Polityka prywatności RCOP

Niniejsza Polityka prywatności opisuje, w jaki sposób przetwarzamy dane osobowe w usłudze RCOP — Regionalne Centrum Ogłoszeń Pozarządowych, obejmującej aplikację mobilną RCOP.ngo (Android, w przyszłości iOS), panel administracyjny panel.rcop.ngo oraz stronę rcop.ngo. Dokument stanowi realizację obowiązku informacyjnego z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

1. Administrator danych

Administratorem Twoich danych osobowych jest:

Federacja Organizacji Pozarządowych Podregionu Siedleckiego (FOPPS)
ul. bpa Świrskiego 19 lok. 4, 08-110 Siedlce
KRS: 0001034031 · NIP: 8212684384 · REGON: 525209989

Kontakt w sprawach ochrony danych: info@rcop.ngo, tel. +48 25 788 89 25.

FOPPS nie wyznaczyła Inspektora Ochrony Danych (nie zachodzą przesłanki z art. 37 RODO). Wszystkie zapytania dotyczące danych osobowych kierowane na powyższy adres są rozpatrywane niezwłocznie, najpóźniej w terminie miesiąca.

2. Czym jest RCOP i kogo dotyczy ta Polityka

RCOP to system szybkiej dystrybucji komunikatów (powiadomień PUSH) dla organizacji pozarządowych: naborów, terminów, konsultacji, rekrutacji, wydarzeń i ostrzeżeń kryzysowych. Użytkownicy mogą też dodawać zgłoszenia „Mam / Potrzebuję” (m.in. nabory wolontariuszy) i zgłaszać się do naborów.

RCOP pokazuje także nabory i konkursy dla organizacji pozarządowych z zewnętrznych źródeł (m.in. Radar Dotacji — dotacje.io), dopasowane do profilu Twojej Organizacji (typ, obszary zainteresowań, lokalizacja). Możesz obserwować wybrane nabory — wtedy przypomnimy Ci o zbliżającym się terminie — oraz oceniać nabory w trybie kart; oceny zarządu i koordynatorów budują wspólny profil naborów Organizacji. Polityka dotyczy:

• Odbiorców — osób fizycznych reprezentujących organizacje pozarządowe (stowarzyszenia, fundacje, KGW, OSP, kluby sportowe, grupy nieformalne), które zakładają konto w aplikacji;
• Kandydatów na wolontariuszy — osób, które ukończyły 16 lat i zakładają konto bez powiązania z organizacją, aby zgłaszać się do naborów i dodawać zgłoszenia;
• Autorów zgłoszeń i osób aplikujących na nabory — w zakresie danych podanych w zgłoszeniu lub aplikacji;
• Osób zgłaszających chęć dołączenia przez formularz „Kolejka dostępu" (waitlist);
• Osób zaproszonych przez Organizację — osób, których dane (imię, nazwisko, e-mail) Organizacja zaimportowała z listy CSV, aby wysłać im Zaproszenie imienne — w zakresie opisanym w pkt 4b;
• Użytkowników panelu — pracowników i współpracowników FOPPS oraz partnerów instytucjonalnych;
• Osób odwiedzających stronę rcop.ngo.

3. Jakie dane przetwarzamy

Stosujemy zasadę minimalizacji (art. 5 ust. 1 lit. c RODO). Zbieramy wyłącznie dane potrzebne do dostarczania komunikatów i ich adresowania.

Nie zbieramy: numeru PESEL, danych z dokumentów tożsamości, lokalizacji GPS, listy kontaktów, danych finansowych ani danych szczególnych kategorii (art. 9 RODO). Wizerunek przetwarzamy tylko wtedy, gdy sam dodasz zdjęcie profilowe albo zaznaczysz import zdjęcia z konta Google/Facebook. Aplikacja prosi o dostęp do aparatu lub galerii zdjęć wyłącznie wtedy, gdy dodajesz zdjęcie profilowe lub logo Organizacji; nie prosi o dostęp do mikrofonu, kontaktów ani lokalizacji.

4. Cele i podstawy prawne przetwarzania

Podanie danych oznaczonych w formularzu jako wymagane jest warunkiem założenia konta. Pozostałe dane są dobrowolne.

4a. Dane z rejestrów publicznych — obowiązek informacyjny (art. 14 RODO)

Ten punkt realizuje obowiązek informacyjny z art. 14 RODO, który dotyczy danych, których nie zbieramy od Ciebie, lecz z rejestrów publicznych.

