1. Niniejsza Polityka Prywatności (dalej: „Polityka") określa zasady przetwarzania danych osobowych Użytkowników serwisu internetowego autoxxl.pl (dalej: „Serwis") w związku z korzystaniem z jego funkcji.

2. Administratorem danych osobowych Użytkowników Serwisu jest Krzysztof Krasowski, prowadzący działalność nierejestrowana zgodnie z art. 5 ust. 1 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców, adres do korespondencji: ul. Przytulna 5, 83-331 Przyjaźń, adres elektroniczny: kontakt@autoxxl.pl (dalej: „Administrator").

3. Kontakt w sprawach ochrony danych osobowych możliwy jest:

   a) za pośrednictwem poczty elektronicznej: kontakt@autoxxl.pl;

   b) poprzez formularz pomocy dostępny w panelu użytkownika;

   c) pocztowo na adres wskazany w ust. 2.

4. Administrator przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: „RODO") oraz przepisami krajowymi.

5. Administrator nie wyznaczył Inspektora Ochrony Danych - kontakt w sprawach ochrony danych następuje bezpośrednio z Administratorem zgodnie z ust. 3 (zgodnie z art. 37 RODO wyznaczenie IOD nie jest obowiązkowe dla podmiotów o takim profilu i skali działalności).

---

Administrator przetwarza następujące kategorie danych osobowych:

2.1 Dane podawane podczas rejestracji Konta

• Imię (pole obowiązkowe);
• Adres e-mail (pole obowiązkowe, wykorzystywany do logowania, kontaktu i weryfikacji konta);
• Hasło - przechowywane wyłącznie w formie zaszyfrowanego skrótu (bcrypt), niemożliwego do odczytania przez Administratora.

2.2 Dane uzupełniające Konta

• Numer telefonu (opcjonalny, w formie zaszyfrowanej - klucz szyfrujący poza serwerem produkcyjnym);
• Zdjęcie profilowe (avatar - z konta Google lub przesłane przez Użytkownika);
• Preferencje języka (domyślnie polski).

2.3 Dane Dealera (jeżeli Użytkownik założył Konto Dealer)

• Pełne dane firmy: nazwa, NIP, REGON, adres rejestracyjny;
• Dane kontaktowe firmy.

2.4 Dane techniczne (zbierane automatycznie)

• Adres IP Użytkownika (przy rejestracji, logowaniu, dodawaniu Ogłoszeń). W bazie aplikacyjnej Serwisu przechowywane są wyłącznie skróty kryptograficzne adresów IP (SHA-256 z soleniem) uniemożliwiające identyfikację bez znajomości klucza. Pełne adresy IP mogą być tymczasowo widoczne w logach systemowych dostawców infrastruktury (CDN, serwer hostingowy) i są usuwane zgodnie z polityką retention tych dostawców;
• User-agent (typ przeglądarki, system operacyjny);
• Logi serwera (data, godzina, kod odpowiedzi HTTP);
• Data ostatniego logowania, data ostatniej aktywności, data ostatniej aktywności administracyjnej (dla Kont uprzywilejowanych).

2.5 Treści publikowane przez Użytkownika

• Ogłoszenia (tytuł, opis, parametry techniczne, cena, lokalizacja);
• Zdjęcia pojazdów;
• Numer VIN pojazdu (w formie zaszyfrowanej);
• Wiadomości w czacie między Użytkownikami;
• Załączniki do wiadomości (PDF, zdjęcia).

2.6 Dane Google OAuth (jeżeli Użytkownik korzysta z logowania przez Google)

Przy logowaniu przez Google Administrator otrzymuje od Google następujące dane:

• Adres e-mail użytkownika;
• Imię i nazwisko (jeżeli Użytkownik zezwolił na ich udostępnienie);
• Zdjęcie profilowe (jeżeli udostępnione);
• Unikalny identyfikator Google (sub) - służy do identyfikacji konta;
• Tokeny OAuth (access_token, id_token) - przechowywane wyłącznie w celu identyfikacji użytkownika. Administrator nie przechowuje refresh_token ani nie wykonuje wywołań do API Google poza procesem logowania. W przypadku odłączenia konta Google lub jego usunięcia tokeny są nieodwracalnie usuwane.

