Polityka prywatności TylkoDom.pl

W skrócie

1. Twoje dane przetwarza Krzysztof Rodak, który prowadzi TylkoDom, TylkoElektryki.pl i Puls EV. Masz jedno konto we wszystkich tych serwisach.
2. Zbieramy tylko to, czego potrzebujemy do konta, ogłoszeń, kontaktu i bezpieczeństwa. Nie pytamy o PESEL ani o numer księgi wieczystej.
3. Nie sprzedajemy danych. Nie przekazujemy kontaktów partnerom. Nie używamy ciasteczek reklamowych ani śledzących i nie profilujemy Cię.
4. Dokładnego adresu nieruchomości nie pokazujemy, jeśli sam tego nie zaznaczysz. Telefon odsłaniamy dopiero po kliknięciu, a Twojego adresu e-mail nie publikujemy.
5. Zdjęcia przygotowuje Twoja przeglądarka. Usuwa z nich dane EXIF, w tym położenie GPS, zanim cokolwiek do nas trafi.
6. Bazę danych i zdjęcia przechowujemy w Unii Europejskiej (Frankfurt). Strony obsługuje Cloudflare, a e-maile wysyła Resend. Administrator mieszka w Wielkiej Brytanii, dla której Komisja Europejska stwierdziła odpowiedni stopień ochrony danych.
7. Używamy tylko pamięci przeglądarki niezbędnej do działania serwisu, dlatego nie pokazujemy banera ciasteczek [DO POTWIERDZENIA: brak treści zewnętrznych, które wymagałyby zgody].
8. Ogłoszenie i konto usuniesz sam, od razu. Kopię swoich danych dostaniesz na prośbę, najpóźniej w ciągu miesiąca.
9. Po usunięciu konta usuwamy dane. Zostaje tylko to, co opisuje sekcja 11, np. dziennik zgłoszeń wymagany przez akt o usługach cyfrowych.
10. Masz prawo do skargi do Prezesa Urzędu Ochrony Danych Osobowych. Wcześniej napisz do nas - odpowiada człowiek.

1. Kto jest administratorem danych

1. Administratorem Twoich danych osobowych jest Krzysztof Rodak, osoba fizyczna prowadząca serwis TylkoDom.pl (dalej: „Administrator”, „my”) [DO POTWIERDZENIA: forma prowadzenia serwisu, jak w §1 Regulaminu]. Adres do korespondencji: ul. Robotnicza 151/1, 82-300 Elbląg. E-mail w sprawach danych: kontakt@tylkodom.pl [DO POTWIERDZENIA: adres].
2. Przedstawiciel w Unii Europejskiej (art. 27 RODO): Adrian Rodak, ul. Cynamonowa 24, 05-532 Kąty, Polska, e-mail: przedstawiciel@tylkoelektryki.pl, tel. +48 531 951 825 [DO POTWIERDZENIA: upoważnienie obejmuje TylkoDom i adres e-mail]. Możesz się do niego zwracać we wszystkich sprawach dotyczących Twoich danych, tak jak do Administratora. Zwracać się do niego mogą też organy ochrony danych.
3. Inspektor ochrony danych. Nie wyznaczyliśmy inspektora ochrony danych, bo nie wymagają tego przepisy - nie monitorujemy osób na dużą skalę i nie przetwarzamy na dużą skalę danych szczególnych kategorii. W sprawach danych pisz na adres z ust. 1.
4. Wspólne konto. Konto jest wspólne dla serwisów TylkoDom, TylkoElektryki.pl i Puls EV (pulsev.pl). Wszystkie prowadzi ten sam Administrator. Ta polityka opisuje to, co dzieje się z danymi, gdy korzystasz z TylkoDom. Inne serwisy mają własne polityki prywatności. Nie łączymy informacji o tym, co robisz w różnych serwisach, w jeden profil. Wspólne są tylko dane konta.
5. Przetwarzamy dane zgodnie z RODO, a ponieważ Administrator mieszka w Wielkiej Brytanii, także zgodnie z brytyjskim UK GDPR [DO POTWIERDZENIA: rejestracja w ICO obejmuje TylkoDom, numer rejestracji].

