Polityka prywatności

Opisujemy tutaj działanie alertów, statystyk i formularzy oraz sposób przetwarzania danych w serwisie.

Ostatnia aktualizacja: 1 listopada 2026.

Kto jest administratorem

Administratorem danych osobowych jest KrolTech Łukasz Król, Skawina. Kontakt w sprawach danych: kontakt@gdziezabawa.pl. Pełne dane usługodawcy: kroltech.eu/kontakt/#dane-firmy.

Jakie dane i po co

• Adres e-mail — żeby wysłać alert o pasującym wydarzeniu. Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO).
• Miejscowość, współrzędne i promień — zamieniamy podaną miejscowość na współrzędne, żeby policzyć, które imprezy są w pobliżu. Nie przechowujemy dokładnego adresu.
• Wybrane kategorie wydarzeń — żeby nie wysyłać Ci alertów o rzeczach, które Cię nie interesują.

Nie zakładamy kont, nie profilujemy Cię i nie zapisujemy w bazie Twojego adresu IP ani historii przeglądania. Na potrzeby ochrony formularzy przed nadużyciami przechowujemy czasowo (do godziny) wyłącznie skrót z tajnym kluczem (HMAC) adresu e-mail i IP, bez zapisu samych adresów. Podstawa prawna: nasz uzasadniony interes, czyli ochrona serwisu przed spamem (art. 6 ust. 1 lit. f RODO).

Zgłoszenia wydarzeń

Formularz „Dodaj wydarzenie” zbiera nazwę wydarzenia i organizatora, termin, miejsce, gminę, warunki wstępu oraz link do ogłoszenia. Nie wymaga e-maila ani telefonu. Nie wpisuj prywatnych danych kontaktowych. Zgłoszenia trafiają do prywatnej kolejki redakcji i nie są automatycznie publikowane.

Podstawa prawna: nasz uzasadniony interes, czyli uzupełnianie kalendarza imprez (art. 6 ust. 1 lit. f RODO). Treść zgłoszenia i historię decyzji redakcji usuwamy automatycznie 90 dni po decyzji albo 90 dni po zakończeniu wydarzenia, zależnie od tego, co nastąpi wcześniej. W sprawie zgłoszenia możesz napisać na podany wyżej adres, wskazując jego numer.

Niezbędne sesyjne cookie GZSUBMIT chroni formularz i pokazuje potwierdzenie. Do limitowania zgłoszeń używamy skrótu adresu IP z tajnym kluczem (HMAC), bez zapisu surowego IP w kolejce. Limit uwzględnia ostatnią godzinę; starsze skróty usuwamy przy następnym zgłoszeniu oraz w codziennym automatycznym porządkowaniu. Na stronie formularza nie uruchamiamy Google Analytics.

Twórz z nami (pomysły i zgłoszenia błędów)

Żeby dodać wpis albo plusować, potwierdzasz e-mail linkiem. Samego adresu e-mail nie zapisujemy — używamy go tylko do wysłania linku, a przechowujemy jego skrót HMAC, który pozwala policzyć jeden plus na osobę. Wpisy są publicznie anonimowe: na stronie widać tylko ich treść, status i liczbę plusów.

Podstawy prawne: wysłanie linku na Twój e-mail odbywa się na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO), którą wyrażasz, wpisując adres i prosząc o link. Przechowywanie i publikacja potwierdzonego wpisu oraz liczenie plusów to nasz uzasadniony interes, czyli rozwijanie serwisu razem z użytkownikami (art. 6 ust. 1 lit. f RODO).

