This document is published in Polish, which is the binding version, and in Ukrainian as an informative translation.

Polityka prywatności

Wersja z 14 października 2026 r. Wiążąca jest wersja polska; tłumaczenia na język ukraiński i angielski mają charakter informacyjny, a w razie rozbieżności rozstrzyga wersja polska.

§ 1. Administrator i zasady ogólne

Polityka określa zasady przetwarzania i ochrony danych osobowych Użytkowników strony internetowej ye-app.com oraz aplikacji mobilnej „НАДІЯ Є” (dalej: „Aplikacja”; łącznie: „Serwis”).
Administratorem danych osobowych jest Yevheniia Taradaika, prowadząca działalność gospodarczą pod firmą Yevheniia Taradaika, ul. Generała Juliana Filipowicza 6/20a, 30-611 Kraków, NIP: 6793358106, REGON: 544061049 (dalej: „Administrator”).
Kontakt w sprawach ochrony danych: e-mail [email protected], telefon +48 571 288 656.
Dane są przetwarzane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz przepisami prawa polskiego.
Pojęcia pisane wielką literą (Użytkownik, Wydarzenie, Konto, Bilet, Regulamin) mają znaczenie nadane w Regulaminie Serwisu.

§ 2. Cele, zakres danych, podstawy prawne i okresy przechowywania

Dla każdego celu podano, jakie dane obejmuje, na jakiej podstawie prawnej są przetwarzane i jak długo są przechowywane.

Konto i logowanie

Dane: adres e-mail lub numer telefonu – ten, którego Użytkownik używa do logowania (można dodać oba), oraz wybrany język.
Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy o świadczenie usługi drogą elektroniczną).
Okres: do usunięcia Konta; kopie zapasowe – do 30 dni po usunięciu. Jeżeli Użytkownik nie zaakceptuje Regulaminu zaraz po potwierdzeniu kodu, Konto wraz z adresem e-mail lub numerem telefonu jest usuwane od razu.

Profil (dane dobrowolne)

Dane: imię, zdjęcie profilowe, kilka słów o sobie, nazwy profili w Instagramie, Telegramie i Facebooku oraz numer WhatsApp – wyłącznie te, które Użytkownik sam poda.
Cel: aby Administrator mógł rozpoznać Użytkownika na Wydarzeniu i skontaktować się z nim wybranym przez niego sposobem. Profil widzą tylko Użytkownik i Administrator; nie jest pokazywany innym Użytkownikom.
Podstawa: art. 6 ust. 1 lit. a RODO (zgoda wyrażona przez dobrowolne podanie danych).
Okres: do usunięcia danych przez Użytkownika (każde pole można w każdej chwili wyczyścić) lub do usunięcia Konta.

Zapisy na Wydarzenia

Dane: dane rezerwacji, Bilet, status i kwota płatności, potwierdzenie wejścia na Wydarzenie.
Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy o udział w Wydarzeniu).
Okres: do zakończenia Wydarzenia i rozliczenia, a następnie jak w punktach „Obowiązki podatkowe i księgowe” oraz „Roszczenia i wykazanie zgód”. Po usunięciu Konta zapisy pozostają wyłącznie w postaci zanonimizowanej, bez powiązania z osobą, do celów statystycznych.

Płatności online

Dane: dane niezbędne do płatności, przekazywane Stripe; Administrator otrzymuje potwierdzenie i status płatności, nie otrzymuje pełnych danych karty.
Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy); Stripe przetwarza część danych jako odrębny administrator (m.in. w celu zapobiegania nadużyciom).
Okres: u Administratora – jak w punkcie „Obowiązki podatkowe i księgowe”; u Stripe – zgodnie z jego polityką prywatności.

Powiadomienia push

Dane: identyfikator Konta, identyfikator urządzenia do powiadomień oraz treść powiadomienia (np. tytuł i godzina Wydarzenia). Powiadomienia nie zawierają imienia, adresu e-mail ani numeru telefonu.
Podstawa: potwierdzenia i zwroty płatności, przypomnienia oraz informacje o odwołaniu Wydarzeń, na które Użytkownik się zapisał – art. 6 ust. 1 lit. b RODO (wykonanie umowy); powiadomienia o nowych Wydarzeniach – art. 6 ust. 1 lit. a RODO (zgoda „Zapowiedzi nowych wydarzeń”) w związku z przepisami Prawa komunikacji elektronicznej o marketingu bezpośrednim. Powiadomienia wymagają ponadto zezwolenia w ustawieniach telefonu.
Okres: do usunięcia Konta; po cofnięciu zgody „Zapowiedzi nowych wydarzeń” powiadomienia o nowych Wydarzeniach nie są wysyłane.

