Polityka prywatności

Obowiązuje od 28 października 2026.

Ta polityka wyjaśnia, jakie dane osobowe przetwarzamy w serwisie Reyestr (reyestr.pl, partner.reyestr.pl, aplikacje "Reyestr" i "Reyestr Partner"), po co, jak długo, komu je przekazujemy i jakie masz prawa. Opisuje też pliki cookies i podobne technologie.

1. Administratorem danych przetwarzanych przez serwis jest CODE BAKERS spółka z ograniczoną odpowiedzialnością z siedzibą w Poznaniu, ul. Milczańska 5/91, 61-131 Poznań, KRS 0000927955, NIP 7822903341 (dalej: Reyestr, my).
2. Kontakt w sprawach danych osobowych: [email protected] albo pisemnie na adres siedziby. Nie wyznaczyliśmy inspektora ochrony danych.
3. Firmy w serwisie są odrębnymi administratorami danych swoich klientów i zespołu. Gdy rezerwujesz wizytę albo firma wpisuje Cię do swojego kalendarza, firma przetwarza Twoje dane, żeby wykonać usługę, i odpowiada za to jako administrator. W zakresie danych, które firma prowadzi w serwisie (karta klienta, notatki, wizyty, odpowiedzi z formularzy, korespondencja, programy lojalnościowe), przetwarzamy dane w imieniu firmy na podstawie umowy powierzenia (art. 28 RODO). Pytania o te dane najlepiej kierować do firmy; dane kontaktowe firmy są w jej profilu. Jeśli napiszesz do nas, przekażemy prośbę firmie.

1. Od Ciebie - przy zakładaniu konta, rezerwacji, wypełnianiu formularzy, pisaniu wiadomości i opinii, kontakcie z nami.
2. Od dostawcy logowania (Google, Apple, Facebook, Microsoft), jeśli z niego korzystasz: identyfikator konta u dostawcy, adres e-mail z informacją, czy dostawca go potwierdził, imię i nazwisko. Nie dostajemy i nie przechowujemy Twojego hasła ani tokenów dostępu do konta u dostawcy.
3. Od firm - gdy firma wpisuje Twoją wizytę, zakłada Twoją kartę klienta, ocenia Cię po wizycie albo zgłasza zagrożenie.
4. Od operatora płatności Autopay (dla firm) - wynik płatności i identyfikator zapisanej karty (bez numeru karty).
5. Z Twojego urządzenia - dane techniczne przy korzystaniu z serwisu (adres IP, przeglądarka, system), a za Twoją zgodą lokalizacja i dane analityczne.

Przetwarzamy tylko dane potrzebne do działania serwisu. Nie zbieramy daty urodzenia, adresu zamieszkania (poza adresem wizyty z dojazdem), numerów kart płatniczych ani dokumentów tożsamości.

