 12 miesięcy

Przykłady: user_preferences, theme_mode

Pliki cookies Stripe (płatności)

Cel: Przetwarzanie płatności, zapobieganie oszustwom
Dostawca: Stripe, Inc. (USA)
Podstawa prawna: Wykonanie umowy (art. 6 ust. 1 lit. b RODO)
Okres: Od sesji do 2 lat

Przykłady: __stripe_mid, __stripe_sid
Więcej informacji: stripe.com/cookies-policy/legal

Pliki cookies analityczne

Cel: Analiza zachowania użytkowników, optymalizacja strony
Podstawa prawna: Zgoda użytkownika (art. 6 ust. 1 lit. a RODO)
Okres: Do 24 miesięcy

privacy.sections.cookies.types.analytics.examples

Uwaga: Te pliki cookies będą używane tylko za Twoją wyraźną zgodą. Przykład: tpl_pharmacy_outreach (pamięć przeglądarki): kod z linku w naszej wiadomości do apteki, przechowywany 90 dni, używany tylko na stronach dla aptek.

10.3 Zarządzanie cookies

Przy pierwszej wizycie wyświetlimy banner z informacją o cookies. Możesz:

• Zaakceptować wszystkie cookies - zgoda na wszystkie rodzaje
• Dostosować preferencje - wybór rodzajów cookies
• Odrzucić opcjonalne cookies - tylko niezbędne cookies

Możesz również zarządzać cookies w ustawieniach przeglądarki (Chrome, Firefox, Safari, Edge).

Uwaga: Wyłączenie niektórych cookies może wpłynąć na funkcjonalność strony. Cookies niezbędne nie mogą być wyłączone bez utraty podstawowych funkcji.

Serwis jest przeznaczony dla osób pełnoletnich (18 lat i więcej), zgodnie z Regulaminem. Administrator nie zbiera świadomie danych osobowych od osób poniżej 16 roku życia. W przypadku stwierdzenia, że dane osoby poniżej 16 roku życia zostały zebrane bez weryfikowalnej zgody osoby sprawującej władzę rodzicielską (art. 8 ust. 1 RODO), zostaną one niezwłocznie usunięte. Jeżeli jesteś rodzicem lub opiekunem i sądzisz, że dziecko podało nam swoje dane osobowe - skontaktuj się z nami pod biuro@webet.pl.

Możemy okresowo aktualizować niniejszą politykę prywatności. O istotnych zmianach poinformujemy Cię:

• Poprzez wysłanie powiadomienia email
• Poprzez komunikat na stronie głównej
• Poprzez komunikat w Serwisie po zalogowaniu

O istotnych zmianach wpływających na zakres przetwarzania danych osobowych powiadomimy Cię co najmniej 14 dni przed ich wejściem w życie. Tam, gdzie przetwarzanie wymaga Twojej zgody, poprosimy o nią osobno.

Jeśli masz pytania dotyczące tej polityki prywatności lub chcesz skorzystać ze swoich praw, skontaktuj się z nami:

Email: biuro@webet.pl

Telefon: +48 798 908 242 (pon-pt, 9:00-17:00)

Adres: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polska

Odpowiadamy na zapytania ogólne w ciągu 3 dni roboczych, na żądania RODO w ciągu miesiąca.

Zgodność z RODO: TaniejPoLek jest w pełni zgodny z Rozporządzeniem o Ochronie Danych Osobowych (RODO - Rozporządzenie UE 2016/679) oraz polską ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 poz. 1781). Twoje dane są przetwarzane zgodnie z najwyższymi standardami bezpieczeństwa i prywatności.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
• Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną
• Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
• Ustawa z dnia 30 maja 2014 r. o prawach konsumenta
• Decyzja wykonawcza Komisji Europejskiej (UE) 2023/1795 z 10 lipca 2023 r. (EU-US Data Privacy Framework)
• Decyzja wykonawcza Komisji Europejskiej (UE) 2021/914 (standardowe klauzule umowne)

• 16 października 2026 — dodanie pkt 5.8 (zapytanie do aptek w okolicy i odbiór na kod), pkt 6.9 (apteki stacjonarne jako odrębni administratorzy), pkt 6.10 (dostawca SMS) i pkt 2.4 (dane aptek, w tym zapis kontaktu z apteką i śledzenie wizyt za zgodą); uzupełnienie pkt 2, 3, 4, 6.3 i 10.2; zmiana pkt 5.1–5.5 i wstępu do pkt 6; poprawa podstawy prawnej w pkt 6.6 i 6.7 (Prawo komunikacji elektronicznej zamiast Prawa telekomunikacyjnego).
• 16 października 2026 — dodanie pkt 5.7 (Apteczkomat i inne funkcje sztucznej inteligencji) i pkt 6.8 (Anthropic Ireland, Limited jako podmiot przetwarzający), uzupełnienie pkt 2, 3, 4, 5 i 7 o rozmowy z Apteczkomatem; zgoda na przetwarzanie danych o zdrowiu obejmuje od tej wersji także wiadomości do Apteczkomatu i jest zbierana przed pierwszą wiadomością.
• 3 lipca 2026 — aktualizacja daty dokumentu. Opisane wówczas w historii punkty 5.7 i 6.8 nie zostały opublikowane; ich treść wprowadza wersja z 16 października 2026.
• 13 maja 2026 - aktualizacja zgodnie z audytem compliance: aktualizacja listy procesorów danych (Stripe, Hetzner, Twilio SendGrid, AWS, Rollbar, Google, Meta zamiast wcześniej wymienianych Vercel/Scalingo), dodanie sekcji o szczególnych kategoriach danych (art. 9 RODO - dane dotyczące zdrowia w listach zakupów leków bez recepty), aktualizacja klauzul dotyczących zmian Regulaminu (aktywna akceptacja w miejsce milczącej) oraz automatycznego odnowienia subskrypcji (powiadomienia 7 dni przed), korekta terminologii bcrypt (hashowanie zamiast szyfrowania), doprecyzowanie zasad dotyczących wieku użytkowników (16/18), aktualizacja podstaw prawnych newslettera (art. 6 ust. 1 lit. a RODO + art. 10 ŚUDE + art. 172 PT łącznie).
• 17 listopada 2025 - pierwotna wersja dokumentu.