Polityka prywatności

Redakcja 1.2 z dnia 21.10.2026.

1. Postanowienia ogólne

1.1. Polityka opisuje, jak Daniil Shastovsky („Administrator”) przetwarza dane osobowe użytkowników strony surfup.dev („Strona”), osób, które kontaktują się z nami przez formularz lub bota Telegram @surfup_ai_bot, oraz klientów studia SurfUp.

1.2. Opiera się na rosyjskiej ustawie federalnej nr 152-FZ z 27 lipca 2006 r. „O danych osobowych”. Dla osób w UE, Europejskim Obszarze Gospodarczym i Wielkiej Brytanii dodatkowo obowiązuje sekcja 11.

1.3. Prywatna przestrzeń robocza app.surfup.dev działa wyłącznie na zaproszenie. Dane logowania, których używa, opisano w tabeli w sekcji 3 (cel D).

1.4. Polityka jest opublikowana na Stronie i dostępna bez rejestracji.

2. Administrator i kontakt

Administrator: Daniil Aleksandrovich Shastovsky, podatnik rosyjskiego podatku od dochodów zawodowych (osoba samozatrudniona), INN 781631339830. Adres: ul. Zavodskaya 17, Sankt Petersburg, 192076, Rosja. Telefon: +7 958 175-40-99. E-mail w sprawach danych osobowych: surfup_dev@protonmail.com. Za organizację przetwarzania danych osobowych odpowiada sam Administrator.

3. Jakie dane, po co i na jakiej podstawie

3.1. Nie prosimy o szczególne kategorie danych (zdrowie, przekonania i podobne), dane biometryczne, hasła ani dane płatnicze i ich nie zbieramy. Prosimy nie wysyłać ich przez formularz ani Telegram.

3.2. Nie wysyłamy reklam ani newslettera. Jeśli to się zmieni, poprosimy o odrębną zgodę.

3.3. Bez danych kontaktowych nie możemy odpowiedzieć na zgłoszenie.

4. Co robimy z danymi

Zbieranie, utrwalanie, porządkowanie, gromadzenie, przechowywanie, aktualizowanie, wykorzystywanie, przekazywanie (udostępnianie) odbiorcom z sekcji 6, anonimizacja, usuwanie i niszczenie. Przetwarzanie odbywa się środkami zautomatyzowanymi. Decyzje wywołujące wobec Ciebie skutki prawne nie są podejmowane automatycznie.

5. Gdzie dane są przechowywane

5.1. Zgłoszenia trafiają przez formularz na Stronie i przez bota Telegram @surfup_ai_bot. Aby przekazać zgłoszenie za pośrednictwem Telegram LLC (dalej także „Telegram”) odbiorcy wyznaczonemu przez Administratora, Administrator tymczasowo zapisuje je na serwerze Strony (aplikacji internetowej) w technicznej kolejce ponownych wysyłek. Kolejka może zawierać dane kontaktowe i informacje podane w zgłoszeniu i jest wykorzystywana wyłącznie do ponownej próby przekazania zgłoszenia za pośrednictwem Telegrama. Po otrzymaniu od Telegrama potwierdzenia wysłania wiadomości wpis jest niezwłocznie usuwany z kolejki. Jeśli Telegram nie potwierdzi wysłania, wpis jest usuwany podczas najbliższego automatycznego cyklu czyszczenia po upływie 72 godzin od otrzymania zgłoszenia. Jeśli nie uda się go przekazać w tym czasie, zgłoszenie nie zostanie dostarczone. Po przekazaniu zgłoszenia Telegram przechowuje dane w swojej infrastrukturze i według własnych zasad: w rozmowie z botem i na czacie Administratora.

