Polityka prywatności

Ostatnia aktualizacja: 16 czerwca 2026

Niniejsza Polityka prywatności opisuje, w jaki sposób przetwarzamy dane osobowe w związku z korzystaniem ze strony internetowej carshot.pl oraz z aplikacji mobilnej CarShot i powiązanych usług (dalej łącznie: „Usługa" lub „CarShot"). Dokument przygotowano zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO") oraz ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). We wszystkich sprawach dotyczących przetwarzania danych osobowych można kontaktować się bezpośrednio z Administratorem, korzystając z danych wskazanych powyżej.

1. Najważniejsze informacje w skrócie

• Przetwarzamy tylko te dane, które są niezbędne do założenia konta, świadczenia usługi retuszu zdjęć oraz kontaktu z Tobą.
• Strona internetowa i poczta e-mail są hostowane w Polsce (SeoHost), a aplikacja, API, baza danych i przesyłane zdjęcia — na serwerze VPS w Unii Europejskiej (OVH).
• Aby wykonać retusz, przesyłane zdjęcia są przekazywane do usługi sztucznej inteligencji OpenAI (USA) — wyłącznie w celu ich obróbki.
• Powiadomienia push w aplikacji obsługuje Google Firebase Cloud Messaging.
• Nie sprzedajemy danych, nie profilujemy Cię w celach reklamowych i nie stosujemy cookies analitycznych ani marketingowych.
• W każdej chwili możesz usunąć swoje zdjęcia i konto oraz skorzystać z praw opisanych w pkt 9.

2. Zakres przetwarzanych danych

W zależności od sposobu korzystania z Usługi możemy przetwarzać następujące kategorie danych:

• Dane konta — adres e-mail oraz hasło (przechowywane wyłącznie w postaci zaszyfrowanej, jako tzw. skrót/hash).
• Dane firmy — nazwa firmy oraz dane potrzebne do rozliczeń i wystawienia faktury (jeśli korzystasz z odpłatnego dostępu).
• Zdjęcia pojazdów przesyłane do retuszu oraz wyniki ich obróbki. Zdjęcia mogą incydentalnie zawierać dane osobowe (np. tablice rejestracyjne, wizerunek osób w tle, odbicia w lakierze lub szybach) — patrz pkt 7.
• Dane o korzystaniu z usługi — liczba i historia wykonanych retuszów, wybrane ustawienia, formaty kadrowania, stan salda kredytów oraz historia operacji na kredytach.
• Identyfikator powiadomień push (token FCM) — jeśli wyrazisz zgodę na powiadomienia w aplikacji.
• Dane techniczne i dzienniki zdarzeń — adres IP, typ i model urządzenia, system operacyjny, wersja aplikacji, daty i godziny żądań — w celach diagnostycznych i zapewnienia bezpieczeństwa.
• Dane z formularza kontaktowego — imię i nazwisko, adres e-mail, temat oraz treść wiadomości.

3. Cele i podstawy prawne przetwarzania

• Założenie i prowadzenie konta oraz świadczenie usługi retuszu (zarządzanie kontem, przetwarzanie zdjęć, dostarczanie wyników) — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Obsługa powiadomień push — art. 6 ust. 1 lit. a RODO (zgoda wyrażona w aplikacji, którą możesz w każdej chwili cofnąć w ustawieniach urządzenia lub aplikacji).
• Obsługa zgłoszeń i korespondencji (formularz kontaktowy, e-mail) — art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na udzieleniu odpowiedzi).
• Rozliczenia i obowiązki podatkowo-księgowe (faktury, ewidencja) — art. 6 ust. 1 lit. c RODO (obowiązek prawny).
• Zapewnienie bezpieczeństwa, zapobieganie nadużyciom oraz dochodzenie i obrona przed roszczeniami — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
• Statystyka wewnętrzna i rozwój Usługi (analiza w oparciu o dane zagregowane) — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

4. Odbiorcy danych i podmioty przetwarzające

Dane powierzamy wyłącznie zaufanym podmiotom, w zakresie niezbędnym do świadczenia Usługi. Działają one na podstawie umów powierzenia przetwarzania danych (art. 28 RODO) lub własnych warunków zapewniających odpowiedni poziom ochrony:

• OVH (OVH Sp. z o.o. / OVH SAS) — hosting aplikacji, API, bazy danych oraz przechowywanie przesłanych i wyretuszowanych zdjęć. Serwery zlokalizowane są na terenie Unii Europejskiej.
• SeoHost (SeoHost.pl) — hosting strony internetowej carshot.pl oraz obsługa poczty e-mail (w tym adresu kontakt@carshot.pl). Serwery zlokalizowane są w Polsce.
• OpenAI (OpenAI, L.L.C., USA) — przetwarzanie przesłanych zdjęć w celu wykonania retuszu oraz wstępnej klasyfikacji obrazu. Do usługi przekazywane jest zdjęcie wraz z minimalnym opisem technicznym (np. marka/model, jeśli zostały podane). Zgodnie z warunkami API OpenAI dane przesyłane przez interfejs programistyczny nie są wykorzystywane do trenowania modeli.
• Google (Google Ireland Ltd. / Google LLC) — usługa Firebase Cloud Messaging, służąca wyłącznie do dostarczania powiadomień push.

Dane mogą zostać udostępnione również podmiotom uprawnionym na podstawie przepisów prawa (np. organom państwowym) wyłącznie na ich uzasadnione żądanie. Nie sprzedajemy, nie wynajmujemy ani nie udostępniamy danych osobowych w celach marketingowych podmiotów trzecich.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

Część usług, z których korzystamy, dostarczana jest przez podmioty z siedzibą w Stanach Zjednoczonych, co wiąże się z przekazaniem danych poza EOG:

• OpenAI — przekazanie zdjęć przesłanych do retuszu. Transfer odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).
• Google (Firebase) — przekazanie tokena powiadomień push. Google LLC posiada certyfikację w ramach programu Data Privacy Framework (UE–USA), a transfer zabezpieczają dodatkowo standardowe klauzule umowne.

W każdym przypadku dbamy o to, aby przekazanie danych następowało z zastosowaniem odpowiednich zabezpieczeń wymaganych przez RODO. Kopię stosowanych zabezpieczeń możesz uzyskać, kontaktując się z Administratorem.

6. Okres przechowywania danych

• Dane konta i dane o korzystaniu z usługi — przez czas posiadania konta, a po jego usunięciu lub rozwiązaniu umowy nie dłużej niż do upływu okresu przedawnienia ewentualnych roszczeń (co do zasady do 3 lat dla roszczeń związanych z działalnością gospodarczą, a w pozostałych przypadkach do 6 lat).
• Zdjęcia i wyniki retuszu — przechowywane na serwerze w UE do czasu ich usunięcia przez użytkownika; usuwane są również w przypadku usunięcia konta. Dane przesłane do OpenAI mogą być czasowo przechowywane przez ten podmiot na potrzeby wykrywania nadużyć, a następnie usuwane zgodnie z jego polityką (standardowo do 30 dni).
• Token powiadomień push — do czasu cofnięcia zgody, wylogowania lub odinstalowania aplikacji.
• Dane rozliczeniowe i faktury — 5 lat, licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy.
• Korespondencja i zgłoszenia z formularza — przez czas niezbędny do obsługi sprawy, nie dłużej niż 12 miesięcy od ostatniego kontaktu, chyba że dłuższe przechowywanie jest konieczne do ustalenia lub obrony roszczeń.
• Dzienniki techniczne i dane bezpieczeństwa — co do zasady do 12 miesięcy.

7. Zdjęcia zawierające dane osób trzecich

Przesyłając zdjęcia, oświadczasz, że jesteś uprawniony do ich przetwarzania i przekazania do obróbki. Jeżeli zdjęcia zawierają dane osobowe osób trzecich (np. tablice rejestracyjne czy wizerunek osób), odpowiadasz za posiadanie odpowiedniej podstawy prawnej do ich przetwarzania. Aby ograniczyć ten zakres, aplikacja umożliwia zamazanie (zasłonięcie) tablic rejestracyjnych.

Jeżeli korzystasz z CarShot w ramach własnej działalności (np. jako dealer lub komis) i to Ty pozostajesz administratorem danych zawartych na zdjęciach, w odniesieniu do tych danych Administrator działa jako podmiot przetwarzający. W takim przypadku, na Twoje żądanie, zawieramy odrębną umowę powierzenia przetwarzania danych osobowych.

