Zależy nam, żeby korzystanie z TourFlow było dla Ciebie przejrzyste także w warstwie danych osobowych. Poniżej wyjaśniamy, kto i po co przetwarza Twoje dane, jak długo je przechowujemy, komu je przekazujemy oraz jakie masz prawa. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie świadczenia usług drogą elektroniczną TourFlow (dalej: Regulamin).
1. Kto odpowiada za Twoje dane i jak się z nami skontaktować
- Administratorem danych jest WhiteIT — Michał Basiński prowadzący działalność gospodarczą pod firmą Michał Basiński WhiteIT,
ul. Łąkowa 1, 62-220 Niechanowo, NIP 7842500273, REGON 364808970, wpisany do CEIDG (dalej: Administrator lub My).
- Kontakt w sprawach danych osobowych: e-mail pomoc@tourflow.pl (sprawy handlowe: kontakt@tourflow.pl, tel. 796 377 366), adres
korespondencyjny jak wyżej. Nie wyznaczyliśmy inspektora ochrony danych — we wszystkich sprawach piszesz bezpośrednio do nas.
- Polityka opisuje przetwarzanie danych w związku z: korzystaniem ze strony tourflow.pl i jej formularzy (prezentacja, materiały do
pobrania), samodzielną rejestracją konta i korzystaniem z Panelu app.tourflow.pl, portalem pilota, płatnościami za Usługę oraz bieżącym kontaktem, wsparciem i współpracą.
2. Dwie role: kiedy jesteśmy administratorem, a kiedy działamy w imieniu biura
Zakres naszej odpowiedzialności za dane zależy od tego, czyje to dane:
- Jesteśmy administratorem danych osób, z którymi sami budujemy relację — czyli: osób piszących przez formularze na stronie,
osób rejestrujących konto, Organizatorów i osób je reprezentujących, Właścicieli Kont i Użytkowników Panelu, osób kontaktowych i osób zgłaszających sprawy do wsparcia. O tych danych decydujemy my (cele i sposoby) i to ich dotyczy niniejsza Polityka.
- Działamy jako podmiot przetwarzający w odniesieniu do danych, które Organizator (biuro podróży) wprowadza do Panelu lub zbiera
przez swoje formularze zapisów online o swoich Klientach końcowych, uczestnikach wycieczek, osobach zapisujących, pilotach korzystających z portalu pilota i kontrahentach. Wówczas to Organizator jest administratorem tych danych i decyduje, po co i jak są przetwarzane, a my przetwarzamy je wyłącznie na jego polecenie, na podstawie umowy powierzenia przetwarzania danych (DPA). Tych danych Polityka nie reguluje — informacji o nich udziela właściwe biuro w swojej klauzuli informacyjnej (także na swoim formularzu zapisów).
- Jeśli ta sama czynność dotyczy obu rodzajów danych naraz, naszą rolę oceniamy osobno dla każdego celu.
3. Po co i na jakiej podstawie przetwarzamy dane (oraz jak długo)
Przetwarzamy tylko dane niezbędne do danego celu. Poniżej zestawienie celów, podstaw prawnych (RODO) i okresów:
| Co robimy | Podstawa prawna | Jak długo przechowujemy |
|---|---|---|
| Odpowiadamy na zapytanie z formularza na stronie (prezentacja, materiały, np. poradnik TFG) i prowadzimy kontakt przed ewentualną współpracą | art. 6 ust. 1 lit. b (działania przed umową) i lit. f (nasz interes: kontakt z zainteresowanym przedsiębiorcą); wysyłka informacji handlowej e-mailem — za zgodą | do zakończenia kontaktu; bez dalszej współpracy — do 12 miesięcy od ostatniego kontaktu, krócej jeśli wycofasz zgodę lub zgłosisz sprzeciw |
