Polityka prywatności

Obowiązuje od 14 października 2026. Poprzednie wersje udostępniamy na prośbę.

W skrócie

• Nie masz u nas konta i nie używamy ciasteczek. Możesz zapisać się tylko na newsletter: za Twoją zgodą, z potwierdzeniem mailem i z rezygnacją jednym kliknięciem.
• Nie mamy Google Analytics, reklam, pikseli Facebooka ani żadnych skryptów z zewnątrz. Newsletter też nie ma pikseli śledzących.
• Liczymy odwiedziny i kliknięcia bez adresu IP. Pełny adres IP przechowujemy tylko w logach technicznych: do 7 dni w naszym liczniku i do 35 dni w logach serwera pośredniczącego.
• Twoje zapisane wydarzenia, wybrany motyw i podobne ustawienia zostają w Twojej przeglądarce. Nic z tej pamięci nie jest do nas wysyłane.

1. Kto odpowiada za Twoje dane

Administratorem danych jest Juliusz Barwik, który prowadzi działalność gospodarczą pod firmą Juliusz Barwik, NIP 5591828123, ul. Jana Kasprowicza 52/14, 01-871 Warszawa. Serwis bywa.my prowadzi jako niezależny projekt. W każdej sprawie dotyczącej danych pisz na kontakt@bywa.my. Nie wyznaczyliśmy inspektora ochrony danych, bo nie mamy takiego obowiązku.

2. Co się dzieje, gdy wchodzisz na stronę

Logi techniczne (z adresem IP)

Ruch do bywa.my przechodzi przez nasz serwer pośredniczący (reverse proxy). Ten serwer zapisuje adres IP, datę i godzinę, adres otwartej strony, stronę, z której przyszedłeś, oraz nazwę przeglądarki. Logi służą bezpieczeństwu: pomagają wykrywać ataki, nadużycia i awarie. Usuwamy je po 35 dniach.

Wpisy wskazujące na możliwy atak trafiają do naszego systemu wykrywania zagrożeń. Działa on na naszym sprzęcie, a nie u zewnętrznej firmy. Tam również usuwamy je po 35 dniach.

Sam serwer strony nie prowadzi ogólnego logu wejść. Zapisuje tylko odrzucenia zbyt częstych zapytań, co chroni go przed przeciążeniem, oraz zgłoszenia z formularza newslettera (punkt 5).

Podstawa: nasz prawnie uzasadniony interes, czyli bezpieczeństwo i działanie serwisu (art. 6 ust. 1 lit. f RODO).

Statystyki odwiedzin (bez adresu IP)

Chcemy wiedzieć, czy serwis jest komuś przydatny. Przy wejściu przeglądarka wysyła nam:

• język przeglądarki w uproszczeniu (polski / angielski / inny),
• domenę strony, z której przyszedłeś (np. facebook.com), bez pełnego adresu,
• oznaczenie kampanii z linku, np. ?z=ig, jeśli przyszedłeś z naszego posta,
• informację, czy korzystasz z wersji zainstalowanej na ekranie telefonu.

Z nagłówków przeglądarki ustalamy też rodzaj urządzenia (telefon / komputer), system (iOS / Android / inny) i to, czy stronę otwarto w aplikacji, np. w przeglądarce Instagrama.

Te dane trafiają najpierw do pliku dziennika razem z adresem IP. Ten plik usuwamy po 7 dniach. Raz na dobę przenosimy dane do bazy statystyk, gdzie:

• nie ma adresu IP;
• zamiast adresu jest skrót. Powstaje z adresu, daty i tajnego klucza, więc ten sam adres ma każdego dnia inny skrót. Pozwala policzyć, ile osób było jednego dnia, ale z samej bazy statystyk nie da się odtworzyć adresu ani połączyć Twoich wizyt z różnych dni. Prawnie to nadal pseudonimizacja, a nie pełna anonimizacja;
• jest znacznik „serwerownia: tak/nie”, który pozwala odsiać ruch robotów. Sprawdzamy go lokalnie, porównując adres z publicznymi listami adresów dostawców chmury. Nikomu nie wysyłamy Twojego adresu;
• nie ustalamy Twojego operatora internetu ani miejsca, z którego się łączysz;
• nie sprawdzamy, czy już tu byłeś.

Kliknięcia na stronie (bez adresu IP)

Liczymy też, czego używasz: kliknięcia w bilet, otwarcie wydarzenia, zapisanie go, dodanie do kalendarza, użycie filtra lub wyszukiwarki. Zapisujemy rodzaj czynności, miejsce i rodzaj wydarzenia oraz domenę, do której prowadzi link. Nie zapisujemy tytułu wydarzenia ani tego, co wpisujesz w wyszukiwarkę. Z wyszukiwania trafia do nas tylko długość frazy i to, czy coś znaleziono.

