POLITYKA PRYWATNOŚCI FLEXPAY

1. Administrator i kontakt

Administratorem danych w zakresie operacji własnych serwisu jest operator wskazany w sekcji Kontakt. Merchant, w tym FlexCloud, oraz dostawca płatności mogą przetwarzać dane we własnych celach i na własnych podstawach prawnych. Wnioski dotyczące konkretnego zamówienia można kierować również do merchantu wskazanego przy płatności.

2. Kategorie danych

FlexPay może przetwarzać: identyfikatory płatności, merchant order ID, identyfikator projektu, cel płatności, kwotę, walutę, wybraną metodę, statusy, czas utworzenia i zakończenia, identyfikatory próby operatora oraz dane zlecenia przekazane przez merchantu.

Może przetwarzać także e-mail, imię, nazwisko i telefon, jeżeli merchant przekazał je do realizacji lub obsługi transakcji. Logi techniczne mogą zawierać adres IP, user-agent, identyfikator żądania, czas i wynik operacji, w zakresie potrzebnym do bezpieczeństwa i diagnostyki.

FlexPay nie otrzymuje ani nie przechowuje pełnego numeru karty PAN, CVV ani kodu BLIK w opisanym przepływie. Dane wpisywane w bezpieczne pola lub systemy operatora podlegają dokumentom tego operatora.

3. Cele i podstawy prawne

Cele obejmują: obsługę interfejsu płatności, przekazanie zlecenia, weryfikację statusu, komunikację z merchantem, zapobieganie nadużyciom, idempotencję, bezpieczeństwo, obsługę reklamacji oraz obronę przed roszczeniami.

Podstawą może być wykonanie umowy lub działania przed jej zawarciem, obowiązek prawny, prawnie uzasadniony interes administratora albo zgoda, jeżeli jest wymagana. Konkretna podstawa zależy od czynności i roli administratora.

4. Odbiorcy i role podmiotów

Dane mogą być przekazywane merchantowi, właściwemu dostawcy płatności, dostawcom hostingu, infrastruktury, monitoringu bezpieczeństwa, obsługi poczty i wsparcia technicznego — wyłącznie w zakresie potrzebnym do ich funkcji.

Nie opisujemy automatycznie PayU ani Przelewy24 jako podmiotów przetwarzających FlexPay. Ich rola wynika z konkretnego modelu prawnego i umownego; mogą działać jako niezależni administratorzy lub w innej roli. Właściwe informacje publikuje również dany dostawca.

5. Przechowywanie

Dane są przechowywane przez okres potrzebny do obsługi transakcji, bezpieczeństwa, rozliczalności, reklamacji i obrony roszczeń, a jeżeli obowiązek wynika z prawa — przez okres tego obowiązku. Okres może zależeć od rodzaju danych i roli podmiotu.

Po upływie okresu dane są usuwane, anonimizowane albo ograniczane, z wyjątkiem kopii technicznych usuwanych w cyklu retencji infrastruktury.

6. Bezpieczeństwo

Stosujemy HTTPS, ograniczenie zakresu danych, kontrolę dostępu, podpisywanie komunikacji serwerowej, ochronę przed powtórzeniem zdarzeń, walidację kwoty i waluty oraz redakcję danych wrażliwych z logów. Żadne środki techniczne nie są przedstawiane jako gwarancja absolutnego bezpieczeństwa.

7. Prawa osoby

Osobie przysługuje, na zasadach RODO, prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu — gdy ma zastosowanie — oraz wycofania zgody bez wpływu na wcześniejszą zgodność przetwarzania.

Wniosek należy wysłać na adres kontaktowy administratora, opisując zakres żądania i bezpieczny identyfikator sprawy. Możemy poprosić o informacje niezbędne do potwierdzenia tożsamości.

Osoba ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych jako właściwego organu nadzorczego.

8. Automatyczne decyzje i profilowanie

FlexPay nie stosuje profilowania osoby ani zautomatyzowanego podejmowania decyzji wywołującego wobec niej skutki prawne jako własnej funkcji serwisu. Dostawca płatności lub bank może stosować własne mechanizmy bezpieczeństwa i oceny ryzyka na podstawie własnych dokumentów.

9. Transfery poza EOG

Nie zakładamy transferu danych poza Europejski Obszar Gospodarczy bez podstawy. Jeżeli wybrany dostawca lub infrastruktura będzie wymagać takiego transferu, zostanie on oparty na właściwym mechanizmie prawnym i opisany w aktualnej informacji prywatności.