| Obsługujemy samodzielną rejestrację konta (formularz, link aktywacyjny, ochrona przed automatami) | art. 6 ust. 1 lit. b (działania na Twoje żądanie przed umową) i lit. f (bezpieczeństwo) | dane rejestracji bez potwierdzenia e-mail — 24 godziny; zapis prób rejestracji (e-mail, IP, czas) na potrzeby ochrony przed nadużyciami — do 90 dni |
| Zawieramy i wykonujemy Umowę, prowadzimy Konto, Okres Testowy i dostępy Użytkowników | art. 6 ust. 1 lit. b, a wobec osób działających za biuro — lit. f (prawidłowa obsługa umowy) | przez czas obowiązywania Umowy; dane kont z samodzielnej rejestracji — do usunięcia Konta zgodnie z Regulaminem (60 dni po zakończeniu Umowy lub Okresu Testowego) |
| Utrwalamy fakt zawarcia Umowy i akceptacji dokumentów (data, wersje, e-mail, adres IP, identyfikator przeglądarki) | art. 6 ust. 1 lit. f (rozliczalność, możliwość wykazania umowy) | do upływu terminów przedawnienia roszczeń |
| Obsługujemy płatności za Usługę w Panelu, wystawiamy i przechowujemy faktury, prowadzimy rozliczenia i księgowość | art. 6 ust. 1 lit. b oraz lit. c (obowiązki prawne) | przez okres wymagany prawem podatkowym i rachunkowym (co do zasady 5 lat od końca roku) |
| Dbamy o bezpieczeństwo strony, Panelu i kont (kontrola dostępu, logi, blokady po nieudanych logowaniach, wykrywanie nadużyć) | art. 6 ust. 1 lit. f (bezpieczeństwo usług) | logi i dane techniczne do 30 dni; dłużej w razie incydentu lub sporu |
| Wysyłamy wiadomości systemowe niezbędne do świadczenia Usługi (aktywacja, reset hasła, powiadomienia o płatnościach, limitach, zmianach dokumentów, zbliżającym się usunięciu danych) oraz wiadomości wprowadzające do Panelu w pierwszych tygodniach po rejestracji | art. 6 ust. 1 lit. b i lit. f (wykonanie umowy, informowanie o usłudze) | przez czas obowiązywania Umowy |
| Obsługujemy zgłoszenia do wsparcia, reklamacje, zapytania i korespondencję | art. 6 ust. 1 lit. b / lit. c / lit. f, zależnie od sprawy | przez czas obsługi sprawy, następnie do 24 miesięcy od jej zamknięcia |
| Ustalamy, dochodzimy lub bronimy się przed roszczeniami | art. 6 ust. 1 lit. f (ochrona prawna) | do upływu terminów przedawnienia |
| Informujemy o naszych usługach (marketing własny wobec przedsiębiorców) i mierzymy skuteczność reklam na stronie | art. 6 ust. 1 lit. f; dla wiadomości e-mail i cookies reklamowych — zgoda (lit. a) | do wycofania zgody, sprzeciwu lub ustania celu |
Podanie danych jest dobrowolne, ale część z nich jest niezbędna — bez nich nie obsłużymy zapytania, nie założymy konta, nie zawrzemy Umowy ani nie udostępnimy Panelu. Dane na potrzeby marketingu podajesz w pełni dobrowolnie.
Jakie dane przetwarzamy. Zależnie od celu są to: dane identyfikacyjne i firmowe (imię i nazwisko, firma, funkcja, NIP, REGON, adres), dane kontaktowe (e-mail, telefon), dane Konta i korzystania z Panelu (login, rola, uprawnienia, dziennik aktywności, daty logowań, stan kreatora startowego i samouczków), hasło wyłącznie w postaci skrótu kryptograficznego, dane techniczne (adres IP, identyfikatory sesji, logi, informacje o urządzeniu i przeglądarce, parametry źródła wejścia na stronę, pliki cookies), dane związane z zawarciem Umowy i akceptacją dokumentów, dane płatnika i dane do faktury, treść korespondencji oraz informacje o zgodach i preferencjach kontaktu. Prosimy, aby w zgłoszeniach do wsparcia nie przesyłać danych uczestników wycieczek; jeśli jest to konieczne do rozwiązania problemu, przetwarzamy je w ramach umowy powierzenia.