1. Konto: imię i nazwisko, adres e-mail, numer telefonu, skrót hasła (hasła nie znamy - przechowujemy wynik funkcji Argon2id), typ konta, ustawienie "Przypomnienia SMS", daty potwierdzenia e-maila i telefonu, połączone logowania (dostawca, identyfikator, e-mail, data ostatniego użycia).
2. Zgody: rodzaj (regulamin, zasady moderacji, polityka prywatności, informacje handlowe e-mail i SMS, zgoda na przechowywanie informacji o wizycie w kategorii zdrowotnej), wersja dokumentu, data udzielenia i wycofania, adres IP, przeglądarka, źródło (rejestracja, ustawienia, zaproszenie).
3. Urządzenia mobilne: token powiadomień push, rodzaj aplikacji, informacja, czy powiadomienia są włączone.
4. Rezerwacje i wizyty: firma, usługa, pracownik, termin, cena (także cena sprzed obniżki i najniższa z 30 dni), status, powód odwołania, kto odwołał, imię i numer telefonu z chwili rezerwacji, adres i położenie wizyty z dojazdem, wersje regulaminów firmy przypięte do wizyty, odpowiedzi z formularzy firmy (mogą zawierać dane o zdrowiu, jeśli firma o nie pyta). Sama wizyta u firmy z kategorii zdrowotnej (fizjoterapeuci, psycholodzy, logopedzi, dietetycy) może ujawniać stan zdrowia - zob. sekcja 4a.
5. Opinie i oceny: Twoje opinie o firmach (ocena, komentarz, odpowiedź firmy); oceny wystawione Ci przez firmy (ocena, komentarz - widoczny tylko dla firmy, która go wystawiła); Twoja średnia ocen; Twoje zastrzeżenia do ocen i nasze odpowiedzi.
6. Bezpieczeństwo: zgłoszenia zagrożenia od firm (opis, wizyta), blokady rezerwacji (przez firmę i platformowe), blokady kont.
7. Wiadomości: treść rozmów z firmami, daty, stan przeczytania.
8. Programy lojalnościowe: udział, saldo, historia naliczeń i nagród, kod polecenia, polecenia.
9. Spory, zgłoszenia treści, zgłoszenia problemów, zapytania od firm (nazwa firmy, imię i nazwisko, e-mail, telefon, treść).
10. Firmy i ich zespół: nazwa, adres i położenie firmy, dane kontaktowe, kategoria, usługi i ceny, zdjęcia (logo, galeria, zdjęcia pracowników), dane do faktury (NIP, nazwa, adres, e-mail do faktur), członkowie zespołu i ich role, grafiki i nieobecności, płatności abonamentu (kwota, status, okres, identyfikator zapisanej karty nadany przez Autopay), faktury.
11. Klienci wpisani przez firmę bez konta (dane, za które odpowiada firma): imię, numer telefonu, opcjonalny e-mail, zgoda na przypomnienia SMS i na zaproszenie do aplikacji zaznaczona przez firmę.
12. Dane techniczne: adres IP i identyfikator żądania w dziennikach serwera, liczniki ograniczeń liczby żądań (adres IP albo konto, przez krótki czas), identyfikator sesji.
13. Lokalizacja (tylko za Twoją zgodą w przeglądarce albo systemie): współrzędne służą do wyszukania firm w pobliżu w chwili wyszukiwania i są zapamiętywane wyłącznie na Twoim urządzeniu; nie zapisujemy ich na koncie. Lokalizacji nigdy nie ustalamy z adresu IP.
14. Dziennik działań operatora: kto z naszego zespołu, kiedy i co zmienił (np. ukrycie opinii, odwołanie wizyty, otwarcie odpowiedzi z formularza).

4a. Dane szczególnej kategorii: rezerwacje w kategoriach zdrowotnych

1. Dane o zdrowiu należą do szczególnej kategorii (art. 9 RODO). Sama informacja, że rezerwujesz wizytę u fizjoterapeuty, psychologa, logopedy albo dietetyka, może ujawniać Twój stan zdrowia - choć nie musi (do psychologa można pójść na zwykłą rozmowę). Dlatego przy rezerwacji online u firmy z takiej kategorii prosimy o osobną, wyraźną zgodę.
2. Zgoda dotyczy przechowywania przez Reyestr informacji o tej wizycie (firma, usługa, termin, status) w Twoim koncie, w "Moich wizytach", w przypomnieniach i w naszych kopiach zapasowych. Treść pola: "Zgadzam się, aby Reyestr przechowywał informacje o tej wizycie (rezerwacja w kategorii zdrowotnej) - zgodnie z polityką prywatności". Pole jest wymagane do zarezerwowania takiej wizyty online - zgoda jest dobrowolna, ale bez niej nie zarezerwujesz jej przez serwis; możesz umówić się z firmą bezpośrednio.
3. Zgodę zapisujemy przy każdej takiej rezerwacji (rodzaj zgody, wersja tej polityki, data, adres IP, przeglądarka) - to dowód zgody przy konkretnej wizycie (art. 7 ust. 1 RODO). Widzisz go w pobranej kopii danych ("Pobierz dane").
4. Wycofanie zgody: w każdej chwili, e-mailem na [email protected] z adresu konta (wskaż wizyty, których dotyczy). Wycofanie nie wpływa na zgodność z prawem przetwarzania przed wycofaniem. Skutek: anonimizujemy Twoje wizyty w kategoriach zdrowotnych w naszych systemach - usuwamy ich powiązanie z Twoim kontem, więc znikają z "Moich wizyt" i nie wysyłamy do nich przypomnień. Wizyt nie odwołujemy - termin, odwołanie i kontakt w sprawie wizyty ustalasz bezpośrednio z firmą; zostaje tylko zapis o udzieleniu i wycofaniu zgody (dowód, art. 17 ust. 3 lit. e RODO). Kolejną wizytę w takiej kategorii zarezerwujesz online po ponownym wyrażeniu zgody. Kopie zapasowe nadpisują się w 30 dni.
5. Firma jest odrębnym administratorem danych o wizytach, które prowadzi dla wykonania usługi (sekcja 1 ust. 3) - wycofanie zgody wobec Reyestr nie usuwa wizyty z dokumentacji firmy. O ich usunięcie zwróć się do firmy; pomożemy przekazać prośbę. Wizyty wpisane przez firmę (np. po telefonie) są jej danymi i nie wymagają Twojej zgody wobec Reyestr.
6. Nie przetwarzamy tych informacji w celach innych niż prowadzenie rezerwacji i dowód zgody; nie służą do oceny Cię ani do profilowania.

