Політика конфіденційності

Останнє оновлення: 21 серпня 2026 року

Ця політика охоплює сайт lowca-okazji.com і мобільний застосунок Łowca (опублікований як Item Hounter) для Android та iOS. Це одна послуга з одним контролером — наведені нижче дані, цілі та правові підстави стосуються обох, а те, що є специфічним для телефона, описано в розділі 4.

Коротко: нам потрібна твоя e-mail адреса, щоб надсилати сповіщення, і зміст твоїх відстежень, щоб знати, що шукати. Ми не продаємо дані й не профілюємо тебе для реклами. На сайті працюють інструменти вимірювання ефективності реклами Meta та Google — але лише тоді, коли ти натиснеш «Приймаю» в банері згоди. Якщо ти натиснеш «Відхиляю», ми не запускаємо їх узагалі. Подробиці — у розділі 10.

1. Хто є контролером

Контролером твоїх персональних даних у розумінні GDPR (Регламент 2016/679) є:

Damian Jabłoński tribe
ul. Modlińska 61/106, 03-199 Warszawa, Польща
NIP: 5243008010 · REGON: 528741561
Контакт: team@lowca-okazji.com, телефон +48 606 904 443

Ми не призначали інспектора із захисту даних — з усіх питань щодо персональних даних пиши на адресу вище.

2. Які дані ми обробляємо і навіщо

Дані	Мета	Правова підстава
E-mail адреса, зашифрований пароль	Створення облікового запису та керування ним, вхід	Ст. 6(1)(b) GDPR — виконання договору про надання послуги
Зміст відстеження (те, що ти шукаєш), обраний стан і частота	Пошук оголошень і підготовка сповіщень	Ст. 6(1)(b) GDPR — виконання договору
Дані входу через Google (e-mail адреса, ідентифікатор облікового запису Google і — якщо ти ними ділишся — ім’я та зображення профілю), лише якщо обираєш «Продовжити з Google»	Створення облікового запису та вхід без окремого пароля	Ст. 6(1)(b) GDPR — виконання договору
Токен push-сповіщень, виданий Firebase Cloud Messaging (ідентифікатор встановлення застосунку на твоєму пристрої), і платформа: «android» або «ios»	Доставлення сповіщення як повідомлення на телефон	Ст. 6(1)(b) GDPR — виконання договору
Історія надісланих сповіщень	Щоб ти не отримував те саме оголошення двічі	Ст. 6(1)(b) GDPR — виконання договору
Історія покупок (пакет, сума, статус, ідентифікатор платіжної сесії) і баланс балів	Розрахунок за покупку, нарахування балів, історія покупок, видима в обліковому записі	Ст. 6(1)(b) GDPR — виконання договору; ст. 6(1)(c) GDPR — бухгалтерські та податкові обов’язки
Події користування застосунком: відкриття його головних екранів (список відстежень, чат порадника, знайдені пропозиції, екран пакетів балів) і підтверджувальні натискання — створення відстеження та, на сайті, оскільки мобільний застосунок не продає бали, натискання «Купую» — з ідентифікатором облікового запису, назвою пакета (лише при покупці) й часовою міткою	Щоб бачити, на якому кроці — від відкриття застосунку до покупки — люди відмовляються. Це наші власні лічильники, записані у нашу власну базу — ми читаємо їх лише в агрегованому вигляді, ніколи не поіменно. Ми не використовуємо ні Google Analytics, ні будь-яку сторонню аналітику	Ст. 6(1)(f) GDPR — законний інтерес: удосконалення послуги
Технічні журнали (IP-адреса, час, помилки)	Безпека, діагностика інцидентів, обмеження зловживань	Ст. 6(1)(f) GDPR — наш законний інтерес
E-mail адреса (після припинення договору, якщо застосовно)	Захист від претензій, розрахунки	Ст. 6(1)(f) і (c) GDPR

Надання e-mail адреси та пароля є добровільним, але необхідним — без них неможливо створити обліковий запис чи доставити сповіщення.

3. Дані з оголошень і штучний інтелект

Щоб оцінити, чи є пропозиція вигідною, ми отримуємо публічно доступні оголошення з OLX, Vinted, Otodom і Otomoto (а ціни на нові товари — з Ceneo). Зміст оголошення — заголовок, опис, ціна, локація, тип продавця — інколи є персональними даними особи, яка його розмістила. Ми обробляємо їх на підставі ст. 6(1)(f) GDPR (законний інтерес: надання користувачеві інформації про оголошення, яку він запитав). Ми не будуємо профілів продавців і не використовуємо ці дані для жодної іншої мети.