Raporty o błędach Aplikacji

Dane: opis błędu i kroki, które do niego doprowadziły, wersja Aplikacji, język, model i system urządzenia. Przed wysłaniem raport jest oczyszczany z imion, adresów e-mail, numerów telefonów i identyfikatora Konta.
Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: wykrywanie i naprawianie błędów).
Okres: do 90 dni.

Analityka (wyłącznie za zgodą)

Dane: anonimowy identyfikator, otwierane ekrany i wykonywane czynności (np. zapis na Wydarzenie, płatność), wersja Aplikacji, język, typ urządzenia. Analityka nie otrzymuje imienia, adresu e-mail, numeru telefonu ani identyfikatora Konta.
Podstawa: art. 6 ust. 1 lit. a RODO (zgoda „Analityka”, domyślnie wyłączona). Bez tej zgody narzędzie analityczne nie jest uruchamiane.
Okres: do 12 miesięcy; po cofnięciu zgody nowe dane nie są zbierane.

Obowiązki podatkowe i księgowe

Dane: dane z dokumentów sprzedaży (imię i nazwisko, jeśli wystawiana jest faktura, kwota, data).
Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny).
Okres: 5 lat, licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy.

Roszczenia i wykazanie zgód

Dane: dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń oraz rejestr udzielonych i cofniętych zgód.
Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: ochrona prawna i rozliczalność).
Okres: do przedawnienia roszczeń (co do zasady 3 lub 6 lat); rejestr zgód – do końca okresu przedawnienia po cofnięciu zgody.

Bezpieczeństwo Serwisu

Dane: adres IP, dane techniczne urządzenia i przeglądarki, logi serwera – także przy wyświetlaniu strony internetowej.
Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: bezpieczeństwo i zapobieganie nadużyciom).
Okres: do 30 dni.

Zdjęcia i nagrania z Wydarzeń

Dane: wizerunek (zdjęcia, nagrania), ewentualnie imię, jeśli zostanie wskazane w materiale.
Cel: publikacja w Instagramie, Facebooku, TikToku, Threads i LinkedIn oraz w Aplikacji i na stronie internetowej Administratora.
Podstawa: art. 6 ust. 1 lit. a RODO (zgoda „Zdjęcia ze spotkań”) w związku z art. 81 ust. 1 ustawy o prawie autorskim i prawach pokrewnych.
Okres: do cofnięcia zgody.

Zgody opisane powyżej są dobrowolne, udzielane osobno i mogą być w każdej chwili cofnięte (§ 4). Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

§ 3. Odbiorcy danych i przekazywanie danych poza EOG

Dane mogą być przekazywane następującym odbiorcom; o ile nie wskazano inaczej, działają oni jako podmioty przetwarzające na podstawie umów powierzenia przetwarzania danych:

Supabase, Inc. – baza danych, logowanie i przechowywanie plików (np. zdjęcia profilowego). Dane są przechowywane na serwerach w UE (Frankfurt nad Menem, Niemcy); ewentualny dostęp spoza EOG odbywa się na podstawie standardowych klauzul umownych.
Sendinblue SAS (Brevo), Francja – wysyłka wiadomości e-mail z kodami logowania.
Vonage – wysyłka wiadomości SMS z kodami logowania; numer telefonu może być przetwarzany poza EOG na podstawie standardowych klauzul umownych.
OneSignal, Inc., USA – doręczanie powiadomień push; dane są przekazywane do USA na podstawie standardowych klauzul umownych.
Functional Software, Inc. (Sentry) – raporty o błędach Aplikacji; dane są przechowywane w UE (Frankfurt nad Menem, Niemcy).
PostHog, Inc. – analityka, wyłącznie za zgodą; dane są przechowywane w UE.
DigitalOcean, LLC i Cloudflare, Inc. – hosting i ochrona strony internetowej; przetwarzają adres IP i dane techniczne przy jej wyświetlaniu, także poza EOG, na podstawie standardowych klauzul umownych lub programu EU-U.S. Data Privacy Framework.
Stripe Payments Europe, Ltd. – operator płatności online. W zakresie obsługi płatności i zapobiegania nadużyciom Stripe działa jako odrębny administrator danych; jego zasady opisuje polityka prywatności Stripe. Stripe może przekazywać dane w ramach swojej grupy poza EOG na podstawie mechanizmów przewidzianych w RODO.
Biuro rachunkowe obsługujące Administratora – w zakresie dokumentów księgowych.
Organy i podmioty uprawnione na podstawie przepisów prawa.

Media społecznościowe. Jeśli Użytkownik wyrazi zgodę na wizerunek, materiały z Wydarzeń są publikowane na profilach Administratora w Instagramie, Facebooku (Meta), TikToku, Threads (Meta) i LinkedIn. Operatorzy tych platform przetwarzają dane (w tym wizerunek) jako odrębni administratorzy według własnych zasad i mogą przekazywać je poza EOG, w tym do USA. Administrator nie ma wpływu na kopiowanie i udostępnianie treści przez osoby trzecie.