Podanie danych do konta (imię, e-mail, telefon) jest dobrowolne, ale potrzebne do założenia konta i rezerwacji. Zgody na informacje handlowe i analitykę są dobrowolne i nie wpływają na korzystanie z serwisu.

Serwis nie jest kierowany do osób, które nie ukończyły 16 lat: konto może założyć osoba, która ukończyła 16 lat (oświadcza to przy rejestracji), i tylko taka osoba może wyrazić zgodę na informacje handlowe i analitykę (art. 8 RODO). Nie pytamy o datę urodzenia.

Opinię o firmie może wystawić tylko konto, które ma w tej firmie wizytę oznaczoną jako zrealizowaną (jedna opinia na wizytę). Opinie publikujemy z imieniem i pierwszą literą nazwiska autora.

1. Kto ocenia i kto jest administratorem: po wizycie zrealizowanej albo zakończonej nieobecnością firma może ocenić klienta (1-5) i dodać komentarz. Oceny, komentarze i średnia są częścią systemu ocen serwisu - ich administratorem jesteśmy my (Reyestr), a firma wystawia ocenę w serwisie jako jego użytkownik. Komentarz widzi tylko firma, która go wystawiła. Twoja średnia ocen jest Twoją daną osobową.
2. Średnia: raz w tygodniu liczymy średnią ocen klienta z wizyt z ostatnich 12 miesięcy, bez ocen firm usuniętych i ocen, które unieważniliśmy. Średnia istnieje dopiero przy co najmniej 3 ocenach od co najmniej 2 firm (inaczej łatwo byłoby wskazać autora). Inne firmy, u których masz wizytę, widzą tylko średnią i liczbę ocen.
3. Skutek: firma może ustawić minimalną średnią dla rezerwacji online. Jeśli Twoja średnia jest niższa, u tej firmy zobaczysz brak wolnych terminów i nie zarezerwujesz wizyty online. To samo dzieje się, gdy firma Cię zablokuje. Możesz nadal skontaktować się z firmą inaczej (telefon, wiadomość - chyba że firma Cię zablokowała), a rezerwacje u innych firm działają normalnie. Bez średniej (np. jako nowy klient) możesz rezerwować wszędzie.
4. Decyzja automatyczna: porównanie średniej z progiem firmy odbywa się automatycznie, bez udziału człowieka w chwili rezerwacji. Logika: średnia (zasady z pkt 2) < próg ustawiony przez firmę => brak terminów online u tej firmy. Masz prawo zakwestionować ocenę i zażądać interwencji człowieka - przez zastrzeżenie w koncie ("Moja ocena"). Na czas sprawy Twoje oceny nie liczą się do średniej; nasz pracownik sprawdza źródła, może unieważnić ocenę i odpowiada w ciągu miesiąca. O tym, czy i jaki próg ustawić, decyduje firma.
   1. Czego nie ujawniamy: zgodnie z art. 15 ust. 4 RODO nie ujawniamy, która firma Cię oceniła, kiedy i z jakim komentarzem - prawa osób świadczących usługi do bezpieczeństwa przeważają tu nad prawem do kopii danych. Widzisz swoją średnią i liczbę ocen w koncie i w kopii danych.
5. Ścieżka bezpieczeństwa: jeśli firma zgłosi, że klient jej grozi albo jest niebezpieczny, nasz pracownik przegląda zgłoszenie i może zablokować tej osobie rezerwacje online w całym serwisie oraz zaczynanie nowych rozmów z firmami. To decyzja człowieka, nie średniej. Nie ujawniamy zgłaszającego. Jeśli zgłoszenie wskazuje na przestępstwo zagrażające życiu lub bezpieczeństwu, zawiadamiamy organy ścigania (art. 18 DSA). O blokadzie nie powiadamiamy automatycznie; na Twoje żądanie (art. 15 RODO) potwierdzimy, czy blokada istnieje i jaki ma skutek, bez ujawniania zgłaszającego i szczegółów zgłoszenia. Jeśli podstawą blokady jest treść zamieszczona w serwisie, dostaniesz uzasadnienie (art. 17 DSA).
6. Sprzeciw: możesz wnieść sprzeciw wobec przetwarzania danych w systemie ocen (art. 21 RODO). Rozpatrzymy go, ważąc Twoją sytuację i bezpieczeństwo firm.
7. Po usunięciu konta oceny przestają być powiązane z Twoim kontem (konto jest anonimizowane) i nie tworzą już żadnej średniej. Firma, która wystawiła ocenę, nadal widzi ją przy swojej wizycie, obok imienia i numeru telefonu z chwili rezerwacji (dokumentacja wizyty firmy).