5.2. Strona jest hostowana na serwerach Hetzner Online GmbH w Niemczech. Znajdują się tam kod Strony i logi techniczne (adres IP, czas żądania, adres strony, typ przeglądarki). Jeśli zgłoszenie zostało wysłane za pośrednictwem bota Telegram, Administrator przechowuje na serwerze Strony identyfikator czatu Telegram oraz dostępną nazwę z profilu Telegram, aby kontynuować korespondencję przez bota: username lub, jeśli nie został podany, imię i/lub nazwisko przekazane przez Telegram, jeśli są dostępne. Dane te są wykorzystywane wyłącznie do kierowania odpowiedzi w Telegramie. Wpis jest usuwany podczas najbliższego automatycznego cyklu czyszczenia po upływie 365 dni od wysłania zgłoszenia. W celu działania bota Administrator przechowuje Telegram ID czatu oraz wybrany język interfejsu. Dane te są wykorzystywane wyłącznie do wyboru języka. Wpis jest usuwany podczas najbliższego automatycznego cyklu czyszczenia po upływie 180 dni od ostatniej interakcji z botem. Podczas wypełniania zgłoszenia za pośrednictwem bota Telegram, po udzieleniu zgody, wprowadzone dane są tymczasowo zapisywane w pliku stanu bota na serwerze Strony. Jeśli użytkownik nie dokończy zgłoszenia, dane są usuwane podczas najbliższego automatycznego cyklu czyszczenia po upływie 24 godzin od ostatniej interakcji z botem.

5.3. Administrator usuwa zgłoszenia z własnego czatu w Telegramie po 1 roku od wysłania, a na Twoją prośbę wysłaną na surfup_dev@protonmail.com — w ciągu 30 dni. Usunięcie tam nie usuwa kopii, które Telegram przechowuje według własnych zasad, ani Twojej własnej historii rozmowy.

5.4. Dane klientów (cel C) i użytkowników przestrzeni roboczej (cel D) są przechowywane w Google Firebase (Google LLC, USA). Dopóki dostęp do przestrzeni roboczej jest aktywny, dane są przechowywane bezterminowo; są usuwane na Twoją prośbę lub po zamknięciu dostępu.

6. Kto otrzymuje dane

6.1. Nie sprzedajemy danych osobowych i nie przekazujemy ich do celów reklamowych.

6.2. Przekazanie transgraniczne: Niemcy są stroną Konwencji Rady Europy nr 108 i zaliczają się do państw zapewniających odpowiedni poziom ochrony. Dane, które wysyłasz w Telegramie, trafiają bezpośrednio do Telegrama na jego warunkach.

7. Jak chronimy dane

Przesyłanie bezpiecznym kanałem (HTTPS); token bota jest przechowywany tylko na serwerze; dostęp do zapisów ma wyłącznie Administrator; ograniczenie częstotliwości zgłoszeń i ochrona przed spamem; prywatna przestrzeń robocza nie jest indeksowana przez wyszukiwarki; kopie zapasowe i rejestrowanie zdarzeń. W razie wykrycia naruszenia Administrator powiadomi Roskomnadzor w terminach przewidzianych prawem.

8. Twoje prawa

8.1. Możesz żądać potwierdzenia przetwarzania i dostępu do danych, ich sprostowania, ograniczenia lub usunięcia, wycofać zgodę i sprzeciwić się przetwarzaniu.

8.2. Jak: napisz na surfup_dev@protonmail.com z adresu lub konta, po którym odnajdziemy Twoje zgłoszenie, i wskaż, czego potrzebujesz. Ze względów bezpieczeństwa możemy poprosić o potwierdzenie tożsamości.

8.3. Terminy: odpowiadamy w ciągu 10 dni roboczych (z możliwością przedłużenia zgodnie z prawem); po wycofaniu zgody kończymy przetwarzanie w ciągu 30 dni, chyba że prawo wymaga dłuższego przechowywania danych.

8.4. Możesz złożyć skargę do Roskomnadzoru (rkn.gov.ru) lub zwrócić się do sądu.

9. Pliki cookie

Sposób korzystania z plików cookie i pamięci lokalnej opisuje Informacja o plikach cookie.

10. Dzieci

Usługi studia są przeznaczone dla osób dorosłych i organizacji. Świadomie nie zbieramy danych osób niepełnoletnich. Jeśli uważasz, że takie dane do nas trafiły, napisz na surfup_dev@protonmail.com, a je usuniemy.

11. Osoby w UE, EOG i Wielkiej Brytanii

11.1. Wobec osób znajdujących się w UE/EOG/Wielkiej Brytanii Administrator jest administratorem w rozumieniu RODO (UK GDPR).