Administrator nie sprzedaje danych osobowych i nie przekazuje ich partnerom Serwisu ani innym podmiotom w celach marketingowych.

Dane są co do zasady przechowywane w EOG. Przekazanie poza EOG następuje wyłącznie w sytuacjach opisanych powyżej, z zastosowaniem mechanizmów przewidzianych w rozdziale V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne lub inne mechanizmy). Kopię zabezpieczeń można uzyskać, kontaktując się z Administratorem.

§ 4. Prawa Użytkownika

Użytkownik ma prawo do: dostępu do swoich danych i uzyskania ich kopii, sprostowania danych, usunięcia danych („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO).
Użytkownik może w każdej chwili cofnąć zgodę („Analityka”, „Zdjęcia ze spotkań”, „Zapowiedzi nowych wydarzeń”) w ustawieniach Aplikacji albo e-mailem na adres [email protected], a dane profilu – usunąć w Aplikacji. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem. Po cofnięciu zgody na wizerunek Administrator usunie materiały z własnych kanałów w rozsądnym terminie (zasadniczo do 14 dni).
Konto można w każdej chwili usunąć w Aplikacji. Usunięcie Konta usuwa profil, zdjęcie profilowe i dane w usłudze powiadomień push; zapisy na Wydarzenia zostają zanonimizowane. Dane, które Administrator musi przechowywać na podstawie przepisów (np. dokumenty księgowe), pozostają przechowywane przez wymagany okres.
Administrator odpowiada na żądania bez zbędnej zwłoki, w terminie miesiąca od ich otrzymania (w razie potrzeby termin można przedłużyć zgodnie z RODO). Administrator może poprosić o dodatkowe informacje potwierdzające tożsamość.
Użytkownik ma prawo wnieść skargę do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

§ 5. Bezpieczeństwo danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne chroniące dane przed nieuprawnionym dostępem, utratą i zniszczeniem, w tym: szyfrowanie transmisji, kontrolę dostępu, regularne aktualizacje oraz kopie zapasowe. Administrator nie przechowuje pełnych danych kart płatniczych – obsługuje je Stripe. W razie naruszenia ochrony danych Administrator zawiadamia organ nadzorczy i, jeśli wymaga tego RODO, osoby, których dane dotyczą.

§ 6. Pliki cookies i podobne technologie

Strona internetowa ye-app.com nie używa plików cookies ani pamięci lokalnej przeglądarki i nie zapisuje na urządzeniu Użytkownika żadnych informacji.
Aplikacja zapisuje na urządzeniu wyłącznie informacje niezbędne do jej działania: sesję logowania, wybrany język i kopię danych potrzebną do pracy bez połączenia z internetem. Zgodnie z art. 399 Prawa komunikacji elektronicznej nie wymaga to zgody.
Narzędzie analityczne (PostHog) zapisuje w Aplikacji anonimowy identyfikator wyłącznie po wyrażeniu zgody „Analityka” (§ 2).
Serwis nie używa plików cookies ani identyfikatorów reklamowych.
Płatności odbywają się na stronie Stripe, która używa własnych plików cookies (m.in. do zapobiegania oszustwom) zgodnie z polityką prywatności Stripe.

§ 7. Dobrowolność podania danych, brak profilowania, pełnoletność

Podanie adresu e-mail lub numeru telefonu jest dobrowolne, ale niezbędne do założenia Konta i zapisów na Wydarzenia. Dane profilu oraz zgody „Analityka”, „Zdjęcia ze spotkań” i „Zapowiedzi nowych wydarzeń” są całkowicie dobrowolne; ich brak nie ogranicza możliwości korzystania z Serwisu ani udziału w Wydarzeniach.
Administrator nie podejmuje decyzji w sposób zautomatyzowany wywołujących skutki prawne wobec Użytkownika ani nie dokonuje profilowania w rozumieniu art. 22 RODO. Administrator nie wykorzystuje w Serwisie chatbotów ani narzędzi sztucznej inteligencji do podejmowania decyzji o Użytkownikach.
Serwis jest przeznaczony dla osób pełnoletnich. Administrator nie zbiera świadomie danych osób poniżej 18. roku życia; w razie ich ujawnienia dane zostaną usunięte.

§ 8. Zmiany Polityki

Administrator może zmienić Politykę z ważnych powodów (zmiana przepisów, usług lub sposobu przetwarzania danych). Aktualna wersja jest dostępna w Serwisie i w Aplikacji; o istotnych zmianach Administrator informuje Użytkowników e-mailem lub w Aplikacji z rozsądnym wyprzedzeniem (co najmniej 14 dni). Zmiany nie wpływają na zgody już udzielone, chyba że zmieniają cel przetwarzania – wtedy konieczna jest nowa zgoda.