4. Dane uczestników, zapisujących się i pilotów wprowadzane do Panelu
Dane Klientów końcowych, uczestników wycieczek, opiekunów, osób zapisujących się przez formularze zapisów online, pilotów korzystających z portalu pilota oraz innych osób, które biuro wprowadza do Panelu lub zbiera w związku ze swoją działalnością, przetwarzamy w imieniu i na polecenie biura (jako podmiot przetwarzający). Administratorem tych danych jest biuro — to ono ustala cele przetwarzania, zapewnia podstawę prawną, decyduje o zakresie zbieranych danych (domyślnie imię, nazwisko i data urodzenia uczestnika; dodatkowe pola włącza na własny wniosek) i wykonuje obowiązki informacyjne wobec tych osób. Szczegóły powierzenia (kategorie danych, zabezpieczenia, podprocesorzy, zwrot i usunięcie po zakończeniu współpracy) reguluje umowa powierzenia (DPA), której treść publikujemy obok tej Polityki. Niezależnie od tego możemy przetwarzać dane techniczne związane z bezpieczeństwem Panelu (np. logi) jako administrator.
5. Komu przekazujemy dane i czy trafiają poza UE
- Korzystamy ze sprawdzonych dostawców, którzy pomagają nam prowadzić działalność i utrzymywać Panel. Odbiorcami danych mogą być
w szczególności:
- dostawca hostingu i infrastruktury — OVH (OVHcloud; centra danych w UE: Polska i Niemcy);
- dostawca poczty elektronicznej — Google (Google Workspace; wiadomości systemowe i skrzynki kontaktowe);
- dostawca ochrony formularzy przed automatami — Cloudflare (Turnstile na formularzach rejestracji, resetu hasła i zapisów online);
- operator płatności — Tpay (Krajowy Integrator Płatności S.A.), odrębny administrator danych transakcji, od udostępnienia płatności w Panelu;
- dostawca systemu do fakturowania oraz biuro rachunkowe obsługujące Administratora; doradcy (prawni, IT) — w zakresie niezbędnym do ich zadań;
- dostawca modeli językowych dla funkcji AI Panelu — Mistral AI (Mistral AI SAS, Francja; UE) — dotyczy wyłącznie danych biura
korzystającego z funkcji AI, na zasadach umowy powierzenia;
- Google (Google Ads) — pomiar skuteczności reklam na stronie, wyłącznie po wyrażeniu zgody w banerze (zob. sekcja 7);
- organy i podmioty uprawnione na podstawie przepisów prawa (np. organy podatkowe, sądy).
- Dostawcy działający na nasze zlecenie przetwarzają dane na podstawie umów i wyłącznie zgodnie z naszymi poleceniami. Nie sprzedajemy
danych i nie udostępniamy ich do cudzych celów marketingowych.
- Lokalizacja danych. Panel i jego dane działają na terenie EOG (OVH: Polska i Niemcy), a funkcje oparte na sztucznej inteligencji
realizujemy w UE (Mistral AI). Usługi pomocnicze świadczą Google (poczta, a za Twoją zgodą pomiar reklam) i Cloudflare (ochrona formularzy); w tym zakresie dane mogą być przekazywane poza EOG, do USA. Takie przekazania odbywają się na podstawie zabezpieczeń wymaganych RODO, w szczególności programu EU-US Data Privacy Framework (decyzja Komisji Europejskiej o odpowiednim stopniu ochrony) lub standardowych klauzul umownych (SCC). O zastosowanych zabezpieczeniach poinformujemy na żądanie.
6. Twoje prawa
- Masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec
przetwarzania opartego na naszym uzasadnionym interesie (w tym w każdej chwili wobec marketingu bezpośredniego), a tam, gdzie przetwarzamy dane na podstawie zgody — wycofania zgody w każdej chwili (bez wpływu na to, co zrobiliśmy przed wycofaniem).
- Aby skorzystać z praw, napisz na pomoc@tourflow.pl lub na nasz adres. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu
miesiąca; w sprawach złożonych możemy przedłużyć ten termin o kolejne dwa miesiące, o czym Cię poinformujemy. Możemy poprosić o dodatkowe informacje w celu potwierdzenia tożsamości.
- Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
- Jeśli żądanie dotyczy danych uczestnika, osoby zapisującej się, pilota lub klienta biura (przetwarzanych przez nas w imieniu biura),
przekażemy je właściwemu biuru albo zrealizujemy zgodnie z jego instrukcją — administratorem tych danych jest biuro.
- Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby
skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Automatyczne blokowanie rejestracji lub logowań uznanych za zautomatyzowane albo za próbę nadużycia (Turnstile, limity częstotliwości, blokada po nieudanych logowaniach) służy wyłącznie bezpieczeństwu i możesz je zakwestionować, pisząc na pomoc@tourflow.pl.