Po potwierdzeniu zapisujemy na Twoim urządzeniu niezbędne cookie gz_tzn (podpisany skrót, ważny 180 dni, tylko dla adresu /tworz-z-nami) oraz sesyjne GZTZN chroniące formularz. Cookie gz_tzn usuniesz przyciskiem „Wyloguj” na tej stronie. Niepotwierdzone wpisy i linki usuwamy po 48 godzinach. Potwierdzone wpisy zostają na tablicy, dopóki ich nie usuniemy. Swój plus cofniesz, klikając go ponownie. Chcesz usunąć swój wpis? Napisz na podany wyżej adres i wskaż, o który wpis chodzi: usuniemy go trwale razem z plusami.

Okienko „Czegoś tu brakuje?” (do 14.11.2026).

Zapisujemy to, co sam wpiszesz (prosimy, nie podawaj danych osobowych), wybrany przycisk, podstronę, typ urządzenia i czas. Adresu IP nie zapisujemy; do limitów przeciw spamowi służy skrót HMAC z IP i daty, zmienny codziennie, który usuwamy najpóźniej 30.11.2026. Robimy to, aby ulepszać portal, na podstawie naszego uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Odpowiedzi trzymamy na serwerze w SeoHost i na komputerze administratora wraz z kopiami zapasowymi do 14.11.2027, a potem usuwamy je albo zostawiamy tylko w postaci bez danych osobowych. Do podsumowań używamy modelu Claude: przekazujemy mu samą treść odpowiedzi po automatycznym usunięciu adresów e-mail i numerów telefonów. Odbiorcą jest wtedy Anthropic Ireland, Limited, odrębny administrator danych działający na własnych zasadach (anthropic.com/legal/privacy); według tych zasad dane trafiają też na serwery w USA, na podstawie decyzji o odpowiednim stopniu ochrony, standardowych klauzul umownych, a w niektórych sytuacjach wyjątków przewidzianych w prawie. Możesz wnieść sprzeciw albo poprosić o usunięcie wpisu pod adresem kontakt@gdziezabawa.pl, podając jego treść. Okienko nie ustawia ciasteczek; po zamknięciu lub odpowiedzi zapisuje w przeglądarce tylko wpis localStorage „glos_do”, aby nie pokazywać się przez 30 dni.

Prośby o zgodę do urzędów i miejsc

Piszemy do urzędów gmin, instytucji i miejsc organizujących wydarzenia, aby zapytać o zgodę na używanie opisów, zdjęć i plakatów z ich stron. Każdy podmiot dostaje jedną wiadomość, bez przypomnień. Brak odpowiedzi to brak zgody.

• Dane: nazwa urzędu lub miejsca, adres e-mail, adres strony oraz imię i nazwisko, jeśli są w adresie e-mail, a po odpowiedzi także jej treść.
• Źródło: publiczne dane kontaktowe urzędu albo strona danego miejsca.
• Cel i podstawa: kontakt w sprawie zgody i jej obsługa, nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Nie podejmujemy decyzji zautomatyzowanych.
• Odbiorca: SeoHost (Polska), dostawca hostingu i poczty.
• Okres: bez odpowiedzi 12 miesięcy; po zgodzie czas licencji plus 6 lat; po sprzeciwie adres zostaje na liście „nie pisać”, abyśmy nie napisali ponownie.
• Sprzeciw: wystarczy odpisać „nie piszcie” albo napisać na kontakt@gdziezabawa.pl. Zgodę można odwołać mailem w każdej chwili.

Zgoda i wypisanie się (double opt-in)

Po zapisie wysyłamy link potwierdzający. Bez potwierdzenia nie wyślemy żadnych alertów. Potwierdzenie i wypisanie wymagają kliknięcia przycisku na naszej stronie — dzięki temu automatyczne skanery linków w poczcie nie mogą potwierdzić zgody ani wypisać Cię za Ciebie. Każdy nasz mail zawiera link „wypisz się”; jedno kliknięcie trwale usuwa Twoje dane z bazy.