2. Skąd mamy Twoje dane

• Od Ciebie - gdy zakładasz konto, dodajesz ogłoszenie, piszesz wiadomość, wysyłasz zgłoszenie albo zapisujesz się na mail tygodniowy.
• Od Google - tylko gdy logujesz się kontem Google (sekcja 3).
• Od innych użytkowników - gdy ktoś napisze do Ciebie wiadomość albo zgłosi Twoje ogłoszenie.
• Od firm - gdy biuro nieruchomości albo deweloper poda w ogłoszeniu dane swojego pracownika lub współpracownika, np. agenta.
• Automatycznie - dane techniczne, np. adres IP i informacje o przeglądarce, gdy łączysz się z serwisem.

Podanie danych jest dobrowolne. Bez adresu e-mail nie założysz konta, a bez danych obowiązkowych nie dodasz ogłoszenia. Przy zgłoszeniu treści akt o usługach cyfrowych wymaga imienia i nazwiska albo nazwy oraz adresu e-mail, z wyjątkiem zgłoszeń seksualnego wykorzystywania dzieci.

3. Jakie dane, po co, na jakiej podstawie i jak długo

Podstawy prawne to przepisy art. 6 ust. 1 RODO: lit. a - zgoda, lit. b - umowa (Regulamin), lit. c - obowiązek prawny, lit. f - nasz prawnie uzasadniony interes. Przy lit. f zawsze piszemy, jaki to interes. Na konto i ogłoszenie nie zbieramy od Ciebie dodatkowych „zgód” - wystarcza umowa.

Konto i logowanie

Ogłoszenia

Kontakt między użytkownikami

Powiadomienia i mail tygodniowy

Zgłoszenia i moderacja (akt o usługach cyfrowych, DSA)

Kontakt, reklamacje i wnioski

Bezpieczeństwo i działanie techniczne

Firmy (po uruchomieniu kont firmowych)

Roszczenia

Czego nie robimy: nie sprzedajemy danych, nie przekazujemy danych kontaktowych partnerom ani reklamodawcom, nie wyświetlamy reklam opartych na Twoich danych, nie profilujemy Cię i nie przekazujemy Twoich ogłoszeń ani wiadomości do trenowania modeli sztucznej inteligencji.

Decyzje automatyczne. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne albo w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO). Narzędzia automatyczne opisane w §11 Regulaminu, np. rozpoznawanie numeru księgi wieczystej albo blokada linków w wiadomościach, zawsze pokazują powód. Możesz poprawić treść albo napisać do człowieka.

Narzędzie AI w formularzu [DO POTWIERDZENIA: czy TylkoDom ma pomoc AI przy opisie, jak TylkoElektryki.pl]. Jeśli z niego skorzystasz, wpisany tekst opisu trafia do modelu językowego w infrastrukturze Cloudflare wyłącznie po to, żeby przygotować propozycję. Adres IP służy wtedy tylko do limitu zapytań, bez trwałego zapisu.

4. Co widać publicznie w ogłoszeniu

Prywatność od projektu (art. 25 RODO). Domyślnie pokazujemy tylko przybliżoną lokalizację: miejscowość albo dzielnicę i punkt na mapie oddalony od budynku o kilkaset metrów [DO POTWIERDZENIA: metoda i promień]. Dokładny adres to Twoja decyzja. Chroni to bezpieczeństwo Twoje i domowników, np. gdy dom jest pusty w czasie sprzedaży. Numer działki ewidencyjnej wskazuje dokładne położenie, dlatego traktujemy go jak adres.

Zdjęcia. Zanim zdjęcie trafi do nas, przeglądarka tworzy z niego nowy plik z samych pikseli, bez danych EXIF i XMP: bez położenia GPS, modelu telefonu i daty. Jeśli przeglądarka nie może przygotować pliku, nie wysyłamy go i pokazujemy komunikat. Oryginał nigdy nie trafia do serwisu [DO POTWIERDZENIA: ten sam kod przygotowania zdjęć co w TylkoElektryki.pl]. Na zdjęciach nie publikuj twarzy innych osób, tablic rejestracyjnych ani rzeczy osobistych domowników i najemców (§7 Regulaminu).

Numer księgi wieczystej. Nie zbieramy go i nie publikujemy. Naczelny Sąd Administracyjny i Prezes Urzędu Ochrony Danych Osobowych uznają go za daną osobową. Serwis rozpoznaje go w opisie i prosi o usunięcie przed publikacją (§8 ust. 6 Regulaminu).