Політика конфіденційності

Редакція від 14 жовтня 2026 року. Обов'язковою є польська версія; українська та англійська – інформаційні переклади, і в разі розбіжностей визначальною є польська версія.

§ 1. Адміністратор і загальні положення

Політика визначає правила обробки та захисту персональних даних Користувачів вебсайту ye-app.com і мобільного застосунку «НАДІЯ Є» (далі – «Застосунок»; разом – «Сервіс»).
Адміністратором персональних даних є Yevheniia Taradaika, яка здійснює господарську діяльність під назвою Yevheniia Taradaika, ul. Generała Juliana Filipowicza 6/20a, 30-611 Kraków, NIP: 6793358106, REGON: 544061049 (далі – «Адміністратор»).
Зв'язок з питань захисту даних: e-mail [email protected], телефон +48 571 288 656.
Дані обробляються відповідно до Регламенту Європейського Парламенту і Ради (ЄС) 2016/679 (GDPR/RODO) та польського законодавства.
Терміни з великої літери (Користувач, Захід, Акаунт, Квиток, Правила) мають значення, визначені в Правилах Сервісу.

§ 2. Цілі, обсяг даних, правові підстави та строки зберігання

Для кожної мети вказано, які дані вона охоплює, на якій правовій підставі вони обробляються і скільки зберігаються.

Акаунт і вхід

Дані: адреса e-mail або номер телефону – той, яким Користувач входить (можна додати обидва), а також обрана мова.
Підстава: ст. 6(1)(b) RODO (виконання договору про надання електронної послуги).
Строк: до видалення Акаунта; резервні копії – до 30 днів після видалення. Якщо Користувач не прийме Правила одразу після підтвердження коду, Акаунт разом з адресою e-mail чи номером телефону видаляється відразу.

Профіль (необов'язкові дані)

Дані: ім'я, фото профілю, кілька слів про себе, імена профілів в Instagram, Telegram і Facebook та номер WhatsApp – лише ті, які Користувач вкаже сам.
Мета: щоб Адміністратор міг упізнати Користувача на Заході та зв'язатися з ним обраним ним способом. Профіль бачать тільки сам Користувач і Адміністратор; іншим Користувачам він не показується.
Підстава: ст. 6(1)(a) RODO (згода, надана через добровільне введення даних).
Строк: доки Користувач не видалить ці дані (кожне поле можна очистити будь-коли) або до видалення Акаунта.

Реєстрація на Заходи

Дані: дані бронювання, Квиток, статус і сума платежу, підтвердження входу на Захід.
Підстава: ст. 6(1)(b) RODO (виконання договору про участь у Заході).
Строк: до завершення Заходу та розрахунків, далі – як у пунктах «Податкові та бухгалтерські обов'язки» і «Претензії та підтвердження згод». Після видалення Акаунта записи зберігаються лише в знеособленому вигляді, без зв'язку з особою, для статистики.

Онлайн-платежі

Дані: дані, необхідні для платежу, які передаються Stripe; Адміністратор отримує підтвердження й статус платежу, але не повні дані картки.
Підстава: ст. 6(1)(b) RODO (виконання договору); частину даних Stripe обробляє як окремий адміністратор (зокрема для запобігання шахрайству).
Строк: в Адміністратора – як у пункті «Податкові та бухгалтерські обов'язки»; у Stripe – згідно з його політикою приватності.

Пуш-сповіщення

Дані: ідентифікатор Акаунта, ідентифікатор пристрою для сповіщень і текст сповіщення (наприклад, назва та час Заходу). Сповіщення не містять імені, адреси e-mail чи номера телефону.
Підстава: підтвердження й повернення оплати, нагадування та повідомлення про скасування Заходів, на які Користувач записався, – ст. 6(1)(b) RODO (виконання договору); сповіщення про нові Заходи – ст. 6(1)(a) RODO (згода «Анонси нових подій») у зв'язку з положеннями Закону про електронні комунікації щодо прямого маркетингу. Крім того, сповіщення потребують дозволу в налаштуваннях телефону.
Строк: до видалення Акаунта; після відкликання згоди «Анонси нових подій» сповіщення про нові Заходи не надсилаються.

Звіти про помилки Застосунку

Дані: опис помилки та кроки, що до неї призвели, версія Застосунку, мова, модель і система пристрою. Перед надсиланням зі звіту видаляються імена, адреси e-mail, номери телефонів та ідентифікатор Акаунта.
Підстава: ст. 6(1)(f) RODO (легітимний інтерес: виявлення та виправлення помилок).
Строк: до 90 днів.