Google LLC działa jako odrębny administrator danych w zakresie procesu uwierzytelnienia. Polityka prywatności Google: policies.google.com/privacy. Użytkownik może odłączyć konto Google w ustawieniach swojego Konta w Serwisie - dane otrzymane od Google zostaną usunięte (poza danymi koniecznymi dla obowiązków podatkowych i roszczeniowych).

2.7 Dane płatnicze

Administrator NIE przetwarza danych kart płatniczych. Wszystkie płatności obsługiwane są przez Stripe Payments Europe Ltd. (Dublin, Irlandia), który działa jako odrębny administrator danych płatniczych.

Administrator otrzymuje od Stripe wyłącznie:

• Identyfikator transakcji Stripe;
• Identyfikator klienta Stripe (Stripe customer ID, jeżeli zachowany dla przyszłych płatności);
• Status płatności (succeeded, pending, failed);
• Kwotę i walutę transakcji;
• Metadane transakcji (powiązanie z konkretnym Użytkownikiem i Promocja).

Polityka prywatności Stripe: stripe.com/en-pl/privacy.

2.8 Dane analityczne i statystyczne

• Liczba odsłon Ogłoszeń (w formie pseudonimizowanej, dedup po skrócie IP w określonym oknie czasowym);
• Liczba kliknięć w numer telefonu (w formie pseudonimizowanej);
• Statystyki promocji (skuteczność, czas trwania);
• Statystyki zachowań (ulubione, alerty wyszukiwania).

2.9 Dane newslettera (jeżeli Użytkownik zapisał się)

• Adres e-mail;
• Data zapisu;
• Status subskrypcji (aktywna, anulowana);
• Historia wysyłek (czas, status: dostarczone, otwarte, błędne).

---

Cel przetwarzania	Podstawa prawna	Okres przechowywania
Świadczenie usług Serwisu (Konto, publikacja Ogłoszeń, komunikacja)	Art. 6 ust. 1 lit. b RODO - umowa	Przez czas posiadania Konta + 12 miesięcy po jego usunięciu
Realizacja płatności za Promocje	Art. 6 ust. 1 lit. b RODO - umowa	5 lat (obowiązki podatkowe)
Wystawianie rachunków	Art. 6 ust. 1 lit. c RODO - obowiązek prawny	5 lat
Marketing własny i newsletter	Art. 6 ust. 1 lit. a RODO - zgoda	Do cofnięcia zgody
Statystyki i analityka Serwisu	Art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (rozwój Serwisu)	Maksymalnie 24 miesiące
Moderacja treści, zapobieganie oszustwom	Art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes (bezpieczeństwo)	Przez czas posiadania Konta + 12 miesięcy
Obrona przed roszczeniami i dochodzenie roszczeń	Art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes	Do upływu terminów przedawnienia (do 6 lat)
Wykonanie obowiązków prawnych (zadania organów ścigania, sadów)	Art. 6 ust. 1 lit. c RODO - obowiązek prawny	Zgodnie z przepisami
Audyt i log bezpieczeństwa (audit_logs)	Art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes	12 miesięcy

---

Administrator korzysta z usług następujących podmiotów przetwarzających dane na jego zlecenie:

4.1 Hosting i infrastruktura

• OVH SAS (Francja, EOG) - hosting serwera VPS, na którym uruchomiony jest Serwis. Wszystkie dane przechowywane są na terenie Unii Europejskiej. ovh.com/world/privacy-policy

• Cloudflare, Inc. (USA) - dostawca CDN i pamięci masowej dla zdjęć (R2 Storage). Cloudflare uczestniczy w programie Data Privacy Framework (DPF) zatwierdzonym przez Komisje Europejska, gwarantującym poziom ochrony danych odpowiadający standardom EOG. cloudflare.com/privacypolicy

4.2 Płatności

• Stripe Payments Europe Ltd. (Dublin, Irlandia, EOG) - operator płatności. Stripe działa również jako odrębny administrator w zakresie danych płatniczych. stripe.com/en-pl/privacy