Для оцінювання оголошень ми використовуємо мовну модель (ШІ), яку надає OpenAI, L.L.C. Модель читає зміст оголошення та пошукову фразу й повертає структуровану оцінку: чи це та сама річ, який це варіант і які плюси та мінуси випливають з опису.

Чого ми не надсилаємо до моделі ШІ: твоєї e-mail адреси, ідентифікатора облікового запису чи будь-якої інформації, яка дозволила б пов’язати запит із тобою. До моделі потрапляють лише пошукова фраза та зміст оголошень — без контексту про те, хто питає.

4. Мобільний застосунок: дозволи та дані пристрою

Застосунок Łowca для Android та iOS — це та сама послуга, що й сайт: один обліковий запис, ті самі відстеження й ті самі бали. Наведене нижче стосується саме телефона.

Дозволи, які ми запитуємо: Лише дозвіл надсилати сповіщення (POST_NOTIFICATIONS на Android 13+, системний запит на iOS). Можна відмовити — застосунок працюватиме далі, а сповіщення тоді надходитимуть лише електронною поштою. Дозвіл можна відкликати будь-коли в системних налаштуваннях.
Дозволи, яких ми ніколи не запитуємо: Ми не запитуємо доступу до геолокації, контактів, світлин, камери, мікрофона, календаря, SMS, переліку встановлених застосунків чи файлів на твоєму пристрої — і не збираємо цих даних в інший спосіб.
Рекламні ідентифікатори та стеження: Ми не зчитуємо рекламний ідентифікатор (ані Android Advertising ID, ані IDFA), не стежимо за тобою між застосунками й не вбудовуємо сторонніх рекламних чи аналітичних SDK. Ми не продаємо даних і не передаємо їх брокерам даних.
Токен сповіщень: Ми зберігаємо його лише після твого входу й лише для того, щоб надіслати тобі сповіщення. Ми видаляємо його з нашої бази й анулюємо у Firebase, коли ти виходиш з облікового запису або стираєш свої дані; токен, який Google позначає як більше недійсний, видаляється автоматично під час наступного надсилання.
Купівля балів: Мобільний застосунок не продає бали: екран балів показує твій баланс і повідомляє, що поповнення відбувається на lowca-okazji.com. Платіж там обслуговує Mollie B.V. — ані застосунок, ані ми ніколи не бачимо номера твоєї картки чи даних для входу в інтернет-банк; вони потрапляють виключно до Mollie та твого банку чи емітента картки.
Дані, збережені локально на пристрої: Твоя сесія входу (Firebase Authentication) і позначки «коли ти востаннє відкривав результати цього відстеження», які ніколи не залишають телефон. І те, і те зникає, коли ти виходиш з облікового запису та коли видаляєш застосунок.
Вік: Послуга не адресована дітям. Обліковий запис може створити особа віком від 16 років (див. Умови користування). Ми свідомо не збираємо даних від молодших осіб; якщо дізнаємося про такий обліковий запис, ми його видаляємо.

5. З ким ми ділимося даними

Ми користуємося субпроцесорами (обробниками даних), пов’язаними з нами договорами про обробку даних відповідно до ст. 28 GDPR:

Суб’єкт	Роль	Обсяг даних
Google Ireland Ltd. / Google LLC (Firebase, Google Cloud)	Хостинг, автентифікація (зокрема вхід через Google), база даних, доставлення push-сповіщень (Firebase Cloud Messaging)	E-mail адреса, дані облікового запису, відстеження, токен push-сповіщень, журнали
OpenAI, L.L.C.	Оцінювання змісту оголошень (мовна модель)	Пошукова фраза та зміст оголошень — без даних, що ідентифікують користувача
Resend, Inc.	Надсилання повідомлень електронною поштою	E-mail адреса, зміст сповіщення
Meta Platforms Ireland Ltd.	Вимірювання ефективності реклами у Facebook та Instagram — піксель Meta на сайті, а також звітування про оплачені замовлення безпосередньо з нашого сервера	Лише за твоєю згодою. Ідентифікатор із файлу cookie `_fbp`, IP-адреса, дані про браузер, адреса відвіданої сторінки та сама подія: відвідини, створення облікового запису (з інформацією, чи через e-mail, чи через Google) або купівля разом із сумою та ідентифікатором замовлення. Ми не передаємо твоєї e-mail адреси — ані у відкритому вигляді, ані у вигляді хешу — ані ідентифікатора твого облікового запису.
Google Ireland Ltd. (Google Tag Manager, Google Analytics)	Статистика відвідин та ефективності реклами	Лише за твоєю згодою. Ідентифікатор із файлу cookie `_ga`, IP-адреса, дані про браузер, відвідані підсторінки й ті самі події, що вище. Без згоди ці інструменти нічого не записують на твоєму пристрої.
Mollie B.V.	Обслуговування платежів за пакети балів	E-mail адреса, сума, ідентифікатор замовлення. Сервіс не зберігає й не передає номерів карток чи даних для входу в інтернет-банк — вони потрапляють виключно до Mollie B.V. та банку чи емітента картки. Штаб-квартира Mollie B.V. розташована в Нідерландах (ЄС), тож ця обробка не передбачає передавання даних за межі ЄЕЗ.

