Przejdź do treści

Polityka prywatności

Wersja 1.1, obowiązuje od 10 października 2026

Polityka prywatności

Wersja 1.1, obowiązuje od dnia publikacji w Serwisie. W razie rozbieżności między wersjami językowymi rozstrzyga wersja polska.

1. Administrator danych

Administratorem danych osobowych użytkowników serwisu Top Change (topchangemagic.com) jest Mighty Little Steps spółka z ograniczoną odpowiedzialnością, ul. Gospodarcza 26, 20-213 Lublin, KRS 0001108348, NIP 9462741095 (dalej „Operator" lub „my"). W sprawach danych osobowych piszcie na adres contact@topchangemagic.com. Operator nie wyznaczył inspektora ochrony danych.

2. Skąd mamy dane

  • od Ciebie: przy rejestracji, uzupełnianiu profilu, weryfikacji sprzedającego, wystawianiu ogłoszeń, wysyłaniu wiadomości, składaniu ofert, ocen, zgłoszeń i odwołań;
  • z konta Google, jeśli logujesz się przez Google: adres e-mail, imię i nazwisko lub nazwa oraz identyfikator konta;
  • od innych użytkowników: wiadomości do Ciebie, oceny, zgłoszenia dotyczące Twoich treści;
  • automatycznie z Twojej przeglądarki: adres IP, dane o przeglądarce i urządzeniu, czas zdarzeń.

Jeśli zgłaszasz treść bez konta, przetwarzamy podany przez Ciebie adres e-mail i treść zgłoszenia.

3. Jakie dane przetwarzamy

  • dane konta: adres e-mail, hasło (wyłącznie w postaci skrótu), nazwa użytkownika, wyświetlana nazwa, kraj, miasto, opis, linki do mediów społecznościowych, język, waluta, ustawienia powiadomień, klucz logowania dwuskładnikowego (zaszyfrowany);
  • dane weryfikacji sprzedającego: opis, linki do profili, termin i notatka z rozmowy, decyzja (widoczne tylko dla Operatora);
  • treści: ogłoszenia, zdjęcia (metadane, w tym lokalizacja, są usuwane przed zapisem), wiadomości, oceny, zgłoszenia, odwołania;
  • dane transakcji: deklaracje kupna, oferty i ich wysokość, propozycje cenowe, statusy, daty, strike'i i decyzje moderacyjne;
  • dane techniczne: adres IP i dane przeglądarki w postaci skrótu z solą (tylko do wykrywania powiązanych kont przy licytacjach i nadużyć), dzienniki błędów aplikacji, dziennik działań administratora;
  • zgody i akceptacje: wersja i data akceptacji Regulaminu i Polityki prywatności, oświadczenie o pełnoletności, deklaracja sprzedawcy prywatnego.

Nie zbieramy danych kart płatniczych ani rachunków bankowych: płatności odbywają się poza Serwisem.

4. Cele i podstawy prawne

| Cel | Podstawa prawna (RODO) | | --- | --- | | Założenie i prowadzenie konta, publikacja ogłoszeń, wiadomości, oferty, transakcje, oceny, powiadomienia o zdarzeniach w Twoich sprawach | art. 6 ust. 1 lit. b – wykonanie umowy | | Weryfikacja sprzedających, wykrywanie oszustw i powiązanych kont, ograniczenia nowych kont, strike'i | art. 6 ust. 1 lit. f – prawnie uzasadniony interes Operatora i użytkowników (bezpieczeństwo obrotu) | | Rozpatrywanie zgłoszeń i odwołań, uzasadnianie decyzji, punkt kontaktowy, dziennik moderacji | art. 6 ust. 1 lit. c – obowiązki z rozporządzenia (UE) 2022/2065 (DSA) | | Asystent wystawiania i tłumaczenia automatyczne (tylko opisy i zdjęcia ogłoszeń) | art. 6 ust. 1 lit. b – wykonanie umowy, na Twoje żądanie | | Powiadomienia e-mail inne niż niezbędne (np. o obserwowanych aukcjach, zapisanych wyszukiwaniach) | art. 6 ust. 1 lit. a – zgoda wyrażona w ustawieniach, którą możesz cofnąć w każdej chwili | | E-mail powitalny i informacje o zmianach Regulaminu lub działaniu Serwisu | art. 6 ust. 1 lit. b – wykonanie umowy | | Statystyki odwiedzin (bez plików cookie, bez identyfikowania osób), monitoring błędów, kopie zapasowe, bezpieczeństwo | art. 6 ust. 1 lit. f – prawnie uzasadniony interes | | Obsługa reklamacji, obrona i dochodzenie roszczeń | art. 6 ust. 1 lit. f – prawnie uzasadniony interes | | Udostępnianie danych organom i obowiązki sprawozdawcze, jeśli nałożą je na Operatora przepisy (np. o raportowaniu platform cyfrowych) | art. 6 ust. 1 lit. c – obowiązek prawny |

Podanie danych konta jest dobrowolne, ale bez nich nie da się założyć konta. Jeżeli przepisy o raportowaniu operatorów platform cyfrowych (DAC7) obejmą Operatora, poprosimy sprzedających osobno o dodatkowe dane wymagane prawem i wyjaśnimy ich zakres przed ich zebraniem.

