Polityka prywatności Ondeno

Data wejścia w życie: 11 lipca 2026 r. Data ostatniej aktualizacji: 11 lipca 2026 r.

Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych w związku z korzystaniem z serwisu i aplikacji Ondeno dostępnej pod adresem ondeno.com (dalej: "Ondeno", "Serwis" lub "Aplikacja"). Dokument zawiera także odrębny rozdział dotyczący plików cookies (rozdział XI).

Polityka jest realizacją obowiązku informacyjnego wynikającego z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: "RODO").

Zależy nam na tym, aby przetwarzanie danych było zrozumiałe. Dlatego posługujemy się prostym językiem tam, gdzie to możliwe, a terminy prawne wyjaśniamy przy pierwszym użyciu.

Spis treści

1. Administrator danych
2. Inspektor Ochrony Danych
3. Definicje i role: kiedy jesteśmy administratorem, a kiedy podmiotem przetwarzającym
4. Cele przetwarzania, podstawy prawne i zakres danych
5. Dane przetwarzane w imieniu użytkownika (rola podmiotu przetwarzającego)
6. Odbiorcy danych i podmioty przetwarzające (subprocesorzy)
7. Przekazywanie danych poza Europejski Obszar Gospodarczy
8. Okresy przechowywania danych
9. Prawa osób, których dane dotyczą
10. Zautomatyzowane podejmowanie decyzji i profilowanie
11. Pliki cookies
12. Bezpieczeństwo danych
13. Zgłaszanie naruszeń ochrony danych
14. Zmiany Polityki prywatności
15. Kontakt w sprawach danych osobowych

I. Administrator danych

Administratorem danych osobowych, czyli podmiotem, który decyduje o celach i sposobach przetwarzania danych, w zakresie opisanym w rozdziale IV, jest:

PETRUS NIP: 118-005-07-37 Adres siedziby: ul. Władysława Lercha 14C, 02-992 Warszawa Adres poczty elektronicznej: support@ondeno.com

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz korzystania z praw opisanych w rozdziale IX można kontaktować się z Administratorem pod adresem support@ondeno.com lub pisemnie na adres siedziby wskazany powyżej.

Podanie danych jest dobrowolne, jednak w zakresie, w jakim przetwarzanie jest niezbędne do zawarcia i wykonania umowy o świadczenie usług (założenie konta, korzystanie z Aplikacji), brak podania danych uniemożliwia korzystanie z Serwisu.

II. Inspektor Ochrony Danych

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD).

Zgodnie z art. 37 ust. 1 RODO wyznaczenie IOD jest obowiązkowe wyłącznie wtedy, gdy główna działalność administratora polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób na dużą skalę, albo na przetwarzaniu na dużą skalę szczególnych kategorii danych. Wstępna ocena przesłanek z art. 37 RODO wskazuje, że obowiązek wyznaczenia IOD nie powstaje w odniesieniu do prowadzonej działalności.

[DO UZUPEŁNIENIA: potwierdzenie oceny przesłanek art. 37 RODO oraz decyzji o niewyznaczeniu IOD; w razie wyznaczenia IOD w przyszłości należy wskazać jego dane kontaktowe.]

Niezależnie od powyższego, wszelkie zapytania dotyczące ochrony danych można kierować na adres support@ondeno.com.

III. Definicje i role: kiedy jesteśmy administratorem, a kiedy podmiotem przetwarzającym

Ondeno jest narzędziem SaaS (oprogramowanie jako usługa), które umożliwia użytkownikom tworzenie, planowanie i publikowanie treści marketingowych oraz prowadzenie komunikacji z ich własnymi odbiorcami. Z tego względu w Serwisie występują trzy różne poziomy danych osobowych, a rola Ondeno jest różna dla każdego z nich. To rozróżnienie jest kluczowe dla zrozumienia niniejszej Polityki.

Poziom 1. Użytkownicy Ondeno. Są to nasi klienci: przedsiębiorcy, freelancerzy oraz osoby działające w imieniu działów marketingu małych i średnich firm, którzy zakładają konto i korzystają z Aplikacji. W odniesieniu do ich danych (konto, rozliczenia, komunikacja marketingowa Ondeno, logi techniczne) Ondeno jest administratorem. Zasady przetwarzania tych danych opisuje rozdział IV.

