Polityka prywatności Becaly
Wersja: 2026-10-18.1 · Obowiązuje od: 18 października 2026
Uzupełnienie informacji o zabezpieczeniach: 2026-10-30. Opisuje stosowane środki ochrony i nie zmienia celów ani zakresu przetwarzania danych.
Ta polityka wyjaśnia, jakie dane osobowe przetwarzamy w Becaly, w jakim celu, komu je przekazujemy, jak długo je przechowujemy i jakie prawa Ci przysługują. Opisuje też, jak korzystamy z danych z kont Google połączonych przez organizatorów.
1. Administrator danych
Administratorem danych osobowych użytkowników Becaly jest MAGIC PILL LTD (company number 10564352), 3 Hesketh Road, Preston, PR2 6NS, United Kingdom. W sprawach prywatności piszesz na kontakt@becaly.com. Dane gości rezerwacji i uczestników wydarzeń, które organizator zbiera przez Becaly, przetwarzamy w imieniu organizatora i na jego polecenie, w celu świadczenia usługi. W tym zakresie organizator decyduje o celach i odpowiada za informowanie swoich gości. Nie wyznaczyliśmy inspektora ochrony danych.
2. Jakie dane przetwarzamy
W zależności od używanych funkcji przetwarzamy: imię, adres e-mail i skrót hasła, język konta, role i członkostwo w przestrzeni, treść wydarzeń, dane zaproszeń, adres i opis strony profilu, sesje i tokeny bezpieczeństwa, techniczne informacje o użyciu linków i pobraniu kalendarza, dane rezerwacji opisane w punkcie 11 oraz dane z połączonego konta Google opisane w punkcie 12. Uczestnik otwierający link może przekazać techniczne dane żądania, takie jak adres IP i typ przeglądarki. Nie wpisuj danych szczególnych kategorii, jeśli funkcja ich nie wymaga.
3. Cele i podstawy prawne
Dane konta, przestrzeni, wydarzeń i rezerwacji przetwarzamy, aby zarejestrować konto, uwierzytelniać użytkowników i świadczyć funkcje Becaly, czyli w celu wykonania umowy (art. 6 ust. 1 lit. b RODO). Dane potrzebne do bezpieczeństwa, ograniczania nadużyć i ochrony kont przetwarzamy na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Część danych możemy przechowywać, gdy wymagają tego przepisy (art. 6 ust. 1 lit. c RODO). Nie używamy danych do reklam ani profilowania marketingowego.
4. E-mail i uczestnicy
Adres e-mail służy do weryfikacji konta, zaproszeń, odzyskiwania dostępu oraz wiadomości o rezerwacjach. Organizator może wprowadzić dane uczestników lub udostępnić link wydarzenia. Organizator odpowiada za to, by miał prawo przekazać te dane do Becaly i by poinformował osoby, których dane dotyczą.
5. Odbiorcy danych
Dane przekazujemy wyłącznie w zakresie potrzebnym do działania usługi. Korzystamy z tych podmiotów przetwarzających: Hostinger International Ltd., 61 Lordou Vyronos, 6023 Larnaka, Cypr, który dostarcza serwer w centrum danych w Wilnie na Litwie, gdzie działają aplikacja, baza danych, kopie zapasowe i serwer poczty wysyłający wiadomości Becaly (nie korzystamy z zewnętrznego dostawcy poczty); Google LLC i Google Ireland Limited w zakresie kalendarza Google i Google Meet połączonych przez organizatora, a za Twoją zgodą także Google Tag Manager, Google Analytics i narzędzi reklamowych opisanych w punkcie 14; Microsoft Ireland Operations Limited w zakresie Microsoft Clarity, za Twoją zgodą. Kopie zapasowe bazy przechowujemy też na zaszyfrowanym komputerze administratora w Polsce. Dane otrzymują również osoby, którym organizator udostępni treść wydarzenia, link lub stronę profilu. Gdy uczestnik dodaje link subskrypcji do Google Calendar, Apple Calendar, Microsoft Outlook lub innej usługi, ta usługa pobiera zawartość linku na własnych zasadach. Google i Microsoft mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, w tym w USA; odbywa się to na podstawie standardowych klauzul umownych oraz EU-US Data Privacy Framework. Nie sprzedajemy danych.