Ми не продаємо даних і не передаємо їх третім особам у маркетингових цілях. Ми можемо розкрити дані державним органам, якщо такий обов’язок випливає із закону.

6. Передавання за межі ЄЕЗ

Частина наших субпроцесорів має штаб-квартиру у Сполучених Штатах. Передавання даних відбувається на підставі стандартних договірних положень, затверджених Європейською Комісією (ст. 46(2)(c) GDPR), а у випадку сертифікованих суб’єктів — на підставі рішення про адекватність для EU–US Data Privacy Framework (ст. 45 GDPR). Копію застосованих гарантій можна отримати на запит.

7. Як довго ми зберігаємо дані

Дані облікового запису та відстеження: Доки існує обліковий запис. Після його видалення — без зволікання, щонайпізніше протягом 30 днів.
Пам’ять про надіслані оголошення (щоб не повторювати сповіщень): 45 днів від останньої появи відповідного оголошення, потім видаляється автоматично.
Історія покупок (пакети, суми, підтвердження): 5 років від кінця податкового року, відповідно до бухгалтерських норм — незалежно від видалення облікового запису.
Токен push-сповіщень: Доки ти не вийдеш з облікового запису, не відкличеш дозвіл на сповіщення, не видалиш застосунок або не зітреш свої дані — у кожному з цих випадків ми видаляємо його одразу.
Події користування застосунком: Доки існує обліковий запис; видаляються разом з рештою його даних.
Технічні журнали: До 30 днів.
Дані, потрібні для захисту від претензій: До спливу строку позовної давності за претензіями.

8. Твої права

Ти маєш право на: доступ до своїх даних і отримання їх копії, виправлення, видалення («право бути забутим»), обмеження обробки, перенесення даних і заперечення проти обробки на підставі законного інтересу.

Свої дані можна видалити самостійно в застосунку — це одразу видаляє всі пов’язані відстеження, історію сповіщень, пам’ять про оголошення, токени push-сповіщень, події користування застосунком і твій профіль, а сам обліковий запис деактивується (вхід перестає працювати). E-mail адреса облікового запису зберігається лише як запис про деактивований обліковий запис. Якщо захочеш повернутися або хочеш, щоб і цей запис було остаточно вилучено, напиши на team@lowca-okazji.com; ми відповідаємо протягом 30 днів.

Окрема сторінка проводить через це крок за кроком, зокрема пояснює, що ми стираємо одразу, а що зобов’язані зберігати і як довго: Видалення облікового запису та даних.

Ти також маєш право подати скаргу до наглядового органу:
Голова Управління з захисту персональних даних (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Варшава, Польща.

9. Безпека даних

Уся комунікація між застосунком чи сайтом і нашим сервером відбувається через HTTPS/TLS; ми не маємо жодної незашифрованої точки входу.
Дані зберігаються в Google Cloud (Firestore, Firebase Authentication) і шифруються у стані спокою. Ми ніколи не зберігаємо паролів у відкритому вигляді — ними опікується Firebase Authentication.
Правила безпеки Firestore написано так, що користувач, який увійшов, має доступ лише до власних документів; операції з балами та платежами виконуються в серверному коді, який застосунок не може обійти.
Адміністративний доступ до консолі та бази даних обмежено власником сервісу.
Якщо попри це станеться порушення захисту персональних даних, ми повідомимо про це Голову Управління з захисту персональних даних протягом 72 годин і сповістимо тебе електронною поштою, якщо порушення може спричинити високий ризик для твоїх прав.

