Polityka prywatności Konta SkyRepublic ID

Wersja 1.0 — obowiązuje od 2026-08-28.

Uwaga: niniejszy dokument jest projektem polityki prywatności przygotowanym wg aneksu prawnego SkyRepublic ID (`docs/skyrepublic-id-prawo.md`, klauzula informacyjna art. 13 RODO) i wymaga weryfikacji prawnika przed publikacją produkcyjną. Nie stanowi porady prawnej.

Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych Użytkowników Konta SkyRepublic ID, zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz ustawą Prawo komunikacji elektronicznej (PKE, art. 398). Jest integralnym elementem Regulaminu Konta, dostępnym pod adresem `/regulamin`.

1. Administrator danych

Administratorem danych osobowych przetwarzanych w związku z prowadzeniem Konta SkyRepublic ID jest „DLAPILOTA.PL” spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, ul. Księżycowa 3 lok. 19, 01-934 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000104174, NIP 9512156017, REGON 015153278.

Kontakt we wszystkich sprawach dotyczących przetwarzania danych osobowych: e-mail contact@skyrepublic.aero.

Administrator jest jednym, wspólnym administratorem danych dla całej rodziny serwisów SkyRepublic korzystających z Konta (patrz pkt 4) — w związku z tym pomiędzy Kontem a tymi serwisami nie zawiera się odrębnych umów powierzenia przetwarzania danych (art. 28 RODO), ponieważ dane są przetwarzane w ramach tego samego podmiotu odpowiedzialnego.

2. Cele przetwarzania i podstawy prawne

Dane osobowe Użytkowników są przetwarzane w następujących celach:

• Założenie i prowadzenie Konta (adres e-mail, hasło w postaci zaszyfrowanej) — podstawa: art. 6 ust. 1 lit. b RODO (niezbędność do zawarcia i wykonania umowy, którą jest Regulamin).
• Weryfikacja numeru telefonu oraz uwierzytelnianie dwuskładnikowe (2FA) — podstawa: art. 6 ust. 1 lit. b RODO (numer telefonu jest elementem samej usługi — weryfikacji tożsamości i logowania — a nie przedmiotem odrębnej zgody).
• Logi bezpieczeństwa (adres IP, nagłówek User-Agent, znaczniki czasu logowań i innych zdarzeń uwierzytelniania) — podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora, opisany w pkt 3).
• Marketing (newsletter e-mail o nowościach rodziny serwisów SkyRepublic, SMS o wydarzeniach lotniczych) — podstawa: art. 6 ust. 1 lit. a RODO w połączeniu z odrębną, dobrowolną zgodą wyrażoną zgodnie z art. 398 Prawa komunikacji elektronicznej — wyłącznie jeśli Użytkownik zaznaczył odpowiedni checkbox.

3. Uzasadniony interes administratora

W zakresie przetwarzania danych na podstawie art. 6 ust. 1 lit. f RODO (logi bezpieczeństwa) prawnie uzasadnionym interesem Administratora jest: zapobieganie nadużyciom i próbom nieuprawnionego dostępu do Kont (np. atakom typu brute-force, automatycznym rejestracjom), wykrywanie i wyjaśnianie incydentów bezpieczeństwa oraz wykazanie rozliczalności działań Administratora zgodnie z art. 5 ust. 2 RODO. Zakres i czas przechowywania tych danych są ograniczone do niezbędnego minimum (patrz pkt 6), tak aby interes ten nie naruszał nadrzędnie praw i wolności Użytkowników.

4. Odbiorcy danych

Dane osobowe Użytkowników mogą być udostępniane następującym kategoriom odbiorców:

• Serwisy rodziny SkyRepublic, do których Użytkownik loguje się za pomocą Konta — serwisy informacji lotniczej lotnisk (skyradio.aero, jgdata.pl), SkyPhoto, SkyLogger, platforma szkół lotniczych oraz aplikacja mobilna. Każdy z tych serwisów otrzymuje wyłącznie dane niezbędne do realizacji logowania i przypisanych mu uprawnień (m.in. identyfikator, adres e-mail, status weryfikacji, poziom uprawnień); numer telefonu jest przekazywany wyłącznie tym serwisom, które go faktycznie wykorzystują.
• dbhosting.pl — dostawca usługi poczty elektronicznej, za pośrednictwem którego wysyłane są wiadomości e-mail (potwierdzenie rejestracji, powiadomienia, korespondencja transakcyjna).
• Bramka SMS — dostawca techniczny wysyłki wiadomości SMS (kody weryfikacyjne, wiadomości marketingowe SMS za zgodą).
• Podmioty uprawnione na podstawie przepisów prawa (np. sądy, organy ścigania) — wyłącznie w zakresie i na zasadach przewidzianych obowiązującymi przepisami.

