Polityka prywatności

1. Administratorem danych osobowych jest AQUAOO KAROLINA PEROŃ, ul. Pomowska 1/3, 32-250 Charsznica, NIP 659-149-17-53, REGON 380999443, prowadząca salon kosmetologiczny AQUAOO chill & beauty, ul. Racławicka 13, 32-200 Miechów (dalej: „Administrator” lub „Salon”).
2. Kontakt w sprawach danych osobowych: e-mail kontakt@aquaoo.pl, tel. +48 510 331 333, korespondencyjnie na adres salonu, a także przez formularz wniosku w § 8.
3. Administrator nie ma obowiązku wyznaczenia inspektora ochrony danych i go nie wyznaczył.

• w serwisie internetowym aquaoo.pl,
• w systemie rezerwacji online dostępnym pod adresem rezerwacje.aquaoo.pl, który działa na zewnętrznej platformie Trafft (oprogramowanie w modelu SaaS udostępniane Salonowi przez dostawcę wskazanego w § 5),
• w salonie (rezerwacje telefoniczne i osobiste, karta klientki, wywiad kosmetologiczny, monitoring wizyjny),
• w newsletterze oraz w profilach społecznościowych Salonu (Facebook, Instagram, LinkedIn, YouTube, X).

1. Rezerwacja i obsługa wizyty (online przez system rezerwacji, telefonicznie, osobiście)
   • Zakres danych: imię, nazwisko, numer telefonu, adres e-mail, wybrany zabieg, termin, ewentualne uwagi do rezerwacji. Prosimy nie podawać w uwagach ani w systemie rezerwacji informacji o stanie zdrowia: zbieramy je wyłącznie w wywiadzie kosmetologicznym w salonie (pkt 5).
   • Cel: umówienie i obsługa wizyty, potwierdzenia i przypomnienia o wizycie (e-mail lub SMS), zmiana lub odwołanie terminu.
   • Podstawa prawna: art. 6 ust. 1 lit. b RODO (umowa o wykonanie usługi).
   • Okres: przez okres korzystania z usług, a następnie do upływu terminów przedawnienia roszczeń (co do zasady 6 lat, art. 118 Kodeksu cywilnego).
2. Konto klienta w systemie rezerwacji (wymagane do rezerwacji online)
   • Zakres danych: adres e-mail, hasło (przechowywane w postaci zaszyfrowanej przez dostawcę systemu), imię, nazwisko, numer telefonu, historia rezerwacji. Przy logowaniu przez konto Google, Apple, Facebook lub LinkedIn dostawca logowania przekazuje nam imię i nazwisko oraz adres e-mail (identyfikator konta); nie otrzymujemy hasła do tego konta.
   • Cel: rezerwacja online (system wymaga zalogowania), dostęp do własnych rezerwacji, szybsze umawianie kolejnych wizyt. Wizytę można umówić bez konta telefonicznie lub osobiście.
   • Podstawa prawna: art. 6 ust. 1 lit. b RODO.
   • Okres: do usunięcia konta. Konto można usunąć w systemie rezerwacji albo na żądanie wysłane na kontakt@aquaoo.pl; dane rezerwacji pozostają w zakresie i przez okres z pkt 1.
3. Opinie o zabiegach w systemie rezerwacji
   • Zakres danych: imię (w formie, w jakiej podasz je w koncie), ocena i treść opinii, data.
   • Cel: prezentacja opinii klientek w systemie rezerwacji. Opinię może wystawić wyłącznie osoba, która odbyła wizytę zarezerwowaną przez system (weryfikacja przez powiązanie opinii z rezerwacją); nie publikujemy opinii z innych źródeł.
   • Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes: informowanie o jakości usług). Możesz w każdej chwili wnieść sprzeciw albo poprosić o usunięcie opinii.
   • Okres: do usunięcia na Twoje żądanie lub do zakończenia korzystania z systemu rezerwacji.
4. Karta klientki (dokumentacja usług)
   • Zakres danych: dane identyfikacyjne i kontaktowe, historia zabiegów, zalecenia pozabiegowe.
   • Cel: wykonanie usług, dobór kolejnych zabiegów, ciągłość pielęgnacji.
   • Podstawa prawna: art. 6 ust. 1 lit. b oraz lit. f RODO (prowadzenie dokumentacji usług).
   • Okres: jak w pkt 1.
5. Wywiad kosmetologiczny