Jak długo przechowujemy dane

• Zapisy niepotwierdzone — usuwane automatycznie po 7 dniach.
• Alerty potwierdzone — do momentu, w którym się wypiszesz. Wypisanie kasuje zapis i historię wysyłek.
• Skróty do limitowania nadużyć — liczone przez 1 godzinę, potem usuwane przy następnym zapisie lub w codziennym porządkowaniu.
• Twórz z nami: niepotwierdzone wpisy i linki 48 godzin, potwierdzone wpisy do usunięcia (także na Twoją prośbę).
• Zgłoszenia wydarzeń: 90 dni od decyzji redakcji albo od zakończenia wydarzenia.
• Licznik odwiedzin: dzienne skróty i sól dnia usuwamy następnego dnia, zostają tylko zbiorcze liczby.

Komu przekazujemy dane

• SeoHost (Polska), dostawca hostingu — przechowuje bazę i obsługuje wysyłkę poczty.
• OpenStreetMap / Nominatim — otrzymuje nazwę miejscowości, którą zamieniamy na współrzędne. Zapytanie wychodzi z naszego serwera, nie z Twojej przeglądarki.
• OpenStreetMap — Twoja przeglądarka pobiera bezpośrednio kafelki mapy (na /mapa, na karcie imprezy i na mapie imprez gminy), więc dostawca map widzi Twój adres IP. Bibliotekę mapy (Leaflet) serwujemy z własnego serwera; mapa gminy ładuje się dopiero, gdy przewiniesz do niej stronę.
• Open-Meteo (prognoza pogody na karcie imprezy i kilkudniowa prognoza na stronie gminy) otrzymuje tylko przybliżone współrzędne gminy i datę imprezy. Zapytanie wychodzi z naszego serwera, nie z Twojej przeglądarki.
• Sprzedawcy biletów (KupBilecik.pl, Eventim): plakaty i krótkie opisy imprez biletowych pochodzą z ich feedów partnerskich. Obrazy pobiera raz nasz serwer i przechowuje u siebie, a Twoja przeglądarka łączy się tylko z gdziezabawa.pl. Sprzedawca nie dostaje Twojego adresu IP ani innych danych, dopóki sam nie klikniesz linku do biletów.
• Sprzedawcy biletów (KupBilecik, Eventim), Mapy Google, Uber dostają Twoje dane dopiero po kliknięciu przycisku na karcie imprezy, bo wtedy przechodzisz na ich stronę lub do ich aplikacji. Linki do biletów są partnerskie: sprzedawca widzi, że przyszedłeś z GdzieZabawa.pl. Od tej chwili obowiązują zasady prywatności tych firm.
• Google Analytics 4 — dopiero po Twojej zgodzie otrzymuje dane techniczne o wizycie, takie jak oglądana podstrona, przybliżone źródło wizyty i typ urządzenia.
• Google — zarządzanie zgodami — dostarcza komunikat o prywatności, otrzymuje dane techniczne połączenia i zapisuje decyzję dotyczącą zgód. Na formularzu zgłoszenia wydarzenia nie ładujemy tego komunikatu.

Cookies, statystyki i reklamy

Nasz własny licznik odwiedzin działa na serwerze, bez zgody na Google Analytics, i nic nie zapisuje na Twoim urządzeniu: ani ciasteczek, ani wpisów w pamięci przeglądarki. W bazie zostają tylko dzienne sumy odsłon, dozwolonych interakcji, odsłon podstron (bez parametrów adresu) i szacunek unikalnych przeglądarek. Nie przechowujemy surowego IP, user-agenta, pełnych URL-i, referrerów ani treści formularzy.

Żeby policzyć unikalne przeglądarki, serwer liczy skrót HMAC z adresu IP i nazwy przeglądarki (user-agent) z losową solą zmienianą codziennie. Sól leży w osobnym pliku, a skróty i sól usuwamy następnego dnia, więc wizyt z różnych dni nie da się połączyć. Tak samo działają limity zapytań. W nocnej kopii bazy skrót z danego dnia może zostać, ale bez soli nie da się go z niczym powiązać. IP i user-agenta używamy też przez chwilę, żeby odsiać roboty. Podstawa prawna: nasz uzasadniony interes, czyli mierzenie ruchu i ochrona serwisu (art. 6 ust. 1 lit. f RODO).