Wyszukiwarki i inne serwisy Rodziny. Opublikowane ogłoszenia są dostępne dla wyszukiwarek internetowych. Mogą też być pokazywane w innych serwisach Rodziny, np. w tylkoogloszenia.pl, gdy zostanie uruchomiony [DO POTWIERDZENIA: wspólna prezentacja ogłoszeń w tylkoogloszenia.pl]. Po zakończeniu ogłoszenia prosimy wyszukiwarki, żeby go nie pokazywały, ale kopie w ich pamięci mogą znikać z opóźnieniem.

5. Wiadomości i kontakt z ogłoszeniodawcą

1. Rola serwisu. Gdy piszesz do ogłoszeniodawcy przez „Napisz wiadomość”, serwis od razu wysyła Twoją wiadomość e-mailem na jego adres. Ogłoszeniodawca dostaje Twoje imię, treść wiadomości, telefon, jeśli go podasz, i adres e-mail Twojego konta - na ten adres trafi jego odpowiedź. Serwis nie prowadzi rozmów i nie zapisuje treści wiadomości: przed wysłaniem automatycznie sprawdza tylko, czy nie ma w niej linku, i nigdzie jej nie przechowuje, więc nie możemy jej później przeczytać ani nikomu pokazać. Zapisujemy wyłącznie dane do limitów wysyłki i ochrony przed spamem: czas wysłania, numer ogłoszenia i skrót identyfikatora Twojego konta (sam i w parze z numerem ogłoszenia), liczony z kluczem zmienianym codziennie - bez treści, imienia, telefonu i adresu e-mail. Podstawa: lit. f (interes: ochrona ogłoszeniodawców przed spamem i masowymi wiadomościami). Wpisy starsze niż doba usuwamy przy codziennym sprzątaniu, a klucz z poprzednich dni zastępujemy losowym, więc skrótu nie da się potem powiązać z kontem. Kopię wysłanego e-maila, razem z treścią wiadomości, przechowuje Resend, który wysyła dla nas e-maile - na planie bezpłatnym przez 30 dni (sekcja 7).
2. Ogłoszeniodawca jako odrębny administrator. Gdy ogłoszeniodawca odczyta Twoją wiadomość, sam decyduje, co zrobi z danymi, które mu przekazałeś, np. czy zadzwoni albo zapisze Twój numer. Jeśli jest firmą, np. biurem nieruchomości, staje się odrębnym administratorem Twoich danych i sam odpowiada za ich ochronę. Jeśli jest osobą prywatną, która sprzedaje albo wynajmuje własną nieruchomość, zwykle działa w celach czysto osobistych - wtedy RODO jej nie obejmuje (art. 2 ust. 2 lit. c RODO). Tak samo NSA ocenił sytuację osoby, która ustaliła nazwisko właściciela działki, żeby złożyć mu ofertę kupna dla swojej rodziny (wyrok z 28 listopada 2025 r., III OSK 1691/24). To samo dotyczy Ciebie, gdy odpowiadasz na wiadomość.
3. Co podawać. Nie podawaj w wiadomości danych, których nie musisz przekazywać, np. numeru dowodu osobistego, skanu dokumentu, numeru konta bankowego przed podpisaniem umowy.
4. Zakaz innych celów. Dane kontaktowe ogłoszeniodawców i pytających wolno wykorzystać tylko w sprawie ogłoszenia. Wysyłanie im ofert usług bez ich zgody zakazuje Regulamin (§13 ust. 6) i art. 398 Prawa komunikacji elektronicznej.
5. Klauzula pod formularzem kontaktu (tekst do umieszczenia pod przyciskiem „Wyślij”): „Wiadomość wyślemy od razu e-mailem do ogłoszeniodawcy, a jej treści nie zapiszemy. Zobaczy Twoje imię, treść wiadomości, telefon (jeśli go podasz) i adres e-mail Twojego konta - na ten adres odpowie. Od tej chwili ogłoszeniodawca sam decyduje, co zrobi z tymi danymi - firma jest ich odrębnym administratorem. Nie podawaj danych, których nie chcesz przekazać. Szczegóły: Polityka prywatności, sekcja 5.”

