Polityka Prywatności

Data wejścia w życie: 22 maja 2026 r.

Ostatnia aktualizacja: 22 maja 2026 r. – dodano §12 dotyczący WhatsApp Business oraz §13 dotyczący integracji Gmail (Google Workspace API) wraz z Limited Use Disclosure. Uzupełniono podmioty przetwarzające (Meta Platforms Ireland Ltd., Google LLC / Google Ireland Limited) oraz okresy przechowywania.

Wstęp

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych przez Marketing dla Nieruchomości – Mateusz Smoliński w związku ze świadczeniem usług marketingowych, prowadzeniem strony internetowej marketingdlanieruchomosci.pl oraz aplikacji CRM dostępnej pod adresem crm.marketingdlanieruchomosci.pl.

Polityka stanowi realizację obowiązku informacyjnego określonego w art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).

§1 Administrator danych osobowych

Administratorem Pana/Pani danych osobowych jest:

Marketing dla Nieruchomości – Mateusz Smoliński
- Adres: 87-850 Choceń, Krukowo 5
- NIP: 8883162046
- E-mail: [email protected]
- Telefon: +48 607 390 111
We wszystkich sprawach dotyczących przetwarzania danych osobowych można kontaktować się z Administratorem pod wskazanym adresem e-mail.

§2 Inspektor Ochrony Danych

Na podstawie art. 37 RODO Administrator nie ma obowiązku powołania Inspektora Ochrony Danych i nie powołał takiej osoby. W sprawach związanych z ochroną danych prosimy kontaktować się bezpośrednio z Administratorem.

§3 Czyje dane przetwarzamy i w jakich rolach

Administrator przetwarza dane osobowe w trzech podstawowych rolach:

A. Jako Administrator danych

W stosunku do:

Klientów Administratora (biur nieruchomości, agentów nieruchomości korzystających z usług marketingowych i CRM);
Użytkowników Autoryzowanych (pracowników i współpracowników Klientów upoważnionych do korzystania z CRM);
Osób kontaktujących się z Administratorem (formularze kontaktowe, e-maile, telefon);
Potencjalnych klientów śledzących stronę internetową marketingdlanieruchomosci.pl.

B. Jako Procesor (Podmiot przetwarzający)

W stosunku do Leadów Klientów Administratora – osób fizycznych, których dane Administrator przetwarza w imieniu Klienta (biura nieruchomości lub agenta) w ramach świadczonych usług marketingowych. Szczegółowe zasady tego przetwarzania regulują indywidualne Umowy Powierzenia Przetwarzania Danych Osobowych zawierane z każdym Klientem zgodnie z art. 28 RODO.

C. Jako Administrator dla danych pozyskanych z reklam

W stosunku do osób fizycznych pozostawiających dane kontaktowe w ramach kampanii reklamowych prowadzonych przez Administratora przed momentem przekazania danych Klientowi – w zakresie niezbędnym do wstępnej weryfikacji, kwalifikacji i przekazania danych właściwemu Klientowi.

§4 Cele i podstawy prawne przetwarzania

Klienci Administratora

Cel	Podstawa prawna	Okres
Zawarcie i wykonanie Umowy o świadczenie usług marketingowych	Art. 6 ust. 1 lit. b RODO – wykonanie umowy	Czas trwania Umowy + okresy wynikające z odrębnych przepisów
Prowadzenie rozliczeń finansowo-księgowych, wystawianie faktur	Art. 6 ust. 1 lit. c RODO – obowiązek prawny (ustawy podatkowe)	5 lat od końca roku rozliczeniowego
Marketing własnych usług Administratora	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes	Do wyrażenia sprzeciwu lub zakończenia Umowy
Dochodzenie roszczeń, obrona przed roszczeniami	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes	Do upływu okresu przedawnienia roszczeń