Możesz się sprzeciwić: Nie licz moich wizyt. Sprzeciw zapisujemy, tylko gdy o to poprosisz, w ciasteczku kt_sprzeciw (400 dni). Licznik pomija też przeglądarki z włączonym sygnałem Do Not Track, wtedy bez ciasteczka.

Kliknięcie w link partnerski do sprzedawcy biletów (KupBilecik, Eventim) liczymy tylko jako dzienną sumę dla sprzedawcy, a roboty odróżniamy po tym, czy ten sam skrót dnia ma już odsłonę; za zakup przez taki link możemy dostać prowizję, a sprzedawca może odnotować, że wejście przyszło z naszego linku partnerskiego.

Google Analytics 4 jest domyślnie wyłączony. Przed uzyskaniem zgody na statystyki przeglądarka nie pobiera skryptu Analytics i nie wysyła żądania analitycznego. Po zgodzie Analytics może zapisać cookies _ga i _ga_*, aby tworzyć zbiorcze statystyki wizyt. Wyjątek dotyczy wizyt spoza EOG, Wielkiej Brytanii i Szwajcarii: gdy Google nie wymaga tam zgody, a strefa czasowa przeglądarki też wskazuje taki kraj, statystyki działają bez okna, zawsze bez sygnałów reklamowych. Ustawienia zgody obsługuje komunikat Google „Prywatność i wiadomości”. Każda kategoria zaczyna od odmowy; aktualizujemy ją po decyzji przekazanej przez Google. Dotychczasowy wybór w banerze statystyk nie zastępuje decyzji w tym komunikacie.

Serwis nie wyświetla obecnie reklam. W pamięci lokalnej przeglądarki zapisujemy wybór dotyczący statystyk oraz to, co sam ustawisz na mapie: lokalizację i zapisane wydarzenia. Te dane nie trafiają na nasz serwer, chyba że zapiszesz się na alert: wtedy formularz wysyła współrzędne. Decyzję analityczną możesz zmienić przez „Ustawienia cookies” w stopce.

Co dokładnie zapisujemy w przeglądarce

• gz_analytics_consent_v1 (pamięć lokalna): Twój wybór dotyczący statystyk.
• FCCDCF, FCNEC (cookies Google): zapisuje je komunikat o prywatności, także zanim dokonasz wyboru, żeby zapamiętać stan i Twoją decyzję o zgodach.
• gz_location (pamięć lokalna): współrzędne z przeglądarki. Zapisujemy je dopiero, gdy na mapie klikniesz użycie lokalizacji i przeglądarka na to pozwoli. Nie wygasają same; usuniesz je, czyszcząc dane tej strony w przeglądarce.
• gz_saved_events i gz.mapa.panel (pamięć lokalna): wydarzenia, które sam zapiszesz, i zwinięty panel mapy.
• gz_social_rail_closed i kt_nolicz (pamięć karty, znika po jej zamknięciu): zamknięty pasek z profilami i wyłączenie licznika w tej karcie.
• glos_do (localStorage, 30 dni): nie pokazujemy okienka po zamknięciu lub odpowiedzi.
• gz_tzn, GZTZN, GZSUBMIT (cookies): opisane wyżej przy „Twórz z nami” i zgłoszeniach wydarzeń.
• kroltech_owner (cookie, 400 dni): pojawia się tylko po otwarciu specjalnego linku właściciela serwisu, żeby jego własne wizyty nie wliczały się do liczników i statystyk. Zwykli odwiedzający go nie dostają.
• kt_sprzeciw (cookie, 400 dni): tylko gdy sprzeciwisz się licznikowi odwiedzin, zapamiętuje ten sprzeciw.
• gz-static-v1 (pamięć podręczna przeglądarki, service worker): pliki strony, czyli style, skrypty, fonty i obrazy, żeby kolejne wejścia były szybsze. Bez danych o Tobie.