6. Moderacja, zgłoszenia i bezpieczeństwo

1. Sprawdzanie przed publikacją. Każde ogłoszenie przed publikacją sprawdza człowiek. Sprawdzamy między innymi, czy ogłoszenie nie zawiera danych osobowych innych osób ani informacji o zdrowiu, pochodzeniu, wyznaniu, poglądach, życiu seksualnym lub karalności. Robimy to także dlatego, że według Trybunału Sprawiedliwości UE operator serwisu ogłoszeniowego jest administratorem danych osobowych zawartych w ogłoszeniach i przed publikacją musi wyłapać ogłoszenia z danymi szczególnych kategorii (wyrok z 2 grudnia 2025 r., C-492/23, Russmedia).
2. Ochrona przed kopiowaniem. Telefon odsłaniamy po kliknięciu, z limitem odsłon, i nie pokazujemy go wyszukiwarkom. Masowe pobieranie ogłoszeń i danych kontaktowych zakazuje Regulamin (§23).
3. Zgłoszenia. Dane zgłaszającego służą tylko do obsługi zgłoszenia. Autor zgłoszonej treści nie dostaje Twojego imienia ani adresu e-mail, chyba że jest to niezbędne, np. przy naruszeniu Twoich praw autorskich.
4. Organy. Gdy wymagają tego przepisy, dane ze zgłoszeń i zgłoszone treści przekazujemy uprawnionym organom, np. Policji, prokuraturze, sądom, Prezesowi Urzędu Komunikacji Elektronicznej albo Szefowi Agencji Bezpieczeństwa Wewnętrznego, a adresy stron z materiałami przedstawiającymi seksualne wykorzystywanie dzieci także zespołowi Dyżurnet.pl (NASK).

7. Komu przekazujemy dane

Podmioty przetwarzające dane w naszym imieniu (art. 28 RODO)

[DO POTWIERDZENIA: zawarcie i zapisanie umów powierzenia z Supabase, Cloudflare i Resend - lista zadań w notatki.md i umowy-powierzenia.md]

W ramach Turnstile Cloudflare przetwarza sygnały w naszym imieniu, żeby wykryć automaty. W zakresie ulepszania samej usługi Turnstile Cloudflare jest odrębnym administratorem. Według Cloudflare sygnały nie służą do identyfikowania, profilowania ani kierowania treści do osób.

Inni odbiorcy

Listy podwykonawców tych firm są na ich stronach. Linki podają notatki do tej polityki [DO POTWIERDZENIA: czy publikować linki do list podwykonawców].

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Wielka Brytania. Administrator mieszka w Wielkiej Brytanii i stamtąd prowadzi serwis, dlatego dane trafiają poza EOG. Przekazywanie opiera się na decyzjach wykonawczych Komisji Europejskiej z 19 grudnia 2025 r. stwierdzających odpowiedni stopień ochrony danych w Wielkiej Brytanii, obowiązujących do 27 grudnia 2031 r.
2. USA. Cloudflare i Resend przetwarzają dane także w USA. Podstawą są decyzja Komisji Europejskiej w sprawie EU-US Data Privacy Framework, w którym te firmy uczestniczą, i standardowe klauzule umowne. Supabase przechowuje nasze dane we Frankfurcie, a na wypadek dostępu spoza EOG stosuje standardowe klauzule umowne.
3. Kopię zabezpieczeń możesz otrzymać na prośbę wysłaną na adres z sekcji 1.

9. Ciasteczka i pamięć przeglądarki

Serwis zapisuje w Twojej przeglądarce tylko informacje niezbędne do usługi, o którą prosisz. Na takie zapisy przepisy nie wymagają zgody (art. 399 ust. 3 pkt 2 Prawa komunikacji elektronicznej), ale musimy Cię o nich informować. Nie używamy ciasteczek reklamowych, analitycznych ani śledzących, dlatego nie pokazujemy banera ciasteczek [DO POTWIERDZENIA: ostateczna lista po wdrożeniu].

Cloudflare Web Analytics według Cloudflare nie używa ciasteczek ani pamięci przeglądarki i nie rozpoznaje osób po adresie IP ani po przeglądarce. Wpisy w pamięci przeglądarki usuniesz w jej ustawieniach. Po usunięciu sesji zostaniesz wylogowany.

10. Twoje prawa i jak z nich skorzystać

Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W wyjątkowych przypadkach termin może się wydłużyć o kolejne dwa miesiące - wtedy w ciągu pierwszego miesiąca napiszemy, dlaczego (art. 12 ust. 3 RODO). Realizacja praw jest bezpłatna. Żeby nie przekazać danych niewłaściwej osobie, odpowiadamy na adres e-mail przypisany do konta albo prosimy o potwierdzenie, że wniosek pochodzi od Ciebie.