Użytkownicy Autoryzowani CRM

Cel	Podstawa prawna	Okres
Utrzymanie Konta w CRM, świadczenie usługi dostępu	Art. 6 ust. 1 lit. b RODO – wykonanie umowy z Klientem (na rzecz którego użytkownik działa)	Czas trwania upoważnienia / Umowy Klienta
Bezpieczeństwo Konta i CRM (logi, monitoring nadużyć)	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes	12 miesięcy logów bezpieczeństwa

Osoby kontaktujące się przez formularz / e-mail / telefon

Cel	Podstawa prawna	Okres
Odpowiedź na zapytanie	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes	12 miesięcy od ostatniego kontaktu
Przedstawienie oferty	Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes	Do wyrażenia sprzeciwu

Leady przekazywane Klientom

Administrator przetwarza dane Leadów wyłącznie w imieniu i na rzecz Klienta na podstawie zawartej Umowy Powierzenia Przetwarzania Danych Osobowych (art. 28 RODO). Administrator nie ustala samodzielnie celów przetwarzania danych Leadów – cele ustala Klient jako Administrator danych.

§5 Zakres przetwarzanych danych

Klienci i Użytkownicy Autoryzowani

Imię i nazwisko
Nazwa firmy, NIP, REGON, adres siedziby
Adres e-mail
Numer telefonu
Login, hash hasła
Adres IP, logi sesji, dane o przeglądarce i urządzeniu
Dane bankowe (numer rachunku do faktur)
Historia korzystania z CRM, ustawienia, preferencje

Osoby kontaktujące się

Imię i nazwisko (jeśli podane)
Adres e-mail
Numer telefonu (jeśli podany)
Treść wiadomości

Dane Leadów (przetwarzane jako Procesor)

Zakres określa konfiguracja Klienta w CRM oraz formularz / kampania reklamowa. Standardowo obejmuje:

Imię i nazwisko
Numer telefonu
Adres e-mail
Intencja transakcji (kupno / sprzedaż / wynajem)
Preferencje (lokalizacja, budżet, parametry nieruchomości)
Treść wiadomości / notatki
Historia kontaktów (rozmowy, wiadomości SMS/e-mail/WhatsApp)

Dane przetwarzane przez WhatsApp Business

Gdy Klient lub Lead komunikuje się z Administratorem albo z Klientem Administratora za pośrednictwem WhatsApp Business Cloud API (numer biznesowy Administratora: +48 887 068 050; numery własne biur podłączone do CRM przez Embedded Signup), przetwarzane są:

Numer telefonu nadawcy i odbiorcy wiadomości
Publicznie wyświetlana nazwa profilu WhatsApp nadawcy (display name)
Treść wiadomości tekstowych
Załączniki: zdjęcia, dokumenty (PDF/DOC/XLS itp.), nagrania głosowe i audio, nagrania wideo
Lokalizacja (jeśli nadawca prześle pinezkę)
Metadane techniczne: identyfikator wiadomości WhatsApp, znacznik czasu, status doręczenia / przeczytania, kod ewentualnego błędu wysyłki
Status zgody na komunikację (oznaczenie whatsapp_opted_out, jeśli odbiorca wysłał słowo kluczowe rezygnacji: STOP, REZYGNUJ, UNSUBSCRIBE, WYPISZ)

Dane przetwarzane przez integrację Gmail (Google Workspace API)

Gdy Klient łączy swoje konto Google Workspace / Gmail z CRM za pośrednictwem mechanizmu Google OAuth 2.0 (Ustawienia → Gmail → „Połącz konto Google”), przetwarzane są dane konta poczty Klienta wyłącznie w zakresie niezbędnym do prowadzenia komunikacji z Leadami:

Adres e-mail nadawcy i odbiorcy wiadomości
Wyświetlana nazwa nadawcy (From/Sender z nagłówka)
Temat wiadomości (Subject)
Treść wiadomości w formacie tekstowym i HTML
Załączniki (zgodnie z limitami Gmail – do 25 MB per wiadomość)
Metadane techniczne: identyfikator wiadomości Gmail (Message-Id), identyfikator wątku (Thread-Id), znacznik czasu, etykiety (labels), status przeczytania
Token dostępowy OAuth oraz token odświeżający (refresh token) – szyfrowane w bazie danych Administratora algorytmem AES-256-GCM