Poziom 2. Klienci końcowi użytkownika. Są to osoby, których dane użytkownik wprowadza lub importuje do Aplikacji jako własną bazę odbiorców (baza kontaktów, adresaci newslettera i kampanii tworzonych przez użytkownika). W odniesieniu do tych danych administratorem jest użytkownik, a Ondeno działa jako podmiot przetwarzający (procesor), czyli przetwarza dane na polecenie i w imieniu użytkownika. Zasady tego przetwarzania reguluje umowa powierzenia przetwarzania danych osobowych (DPA), stanowiąca element Regulaminu. Opis znajduje się w rozdziale V.

Poziom 3. Odwiedzający chatbota. Są to osoby odwiedzające stronę internetową klienta końcowego użytkownika, na której osadzony jest chatbot Ondeno, i które korzystają z tego chatbota. W odniesieniu do ich danych Ondeno działa jako podmiot przetwarzający i przetwarza dane wyłącznie na podstawie umowy powierzenia (DPA) zawartej z użytkownikiem. Jeżeli administratorem tych danych jest sam użytkownik, Ondeno jest wobec niego podmiotem przetwarzającym. Jeżeli natomiast administratorem jest klient użytkownika (podmiot, na którego stronie osadzono chatbota), to użytkownik występuje wobec tego klienta jako podmiot przetwarzający, a Ondeno jako dalszy podmiot przetwarzający (subprocesor); w takim przypadku za relację i wymaganą dokumentację powierzenia ze swoim klientem odpowiada użytkownik, natomiast Ondeno pozostaje związane wyłącznie umową z użytkownikiem i nie zawiera odrębnej umowy bezpośrednio z klientem użytkownika. Opis znajduje się w rozdziale V.

Pojęcia użyte w Polityce:

• Administrator to podmiot decydujący o celach i sposobach przetwarzania danych (art. 4 pkt 7 RODO).
• Podmiot przetwarzający (procesor) to podmiot przetwarzający dane w imieniu administratora (art. 4 pkt 8 RODO).
• Subprocesor (dalszy podmiot przetwarzający) to podmiot, któremu procesor podpowierza część operacji przetwarzania.
• Dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO).

IV. Cele przetwarzania, podstawy prawne i zakres danych

W tym rozdziale opisujemy przetwarzanie, w którym Ondeno występuje jako administrator (poziom 1: dane użytkowników Ondeno). Dla każdego celu wskazujemy odrębną podstawę prawną.

Prompty i brief marki jako odrębna kategoria przetwarzania

Ondeno umożliwia generowanie treści (tekstów, opisów, koncepcji kampanii) na podstawie poleceń (promptów) i definicji marki wprowadzanych przez użytkownika. Samo udostępnienie i działanie tej funkcji na rzecz użytkownika odbywa się na podstawie art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy zawartej z użytkownikiem). Materiały te co do zasady nie służą przetwarzaniu danych osobowych, jednak użytkownik może w treści promptu lub briefu marki samodzielnie umieścić dane osobowe osób trzecich (na przykład imię i nazwisko osoby, o której ma powstać treść, lub dane kontaktowe). W odniesieniu do takich danych osób trzecich to użytkownik decyduje o celu i zakresie ich przetwarzania, wobec czego pozostaje ich administratorem, a Ondeno działa wówczas jako podmiot przetwarzający na zasadach określonych w rozdziale V i w umowie powierzenia (DPA); dane te nie są przetwarzane przez Ondeno na podstawie art. 6 ust. 1 lit. b RODO wobec osoby, której dotyczą. Niezależnie od poziomu, dane zawarte w prompcie lub briefie są przekazywane do zewnętrznego dostawcy modelu językowego jako subprocesora w celu wygenerowania odpowiedzi; informacje o dostawcy modelu i mechanizmie transferu poza Europejski Obszar Gospodarczy znajdują się w rozdziałach VI i VII, a obowiązek informacyjny o odbiorcy realizuje art. 13 ust. 1 lit. e RODO. Rekomendujemy, aby nie wprowadzać do promptów danych osobowych, które nie są niezbędne do wykonania usługi.

