Wróć do strony głównej
Spis treści

Polityka prywatności serwisu Yep.to!

Wersja: 1.1
Data wejścia w życie: 2026-09-10

1. Administrator danych i kontakt

Administratorem danych osobowych przetwarzanych w związku z serwisem yep.to i listą zainteresowanych jest:

Yep.to! Sp. z o.o. w organizacji
spółka z ograniczoną odpowiedzialnością w organizacji
ul. Jana Kantego Federowicza 5/43
30-392 Kraków, Polska
e-mail: hello@yep.to

KRS i NIP nie zostały jeszcze nadane, ponieważ spółka pozostaje w organizacji. Dane identyfikacyjne zostaną uaktualnione po wpisie spółki do rejestru i nadaniu właściwych numerów.

W sprawach dotyczących danych osobowych, wycofania zgody, sprzeciwu, usunięcia danych lub zgłoszenia nieuprawnionego użycia adresu e-mail można kontaktować się pod adresem hello@yep.to.

Lista zainteresowanych ma charakter B2B i jest przeznaczona do kontaktu w związku z działalnością gospodarczą lub zawodową w e-commerce. Nie oznacza to, że nie przetwarzamy danych osób fizycznych: adresem może posługiwać się przedsiębiorca będący osobą fizyczną, pracownik, współpracownik lub inna osoba działająca w imieniu albo na rzecz przedsiębiorcy.

2. Jakie dane przetwarzamy

Zakres danych zależy od sposobu korzystania z serwisu.

2.1. Zapis na listę zainteresowanych

Możemy przetwarzać:

W podstawowym modelu nie zapisujemy na stałe adresu IP ani identyfikatora user-agent jako elementu profilu osoby na Liście i nie traktujemy ich jako obowiązkowego „dowodu zgody”.

2.2. Rezygnacja

Do obsługi rezygnacji używamy losowego tokenu o wysokiej entropii. W bazie przechowywany jest jego bezpieczny skrót. Sam token nie jest przeznaczony do zapisywania w logach aplikacji ani przekazywania do analityki.

2.3. Bezpieczeństwo serwisu i formularza

W celu ochrony serwisu mogą być krótkotrwale przetwarzane dane techniczne, w szczególności:

Nie zapisujemy w logach aplikacji pełnych żądań formularza, haseł, kluczy Turnstile, tokenów rezygnacji ani pełnej treści wiadomości e-mail bez potrzeby.

2.4. Cloudflare Turnstile

Formularz jest chroniony przez Cloudflare Turnstile. W aktualnej konfiguracji używany jest tryb Managed, a pre-clearance pozostaje wyłączony. Turnstile może przetwarzać sygnały techniczne potrzebne do odróżnienia człowieka od zautomatyzowanego ruchu, w szczególności adres IP, informacje o przeglądarce i środowisku, user-agent, sygnały TLS, dane o pochodzeniu/site key oraz wyniki wyzwań technicznych.

Nie przekazujemy do Turnstile treści pola e-mail jako danych formularza. Serwer weryfikuje token Turnstile w Cloudflare; parametr remoteip nie jest wysyłany przez aplikację w wariancie minimalizującym dane.

2.5. Cloudflare jako DNS i proxy WWW

Ruch do publicznej strony przechodzi przez Cloudflare jako warstwę DNS/proxy i ochrony WWW. Oznacza to techniczne przetwarzanie m.in. adresów IP, nagłówków HTTP, danych połączenia i informacji potrzebnych do dostarczenia oraz ochrony ruchu. Cloudflare może używać ściśle niezbędnych mechanizmów bezpieczeństwa, w tym — zależnie od rzeczywiście uruchomionych funkcji ochronnych — technicznych plików cookie związanych z challenge lub ochroną przed botami.

2.6. Cloudflare Web Analytics

W pierwszym wydaniu Cloudflare Web Analytics/RUM jest całkowicie wyłączony. Serwis nie ładuje beacona Web Analytics i nie wykorzystuje przeglądarkowego RUM do pomiaru polskiego ani innego ruchu.

Ewentualne późniejsze włączenie Web Analytics/RUM wymaga ponownej oceny prawnej i technicznej, aktualizacji niniejszej Polityki oraz — jeżeli mechanizm ma działać dla użytkownika w zakresie wymagającym zgody — wdrożenia uprzedniej zgody przed uruchomieniem skryptu.