§6 Odbiorcy danych

Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

Podmioty przetwarzające na zlecenie Administratora (Subprocesorzy)

Podmiot	Rola	Lokalizacja	Podstawa transferu
Supabase Inc.	Hosting bazy danych, uwierzytelnianie	USA / UE (region eu-central-1)	Standardowe klauzule umowne (SCC)
Cloudflare, Inc.	Sieć CDN, ochrona DDoS, hosting plików (R2 Storage), tunel sieciowy	USA / globalnie	Standardowe klauzule umowne (SCC)
Resend (Resend, Inc.)	Wysyłka wiadomości e-mail transakcyjnych i marketingowych	USA	Standardowe klauzule umowne (SCC)
SMSAPI sp. z o.o.	Wysyłka wiadomości SMS	Polska	Brak transferu poza EOG
n8n GmbH (samohostowane na infrastrukturze Administratora)	Automatyzacja przepływów (workflow)	Polska (VPS Mikrus)	Brak transferu poza EOG
Mikrus / SeoHost / inni dostawcy hostingu	Hosting infrastruktury Administratora	Polska	Brak transferu poza EOG
Meta Platforms, Inc.	Platforma reklamowa Meta Ads (Facebook, Instagram)	USA / Irlandia	Standardowe klauzule umowne (SCC), EU-U.S. Data Privacy Framework (DPF)
Meta Platforms Ireland Ltd. / WhatsApp LLC	WhatsApp Business Cloud API – wysyłka i odbiór wiadomości, hosting załączników przez ok. 30 dni przed pobraniem do infrastruktury Administratora	Irlandia / USA	Standardowe klauzule umowne (SCC), EU-U.S. Data Privacy Framework (DPF), WhatsApp Business Solution Terms
Google LLC / Google Ireland Limited	Gmail API (Google Workspace API) – odczyt i wysyłka wiadomości e-mail z konta Klienta podłączonego przez OAuth 2.0, identyfikacja konta (`userinfo.email`)	USA / Irlandia	Standardowe klauzule umowne (SCC), EU-U.S. Data Privacy Framework (DPF), Google API Services User Data Policy
Biuro rachunkowe Administratora	Obsługa księgowo-podatkowa	Polska	Umowa powierzenia

Aktualna pełna lista podprocesorów jest dostępna na żądanie Klienta oraz stanowi załącznik do Umowy Powierzenia.

Inne kategorie odbiorców

Klienci Administratora – w stosunku do Leadów pozyskanych w ramach kampanii prowadzonych dla danego Klienta;
Organy państwowe i sądy – w przypadkach wymaganych przez prawo;
Kancelarie prawne, biura windykacyjne – w zakresie niezbędnym do dochodzenia roszczeń.

§7 Transfery danych poza Europejski Obszar Gospodarczy

Część subprocesorów (Supabase, Cloudflare, Resend, Meta Platforms, WhatsApp LLC, Google LLC) ma siedzibę w Stanach Zjednoczonych lub przetwarza dane w infrastrukturze globalnej i może przetwarzać dane na serwerach poza Europejskim Obszarem Gospodarczym.
Transfery te odbywają się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską (decyzja wykonawcza 2021/914), zapewniających odpowiedni poziom ochrony danych zgodnie z RODO.
Subprocesorzy z USA, którzy przystąpili do programu EU-U.S. Data Privacy Framework (DPF), zapewniają dodatkową podstawę legalności transferu zgodnie z decyzją wykonawczą Komisji Europejskiej 2023/1795.
Klient ma prawo zażądać kopii Standardowych Klauzul Umownych zawartych z konkretnym subprocesorem, kontaktując się z Administratorem.