Płatności

Na dzień wejścia w życie niniejszej Polityki funkcja płatności online nie została jeszcze wdrożona. Serwis działa w trybie pilotażu, a rozliczenia obsługiwane są w sposób opisany w Regulaminie, bez udziału zewnętrznego operatora płatności. Po uruchomieniu funkcji płatności online obsługą transakcji zajmie się zewnętrzny operator płatności działający jako odrębny podmiot przetwarzający. Ondeno nie będzie przechowywać pełnych danych karty płatniczej. Operator płatności będzie przekazywać Ondeno wyłącznie token transakcji i status płatności, a pełne dane instrumentu płatniczego będą przetwarzane po stronie operatora zgodnie z jego własną polityką prywatności i standardami bezpieczeństwa. [DO UZUPEŁNIENIA: nazwa operatora płatności, jego rola, lokalizacja i mechanizm transferu, po uruchomieniu funkcji płatności.]

V. Dane przetwarzane w imieniu użytkownika (rola podmiotu przetwarzającego)

W zakresie danych z poziomu 2 i 3 (rozdział III) Ondeno działa jako podmiot przetwarzający i przetwarza dane wyłącznie na udokumentowane polecenie użytkownika (administratora), na zasadach określonych w umowie powierzenia przetwarzania danych osobowych (DPA), która stanowi element Regulaminu i została zawarta na podstawie art. 28 RODO.

Do tej kategorii należą w szczególności:

• Baza kontaktów i odbiorców użytkownika (dane klientów końcowych: adres e-mail, imię lub nazwa, źródło pozyskania, tagi, informacje o zgodzie i statusie subskrypcji). Dane te są wykorzystywane wyłącznie do wysyłki treści i kampanii zleconych przez użytkownika.
• Treści i kampanie tworzone przez użytkownika, w tym statystyki wysyłki. Wiadomości wysyłane do odbiorców użytkownika mogą zawierać mechanizmy pomiaru skuteczności (na przykład znacznik otwarcia wiadomości oraz pomiar kliknięć poprzez przekierowania), a także link umożliwiający rezygnację z subskrypcji jednym kliknięciem. Odpowiedzialność za zgodność z prawem wysyłki oraz za pozyskanie zgód odbiorców ponosi użytkownik jako administrator.
• Dane odwiedzających chatbota osadzonego na stronie użytkownika lub jego klienta (poziom 3): treść rozmowy oraz opcjonalnie adres e-mail podany przez odwiedzającego w celu nawiązania kontaktu. Treść rozmowy i podany adres e-mail są przekazywane do dostawcy modelu językowego w celu wygenerowania odpowiedzi (mechanizm RAG oparty na opublikowanych treściach marki). Odwiedzający wchodzi w interakcję z systemem sztucznej inteligencji.
• Dane osobowe osób trzecich wprowadzone przez użytkownika do treści promptu lub briefu marki (na przykład imię, nazwisko lub dane kontaktowe osoby, o której ma powstać treść). Jeżeli użytkownik samodzielnie umieści takie dane w poleceniu, administratorem tych danych pozostaje użytkownik, a Ondeno przetwarza je jako podmiot przetwarzający wyłącznie w celu wygenerowania treści, przekazując je do dostawcy modelu językowego jako subprocesora (rozdziały VI i VII).

Realizacja praw osób, których dane dotyczą, w odniesieniu do danych powierzonych następuje za pośrednictwem użytkownika (administratora), a Ondeno wspiera użytkownika w wykonaniu tych obowiązków na zasadach określonych w DPA. W odniesieniu do bazy kontaktów użytkownika Aplikacja udostępnia użytkownikowi funkcje wspierające realizację praw, w tym eksport danych kontaktu oraz usunięcie danych kontaktu.