   • Zakres danych: dane o zdrowiu istotne dla bezpieczeństwa zabiegu (przeciwwskazania, alergie, stan skóry, ciąża lub karmienie, przyjmowane leki, wcześniejsze zabiegi). Wywiad wypełniasz w salonie; dane z wywiadu przechowujemy w dokumentacji salonu i nie wprowadzamy ich do systemu rezerwacji online.
   • Cel: bezpieczny dobór i wykonanie zabiegu.
   • Podstawa prawna: art. 9 ust. 2 lit. a RODO (wyraźna zgoda wyrażana na karcie zgód w salonie).
   • Okres: jak w pkt 1. Po wycofaniu zgody nie wykorzystujemy tych danych do doboru i wykonywania zabiegów; przechowujemy je wyłącznie w zakresie niezbędnym do ustalenia, dochodzenia lub obrony roszczeń (art. 9 ust. 2 lit. f RODO). Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
6. Płatności
   • Płatność w salonie kartą obsługuje agent rozliczeniowy terminala jako odrębny administrator danych transakcyjnych; Salon nie zapisuje danych kart płatniczych.
   • Jeżeli Salon udostępni płatność online w systemie rezerwacji (przedpłata za wizytę lub zakup karty podarunkowej), płatność realizuje operator płatności Stripe (Stripe Payments Europe, Limited, Dublin, Irlandia). Salon otrzymuje potwierdzenie płatności, kwotę, datę i identyfikator transakcji; dane karty podajesz bezpośrednio operatorowi, który przetwarza je jako odrębny administrator zgodnie ze swoją polityką prywatności (stripe.com/privacy).
   • Podstawa prawna: art. 6 ust. 1 lit. b RODO (umowa) oraz art. 6 ust. 1 lit. c RODO (rozliczenia).
   • Okres: dane transakcji 5 lat od końca roku podatkowego, w którym nastąpiła płatność.
7. Bony i karty podarunkowe, pakiety zabiegów
   • Zakres danych: dane nabywcy (imię, nazwisko, e-mail lub telefon), dane osoby obdarowanej, jeżeli bon jest imienny, numer bonu, data ważności, stan wykorzystania.
   • Cel: wystawienie, ewidencja i realizacja bonu lub pakietu, obsługa reklamacji i zwrotów.
   • Podstawa prawna: art. 6 ust. 1 lit. b RODO; art. 6 ust. 1 lit. c RODO (ewidencja sprzedaży).
   • Okres: do upływu ważności bonu lub pakietu i rozliczenia, następnie do upływu terminów przedawnienia roszczeń i okresów podatkowych (5 lat).
8. Rozliczenia i księgowość
   • Zakres danych: dane do faktur i dokumentów rozliczeniowych.
   • Cel: realizacja obowiązków podatkowych i rachunkowych.
   • Podstawa prawna: art. 6 ust. 1 lit. c RODO.
   • Okres: 5 lat od końca roku podatkowego.
9. Kontakt (telefon, e-mail, wiadomości w mediach społecznościowych)
   • Zakres danych: dane podane w wiadomości.
   • Cel: odpowiedź na zapytanie, obsługa sprawy.
   • Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes: komunikacja z osobami zainteresowanymi usługami).
   • Okres: do zakończenia sprawy, następnie do 1 roku.
10. Newsletter e-mail lub SMS
    • Zakres danych: adres e-mail lub numer telefonu, imię (jeżeli podasz), data i zakres zgody, adres IP i data potwierdzenia zapisu, informacje o doręczeniu, otwarciu i kliknięciach w wiadomościach (statystyki wysyłki); przy zapisie w formularzu odtwarzacza filmów także informacja, przy którym filmie i kiedy podałaś adres.
    • Cel: wysyłka informacji o nowościach, promocjach i zabiegach Salonu; zapis wymaga potwierdzenia linkiem aktywacyjnym (podwójne potwierdzenie). Zapisać się można m.in. w formularzu wyświetlanym w odtwarzaczu filmów w serwisie; adres z tego formularza zapisujemy w bazie odtwarzacza na serwerze Salonu i przekazujemy do systemu wysyłki. Przy niektórych filmach zapis jest warunkiem obejrzenia dalszej części filmu (Regulamin serwisu, § 11 pkt 6); formularz zawsze o tym informuje.
    • Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda); wysyłka zgodnie z art. 398 ustawy Prawo komunikacji elektronicznej.
    • Okres: do wycofania zgody (link rezygnacji w każdej wiadomości albo e-mail na kontakt@aquaoo.pl); ewidencja zgody do 3 lat od wycofania (obrona przed roszczeniami, art. 6 ust. 1 lit. f RODO). Adres, którego zapis nie został potwierdzony linkiem aktywacyjnym, nie otrzymuje newslettera i jest usuwany w ciągu 90 dni.
    • Wysyłkę obsługuje system Encharge (§ 5).
11. Statystyka serwisu (Google Analytics 4)
    • Zakres danych: identyfikatory online (cookies), dane o urządzeniu, przeglądarce, przybliżonej lokalizacji i sposobie korzystania z serwisu, w tym o odtwarzaniu filmów (uruchomienie filmu, obejrzenie 25, 50, 75 i 100% jego długości, identyfikator i tytuł filmu).
    • Cel: analiza ruchu, ulepszanie serwisu.
    • Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona w banerze cookies, kategoria „analityczne”).
    • Okres: dane o zdarzeniach w Google Analytics 4 przechowywane 14 miesięcy; cookies zgodnie z Polityką cookies.
    • Bez zgody narzędzia Google wysyłają wyłącznie sygnały bez cookies i bez trwałych identyfikatorów użytkownika (tryb Google Consent Mode v2), wykorzystywane przez Google do modelowania statystycznego; szczegóły w Polityce cookies.
12. Marketing online (Google Ads, Meta, OpenAI, Encharge)
    • Zakres danych: identyfikatory online (cookies, identyfikatory przeglądarki i kliknięć w reklamy), dane o aktywności w serwisie i w systemie rezerwacji (odwiedzone strony, kliknięcia, rezerwacje), adres IP, dane o urządzeniu.
    • Cel: pomiar skuteczności reklam Salonu, remarketing (docieranie z reklamami do osób, które odwiedziły serwis), budowanie grup odbiorców.
    • Narzędzia: Google Ads (w tym pomiar konwersji), Meta Pixel wraz z interfejsem Conversions API (zdarzenia wysyłane także z serwera Salonu oraz przez bramę Conversions API hostowaną w infrastrukturze chmurowej w USA), piksel pomiarowy OpenAI (reklamy w ChatGPT), skrypt śledzący Encharge (powiązanie aktywności w serwisie z newsletterem).
    • Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona w banerze cookies, kategoria „marketingowe”). Zgodę możesz wycofać w każdej chwili (Polityka cookies, § 3).
    • Okres: według okresów cookies wskazanych w Polityce cookies; dane po stronie dostawców zgodnie z ich politykami.
13. Dowód zgody na cookies (log zgód)
    • Zakres danych: losowy identyfikator sesji zgody (cookie surecookie_session_id), zakres i rodzaj decyzji (akceptacja, odrzucenie, wybór kategorii), data i godzina, kraj ustalony na podstawie adresu IP, informacje o przeglądarce.
    • Cel: wykazanie, że zgoda została wyrażona (art. 7 ust. 1 RODO), obsługa wycofania zgody i wniosków.
    • Podstawa prawna: art. 6 ust. 1 lit. c RODO w zw. z art. 7 ust. 1 RODO oraz art. 6 ust. 1 lit. f RODO (obrona przed roszczeniami).
    • Okres: 12 miesięcy od zapisania decyzji. Log jest przechowywany na serwerze Salonu (wtyczka SureCookie), nie jest przekazywany dostawcy wtyczki.
14. Bezpieczeństwo serwisu i systemu rezerwacji
    • Zakres danych: adres IP, data i godzina żądania, adres strony, identyfikator przeglądarki, zdarzenia logowania do panelu.
    • Cel: zapewnienie bezpieczeństwa i ciągłości działania, wykrywanie i blokowanie nadużyć (m.in. ochrona przed atakami na logowanie), obsługa incydentów.
    • Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes: bezpieczeństwo).
    • Okres: logi serwera do 12 miesięcy; logi zabezpieczeń panelu do 12 miesięcy.
15. Zdjęcia efektów zabiegów i publikacja wizerunku
    • Zakres danych: wizerunek.