1. Firmom - dane potrzebne do wykonania usługi i obsługi Ciebie jako klienta (imię, telefon, e-mail, wizyty, odpowiedzi z formularzy, średnia ocen) wyłącznie firmom, u których masz wizytę albo z którymi piszesz. Publicznie widoczne są opinie (imię i inicjał nazwiska).
2. Podmiotom przetwarzającym, które działają na nasze polecenie:

1. Odrębnym administratorom:
   • Autopay S.A. z siedzibą w Sopocie - operator płatności abonamentu firm (płatności kartą i płatności cykliczne); Autopay przetwarza dane płatnicze jako odrębny administrator według własnej polityki prywatności;
   • dostawcom logowania (Google, Apple, Meta Platforms Ireland, Microsoft) - jeśli wybierzesz logowanie przez nich; przekazujemy im tylko to, co niezbędne do logowania, a oni działają według własnych polityk; dostawcy mogą przysyłać nam powiadomienia o odłączeniu aplikacji, prośbie o usunięcie danych albo zagrożeniu konta - wtedy odłączamy logowanie u tego dostawcy;
   • organom publicznym (np. sądy, Policja, prokuratura, Prezes UKE, Prezes UODO, Prezes UOKiK) - gdy wymaga tego prawo.
2. Nie sprzedajemy danych i nie udostępniamy ich do celów reklamowych.
3. Mapy (kafelki), podpowiedzi adresów i trasy dojazdu obsługujemy na własnych serwerach - te dane nie trafiają do zewnętrznych dostawców map.

Dane przechowujemy w UE. Do USA mogą trafić dane z powiadomień push i - za zgodą - dane analityczne Google; podstawą jest decyzja Komisji Europejskiej (UE) 2023/1795 z 10 lipca 2023 r. (EU-US Data Privacy Framework), a Google LLC jest na liście certyfikowanych podmiotów. Jeśli korzystasz z logowania przez dostawcę spoza EOG, dane przekazuje dostawca według swoich zasad.