8. Zautomatyzowane przetwarzanie i profilowanie

Retusz oraz wstępna klasyfikacja zdjęć odbywają się w sposób zautomatyzowany z wykorzystaniem modeli sztucznej inteligencji. Przetwarzanie to dotyczy obrazu i nie polega na podejmowaniu wobec Ciebie decyzji wywołujących skutki prawne lub w podobny sposób istotnie na Ciebie wpływających w rozumieniu art. 22 RODO. Nie prowadzimy profilowania w celach marketingowych.

9. Twoje prawa

W związku z przetwarzaniem danych przysługuje Ci prawo do:

• dostępu do danych oraz uzyskania ich kopii (art. 15 RODO),
• sprostowania danych (art. 16 RODO),
• usunięcia danych — „prawo do bycia zapomnianym" (art. 17 RODO),
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych (art. 20 RODO),
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO),
• cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO),
• wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Aby skorzystać z powyższych praw, skontaktuj się z nami: artur@falgowski.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w terminie miesiąca od otrzymania żądania.

10. Rejestracja konta firmowego — szczegółowe informacje

Niniejsza sekcja zawiera szczegółowe informacje, o których mowa w art. 13 RODO, dotyczące przetwarzania danych osobowych w procesie rejestracji konta firmowego za pośrednictwem formularza dostępnego pod adresem konto.carshot.pl/rejestracja.

10.1. Jakie dane zbieramy podczas rejestracji

W toku rejestracji konta firmowego pobieramy i przetwarzamy następujące dane:

• Dane osoby rejestrującej: imię, nazwisko, adres e-mail, numer telefonu.
• Dane firmy: pełna nazwa firmy, numer identyfikacji podatkowej NIP.
• Dane uwierzytelniające: hasło — przechowywane wyłącznie w postaci jednokierunkowego skrótu kryptograficznego (bcrypt); nigdy nie przechowujemy hasła w postaci jawnej.
• Potwierdzenie zgód: informacja o wyrażeniu wymaganych zgód RODO i zgody marketingowej (jeśli została udzielona), wraz ze znacznikiem czasu.
• Dane techniczne: adres IP komputera, z którego dokonano rejestracji, oraz data i godzina rejestracji — w celach bezpieczeństwa i zapobiegania nadużyciom.

10.2. Cel i podstawa prawna przetwarzania

• Założenie i prowadzenie konta firmowego oraz świadczenie usług retuszu zdjęć — art. 6 ust. 1 lit. b RODO (przetwarzanie niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie tej osoby przed zawarciem umowy).
• Weryfikacja tożsamości firmy i zapobieganie nadużyciom (weryfikacja NIP w rejestrze MF) — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na zapewnieniu wiarygodności klientów i bezpieczeństwa usługi).
• Weryfikacja adresu e-mail (wysyłka jednorazowego linka aktywacyjnego) — art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (bezpieczeństwo usługi).
• Rozliczenia, wystawianie faktur i wypełnianie obowiązków podatkowo-księgowych — art. 6 ust. 1 lit. c RODO (obowiązek prawny).
• Przesyłanie informacji handlowych i marketingowych — wyłącznie jeśli wyraziłeś/aś na to odrębną, dobrowolną zgodę — art. 6 ust. 1 lit. a RODO w zw. z art. 10 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Zgoda ta jest w pełni dobrowolna i możesz ją cofnąć w dowolnym momencie, wysyłając wiadomość na adres kontakt@carshot.pl.
• Ustalenie, dochodzenie i obrona roszczeń — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

10.3. Proces weryfikacji i aktywacji konta

Po przesłaniu formularza rejestracyjnego:

1. Na podany adres e-mail zostaje wysłany jednorazowy link aktywacyjny (ważny 24 godziny).
2. Po kliknięciu w link e-mail zostaje potwierdzony, a konto otrzymuje status oczekujące na aktywację.
3. Administrator ręcznie weryfikuje zgłoszenie (w szczególności poprawność NIP) i aktywuje konto — co do zasady w ciągu jednego dnia roboczego od zaksięgowania pierwszej płatności za pakiet kredytów.
4. Do czasu aktywacji przez Administratora logowanie do aplikacji jest zablokowane.