11.2. Podstawy z art. 6 RODO: cele A, B i C — ust. 1 lit. b (działania przed zawarciem umowy na Twoje żądanie i wykonanie umowy) oraz, jeśli zaznaczono pole zgody, lit. a; cel D — ust. 1 lit. b; cel E — ust. 1 lit. f (prawnie uzasadniony interes w bezpieczeństwie Strony).

11.3. Przedstawiciel w UE (art. 27 RODO): Korlear Oleksei, Triton Road, Betaghstown, Bettystown, Co. Meath, A92 H588, Irlandia; olesekot@protonmail.com.

11.4. Przekazywanie danych: Administrator ma siedzibę w Rosji, wobec której nie ma decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony. Wysyłając formularz lub wiadomość do bota, sam przekazujesz swoje dane Administratorowi w Rosji, a są one przetwarzane zgodnie z niniejszą Polityką.

11.5. Dodatkowe prawa: przenoszenie danych (art. 20), sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21), wycofanie zgody w dowolnym momencie bez wpływu na wcześniejsze przetwarzanie. Odpowiadamy w ciągu miesiąca. Możesz złożyć skargę do organu nadzorczego w miejscu zamieszkania lub pracy albo w miejscu domniemanego naruszenia.

11.6. Podanie danych jest dobrowolne; bez danych kontaktowych nie możemy odpowiedzieć. Nie stosujemy profilowania ani zautomatyzowanego podejmowania decyzji.

12. Zmiany i język

12.1. Możemy aktualizować politykę. Obowiązuje redakcja opublikowana na Stronie; jej wersja i data są na górze. Zgoda jest rejestrowana wraz z wersją dokumentu i czasem.

12.2. Polityka jest opublikowana w kilku językach dla wygody. W razie rozbieżności rozstrzyga wersja rosyjska, chyba że bezwzględnie obowiązujące prawo Twojego kraju zamieszkania zapewnia Ci większą ochronę.

Uzupełnienie Polityki prywatności strony surfup.dev

Redakcja z dnia 21 października 2026 r.

Niniejsze Uzupełnienie stanowi integralną część Polityki prywatności strony surfup.dev (dalej „Polityka”) i ma zastosowanie wyłącznie do przetwarzania danych osobowych związanych z wysyłaniem, weryfikacją, potwierdzaniem i publikacją opinii na Stronie oraz do technicznego przetwarzania adresów IP w celu ograniczania częstotliwości wysyłek.

W przypadku sprzeczności między niniejszym Uzupełnieniem a główną Polityką w zakresie opinii i technicznego przetwarzania adresów IP zastosowanie mają postanowienia niniejszego Uzupełnienia.

1. Informacje o Administratorze

1.1. Administratorem danych osobowych (dalej „Administrator”) jest:

• Imię i nazwisko: Daniil Aleksandrovich Shastovsky, podatnik rosyjskiego podatku od dochodów zawodowych (osoba samozatrudniona)
• INN: 781631339830
• Adres: 192076, Rosja, Sankt Petersburg, ul. Zavodskaya 17
• Adres e-mail do spraw dotyczących danych osobowych: surfup_dev@protonmail.com
• Telefon: +7 958 175-40-99

1.2. Odpowiedzialność za organizację przetwarzania danych osobowych spoczywa na Administratorze.

1.3. Dane osobowe są przetwarzane zgodnie z prawem Federacji Rosyjskiej, w tym z ustawą federalną nr 152-FZ z dnia 27.07.2006 r. „O danych osobowych” (dalej „ustawa 152-FZ”). Dane opinii są przechowywane na serwerze Strony zlokalizowanym w Niemczech; przy potwierdzaniu za pośrednictwem Telegrama identyfikator czatu jest przekazywany Telegramowi zgodnie z sekcją 6 niniejszego Uzupełnienia.

2. Terminy i postanowienia ogólne

2.1. Terminy „dane osobowe”, „przetwarzanie”, „rozpowszechnianie”, „przekazywanie transgraniczne” i „zniszczenie” są używane w znaczeniach określonych w ustawie 152-FZ.