5. Komu dane są widoczne i kto je przetwarza

Inni użytkownicy. Publiczne są: nazwa użytkownika i wyświetlana nazwa, kraj, miasto, opis, linki, plakietka weryfikacji, oceny i odpowiedzi na nie, ogłoszenia ze zdjęciami oraz zanonimizowana historia ofert w aukcjach. Druga strona transakcji widzi dodatkowo Twoje wiadomości i to, co w nich napiszesz (np. adres do wysyłki). Adres e-mail nie jest pokazywany innym użytkownikom.

Podmioty przetwarzające w naszym imieniu, na podstawie umów powierzenia:

  • Supabase (baza danych, logowanie, magazyn zdjęć; serwery w regionie Frankfurt, UE);
  • Vercel (hosting aplikacji; funkcje uruchamiane w regionie Frankfurt);
  • Resend (wysyłka e-maili; region UE);
  • Cloudflare (DNS, ochrona przed botami Turnstile, przekierowanie poczty przychodzącej);
  • Anthropic (model AI do asystenta wystawiania i tłumaczeń; otrzymuje wyłącznie opisy i zdjęcia ogłoszeń, nigdy wiadomości ani dane konta; dostawca nie wykorzystuje tych treści do trenowania modeli);
  • Sentry (monitoring błędów; region UE);
  • Plausible (statystyki odwiedzin bez plików cookie; UE).

Google jest niezależnym administratorem danych przetwarzanych przy logowaniu przez Google, na zasadach swojej polityki prywatności.

Organy publiczne otrzymują dane wyłącznie na podstawie przepisów prawa, na ważne żądanie.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dane są przechowywane w Unii Europejskiej. Część dostawców (Vercel, Cloudflare, Anthropic, Sentry, Google) ma siedzibę w USA; przekazanie danych tym dostawcom odbywa się na podstawie decyzji Komisji Europejskiej o adekwatności (EU-U.S. Data Privacy Framework) w stosunku do dostawców certyfikowanych w tym programie, a w pozostałym zakresie na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską. Kopię zabezpieczeń możesz uzyskać, pisząc na adres punktu kontaktowego.

7. Okres przechowywania

  • konto i profil: do usunięcia konta; po usunięciu profil jest anonimizowany, a Twoje ogłoszenia, wiadomości i oceny pozostają widoczne dla drugiej strony bez powiązania z Twoją tożsamością tylko w zakresie niezbędnym do zamknięcia trwających spraw;
  • zapisy transakcji, deklaracji i ofert, decyzje moderacyjne, strike'i oraz dowody akceptacji dokumentów: 6 lat od końca roku, w którym powstały (okres przedawnienia roszczeń), w postaci zanonimizowanej po usunięciu konta;
  • zgłoszenia i odwołania wraz z korespondencją: 3 lata od zamknięcia sprawy;
  • dane weryfikacji sprzedającego (opis, linki, notatki z rozmowy): do usunięcia konta;
  • dane techniczne, skróty adresów i przeglądarek, dzienniki błędów: 12 miesięcy;
  • dziennik działań administratora: 6 lat;
  • kopie zapasowe bazy danych: do 7 dni.

8. Twoje prawa

Masz prawo do: dostępu do danych i otrzymania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (eksport w formacie JSON jest dostępny w ustawieniach konta), sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz cofnięcia zgody w każdej chwili bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Wnioski kierujesz na adres punktu kontaktowego; odpowiadamy w ciągu miesiąca.

Masz prawo wnieść skargę do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl), albo do organu nadzorczego w państwie Twojego zwykłego pobytu.

9. Zautomatyzowane decyzje

Ograniczenie konta po przekroczeniu progu strike'ów oraz czasowe limity dla nowych kont są decyzjami podejmowanymi automatycznie na podstawie zdarzeń w Twoich transakcjach. Są one niezbędne do wykonania umowy (bezpieczeństwo obrotu między użytkownikami). O każdej takiej decyzji jesteś informowany, możesz przedstawić swoje stanowisko i odwołać się do człowieka w zakładce „Stan konta". Sygnały automatyczne dotyczące treści lub podejrzanych licytacji nigdy nie powodują same ukrycia treści ani blokady konta – decyzję podejmuje człowiek. Nie profilujemy użytkowników w celach marketingowych.

10. Bezpieczeństwo

Dane są przesyłane szyfrowanym połączeniem, hasła są przechowywane wyłącznie jako skróty, dostęp do danych w bazie jest ograniczany na poziomie wierszy, a konta administratorów wymagają logowania dwuskładnikowego. Logowanie dwuskładnikowe możesz włączyć także dla swojego konta.

11. Osoby niepełnoletnie

Serwis jest przeznaczony wyłącznie dla osób pełnoletnich. Jeśli dowiemy się, że konto należy do osoby niepełnoletniej, usuniemy je.

12. Pliki cookie

Zasady stosowania plików cookie i podobnych mechanizmów opisuje Polityka cookies.

13. Zmiany

Zmiany Polityki są publikowane w Serwisie z numerem wersji i datą; o istotnych zmianach informujemy e-mailem.