4.3 Email i komunikacja

• Resend, Inc. (USA) - dostawca usługi wysyłki wiadomości e-mail (potwierdzenia rejestracji, reset hasła, newsletter, powiadomienia). Resend uczestniczy w programie DPF. resend.com/legal/privacy-policy

4.4 Logowanie zewnętrzne

• Google LLC (USA, oddział w UE) - dostawca usługi logowania OAuth. Google działa jako odrębny administrator w zakresie tej usługi. policies.google.com/privacy

4.5 Inne kategorie

Administrator może przekazać dane:

• Organom państwowym (sądy, prokuratura, policja, ZUS, Urząd Skarbowy) - wyłącznie na podstawie ważnego nakazu, postanowienia lub zadania;
• Doradcom prawnym, podatkowym, księgowym - w razie potrzeby uzyskania porady (zwykle anonimizowanych lub minimalizowanych);
• Nabywcy działalności - w przypadku przyszłej cesji działalności Administratora na osobę trzecia (informacja z 14-dniowym wyprzedzeniem).

4.6 Transfer poza EOG

Wszystkie dane przetwarzane są na serwerach w Unii Europejskiej (OVH France).

Niektóre podmioty przetwarzające (Cloudflare, Resend, Google) maja siedzibę w USA, lecz uczestniczą w programie Data Privacy Framework (DPF), który został uznany przez decyzje wykonawcza Komisji Europejskiej (UE) 2023/1795 z dnia 10 lipca 2023 r. za zapewniający odpowiedni stopień ochrony danych osobowych. Transfery te są zatem zgodne z art. 45 RODO.

---

Zgodnie z RODO Użytkownikowi przysługują następujące prawa:

5.1 Prawo dostępu do danych (art. 15 RODO)

Użytkownik może zażądać informacji, jakie jego dane są przetwarzane oraz otrzymać ich kopie. Cześć tych informacji jest dostępna w panelu użytkownika (Moje konto, Moje ogłoszenia).

5.2 Prawo do sprostowania (art. 16 RODO)

Użytkownik może samodzielnie poprawić swoje dane w panelu użytkownika lub zażądać sprostowania.

5.3 Prawo do usunięcia („prawo do bycia zapomnianym", art. 17 RODO)

Użytkownik może usunąć Konto z panelu użytkownika lub zażądać jego usunięcia. Usunięcie obejmuje:

• usunięcie/anonimizacje danych identyfikacyjnych;
• zakończenie aktywnych Ogłoszeń;
• usunięcie ulubionych, alertów, kontaktów.

Cześć danych może być przechowywana po usunięciu Konta w następującym zakresie:

• dane płatnicze i księgowe - 5 lat (obowiązki podatkowe);
• wiadomości z czata - 12 miesięcy (możliwość roszczeń, postępowania);
• audit_logs powiązane z działaniami administracyjnymi - 12 miesięcy.

5.4 Prawo do ograniczenia przetwarzania (art. 18 RODO)

Użytkownik może zażądać ograniczenia przetwarzania danych w sytuacjach określonych RODO.

5.5 Prawo do przenoszenia danych (art. 20 RODO)

Użytkownik może zażądać przekazania jego danych w ustrukturyzowanym, powszechnie używanym formacie (JSON, CSV) - dotyczy danych przetwarzanych na podstawie umowy lub zgody.

5.6 Prawo sprzeciwu (art. 21 RODO)

Użytkownik może sprzeciwić się przetwarzaniu opartemu na uzasadnionym interesie Administratora (lit. f). Sprzeciw zostanie rozpatrzony zgodnie z RODO.

5.7 Prawo do cofnięcia zgody

W przypadku przetwarzania na podstawie zgody (newsletter, marketing) - Użytkownik może cofnąć zgodę w każdej chwili. Cofnięcie nie wpływa na zgodność z prawem dotychczasowego przetwarzania.

5.8 Prawo wniesienia skargi do organu nadzorczego

Użytkownik ma prawo wnieść skargę do organu nadzorczego, tj. Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

5.9 Realizacja praw

Wnioski o realizacje powyższych praw można kierować:

• za pośrednictwem kontakt@autoxxl.pl;
• przez formularz pomocy w panelu użytkownika.

Administrator odpowiada na wnioski w terminie 30 dni od ich otrzymania (zgodnie z art. 12 ust. 3 RODO).