6. Jak długo przechowujemy dane
Dane konta i przestrzeni przechowujemy przez czas korzystania z usługi i usuwamy po zamknięciu konta na prośbę przesłaną na kontakt@becaly.com, chyba że przepisy wymagają ich dłuższego przechowania. Rekord rezerwacji pozostaje w bazie, dopóki organizator nie usunie go po zakończeniu lub anulowaniu spotkania. Tokeny połączenia z Google usuwamy w chwili odłączenia konta Google. Kopie zapasowe bazy wykonywane automatycznie, zarówno na serwerze, jak i na komputerze administratora, są usuwane po 14 dniach, więc usunięte dane znikają z nich najpóźniej po tym czasie. Adres IP używany do ograniczania liczby prób jest przechowywany tylko w pamięci serwera, najdłużej przez 15 minut, i nie trafia do bazy.
7. Twoje prawa
Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Wniosek wyślij na kontakt@becaly.com; odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Jeśli jesteś gościem rezerwacji lub uczestnikiem wydarzenia, możesz zwrócić się także do organizatora. Przysługuje Ci skarga do organu nadzorczego, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych, a w Wielkiej Brytanii do Information Commissioner's Office.
8. Pliki cookie i pamięć urządzenia
Niezbędne pliki cookie: bcal_session utrzymuje logowanie przez 12 godzin albo przez 30 dni po zaznaczeniu „Zapamiętaj mnie”, a bcal_visitor przez 365 dni pozwala ponownie użyć tego samego linku subskrypcji wydarzenia na danym urządzeniu. Wybrany język oraz Twój wybór dotyczący zgody na pliki cookie (wpis becaly.consent, przez 12 miesięcy) zapisujemy w pamięci przeglądarki. Rezerwacja spotkania, także w kalendarzu osadzonym na stronie organizatora, nie wymaga plików cookie. Pliki cookie analityczne i reklamowe (Google oraz Microsoft Clarity) zapisujemy wyłącznie na publicznych stronach Becaly i tylko po Twojej zgodzie, zgodnie z punktem 14.
9. Automatyczne decyzje i dzieci
Becaly nie podejmuje decyzji wywołujących wobec Ciebie skutki prawne wyłącznie w sposób automatyczny. Konta organizatorów są przeznaczone dla osób pełnoletnich. Nie zbieramy świadomie danych dzieci; jeśli takie dane trafiły do Becaly, napisz na kontakt@becaly.com, a usuniemy je.
10. Zmiany i kontakt
Zgłoszenia i pytania wysyłaj na kontakt@becaly.com. Zgłoszenie powinno umożliwiać ustalenie konta lub rezerwacji, której dotyczy; możemy poprosić o proporcjonalne potwierdzenie tożsamości. Nie przesyłaj haseł ani tokenów kalendarza. Aktualna wersja polityki i data jej obowiązywania są podane na początku dokumentu. O istotnych zmianach informujemy na tej stronie, a użytkowników kont także e-mailem.
11. Dane rezerwacji i powiadomienia
Rezerwacje obejmują imię i nazwisko oraz e-mail gościa, a jeśli organizator włączy te pola, także numer telefonu i notatkę gościa. Zapisujemy też język i strefę czasową gościa i organizatora, wybrany termin, formę spotkania i link do rozmowy, historię zmian, wersje zaakceptowanych dokumentów, statusy operacji i wiadomości oraz źródło rezerwacji: parametry kampanii (UTM) z linku i informację, czy rezerwacja pochodzi z kalendarza osadzonego na stronie. Źródła nie łączymy z innymi danymi o zachowaniu gościa. Dane gościa, w tym telefon i notatka, widzi organizator w panelu, eksporcie, wiadomości do organizatora i opisie wydarzenia w swoim kalendarzu Google. Organizator może dodać do rezerwacji prywatną notatkę, która nie trafia do gościa, wiadomości, zaproszenia ani wpisu w kalendarzu. Linki weryfikacji i zarządzania są poufne; nie należy ich przekazywać dalej. Usunięcie rekordu w Becaly nie usuwa już dostarczonych wiadomości ani wydarzeń zapisanych u zewnętrznego dostawcy.