§8 Okres przechowywania danych

Dane są przechowywane przez okres niezbędny do realizacji celu, dla którego zostały zebrane:

Dane Klientów i Użytkowników Autoryzowanych – przez czas trwania Umowy oraz 30 dni po jej zakończeniu (okres dostępu do exportu);
Dane Leadów – zgodnie z Umową Powierzenia z Klientem (standardowo do momentu usunięcia danego Leada lub zakończenia Umowy z Klientem);
Wiadomości WhatsApp (treść, metadane, status, oznaczenie opt-out) – łącznie z powiązanym rekordem Leada lub Klienta; po opt-out historia konwersacji zostaje zachowana, ale wysyłka nowych wiadomości jest zablokowana;
Załączniki przesłane przez WhatsApp (zdjęcia, dokumenty, audio, wideo) – przechowywane w infrastrukturze Cloudflare R2 razem z powiązanym rekordem; po usunięciu Leada usuwane w ciągu 30 dni;
Wiadomości e-mail pobrane przez integrację Gmail (treść, nagłówki, etykiety, status) – łącznie z powiązanym rekordem Leada lub Klienta;
Załączniki e-mail pobrane przez integrację Gmail – przechowywane w Cloudflare R2 razem z powiązanym rekordem; po usunięciu Leada usuwane w ciągu 30 dni;
Tokeny OAuth do Gmail (access_token, refresh_token) – do momentu odłączenia konta przez Klienta lub odwołania zgody w panelu Google (myaccount.google.com/permissions);
Dane finansowo-księgowe (faktury, ewidencja) – 5 lat od końca roku, w którym dokonano transakcji (zgodnie z przepisami podatkowymi);
Dane osób kontaktujących się – 12 miesięcy od ostatniego kontaktu;
Logi bezpieczeństwa, logi systemowe – do 12 miesięcy;
Dane przetwarzane na podstawie zgody – do momentu wycofania zgody.

Po upływie powyższych okresów dane są usuwane lub zanonimizowane.

§9 Prawa osób, których dane dotyczą

Każda osoba, której dane przetwarzamy, ma prawo do:

Dostępu do danych (art. 15 RODO) – uzyskania informacji jakie dane przetwarzamy oraz kopii tych danych;
Sprostowania (art. 16 RODO) – korekty nieprawidłowych lub nieaktualnych danych;
Usunięcia („prawo do bycia zapomnianym”, art. 17 RODO) – z zastrzeżeniem obowiązków prawnych Administratora (np. przechowywania faktur);
Ograniczenia przetwarzania (art. 18 RODO);
Przenoszenia danych (art. 20 RODO) – otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie (np. CSV, JSON);
Sprzeciwu wobec przetwarzania (art. 21 RODO) – w szczególności wobec przetwarzania na podstawie prawnie uzasadnionego interesu oraz marketingu bezpośredniego;
Wycofania zgody w dowolnym momencie – w stosunku do danych przetwarzanych na podstawie zgody (art. 7 ust. 3 RODO);
Wniesienia skargi do organu nadzorczego – Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

W celu skorzystania z powyższych praw prosimy o kontakt na adres: [email protected]. Odpowiadamy w terminie do 30 dni.

Uwaga: w stosunku do danych Leadów Administrator pełni rolę Procesora, dlatego wnioski o realizację praw należy kierować do Klienta Administratora (biura nieruchomości lub agenta), który jest właściwym Administratorem danych Leada. Jeśli osoba nie wie, który Klient zbierał jej dane, Administrator pomoże w ustaleniu właściwego podmiotu.

§10 Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne mające na celu zapewnienie odpowiedniego poziomu bezpieczeństwa danych osobowych, w tym:

Szyfrowanie w transporcie – wszystkie połączenia z CRM i stroną internetową są szyfrowane protokołem TLS 1.2+;
Szyfrowanie wrażliwych danych – tokeny dostępowe, klucze API i inne dane wrażliwe są szyfrowane w bazie danych przy użyciu mechanizmu pgcrypto;
Row Level Security (RLS) – każda agencja w CRM widzi wyłącznie swoje dane, mechanizm wymuszony na poziomie bazy danych;
Uwierzytelnianie – hasła użytkowników przechowywane w postaci hashowanej (bcrypt), wsparcie dla logowania jednorazowego (magic link);
Kopie zapasowe – regularne kopie zapasowe bazy danych przechowywane w niezależnej lokalizacji;
Logi audytowe – historia operacji na danych Klientów dostępna na żądanie;
Aktualizacje bezpieczeństwa – bieżące aktualizacje oprogramowania, zależności i infrastruktury;
Procedura zgłaszania naruszeń – w przypadku naruszenia ochrony danych Administrator powiadamia organ nadzorczy w terminie 72 godzin (art. 33 RODO) oraz osoby, których dane dotyczą, jeśli naruszenie powoduje wysokie ryzyko dla ich praw i wolności (art. 34 RODO).

§11 Pliki Cookies

Strona internetowa marketingdlanieruchomosci.pl

Strona internetowa Administratora wykorzystuje pliki Cookies dla celów analitycznych (Google Analytics), marketingowych (Meta Pixel) oraz technicznych. Szczegółowe informacje znajdują się w sekcji „Pliki Cookies” strony oraz w mechanizmie zgody (cookie banner) wymagającym wyrażenia zgody przed instalacją plików Cookie niezbędnych do tych celów.

Aplikacja CRM (crm.marketingdlanieruchomosci.pl)

W aplikacji CRM Administrator wykorzystuje wyłącznie pliki Cookies oraz technologie analogiczne (localStorage) niezbędne do działania serwisu:

Cel	Mechanizm	Czas
Sesja zalogowanego użytkownika	Cookie Supabase Auth (`sb-*-auth-token`)	Czas sesji
Ochrona przed atakami CSRF	Cookie sesji	Czas sesji
Zapamiętanie preferencji motywu (jasny/ciemny)	localStorage (`mdn_theme_preference`)	Bezterminowo (do wyczyszczenia przez użytkownika)
Zapamiętanie preferencji widoku (np. wybrany tryb karty finansowej)	localStorage (`praca_finance_card_mode`)	Bezterminowo
Anty-spam powiadomień kalendarza	sessionStorage	Czas sesji

Powyższe pliki nie wymagają zgody użytkownika zgodnie z art. 173 ust. 3 ustawy Prawo telekomunikacyjne oraz orzecznictwem TSUE (sprawa Planet49 C-673/17), ponieważ są niezbędne do świadczenia usługi wyraźnie żądanej przez użytkownika (logowanie do CRM).

CRM nie wykorzystuje plików Cookies analitycznych, marketingowych ani śledzących stron trzecich.

§12 WhatsApp Business

Mechanizm działania

Administrator wykorzystuje WhatsApp Business Cloud API dostarczane przez Meta Platforms Ireland Ltd. / WhatsApp LLC w celu prowadzenia komunikacji tekstowej, głosowej i multimedialnej z Klientami oraz – w roli Procesora – z Leadami swoich Klientów. Numer biznesowy Administratora to +48 887 068 050. Klienci Administratora podłączają swoje własne numery WhatsApp Business za pośrednictwem mechanizmu Meta Embedded Signup dostępnego w panelu CRM (Ustawienia → WhatsApp Business → „Połącz WhatsApp Business”).

Cele i podstawa prawna

Rola Administratora	Cel	Podstawa prawna RODO	Okres
Administrator	Obsługa zapytań od potencjalnych Klientów	Art. 6 ust. 1 lit. f – prawnie uzasadniony interes (komunikacja z osobą zainteresowaną)	12 miesięcy od ostatniej wiadomości
Administrator	Obsługa techniczna i wsparcie Klientów Administratora	Art. 6 ust. 1 lit. b – wykonanie umowy	Czas trwania Umowy
Procesor	Komunikacja Klienta z Leadem (kontakt handlowy, follow-up, obsługa transakcji nieruchomości)	Powierzenie przez Klienta na podstawie Umowy Powierzenia (art. 28 RODO)	Zgodnie z Umową Powierzenia