• Źródło danych: Krajowy Rejestr Sądowy (KRS), Krajowy Rejestr Kół Gospodyń Wiejskich prowadzony przez ARiMR (KRKGW), rejestr REGON (GUS) oraz biała lista podatników VAT (Ministerstwo Finansów) — rejestry publiczne, jawne i dostępne bez ograniczeń każdemu.
• Zakres i cel: przy dodawaniu Organizacji i przy weryfikacji funkcji w jej zarządzie pobieramy z tych rejestrów nazwę, formę prawną, adres, NIP, REGON, numer KRS lub KRKGW oraz — wyłącznie w celu porównania z funkcją zadeklarowaną przez Użytkownika — dane o składzie zarządu. Podstawą prawną jest nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO): weryfikacja wiarygodności Organizacji i funkcji w jej zarządzie oraz zapobieganie podszywaniu się pod cudzą funkcję.
• Minimalizacja danych o składzie zarządu:
• z KRS zapisujemy dane osób w zarządzie w postaci zamaskowanej (pierwsza litera imienia i nazwiska oraz ich długość) — nigdy pełnego imienia i nazwiska;
• z KRKGW nie zapisujemy listy osób założycieli lub umocowanych — porównujemy podane przez Użytkownika imię i nazwisko z dokumentem rejestrowym i zapisujemy tylko wynik tego porównania (zgodny / niezgodny); dokument jest pobierany ponownie, na żądanie moderatora, gdy wynik wymaga sprawdzenia.
• Okres przechowywania: do usunięcia Organizacji z RCOP albo aktualizacji danych z rejestru.
• Odbiorcy: patrz pkt 5 — dostęp do wyniku weryfikacji ma moderacja Operatora.
• Sposób realizacji obowiązku informacyjnego wobec osób bez Konta w RCOP (np. członków zarządu wpisanych do KRS lub KRKGW, którzy sami nie korzystają z RCOP): indywidualne powiadomienie każdej takiej osoby wymagałoby niewspółmiernie dużego wysiłku (nie mamy jej danych kontaktowych, a rejestry ich nie udostępniają) — obowiązek informacyjny realizujemy przez publikację tej informacji na stronie rcop.ngo, zgodnie z art. 14 ust. 5 lit. b RODO.
• Osobie, której dane pochodzące z rejestru dotyczą (np. członkowi zarządu wpisanemu do KRS), przysługują prawa opisane w pkt 6, w zakresie odpowiadającym minimalizacji opisanej powyżej.

4b. Osoby zaproszone przez Organizację — informacja dla osób zapraszanych (art. 14 RODO)

Członek zarządu zweryfikowanej Organizacji (nie dotyczy grup nieformalnych) może zaimportować do panelu listę osób (plik CSV) i wysłać im imienne Zaproszenia e-mailem z poczty RCOP (Regulamin § 4d). Jeżeli otrzymałeś(-aś) takie zaproszenie, ten punkt wyjaśnia, skąd mamy Twoje dane i co z nimi robimy.

• Kto jest administratorem: w zakresie danych z zaimportowanej listy administratorem jest Organizacja, która Cię zaprasza (wskazana w wiadomości), a FOPPS działa wyłącznie jako podmiot przetwarzający na jej polecenie (art. 28 RODO; Regulamin § 4d ust. 4). To Organizacja odpowiada za podstawę prawną przetwarzania Twoich danych i za informację o nim; FOPPS nie wykorzystuje tych danych do własnych celów.
• Źródło danych: Organizacja, która zaimportowała listę.
• Zakres: imię, nazwisko, adres e-mail, przypisana Rola w Organizacji (numer telefonu, jeśli był w pliku, odczytujemy — tylko przy sprawdzaniu pliku, nie jest zapisywany). Organizacja widzi status Twojego Zaproszenia (w kolejce, wysłane, przyjęte, wygasłe).
• Cel: wysłanie Zaproszenia imiennego (link i kod do dołączenia do Organizacji w RCOP), jego jednorazowe ponowienie oraz pokazanie Organizacji statusu Zaproszenia. Nie śledzimy otwierania wiadomości.
• Okres: do przyjęcia Zaproszenia — po jego przyjęciu usuwamy z Zaproszenia Twoje dane (imię, nazwisko, e-mail, telefon), a zostaje tylko powiązanie Zaproszenia z Twoim kontem; jeżeli nie przyjmiesz Zaproszenia — usuwamy dane 30 dni po jego wygaśnięciu (Zaproszenie jest ważne 30 dni). Treść wiadomości z Zaproszeniem (w tym imię i kod) oraz adres odbiorcy w rejestrze wysyłek e-mail przechowujemy do przyjęcia albo cofnięcia Zaproszenia, a gdy nic takiego nie nastąpi — nie dłużej niż 30 dni po jego wygaśnięciu; po przyjęciu lub cofnięciu usuwamy z rejestru treść i adres, a zostaje wyłącznie techniczny zapis wysyłki (data, status, temat wiadomości) przechowywany nie dłużej niż 90 dni, jak dla pozostałych wiadomości systemowych (pkt 4).
• Podstawa prawna: wskazuje ją Organizacja jako administrator — najczęściej jej prawnie uzasadniony interes w kontakcie z osobami z nią związanymi (art. 6 ust. 1 lit. f RODO) albo Twoja zgoda (art. 6 ust. 1 lit. a RODO). Podstawową informację o przetwarzaniu otrzymujesz w treści zaproszenia.
• Odbiorcy: podmioty przetwarzające z pkt 5 (hosting cyber_Folks S.A.; Google Workspace — wysyłka e-mail; Google Cloud Storage — zaszyfrowane kopie zapasowe, nadpisywane w cyklu 30 dni; możliwe przekazanie do USA na podstawie EU-US Data Privacy Framework i standardowych klauzul umownych); dane widzą Organizacja, która Cię zaprasza, oraz — w niezbędnym zakresie — administratorzy systemu FOPPS.
• Gdy przyjmiesz Zaproszenie i założysz konto lub dołączysz do Organizacji, dane na Twoim koncie przetwarzamy już jako administrator, na zasadach z pkt 3–4.
• Twoje prawa: możesz skierować żądanie (dostępu, sprostowania, usunięcia, sprzeciwu) do Organizacji, która Cię zaprosiła, albo do nas (info@rcop.ngo) — przekażemy je Organizacji i pomożemy w jego realizacji. Jeżeli nie chcesz dołączać, wystarczy zignorować wiadomość. Masz prawo do skargi do Prezesa UODO (pkt 6).