2.7. Korespondencja z hello@yep.to

Jeżeli użytkownik sam kontaktuje się z nami, przetwarzamy dane zawarte w wiadomości, jej nagłówkach i dalszej korespondencji w zakresie potrzebnym do udzielenia odpowiedzi, realizacji żądania, rozpatrzenia reklamacji, obsługi praw lub wyjaśnienia zgłoszenia nadużycia.

3. Cele i podstawy prawne

Cele i podstawy przetwarzania danych
Cel Dane Podstawa w RODO Dodatkowa podstawa / uwaga
Przyjęcie i utrzymywanie zapisu na Liście jako nieodpłatnej usługi B2B e-mail, język, stan zapisu, dane zdarzenia art. 6 ust. 1 lit. b RODO — gdy osoba sama żąda usługi w związku z własną działalnością; art. 6 ust. 1 lit. f RODO — gdy osoba działa w imieniu lub na rzecz przedsiębiorcy, jako prawnie uzasadniony interes w obsłudze żądanego kontaktu B2B adres e-mail jest niezbędny do świadczenia usługi Listy
Wysyłanie informacji o rozwoju i przyszłym dostępie do Yep.to!, pytań o potrzeby firmy oraz ewentualnych zaproszeń do testów e-mail, język, aktualny stan zgody art. 6 ust. 1 lit. a RODO — zgoda dodatkowo art. 398 PKE; zakres celu jest pokazany przed wysłaniem formularza
Informacyjne potwierdzenie skutecznego zapisu e-mail, język, zdarzenie zapisu art. 6 ust. 1 lit. b lub lit. f RODO — odpowiednio do roli osoby w relacji B2B wiadomość operacyjna potwierdzająca wykonany zapis; nie weryfikuje własności skrzynki
Wykazanie treści i przebiegu zgody, obsługa wycofania, sprzeciwu i ewentualnych roszczeń historia zgód, treść komunikatu, wersje dokumentów, czasy, rezygnacje, blokady art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes w rozliczalności, obronie roszczeń i respektowaniu dyspozycji osoby zakres danych ograniczamy do tego, co potrzebne do tych celów
Ochrona formularza, infrastruktury i poczty przed nadużyciami, oszustwami i automatycznym ruchem IP/pseudonimizowany identyfikator, metadane żądania, logi bezpieczeństwa, Turnstile art. 6 ust. 1 lit. f RODO — bezpieczeństwo i zapobieganie nadużyciom dla niezbędnych mechanizmów urządzenia zastosowanie może mieć wyjątek z art. 399 ust. 3 PKE
Utrzymywanie blokady po zgłoszeniu nieuprawnionego zapisu, wyraźnym sprzeciwie, skardze lub trwałym błędzie dostarczenia minimalny identyfikator adresu, stan i przyczyna blokady art. 6 ust. 1 lit. f RODO — respektowanie żądań i zapobieganie ponownemu niepożądanemu kontaktowi blokada nie jest podstawą do dalszego marketingu
Obsługa wiadomości, pytań i reklamacji treść korespondencji i dane kontaktowe art. 6 ust. 1 lit. b, lit. f lub lit. c RODO, zależnie od charakteru sprawy zakres dobieramy do konkretnego żądania

Nie wykorzystujemy prawnie uzasadnionego interesu jako sposobu obejścia wymaganej zgody na przesyłanie informacji handlowych lub na niekonieczny dostęp do informacji w urządzeniu.

4. Jak wyrażana i wycofywana jest zgoda na kontakt

  1. Przed wysłaniem formularza użytkownik widzi konkretny cel przyszłego kontaktu: informacje o rozwoju i przyszłym dostępie do Yep.to!, możliwość późniejszych pytań o potrzeby firmy oraz ewentualne zaproszenie do testów.
  2. Użytkownik świadomie wpisuje adres e-mail i wybiera przycisk „Dołącz do listy” / „Join the list”. W tym kontekście podanie adresu jest czynnością wyrażającą zgodę na opisany kontakt elektroniczny.
  3. Nie stosujemy obowiązkowego checkboxa i nie wymagamy drugiego kliknięcia aktywacyjnego. Single opt-in nie oznacza jednak, że uznajemy własność skrzynki za zweryfikowaną.
  4. Przechowujemy odtwarzalny ślad tego, kiedy, w jakim języku i wobec jakiej treści użytkownik dokonał zapisu.
  5. Zgodę można wycofać w każdej chwili równie łatwo, korzystając z linku rezygnacji w wiadomości albo pisząc na hello@yep.to.
  6. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed jej wycofania.