    • Cel: dokumentacja efektów zabiegu, promocja Salonu (wyłącznie za odrębną zgodą na publikację).
    • Podstawa prawna: art. 6 ust. 1 lit. a RODO (odrębne zgody na karcie zgód; publikacja także na podstawie art. 81 ustawy o prawie autorskim i prawach pokrewnych).
    • Okres: do wycofania zgody.
    • Zdjęcia efektów zabiegów wykonujemy i publikujemy wyłącznie z rzeczywistych zabiegów, bez modyfikacji wpływających na wygląd efektów. Nie wprowadzamy zdjęć Klientek do narzędzi sztucznej inteligencji i nie generujemy wizerunków Klientek (§ 12).
16. Monitoring wizyjny w salonie
    • Zakres danych: wizerunek osób w częściach ogólnodostępnych salonu (recepcja, poczekalnia). Monitoring nie obejmuje gabinetów zabiegowych ani toalet; obszar jest oznaczony.
    • Cel: bezpieczeństwo osób i mienia.
    • Podstawa prawna: art. 6 ust. 1 lit. f RODO.
    • Okres: do 30 dni, nagrania są nadpisywane automatycznie; dłużej wyłącznie, gdy nagranie stanowi dowód w postępowaniu (do 3 miesięcy albo do prawomocnego zakończenia postępowania).
17. Profile Salonu w mediach społecznościowych (Facebook, Instagram, LinkedIn, YouTube, X)
    • Zakres danych: dane widoczne przy interakcjach (reakcje, komentarze, wiadomości, obserwowanie).
    • Cel: prowadzenie profili, komunikacja, promocja.
    • Podstawa prawna: art. 6 ust. 1 lit. f RODO. W zakresie statystyk strony na Facebooku i Instagramie Salon i Meta Platforms Ireland Ltd są współadministratorami (porozumienie „Page Insights”).
    • Okres: według zasad platform; treści własne możesz usunąć samodzielnie.
18. Ustalenie, dochodzenie lub obrona roszczeń
    • Zakres danych: dane z powyższych zbiorów niezbędne do sprawy.
    • Cel: obsługa reklamacji i sporów.
    • Podstawa prawna: art. 6 ust. 1 lit. f RODO.
    • Okres: do upływu terminów przedawnienia, a w razie sporu do jego prawomocnego zakończenia.
19. Filmy i mapa w serwisie (odtwarzacz filmów, Bunny.net, YouTube, Vimeo, mapa Google)
    • Zakres danych: adres IP, dane o urządzeniu i przeglądarce, adres strony, na której jest film lub mapa, dane techniczne o odtwarzaniu (np. jakość połączenia, błędy). W przypadku YouTube, Vimeo i mapy Google także identyfikatory online zapisywane przez dostawcę (cookies) oraz dane o odtwarzaniu filmu lub korzystaniu z mapy; jeżeli jesteś zalogowana do konta Google lub Vimeo, dostawca może powiązać te dane z Twoim kontem.
    • Cel: pokazanie w serwisie materiałów wideo Salonu i mapy dojazdu do Salonu; sprawne i bezpieczne dostarczanie plików wideo.
    • Podstawa prawna: dla filmów Salonu przechowywanych w usłudze Bunny.net art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: dostarczenie filmu, który uruchamiasz, przez wyspecjalizowaną usługę hostingu wideo; dostawca działa na zlecenie Salonu i nie zapisuje w tym celu cookies). Dla filmów z YouTube i Vimeo oraz mapy Google art. 6 ust. 1 lit. a RODO (zgoda wyrażona w banerze cookies, kategoria „marketingowe”, albo kliknięciem „Akceptuj i ładuj” w miejscu treści); do chwili wyrażenia zgody treść się nie ładuje i żadne dane nie trafiają do jej dostawcy. Zgodę możesz wycofać w każdej chwili (Polityka cookies, § 3).
    • Okres: Salon nie zapisuje tych danych poza statystykami opisanymi w pkt 11. Bunny.net przechowuje logi techniczne z zanonimizowanym adresem IP przez okres wynikający z umowy powierzenia. Google i Vimeo przetwarzają dane jako odrębni administratorzy przez okresy wskazane w ich politykach; okresy cookies podaje Polityka cookies.
    • Formularz zapisu na newsletter wyświetlany w odtwarzaczu opisuje pkt 10.