2.2. Niniejsze Uzupełnienie reguluje przetwarzanie następujących kategorii danych związanych z funkcją opinii:

• dane podane przez autora opinii: imię (lub pseudonim), tytuł opinii, treść opinii, ocena, język strony; obraz powiązany z opinią, jeśli administrator doda go do karty opinii;
• identyfikator techniczny utworzony na podstawie Telegram ID (HMAC-SHA-256) — w celu zapobiegania ponownemu przesyłaniu opinii;
• adres IP i jego skrót (SHA-256), a także licznik żądań — w celu ograniczania częstotliwości wysyłek i zapobiegania nadużyciom.

2.3. W ramach funkcji opinii Administrator nie przetwarza szczególnych kategorii danych osobowych ani danych biometrycznych. Autor opinii nie powinien podawać takich danych w treści opinii; Administrator może usunąć opinię, która je zawiera, bez odrębnego powiadomienia.

3. Cele i podstawy prawne przetwarzania

3.1. Zbieranie, utrwalanie, weryfikacja, potwierdzanie i publikacja opinii. Celem jest przyjmowanie opinii, potwierdzenie autorstwa za pośrednictwem bota Telegram, weryfikacja przez administratora oraz publikacja zatwierdzonej opinii. Podstawą prawną jest zgoda autora na przetwarzanie i publikację danych osobowych, wyrażona przez zaznaczenie odrębnego, obowiązkowego pola w formularzu (art. 6 ust. 1 pkt 1 i art. 10.1 ustawy 152-FZ).

3.2. Publikacja (rozpowszechnianie) zatwierdzonej opinii oznacza udostępnienie nieograniczonemu kręgowi osób danych wskazanych w pkt 3.1 na Stronie i jest możliwa wyłącznie po potwierdzeniu opinii i zatwierdzeniu jej przez administratora.

3.3. Zapobieganie ponownemu przesyłaniu opinii. Celem jest ograniczenie możliwości przesyłania przez tego samego użytkownika Telegram kolejnych opinii. Podstawą prawną jest zgoda autora (pkt 3.1), a w zakresie przechowywania HMAC po usunięciu opinii — prawnie uzasadniony interes Administratora polegający na zapobieganiu nadużyciom (art. 6 ust. 1 pkt 7 ustawy 152-FZ), pod warunkiem że interes ten nie narusza praw i wolności osoby, której dane dotyczą. Jeśli Administrator uzna, że nie może oprzeć się na prawnie uzasadnionym interesie, przechowywanie HMAC po usunięciu opinii odbywa się na podstawie zgody wyrażonej przy wysłaniu formularza.

3.4. Ograniczanie częstotliwości wysyłek. Celem jest ochrona Strony przed zautomatyzowanymi wysyłkami i nadużyciami. Podstawą prawną jest prawnie uzasadniony interes Administratora w zapewnieniu bezpieczeństwa Strony i zapobieganiu nadużyciom (art. 6 ust. 1 pkt 7 ustawy 152-FZ). Przetwarzanie adresu IP i jego skrótu w tych celach jest ograniczone do minimalnego niezbędnego zakresu i okresu (sekcja 5).

4. Zakres przetwarzanych danych

4.1. W ramach funkcji opinii Administrator przetwarza:

4.2. Telegram ID nie jest przechowywany w bazie opinii w postaci jawnej. Serwer tworzy na jego podstawie HMAC-SHA-256 i zapisuje wyłącznie tę wartość. HMAC-SHA-256 jest nieodwracalnym, ale deterministycznym przekształceniem; w połączeniu z danymi dostępnymi Administratorowi jest traktowany jako identyfikator pseudonimizowany i przetwarzany zgodnie z wymogami ustawy 152-FZ.

4.3. Ograniczanie częstotliwości wysyłek. Aplikacja oblicza skrót SHA-256 adresu IP w celu ograniczania częstotliwości wysyłek. Funkcja opinii nie zapisuje surowego adresu IP; skrót i licznik żądań znajdują się w pamięci procesu i nie są zapisywane w bazie danych.

