Polityka prywatności

Jakie dane zbiera dualfroz.com, po co, na jakiej podstawie, komu je przekazuje i jak długo je trzyma.

Obowiązuje od

W skrócie

  • Strona nie ma analityki ani reklam: nie ładuje Google Analytics, pikseli reklamowych ani innych skryptów śledzących.
  • Poza dziennikami serwera dane zapisują się tylko wtedy, gdy coś zrobisz: wyślesz wiadomość, wylosujesz cukierek albo wejdziesz z linku polecającego.
  • Strona ustawia jedno ciasteczko, lang, z wybranym językiem.
  • Dostęp do danych, ich poprawienie albo usunięcie załatwisz jednym mailem na me@dualfroz.com.

Kto odpowiada za dane

Administratorem danych osobowych zbieranych przez dualfroz.com jest Michał Fox, znany w sieci jako DualFroz, osoba fizyczna, która prowadzi tę stronę prywatnie.

Administrator
Michał Fox (DualFroz)
Adres
Kraków, Polska
E-mail
me@dualfroz.com

We wszystkich sprawach dotyczących danych pisz na me@dualfroz.com.

Ta polityka wypełnia obowiązek informacyjny z art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

Formularz kontaktowy

Wiadomość wysłana ze strony Kontakt trafia bezpośrednio do mnie.

Jakie dane
Imię lub nick, temat, treść wiadomości i adres e-mail, jeśli go podasz. Serwer dopisuje adres IP, informację o przeglądarce (nagłówek User-Agent, do 300 znaków) i czas wysłania.
Po co
Żeby przeczytać wiadomość, odpowiedzieć i prowadzić rozmowę, którą zaczynasz.
Podstawa prawna
Art. 6 ust. 1 lit. f RODO, czyli mój prawnie uzasadniony interes w odpowiadaniu na korespondencję. Gdy piszesz w sprawie zlecenia albo współpracy, także art. 6 ust. 1 lit. b RODO: działania na Twoje żądanie przed zawarciem umowy.
Gdzie trafiają
Cała wiadomość zapisuje się w pliku na serwerze strony. Do powiadomienia na Discordzie trafiają imię, temat, adres e-mail i pierwsze 1000 znaków treści. Adres IP i informacja o przeglądarce zostają tylko na serwerze.
Jak długo
Do załatwienia sprawy. Strona nie usuwa wiadomości automatycznie: kasuję je ręcznie, z serwera i z Discorda. O wcześniejsze usunięcie możesz poprosić w każdej chwili.

Ochrona przed spamem i nadużyciami

Cloudflare Turnstile chroni formularz kontaktowy i słoik z cukierkami. Widget ładuje się z serwerów Cloudflare i sprawdza, czy korzysta z nich człowiek. Cloudflare przetwarza przy tym adres IP oraz dane o przeglądarce i urządzeniu. Po wysłaniu formularza albo losowaniu serwer strony przekazuje do Cloudflare token z widgetu i Twój adres IP, żeby potwierdzić wynik.

Serwer liczy też żądania z jednego adresu IP i odrzuca nadmiarowe. Formularz przyjmie najwyżej 5 wiadomości w ciągu 15 minut, a słoik, linki polecające i aplikacja słoika mają własne limity.

Jakie dane
Adres IP i czasy kolejnych żądań, zapisane w pliku z licznikami.
Podstawa prawna
Art. 6 ust. 1 lit. f RODO: ochrona strony przed spamem, botami i przeciążeniem.
Jak długo
Tylko przez okno limitu, od 15 minut do 24 godzin. Wpis znika przy pierwszym zapisie licznika po upływie okna.

Linki polecające

Linki z kodem polecającym, czyli adresy dualfroz.com/ref/<kod> albo z dopiskiem ?ref=<kod>, pokazują mi, skąd przychodzą odwiedzający. Strona usuwa kod z paska adresu zaraz po wejściu.

Jakie dane
Kod polecający, czas wejścia i losowy identyfikator wizyty, który strona trzyma tylko w pamięci otwartej karty: nie zapisuje go w przeglądarce, a znika po odświeżeniu albo zamknięciu karty. Gdy go brak, serwer używa zamiast niego dziennego pseudonimu, czyli skrótu HMAC-SHA256 z adresu IP, daty i tajnego klucza. Każda kolejna podstrona otwarta w tej samej karcie zapisuje odsłonę z tym samym kodem. Przeglądarka wysyła też adres podstrony, ale serwer go nie zapisuje.
Po co
Żeby wiedzieć, ile osób i odsłon przyniósł każdy link.
Podstawa prawna
Art. 6 ust. 1 lit. f RODO: mój prawnie uzasadniony interes w mierzeniu skuteczności własnych linków.
Gdzie trafiają
Lista wejść leży w pliku na serwerze strony. Powiadomienie na Discordzie zawiera tylko kod i zbiorcze liczby (sesje, odsłony, najczęściej używane kody), bez adresu IP i bez identyfikatora.
Jak długo
Lista wejść nie jest usuwana automatycznie: trzymam ją, dopóki jest potrzebna do statystyk linków. Na prośbę usunę wpisy z wejść z danego linku i dnia.

