Polityka prywatności

Wersja: v2.0 · Ostatnia aktualizacja: 2026-05-09 · PDF / Drukuj PL EN

Niniejsza polityka prywatności wyjaśnia, jakie dane osobowe zbiera serwis CyprusBooker.com (dalej: Serwis), w jakim celu, na jakiej podstawie prawnej, komu je udostępniamy, jak długo je przechowujemy oraz jakie masz prawa zgodnie z Ogólnym Rozporządzeniem o Ochronie Danych (RODO/GDPR — Rozporządzenie 2016/679 UE).

W skrócie: przetwarzamy dane wyłącznie w celu świadczenia usług rezerwacji noclegów, willi, samochodów, atrakcji i wynajmu długoterminowego na Cyprze. Płatności obsługuje Stripe Connect (split 90/10 — patrz §5). Twoje dane nie są sprzedawane osobom trzecim.

1. Administrator danych

Cyprus Booker Ltd — spółka cypryjska, HE 412385.
Siedziba: Cyprus Booker Ltd, Paphos, Cyprus (pełen adres dostępny na żądanie pisemne na legal@cyprusbooker.com).
VAT (CY): do uzyskania (zgłoszenie w trakcie).
E-mail kontaktowy do spraw prywatności: privacy@cyprusbooker.com.
Inspektor Ochrony Danych (DPO): nie powołano (organizacja nie spełnia kryteriów art. 37 RODO).

2. Jakie dane zbieramy

2.1. Dane konta Klienta

Imię, nazwisko, e-mail (z weryfikacją linkiem), hasło (hash bcrypt — nigdy w postaci jawnej).
Numer telefonu (opcjonalnie), preferowany język i waluta.
Adres IP, identyfikator urządzenia (User-Agent), ciasteczka sesyjne.
Data utworzenia konta, data ostatniego logowania, historia logowań.

2.2. Dane logowania społecznościowego (OAuth)

Logując się przez Google, Facebook (Meta) lub LinkedIn otrzymujemy: identyfikator OAuth, e-mail, imię i nazwisko, awatar. Zakres ograniczony do openid email profile. Możesz odłączyć konto OAuth w każdej chwili (zob. /data-deletion.php).

2.3. Dane konta Partnera

Nazwa firmy, numer rejestrowy, adres, miasto.
Numer NIP/VAT.
Imię i nazwisko osoby kontaktowej, telefon, e-mail.
Numery licencji turystycznej (Cyprus Deputy Ministry of Tourism), licencji wynajmu pojazdów (RTD), polisy ubezpieczeniowej.
Dane do wypłat Stripe Connect (zob. §5).

2.4. Dane Rezerwacji

Daty pobytu / wynajmu, liczba gości / pasażerów, wybrana oferta.
Imię i nazwisko gościa głównego oraz pozostałych gości (jeśli wymagane przez Partnera).
Adres do faktury (jeśli wybrano fakturę VAT).
Specjalne życzenia podane w komentarzu.
Dla wynajmu samochodów: numer prawa jazdy (przekazywany Partnerowi do weryfikacji).
Status, historia zmian, korespondencja.

2.5. Dane płatności

Płatności obsługuje Stripe (Stripe Payments Europe Ltd., Irlandia) i opcjonalnie PayPal (Luksemburg). NIE przechowujemy pełnych numerów kart (PCI DSS Level 1). Otrzymujemy: ostatnie 4 cyfry, typ karty, kraj wystawienia, identyfikator transakcji Stripe/PayPal, status płatności.

2.6. Dane techniczne (logi)

Adres IP, User-Agent, znacznik czasu żądania.
URL, status HTTP, kod referrer.
Logi bezpieczeństwa: nieudane próby logowania, zdarzenia podejrzane, identyfikatory sesji.

2.7. Dane analityczne

Zanonimizowane dane o korzystaniu z Serwisu (oglądane strony, czas, urządzenie). Szczegóły w sekcji Cookies (§10).