5. Odbiorcy danych i podmioty przetwarzające

Dane są przetwarzane na serwerze zlokalizowanym w Polsce. Korzystamy z następujących podmiotów przetwarzających (art. 28 RODO):

Dane mogą być udostępnione organom publicznym wyłącznie na podstawie przepisów prawa.

Logowanie przez Google. Jeżeli wybierzesz „Kontynuuj z Google”, uwierzytelnienie przeprowadza Google (dla użytkowników z EOG — Google Ireland Ltd.), który w tym zakresie jest odrębnym administratorem Twoich danych i przetwarza je według własnej polityki prywatności (policies.google.com/privacy). Google przekazuje nam identyfikator konta, imię i nazwisko oraz potwierdzony adres e-mail. Nie otrzymujemy Twojego hasła do Google ani dostępu do innych usług Google (poczty, plików, kontaktów). Adres zdjęcia profilowego z konta Google zapisuje w rekordzie logowania Firebase Authentication — nasz podmiot przetwarzający. Samo zdjęcie pobieramy z serwerów Google tylko wtedy, gdy zaznaczysz to przy zakładaniu konta — zapisujemy je wtedy jako Twoje zdjęcie profilowe w RCOP (możesz je zmienić lub usunąć w profilu); bez zaznaczenia RCOP go nie pobiera, nie wyświetla i nie używa. Dane mogą być przetwarzane przez Google LLC w USA na podstawie decyzji Komisji (UE) 2023/1795 (EU-US Data Privacy Framework) oraz standardowych klauzul umownych. Logowanie przez Google jest dobrowolne — zawsze możesz używać adresu e-mail i hasła.

Logowanie przez Facebook. Jeżeli wybierzesz „Kontynuuj z Facebookiem”, uwierzytelnienie przeprowadza Meta Platforms Ireland Ltd. (Facebook), który w tym zakresie jest odrębnym administratorem Twoich danych i przetwarza je według własnej polityki prywatności (facebook.com/privacy/policy). Prosimy wyłącznie o uprawnienia „public_profile” i „email”, a Facebook przekazuje nam identyfikator konta, imię i nazwisko oraz adres e-mail. Adresu e-mail z Facebooka Facebook nie potwierdza — potwierdzamy go własnym linkiem, a do czasu potwierdzenia nie łączymy konta z innym kontem RCOP o tym adresie. Jeżeli konto Facebook nie udostępnia adresu e-mail, logowanie tą metodą nie jest możliwe. Nie otrzymujemy Twojego hasła do Facebooka, listy znajomych ani dostępu do Twoich postów, zdjęć i wiadomości. Adres zdjęcia profilowego z konta Facebook zapisuje w rekordzie logowania Firebase Authentication — nasz podmiot przetwarzający. Samo zdjęcie pobieramy z serwerów Facebooka tylko wtedy, gdy zaznaczysz to przy zakładaniu konta — zapisujemy je wtedy jako Twoje zdjęcie profilowe w RCOP (możesz je zmienić lub usunąć w profilu); bez zaznaczenia RCOP go nie pobiera, nie wyświetla i nie używa. W aplikacji używamy wyłącznie modułu logowania Facebooka: nie włączamy analityki Facebooka (zdarzeń aplikacji), identyfikatora reklamowego ani wtyczek społecznościowych. Moduł logowania startuje w trybie ograniczonym (bez zdarzeń aplikacji i bez identyfikatora reklamowego); samo logowanie i przekazywanie danych do Meta następuje dopiero po wybraniu przycisku „Kontynuuj z Facebookiem”. Dane mogą być przetwarzane przez Meta Platforms, Inc. w USA na podstawie decyzji Komisji (UE) 2023/1795 (EU-US Data Privacy Framework) oraz standardowych klauzul umownych. Logowanie przez Facebook jest dobrowolne — zawsze możesz używać adresu e-mail i hasła. Usunięcie konta RCOP (rcop.ngo/usun-konto) usuwa powiązanie z Facebookiem po naszej stronie; dostęp aplikacji RCOP możesz też odwołać w Facebooku (Ustawienia → Aplikacje i witryny).