[DO UZUPEŁNIENIA: w odniesieniu do danych odwiedzających chatbota (treść rozmów, adres e-mail odwiedzającego) w Aplikacji nie została jeszcze udostępniona odrębna funkcja eksportu i usunięcia tych danych na żądanie osoby, której dane dotyczą. Do czasu jej wdrożenia żądania realizowane są ręcznie za pośrednictwem użytkownika i kontaktu pod adresem support@ondeno.com. Wdrożenie odpowiedniej funkcji jest planowane; należy potwierdzić termin i sposób realizacji.]

Szczegółowy zakres, charakter, cel i czas powierzenia, kategorie danych i osób, których dane dotyczą, wykaz subprocesorów, zasady bezpieczeństwa oraz obowiązki stron reguluje DPA dostępna w ramach Regulaminu.

VI. Odbiorcy danych i podmioty przetwarzające (subprocesorzy)

Dane osobowe mogą być udostępniane odbiorcom oraz powierzane podmiotom przetwarzającym, które wspierają nas w świadczeniu usługi. Z każdym podmiotem przetwarzającym zawierana jest umowa powierzenia zapewniająca odpowiedni poziom ochrony danych. Poniższa tabela realizuje obowiązek z art. 13 ust. 1 lit. e i f RODO.

W zależności od poziomu danych (rozdział III) wskazane niżej podmioty występują jako podmioty przetwarzające Ondeno w zakresie danych, dla których Ondeno jest administratorem (poziom 1), albo jako subprocesorzy w rozumieniu umowy powierzenia (DPA) w zakresie danych powierzonych, dla których Ondeno jest podmiotem przetwarzającym (poziom 2 i 3). Określenie „subprocesor" użyte w tytule niniejszego rozdziału odnosi się do tej drugiej sytuacji.

W zakresie integracji z serwisami społecznościowymi Ondeno korzysta z dwóch równoległych rozwiązań technicznych. Dla części platform (w szczególności LinkedIn oraz Meta, to jest Facebook i Instagram) Ondeno samodzielnie przechowuje we własnej bazie danych zaszyfrowane tokeny dostępu i odświeżania do kont użytkownika (szyfrowanie opisane w rozdziale XII), bez przekazywania tych tokenów zewnętrznemu dostawcy jako odbiorcy. Dla pozostałych platform połączenie kont i publikacja odbywają się za pośrednictwem zewnętrznego dostawcy infrastruktury publikacji wskazanego w tabeli powyżej, który przetwarza tokeny po swojej stronie. [DO UZUPEŁNIENIA: potwierdzenie, która ścieżka integracji (bezpośrednie połączenie obsługiwane przez Ondeno czy zewnętrzny dostawca infrastruktury publikacji) jest aktualnie używana w produkcji dla każdej platformy społecznościowej oraz czy obie funkcjonują równolegle.]

Dane mogą być ponadto udostępniane podmiotom uprawnionym na podstawie przepisów prawa (na przykład organom podatkowym, sądom, organom ścigania) w zakresie i na zasadach wynikających z obowiązujących przepisów, a także naszym doradcom (księgowym, prawnym) związanym obowiązkiem poufności.

Zewnętrzne zasoby ładowane na stronie internetowej

Strona internetowa Ondeno (landing page) ładuje kroje pisma (czcionki) z serwerów usługi Google Fonts. W związku z tym przy każdym wyświetleniu strony adres IP odwiedzającego jest przekazywany do Google jako odbiorcy danych mającego siedzibę w Stanach Zjednoczonych. Przekazanie to stanowi transfer danych poza Europejski Obszar Gospodarczy i zostało ujęte w tabeli powyżej oraz w analizie w rozdziale VII. Ładowanie to nie wiąże się z instalacją plików cookies ani ze śledzeniem reklamowym. [DO UZUPEŁNIENIA: docelowo rekomendowane jest serwowanie krojów pisma z własnej infrastruktury (self-hosting), które całkowicie eliminuje przekazywanie adresu IP odwiedzającego do Google; do czasu wdrożenia tej zmiany zastosowanie ma mechanizm transferu wskazany w tabeli i w rozdziale VII.]

Poza wskazanymi wyżej zasobami strona nie korzysta z narzędzi analitycznych, pikseli śledzących ani skryptów marketingowych podmiotów trzecich (brak Google Analytics, brak Meta Pixel i podobnych).