10. Файли cookie та сховище пристрою

До 21 серпня 2026 року ми не використовували жодних аналітичних чи рекламних інструментів, і цей розділ прямо казав, що ми не просимо твоєї згоди на файли cookie. Це змінилося. Ми ведемо рекламу в Meta та Google і мусимо знати, яка з них приводить людей, яким Łowca справді стає в пригоді, — інакше ми платимо за рекламу, про яку нічого не знаємо. Тому на сайті ти тепер побачиш банер згоди.

Необхідні — працюють завжди, без згоди

Для цих механізмів закон не вимагає згоди, бо без них послуга не працює:

Сесія входу (Firebase Authentication) — тримає тебе в обліковому записі.
sessionStorage — переносить те, що ти вводиш на головній сторінці, до застосунку, щоб не довелося вводити це вдруге. Зникає, коли ти закриваєш вкладку.
lowca.consent.v1 (локальне сховище браузера) — запам’ятовує твоє рішення щодо файлів cookie. Ми зберігаємо його й тоді, коли ти відмовляєш: це єдиний спосіб не питати тебе про те саме при кожному вході. Нікуди його не надсилаємо.
Мобільний застосунок не використовує файлів cookie — він тримає лише сесію входу й локальні позначки, описані в розділі 4, у сховищі застосунку на твоєму пристрої. Банера згоди в застосунку немає, бо в ньому немає жодного аналітичного чи рекламного інструмента.

Аналітичні та маркетингові — лише за твоєю згодою

Ми не запускаємо їх, доки ти не натиснеш «Приймаю». До цього моменту — і назавжди, якщо ти натиснеш «Відхиляю» — ми не записуємо на твоєму пристрої нічого, крім самого рішення, і жоден запит не йде ані до Meta, ані до Google Analytics.

Інструмент	Файли	Навіщо	Як довго
Піксель Meta (Meta Platforms Ireland Ltd.)	`_fbp`	Пов’язання кліку по рекламі у Facebook чи Instagram із тим, що сталося потім: входом на сайт, створенням облікового запису, купівлею балів.	до 90 днів
Google Analytics, який запускає Google Tag Manager (Google Ireland Ltd.)	`_ga`, `_ga_*`	Статистика відвідин: скільки людей зайшло, на які підсторінки, яка реклама їх привела і скільки з них створило обліковий запис.	до 2 років

Правовою підставою є твоя згода (ст. 6(1)(a) GDPR та ст. 173 польського Закону про телекомунікації). Згода є добровільною — відмова жодним чином не обмежує роботи сайту, застосунку чи твого облікового запису.

Якщо передумаєш

Згоду можна відкликати будь-коли, так само легко, як її надати, — кнопкою нижче. Відкликання не впливає на те, що сталося раніше, але від цього моменту нічого більше не буде надіслано.

Ти також можеш заблокувати чи видалити файли cookie в налаштуваннях свого браузера — це спрацює незалежно від цієї кнопки.

Звітування про купівлю з нашого сервера

Інформацію про оплачене поповнення балів ми надсилаємо до Meta не з твого браузера, а з нашого сервера — бо платіж підтверджує платіжний оператор уже після того, як ти закриєш його сторінку. Робимо це виключно тоді, коли ти раніше надав згоду на маркетингові файли cookie; без згоди ми не надсилаємо нічого. Туди потрапляє сума, валюта, ідентифікатор замовлення та ідентифікатори з описаних вище файлів cookie разом з IP-адресою — ніколи твоя e-mail адреса чи ідентифікатор облікового запису. IP-адресу ми видаляємо із замовлення одразу після надсилання; саме замовлення залишається, бо є бухгалтерським документом (розділ 7).

11. Автоматизовані рішення та профілювання

Наша система автоматично оцінює й ранжує оголошення, а не тебе. Ми не ухвалюємо щодо тебе автоматизованих рішень, які мають правові наслідки або подібним чином суттєво впливають на тебе в розумінні ст. 22 GDPR.

Оцінка пропозиції — це підказка, а не гарантія. Результат створює автоматична модель на підставі змісту чужого оголошення, яке може бути неточним. Рішення про купівлю завжди залишається за тобою.

12. Зміни в політиці

Про суттєві зміни ми повідомимо електронною поштою на адресу, прив’язану до твого облікового запису, щонайменше за 14 днів наперед. Дата останнього оновлення наведена вгорі сторінки.