3. Cele i podstawy prawne (RODO)

Cel	Podstawa	Okres
Świadczenie usługi rezerwacji	Art. 6 ust. 1 lit. b — wykonanie umowy	Czas trwania + 3 lata
Płatności i rozliczenia (Stripe Connect)	Art. 6 ust. 1 lit. b + lit. c (podatkowe)	Min. 5 lat
Logowanie + sesja wieczna (cookie)	Art. 6 ust. 1 lit. b	90 dni / 365 dni „remember me"
OAuth (Google/Meta/LinkedIn)	Art. 6 ust. 1 lit. b — na Twoje żądanie	Do odłączenia konta OAuth
Marketing e-mail	Art. 6 ust. 1 lit. a — zgoda (opt-in)	Do wycofania zgody
Bezpieczeństwo, antyfraud, reCAPTCHA	Art. 6 ust. 1 lit. f — uzasadniony interes	12 mies.
Analityka	Art. 6 ust. 1 lit. f — uzasadniony interes	14 mies. (zanonimizowane)
Obowiązki prawne (księgowość, AML, podatki)	Art. 6 ust. 1 lit. c	5–10 lat

4. Komu udostępniamy dane

Partnerzy u których dokonujesz Rezerwacji — minimalny zakres (imię, nazwisko, daty, kontakt). Udostępniamy dopiero po potwierdzeniu Rezerwacji.
Operatorzy płatności: Stripe Payments Europe Ltd. (IE), PayPal (Europe) S.à r.l. (LU).
Operatorzy OAuth (na Twoje żądanie): Google LLC, Meta Platforms Ireland Ltd., LinkedIn Ireland.
SMTP: OVH SAS (FR) — serwer book@cyprusbooker.com.
Hosting: OVH SAS — Strasbourg, FR.
Antybot: Google reCAPTCHA (Google Ireland Ltd.).
Mapy: Google Maps Platform (Google Ireland Ltd.).
Organy państwowe — wyłącznie na podstawie obowiązującego prawa.

Nie sprzedajemy danych marketerom.

5. Stripe Connect — przepływ danych płatniczych

Korzystamy z Stripe Connect (destination charges) dla automatycznego rozdziału płatności 90% Partner / 10% CyprusBooker (zob. Regulamin §9). W tym modelu:

Klient wpisuje dane karty na zhostowanym formularzu Stripe (Stripe Elements / Payment Sheet) — dane karty NIE przechodzą przez serwery CyprusBooker.
CyprusBooker tworzy PaymentIntent z parametrami: application_fee_amount (10% Ceny Całkowitej) i transfer_data[destination] (Stripe ID Partnera).
Stripe automatycznie kieruje 90% wpłaty na konto Stripe Partnera, 10% pozostaje na koncie CyprusBooker.
Partner (jako connected account) ma własne relacje z Stripe — zarządza wypłatami (payouts), KYC, fakturami Stripe.

Dane karty Klienta są przetwarzane wyłącznie przez Stripe (PCI DSS Level 1). CyprusBooker oraz Partner widzą tylko: ostatnie 4 cyfry, typ karty (Visa/MC/Amex), kraj wystawienia, identyfikator transakcji.

Dane Klienta przekazywane Partnerowi w ramach jednej Rezerwacji: imię, nazwisko, e-mail, telefon (jeśli podany), daty, kwota. Numer karty NIE jest udostępniany.

6. Synchronizacja kalendarza iCal

Partnerzy mogą synchronizować kalendarz dostępności z innymi platformami (Booking.com, Airbnb, Vrbo) za pomocą plików iCalendar (.ics). Ze strony CyprusBooker:

Kalendarz wychodzący (export): generujemy plik .ics dla każdego listingu zawierający wyłącznie znaczniki BUSY/FREE z datami — bez imion gości, bez kwot, bez żadnych danych osobowych. Wyłącznie informacja „termin zajęty".
Kalendarz przychodzący (import): pobieramy plik .ics z innej platformy co 5–15 minut i blokujemy odpowiadające daty w Serwisie. Importujemy wyłącznie zakresy dat, ignorujemy wszelkie pola personalne.