5. Okresy przechowywania i zasady usuwania

5.1. Okresy są liczone od chwili wysłania opinii przez autora.

5.2. Uzasadnienie 365-dniowego okresu przechowywania HMAC. Przechowywanie HMAC przez 365 dni od wysłania opinii (również po usunięciu samej opinii) jest niezbędne, aby zapobiegać ponownemu przesyłaniu opinii przez rozsądny okres. Jeśli opinia zostanie usunięta wcześniej, HMAC jest przechowywany do upływu 365 dni od jej wysłania, ponieważ nie istnieje inny mechanizm pozwalający osiągnąć ten sam cel bez przechowywania identyfikatora pseudonimizowanego albo jego zastosowanie wiązałoby się z nieproporcjonalnymi kosztami. Po upływie 365 dni HMAC traci znaczenie funkcjonalne dla wskazanego celu.

5.3. Po wycofaniu zgody na przetwarzanie danych osobowych Administrator zaprzestaje przetwarzania i usuwa dane w terminie nieprzekraczającym 30 dni od otrzymania wycofania, z wyjątkiem przypadków, w których przechowywanie jest wymagane przez prawo albo dane są niezbędne do wykonania zobowiązań Administratora. Jeśli opinia została już opublikowana, wycofanie zgody na rozpowszechnianie powoduje zakończenie publikacji (usunięcie opinii ze strony ogólnodostępnej) w tym samym terminie.

5.4. Usunięcie danych jest dokumentowane protokołem lub innym dokumentem zgodnie z wewnętrznymi procedurami Administratora. Osoba, której dane dotyczą, może zażądać potwierdzenia usunięcia w trybie określonym w sekcji 8.

6. Przekazywanie danych do Telegrama za granicę

6.1. Potwierdzenie opinii odbywa się za pośrednictwem bota Telegram. Telegram jest zagraniczną usługą i nie jest podmiotem przetwarzającym działającym na polecenie Administratora. W związku z korzystaniem z Telegrama Administrator przekazuje mu minimalny niezbędny zakres danych: identyfikator użytkownika Telegram (chat_id) oraz, jeśli jest to technicznie konieczne do potwierdzenia, komunikat systemowy niezawierający treści opinii. Treść opinii, imię autora i ocena nie są przekazywane do Telegrama, chyba że wynika to bezpośrednio z rozwiązania technicznego; Administrator zapewnia, że dane te nie są przekazywane Telegramowi, z wyjątkiem przypadków, gdy jest to konieczne wyłącznie do dostarczenia autorowi systemowego komunikatu potwierdzającego.

6.2. W związku z korzystaniem z Telegrama dane mogą być przekazywane poza kraj, w którym znajduje się Strona, i przetwarzane przez Telegram zgodnie z jego zasadami.

6.3. Podstawą prawną przekazywania danych do Telegrama za granicę jest zgoda osoby, której dane dotyczą, wyrażona przy wysłaniu opinii i potwierdzeniu jej za pośrednictwem Telegrama, a także konieczność wykonania umowy z tą osobą (udostępnienie funkcji potwierdzania opinii). Osoba, której dane dotyczą, może odmówić potwierdzenia za pośrednictwem Telegrama; w takim przypadku opinii nie można potwierdzić i podlega ona usunięciu zgodnie z pkt 5.1.

6.4. Administrator nie kontroluje przetwarzania danych przez Telegram. Do potwierdzania opinii używany jest Telegram; alternatywna metoda potwierdzenia nie jest dostępna.

7. Zgoda na przetwarzanie i publikację opinii

7.1. Publikacja opinii (imienia lub pseudonimu, tytułu, treści, oceny oraz obrazu, jeśli zostanie dodany do karty opinii) stanowi rozpowszechnianie danych osobowych (art. 3 pkt 5 ustawy 152-FZ). Aby wysłać opinię, autor musi zaznaczyć odrębne obowiązkowe pole potwierdzające zgodę na przetwarzanie i publikację tych danych (art. 6 ust. 1 pkt 1 i art. 10.1 ustawy 152-FZ). Pole nie jest zaznaczone domyślnie.