VII. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część podmiotów przetwarzających oraz odbiorców wskazanych w rozdziale VI ma siedzibę lub przetwarza dane poza Europejskim Obszarem Gospodarczym (EOG), w szczególności w Stanach Zjednoczonych. Dotyczy to przede wszystkim dostawcy modelu językowego (Anthropic), dostawcy krojów pisma ładowanych na stronie internetowej (Google, w zakresie adresu IP odwiedzającego), a także, w zakresie w jakim są aktywne, dostawców generowania obrazów i wideo.

Przekazywanie danych poza EOG odbywa się wyłącznie przy zapewnieniu odpowiednich zabezpieczeń wymaganych przez rozdział V RODO (art. 44-49), to jest na podstawie:

• standardowych klauzul umownych (Standard Contractual Clauses, SCC) zatwierdzonych przez Komisję Europejską, w odpowiednim module (moduł 2 dla relacji administrator do procesora lub moduł 3 dla relacji procesor do procesora), lub
• uczestnictwa odbiorcy w programie EU-US Data Privacy Framework (jeżeli odbiorca jest certyfikowany).

[DO UZUPEŁNIENIA: potwierdzenie konkretnego mechanizmu transferu dla Anthropic (SCC lub Data Privacy Framework) na podstawie aktualnej umowy powierzenia i informacji dostawcy; analogicznie dla aktywnych dostawców generowania obrazów i wideo oraz dla Google (Google Fonts), o ile nie zostanie wdrożony self-hosting czcionek eliminujący transfer.]

Ocena skutków transferu (Transfer Impact Assessment). W odniesieniu do transferów do Stanów Zjednoczonych, w ślad za wyrokiem Trybunału Sprawiedliwości UE w sprawie C-311/18 (Schrems II), przed oparciem transferu na standardowych klauzulach umownych Administrator przeprowadzi i udokumentuje ocenę skutków transferu, uwzględniającą przepisy prawa Stanów Zjednoczonych umożliwiające dostęp organów publicznych do danych, w szczególności sekcję 702 ustawy FISA (Foreign Intelligence Surveillance Act) oraz Executive Order 12333, wraz z analizą środków uzupełniających (technicznych, organizacyjnych i umownych) minimalizujących ryzyko takiego dostępu. [DO UZUPEŁNIENIA: przeprowadzenie i udokumentowanie oceny skutków transferu po potwierdzeniu mechanizmu transferu z dostawcami; do tego czasu niniejszej Polityki nie należy odczytywać jako potwierdzenia, że ocena została już wykonana.]

Osoba, której dane dotyczą, może uzyskać kopię zastosowanych zabezpieczeń, kontaktując się pod adresem support@ondeno.com.

VIII. Okresy przechowywania danych

Dane osobowe przechowujemy nie dłużej, niż jest to niezbędne do celów, dla których zostały zebrane, a następnie przez okres wymagany przepisami prawa lub uzasadniony potrzebą ustalenia, dochodzenia albo obrony roszczeń.

Po upływie właściwego okresu dane są usuwane lub anonimizowane.

IX. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą, przysługują następujące prawa wynikające z RODO:

• Prawo dostępu do danych (art. 15 RODO) oraz uzyskania ich kopii.
• Prawo do sprostowania danych nieprawidłowych lub uzupełnienia niekompletnych (art. 16 RODO).
• Prawo do usunięcia danych (art. 17 RODO), w sytuacjach przewidzianych przepisami ("prawo do bycia zapomnianym").
• Prawo do ograniczenia przetwarzania (art. 18 RODO).
• Prawo do przenoszenia danych (art. 20 RODO), w zakresie danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany.
• Prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec marketingu bezpośredniego (art. 21 RODO). Sprzeciw wobec marketingu bezpośredniego jest bezwarunkowy i realizowany niezwłocznie.
• Prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu (art. 22 RODO); patrz rozdział X.
• Prawo do wycofania zgody w dowolnym momencie, jeżeli przetwarzanie odbywa się na podstawie zgody (art. 6 ust. 1 lit. a lub art. 7 RODO). Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Łatwość wycofania zgody. Zgodę na newsletter i komunikację marketingową można wycofać równie łatwo, jak jej udzielono, w szczególności korzystając z linku rezygnacji z subskrypcji zamieszczonego w każdej wiadomości lub pisząc na adres support@ondeno.com.