Słoik z cukierkami

Na stronie głównej możesz wylosować cukierek ze słoika. Wynik widać od razu na stronie, w publicznej statystyce słoika i w powiadomieniach.

Jakie dane
Adres IP, potrzebny do limitów losowań i weryfikacji Turnstile. Samo losowanie (cukierek, wariant, czas) trafia do publicznej statystyki słoika bez żadnych danych o Tobie.
Powiadomienie
Wynik losowania trafia na serwer powiadomień push.dualfroz.com razem z dziennym pseudonimem: 10 znakami skrótu HMAC-SHA256 z adresu IP (przy IPv6 z jego pierwszych 64 bitów), daty i tajnego klucza. Pseudonim zmienia się każdego dnia, a bez klucza nie da się z niego odtworzyć adresu IP. Służy tylko do tego, żeby powiadomienia grupowały losowania tej samej osoby z jednego dnia. Powiadomienia o losowaniach może odebrać każdy, kto je subskrybuje, np. w aplikacji słoika.
Podstawa prawna
Art. 6 ust. 1 lit. f RODO: działanie słoika, ochrona przed nadużyciami i powiadomienia o losowaniach.
Jak długo
Statystyka słoika trzyma liczniki i 10 ostatnich losowań. Adres IP znika z licznika limitów po upływie okna, najpóźniej po 24 godzinach. Serwer powiadomień usuwa wiadomości automatycznie po 24 godzinach.

Aplikacja słoika na Androida

Aplikacja pokazuje statystyki słoika, powiadamia o losowaniach i ogłoszeniach i ma widżety na ekran główny. Nie prosi o dostęp do kontaktów, lokalizacji, zdjęć, aparatu ani mikrofonu.

Jakie dane
Losowy identyfikator urządzenia (32 znaki), który aplikacja tworzy przy pierwszym uruchomieniu, producent i model telefonu, wersja Androida, wersja aplikacji oraz język i region ustawione w telefonie. Serwer dopisuje datę pierwszego i ostatniego zgłoszenia urządzenia, a ja mogę nadać mu nazwę na swojej liście.
Po co
Żeby wysłać ogłoszenie albo wiadomość do konkretnego urządzenia i wiedzieć, na jakich telefonach i wersjach działa aplikacja.
Podstawa prawna
Art. 6 ust. 1 lit. f RODO: działanie aplikacji i dostarczanie powiadomień.
Kto widzi
Lista urządzeń otwiera się tylko po podaniu hasła właściciela słoika. Aplikacja łączy się z dualfroz.com i z serwerem powiadomień push.dualfroz.com, więc oba widzą adres IP telefonu.
Jak długo
Wiadomości do konkretnego urządzenia znikają po 7 dniach, a naraz czeka ich najwyżej 20. Wpis urządzenia zostaje, dopóki go ręcznie nie usunę. Lista mieści 5000 urządzeń, a po przekroczeniu tej liczby wypadają te, które najdawniej się zgłaszały. Po odinstalowaniu aplikacji identyfikator znika z telefonu razem z jej danymi. O usunięcie wpisu z serwera możesz poprosić mailem.

Dzienniki serwera

Serwer WWW zapisuje w dzienniku każde żądanie do strony, jej API i serwera powiadomień.

Jakie dane
Adres IP, czas, żądany adres, kod i rozmiar odpowiedzi, adres strony odsyłającej (Referer) i informacja o przeglądarce (User-Agent).
Po co
Bezpieczeństwo, wykrywanie ataków i nadużyć oraz szukanie błędów.
Podstawa prawna
Art. 6 ust. 1 lit. f RODO: bezpieczeństwo i poprawne działanie strony.
Jak długo
Serwer zaczyna nowy dziennik codziennie i usuwa dzienniki starsze niż 52 dni.

Komu przekazuję dane

  • Dostawca serwera (VPS w Polsce): na jego maszynie działa strona, serwer powiadomień i pliki z danymi opisanymi wyżej.
  • Discord Inc. (USA): narzędzie, przez które dostaję powiadomienia o wiadomościach z formularza i o użyciu linków polecających. Zakres danych opisują sekcje Formularz kontaktowy i Linki polecające.
  • Cloudflare, Inc. (USA): weryfikacja Turnstile przy formularzu i słoiku oraz serwer cdnjs, z którego ładuje się biblioteka animacji.
  • Dostawcy plików ładowanych w przeglądarce: lista w sekcji Treści z zewnętrznych serwerów.