Zasady komunikacji wynikające z regulaminu Meta

Okno 24-godzinne (Customer Service Window) – wiadomości dowolne (tekstowe, multimedialne) można wysłać do osoby, która napisała do nas w ciągu ostatnich 24 godzin. Po przekroczeniu tego okna komunikację należy nawiązać poprzez szablon (template) uprzednio zatwierdzony przez Meta.
Szablony wiadomości – każda wiadomość inicjująca konwersację (poza oknem 24h) musi mieć postać szablonu zatwierdzonego przez Meta i przypisanego do jednej z trzech kategorii: UTILITY (powiadomienia o usłudze), MARKETING (komunikaty handlowe) lub AUTHENTICATION (uwierzytelnianie).
Rezygnacja (opt-out) – odbiorca może w każdej chwili zrezygnować z komunikacji przez WhatsApp wysyłając jedno ze słów: STOP, REZYGNUJ, UNSUBSCRIBE, WYPISZ. Po wykryciu takiego słowa system automatycznie blokuje dalszą wysyłkę wiadomości do tego numeru (oznaczenie whatsapp_opted_out=true w bazie danych), niezależnie od kanału (Administrator lub Klient Administratora).

Hosting załączników

Załączniki multimedialne (zdjęcia, dokumenty, audio, wideo) odbierane od nadawców są hostowane przez Meta wyłącznie przez ok. 30 dni. Aby zapewnić ciągły dostęp do historii korespondencji, Administrator automatycznie pobiera załączniki i przenosi je do własnej infrastruktury przechowywania plików Cloudflare R2 (lokalizacja: globalna sieć Cloudflare, transfer SCC + DPF). Załączniki są dostępne wyłącznie dla zalogowanych użytkowników CRM mających dostęp do powiązanego rekordu Leada.

Meta jako podmiot przetwarzający

W zakresie wiadomości WhatsApp Meta Platforms Ireland Ltd. / WhatsApp LLC działa jako podmiot przetwarzający (subprocesor) Administratora na podstawie WhatsApp Business Solution Terms. Meta przetwarza dane wyłącznie w celu dostarczenia usługi (przesłania wiadomości i hostingu) i nie wykorzystuje treści wiadomości do własnych celów marketingowych ani reklamowych.

Realizacja praw osób, których dane dotyczą

Prawo dostępu i kopii historii konwersacji – na żądanie skierowane do Administratora ([email protected]) udostępnimy historię konwersacji WhatsApp w formacie elektronicznym (CSV/JSON);
Prawo do usunięcia konwersacji – realizowane przez usunięcie powiązanego rekordu Leada lub konta Klienta;
Prawo do sprzeciwu i wycofania zgody – realizowane przez wysłanie słowa STOP na numer biznesowy lub przez kontakt z Administratorem;
Prawo do bycia zapomnianym zgodnie z Meta Privacy Policy realizowane jest niezależnie po stronie Meta – informacja o usunięciu konta WhatsApp / zaprzestaniu korzystania z aplikacji powoduje, że Meta zaprzestaje przetwarzania danych po swojej stronie.

Bezpieczeństwo komunikacji

Wszystkie wiadomości WhatsApp są szyfrowane end-to-end przez infrastrukturę Meta (między urządzeniem nadawcy a serwerami Meta oraz między serwerami Meta a aplikacją CRM Administratora);
Tokeny dostępowe (access tokens) do WhatsApp Business Cloud API są szyfrowane w bazie danych Administratora algorytmem AES-256-GCM;
Webhooki przychodzące z Meta są weryfikowane podpisem HMAC-SHA256 (mechanizm X-Hub-Signature-256) – chronimy się przed atakami spoofingu.

§13 Integracja Gmail (Google Workspace API)

Mechanizm działania

Administrator udostępnia w panelu CRM funkcję podłączenia konta poczty elektronicznej Gmail / Google Workspace Klienta w celu prowadzenia korespondencji e-mail z Leadami bezpośrednio z karty Leada. Połączenie odbywa się przez standardowy protokół Google OAuth 2.0 – Klient autoryzuje aplikację „MdN CRM” do dostępu do swojego konta Google, akceptując zakres uprawnień (scopes) wyświetlony na ekranie zgody Google.