Sposób realizacji praw. Żądania można zgłaszać na adres support@ondeno.com. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. W razie skomplikowanego charakteru żądania lub ich dużej liczby termin ten może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy osobę zgłaszającą w terminie miesiąca od otrzymania żądania, wraz z podaniem przyczyny.

Realizacja praw wobec danych powierzonych. Jeżeli żądanie dotyczy danych, w odniesieniu do których Ondeno jest podmiotem przetwarzającym lub dalszym podmiotem przetwarzającym (poziom 2 i 3, rozdział V), Ondeno nie jest uprawnione do samodzielnego rozstrzygania takiego żądania. Kierujemy je wówczas do użytkownika, z którym łączy nas umowa powierzenia, i realizujemy wyłącznie na jego udokumentowane polecenie, zgodnie z DPA. Jeżeli administratorem danych jest klient użytkownika, to użytkownik (jako podmiot powierzający Ondeno przetwarzanie) odpowiada za przekazanie żądania właściwemu administratorowi oraz za ustalenie sposobu jego realizacji.

Prawo do skargi. Osoba, której dane dotyczą, ma prawo wniesienia skargi do organu nadzorczego, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uzna, że przetwarzanie narusza przepisy o ochronie danych.

X. Zautomatyzowane podejmowanie decyzji i profilowanie

Na obecnym etapie funkcjonalności Serwisu Ondeno nie podejmuje wobec osób, których dane dotyczą, decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec tych osób skutki prawne lub w podobny sposób istotnie na nie wpływały w rozumieniu art. 22 RODO.

W Aplikacji wykorzystywane są modele sztucznej inteligencji, które generują i klasyfikują treści (na przykład propozycje postów, opisy stylu marki, klasyfikacja tematyki treści, obsługa chatbota). Operacje te dotyczą treści marketingowych, a nie oceny ani profilowania osób fizycznych, i nie prowadzą do automatycznych decyzji wywołujących skutki prawne wobec użytkowników ani ich odbiorców. Osoby korzystające z chatbota wchodzą w interakcję z systemem sztucznej inteligencji.

[DO UZUPEŁNIENIA: potwierdzenie, że klasyfikacja treści przez model nie stanowi profilowania osób fizycznych w rozumieniu art. 4 pkt 4 RODO ani zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO; jeżeli w przyszłości pojawią się funkcje oceniające osoby, niniejszy rozdział wymaga aktualizacji.]

Odrębne informacje o tym, w jaki sposób Ondeno korzysta z AI oraz jak oznaczać treści generowane przez AI zgodnie z rozporządzeniem w sprawie sztucznej inteligencji (EU AI Act, w tym art. 50 stosowany od 2 sierpnia 2026 r.), znajdują się na stronie "Przejrzystość AI".

XI. Pliki cookies

Ten rozdział opisuje pliki cookies (ciasteczka) oraz podobne technologie wykorzystywane w Serwisie.

Pliki cookies to niewielkie pliki tekstowe zapisywane na urządzeniu końcowym użytkownika. Ondeno wykorzystuje wyłącznie pliki cookies niezbędne (funkcjonalne), konieczne do prawidłowego działania Aplikacji i utrzymania sesji zalogowanego użytkownika. Nie stosujemy plików cookies analitycznych, statystycznych ani marketingowych, nie profilujemy użytkowników za ich pomocą i nie przekazujemy danych z cookies podmiotom trzecim w celach reklamowych.

Wykaz plików cookies

Podstawa prawna i brak banera zgody

Wszystkie wymienione pliki cookies są niezbędne do świadczenia usługi żądanej przez użytkownika (dostęp do Aplikacji i utrzymanie sesji). Przechowywanie informacji i uzyskiwanie dostępu do informacji już przechowywanej w urządzeniu końcowym w celu wykonania usługi żądanej przez użytkownika jest dopuszczalne bez zgody na podstawie wyjątku przewidzianego w art. 399 ust. 3 Prawa komunikacji elektronicznej. Z tego względu Serwis nie wyświetla banera zgody na cookies. Mimo braku obowiązku uzyskania zgody realizujemy pełny obowiązek informacyjny, przedstawiając powyżej wykaz i cel każdego pliku cookie.