Jak długo przechowujemy statystyki

Pojedyncze rekordy wizyt i kliknięć usuwamy po 30 dniach. Dłużej, do 2 lat, przechowujemy wyłącznie sumy dzienne, np. „tego dnia 120 wejść, w tym 80 z telefonu” albo „bilety do Teatru Baj: 2 kliknięcia”. Sumy dzienne nie zawierają skrótu adresu ani żadnego identyfikatora.

Podstawa: nasz prawnie uzasadniony interes, czyli rozwój serwisu i pokazywanie partnerom zbiorczych liczb (art. 6 ust. 1 lit. f RODO). Przeprowadziliśmy ocenę, czy ten interes przeważa nad Twoimi prawami, i udostępniamy ją na prośbę. Możesz się sprzeciwić takiemu przetwarzaniu (punkt 8).

Zbiorcze podsumowania, np. „tylu gości w tym tygodniu”, oglądamy na stronie zabezpieczonej hasłem i w cotygodniowym raporcie. Nie zawierają danych pojedynczych osób.

3. Co zapisujemy w Twojej przeglądarce

Nie używamy ciasteczek. Strona korzysta z pamięci przeglądarki: localStorage, a w wersji zainstalowanej także z pamięci podręcznej. Wszystko to zostaje na Twoim urządzeniu. Nic z tej pamięci nie jest do nas wysyłane. Zapis następuje dopiero wtedy, gdy sam coś ustawisz albo zapiszesz.

W zwykłej przeglądarce strona nie tworzy kopii offline. Jeśli kopia powstała podczas wcześniejszych wizyt, strona ją wyłącza i usuwa, najpóźniej przy kolejnej wizycie. Przy wejściu usuwamy też z Twojego urządzenia dane, które zapisywała wcześniejsza wersja strony do liczenia powrotów.

Wszystko to możesz w każdej chwili usunąć, czyszcząc dane witryny w ustawieniach przeglądarki. Stracisz wtedy listę zapisanych wydarzeń.

4. Gdy do nas piszesz

Jeśli napiszesz na kontakt@bywa.my, przetwarzamy Twój adres e-mail, treść wiadomości i to, co sam w niej podasz. Robimy to, żeby odpowiedzieć i poprawić błąd w programie (art. 6 ust. 1 lit. f RODO).

Pocztę obsługuje Microsoft 365, a następnie Gmail (Google). Zgłoszenia dotyczące programu pomaga nam porządkować asystent AI (Claude, Anthropic). Dostaje on treść wiadomości bez Twojego adresu e-mail i sprawdza, którego wydarzenia lub źródła dotyczy. Odpowiedź zawsze wysyła człowiek.

Korespondencję przechowujemy 12 miesięcy od zakończenia sprawy. Wiadomości od instytucji w sprawie współpracy przechowujemy dłużej, jeśli współpraca trwa.

5. Newsletter „bywa.my w weekend”

Co zbieramy i po co

Przy zapisie podajesz tylko adres e-mail i zaznaczasz zgodę. Nie pytamy o imię ani o nic więcej. Adres wykorzystujemy wyłącznie do wysyłania newslettera, czyli raz w tygodniu wyboru wydarzeń na weekend. Czasem może to być także wydanie specjalne, np. przed Nocą Muzeów. Zasady wysyłki opisuje regulamin newslettera.

Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO). Ta sama zgoda pozwala nam przesyłać Ci newsletter e-mailem, zgodnie z przepisami Prawa komunikacji elektronicznej. Zgoda jest dobrowolna. Bez niej nie dostaniesz newslettera, ale ze strony korzystasz bez żadnych ograniczeń.

Jak przebiega zapis

1. Wysyłasz formularz. Nasz serwer zapisuje zgłoszenie razem z adresem IP, z którego przyszło. Adres IP służy wyłącznie ochronie formularza przed nadużyciami. To nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
2. W ciągu kilku minut przekazujemy Twój adres do dostawcy wysyłki (Mailrelay), który wysyła Ci mail z prośbą o potwierdzenie.
3. Dopiero po kliknięciu linku w tym mailu zaczynasz dostawać newsletter. Jeśli nie klikniesz, nie wyślemy Ci nic więcej. Przy kliknięciu Mailrelay zapisuje datę, godzinę i adres IP, z którego potwierdziłeś zapis, jako dowód zgody.

Czego nie robimy

• Nie sprawdzamy, czy otworzyłeś newsletter ani w co klikasz. Wysyłamy bez pikseli śledzących i bez przekierowań linków.
• Nie łączymy adresu e-mail z Twoimi wizytami na stronie ani ze statystykami.
• Nie udostępniamy listy adresów nikomu, w tym organizatorom wydarzeń.

