Polityka prywatności

§ 1. Informacje ogólne

Niniejsza polityka prywatności opisuje zasady przetwarzania danych osobowych w serwisie internetowym Shorty.pl (dalej: „Serwis"), dostępnym pod adresem shorty.pl. Dokument jest zgodny z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz z polską ustawą o ochronie danych osobowych.

§ 2. Administrator danych

Administratorem Twoich danych osobowych jest właściciel serwisu Shorty.pl. Wszystkie sprawy dotyczące przetwarzania danych osobowych prosimy kierować na:

• E-mail: kontakt@shorty.pl
• Formularz kontaktowy: /kontakt

§ 3. Jakie dane zbieramy

3.1. Newsletter

Jeśli zapisujesz się na newsletter, przetwarzamy:

• Adres e-mail - niezbędny do wysyłki alertów.
• Preferencje - częstotliwość wysyłki, próg zmiany pozycji, watchlistę śledzonych spółek / funduszy.
• Adres IP i User-Agent z momentu zapisu - jako dowód wyrażenia zgody (art. 7 ust. 1 RODO) oraz w celu ochrony przed nadużyciami.
• Datę zapisu i potwierdzenia - jako dowód zgody.

Podstawa prawna: art. 6 ust. 1 lit. a RODO - Twoja dobrowolna zgoda, wyrażona poprzez aktywne zaznaczenie checkboxa i kliknięcie w link potwierdzający w e-mailu (double opt-in).

Okres przechowywania: do momentu wycofania zgody (kliknięcie „Wypisz się" w każdym mailu) lub 24 miesięcy braku aktywności (brak otwierania wiadomości).

3.2. Dane techniczne (logi serwera)

Automatycznie, podczas każdej wizyty, nasz serwer zapisuje:

• Adres IP urządzenia (anonimizowany po 7 dniach).
• Datę i godzinę żądania, URL, metodę HTTP, kod odpowiedzi.
• User-Agent (informacja o przeglądarce i systemie).

Podstawa prawna: art. 6 ust. 1 lit. f RODO - uzasadniony interes administratora (bezpieczeństwo serwisu, wykrywanie nadużyć, diagnostyka błędów).

Okres przechowywania: 30 dni.

3.3. API publiczne

Jeśli korzystasz z naszego publicznego API (/api/v1/*), zapisujemy:

• Identyfikator klucza API (bez samego klucza - w bazie trzymamy tylko hash SHA-256).
• IP, User-Agent, ścieżkę, metodę, status odpowiedzi, czas wykonania - dla każdego wywołania.

Podstawa prawna: art. 6 ust. 1 lit. f RODO - uzasadniony interes (bezpieczeństwo, rate limiting, rozliczenie limitów, wykrywanie nadużyć).

Okres przechowywania: 12 miesięcy od ostatniego użycia klucza.

3.4. Panel administracyjny

Dostęp do panelu jest ograniczony do administratora serwisu. Zapisujemy historię prób logowania (IP, User-Agent, data, powodzenie/błąd) i akcji w panelu - wyłącznie wewnętrznie, nie udostępniamy tych informacji osobom trzecim.

§ 4. Pliki cookies i technologie śledzące

Serwis używa następujących cookies:

• Cookie sesji shorty_admin - tylko dla administratora, po zalogowaniu. Ważne 7 dni, httpOnly, secure.
• Preferencja motywu - zapis w localStorage przeglądarki (nie jest wysyłany na serwer).

Nie używamy cookies marketingowych, remarketingowych ani profilujących. Nie śledzimy użytkowników między serwisami.

4.1. Analityka (jeśli włączona)

W przyszłości możemy włączyć narzędzia analityczne do zbierania anonimowych statystyk ruchu. Wtedy możemy korzystać z:

• Plausible Analytics - narzędzie bez cookies, respektujące prywatność, hostowane w UE. Zbiera zagregowane statystyki (liczba wizyt, popularne strony, kraj) bez identyfikacji użytkownika.
• Google Analytics 4 - z anonimizacją IP. Tylko jeśli wyrazisz zgodę (cookie banner).

Obecnie żadne z tych narzędzi nie jest aktywne - zaktualizujemy tę sekcję po ich wdrożeniu.

§ 5. Odbiorcy danych

Twoje dane przekazujemy wyłącznie:

• Dostawcy hostingu - serwer aplikacji i baza danych (lokalizacja: UE).
• Resend (Resend, Inc.) - dostawca poczty transakcyjnej do wysyłki newslettera. Przekazujemy wyłącznie adres e-mail i treść wiadomości. Polityka prywatności: resend.com/legal/privacy-policy.

Nie sprzedajemy Twoich danych. Nie przekazujemy ich do państw trzecich (poza UE) - poza przypadkami, gdy dostawca usług (np. Resend) przetwarza dane na podstawie Standardowych Klauzul Umownych zgodnie z art. 46 RODO.

§ 6. Twoje prawa

Na mocy RODO przysługują Ci następujące prawa:

• Prawo dostępu do swoich danych (art. 15).
• Prawo do sprostowania nieprawidłowych danych (art. 16).
• Prawo do usunięcia (art. 17) - „prawo do bycia zapomnianym".
• Prawo do ograniczenia przetwarzania (art. 18).
• Prawo do przenoszenia danych (art. 20).
• Prawo do sprzeciwu (art. 21).
• Prawo do wycofania zgody w dowolnym momencie (art. 7 ust. 3).
• Prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych - uodo.gov.pl.

Aby skorzystać z któregokolwiek z praw, napisz na kontakt@shorty.pl. Odpowiadamy w ciągu 30 dni. Wypisanie z newslettera jest natychmiastowe przez link w mailu.

§ 7. Bezpieczeństwo danych

Stosujemy adekwatne środki techniczne i organizacyjne:

• Transmisja szyfrowana TLS 1.3 (HTTPS) - wymuszana przez HSTS.
• Hasła i sekrety w bazie przechowywane jako hashe (SHA-256 lub silniejsze).
• Dostęp do bazy danych zabezpieczony silnym hasłem, tylko z zaufanych adresów.
• Rate limiting, honeypot, audit log do wykrywania nadużyć.
• Content Security Policy ograniczające wykonywanie niezaufanego kodu.
• Regularne aktualizacje zależności (npm audit).

§ 8. Dane publiczne z rejestru KNF

Serwis agreguje i prezentuje publiczne dane z rejestru krótkiej sprzedaży KNF. Nazwy podmiotów zgłaszających pozycje krótkie (fundusze, instytucje finansowe) pochodzą z tego rejestru i są danymi publicznymi, nie osobowymi w rozumieniu RODO - dotyczą osób prawnych, nie fizycznych. Podstawą prawną ich publikacji jest obowiązek jawności rejestru określony przez rozporządzenie unijne 236/2012 (Short Selling Regulation).

§ 9. Dzieci

Serwis nie jest kierowany do osób poniżej 16 roku życia. Nie zbieramy świadomie danych takich osób. Jeśli dowiemy się, że dziecko udostępniło nam swoje dane, usuniemy je niezwłocznie.

§ 10. Zmiany polityki

Zastrzegamy sobie prawo do zmiany niniejszej polityki. Istotne zmiany (np. nowe kategorie danych, nowi odbiorcy) ogłosimy na stronie i poinformujemy subskrybentów newslettera z co najmniej 14-dniowym wyprzedzeniem.

§ 11. Kontakt

W sprawach ochrony danych osobowych - kontakt@shorty.pl. W innych sprawach - zobacz stronę Kontakt.