Podanie danych jest dobrowolne, ale:

• bez danych rezerwacyjnych nie umówimy wizyty,
• bez wyraźnej zgody na przetwarzanie danych o zdrowiu z wywiadu nie wykonamy zabiegu (bezpieczeństwo),
• bez danych do faktury nie wystawimy faktury,
• bez założenia konta klienta (e-mail, hasło, imię, nazwisko, telefon albo logowanie przez konto zewnętrzne) nie zarezerwujesz wizyty online; wizytę możesz umówić bez konta telefonicznie lub osobiście,
• bez zapisu na newsletter nie obejrzysz dalszej części tych filmów, przy których formularz w odtwarzaczu nie ma możliwości pominięcia; pozostałe filmy i wszystkie inne treści serwisu są dostępne bez zapisu.

Zgody marketingowe (newsletter, cookies analityczne i marketingowe, zdjęcia, publikacja wizerunku) są opcjonalne i nie wpływają na możliwość rezerwacji ani korzystania z usług Salonu. Każdą zgodę można wycofać w dowolnym momencie (§ 8) bez wpływu na zgodność z prawem przetwarzania sprzed wycofania.

1. Co do zasady przetwarzamy dane w EOG. Wyjątki:
   • Trafft (system rezerwacji): dostawca ma siedzibę w Serbii, czyli w państwie spoza EOG, wobec którego Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni stopień ochrony. Przekazywanie danych odbywa się na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO; decyzja wykonawcza (UE) 2021/914, moduł: administrator – podmiot przetwarzający), stanowiących część umowy powierzenia zawartej z dostawcą. Według informacji dostawcy serwery i bazy danych systemu rezerwacji znajdują się w Niemczech (Hetzner Online GmbH). Niektórzy podwykonawcy dostawcy (Amazon Web Services, Twilio) mają siedzibę w USA albo należą do grup kapitałowych z USA; jeżeli w związku z ich usługami dane trafiają do USA, odbywa się to z zastosowaniem zabezpieczeń wymaganych przez RODO (decyzja Komisji Europejskiej w sprawie ram ochrony danych UE-USA, Data Privacy Framework, albo standardowe klauzule umowne), do czego dostawca zobowiązał się w umowie powierzenia.
   • Encharge (newsletter): dostawca ma siedzibę w USA; dane są przechowywane w centrum danych w Unii Europejskiej (Frankfurt), a przekazywanie poza EOG odbywa się na podstawie standardowych klauzul umownych.
   • Meta (Conversions API): zdarzenia z serwisu przekazywane przez bramę Conversions API są przetwarzane w infrastrukturze chmurowej w USA (Amazon Web Services, Google Cloud), a Meta Platforms Ireland Ltd może przekazywać dane do Meta Platforms, Inc. w USA na podstawie decyzji Komisji Europejskiej w sprawie ram ochrony danych UE-USA (Data Privacy Framework) lub standardowych klauzul umownych.
   • OpenAI: OpenAI Ireland Limited może przekazywać dane do OpenAI w USA na podstawie standardowych klauzul umownych lub decyzji o adekwatności.
   • Google (w tym YouTube): Google Ireland Ltd może przekazywać dane do Google LLC w USA na podstawie Data Privacy Framework lub standardowych klauzul umownych.
   • Vimeo (osadzone filmy): Vimeo.com, Inc. ma siedzibę w USA. Przekazywanie danych odbywa się na podstawie decyzji Komisji Europejskiej w sprawie ram ochrony danych UE-USA (Data Privacy Framework), w których dostawca uczestniczy, albo standardowych klauzul umownych.
   • Bunny.net (hosting filmów): BunnyWay d.o.o. ma siedzibę w Unii Europejskiej (Słowenia). Filmy są dostarczane z serwera sieci dostawcy położonego najbliżej odwiedzającego, a jeżeli dostawca korzysta przy tym z podwykonawców spoza EOG, odbywa się to na podstawie standardowych klauzul umownych przewidzianych w umowie powierzenia.
2. Kopię zastosowanych zabezpieczeń można uzyskać, kontaktując się z Administratorem.

