# Polityka prywatności Konta SkyRepublic ID

**Wersja 1.0 — obowiązuje od 2026-08-28.**

**Uwaga: niniejszy dokument jest projektem polityki prywatności przygotowanym wg aneksu prawnego SkyRepublic ID (`docs/skyrepublic-id-prawo.md`, klauzula informacyjna art. 13 RODO) i wymaga weryfikacji prawnika przed publikacją produkcyjną. Nie stanowi porady prawnej.**

Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych Użytkowników Konta SkyRepublic ID, zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz ustawą Prawo komunikacji elektronicznej (PKE, art. 398). Jest integralnym elementem Regulaminu Konta, dostępnym pod adresem `/regulamin`.

## 1. Administrator danych

Administratorem danych osobowych przetwarzanych w związku z prowadzeniem Konta SkyRepublic ID jest **[ADMINISTRATOR]**.

Kontakt we wszystkich sprawach dotyczących przetwarzania danych osobowych: e-mail **id@skyradio.aero**.

Administrator jest jednym, wspólnym administratorem danych dla całej rodziny serwisów SkyRepublic korzystających z Konta (patrz pkt 4) — w związku z tym pomiędzy Kontem a tymi serwisami nie zawiera się odrębnych umów powierzenia przetwarzania danych (art. 28 RODO), ponieważ dane są przetwarzane w ramach tego samego podmiotu odpowiedzialnego.

## 2. Cele przetwarzania i podstawy prawne

Dane osobowe Użytkowników są przetwarzane w następujących celach:

- **Założenie i prowadzenie Konta** (adres e-mail, hasło w postaci zaszyfrowanej) — podstawa: art. 6 ust. 1 lit. b RODO (niezbędność do zawarcia i wykonania umowy, którą jest Regulamin).
- **Weryfikacja numeru telefonu oraz uwierzytelnianie dwuskładnikowe (2FA)** — podstawa: art. 6 ust. 1 lit. b RODO (numer telefonu jest elementem samej usługi — weryfikacji tożsamości i logowania — a **nie** przedmiotem odrębnej zgody).
- **Logi bezpieczeństwa** (adres IP, nagłówek User-Agent, znaczniki czasu logowań i innych zdarzeń uwierzytelniania) — podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora, opisany w pkt 3).
- **Marketing** (newsletter e-mail o nowościach rodziny serwisów SkyRepublic, SMS o wydarzeniach lotniczych) — podstawa: art. 6 ust. 1 lit. a RODO w połączeniu z odrębną, dobrowolną zgodą wyrażoną zgodnie z art. 398 Prawa komunikacji elektronicznej — wyłącznie jeśli Użytkownik zaznaczył odpowiedni checkbox.

## 3. Uzasadniony interes administratora

W zakresie przetwarzania danych na podstawie art. 6 ust. 1 lit. f RODO (logi bezpieczeństwa) prawnie uzasadnionym interesem Administratora jest: zapobieganie nadużyciom i próbom nieuprawnionego dostępu do Kont (np. atakom typu brute-force, automatycznym rejestracjom), wykrywanie i wyjaśnianie incydentów bezpieczeństwa oraz wykazanie rozliczalności działań Administratora zgodnie z art. 5 ust. 2 RODO. Zakres i czas przechowywania tych danych są ograniczone do niezbędnego minimum (patrz pkt 6), tak aby interes ten nie naruszał nadrzędnie praw i wolności Użytkowników.

## 4. Odbiorcy danych

Dane osobowe Użytkowników mogą być udostępniane następującym kategoriom odbiorców:

- **Serwisy rodziny SkyRepublic**, do których Użytkownik loguje się za pomocą Konta — serwisy informacji lotniczej lotnisk (skyradio.aero, jgdata.pl), SkyPhoto, SkyLogger, platforma szkół lotniczych oraz aplikacja mobilna. Każdy z tych serwisów otrzymuje wyłącznie dane niezbędne do realizacji logowania i przypisanych mu uprawnień (m.in. identyfikator, adres e-mail, status weryfikacji, poziom uprawnień); numer telefonu jest przekazywany wyłącznie tym serwisom, które go faktycznie wykorzystują.
- **dbhosting.pl** — dostawca usługi poczty elektronicznej, za pośrednictwem którego wysyłane są wiadomości e-mail (potwierdzenie rejestracji, powiadomienia, korespondencja transakcyjna).
- **Bramka SMS** — dostawca techniczny wysyłki wiadomości SMS (kody weryfikacyjne, wiadomości marketingowe SMS za zgodą).
- **Podmioty uprawnione na podstawie przepisów prawa** (np. sądy, organy ścigania) — wyłącznie w zakresie i na zasadach przewidzianych obowiązującymi przepisami.

Dostawcy wymienieni powyżej (poczta elektroniczna, bramka SMS) przetwarzają dane na podstawie zawartych z Administratorem umów powierzenia przetwarzania danych (art. 28 RODO) i wyłącznie w zakresie niezbędnym do realizacji zleconej usługi.