Autorzy zgłoszeń (organizacje i osoby). Gdy aplikujesz na nabór, dane z Twojej aplikacji (imię i nazwisko, rok urodzenia, kontakt, wiadomość) otrzymuje autor zgłoszenia, a jeśli nabór jest podpisany organizacją — także zarząd i koordynatorzy tej organizacji oraz moderacja FOPPS. Robisz to z własnej inicjatywy, aby ci odbiorcy mogli się z Tobą skontaktować. Od chwili otrzymania każdy z nich jest odrębnym administratorem tych danych i może je wykorzystać wyłącznie do przeprowadzenia naboru i organizacji wolontariatu (Regulamin § 4a).

Inni użytkownicy. Opublikowane zgłoszenie z Twoim telefonem kontaktowym (i numerem WhatsApp, jeśli go podasz) widzą zalogowani użytkownicy RCOP. Osoby niezalogowane widzą listę zgłoszeń bez danych kontaktowych, a autora — jako imię i pierwszą literę nazwiska (albo nazwę organizacji, jeśli zgłoszenie jest nią podpisane).

Członkowie Twoich Organizacji. Twoje imię i nazwisko, rolę, funkcję w zarządzie i status członkostwa widzą pozostali członkowie tej samej Organizacji (lista członków w profilu Organizacji), a zarząd — dodatkowo dane wszystkich osób proszących o dołączenie. Profil naborów Organizacji pokazuje członkom wyłącznie zbiorcze wagi tematów i liczby ocen — nie pokazuje, kto ocenił który nabór.

Komunikaty organizacji. Komunikat wysłany przez zarząd lub koordynatora Twojej Organizacji widzą wyłącznie jego odbiorcy; nie jest on publiczny. Organizacja widzi zbiorcze statystyki (liczba odbiorców, dostarczeń, odczytów i potwierdzeń) oraz liczbę zgłoszeń nadużyć — nie widzi, które osoby przeczytały komunikat ani kto go zgłosił. Jeśli zgłosisz nadużycie, Twoje konto i powód zgłoszenia widzi moderacja FOPPS. Za treść komunikatu odpowiada Organizacja (Regulamin § 4c).

Zgłoszenia błędów i sugestii. Treść Twojego zgłoszenia, zrzuty ekranu i dołączone informacje o wersji aplikacji widzą Ty oraz superadministratorzy FOPPS; odpowiedzi przychodzą do centrum powiadomień w aplikacji (i jako powiadomienie PUSH, jeśli wyraziłeś(-aś) na nie zgodę). Prosimy nie umieszczać na zrzutach ekranu danych osobowych innych osób.

Dziennik działań administracyjnych. Zapisy o działaniach wykonanych w panelu (kto, co, na jakim obiekcie, kiedy) widzą wyłącznie uprawnieni administratorzy FOPPS; nie zawierają treści danych osobowych.

Zdjęcie profilowe widzisz tylko Ty; plik jest przechowywany na naszym serwerze pod losowym, niepublikowanym adresem. Logo Organizacji jest widoczne publicznie przy zgłoszeniach podpisanych tą Organizacją.

Radar Dotacji (dotacje.io) jest dla nas źródłem informacji o naborach — nie przekazujemy mu Twoich danych. Gdy otworzysz kartę naboru na stronie dotacje.io, trafiasz na serwis zewnętrzny, który przetwarza dane odwiedzających według własnej polityki prywatności. Linki do kart naborów zawierają oznaczenie źródła wejścia (parametry utm_…, np. utm_source=rcop) — nie zawierają żadnych Twoich danych.