Jeżeli link aktywacyjny nie zostanie użyty w ciągu 7 dni, dane rejestracyjne mogą zostać usunięte, a rejestrację należy powtórzyć.

10.4. Konsekwencja niepodania danych

Podanie danych oznaczonych jako wymagane (imię, nazwisko, e-mail, telefon, nazwa firmy, NIP, hasło) jest dobrowolne, jednak bez ich podania założenie konta firmowego jest niemożliwe. Podanie numeru NIP jest konieczne do identyfikacji firmy i wystawienia faktury za usługę.

10.5. Okres przechowywania danych rejestracyjnych

• Dane konta aktywnego — przez cały czas istnienia konta.
• Dane konta po jego usunięciu lub rozwiązaniu umowy — nie dłużej niż do upływu okresu przedawnienia roszczeń (do 3 lat dla roszczeń związanych z działalnością gospodarczą, do 6 lat w pozostałych przypadkach), a jeżeli wobec konta wystawiono fakturę — dane rozliczeniowe przez 5 lat od końca roku kalendarzowego, w którym wystawiono fakturę.
• Dane niezweryfikowanych rejestracji (link aktywacyjny nieużyty) — do 7 dni od rejestracji.
• Zgoda marketingowa — do czasu jej cofnięcia lub usunięcia konta.
• Logi bezpieczeństwa (adres IP, timestamp rejestracji) — do 12 miesięcy.

10.6. Prawa osoby rejestrującej

Przysługują Ci wszystkie prawa opisane w pkt 9 niniejszej Polityki, w tym w szczególności prawo dostępu do danych, ich sprostowania, usunięcia konta (prawo do bycia zapomnianym), ograniczenia przetwarzania oraz wniesienia sprzeciwu. Aby skorzystać z tych praw, skontaktuj się z nami pod adresem kontakt@carshot.pl.

11. Dobrowolność podania danych

Podanie danych jest dobrowolne, lecz w niektórych przypadkach niezbędne do skorzystania z Usługi. Brak podania adresu e-mail uniemożliwia założenie konta, a nieprzesłanie zdjęcia — wykonanie retuszu. Brak podania danych do faktury może uniemożliwić rozliczenie odpłatnego dostępu.

12. Pliki cookie i pamięć lokalna

Strona carshot.pl korzysta wyłącznie z technicznych plików cookie niezbędnych do prawidłowego działania (np. utrzymanie sesji, zapamiętanie podstawowych ustawień). Nie stosujemy cookies analitycznych ani reklamowych podmiotów trzecich i nie korzystamy z narzędzi typu Google Analytics czy piksele śledzące.

Aplikacja mobilna przechowuje na urządzeniu dane niezbędne do działania, w tym token sesji/logowania (w zabezpieczonym magazynie systemowym) oraz lokalne ustawienia. Dane te pozostają na Twoim urządzeniu i są usuwane po wylogowaniu lub odinstalowaniu aplikacji.

13. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym: szyfrowanie transmisji danych (HTTPS/TLS), przechowywanie haseł wyłącznie w postaci skrótu (hash), kontrolę i ograniczenie dostępu do bazy danych, uwierzytelnianie dostępu do konta oraz regularną aktualizację oprogramowania serwerowego. Zdjęcia i wyniki retuszu przechowywane są na serwerze w UE i dostępne są dla zalogowanego właściciela konta.

14. Dane dzieci

Usługa jest skierowana do przedsiębiorców i osób dorosłych. Nie jest przeznaczona dla osób poniżej 16. roku życia i świadomie nie zbieramy danych takich osób.

15. Zmiany Polityki prywatności

Zastrzegamy sobie prawo do aktualizacji niniejszej Polityki, np. w związku ze zmianą przepisów lub zakresu Usługi. O istotnych zmianach poinformujemy drogą e-mailową lub poprzez komunikat w aplikacji. Data ostatniej aktualizacji jest zawsze widoczna na górze tej strony.

16. Kontakt

We wszystkich sprawach dotyczących ochrony danych osobowych prosimy o kontakt:
artur@falgowski.com · kontakt@carshot.pl