Polityka prywatności

1. Informacje ogólne

Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych użytkowników serwisu rumourpandora.pl, w tym strony Project HERO by Rumour × Pandora, podstron usługowych, podstron Rumour Cocktail Bar i Pandora Cocktail Bar, formularzy kontaktowych, formularza briefu wydarzenia oraz komunikacji prowadzonej przez e-mail, telefon, WhatsApp, Instagram, Facebook, Google, TripAdvisor i inne kanały wskazane na stronie.

Serwis służy do prezentacji usług Project HERO, Rumour Cocktail Bar i Pandora Cocktail Bar, przyjmowania zapytań, obsługi rezerwacji, kontaktu z klientami oraz przygotowywania ofert dotyczących wydarzeń, warsztatów, degustacji, obsługi barmańskiej i mobilnego baru.

2. Administrator danych

Administratorem danych osobowych jest:

Kontakt w sprawach dotyczących danych osobowych:

Jeżeli w serwisie używane są nazwy handlowe „Project HERO”, „Rumour Cocktail Bar” lub „Pandora Cocktail Bar”, nie zmienia to faktu, że administratorem danych jest Krakowska Ambasada Rumu sp. z o.o..

Administrator nie wyznaczył Inspektora Ochrony Danych, chyba że odrębna informacja wskazuje inaczej.

3. Jakie dane możemy przetwarzać

W zależności od sposobu kontaktu możemy przetwarzać następujące dane:

1. dane podane w formularzu briefu wydarzenia: imię i nazwisko, adres e-mail, numer telefonu, nazwa firmy lub organizacji, data wydarzenia, lokalizacja, miasto, typ wydarzenia, liczba gości, przewidywany czas serwisu, informacje o potrzebnym zakresie obsługi, informacja o fakturze, budżet orientacyjny, link do inspiracji, treść wiadomości oraz inne informacje dobrowolnie podane w formularzu;
2. dane potwierdzeń formularza: status i wersja potwierdzenia zapoznania się z Polityką prywatności, status i wersja akceptacji Regulaminu usług elektronicznych, znacznik czasu oraz identyfikator wysyłki;
3. dane związane z rezerwacją lub kontaktem z Rumour Cocktail Bar albo Pandora Cocktail Bar: imię, numer telefonu, e-mail, data i godzina rezerwacji, liczba osób, preferencje rezerwacyjne, treść wiadomości i kanał kontaktu;
4. dane z komunikacji przez e-mail, telefon, WhatsApp, Instagram, Facebook lub inne kanały: imię i nazwisko albo nazwa profilu, numer telefonu, adres e-mail, identyfikator profilu, treść korespondencji, data kontaktu oraz informacje dobrowolnie przekazane w rozmowie lub wiadomości;
5. dane techniczne: adres IP, data i godzina wizyty, informacje o urządzeniu, przeglądarce, systemie operacyjnym, odwiedzanych podstronach, źródle wejścia na stronę, logi serwera, dane cookies oraz dane związane z bezpieczeństwem formularzy.

Nie należy przekazywać przez formularze danych szczególnych kategorii, takich jak informacje o zdrowiu, poglądach, przekonaniach lub innych danych wrażliwych, chyba że jest to rzeczywiście konieczne w konkretnej sprawie i zostanie wcześniej uzgodnione z Administratorem.

4. Cele i podstawy prawne przetwarzania

Dane osobowe przetwarzamy w następujących celach:

1. obsługa zapytań i formularzy, przygotowanie odpowiedzi oraz kontakt w sprawie wydarzenia — art. 6 ust. 1 lit. b RODO, czyli działania przed zawarciem umowy, oraz art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes Administratora polegający na obsłudze korespondencji;
2. przygotowanie oferty i ustalenie zakresu usługi — art. 6 ust. 1 lit. b RODO;
3. realizacja umowy lub rezerwacji — art. 6 ust. 1 lit. b RODO;
4. wystawianie faktur, prowadzenie księgowości i realizacja obowiązków podatkowych — art. 6 ust. 1 lit. c RODO;
5. obsługa reklamacji, ustalenie, dochodzenie lub obrona przed roszczeniami — art. 6 ust. 1 lit. f RODO;
6. zapewnienie bezpieczeństwa strony, formularzy i systemów informatycznych — art. 6 ust. 1 lit. f RODO;
7. prowadzenie podstawowych statystyk działania strony po stronie serwera, które nie wymagają zapisu ani odczytu informacji na urządzeniu użytkownika — art. 6 ust. 1 lit. f RODO; analityka wymagająca takiego zapisu lub dostępu jest uruchamiana dopiero po uprzedniej zgodzie wymaganej przez art. 399 Prawa komunikacji elektronicznej, a związane z nią przetwarzanie danych osobowych opiera się na zgodzie z art. 6 ust. 1 lit. a RODO;
8. remarketing i cookies marketingowe nie są obecnie uruchomione w serwisie. Ich przyszłe wdrożenie będzie wymagało odrębnej uprzedniej zgody z art. 399 Prawa komunikacji elektronicznej oraz art. 6 ust. 1 lit. a RODO. Elektroniczny marketing bezpośredni przez e-mail, SMS, telefon lub porównywalne urządzenie końcowe jest prowadzony dopiero po uzyskaniu odrębnej uprzedniej zgody odbiorcy wymaganej przez art. 398 tej ustawy.

Wysłanie zapytania i potwierdzenie zapoznania się z Polityką prywatności nie stanowią zgody na marketing bezpośredni. Odpowiedź i oferta, o które prosi użytkownik, są obsługiwane w ramach tego zapytania; późniejszy, niezwiązany z nim marketing bezpośredni wymaga odrębnej uprzedniej zgody, gdy stosuje się art. 398.

Jeżeli dane są przetwarzane na podstawie zgody, zgodę można wycofać w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

5. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale może być niezbędne do obsługi zapytania, przygotowania oferty, dokonania rezerwacji, zawarcia lub wykonania umowy, wystawienia faktury albo udzielenia odpowiedzi.

Brak podania danych kontaktowych może uniemożliwić kontakt zwrotny. Brak danych dotyczących wydarzenia może uniemożliwić przygotowanie oferty.

6. Odbiorcy danych

Dane osobowe mogą być przekazywane wyłącznie w zakresie potrzebnym do realizacji danego celu następującym kategoriom odbiorców:

dostawcom hostingu, poczty e-mail, obsługi technicznej strony, formularzy, systemów bezpieczeństwa, narzędzi analitycznych, narzędzi komunikacyjnych, dostawcom systemów rezerwacji lub CRM, biuru rachunkowemu, doradcom prawnym lub podatkowym, podwykonawcom zaangażowanym w realizację wydarzenia oraz organom publicznym, jeżeli wymagają tego przepisy prawa.

Jeżeli użytkownik korzysta z linków do zewnętrznych platform, takich jak Google, Google Maps, Google Business Profile, Instagram, Facebook, WhatsApp, TripAdvisor lub inne serwisy, dane mogą być również przetwarzane przez operatorów tych platform na zasadach określonych w ich własnych politykach prywatności.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Niektórzy dostawcy narzędzi internetowych, komunikacyjnych lub analitycznych mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, w szczególności jeżeli korzystamy z usług globalnych dostawców, takich jak Google, Meta, WhatsApp, Instagram, Facebook lub TripAdvisor.

W takim przypadku przekazywanie danych powinno odbywać się na podstawie odpowiednich mechanizmów prawnych przewidzianych w RODO, takich jak decyzja stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne albo inne dopuszczalne zabezpieczenia.

8. Okres przechowywania danych

Dane przechowujemy nie dłużej, niż jest to potrzebne do celów, w których zostały zebrane.

Dane z zapytań i formularzy przechowujemy przez czas obsługi zapytania, a następnie przez okres potrzebny do zachowania historii korespondencji i zabezpieczenia ewentualnych roszczeń.

Dane potwierdzeń formularza stanowią część dokumentacji zapytania i są przechowywane na tej samej podstawie. Nie są zapisem zgody na marketing ani analitykę.

Dane związane z umową, wydarzeniem, rezerwacją lub fakturą przechowujemy przez czas realizacji usługi, a następnie przez okres wymagany przepisami prawa, w szczególności podatkowymi i rachunkowymi, oraz przez okres przedawnienia ewentualnych roszczeń.

Dane przetwarzane na podstawie zgody przechowujemy do czasu wycofania zgody, chyba że istnieje inna podstawa dalszego przetwarzania.