12. Dane z kont Google
Organizator może dobrowolnie połączyć z Becaly swoje konto Google, aby używać rezerwacji spotkań. Becaly prosi wtedy o trzy uprawnienia Google Calendar: calendar.calendarlist.readonly, żeby pokazać listę kalendarzy do wyboru kalendarza docelowego i kalendarzy zajętości; calendar.events.freebusy, żeby odczytać wyłącznie przedziały zajętości wybranych kalendarzy, bez tytułów, opisów i uczestników innych wydarzeń; calendar.events, żeby w wybranym kalendarzu docelowym tworzyć, zmieniać i usuwać wyłącznie wydarzenia rezerwacji Becaly oraz tworzyć dla nich konferencje Google Meet. Przy zmianie terminu Becaly odczytuje w kalendarzu docelowym tylko minimalne dane innych wydarzeń: identyfikator, status, zajętość, początek i koniec.
Jak używamy i przechowujemy dane Google
Dane z Google wykorzystujemy wyłącznie do funkcji rezerwacji widocznych dla organizatora i jego gości: sprawdzania dostępności, zapisu spotkań w kalendarzu i tworzenia linków Google Meet. Na naszym serwerze przechowujemy zaszyfrowane tokeny dostępu, adres e-mail połączonego konta Google, identyfikatory i nazwy wybranych kalendarzy oraz identyfikatory i wersje wydarzeń utworzonych przez Becaly. Nie przechowujemy treści innych wydarzeń z kalendarza. Danych z Google nie sprzedajemy, nie używamy do reklam, nie przekazujemy innym podmiotom poza przetwarzaniem niezbędnym do działania usługi i nie używamy do trenowania modeli sztucznej inteligencji ani uczenia maszynowego. Ludzie nie czytają tych danych, chyba że użytkownik wyraźnie się na to zgodzi, jest to potrzebne ze względów bezpieczeństwa lub wymagają tego przepisy.
Ochrona danych Google i innych danych wrażliwych
Stosujemy techniczne środki ochrony poufności danych użytkowników Google oraz innych danych osobowych przetwarzanych w Becaly. Obejmują one szyfrowanie połączeń, szyfrowanie zapisanych tokenów Google, kontrolę dostępu do kont i danych oraz ograniczenie dostępu do plików serwera i kopii zapasowych. Zabezpieczenia te służą ochronie przed nieuprawnionym dostępem, ujawnieniem i zmianą danych.
Szyfrowanie połączeń i tokenów
Połączenia przeglądarki z publiczną usługą Becaly oraz połączenia Becaly z interfejsami Google są szyfrowane przy użyciu HTTPS/TLS. Tokeny dostępu i tokeny odświeżania Google OAuth zapisujemy w bazie w postaci zaszyfrowanej algorytmem AES-256-GCM. Klucz szyfrujący znajduje się w oddzielnym pliku serwera z ograniczonym dostępem, a nie w bazie danych. Tokenów Google nie udostępniamy przez osobiste API Becaly. Hasła kont Becaly przechowujemy jako skróty kryptograficzne z indywidualną solą, przy użyciu scrypt, a nie jako jawny tekst.
Kontrola dostępu i kopie zapasowe
Dostęp do panelu i operacji API wymaga uwierzytelnienia oraz odpowiednich uprawnień. Becaly sprawdza przynależność użytkownika do przestrzeni i jego rolę; połączenia Google oraz dane konsultacji są dodatkowo przypisane do organizatora. Ograniczamy liczbę prób logowania i żądań API. Baza danych, pliki z kluczami i kopie zapasowe na serwerze nie są publicznie dostępne przez stronę WWW; uprawnienia systemowe ograniczają dostęp do nich do konta usługi i administratorów wykonujących czynności techniczne. Kopie zapasowe służą odtworzeniu danych po awarii i podlegają okresom przechowywania opisanym w tej polityce. Szyfrowanie tokenów Google nie oznacza szyfrowania całej bazy danych; pozostałe dane w bazie chronimy kontrolą dostępu do aplikacji i serwera.