Аналітика (лише за згодою)

Дані: анонімний ідентифікатор, відкриті екрани та виконані дії (наприклад, запис на Захід, оплата), версія Застосунку, мова, тип пристрою. Аналітика не отримує імені, адреси e-mail, номера телефону чи ідентифікатора Акаунта.
Підстава: ст. 6(1)(a) RODO (згода «Аналітика», за замовчуванням вимкнена). Без цієї згоди інструмент аналітики не запускається.
Строк: до 12 місяців; після відкликання згоди нові дані не збираються.

Податкові та бухгалтерські обов'язки

Дані: дані з документів продажу (ім'я та прізвище, якщо виставляється рахунок, сума, дата).
Підстава: ст. 6(1)(c) RODO (юридичний обов'язок).
Строк: 5 років від кінця календарного року, в якому виник податковий обов'язок.

Претензії та підтвердження згод

Дані: дані, необхідні для встановлення, пред'явлення чи захисту претензій, а також реєстр наданих і відкликаних згод.
Підстава: ст. 6(1)(f) RODO (легітимний інтерес: правовий захист і підзвітність).
Строк: до спливу строку давності претензій (як правило, 3 або 6 років); реєстр згод – до кінця строку давності після відкликання згоди.

Безпека Сервісу

Дані: IP-адреса, технічні дані пристрою та браузера, журнали сервера – зокрема під час перегляду вебсайту.
Підстава: ст. 6(1)(f) RODO (легітимний інтерес: безпека та запобігання зловживанням).
Строк: до 30 днів.

Фото та відео із Заходів

Дані: зображення (фото, відео), за потреби ім'я, якщо його вказано в матеріалі.
Мета: публікація в Instagram, Facebook, TikTok, Threads і LinkedIn, а також у Застосунку й на вебсайті Адміністратора.
Підстава: ст. 6(1)(a) RODO (згода «Фото зі зустрічей») у зв'язку зі ст. 81 ч. 1 Закону про авторське право і суміжні права.
Строк: до відкликання згоди.

Описані вище згоди є добровільними, надаються окремо й можуть бути відкликані будь-коли (§ 4). Відкликання згоди не впливає на законність обробки, здійсненої до відкликання.

§ 3. Одержувачі даних і передача поза межі ЄЕЗ

Дані можуть передаватися таким одержувачам; якщо не зазначено інше, вони діють як обробники на підставі договорів доручення обробки даних:

Supabase, Inc. – база даних, вхід і зберігання файлів (наприклад, фото профілю). Дані зберігаються на серверах у ЄС (Франкфурт-на-Майні, Німеччина); можливий доступ ззовні ЄЕЗ відбувається на підставі стандартних договірних положень.
Sendinblue SAS (Brevo), Франція – надсилання листів із кодами входу.
Vonage – надсилання SMS із кодами входу; номер телефону може оброблятися поза ЄЕЗ на підставі стандартних договірних положень.
OneSignal, Inc., США – доставка пуш-сповіщень; дані передаються до США на підставі стандартних договірних положень.
Functional Software, Inc. (Sentry) – звіти про помилки Застосунку; дані зберігаються в ЄС (Франкфурт-на-Майні, Німеччина).
PostHog, Inc. – аналітика, лише за згодою; дані зберігаються в ЄС.
DigitalOcean, LLC і Cloudflare, Inc. – хостинг і захист вебсайту; обробляють IP-адресу й технічні дані під час його перегляду, зокрема поза ЄЕЗ, на підставі стандартних договірних положень або програми EU-U.S. Data Privacy Framework.
Stripe Payments Europe, Ltd. – оператор онлайн-платежів. Щодо обробки платежів і запобігання шахрайству Stripe діє як окремий адміністратор даних; його правила описує політика приватності Stripe. Stripe може передавати дані в межах своєї групи поза ЄЕЗ на підставі механізмів, передбачених RODO.
Бухгалтерське бюро, яке обслуговує Адміністратора, – щодо бухгалтерських документів.
Органи й суб'єкти, уповноважені за законом.

Соціальні мережі. Якщо Користувач дасть згоду на використання зображення, матеріали із Заходів публікуються на профілях Адміністратора в Instagram, Facebook (Meta), TikTok, Threads (Meta) і LinkedIn. Оператори цих платформ обробляють дані (зокрема зображення) як окремі адміністратори за власними правилами й можуть передавати їх поза межі ЄЕЗ, зокрема до США. Адміністратор не впливає на копіювання й поширення контенту третіми особами.

Адміністратор не продає персональні дані та не передає їх партнерам Сервісу чи іншим суб'єктам у маркетингових цілях.

Дані, як правило, зберігаються в ЄЕЗ. Передача поза ЄЕЗ відбувається лише в описаних вище ситуаціях, із застосуванням механізмів, передбачених розділом V RODO (рішення про адекватний рівень захисту, стандартні договірні положення чи інші механізми). Копію застосованих гарантій можна отримати, звернувшись до Адміністратора.