7.2. Przed wysłaniem formularza autor musi zaznaczyć obowiązkowe pole zgody na przetwarzanie i publikację na Stronie imienia (lub pseudonimu), tytułu, treści i oceny opinii po jej potwierdzeniu w Telegramie i zatwierdzeniu przez administratora, a także powiązanego z nią obrazu, jeśli administrator doda go do karty opinii na Stronie. Zgoda obejmuje również przetwarzanie języka strony i identyfikatora Telegram w celu potwierdzenia opinii i zapobiegania powielaniu opinii. W bazie opinii zapisywany jest skrót HMAC-SHA-256 identyfikatora Telegram; sam identyfikator nie jest tam przechowywany w postaci jawnej. Informacje o Administratorze, celach przetwarzania, okresach przechowywania i prawach autora podano w niniejszym Uzupełnieniu oraz Polityce prywatności; obok pola zgody znajduje się link do Polityki.

7.3. Po wysłaniu formularza autor potwierdza opinię za pośrednictwem Telegrama. Nawet po potwierdzeniu opinia nie staje się automatycznie publicznie dostępna: jej publikacja jest możliwa wyłącznie po zatwierdzeniu przez administratora. Do czasu zatwierdzenia opinia jest przechowywana w trybie niepublicznym przez okres wskazany w pkt 5.1, po czym zostaje usunięta.

7.4. Autor może w dowolnym momencie wycofać zgodę na przetwarzanie i publikację, kontaktując się pod adresem wskazanym w sekcji 1. Administrator zaprzestaje publikacji (usuwa opinię ze strony ogólnodostępnej) i usuwa dane w terminie określonym w pkt 5.3, o ile prawo nie stanowi inaczej.

8. Prawa osoby, której dane dotyczą, i sposób ich realizacji

8.1. Osoba, której dane dotyczą, ma prawa przewidziane w ustawie 152-FZ, w tym prawo do uzyskania informacji o przetwarzaniu danych osobowych; żądania ich sprostowania, zablokowania lub usunięcia, jeśli są niekompletne, nieaktualne, nieprawidłowe lub przetwarzane niezgodnie z prawem; wycofania zgody; sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie; złożenia skargi na działania Administratora do Roskomnadzoru lub sądu.

8.2. Wnioski należy przesyłać na adres e-mail wskazany w sekcji 1. Administrator rozpatruje je w terminie nieprzekraczającym 10 dni roboczych od otrzymania, z możliwością przedłużenia o nie więcej niż 5 dni roboczych po przekazaniu osobie, której dane dotyczą, uzasadnionego powiadomienia.

8.3. Po wycofaniu zgody na przetwarzanie (w tym zgody na rozpowszechnianie) Administrator zaprzestaje przetwarzania i usuwa dane w terminie określonym w pkt 5.3, z wyjątkiem przypadków, gdy ich przechowywanie jest wymagane przez prawo.

9. Środki ochrony

9.1. Administrator stosuje środki prawne, organizacyjne i techniczne w celu ochrony danych osobowych przed nieuprawnionym dostępem, zniszczeniem, zmianą, zablokowaniem, kopiowaniem, udostępnieniem, rozpowszechnianiem i innymi nieuprawnionymi działaniami, zgodnie z art. 19 ustawy 152-FZ.

9.2. W szczególności: dostęp do danych mają wyłącznie upoważnione osoby; dane są przesyłane między formularzem a serwerem przez bezpieczne połączenie; HMAC i skróty adresów IP nie są przechowywane w jawnej postaci; dzienniki dostępu są monitorowane; przy przetwarzaniu przez Telegram przekazywany jest minimalny niezbędny zakres danych.

10. Postanowienia końcowe

10.1. Niniejsze Uzupełnienie wchodzi w życie z dniem opublikowania na Stronie i obowiązuje do czasu zastąpienia go nową redakcją.

10.2. Administrator może zmieniać niniejsze Uzupełnienie. Nowa redakcja jest publikowana na Stronie z podaniem daty wejścia w życie. Jeśli zmiany dotyczą podstawy prawnej przetwarzania lub zakresu praw osób, których dane dotyczą, Administrator powiadamia te osoby w dostępny sposób (na przykład przez opublikowanie powiadomienia na Stronie) przed wejściem zmian w życie.

10.3. Kwestie nieuregulowane w niniejszym Uzupełnieniu podlegają głównej Polityce prywatności i prawu Federacji Rosyjskiej.

Data publikacji: 21 października 2026 r. Poprzednia redakcja: Polityka prywatności, redakcja 1.2 z dnia 21 października 2026 r.