Dostawcy wymienieni powyżej (poczta elektroniczna, bramka SMS) przetwarzają dane na podstawie zawartych z Administratorem umów powierzenia przetwarzania danych (art. 28 RODO) i wyłącznie w zakresie niezbędnym do realizacji zleconej usługi.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dane osobowe Użytkowników są przetwarzane na serwerach zlokalizowanych na terytorium Rzeczypospolitej Polskiej / Europejskiego Obszaru Gospodarczego. Administrator nie przekazuje danych osobowych Użytkowników do państw trzecich (poza EOG) ani do organizacji międzynarodowych.

6. Okres przechowywania danych

Dane osobowe są przechowywane przez następujące okresy:

• Dane Konta (e-mail, telefon, hasło) — przez cały okres istnienia Konta. Konto, na które Użytkownik nie zalogował się przez 24 miesiące, jest uznawane za nieaktywne — Użytkownik otrzymuje ostrzeżenie e-mail, a po kolejnych 30 dniach bezczynności Konto wraz z danymi jest usuwane.
• Logi bezpieczeństwa (surowe: adres IP, User-Agent, znaczniki czasu) — 90 dni, po tym czasie usuwane lub agregowane do postaci uniemożliwiającej identyfikację Użytkownika.
• Kody weryfikacyjne (OTP) przesyłane SMS-em lub e-mailem — do czasu ich wygaśnięcia, powiększonego o krótki bufor bezpieczeństwa (10–15 minut).
• Kopie zapasowe (backupy) systemu — do czasu ich rotacji, nie dłużej niż 90 dni od usunięcia danych z systemu produkcyjnego.
• Zapisy akceptacji Regulaminu oraz udzielonych/wycofanych zgód marketingowych — przechowywane bezterminowo jako dowód prawny wykonania obowiązków informacyjnych i wyrażenia zgód (rozliczalność, art. 5 ust. 2 RODO); po usunięciu Konta zapisy te są zachowywane w formie odłączonej od jakiegokolwiek aktywnego konta.

7. Prawa osoby, której dane dotyczą

Użytkownikowi przysługują następujące prawa w zakresie przetwarzania jego danych osobowych:

• prawo dostępu do danych (art. 15 RODO) — w tym uzyskania ich kopii; podstawowy zakres danych Użytkownik może samodzielnie pobrać w formacie JSON w panelu Konta;
• prawo do sprostowania danych (art. 16 RODO);
• prawo do usunięcia danych / „prawo do bycia zapomnianym” (art. 17 RODO) — realizowane samoobsługowo poprzez usunięcie Konta w panelu Konta;
• prawo do ograniczenia przetwarzania (art. 18 RODO);
• prawo do przenoszenia danych (art. 20 RODO) — poprzez eksport danych w ustrukturyzowanym formacie (JSON), dostępny w panelu Konta;
• prawo do wniesienia sprzeciwu (art. 21 RODO) wobec przetwarzania opartego na uzasadnionym interesie Administratora (pkt 3);
• prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego na podstawie zgody przed jej cofnięciem (art. 7 ust. 3 RODO) — dla zgód marketingowych: linkiem w stopce wiadomości e-mail lub odpowiedzią „STOP” na SMS.

W celu realizacji powyższych praw, w zakresie niedostępnym samoobsługowo w panelu Konta, należy skontaktować się z Administratorem na adres wskazany w pkt 1.

8. Prawo wniesienia skargi

Użytkownikowi przysługuje prawo wniesienia skargi do organu nadzorczego zajmującego się ochroną danych osobowych — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uzna, że przetwarzanie jego danych osobowych narusza przepisy RODO.

9. Dobrowolność podania danych i konsekwencje ich niepodania

Podanie adresu e-mail, numeru telefonu oraz ustalenie hasła jest dobrowolne, lecz niezbędne do zawarcia umowy o świadczenie usługi Konta — bez podania tych danych i przejścia weryfikacji obu kanałów założenie i korzystanie z Konta nie jest możliwe.

Podanie danych w celu otrzymywania informacji marketingowych (newsletter e-mail, SMS) jest w pełni dobrowolne i nie wpływa na możliwość założenia ani korzystania z Konta.

10. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie podejmuje wobec Użytkowników zautomatyzowanych decyzji, w tym decyzji będących wynikiem profilowania, które wywoływałyby wobec Użytkownika skutki prawne lub w podobny sposób istotnie wpływały na jego sytuację (art. 22 RODO).

11. Zmiany Polityki Prywatności i kontakt

Polityka Prywatności może być zmieniana w takim samym trybie i na takich samych zasadach jak Regulamin Konta — patrz §14 Regulaminu (powiadomienie co najmniej 14 dni przed wejściem w życie zmian, drogą elektroniczną i komunikatem w panelu Konta). Każda wersja Polityki Prywatności jest oznaczona numerem i datą wejścia w życie oraz archiwizowana.

W sprawach dotyczących niniejszej Polityki Prywatności oraz przetwarzania danych osobowych prosimy o kontakt: contact@skyrepublic.aero.