7. Pliki cookies i logi
- Strona i Panel używają plików cookies oraz podobnych technologii (m.in. lokalnego magazynu przeglądarki).
- Cookies niezbędne w Panelu — konieczne do bezpiecznego logowania i utrzymania sesji: cookie tokenu dostępu (odświeżany
automatycznie, ważny 15 minut), cookie odnowienia sesji (12 godzin, a z opcją „zapamiętaj mnie” 7 dni), cookie ochrony przed atakami CSRF oraz cookie sesji portalu pilota, jeśli biuro korzysta z tej funkcji. Wszystkie są oznaczone httpOnly i Secure. Nie wymagają zgody; bez nich logowanie nie zadziała. Panel zapisuje też w lokalnym magazynie przeglądarki ustawienia interfejsu (np. stan samouczka).
- Cookies niezbędne na stronie — zapamiętanie Twojej decyzji z banera cookies (w lokalnym magazynie przeglądarki).
- Cloudflare Turnstile na formularzach rejestracji, resetu hasła i zapisów online może zapisać w przeglądarce dane niezbędne do
weryfikacji, że formularz wypełnia człowiek; to element bezpieczeństwa niezbędny do świadczenia usługi.
- Cookies reklamowe — Google Ads. Strona tourflow.pl korzysta z tagu Google Ads do pomiaru skuteczności reklam (np. czy zapytanie
o prezentację lub rejestracja nastąpiły po kliknięciu reklamy). Tag wczytujemy wyłącznie po wyrażeniu przez Ciebie zgody w banerze (do tego czasu nie są ustawiane żadne cookies reklamowe ani analityczne), a zgodę możesz w każdej chwili wycofać w ustawieniach cookies na stronie. W ramach tej usługi dane (identyfikatory cookies, adres IP, zdarzenia na stronie) mogą być przekazywane do Google, w tym poza EOG — na zasadach opisanych w sekcji 5 pkt 3. Panel nie używa cookies reklamowych ani analitycznych.
- Logi systemowe strony i Panelu rejestrują m.in. adres IP, czas zdarzenia, informacje o urządzeniu i sesji oraz zdarzenia
bezpieczeństwa — służą bezpieczeństwu, stabilności i rozliczalności działania i są prowadzone w naszej własnej infrastrukturze.
- Ustawieniami cookies zarządzasz w banerze na stronie oraz w ustawieniach przeglądarki. Wycofanie zgody na cookies reklamowe nie
wpływa na działanie cookies niezbędnych.
8. Bezpieczeństwo, automatyzacja i funkcje AI
- Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka — m.in. kontrolę dostępu i uwierzytelnianie (hasła co najmniej
12 znaków przechowywane jako skrót z solą, jednorazowe tokeny aktywacji i resetu hasła, blokada po pięciu nieudanych logowaniach), rozdzielenie danych poszczególnych biur wymuszone na poziomie bazy danych, szyfrowanie połączeń, szyfrowanie szczególnie wrażliwych pól, kopie zapasowe w UE, rejestrowanie zdarzeń oraz procedury reagowania na naruszenia. Szczegółowy opis środków stosowanych wobec danych powierzonych przez biura zawiera Załącznik nr 2 do umowy powierzenia. Żaden system nie daje stuprocentowej gwarancji — zasady bezpiecznego korzystania opisuje Regulamin.
- Panel może udostępniać funkcje oparte na sztucznej inteligencji wspomagające pracę biura (asystent planowania, wstępny odczyt
dokumentów). Mają charakter pomocniczy, ich wynik zawsze weryfikuje człowiek, a treści przekazywane do modelu nie są używane do jego trenowania.
9. Zmiany Polityki
- Możemy aktualizować Politykę — np. przy zmianie przepisów, zakresu usług, narzędzi lub dostawców.
- Aktualna wersja jest publikowana pod adresem tourflow.pl/polityka-prywatnosci w sposób umożliwiający jej pobranie i zapisanie, a wersje
archiwalne w archiwum; o istotnych zmianach informujemy dodatkowo e-mailem lub komunikatem w Panelu. Każda wersja ma numer i datę obowiązywania.
- Polityka w wersji 1.0 obowiązuje od dnia [DATA — razem z Regulaminem v1.0] i zastępuje wersję 0.3 obowiązującą od 1 stycznia 2026 r.