5. Co dzieje się po rezygnacji lub sprzeciwie

  1. Zwykła rezygnacja zatrzymuje dalszą korespondencję z bieżącego cyklu i anuluje niewysłane ponowienia wiadomości z tego cyklu.
  2. Po zwykłej rezygnacji można ponownie zapisać ten sam adres przez formularz, jeżeli nie ma blokady administracyjnej. Ponowny zapis tworzy nowe zdarzenie zgody i nie usuwa historycznego faktu wcześniejszej rezygnacji.
  3. Jednoznaczne zgłoszenie, że adres został wpisany bez zgody właściciela, albo wyraźny sprzeciw wobec dalszego marketingu może skutkować blokadą administracyjną. Publiczny formularz nie usuwa takiej blokady.
  4. Po wycofaniu zgody lub sprzeciwie możemy zachować minimalną informację o zdarzeniu i blokadzie na odrębnej podstawie prawnej, jeżeli jest to potrzebne do wykazania prawidłowości działania, obrony roszczeń lub zapobieżenia ponownemu niepożądanemu kontaktowi.

6. Skąd mamy dane

Zasadniczo dane otrzymujemy bezpośrednio od osoby korzystającej z formularza lub kontaktującej się z nami.

Ponieważ model single opt-in nie weryfikuje własności skrzynki, możliwe jest, że ktoś poda adres należący do innej osoby. W takim przypadku pierwsza wiadomość na ten adres zawiera informację o dokonanym zapisie, możliwość łatwej rezygnacji oraz sposób zgłoszenia nieuprawnionego użycia adresu. W zakresie, w jakim RODO wymaga informacji przy pozyskaniu danych z innego źródła, przekazujemy ją najpóźniej przy pierwszym kontakcie.

7. Odbiorcy i podmioty przetwarzające

Dane mogą być ujawniane wyłącznie w zakresie potrzebnym do realizacji opisanych celów:

  1. dhosting.pl Sp. z o.o. — dostawca hostingu WWW, infrastruktury MariaDB, początkowego transportu SMTP, logów i kopii zapasowych. Dla używanego konta została zawarta umowa powierzenia przetwarzania danych. Rzeczywiste miejsca przetwarzania, podprocesorzy, retencje dostawcy i ewentualne transfery wynikają z aktualnej umowy oraz dokumentacji dHosting i podlegają kontroli przy konfiguracji.
  2. Cloudflare, Inc. — dostawca DNS/proxy WWW, zabezpieczeń i Turnstile. W usługach wykonywanych w naszym imieniu Cloudflare działa na warunkach swojego Data Processing Addendum. W dokumentacji Turnstile Cloudflare wskazuje ponadto, że określone sygnały może przetwarzać jako odrębny administrator dla bezpieczeństwa i ulepszania usługi. Web Analytics/RUM nie jest aktywną usługą tego wydania.
  3. Upoważnione osoby działające w ramach Yep.to! Sp. z o.o. w organizacji, mające dostęp tylko w zakresie potrzebnym do utrzymania Listy, obsługi wiadomości, bezpieczeństwa i praw osób.
  4. Organy publiczne lub inni odbiorcy, jeżeli ujawnienie wynika z obowiązującego prawa albo jest potrzebne do ustalenia, dochodzenia lub obrony roszczeń.

Google Workspace nie jest opisany jako aktywny dostawca poczty tej wersji serwisu. Planowana późniejsza migracja poczty będzie wymagała aktualizacji oceny dostawców, transferów i niniejszej Polityki przed przełączeniem produkcyjnego przetwarzania.