1. Masz prawo do: dostępu do danych i ich kopii (w koncie: "Moje dane" -> "Pobierz dane"), sprostowania, usunięcia (w koncie: "Usuń konto"), ograniczenia przetwarzania, przenoszenia danych (kopia w formacie JSON), sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21 RODO), wycofania zgody w każdej chwili (informacje handlowe - w ustawieniach konta, analityka - "Ustawienia cookies" w stopce, zgoda na dane o zdrowiu przy rezerwacji - e-mailem, sekcja 4a) - bez wpływu na zgodność z prawem przetwarzania przed wycofaniem.
2. Masz prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która ma wobec Ciebie istotne skutki - a gdy taka decyzja zapada, do interwencji człowieka, wyrażenia stanowiska i zakwestionowania decyzji (sekcja 6).
3. Prawo do kopii nie może naruszać praw innych osób (art. 15 ust. 4 RODO) - dlatego nie ujawniamy autorów ocen klienta ani osób zgłaszających zagrożenie.
4. Kopia danych z konta nie obejmuje danych programów lojalnościowych - za nie odpowiada firma-organizator; na prośbę przekażemy je po kontakcie z nami.
5. Żądania dotyczące danych, za które odpowiada firma (np. notatki firmy, karta klienta bez konta), kieruj do firmy; możesz też napisać do nas - przekażemy je firmie i pomożemy jej je wykonać.
6. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (w trudnych sprawach termin może się wydłużyć o dwa miesiące - poinformujemy o tym).
7. Skarga: masz prawo wnieść skargę do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych, ul. Moniuszki 1A, 00-014 Warszawa (uodo.gov.pl).

1. Używamy plików cookies (małych plików zapisywanych w przeglądarce) i pamięci przeglądarki (localStorage). Pliki niezbędne działają bez zgody, bo są konieczne do świadczenia usługi, której żądasz (art. 399 ust. 3 Prawa komunikacji elektronicznej). Pliki analityczne zapisujemy tylko za Twoją zgodą wyrażoną w banerze.
2. Baner pokazuje dwa równorzędne przyciski: "Akceptuję analityczne" i "Tylko niezbędne". Wybór obowiązuje we wszystkich serwisach Reyestr (reyestr.pl i subdomeny) przez 12 miesięcy. Zmienisz go w każdej chwili przez "Ustawienia cookies" w stopce. Wycofanie zgody usuwa pliki Google Analytics i zatrzymuje pomiar.
3. Bez zgody do Google nie trafiają żadne dane - skrypt Google Analytics nie jest nawet ładowany.

1. Google Analytics 4 (za zgodą): mierzymy odwiedzone strony (adresy oczyszczone z parametrów, które mogą zawierać dane osobowe), typ urządzenia i przeglądarki, przybliżoną lokalizację na poziomie miasta (ustalaną przez Google z adresu IP, który według Google nie jest zapisywany dla użytkowników z UE) i kilka zdarzeń (np. rozpoczęcie i zakończenie rezerwacji, wyszukiwanie - bez treści frazy). Nie wysyłamy imion, e-maili, telefonów, treści formularzy i wiadomości, identyfikatorów kont i wizyt, wpisanej frazy ani dokładnej lokalizacji. Google Signals i funkcje reklamowe są wyłączone. Dane przechowujemy 14 miesięcy. Panel operatora nie używa analityki.
2. Aplikacje mobilne "Reyestr" i "Reyestr Partner" wyświetlają te same strony, z tym samym banerem i tymi samymi zasadami. Dodatkowo, za zgodą systemu urządzenia: powiadomienia push (Firebase Cloud Messaging), lokalizacja (wyszukiwanie w pobliżu), aparat (tylko "Reyestr Biznes" - skanowanie kodów poleceń; obraz jest przetwarzany na urządzeniu). Zgody wycofasz w ustawieniach systemu.

Stosujemy m.in.: szyfrowane połączenia (HTTPS, szyfrowane połączenie z bazą danych), skróty haseł Argon2id z dodatkowym tajnym kluczem, sesje w ciasteczkach niedostępnych dla skryptów (HttpOnly), ochronę przed fałszowaniem żądań, ograniczenia liczby prób, potwierdzanie usunięcia konta linkiem e-mail, ograniczenie dostępu pracowników firm uprawnieniami, rejestrowanie działań operatora i każdego otwarcia odpowiedzi z formularzy przez operatora, kopie zapasowe. Dane przechowujemy w UE.

Politykę zmieniamy, gdy zmieniają się przepisy, funkcje serwisu, dostawcy albo sposób przetwarzania danych. O każdej nowej wersji informujemy e-mailem i w serwisie co najmniej 7 dni przed jej wejściem w życie (krócej tylko, gdy zmianę wymuszają przepisy, decyzja organu albo pilna potrzeba bezpieczeństwa). Wcześniejsze wersje: https://reyestr.pl/privacy/versions.