Moderacja. Moderator Operatora widzi wynik porównania Twojej deklarowanej funkcji z rejestrem (zgodny / niezgodny), zgodnie z minimalizacją opisaną w pkt 4a, oraz decyduje o wątpliwych przypadkach.

Nadawcy instytucjonalni (np. urzędy, centra zarządzania kryzysowego) przygotowujący komunikaty „na zlecenie" nie mają dostępu do Twoich danych osobowych — otrzymują wyłącznie zagregowane statystyki (liczba dostarczeń, odczytów).

Remarketing i personalizacja reklam (Google). Jeżeli na stronie rcop.ngo wyrazisz zgodę na marketing, Google może wykorzystać dane z Twojej wizyty do list odbiorców remarketingu, personalizacji reklam i Google Signals. W tym zakresie Google może działać częściowo jako odrębny administrator, według własnych zasad: business.safety.google/privacy i policies.google.com/privacy. Szczegóły i sposób wycofania zgody — pkt 9.

Nie sprzedajemy danych. Dane ze strony rcop.ngo wykorzystujemy do mierzenia i kierowania naszych reklam w Google wyłącznie za Twoją zgodą (pkt 9). Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne (art. 22 RODO). Adresowanie komunikatów po obszarze i typie organizacji nie wywołuje skutków prawnych i nie jest decyzją zautomatyzowaną.

6. Twoje prawa

Masz prawo do:

• dostępu do danych i uzyskania ich kopii (art. 15) — w aplikacji: Profil → „Pobierz moje dane" (plik JSON);
• sprostowania (art. 16) — Profil → „Edytuj profil";
• usunięcia (art. 17) — Profil → „Usuń konto" lub strona rcop.ngo/usun-konto; konto jest anonimizowane natychmiast, a użytkownik w systemie logowania usuwany;
• ograniczenia przetwarzania (art. 18);
• przenoszenia danych (art. 20) — plik JSON z „Pobierz moje dane";
• sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21);
• cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem (art. 7 ust. 3) — Profil → „Zgody i prywatność"; zgodę na pliki cookie na stronie rcop.ngo wycofasz linkiem lub ikoną ustawień cookies na tej stronie, a zgodę na statystykę panelu — w panelu: menu konta → „Statystyka panelu” (pkt 9);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Żądania możesz kierować także mailowo na info@rcop.ngo. W celu weryfikacji tożsamości możemy poprosić o wysłanie wiadomości z adresu e-mail przypisanego do konta.

7. Co dzieje się po usunięciu konta

Usunięcie konta powoduje natychmiast:

• wymazanie z rekordu użytkownika: adresu e-mail, telefonu, imienia, nazwiska, funkcji, powiązania z organizacją i obszarem;
• usunięcie Twoich członkostw we wszystkich Organizacjach oraz wystawionych przez Ciebie Zaproszeń;
• usunięcie tokenów powiadomień, preferencji, historii dostarczeń;
• usunięcie roku urodzenia, obszarów wolontariatu i Twoich aplikacji na nabory;
• usunięcie listy obserwowanych naborów i stanu przypomnień, Twoich ocen naborów (przestają wpływać na profil naborów Organizacji), osobistego profilu naborów, historii powiadomień, zapisanych i ulubionych filtrów, zdjęcia profilowego oraz zdjęć w zgłoszeniach podpisanych Twoim imieniem i nazwiskiem;
• zamknięcie Twoich aktywnych zgłoszeń i usunięcie z nich danych kontaktowych;
• usunięcie Twoich zgłoszeń błędów i sugestii wraz ze zrzutami ekranu i odpowiedziami;
• usunięcie konta w Firebase Authentication wraz z powiązaniem z kontem Google lub Facebook (samo konto Google lub Facebook pozostaje bez zmian; dostęp aplikacji RCOP możesz też odwołać w ustawieniach konta Google albo w Facebooku);
• usunięcie adresu IP i identyfikatora urządzenia z rejestru zgód i logów.

Zachowujemy: treść komunikatów wysłanych przez Ciebie jako nadawcę (bez Twoich danych osobowych), fakt i datę decyzji moderacyjnych oraz rejestr rodzajów udzielonych i cofniętych zgód z datami — jako dowód rozliczalności (art. 5 ust. 2 RODO) — oraz oświadczenia złożone przy imporcie listy osób (kto — imię, nazwisko i rola, kiedy, w jakiej wersji treści) — przez 6 lat, licząc do końca roku kalendarzowego, jako dowód rozliczalności i w celu obrony roszczeń (art. 6 ust. 1 lit. f RODO). Dane organizacji (podmiotu) pozostają w bazie, jeżeli organizacja ma innych użytkowników; w przeciwnym razie są usuwane w cyklu 12 miesięcy.