8. Cloudflare i informacje w urządzeniu

8.1. Brak klasycznych cookies nie rozstrzyga obowiązku zgody

Prawo komunikacji elektronicznej obejmuje nie tylko pliki cookie, lecz także przechowywanie informacji i uzyskiwanie dostępu do informacji już przechowywanej w urządzeniu użytkownika. Dlatego oceniamy każdy mechanizm według rzeczywistego działania, a nie samej nazwy „cookie-free”.

8.2. Turnstile

Turnstile służy ochronie konkretnej, żądanej przez użytkownika funkcji zapisu przed automatycznym nadużyciem. Przyjęta konfiguracja używa trybu Managed i nie włącza pre-clearance / cf_clearance wyłącznie na potrzeby formularza. Traktujemy niezbędne operacje Turnstile jako element bezpieczeństwa potrzebny do świadczenia usługi zapisu, a nie analitykę lub marketing.

Przed publikacją należy sprawdzić rzeczywisty serwis i ustawienia Cloudflare, aby potwierdzić, że nie zostały włączone dodatkowe funkcje, które tworzą niekonieczne identyfikatory lub wymagają odrębnej zgody.

8.3. Proxy i techniczne cookies bezpieczeństwa

Cloudflare proxy i mechanizmy ochronne mogą stosować techniczne środki niezbędne do dostarczenia lub zabezpieczenia żądania. Jeżeli w praktyce pojawi się cookie challenge lub podobny identyfikator, jego charakter i cel zostaną zweryfikowane. Nie klasyfikujemy automatycznie każdego mechanizmu Cloudflare jako „niezbędnego” tylko dlatego, że pochodzi od dostawcy bezpieczeństwa.

8.4. Web Analytics/RUM

W pierwszym wydaniu Cloudflare Web Analytics/RUM jest wyłączony w całości. Nie jest ładowany beacon analityczny i nie jest potrzebny baner zgody na analitykę tylko na potrzeby tego niewłączonego narzędzia.

Włączenie Web Analytics/RUM w przyszłości jest zmianą sposobu przetwarzania i wymaga wcześniejszej aktualizacji konfiguracji, oceny prawnej oraz niniejszej Polityki.

9. Transfery danych poza EOG

  1. W związku z usługami Cloudflare dane mogą być przetwarzane również poza Europejskim Obszarem Gospodarczym, w tym w Stanach Zjednoczonych.
  2. Aktualny Cloudflare Data Processing Addendum (v6.4, obowiązujący od 3 kwietnia 2026 r.) przewiduje mechanizmy transferowe obejmujące — zależnie od sytuacji — decyzję o adekwatności w ramach EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne (SCC) dla transferów, które wymagają takiego zabezpieczenia.
  3. Decyzja wykonawcza Komisji (UE) 2023/1795 dotycząca EU-U.S. Data Privacy Framework pozostawała według EUR-Lex w mocy przy ostatniej weryfikacji tej Polityki. Przy istotnej zmianie usług należy ponownie zweryfikować właściwy mechanizm i aktualny status dostawcy.
  4. W odniesieniu do dHosting rzeczywiste miejsca przetwarzania, podprocesorzy i ewentualne transfery wynikają z aktualnej umowy powierzenia oraz dokumentacji dostawcy. Nie deklarujemy transferu poza EOG ani jego braku bez oparcia w tych materiałach.

10. Okresy przechowywania

Nie istnieje jeden ustawowy okres przechowywania właściwy dla wszystkich danych z Listy. Stosujemy ograniczenie przechowywania według celu:

  1. Aktywny adres na Liście: do wycofania zgody, zakończenia usługi Listy albo utraty celu, dla którego adres został zebrany — w zależności od tego, co nastąpi wcześniej. Przydatność aktywnej listy podlega okresowemu przeglądowi.
  2. Dowód zgody, rezygnacji i istotnych zmian stanu: po zakończeniu aktywnego kontaktu w minimalnym zakresie przez 3 lata, o ile dalsze przechowywanie nadal jest potrzebne do rozliczalności, respektowania żądań lub obrony roszczeń.
  3. Blokada po sprzeciwie, zgłoszeniu nadużycia lub trwałym błędzie: minimalna informacja potrzebna do zapobiegania ponownemu kontaktowi jest utrzymywana tak długo, jak długo system Listy lub odpowiadający mu kanał komunikacji pozostaje aktywny i istnieje rzeczywista potrzeba respektowania blokady, a następnie podlega przeglądowi pod kątem rozliczalności i roszczeń.
  4. Krótkotrwałe liczniki antyspamowe: tylko przez okno limitu i niewielki techniczny bufor niezbędny do egzekwowania ograniczenia.
  5. Zminimalizowane logi błędów aplikacji: przez 14 dni.
  6. Logi dostawców i bezpieczeństwa: według rzeczywiście skonfigurowanej retencji oraz warunków dostawcy, nie dłużej niż jest to potrzebne do bezpieczeństwa, diagnostyki i rozliczalności.
  7. Kopie zapasowe: przez okres wynikający z rzeczywiście skonfigurowanej rotacji kopii dHosting, ograniczony do czasu potrzebnego do odtworzenia po awarii i zgodny z przyjętą polityką backupu. Szczegółowa rotacja jest potwierdzana operacyjnie przed otwarciem zapisu. Odtworzenie kopii nie może samo reaktywować wycofanej zgody, usunąć blokady ani wznowić anulowanej wysyłki.
  8. Korespondencja: przez okres potrzebny do załatwienia sprawy, a następnie — jeśli jest to uzasadnione — przez okres potrzebny do wykazania jej przebiegu lub obrony roszczeń.

11. Prawa osoby, której dane dotyczą

W zależności od przesłanek określonych w RODO użytkownik ma prawo do:

Żądania można kierować na hello@yep.to. Odpowiadamy bez zbędnej zwłoki, co do zasady w terminie jednego miesiąca, z możliwością przedłużenia w przypadkach przewidzianych w RODO.

Wycofanie zgody przez link rezygnacji jest najprostszym sposobem zatrzymania dalszej korespondencji, ale nie ogranicza pozostałych praw z RODO.

12. Czy podanie danych jest obowiązkowe

Podanie adresu e-mail jest dobrowolne, ale konieczne, jeżeli użytkownik chce skorzystać z usługi Listy B2B i otrzymywać opisaną korespondencję. Nie wymagamy podania imienia, nazwiska, nazwy firmy, telefonu ani odpowiedzi na ankietę przy pierwszym zapisie.

13. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec osób zapisanych na Listę decyzji wywołujących skutki prawne lub podobnie istotnie na nie wpływających wyłącznie w sposób zautomatyzowany. Turnstile i limity bezpieczeństwa automatycznie oceniają pojedyncze zgłoszenia w celu ochrony formularza, lecz nie są używane do oceny wartości biznesowej osoby ani do tworzenia profilu marketingowego.

14. Bezpieczeństwo

Dobieramy środki bezpieczeństwa odpowiednio do ryzyka. W aktualnym projekcie obejmują one m.in. HTTPS, Cloudflare proxy i ochronę WWW, Turnstile, walidację po stronie serwera, ograniczanie częstotliwości zgłoszeń, parametryzowane zapytania do bazy, oddzielone uprawnienia, przechowywanie sekretów poza katalogiem publicznym, ograniczony dostęp administracyjny, kopie zapasowe oraz rejestrowanie najważniejszych zdarzeń operacyjnych bez zbędnego powielania danych osobowych.

Opis środków bezpieczeństwa nie stanowi gwarancji braku incydentów ani deklaracji certyfikacji, której nie posiadamy.

15. Zmiany Polityki

Polityka będzie aktualizowana, gdy zmieni się rzeczywisty sposób przetwarzania danych, dostawca, cel kontaktu, rodzaj danych, konfiguracja analityki lub zakres serwisu. Istotna zmiana Polityki sama w sobie nie rozszerza wcześniej udzielonej zgody na marketing lub kontakt elektroniczny.

Szczególnej aktualizacji wymagają m.in. rejestracja spółki, migracja produkcyjnej poczty do Google Workspace, włączenie Web Analytics/RUM lub innych trackerów, rozszerzenie Listy poza przyjęty model B2B, uruchomienie ankiety zbierającej nowe dane oraz przejście z landing page do aplikacji SaaS.

Kontakt w sprawach prywatności: hello@yep.to
Administrator: Yep.to! Sp. z o.o. w organizacji, ul. Jana Kantego Federowicza 5/43, 30-392 Kraków, Polska.

Wróć na początek dokumentu