Oznacza to, że dane osobowe gości nie wyciekają przez kanał iCal w żadną stronę.

7. Transfer danych poza EOG

Niektórzy dostawcy (Google, Meta) mają centrum operacji w USA. Transfer odbywa się na podstawie:

Decyzja Komisji Europejskiej z 10.07.2023 — EU–US Data Privacy Framework (Google i Meta są certyfikowani).
Standardowe klauzule umowne (SCC) jako dodatkowe zabezpieczenie.

8. Okresy przechowywania

Konto: do usunięcia + 90 dni (soft-delete).
Rezerwacje, faktury: 5 lat (wymóg podatkowy CY/UE).
Sesje (cookies): 90 dni / 365 dni „remember me".
Logi bezpieczeństwa (audit_log): 12 mies.
Logi błędów: 30 dni.
Korespondencja e-mail: 36 mies. od ostatniego kontaktu.
Marketing: do wycofania zgody.

9. Twoje prawa (RODO)

Prawo dostępu (art. 15) — kopia danych w 30 dni.
Prawo do sprostowania (art. 16).
Prawo do usunięcia (art. 17) — zob. Instrukcja.
Prawo do ograniczenia przetwarzania (art. 18).
Prawo do przenoszenia danych (art. 20) — eksport JSON.
Prawo do sprzeciwu (art. 21).
Prawo do wycofania zgody.
Prawo do skargi: Cypriot Data Protection Commissioner; mieszkańcy Polski — UODO.

Wnioski: privacy@cyprusbooker.com. Odpowiadamy w 30 dni.

10. Cookies i technologie podobne

Nazwa	Cel	Czas	Kategoria
`PHPSESSID`	Sesja PHP — niezbędna do logowania, koszyka, CSRF.	Sesja	Niezbędne
`cyprusbooker_session`	„Zapamiętaj mnie" — sesja wieczna, HttpOnly+Secure+SameSite=Lax.	90 / 365 dni	Niezbędne (po zaznaczeniu)
`cb_anon_favs`	Ulubione dla niezalogowanych.	180 dni	Funkcjonalne
`cb_lang` / `cb_curr`	Język i waluta.	365 dni	Funkcjonalne
`_ga`, `_ga_*`	Google Analytics — anonimowo.	2 lata	Analityczne (opt-in)
reCAPTCHA	Ochrona przed botami (Google).	6 mies.	Niezbędne (bezpieczeństwo)

Wyłączenie cookies niezbędnych uniemożliwi logowanie i rezerwacje. Cookies analityczne i marketingowe można wyłączyć w panelu zgód lub w przeglądarce. Respektujemy nagłówek DNT (Do Not Track).

11. Dzieci poniżej 16 lat

Serwis nie jest skierowany do osób <16 lat. Jeśli Twoje dziecko przekazało nam dane bez Twojej zgody — pisz na privacy@cyprusbooker.com, natychmiast je usuniemy.

12. Zmiany polityki

Każda istotna zmiana ogłaszana 30 dni przed wejściem w życie — e-mailem, banerem, w panelu. Pole „Ostatnia aktualizacja" pokazuje datę najnowszej wersji.

13. Kontakt / IOD

E-mail: privacy@cyprusbooker.com
Adres: Cyprus Booker Ltd, Paphos, Cyprus (pełen adres dostępny na legal@cyprusbooker.com), Pafos, Cypr.
IOD: nie powołano

Polityka prywatności v2.0, ostatnia aktualizacja: 2026-05-09. Dokument w wersjach PL i EN — w razie rozbieżności rozstrzyga wersja angielska.