---

1. Administrator stosuje następujące zautomatyzowane mechanizmy:

   a) Wstępna moderacja Ogłoszeń - cześć Ogłoszeń może być automatycznie analizowana pod kątem zakazanych treści (filtr wulgaryzmów, weryfikacja zdjęć). Decyzje końcowe podejmuje moderator;

   b) Wstępna ocena zdjęć - automatyczna ocena zdjęć pod kątem nieodpowiednich treści (moduł NSFW);

   c) Algorytm sortowania Ogłoszeń - pozycjonowanie Ogłoszeń na liście wyników uwzględnia parametry takie jak: status Promocji, data publikacji, popularność, lokalizacja.

2. Administrator NIE prowadzi profilowania w rozumieniu art. 22 RODO prowadzącego do decyzji wywołujących skutki prawne lub w podobny istotny sposób wpływających na osobę.

3. Użytkownik ma prawo do uzyskania interwencji ludzkiej w przypadku decyzji automatycznych (zgodnie z art. 22 ust. 3 RODO) - poprzez kontakt z Administratorem.

---

Administrator stosuje następujące środki techniczne i organizacyjne ochrony danych:

1. Szyfrowanie połączenia - cała komunikacja z Serwisem odbywa się za pośrednictwem HTTPS/TLS (certyfikat Let's Encrypt zarządzany przez Caddy);

2. Szyfrowanie pol wrażliwych - numery telefonów, sekrety 2FA i numery VIN są szyfrowane przy użyciu AES-256-GCM; klucz szyfrujący jest przechowywany poza serwerem produkcyjnym;

3. Hashowanie haseł - hasła nie są nigdzie przechowywane w postaci jawnej; przechowywane są wyłącznie skróty wygenerowane algorytmem bcrypt;

4. Hashowanie adresów IP - pełne adresy IP nie są przechowywane; przechowywane są wyłącznie ich skróty SHA-256 z soleniem;

5. Weryfikacja dwuetapowa (2FA) - opcja dostępna dla wszystkich Użytkowników;

6. Zabezpieczenia antybotowe - ratę limiting, honeypot, blokady kont po nieudanych logowaniach;

7. Logi i audyt - każda istotna operacja administracyjna jest rejestrowana w audit_logs;

8. Kopie zapasowe - codzienne, zaszyfrowane kopie bazy danych (PGP) przechowywane w Cloudflare R2;

9. Aktualizacje bezpieczeństwa - systemy operacyjne i biblioteki są aktualizowane;

10. Ograniczony dostęp - dostęp do danych posiada wyłącznie Administrator oraz osoby upoważnione w zakresie niezbędnym do wykonywania obowiązków służbowych (moderatorzy maja dostęp do funkcji moderacyjnych poprzez interfejs administracyjny, bez bezpośredniego dostępu do bazy danych).

---

1. W przypadku stwierdzenia naruszenia ochrony danych osobowych (data breach), Administrator podejmie działania wymagane przez RODO, w szczególności:

   a) niezwłocznie, nie później niż w terminie 72 godzin od stwierdzenia naruszenia - zgłosi naruszenie do Prezesa Urzędu Ochrony Danych Osobowych (zgodnie z art. 33 RODO), o ile naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych;

   b) gdy naruszenie może powodować wysokie ryzyko dla praw lub wolności - poinformuje także osoby, których dane dotyczą, bez zbędnej zwłoki (zgodnie z art. 34 RODO);

   c) udokumentuje naruszenie wraz z opisem podjętych działań naprawczych (zgodnie z art. 33 ust. 5 RODO).

2. Administrator stosuje środki techniczne i organizacyjne zmniejszające ryzyko naruszeń, w szczególności opisane w § 7 powyżej. Mimo dołożenia należytej staranności Administrator nie może całkowicie wykluczyć możliwości wystąpienia incydentu - w takim przypadku priorytetem będzie minimalizacja skutków oraz transparentna komunikacja z osobami, których dane dotyczą.