Kopie zapasowe są nadpisywane w cyklu 30 dni; do tego czasu usunięte dane mogą pozostawać w zaszyfrowanej kopii, ale nie są przywracane do systemu produkcyjnego.

8. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), m.in.:

• szyfrowanie transmisji (TLS 1.2+) dla aplikacji, panelu i API;
• uwierzytelnianie przez Firebase Authentication — nie przechowujemy haseł (także przy logowaniu przez Google lub Facebook nie znamy Twojego hasła do Google ani Facebooka), a tokeny dostępu wygasają po godzinie; w panelu można włączyć uwierzytelnianie dwuetapowe (kod TOTP z aplikacji uwierzytelniającej);
• baza danych niedostępna z Internetu (tylko połączenia lokalne z serwera);
• kontrola dostępu oparta na rolach i uprawnieniach obszarowych, dziennik działań administracyjnych;
• ograniczanie liczby prób (rate limiting), fail2ban, aktualizacje bezpieczeństwa;
• szyfrowane kopie zapasowe, testowana procedura odtwarzania;
• procedura zgłaszania naruszeń ochrony danych do UODO w ciągu 72 godzin (art. 33 RODO) i informowania osób, których dane dotyczą (art. 34 RODO).

9. Pliki cookie, statystyka i reklama na stronie rcop.ngo i w panelu

Aplikacja mobilna nie używa plików cookie ani identyfikatora reklamowego urządzenia.

Panel panel.rcop.ngo zapisuje w przeglądarce dane potrzebne do utrzymania logowania (Firebase Authentication). Na to nie potrzebujemy zgody, bo bez tego panel nie działa (art. 399 ust. 3 pkt 2 ustawy – Prawo komunikacji elektronicznej).

Statystyka panelu — tylko za Twoją zgodą. Po zalogowaniu panel pyta, czy może liczyć, jak z niego korzystasz (Google Analytics 4, usługa Firebase). Przyciski „Akceptuj” i „Odrzuć” są równorzędne; odmowa nie ogranicza korzystania z panelu. Dopiero po akceptacji przeglądarka ładuje Google Analytics i zapisuje pliki cookie _ga i _ga_JX7G4M7235 — tylko w domenie panel.rcop.ngo, oddzielnie od strony rcop.ngo. Google otrzymuje m.in. adres IP, identyfikator z pliku cookie, adresy ekranów panelu, typ urządzenia i przeglądarki oraz zdarzenie „wysłano komunikat” z priorytetem komunikatu i rodzajem nadawcy (FOPPS lub partner) (bez treści, tytułu, odbiorców i danych osób). W panelu nie używamy reklam: sygnały reklamowe, personalizacja reklam i Google Signals są wyłączone. Statystyka panelu nie działa na stronie usuwania konta (rcop.ngo/usun-konto), na ekranie logowania ani w aplikacji mobilnej. Twoją decyzję pamiętamy w przeglądarce (pamięć lokalna, 12 miesięcy — potem zapytamy ponownie). Zgodę wycofasz w panelu: menu konta → „Statystyka panelu” — usuwamy wtedy pliki cookie _ga* z panelu i Google Analytics przestaje się ładować. Podstawa prawna, rola Google, przekazanie poza EOG i okres przechowywania danych w Google Analytics 4 — jak dla strony rcop.ngo (niżej).

Strona rcop.ngo pyta o zgodę na pliki cookie przez baner (wtyczka Complianz). Masz do wyboru trzy grupy:

1. Niezbędne — zawsze włączone. Zapamiętują Twoją decyzję w sprawie cookies (pliki cmplz_*, 12 miesięcy), żeby baner nie pojawiał się przy każdym wejściu. Nie wymagają zgody (art. 399 ust. 3 pkt 2 Prawa komunikacji elektronicznej).
2. Statystyka — tylko za Twoją zgodą. Google Analytics 4: liczymy, ile osób odwiedza stronę, skąd przychodzą i co czytają, żeby poprawiać serwis. Pliki cookie m.in. _ga i _ga_WYEDHRR1TD. Google otrzymuje m.in. adres IP, identyfikator z pliku cookie, adresy odwiedzanych stron oraz typ urządzenia i przeglądarki.
3. Marketing — tylko za Twoją zgodą. Google Ads (w tym bezpłatne reklamy Google Ad Grants): - pomiar konwersji — sprawdzamy, czy osoby, które kliknęły naszą reklamę, odwiedziły stronę lub pobrały aplikację; - remarketing i listy odbiorców — osobom, które odwiedziły rcop.ngo, możemy później pokazywać reklamy RCOP w Google (np. w wyszukiwarce i na YouTube); - personalizacja reklam — Google może dopasować do Ciebie reklamy na podstawie wizyty na rcop.ngo. Gdy jesteś zalogowany(-a) na konto Google i masz w nim włączone reklamy spersonalizowane, Google może połączyć dane z naszej strony z Twoim kontem (Google Signals w Google Analytics 4); - źródło wejścia — zapisujemy na czas wizyty w pamięci przeglądarki (rcop_ft) źródło, z którego przyszedłeś(-aś) (np. utm_source, identyfikator kliknięcia reklamy gclid), i przekazujemy je do Google Play, gdy pobierasz aplikację.