## 5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dane osobowe Użytkowników są przetwarzane na serwerach zlokalizowanych na terytorium Rzeczypospolitej Polskiej / Europejskiego Obszaru Gospodarczego. Administrator nie przekazuje danych osobowych Użytkowników do państw trzecich (poza EOG) ani do organizacji międzynarodowych.

## 6. Okres przechowywania danych

Dane osobowe są przechowywane przez następujące okresy:

- **Dane Konta** (e-mail, telefon, hasło) — przez cały okres istnienia Konta. Konto, na które Użytkownik nie zalogował się przez 24 miesiące, jest uznawane za nieaktywne — Użytkownik otrzymuje ostrzeżenie e-mail, a po kolejnych 30 dniach bezczynności Konto wraz z danymi jest usuwane.
- **Logi bezpieczeństwa** (surowe: adres IP, User-Agent, znaczniki czasu) — 90 dni, po tym czasie usuwane lub agregowane do postaci uniemożliwiającej identyfikację Użytkownika.
- **Kody weryfikacyjne (OTP)** przesyłane SMS-em lub e-mailem — do czasu ich wygaśnięcia, powiększonego o krótki bufor bezpieczeństwa (10–15 minut).
- **Kopie zapasowe (backupy) systemu** — do czasu ich rotacji, nie dłużej niż 90 dni od usunięcia danych z systemu produkcyjnego.
- **Zapisy akceptacji Regulaminu oraz udzielonych/wycofanych zgód marketingowych** — przechowywane bezterminowo jako dowód prawny wykonania obowiązków informacyjnych i wyrażenia zgód (rozliczalność, art. 5 ust. 2 RODO); po usunięciu Konta zapisy te są zachowywane w formie odłączonej od jakiegokolwiek aktywnego konta.

## 7. Prawa osoby, której dane dotyczą

Użytkownikowi przysługują następujące prawa w zakresie przetwarzania jego danych osobowych:

- **prawo dostępu** do danych (art. 15 RODO) — w tym uzyskania ich kopii; podstawowy zakres danych Użytkownik może samodzielnie pobrać w formacie JSON w panelu Konta;
- **prawo do sprostowania** danych (art. 16 RODO);
- **prawo do usunięcia** danych / „prawo do bycia zapomnianym” (art. 17 RODO) — realizowane samoobsługowo poprzez usunięcie Konta w panelu Konta;
- **prawo do ograniczenia przetwarzania** (art. 18 RODO);
- **prawo do przenoszenia danych** (art. 20 RODO) — poprzez eksport danych w ustrukturyzowanym formacie (JSON), dostępny w panelu Konta;
- **prawo do wniesienia sprzeciwu** (art. 21 RODO) wobec przetwarzania opartego na uzasadnionym interesie Administratora (pkt 3);
- **prawo do cofnięcia zgody** w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego na podstawie zgody przed jej cofnięciem (art. 7 ust. 3 RODO) — dla zgód marketingowych: linkiem w stopce wiadomości e-mail lub odpowiedzią „STOP” na SMS.

W celu realizacji powyższych praw, w zakresie niedostępnym samoobsługowo w panelu Konta, należy skontaktować się z Administratorem na adres wskazany w pkt 1.

## 8. Prawo wniesienia skargi

Użytkownikowi przysługuje prawo wniesienia skargi do organu nadzorczego zajmującego się ochroną danych osobowych — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uzna, że przetwarzanie jego danych osobowych narusza przepisy RODO.

## 9. Dobrowolność podania danych i konsekwencje ich niepodania

Podanie adresu e-mail, numeru telefonu oraz ustalenie hasła jest dobrowolne, lecz niezbędne do zawarcia umowy o świadczenie usługi Konta — bez podania tych danych i przejścia weryfikacji obu kanałów założenie i korzystanie z Konta nie jest możliwe.

Podanie danych w celu otrzymywania informacji marketingowych (newsletter e-mail, SMS) jest w pełni dobrowolne i nie wpływa na możliwość założenia ani korzystania z Konta.

## 10. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator **nie podejmuje** wobec Użytkowników zautomatyzowanych decyzji, w tym decyzji będących wynikiem profilowania, które wywoływałyby wobec Użytkownika skutki prawne lub w podobny sposób istotnie wpływały na jego sytuację (art. 22 RODO).

## 11. Zmiany Polityki Prywatności i kontakt

Polityka Prywatności może być zmieniana w takim samym trybie i na takich samych zasadach jak Regulamin Konta — patrz §14 Regulaminu (powiadomienie co najmniej 14 dni przed wejściem w życie zmian, drogą elektroniczną i komunikatem w panelu Konta). Każda wersja Polityki Prywatności jest oznaczona numerem i datą wejścia w życie oraz archiwizowana.

W sprawach dotyczących niniejszej Polityki Prywatności oraz przetwarzania danych osobowych prosimy o kontakt: **id@skyradio.aero**.