Jak długo przechowujemy dane

Dowód zgody przechowujemy, bo musimy umieć wykazać, że ją wyraziłeś (art. 7 ust. 1 RODO), i bronić się przed ewentualnymi roszczeniami. To nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Dowód zgody na naszym serwerze nie zawiera adresu IP. Adres IP z potwierdzenia przechowuje tylko Mailrelay i usuwamy go razem z wpisem na liście. Dane z serwera mogą przetrwać w kopiach zapasowych do 7 dni dłużej (punkt 6).

Rezygnacja

Każde wydanie ma na dole link „Wypisz się”, który działa jednym kliknięciem. Możesz też napisać na kontakt@bywa.my. Wycofanie zgody nie wpływa na zgodność z prawem wysyłek sprzed rezygnacji.

6. Kto jeszcze ma dostęp

• Serwer: stronę, statystyki i formularz newslettera obsługujemy na własnym serwerze w Polsce. Nie korzystamy z zewnętrznego hostingu, CDN ani usług analitycznych.
• Wysyłka newslettera: Mailrelay, czyli Weblegal, S.L., Calle del Padre Granda 4, 28806 Alcalá de Henares (Hiszpania). Przetwarza Twój adres e-mail na nasze zlecenie, na podstawie umowy powierzenia przetwarzania danych. Dane przechowuje w centrach danych w Niemczech (Core-Backbone GmbH), a zaszyfrowane kopie zapasowe w Amazon Web Services, w Europejskim Obszarze Gospodarczym.
• Kopie zapasowe: kopie danych serwera, w tym logów, bazy statystyk i dowodów zgody na newsletter, przechowujemy lokalnie przez 7 dni oraz jako jedną kopię w Backblaze B2, w centrum danych w Unii Europejskiej (Amsterdam). Kopie nadpisujemy na bieżąco, więc dane mogą w nich przetrwać do 7 dni dłużej niż w samym serwisie.
• Poczta i asystent AI: Microsoft, Google, Anthropic (punkt 4).
• Organy publiczne: tylko gdy wymaga tego prawo.

Nie sprzedajemy danych i nie przekazujemy ich reklamodawcom.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Google, Microsoft i Anthropic mogą przetwarzać korespondencję w USA. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU–US Data Privacy Framework) lub standardowych klauzul umownych. Na prośbę wskażemy, jak uzyskać ich kopię.

Statystyki i logi nie opuszczają Unii Europejskiej. Adresy z listy newslettera są przechowywane w Europejskim Obszarze Gospodarczym. Umowa z Mailrelay zabrania przekazywania ich poza Unię Europejską bez naszej uprzedniej pisemnej zgody. Takiej zgody nie wydaliśmy.

8. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i ich kopii,
• ich sprostowania,
• usunięcia,
• ograniczenia przetwarzania,
• przeniesienia danych, które podałeś na podstawie zgody (adres e-mail z listy newslettera),
• wycofania zgody na newsletter w każdej chwili (link „Wypisz się” albo mail),
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, w tym wobec statystyk.

Napisz na kontakt@bywa.my. Odpowiemy w ciągu miesiąca. Masz też prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Uczciwe zastrzeżenie: w statystykach nie zapisujemy adresu IP, a skrót zmienia się codziennie. Zwykle nie umiemy więc wskazać, który wpis należy do Ciebie. W takiej sytuacji możemy nie być w stanie wykonać prośby dotyczącej konkretnego rekordu (art. 11 RODO). Zawsze możemy natomiast usunąć wiadomości, które do nas wysłałeś, i Twój adres z listy newslettera.

Nie podejmujemy wobec Ciebie decyzji automatycznie i nie tworzymy profili.

9. Osoby w programie wydarzeń

W opisach wydarzeń pojawiają się nazwiska artystów, prowadzących i kuratorów. Pochodzą z informacji publikowanych przez instytucje i organizatorów. Podajemy je wyłącznie po to, żeby informować o wydarzeniach kulturalnych (art. 6 ust. 1 lit. f RODO). Opisy wydarzeń porządkuje automatycznie model AI. Nie przekazujemy mu przy tym żadnych danych o odwiedzających ani o subskrybentach newslettera.

Jeśli jesteś taką osobą i chcesz poprawić lub usunąć informację o sobie, napisz na kontakt@bywa.my.

10. Zmiany polityki

Gdy zmienimy sposób przetwarzania danych, zaktualizujemy ten tekst i datę na górze strony. O zmianach, które dotyczą newslettera, napiszemy też w najbliższym wydaniu.