Pliki cookie m.in. _gcl_* na rcop.ngo oraz pliki cookie Google w domenach Google.

Bez Twojej zgody Google nie zapisuje ani nie odczytuje plików cookie statystyki i marketingu na Twoim urządzeniu, a źródło wejścia (rcop_ft) nie jest zapisywane. Strona korzysta z trybu zgody Google (Consent Mode v2): domyślnie obowiązuje odmowa, a Twoja decyzja z banera jest przekazywana do tagów Google. Przycisk „Odrzuć” działa tak samo łatwo jak „Akceptuj” i nie ogranicza korzystania ze strony.

Podstawa prawna: zgoda na zapis i odczyt informacji na Twoim urządzeniu (art. 399 ust. 1 Prawa komunikacji elektronicznej) oraz zgoda na przetwarzanie danych osobowych (art. 6 ust. 1 lit. a RODO).

Jak wycofać lub zmienić zgodę: kliknij link lub ikonę ustawień cookies na stronie rcop.ngo (widoczne na każdej stronie) i zmień wybór. Możesz też usunąć pliki cookie w przeglądarce. Wycofanie zgody nie wpływa na zgodność z prawem tego, co zrobiliśmy przed wycofaniem (art. 7 ust. 3 RODO).

Rola Google: przy statystyce (Google Analytics 4) i pomiarze konwersji Google Ads Google przetwarza dane na nasze zlecenie, jako podmiot przetwarzający (art. 28 RODO; pkt 5). Przy remarketingu, listach odbiorców, personalizacji reklam i Google Signals Google może działać częściowo jako odrębny administrator i przetwarzać dane według własnych zasad — opisuje je na stronie business.safety.google/privacy oraz w swojej polityce prywatności (policies.google.com/privacy).

Przekazanie poza EOG: Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irlandia). Dane mogą trafić do Google LLC w USA — na podstawie decyzji Komisji (UE) 2023/1795 (EU-US Data Privacy Framework, art. 45 RODO) oraz standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO).

Jak długo: dane w Google Analytics 4 przechowujemy 14 miesięcy, potem Google je usuwa. Źródło wejścia (rcop_ft) — do końca wizyty (zamknięcia karty przeglądarki). Członkostwo na listach odbiorców remarketingu wygasa po czasie ustawionym w Google Ads. Twoja decyzja w sprawie cookies jest pamiętana 12 miesięcy — potem zapytamy ponownie.

Masz prawa opisane w pkt 6, w tym prawo skargi do Prezesa UODO.

10. Dzieci

Z RCOP mogą korzystać osoby, które ukończyły 16 lat. Kandydaci na wolontariuszy podają rok urodzenia, a rejestracja i aplikowanie osób młodszych są blokowane. Osoba, która ukończyła 16 lat, może samodzielnie wyrazić zgodę na przetwarzanie danych w usługach społeczeństwa informacyjnego (art. 8 RODO), dlatego nie wymagamy zgody rodziców na założenie konta. Konta reprezentujące organizacje zakładają osoby pełnoletnie. Nie kierujemy usługi do osób poniżej 16. roku życia i nie zbieramy świadomie ich danych — jeżeli dowiemy się, że konto założyła taka osoba, usuniemy je.

11. Zmiany Polityki

O zmianach Polityki informujemy komunikatem w aplikacji i w panelu (a gdy uznamy to za potrzebne — także e-mailem). Zmiany istotne — w szczególności nowe cele, nowe kategorie danych lub nowi odbiorcy — ogłaszamy z co najmniej 14-dniowym wyprzedzeniem, chyba że wynikają z nowej, dobrowolnej funkcji albo z przepisów prawa. Jeżeli nowe przetwarzanie wymaga Twojej zgody, poprosimy o nią osobno. Numer wersji treści jest zapisywany przy każdej zgodzie, dzięki czemu zawsze wiemy, na którą wersję Polityki wyraziłeś zgodę.

