Polityka prywatności

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych jest TDD Projects sp. z o.o. z siedzibą w Katowicach (ul. Bytkowska 103a/17, 40-148 Katowice), wpisana do rejestru przedsiębiorców KRS pod numerem 0001252653, NIP 6343073941.

We wszystkich sprawach dotyczących Twoich danych napisz na [email protected].

2. W skrócie

• Seanse przeglądasz bez konta i bez logowania.
• Nie wyświetlamy reklam, nie profilujemy i nie sprzedajemy danych.
• Nie używamy plików cookie do śledzenia ani do statystyk. Własny plik cookie ustawiamy tylko po zalogowaniu, żeby utrzymać sesję.
• Statystyki odwiedzin i dziennik techniczny trzymamy na własnym serwerze, nie u zewnętrznej firmy analitycznej.

3. Przeglądanie serwisu

Gdy otwierasz stronę, przeglądarka wysyła standardowe dane techniczne: adres IP, adres otwieranej strony, nazwę i wersję przeglądarki oraz systemu (User-Agent) i czas zapytania. Bez nich nie da się wyświetlić strony.

Ruch do serwisu przechodzi przez Cloudflare, który przyspiesza ładowanie stron i chroni serwis przed atakami i botami. Cloudflare przetwarza te dane w naszym imieniu.

Nasz serwer używa adresu IP tylko na chwilę, w pamięci, żeby ograniczać liczbę zapytań z jednego adresu (np. wyszukiwań miejsc) i chronić serwis przed nadużyciami. Nie zapisujemy go w bazie danych ani w dzienniku.

Podstawa prawna: nasz prawnie uzasadniony interes w udostępnianiu serwisu i dbaniu o jego bezpieczeństwo (art. 6 ust. 1 lit. f RODO).

4. Pliki cookie i pamięć przeglądarki

• Wybrany motyw (jasny, ciemny albo systemowy) zapisujemy w pamięci lokalnej przeglądarki (localStorage). Ta informacja nie opuszcza Twojego urządzenia.
• Po zalogowaniu ustawiamy plik cookie sesji (better-auth.session_token), dzięki któremu serwis wie, że jesteś zalogowany. Znika po wylogowaniu albo wygaśnięciu sesji.
• Cloudflare może ustawić techniczny plik cookie służący wyłącznie ochronie przed botami (np. __cf_bm).

Nie używamy innych plików cookie ani podobnych technologii. Te powyżej są niezbędne do działania serwisu albo do usługi, o którą sam prosisz, więc nie wymagają zgody. Możesz je usunąć w ustawieniach przeglądarki: serwis nadal będzie działał, ale motyw wróci do domyślnego, a Ty zostaniesz wylogowany.

5. Statystyki odwiedzin (OpenPanel)

Żeby wiedzieć, z których miast i funkcji korzystacie i czy linki do kas biletowych działają, zliczamy kilka zdarzeń. Używamy do tego narzędzia OpenPanel uruchomionego na naszym własnym serwerze. Zliczamy:

• wyświetlenie strony głównej, strony miasta albo listy kin w pobliżu: tylko sam adres strony (np. /krakow albo /nearby), bez parametrów;
• wybór miasta;
• zmianę filtra (film, wersja językowa, kino, przedział godzin);
• kliknięcie w link do zakupu biletu: sieć kin, kino i film.

Nie wysyłamy do statystyk współrzędnych, wpisanego adresu, treści wyszukiwań, adresu strony, z której do nas trafiasz, ani niczego, co dotyczy Twojego konta. Nie zapisujemy w przeglądarce żadnych identyfikatorów, nie nagrywamy sesji i nie łączymy zdarzeń z kontem.

Jak każde połączenie w internecie, zapytanie do serwera statystyk przekazuje mu Twój adres IP i User-Agent. OpenPanel wylicza z nich przybliżoną lokalizację (kraj, region, miasto), typ urządzenia i przeglądarki oraz identyfikator wizyty: jednokierunkowy skrót z adresu IP i User-Agenta z solą zmienianą codziennie, więc następnego dnia nie da się powiązać Twoich odwiedzin z poprzednimi.

Zdarzenia przechowujemy do 2 lat, potem je usuwamy.

Podstawa prawna: nasz prawnie uzasadniony interes w rozwijaniu serwisu i sprawdzaniu, czy działa (art. 6 ust. 1 lit. f RODO). Możesz się sprzeciwić, pisząc do nas, albo zablokować statystyki w przeglądarce, np. rozszerzeniem blokującym. Serwis działa bez nich tak samo.

6. Wyszukiwanie miejsc i lokalizacja

Wyszukiwanie adresów i miejsc oraz funkcję „kina w pobliżu” obsługuje usługa HERE (HERE Global B.V., Holandia). Gdy wpisujesz adres albo nazwę miejsca, nasz serwer przekazuje wpisany tekst do HERE, żeby podpowiedzieć pasujące miejsca.

Jeśli pozwolisz przeglądarce albo aplikacji ustalić Twoją lokalizację, współrzędne trafiają do naszego serwera, a ten pyta HERE o nazwę tego miejsca. Zapytania do HERE wysyła nasz serwer, więc HERE nie poznaje Twojego adresu IP.

Współrzędne i nazwa miejsca są częścią adresu strony z kinami w pobliżu, żeby można go było zapisać albo komuś wysłać, więc zostają też w historii przeglądarki. Nie zapisujemy ich w bazie danych ani w statystykach.