Odłączenie i usunięcie danych Google
Konto Google można w każdej chwili odłączyć w panelu Becaly (Rezerwacje, Odłącz konto Google); usuwamy wtedy tokeny i wybory kalendarzy. Dostęp można też odwołać na stronie https://myaccount.google.com/permissions. Odłączenie nie usuwa wydarzeń już zapisanych w kalendarzu. O usunięcie pozostałych danych związanych z kontem Google poproś na kontakt@becaly.com.
Zgodność z zasadami Google API
Wykorzystywanie i przekazywanie przez Becaly do innych aplikacji informacji otrzymanych z interfejsów API Google jest zgodne z Google API Services User Data Policy, w tym z wymaganiami Limited Use: https://developers.google.com/terms/api-services-user-data-policy. Becaly's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
13. Strona profilu i osadzanie
Na stronie profilu widoczne są nazwa przestrzeni, opis profilu i opublikowane typy spotkań, które organizator pokazuje na profilu. Kalendarz osadzony na stronie organizatora jest wyświetlany przez Becaly w ramce. Becaly przekazuje stronie organizatora tylko wysokość ramki i informację o stanie rezerwacji, bez danych gościa. Za stronę, na której osadzono kalendarz, w tym jej pliki cookie i narzędzia analityczne, odpowiada jej właściciel.
14. Narzędzia analityczne i marketingowe
Na publicznych stronach Becaly (strona główna, dziennik zmian, dokumenty prawne oraz strony profilu, rezerwacji i wydarzeń) używamy Google Tag Manager, który za Twoją zgodą uruchamia Google Analytics oraz narzędzia reklamowe Google służące do pomiaru konwersji i dopasowania reklam. Nie ładujemy tych narzędzi w panelu, na stronach logowania i rejestracji, w linkach z tokenami (potwierdzenie i zarządzanie rezerwacją, reset hasła, zaproszenia) ani w kalendarzu osadzonym na stronie organizatora. Stosujemy tryb zgody Google (Consent Mode): dopóki nie wyrazisz zgody, pliki cookie analityczne i reklamowe nie są zapisywane. Zgodę na analitykę i na marketing wyrażasz osobno w banerze. Podstawą przetwarzania jest Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą możesz w każdej chwili wycofać w „Ustawieniach cookies” w stopce strony, bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Twój wybór pamiętamy przez 12 miesięcy, potem zapytamy ponownie. Narzędzia dostarcza Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Dane mogą być przekazywane do Google LLC w USA na podstawie standardowych klauzul umownych oraz EU-US Data Privacy Framework. Google może przetwarzać adres IP, identyfikatory urządzenia i plików cookie, odwiedzone adresy stron oraz parametry kampanii (UTM). Do tych narzędzi nie przekazujemy danych z formularzy: imienia, adresu e-mail, telefonu, notatek ani tokenów. Zasady Google: https://policies.google.com/privacy.
Microsoft Clarity
Za Twoją zgodą na analitykę Google Tag Manager uruchamia też Microsoft Clarity, narzędzie dostarczane przez Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlandia. Clarity tworzy mapy cieplne i nagrania sesji, czyli zapis ruchu myszy, przewijania i kliknięć, które pomagają nam poprawiać czytelność i wygodę stron. Działa tylko na tych samych publicznych stronach co Google Analytics i tylko po zgodzie na analitykę. Pola formularzy i dane osobowe, w tym imię, adres e-mail, telefon i notatka gościa, są w nagraniach maskowane w przeglądarce i nie trafiają do Microsoft. Clarity zapisuje pliki cookie _clck i _clsk z pseudonimowym identyfikatorem użytkownika i sesji, a Microsoft może używać także własnych plików cookie w domenach Microsoft. Nagrania są przechowywane zgodnie z ustawieniami Clarity, standardowo do 30 dni; nagrania oznaczone przez nas, losowa próbka nagrań oraz mapy cieplne są dostępne do 9 miesięcy. Podstawą przetwarzania jest Twoja zgoda, którą możesz w każdej chwili wycofać w „Ustawieniach cookies” w stopce strony. Dane mogą być przekazywane do Microsoft Corporation w USA na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych. Oświadczenie Microsoft o ochronie prywatności: https://privacy.microsoft.com/privacystatement.