Wtyczka AI (serwer MCP)

Asystenci AI (np. Claude, ChatGPT) mogą odpytywać katalog imprez przez adres https://gdziezabawa.pl/mcp. Wtyczka tylko czyta publiczne dane widoczne na stronie (imprezy, gminy, atrakcje z OpenStreetMap), nie wymaga konta i nie zapisuje cookies. Treści pytań nie zapisujemy, tak samo jak adresu IP ani nazwy przeglądarki. Prowadzimy tylko anonimowe dzienne liczniki: które narzędzie wywołano, z jakim wynikiem, z jakiej klasy asystenta (Claude, ChatGPT, inny) i jakich kategorii ze słownika dotyczyło (gmina z naszego katalogu, kategoria imprezy, województwo, rodzaj zakresu dat, czy podano frazę — bez samej frazy). Liczniki kasujemy po 30 dniach. Do ochrony przed nadużyciami przez 5 minut trzymamy licznik żądań na skrót adresu IP z dzienną solą (bez samego adresu). Podstawa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — bezpieczeństwo usługi i wiedza, o co pytają asystenci. Więcej: GdzieZabawa.pl w asystentach AI.

AI assistants (MCP server) — English

AI assistants (e.g. Claude, ChatGPT) can query the event catalogue at https://gdziezabawa.pl/mcp. The server is read-only, needs no account and sets no cookies. We do not store request contents, IP addresses or user agents. We keep only anonymous daily counters: which tool was called, its result status, the assistant class (Claude, ChatGPT, other) and dictionary categories (municipality from our catalogue, event category, voivodeship, date-range type, whether a search phrase was given, without the phrase). Counters are deleted after 30 days. To prevent abuse, a per-minute request counter keyed by a salted daily hash of the IP address (never the address itself) is kept for at most 5 minutes. Legal basis: legitimate interest (Art. 6(1)(f) GDPR). Controller and contact: see the top of this policy and the contact form.

Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia i ograniczenia przetwarzania, prawo do przenoszenia danych oraz prawo wycofania zgody w dowolnym momencie — wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania. Najprostsza droga: kliknij „wypisz się” w mailu. Gdy dane przetwarzamy na podstawie naszego uzasadnionego interesu (art. 6 ust. 1 lit. f RODO, np. wpisy w „Twórz z nami”, zgłoszenia wydarzeń, ochrona formularzy), możesz w każdej chwili wnieść sprzeciw (art. 21 RODO). Wystarczy mail na podany wyżej adres; przestaniemy, chyba że wykażemy ważne prawnie uzasadnione podstawy. Przysługuje Ci też skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Źródła danych o imprezach

Informacje o wydarzeniach pochodzą z publicznych stron gmin, domów kultury i OSP. Przy wydarzeniach widocznych w katalogu podajemy link do źródła, żebyś mógł sprawdzić szczegóły u organizatora.

Teksty tych publicznych stron czyta automatycznie model językowy, żeby wyłowić z nich daty i miejsca imprez: lokalnie na naszym komputerze albo w usłudze Groq (USA). Zapasowo może to robić Cerebras (USA), dziś wyłączony. Wysyłamy tam wyłącznie treść publicznych stron gmin i instytucji, bez żadnych danych użytkowników serwisu. Jeśli na takiej stronie pojawi się czyjeś imię i nazwisko (np. organizatora), może ono trafić do tej analizy; podstawą jest nasz uzasadniony interes, czyli prowadzenie kalendarza imprez (art. 6 ust. 1 lit. f RODO). Przekazanie danych do USA odbywa się na podstawie standardowych klauzul umownych.

← Wróć do mapy