---

1. Serwis wykorzystuje pliki cookies w celu zapewnienia jego prawidłowego działania.

2. Rodzaje używanych cookies:

   a) Niezbędne (techniczne) - umożliwiające działanie Serwisu, w szczególności:

   • cookie sesji uwierzytelnienia (NextAuth);
   • cookie tokenu CSRF (zabezpieczenie przed atakami);
   • cookie preferencji motywu (jasny/ciemny);
   • cookie wyboru języka.

   Te cookies są niezbędne do działania Serwisu i ich stosowanie nie wymaga zgody Użytkownika (zgodnie z art. 173 ust. 3 ustawy Prawo telekomunikacyjne).

3. Serwis NIE stosuje obecnie cookies marketingowych, śledzących ani analitycznych podmiotów trzecich (Google Analytics, Meta Pixel, Microsoft Clarity, Hotjar). W przypadku wprowadzenia takich rozwiązań w przyszłości, Użytkownicy zostaną poinformowani i zostanie wdrożony mechanizm uzyskiwania zgody (consent banner).

4. Zarządzanie cookies przez Użytkownika. Użytkownik może:

   a) usunąć istniejące cookies w ustawieniach przeglądarki;

   b) zablokować przyjmowanie cookies w ustawieniach przeglądarki;

   c) skonfigurować przeglądarkę do informowania o każdym nowym cookie.

   Zablokowanie cookies technicznych uniemożliwi korzystanie z Serwisu (logowanie, dodawanie Ogłoszeń).

5. Szczegółowe informacje o zarządzaniu cookies w popularnych przeglądarkach:

   • Chrome
   • Firefox
   • Safari
   • Edge

---

9.1 Wiadomości między Użytkownikami

Treść wiadomości w czacie nie ma charakteru poufnego w stosunku do Administratora - szczegółowe zasady określa § 5a Regulaminu Serwisu. Wiadomości przechowywane są przez czas działania Konta + 12 miesięcy po jego usunięciu.

9.2 Newsletter

• Zapis na newsletter wymaga odrębnej, wyraźnej zgody Użytkownika (oddzielne pole w trakcie rejestracji lub w panelu);
• Każda wiadomość zawiera link do natychmiastowego wypisania się;
• Administrator nie korzysta z danych subskrybentów w celach innych niż wysyłka newslettera.

9.3 Dzieci

Serwis jest przeznaczony wyłącznie dla osób pełnoletnich (ukończone 18 lat). Administrator nie przetwarza świadomie danych osób poniżej 18 lat. W przypadku wykrycia takiej sytuacji dane zostaną niezwłocznie usunięte.

9.4 Cisza danych

W przypadku braku aktywności Konta przez okres 24 miesięcy, Administrator może wysłać Użytkownikowi powiadomienie o planowanym usunięciu Konta z możliwością jego przedłużenia. Brak reakcji w ciągu 30 dni może skutkować usunięciem Konta i powiązanych danych.

---

1. Administrator zastrzega sobie prawo do zmian w niniejszej Polityce. O każdej istotnej zmianie Użytkownicy zostaną poinformowani:

   a) za pośrednictwem wiadomości e-mail;

   b) poprzez komunikat w Serwisie;

   c) co najmniej 14 dni przed wejściem zmian w życie.

2. Aktualna wersja Polityki dostępna jest pod adresem autoxxl.pl/strona/polityka-prywatności.

3. Historia zmian Polityki przechowywana jest przez Administratora do celów dowodowych.

---

1. Wszelkie pytania, uwagi lub zgłoszenia dotyczące przetwarzania danych osobowych prosimy kierować:

   a) na adres e-mail: kontakt@autoxxl.pl;

   b) poprzez formularz pomocy w panelu użytkownika;

   c) pocztowo: Krzysztof Krasowski, ul. Przytulna 5, 83-331 Przyjaźń.

2. Niniejsza Polityka wchodzi w życie z dniem 4 czerwca 2026 r.

3. Polityka stanowi uzupełnienie Regulaminu serwisu AutoXXL.pl, dostępnego pod adresem autoxxl.pl/strona/regulamin.

---

Administrator danych osobowych: Krzysztof Krasowski ul. Przytulna 5, 83-331 Przyjaźń Działalność nierejestrowana E-mail: kontakt@autoxxl.pl Serwis: autoxxl.pl