1. Masz prawo do:
   • dostępu do danych i uzyskania ich kopii (art. 15 RODO),
   • sprostowania danych (art. 16),
   • usunięcia danych (art. 17),
   • ograniczenia przetwarzania (art. 18),
   • przenoszenia danych przetwarzanych na podstawie zgody lub umowy (art. 20),
   • sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, w tym wobec marketingu (art. 21),
   • wycofania każdej zgody w dowolnym momencie: osobiście w salonie, e-mailem na kontakt@aquaoo.pl, dla newslettera także linkiem rezygnacji w każdej wiadomości, a dla cookies przez link „Preferencje plików cookie” w stopce serwisu. Wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania.
2. Wniosek możesz złożyć e-mailem, listownie, osobiście albo przez formularz na tej stronie (poniżej). Przed realizacją wniosku możemy zweryfikować Twoją tożsamość (np. przez potwierdzenie adresu e-mail). Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu 30 dni; w sprawach złożonych termin może zostać przedłużony, o czym poinformujemy.
3. Przysługuje Ci skarga do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl, ul. Stawki 2, 00-193 Warszawa).

1. Część grafik w serwisie aquaoo.pl, w systemie rezerwacji i w profilach społecznościowych Salonu (zdjęcia ilustrujące zabiegi, grafiki promocyjne) została wygenerowana z użyciem narzędzi sztucznej inteligencji (AI). Oznaczamy je w widoczny sposób bezpośrednio przy treści, zgodnie z art. 50 ust. 4 rozporządzenia (UE) 2024/1689 (Akt w sprawie sztucznej inteligencji).
2. Osoby widoczne na takich grafikach są wygenerowane i nie przedstawiają Klientek ani innych istniejących osób. Wyjątkiem mogą być portrety Karoliny Peroń, właścicielki Salonu, wygenerowane na podstawie jej zdjęć, z jej wiedzą i decyzją; są one oznaczone jako wygenerowane z użyciem AI.
3. Nie wprowadzamy do narzędzi AI danych osobowych Klientek: zdjęć, treści wywiadu kosmetologicznego, danych kontaktowych, danych rezerwacji ani treści opinii. Dostawcy narzędzi do generowania grafik nie są odbiorcami Twoich danych i nie są wymienieni w § 5.
4. Grafiki wygenerowane z użyciem AI mają charakter poglądowy i nie przedstawiają efektów zabiegu u konkretnej osoby (Regulamin salonu, § 3 pkt 5).

Polityka może być aktualizowana, np. przy zmianie narzędzi, dostawców lub przepisów. Aktualna wersja jest zawsze dostępna pod adresem https://aquaoo.pl/prawo/polityka-prywatnosci wraz z datą obowiązywania. O istotnych zmianach dotyczących posiadaczy konta klienta lub subskrybentów newslettera informujemy e-mailem.

Wersja 4, obowiązuje od 2026-09-18.