Udostępnienie lokalizacji jest dobrowolne: zamiast tego możesz wybrać miasto z listy albo wpisać adres. Podstawa prawna: świadczenie usługi, o którą prosisz (art. 6 ust. 1 lit. b RODO).

7. Konto

Konto jest dobrowolne: pozwala zapisać listę ulubionych kin. Logowanie obsługuje nasz własny system (oparty na bibliotece Better Auth), działający na naszym serwerze. Nie korzystamy z logowania przez zewnętrzne serwisy. Na koncie przechowujemy:

• adres e-mail, który służy też jako nazwa konta;
• hasło, wyłącznie jako kryptograficzny skrót, z którego nie da się odtworzyć hasła;
• listę ulubionych kin;
• dla każdej aktywnej sesji: adres IP i User-Agent z chwili logowania oraz datę wygaśnięcia, żeby można było wykryć nieuprawnione logowanie;
• daty założenia i ostatniej zmiany konta.

Podstawa prawna: wykonanie umowy o prowadzenie konta (art. 6 ust. 1 lit. b RODO); dane sesji także nasz prawnie uzasadniony interes w zabezpieczeniu kont (art. 6 ust. 1 lit. f RODO). Podanie adresu e-mail i hasła jest dobrowolne, ale bez nich nie założysz konta.

Dane konta przechowujemy, dopóki konto istnieje. Sesja wygasa po 7 dniach bez korzystania z serwisu, a wylogowanie kończy ją od razu.

Żeby usunąć konto, napisz na [email protected] z adresu przypisanego do konta. Usuniemy je razem z listą ulubionych kin i sesjami niezwłocznie, najpóźniej w ciągu miesiąca, i potwierdzimy to e-mailem.

8. Wiadomości e-mail (Resend)

Wysyłamy wyłącznie wiadomości związane z kontem: potwierdzenie adresu, link do zmiany hasła i powiadomienia o zmianach na koncie, np. o zmianie hasła albo usunięciu konta. Nie wysyłamy newslettera ani reklam.

Wysyłkę obsługuje Resend (Resend, Inc., USA). Dostaje Twój adres e-mail i treść wiadomości, żeby ją dostarczyć, i prowadzi dziennik wysyłek.

Podstawa prawna: wykonanie umowy o prowadzenie konta (art. 6 ust. 1 lit. b RODO) i bezpieczeństwo konta (art. 6 ust. 1 lit. f RODO).

9. Dziennik techniczny (OpenObserve)

Serwis zapisuje dziennik zdarzeń technicznych: błędy, czas działania, wynik wysyłki e-maila. Dzięki niemu wykrywamy i naprawiamy awarie. Dziennik trzymamy w narzędziu OpenObserve na naszym własnym serwerze.

Nie zapisujemy w nim adresów IP, adresów e-mail ani treści wyszukiwań. Może zawierać identyfikator konta, gdy zdarzenie dotyczy działania wykonanego na koncie.

Wpisy przechowujemy do 90 dni. Podstawa prawna: nasz prawnie uzasadniony interes w utrzymaniu serwisu i jego bezpieczeństwie (art. 6 ust. 1 lit. f RODO).

10. Aplikacja mobilna

Aplikacja Cowkinach korzysta z tych samych usług co strona i przetwarza dane tak samo. Dodatkowo:

• zapisuje na urządzeniu ostatnio pobrane repertuary, żeby szybciej się otwierać; dane konta, np. ulubione kina, usuwa przy wylogowaniu;
• plik cookie sesji przechowuje w zaszyfrowanym magazynie systemu (Keychain w iOS, Keystore w Androidzie);
• o dostęp do lokalizacji prosi dopiero wtedy, gdy wybierzesz kina w pobliżu; zgodę możesz cofnąć w ustawieniach systemu;
• nie zbiera statystyk użytkowania.

11. Komu przekazujemy dane

Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu, na podstawie umów powierzenia i tylko w zakresie potrzebnym do działania serwisu:

• Contabo GmbH (Niemcy): serwer, na którym działa serwis, baza danych, statystyki i dziennik techniczny;
• Cloudflare, Inc. (USA): dostarczanie stron i ochrona przed atakami;
• HERE Global B.V. (Holandia): wyszukiwanie adresów i miejsc;
• Resend, Inc. (USA): wysyłka wiadomości e-mail.

Nie sprzedajemy danych i nie udostępniamy ich reklamodawcom. Organom państwowym przekażemy je tylko wtedy, gdy wymaga tego prawo.

Cloudflare i Resend mają siedziby w USA. Dane trafiają tam na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję. Kopię tych zabezpieczeń dostaniesz, jeśli do nas napiszesz.

12. Linki do kas biletowych

Linki do zakupu biletów prowadzą na strony sieci kin, np. Cinema City, Helios albo Multikino. Po przejściu na taką stronę za Twoje dane odpowiada jej operator, zgodnie z własną polityką prywatności.

13. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii;
• sprostowania danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przeniesienia danych, które nam podałeś (dotyczy konta);
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, np. statystyk.

Żeby skorzystać z tych praw, napisz na [email protected]. Odpowiemy w ciągu miesiąca. Możemy poprosić o potwierdzenie, że piszesz z adresu przypisanego do konta.

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym na profilowaniu.

14. Zmiany polityki

Gdy zmienimy sposób przetwarzania danych, zaktualizujemy tę stronę i datę na jej początku. O istotnych zmianach dotyczących konta poinformujemy e-mailem.