Nikomu nie sprzedaję danych i nie przekazuję ich do celów reklamowych.

Przekazanie poza Europejski Obszar Gospodarczy

Discord i Cloudflare mają siedziby w USA, więc dane mogą trafić poza EOG. Podstawą jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony dla firm uczestniczących w EU-US Data Privacy Framework (art. 45 RODO), a tam, gdzie ta decyzja nie sięga, standardowe klauzule umowne zatwierdzone przez Komisję (art. 46 ust. 2 lit. c RODO). To samo dotyczy dostawców plików ładowanych w przeglądarce, jeśli obsłużą żądanie z serwera poza EOG.

Pamięć przeglądarki

Strona zapisuje w przeglądarce tylko poniższe wpisy. Nie ma ciasteczek analitycznych ani reklamowych.

lang (ciasteczko)
Wybrany język strony, pl albo en. Serwer czyta je, żeby otworzyć stronę główną i linki polecające w Twoim języku. Ważne rok, odnawiane przy każdej wizycie.
dualfroz-tecza, dualfroz-halloween, dualfroz-sesja (localStorage), dualfroz-reflink, dualfroz-reflink-pierwsza (sessionStorage)
Strona ich nie zapisuje. Jeśli zostały po jej starszej wersji, usuwa je przy wejściu.

Ciasteczko lang jest potrzebne, żeby strona pamiętała wybrany język. Wszystkie wpisy możesz usunąć w ustawieniach przeglądarki: strona dalej działa, tylko zapomni język.

Treści z zewnętrznych serwerów

Część plików przeglądarka pobiera z innych serwerów. Każdy z nich dostaje przy tym Twój adres IP i informacje o przeglądarce, jak przy każdym pobraniu pliku z sieci.

cdnjs.cloudflare.com (Cloudflare)
Biblioteka animacji GSAP. Na każdej stronie.
cdn.jsdelivr.net (jsDelivr)
Animowane tło z cząsteczkami (tsParticles). Na każdej stronie, chwilę po jej załadowaniu.
flagcdn.com
Flaga przy przełączniku języka. Na każdej stronie.
vulcode.com
Znak VulCode w stopce. Na każdej stronie.
challenges.cloudflare.com (Cloudflare Turnstile)
Weryfikacja antybotowa. Na stronie Kontakt i przy słoiku na stronie głównej, gdy słoik pojawi się na ekranie.
Serwery Spotify
Okładki utworów: w sekcji muzyki na stronie Poza kodem i w karcie z moim statusem z Discorda na stronie głównej, gdy słucham czegoś na Spotify.

Czcionki i ikony leżą na serwerze strony, więc przeglądarka nie pobiera ich z Google Fonts ani innego serwisu.

Statystyki na stronach Start, O mnie i Open source oraz kartę ze statusem z Discorda pobiera serwer strony z ghapi.dualfroz.com, mojego własnego serwisu ze statystykami. Przeglądarka nie łączy się z nim i nie trafiają do niego żadne dane o Tobie.

Linki do serwisów społecznościowych, repozytoriów kodu i stron projektów to zwykłe odnośniki: nic się z nich nie ładuje, dopóki ich nie klikniesz. Niektóre cukierki ze słoika otwierają w nowej karcie inną stronę. Po przejściu obowiązują zasady tamtych serwisów.

Twoje prawa

Masz prawo do:

  • dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO)
  • sprostowania danych nieprawidłowych (art. 16 RODO)
  • usunięcia danych (art. 17 RODO)
  • ograniczenia przetwarzania (art. 18 RODO)
  • przeniesienia danych, które przetwarzam w związku z umową, czyli z wiadomości w sprawie zlecenia (art. 20 RODO)
  • sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO)
  • wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl

Żeby skorzystać z tych praw, napisz na me@dualfroz.com. Podaj, czego sprawa dotyczy, np. adres e-mail użyty w formularzu albo link polecający i dzień wejścia, żebym mógł znaleźć Twoje dane. Odpowiem najpóźniej w ciągu miesiąca.

Podanie danych jest dobrowolne. Bez imienia, tematu i treści formularz nie wyśle wiadomości, a bez adresu e-mail odpiszę tylko wtedy, gdy podasz inny kontakt w treści.

Strona nie profiluje odwiedzających. Jedyne automatyczne decyzje to weryfikacja Turnstile i limity żądań: mogą chwilowo zablokować wysłanie wiadomości albo losowanie i nie mają innych skutków.

Zmiany polityki

Każdą zmianę w tym, jakie dane strona zbiera i po co, opisuję tutaj i zmieniam datę obowiązywania na górze strony. Aktualna wersja jest zawsze pod tym adresem.