Zarządzanie plikami cookies

Użytkownik może w każdej chwili zarządzać plikami cookies i usuwać je z poziomu ustawień swojej przeglądarki internetowej. Ograniczenie lub zablokowanie plików cookies niezbędnych może uniemożliwić prawidłowe działanie Aplikacji, w tym zalogowanie się do konta.

Zmiany w przyszłości

Jeżeli w przyszłości wdrożymy narzędzia analityczne, piksele lub inne technologie śledzące, które nie są niezbędne do świadczenia usługi (na przykład statystyki odwiedzin, remarketing), wówczas przed ich uruchomieniem wdrożymy mechanizm uprzedniej zgody (baner cookies typu opt-in) oraz odpowiednio zaktualizujemy niniejszą Politykę. Takie technologie nie będą aktywowane przed uzyskaniem zgody użytkownika.

XII. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne zapewniające ochronę danych odpowiednią do ryzyka, zgodnie z art. 32 RODO. W szczególności:

• Hasła przechowywane są wyłącznie w postaci skrótu kryptograficznego (funkcja bcrypt), nigdy jako tekst jawny.
• Tokeny dostępu i tokeny odświeżania do kont w serwisach społecznościowych są szyfrowane (algorytm Fernet) przed zapisaniem w bazie danych oraz maskowane w logach.
• Połączenie z Serwisem jest szyfrowane protokołem HTTPS (certyfikaty Let's Encrypt).
• Ochrona przed atakami na konta obejmuje mechanizm blokady po serii nieudanych prób logowania (ochrona przed atakami siłowymi) oraz rejestrowanie prób logowania.
• Infrastruktura utrzymywana jest na serwerach zlokalizowanych na terenie Unii Europejskiej, a dostęp do danych jest ograniczony do osób i procesów, którym jest to niezbędne.

Dbamy o to, aby podmioty przetwarzające, którym powierzamy dane, zapewniały odpowiednie gwarancje wdrożenia właściwych środków bezpieczeństwa.

XIII. Zgłaszanie naruszeń ochrony danych

W przypadku naruszenia ochrony danych osobowych Administrator, jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, zgłasza je organowi nadzorczemu (Prezesowi Urzędu Ochrony Danych Osobowych) bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia, zgodnie z art. 33 RODO.

Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Administrator zawiadamia o naruszeniu również osoby, których dane dotyczą, bez zbędnej zwłoki, zgodnie z art. 34 RODO.

Gdy Ondeno działa jako podmiot przetwarzający (rozdział V), po stwierdzeniu naruszenia dotyczącego danych powierzonych zawiadamia użytkownika (administratora) bez zbędnej zwłoki, na zasadach i w terminie określonym w DPA (art. 33 ust. 2 RODO).

XIV. Zmiany Polityki prywatności

Niniejsza Polityka może być aktualizowana, w szczególności w związku ze zmianami przepisów prawa, rozwojem funkcji Serwisu lub zmianą podmiotów przetwarzających. O istotnych zmianach poinformujemy użytkowników z odpowiednim wyprzedzeniem, za pośrednictwem Serwisu lub wiadomości e-mail. Aktualna wersja Polityki jest zawsze dostępna w Serwisie, wraz z datą wejścia w życie.

XV. Kontakt w sprawach danych osobowych

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw opisanych w rozdziale IX można kontaktować się z Administratorem:

• adres e-mail: support@ondeno.com
• adres do korespondencji: PETRUS, ul. Władysława Lercha 14C, 02-992 Warszawa

Dokument przygotowany na podstawie stanu faktycznego i audytu Serwisu z dnia 11 lipca 2026 r. Wszystkie pozycje oznaczone [DO UZUPEŁNIENIA] wymagają rozstrzygnięcia przed publikacją. Dokument wymaga weryfikacji przez radcę prawnego lub adwokata przed opublikowaniem.