11. Usunięcie ogłoszenia i konta - co znika, a co zostaje

1. Usunięcie ogłoszenia kasuje od razu jego treść, zdjęcia i dane kontaktowe. Zostają tylko sumy w statystykach serwisu, bez powiązania z Tobą.
2. Usunięcie konta. Konto jest wspólne dla Rodziny serwisów, więc jego usunięcie usuwa je także w TylkoElektryki.pl i w Pulsie EV. W TylkoDom kasujemy: ogłoszenia ze zdjęciami, wiadomości, zapisane wyszukiwania, listę blokad, uzasadnienia decyzji moderacji i dane konta [DO POTWIERDZENIA: pełna lista według projektu bazy]. Kopii zapasowych bazy, w których usunięte dane mogłyby zostać, obecnie nie ma [DO POTWIERDZENIA: plan Supabase - po przejściu na plan płatny dopisać okres przechowywania kopii].
3. Co zostaje i jak długo:
   • zgłoszenia wysłane formularzem „Zgłoś treść” - w dzienniku zgłoszeń przez 12 miesięcy od decyzji, bez powiązania z kontem, potem bez danych osobowych,
   • szybkie zgłoszenia - bez powiązania z kontem, do rozpatrzenia,
   • mail tygodniowy - nie jest częścią konta, wypiszesz się linkiem z maila,
   • ulubione - są tylko w Twojej przeglądarce,
   • dane techniczne zabezpieczeń - przez krótki czas opisany w sekcji 3,
   • dane potrzebne do sprawy, która toczyła się przed usunięciem konta (zgłoszenie, reklamacja, żądanie organu, spór) - na zasadach z sekcji 3, część „Roszczenia”,
   • treści usunięte na nakaz usunięcia treści terrorystycznych - 6 miesięcy.
4. Na ten sam adres e-mail możesz od razu założyć nowe konto.

12. Jak chronimy dane

• Połączenie z serwisem jest zawsze szyfrowane (HTTPS).
• Reguły dostępu w bazie danych sprawiają, że każdy użytkownik ma dostęp tylko do swoich danych niepublicznych.
• Hasła przechowuje system logowania w postaci zabezpieczonej - nikt, także Administrator, nie zna Twojego hasła.
• Panel administratora wymaga dodatkowego kodu z aplikacji (weryfikacja dwuetapowa) [DO POTWIERDZENIA: dotyczy panelu TylkoDom].
• Zbieramy mało danych: przybliżona lokalizacja, zdjęcia bez metadanych, skróty adresów IP liczone z kluczem zmienianym codziennie zamiast samych adresów.
• Mamy procedurę na wypadek naruszenia ochrony danych. Jeśli naruszenie może powodować wysokie ryzyko dla Ciebie, zawiadomimy Cię bez zbędnej zwłoki (art. 34 RODO).

13. Osoby niepełnoletnie

Konto może założyć osoba, która ukończyła 16 lat. Ogłoszenia dodają osoby pełnoletnie [DO POTWIERDZENIA: próg 18 lat dla ogłoszeniodawców]. Serwis nie jest skierowany do dzieci. Jeśli dowiemy się, że konto założyła osoba poniżej 16 lat, usuniemy je.

14. Zmiany polityki

1. Politykę aktualizujemy, gdy zmieniają się przepisy albo sposób działania serwisu. Na górze podajemy numer wersji i datę.
2. O istotnych zmianach, np. nowym celu przetwarzania albo nowym odbiorcy danych, informujemy w serwisie i e-mailem przed ich wprowadzeniem.
3. Wcześniejsze wersje są dostępne pod adresem tylkodom.pl/polityka-prywatnosci/wersje [DO POTWIERDZENIA: archiwum wersji].

15. Kontakt i skargi

1. W sprawach danych osobowych napisz na kontakt@tylkodom.pl albo do przedstawiciela w UE (sekcja 1). Odpowiada człowiek, po polsku albo po angielsku.
2. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.
3. Ponieważ Administrator mieszka w Wielkiej Brytanii, możesz też wnieść skargę do brytyjskiego Information Commissioner's Office (ico.org.uk).

Historia zmian