Serwis zapisuje wybór dotyczący zgody analitycznej nie dłużej niż przez 180 dni. W ustawieniach GA4 zweryfikowanych podczas audytu 24 sierpnia 2026 r. retencja danych na poziomie zdarzeń wynosiła 2 miesiące, a danych na poziomie użytkownika 14 miesięcy. Cofnięcie zgody zatrzymuje dalsze zbieranie danych na jej podstawie; usunięcie lub agregacja danych już zapisanych przez dostawcę może następować zgodnie z jego harmonogramem technicznym.

Dane techniczne i logi serwera przechowujemy przez okres potrzebny do zapewnienia bezpieczeństwa strony, diagnostyki błędów i przeciwdziałania nadużyciom.

9. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą, przysługuje prawo do:

• dostępu do danych,
• otrzymania kopii danych,
• sprostowania danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania,
• wycofania zgody, jeżeli dane są przetwarzane na podstawie zgody,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

W celu skorzystania z praw należy skontaktować się z Administratorem pod adresem:

formularz kontaktowy

Administrator może poprosić o dodatkowe informacje pozwalające potwierdzić tożsamość osoby składającej żądanie, jeżeli będzie to konieczne do ochrony danych.

10. Cookies i podobne technologie

Serwis może korzystać z plików cookies i podobnych technologii.

Przy wysyłaniu formularza zapisujemy w sessionStorage pod kluczem projectHeroQuoteAttempt:v1 techniczny znacznik próby: losowy identyfikator UUID, skrót SHA-256 danych formularza z dodatkiem tego identyfikatora (solą), czas utworzenia oraz wersję i znaczniki statusu lub historii niepotwierdzonej wysyłki. Ten zapis nie zawiera jawnej treści briefu ani jawnych danych kontaktowych; skrót nadal stanowi techniczne dane powiązane z próbą wysyłki.

Znacznik służy zapobieganiu powielaniu zapytań i ręcznemu ponowieniu tych samych danych z tym samym identyfikatorem w ciągu 23 godzin. Pozostaje po odświeżeniu strony. Przy niepotwierdzonym wyniku pozostaje także po upływie 23 godzin, do zakończenia sesji karty, jako blokada kolejnej potencjalnie powielonej wysyłki. Potwierdzone przyjęcie usuwa znacznik. Gdy sessionStorage jest zablokowane, mechanizm korzysta wyłącznie z pamięci bieżącej strony.

Jest to pamięć techniczna obsługująca żądane wysłanie zapytania, niezależna od zgody analitycznej. Nie służy analityce ani marketingowi; skrótu i lokalnych znaczników statusu nie przekazujemy narzędziom analitycznym. Nie zapisujemy w ten sposób kopii roboczej briefu i nie wysyłamy go ponownie automatycznie.

Menu DREAM wymaga potwierdzenia 18+, bez hasła. Techniczny plik cookie __Host-rp-dream-menu-age zapamiętuje deklarację wieku na maksymalnie 2 godziny. Nie weryfikuje tożsamości. Odczytuje go serwer; jest przesyłany przez HTTPS i nie służy reklamie ani analityce. Pozycja w książce jest zapamiętywana w sessionStorage do końca sesji karty. Zamknięcie menu usuwa plik cookie deklaracji wieku; jego blokada uniemożliwia otwarcie menu.

Cookies niezbędne służą do prawidłowego działania strony, formularzy, bezpieczeństwa i podstawowych funkcji serwisu. Mogą być stosowane bez dodatkowej zgody, jeżeli są konieczne do działania strony lub świadczenia usługi żądanej przez użytkownika.

Cookies analityczne, marketingowe, remarketingowe lub społecznościowe są stosowane wyłącznie wtedy, gdy są faktycznie wykorzystywane i gdy użytkownik wyrazi na nie zgodę, jeżeli taka zgoda jest wymagana.

Na dzień ostatniej aktualizacji serwis wykorzystuje Google Tag Manager, Google Analytics 4, Google Consent Mode v2, Vercel Speed Insights, Vercel Analytics oraz formularz obsługiwany przez Resend. Wyłącznie parametry UTM, gclid, gbraid i wbraid z zamkniętej listy mogą być po zgodzie analitycznej przechowywane w pamięci sesji przeglądarki w celu przypisania zapytania do kampanii. Atrybucja ta jest usuwana po cofnięciu zgody.