§ 4. Права Користувача

Користувач має право на: доступ до своїх даних і отримання їх копії, виправлення даних, видалення («право бути забутим»), обмеження обробки, перенесення даних, а також заперечення проти обробки на підставі легітимного інтересу (ст. 6(1)(f) RODO).
Користувач може будь-коли відкликати згоду («Аналітика», «Фото зі зустрічей», «Анонси нових подій») у налаштуваннях Застосунку або листом на [email protected], а дані профілю – видалити в Застосунку. Відкликання згоди не впливає на законність обробки, здійсненої до нього. Після відкликання згоди на зображення Адміністратор видалить матеріали зі своїх каналів у розумний строк (як правило, до 14 днів).
Акаунт можна будь-коли видалити в Застосунку. Видалення Акаунта видаляє профіль, фото профілю та дані в сервісі пуш-сповіщень; записи на Заходи знеособлюються. Дані, які Адміністратор зобов'язаний зберігати за законом (наприклад, бухгалтерські документи), зберігаються протягом вимаганого строку.
Адміністратор відповідає на запити без зайвої затримки, протягом місяця з моменту їх отримання (за потреби строк може бути продовжено відповідно до RODO). Адміністратор може попросити додаткову інформацію для підтвердження особи.
Користувач має право подати скаргу до наглядового органу: Голови Управління із захисту персональних даних (UODO), ul. Stawki 2, 00-193 Warszawa.

§ 5. Безпека даних

Адміністратор застосовує відповідні технічні й організаційні заходи для захисту даних від несанкціонованого доступу, втрати та знищення, зокрема: шифрування передачі даних, контроль доступу, регулярні оновлення та резервні копії. Адміністратор не зберігає повних даних платіжних карток – їх обробляє Stripe. У разі порушення захисту даних Адміністратор повідомляє наглядовий орган і, якщо цього вимагає RODO, осіб, яких стосуються дані.

§ 6. Файли cookies та подібні технології

Вебсайт ye-app.com не використовує файлів cookies чи локального сховища браузера і нічого не зберігає на пристрої Користувача.
Застосунок зберігає на пристрої лише те, що необхідно для його роботи: сесію входу, обрану мову та копію даних, потрібну для роботи без інтернету. Відповідно до ст. 399 Закону про електронні комунікації це не потребує згоди.
Інструмент аналітики (PostHog) зберігає в Застосунку анонімний ідентифікатор лише після надання згоди «Аналітика» (§ 2).
Сервіс не використовує рекламних cookies чи рекламних ідентифікаторів.
Оплата відбувається на сторінці Stripe, яка використовує власні cookies (зокрема для запобігання шахрайству) відповідно до політики приватності Stripe.

§ 7. Добровільність надання даних, відсутність профілювання, повноліття

Надання адреси e-mail або номера телефону є добровільним, але необхідним для створення Акаунта та запису на Заходи. Дані профілю, а також згоди «Аналітика», «Фото зі зустрічей» і «Анонси нових подій» є цілком добровільними; їх відсутність не обмежує користування Сервісом чи участь у Заходах.
Адміністратор не ухвалює автоматизованих рішень, що мають правові наслідки для Користувача, і не здійснює профілювання в розумінні ст. 22 RODO. Адміністратор не використовує в Сервісі чат-ботів чи інструментів штучного інтелекту для ухвалення рішень щодо Користувачів.
Сервіс призначений для повнолітніх осіб. Адміністратор свідомо не збирає даних осіб, молодших за 18 років; у разі виявлення таких даних їх буде видалено.

§ 8. Зміни Політики

Адміністратор може змінити Політику з поважних причин (зміна законодавства, послуг чи способу обробки даних). Актуальна версія доступна в Сервісі та Застосунку; про суттєві зміни Адміністратор повідомляє Користувачів e-mail або в Застосунку з розумним випередженням (щонайменше за 14 днів). Зміни не впливають на вже надані згоди, крім випадків, коли змінюється мета обробки, – тоді потрібна нова згода.

Privacy policy

Version of 14 October 2026. The Polish version is binding; the Ukrainian and English versions are informative translations, and in case of any discrepancy the Polish version prevails.

§ 1. Controller and general provisions

This Policy sets out how the personal data of Users of the website ye-app.com and of the mobile app “НАДІЯ Є” (the “App”; together, the “Service”) is processed and protected.
The controller of personal data is Yevheniia Taradaika, running a business under the name Yevheniia Taradaika, ul. Generała Juliana Filipowicza 6/20a, 30-611 Kraków, Poland, NIP: 6793358106, REGON: 544061049 (the “Controller”).
Data protection contact: e-mail [email protected], phone +48 571 288 656.
Data is processed in accordance with Regulation (EU) 2016/679 of the European Parliament and of the Council (GDPR) and Polish law.
Capitalised terms (User, Event, Account, Ticket, Terms) have the meaning given to them in the Terms of the Service.