12. Kontakt

FOPPS — Federacja Organizacji Pozarządowych Podregionu Siedleckiego
ul. bpa Świrskiego 19 lok. 4, 08-110 Siedlce
e-mail: info@rcop.ngo · tel. +48 25 788 89 25

13. Źródła danych referencyjnych

Podpowiadanie miejscowości, gminy, powiatu i województwa po kodzie pocztowym korzysta z danych referencyjnych, które nie są danymi osobowymi:

• Kody pocztowe: GeoNames (geonames.org), licencja CC BY 4.0; dane udostępniane „tak jak są” — podpowiedź możesz zawsze poprawić ręcznie.
• Podział terytorialny (kody TERYT): Główny Urząd Statystyczny, rejestr TERYT (TERC).

Wersja dokumentu

Wersja: 2.2 (v2.2-2026-11-11) · Obowiązuje od: 11 listopada 2026 r. (od dnia publikacji; nowa, dobrowolna funkcja wymagająca zgody — pkt 11) — dodano statystykę korzystania z panelu panel.rcop.ngo (Google Analytics 4) wyłącznie za zgodą wyrażoną w panelu, bez reklam i bez Google Signals (pkt 3, 4, 5, 6, 9) (wersja 2.1 z 11 listopada 2026 r. — dodano pliki cookie, statystykę (Google Analytics 4) i marketing (Google Ads: pomiar konwersji, remarketing i listy odbiorców, personalizacja reklam) na stronie rcop.ngo, wyłącznie za zgodą wyrażoną w banerze cookies (pkt 3, 4, 5, 6, 9); podstawą prawną dla plików cookie jest teraz art. 399 Prawa komunikacji elektronicznej zamiast uchylonego art. 173 Prawa telekomunikacyjnego (wersja 2.0 z 1 października 2026 r. (uzupełnienie redakcyjne 25 października 2026 r.: pkt 13 — źródła danych referencyjnych, bez zmian w przetwarzaniu danych osobowych) — dodano logowanie i zakładanie konta przez Google i Facebook (pkt 3, 4, 5, 7, 8), podstawę prawną i odbiorców przy Zaproszeniach imiennych (pkt 4b), retencję oświadczeń z importu listy (6 lat, wraz z imieniem, nazwiskiem i rolą osoby importującej — pkt 4, 7) oraz nowy tryb informowania o zmianach Polityki (pkt 11); wersja 1.9 z 1 października 2026 r. — dodano komunikaty Organizacji do członków (odbiorcy, zbiorcze statystyki, zgłoszenia nadużyć), osoby zaproszone przez Organizację z importu listy (pkt 4b — Organizacja jako administrator, FOPPS jako podmiot przetwarzający), zgłoszenia błędów i sugestii z aplikacji, dziennik działań administracyjnych oraz dwuetapowe uwierzytelnianie w panelu; wersja 1.8 z 30 września 2026 r. — dodano źródło rejestracji z kampanii (kod QR lub link) do statystyk kampanii; wersja 1.7 z 29 września 2026 r. — dodano pobieranie aktualizacji aplikacji z serwerów Expo (EAS Update); wersja 1.6 z 28 września 2026 r. — dodano monety RCOP (saldo i historia), poziom uzupełnienia profilu oraz profil formalny Organizacji z oznaczeniami wykonania terminów formalnych; wersja 1.5 z 28 września 2026 r. — dodano powiadomienia e-mail (domyślnie włączone, wyłączane w aplikacji dla każdej kategorii) wysyłane przez Google Workspace oraz rejestr wysyłek przechowywany 90 dni; wersja 1.4 z 27 września 2026 r. — dodano zdjęcia w zgłoszeniach, uzasadnienie odrzucenia i poprawki zgłoszeń, powody ocen naborów, osobisty profil naborów oraz ulubione zestawy filtrów z dziennym powiadomieniem; wersja 1.3 z 27 września 2026 r. — dodano nabory z zewnętrznych źródeł (Radar Dotacji), obserwowanie naborów z przypomnieniami i tygodniowym przeglądem, oceny naborów i profil naborów Organizacji, zdjęcie profilowe i logo Organizacji (dostęp do aparatu lub galerii), historię powiadomień i zapisane filtry; wersja 1.2 z 26 września 2026 r. — dodano dane o członkostwach i Zaproszeniach, weryfikację organizacji i funkcji w zarządzie z rejestrów publicznych wraz z obowiązkiem informacyjnym z art. 14 RODO (pkt 4a) oraz adresowanie komunikatów według Organizacji, do których należysz; wersja 1.1 z 25 września 2026 r. — dodano zgłoszenia „Mam / Potrzebuję”, nabory wolontariuszy i konta kandydatów na wolontariuszy od 16 lat; wersja 1.0 z 5 września 2026 r.))