Google Tag Manager, Google Analytics, Vercel Analytics i Vercel Speed Insights nie są ładowane przed udzieleniem zgody analitycznej. Pamięć reklamowa, dane użytkownika dla reklam i personalizacja reklam pozostają w stanie odmowy także po zgodzie analitycznej; jeden przycisk nie stanowi zgody na remarketing ani reklamę spersonalizowaną. Odmowa jest zapisywana maksymalnie na 180 dni i może zostać zmieniona w każdej chwili w panelu ustawień cookies.

Użytkownik może zarządzać cookies z poziomu ustawień przeglądarki oraz, jeżeli jest wdrożony, z poziomu panelu ustawień cookies dostępnego na stronie.

Jeżeli serwis korzysta wyłącznie z cookies technicznych, informacja ta powinna zostać wskazana w banerze lub w stopce strony.

Na stronach Pandory, Rumour i DREAM mapa OpenStreetMap ładuje się automatycznie po przewinięciu do sekcji lokalizacji, niezależnie od wyboru dotyczącego analityki. Przeglądarka pobiera obrazy mapy bezpośrednio z tile.openstreetmap.org. OpenStreetMap Foundation oraz dostawcy jej infrastruktury mogą otrzymać adres IP, informacje o przeglądarce, domenę serwisu i dane o żądanych fragmentach mapy zgodnie z własną polityką prywatności. Mapa nie prosi o dostęp do lokalizacji użytkownika. Przyciski nawigacji otwierają Google Maps w nowej karcie; wtedy zastosowanie mają warunki i informacje o prywatności Google.

11. Media społecznościowe i zewnętrzne platformy

Administrator może prowadzić profile lub komunikację za pośrednictwem Instagramu, Facebooka, WhatsApp, Google Business Profile, Google Maps, TripAdvisor oraz innych platform.

Jeżeli użytkownik kontaktuje się z Administratorem przez te platformy, Administrator przetwarza dane w celu odpowiedzi na wiadomość, obsługi zapytania, rezerwacji, przygotowania oferty lub prowadzenia bieżącej komunikacji.

Operatorzy tych platform mogą przetwarzać dane jako odrębni administratorzy, zgodnie z własnymi regulaminami i politykami prywatności.

12. Zdjęcia, opinie i materiały z wydarzeń

Administrator może publikować opinie, zdjęcia, nagrania lub relacje z wydarzeń wyłącznie wtedy, gdy posiada do tego odpowiednią podstawę prawną.

Jeżeli materiał zawiera wizerunek osoby możliwej do zidentyfikowania, publikacja powinna odbywać się na podstawie zgody tej osoby albo innej właściwej podstawy prawnej.

Jeżeli użytkownik chce zgłosić sprzeciw wobec wykorzystania opinii, zdjęcia lub materiału, może skontaktować się z Administratorem pod adresem:

formularz kontaktowy

13. Dane osób niepełnoletnich

Serwis nie jest kierowany do dzieci. Usługi związane z alkoholem są kierowane wyłącznie do osób pełnoletnich.

Alkohol jest serwowany wyłącznie osobom pełnoletnim. Administrator może odmówić realizacji usługi lub serwisu w sytuacjach wymaganych prawem, w szczególności wobec osób niepełnoletnich lub nietrzeźwych.

14. Zautomatyzowane decyzje

Administrator nie podejmuje wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały.

15. Bezpieczeństwo danych

Administrator stosuje odpowiednie środki organizacyjne i techniczne służące ochronie danych osobowych, w szczególności ograniczenie dostępu do danych, zabezpieczenie poczty i formularzy, kontrolę dostępu do systemów, korzystanie z zaufanych dostawców oraz minimalizację zakresu przetwarzanych danych.

16. Zmiany Polityki prywatności

Polityka prywatności może być aktualizowana, w szczególności w przypadku zmiany przepisów, zmiany funkcji strony, wdrożenia nowych formularzy, narzędzi analitycznych, marketingowych, komunikacyjnych lub zmiany dostawców technicznych.

Aktualna wersja Polityki prywatności jest dostępna na stronie rumourpandora.pl.

Ostatnia aktualizacja: 11 października 2026