§ 2. Purposes, data, legal bases and retention

For each purpose, this section states which data it covers, on what legal basis it is processed and how long it is kept.

Account and sign-in

Data: the e-mail address or phone number the User signs in with (both can be added), and the chosen language.
Legal basis: Art. 6(1)(b) GDPR (performance of the contract for an electronically supplied service).
Retention: until the Account is deleted; backups – up to 30 days after deletion. If the User does not accept the Terms right after confirming the code, the Account is deleted at once, together with the e-mail address or phone number.

Profile (optional data)

Data: name, profile photo, a few words about oneself, Instagram, Telegram and Facebook profile names and a WhatsApp number – only what the User chooses to provide.
Purpose: so that the Controller can recognise the User at an Event and contact them in the way they chose. The profile is seen only by the User and the Controller; it is not shown to other Users.
Legal basis: Art. 6(1)(a) GDPR (consent given by providing the data voluntarily).
Retention: until the User removes the data (any field can be cleared at any time) or the Account is deleted.

Event registrations

Data: booking details, the Ticket, payment status and amount, confirmation of entry to the Event.
Legal basis: Art. 6(1)(b) GDPR (performance of the contract to take part in the Event).
Retention: until the Event has ended and been settled, then as under “Tax and accounting obligations” and “Claims and proof of consent”. After the Account is deleted, registrations are kept only in anonymised form, not linked to any person, for statistics.

Online payments

Data: the data needed for the payment, passed to Stripe; the Controller receives the payment confirmation and status, not the full card details.
Legal basis: Art. 6(1)(b) GDPR (performance of the contract); Stripe processes some data as a separate controller (among other things, to prevent fraud).
Retention: by the Controller – as under “Tax and accounting obligations”; by Stripe – under its privacy policy.

Push notifications

Data: the Account identifier, the device's notification identifier and the content of the notification (for example, an Event's title and time). Notifications contain no name, e-mail address or phone number.
Legal basis: payment confirmations and refunds, reminders and cancellation notices for Events the User has registered for – Art. 6(1)(b) GDPR (performance of the contract); notifications about new Events – Art. 6(1)(a) GDPR (the “New event announcements” consent), in conjunction with the Polish Electronic Communications Law on direct marketing. Notifications also require permission in the phone's settings.
Retention: until the Account is deleted; once the “New event announcements” consent is withdrawn, no notifications about new Events are sent.

App error reports

Data: a description of the error and the steps leading to it, the App version, language, device model and operating system. Before a report is sent, names, e-mail addresses, phone numbers and the Account identifier are removed from it.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest: finding and fixing errors).
Retention: up to 90 days.

Analytics (with consent only)

Data: an anonymous identifier, the screens opened and actions taken (for example, registering for an Event, paying), the App version, language and device type. Analytics never receives the name, e-mail address, phone number or Account identifier.
Legal basis: Art. 6(1)(a) GDPR (the “Analytics” consent, off by default). Without this consent the analytics tool is not started.
Retention: up to 12 months; after the consent is withdrawn, no new data is collected.

Tax and accounting obligations

Data: data from sales documents (first and last name if an invoice is issued, amount, date).
Legal basis: Art. 6(1)(c) GDPR (legal obligation).
Retention: 5 years from the end of the calendar year in which the tax obligation arose.

Claims and proof of consent

Data: the data needed to establish, pursue or defend claims, and the record of consents given and withdrawn.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest: legal protection and accountability).
Retention: until claims are time-barred (as a rule, 3 or 6 years); the consent record – until the end of the limitation period after the consent is withdrawn.

Security of the Service

Data: IP address, technical data about the device and browser, server logs – including when the website is viewed.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest: security and preventing abuse).
Retention: up to 30 days.

Photos and videos from Events

Data: image (photos, videos) and, where given in the material, a first name.
Purpose: publication on Instagram, Facebook, TikTok, Threads and LinkedIn, and in the App and on the Controller's website.
Legal basis: Art. 6(1)(a) GDPR (the “Photos from meetups” consent) in conjunction with Art. 81(1) of the Polish Copyright and Related Rights Act.
Retention: until the consent is withdrawn.

The consents described above are voluntary, given separately and can be withdrawn at any time (§ 4). Withdrawing consent does not affect the lawfulness of processing carried out before it was withdrawn.

§ 3. Recipients and transfers outside the EEA

Data may be passed to the following recipients; unless stated otherwise, they act as processors under data processing agreements:

Supabase, Inc. – database, sign-in and file storage (such as the profile photo). Data is stored on servers in the EU (Frankfurt am Main, Germany); any access from outside the EEA takes place under standard contractual clauses.
Sendinblue SAS (Brevo), France – sending e-mails with sign-in codes.
Vonage – sending text messages with sign-in codes; the phone number may be processed outside the EEA under standard contractual clauses.
OneSignal, Inc., USA – delivering push notifications; data is transferred to the USA under standard contractual clauses.
Functional Software, Inc. (Sentry) – App error reports; data is stored in the EU (Frankfurt am Main, Germany).
PostHog, Inc. – analytics, with consent only; data is stored in the EU.
DigitalOcean, LLC and Cloudflare, Inc. – hosting and protecting the website; they process the IP address and technical data when it is viewed, including outside the EEA, under standard contractual clauses or the EU-U.S. Data Privacy Framework.
Stripe Payments Europe, Ltd. – online payment operator. For processing payments and preventing fraud, Stripe acts as a separate controller; its rules are set out in Stripe's privacy policy. Stripe may transfer data within its group outside the EEA using the mechanisms provided for in the GDPR.
The accounting office serving the Controller – for accounting documents.
Authorities and bodies entitled to the data by law.

Social media. If the User consents to the use of their image, material from Events is published on the Controller's profiles on Instagram, Facebook (Meta), TikTok, Threads (Meta) and LinkedIn. The operators of these platforms process the data (including the image) as separate controllers under their own rules and may transfer it outside the EEA, including to the USA. The Controller has no influence over third parties copying or sharing that content.

The Controller does not sell personal data and does not pass it to the Service's partners or anyone else for marketing purposes.

As a rule, data is stored in the EEA. It is transferred outside the EEA only in the cases described above, using the mechanisms provided for in Chapter V of the GDPR (an adequacy decision, standard contractual clauses or other mechanisms). A copy of the safeguards can be obtained from the Controller.

§ 4. User rights

The User has the right to access their data and obtain a copy, to rectification, to erasure (the “right to be forgotten”), to restriction of processing, to data portability, and to object to processing based on legitimate interest (Art. 6(1)(f) GDPR).
The User can withdraw a consent (“Analytics”, “Photos from meetups”, “New event announcements”) at any time in the App's settings or by e-mail to [email protected], and can remove profile data in the App. Withdrawing consent does not affect the lawfulness of processing carried out before it was withdrawn. After the consent to the use of the image is withdrawn, the Controller removes the material from its own channels within a reasonable time (as a rule, within 14 days).
The Account can be deleted in the App at any time. Deleting the Account removes the profile, the profile photo and the data held by the push notification service; Event registrations are anonymised. Data the Controller must keep by law (such as accounting documents) is kept for the required period.
The Controller responds to requests without undue delay, within one month of receiving them (the period can be extended where the GDPR allows). The Controller may ask for additional information to confirm identity.
The User has the right to lodge a complaint with the supervisory authority: the President of the Personal Data Protection Office (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, Poland.

§ 5. Data security

The Controller applies appropriate technical and organisational measures to protect data against unauthorised access, loss and destruction, including encrypted transmission, access control, regular updates and backups. The Controller does not store full payment card details – Stripe handles them. In the event of a personal data breach, the Controller notifies the supervisory authority and, where the GDPR requires it, the people whose data is concerned.

§ 6. Cookies and similar technologies

The website ye-app.com does not use cookies or the browser's local storage and stores nothing on the User's device.
The App stores on the device only what it needs to work: the sign-in session, the chosen language and a copy of the data needed to work without an internet connection. Under Article 399 of the Polish Electronic Communications Law this requires no consent.
The analytics tool (PostHog) stores an anonymous identifier in the App only after the “Analytics” consent is given (§ 2).
The Service uses no advertising cookies or advertising identifiers.
Payments take place on Stripe's page, which uses its own cookies (among other things, to prevent fraud) under Stripe's privacy policy.

§ 7. Voluntary data, no profiling, age

Providing an e-mail address or phone number is voluntary but necessary to create an Account and register for Events. Profile data and the “Analytics”, “Photos from meetups” and “New event announcements” consents are entirely voluntary; not providing them does not limit the use of the Service or taking part in Events.
The Controller does not make automated decisions that produce legal effects for the User and does not carry out profiling within the meaning of Art. 22 GDPR. The Controller does not use chatbots or artificial intelligence tools in the Service to make decisions about Users.
The Service is intended for adults. The Controller does not knowingly collect data from people under 18; if such data comes to light, it is deleted.

§ 8. Changes to this Policy

The Controller may change this Policy for good reasons (changes in the law, in the services or in how data is processed). The current version is available in the Service and in the App; the Controller informs Users of significant changes by e-mail or in the App with reasonable notice (at least 14 days). Changes do not affect consents already given unless they change the purpose of processing, in which case new consent is required.