Zakres żądanych uprawnień (Google OAuth scopes)

Administrator żąda wyłącznie minimalnego zakresu uprawnień niezbędnego do działania funkcji:

Scope	Funkcja	Uzasadnienie minimum
`https://www.googleapis.com/auth/gmail.readonly`	Odczyt wiadomości przychodzących do konta Klienta	Niezbędne do parowania wiadomości z rekordami Leadów w CRM, prezentacji konwersacji w timeline
`https://www.googleapis.com/auth/gmail.send`	Wysyłka wiadomości z konta Klienta	Niezbędne do odpowiedzi i kampanii e-mail prowadzonych z poziomu karty Leada
`https://www.googleapis.com/auth/gmail.modify`	Oznaczanie wiadomości jako przeczytane, dodawanie etykiet	Niezbędne do synchronizacji statusu między CRM a klientem poczty (Gmail web / mobile)
`https://www.googleapis.com/auth/userinfo.email`	Pobranie adresu konta Klienta	Niezbędne do identyfikacji którego konta dotyczy autoryzacja

Administrator nie żąda uprawnień szerszych niż wymienione powyżej (gmail.metadata, gmail.compose, gmail.labels poza wymaganym minimum), zgodnie z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO) oraz Google API Services Limited Use Policy.

Limited Use Disclosure (zgodnie z Google API Services User Data Policy)

Use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

W praktyce oznacza to, że dane uzyskane z Gmail API są wykorzystywane wyłącznie do:

Wyświetlania w interfejsie CRM – treść wiadomości i metadane prezentowane są zalogowanemu Klientowi (właścicielowi konta poczty) lub jego upoważnionym pracownikom posiadającym dostęp do powiązanego Leada;
Parowania z rekordami Leadów – automatyczne przypisywanie wiadomości do istniejącego Leada na podstawie adresu e-mail nadawcy lub tworzenie nowego Leada z oznaczeniem source='gmail';
Realizacji funkcji wysyłki – wysyłanie odpowiedzi i kampanii w imieniu Klienta z jego własnego konta;
Synchronizacji statusu – oznaczanie wiadomości jako odczytanych, dodawanie etykiet (np. „MdN CRM”).

Administrator nie:

nie wykorzystuje danych Gmail do reklamy, w tym retargetingu, personalizacji ani reklam opartych na zainteresowaniach;
nie udostępnia danych Gmail osobom trzecim ani innym aplikacjom, z wyjątkiem podmiotów przetwarzających niezbędnych do świadczenia usługi (lista w §6) i wyłącznie w zakresie wymaganym do dostarczenia funkcji CRM;
nie pozwala ludziom (w tym pracownikom Administratora) na odczyt danych Gmail Klienta, chyba że Klient wyrazi na to wyraźną zgodę (np. zgłoszenie problemu wymagającego diagnostyki), albo jest to konieczne do celów bezpieczeństwa (zwalczanie nadużyć), w celu wypełnienia obowiązków prawnych albo do wewnętrznych operacji – w tym ostatnim przypadku wyłącznie na danych zagregowanych i zanonimizowanych;
nie wykorzystuje danych Gmail do trenowania modeli sztucznej inteligencji ani modeli uczenia maszynowego.

Cele i podstawa prawna RODO

Rola Administratora	Cel	Podstawa prawna RODO	Okres
Procesor	Realizacja komunikacji e-mail Klienta z jego Leadami za pośrednictwem CRM	Powierzenie przez Klienta na podstawie Umowy Powierzenia (art. 28 RODO)	Zgodnie z Umową Powierzenia
Administrator (w odniesieniu do tokenów OAuth)	Utrzymanie połączenia z kontem Google Klienta	Art. 6 ust. 1 lit. b RODO – wykonanie umowy o świadczenie usługi CRM	Do odłączenia konta lub odwołania zgody

Realizacja praw użytkownika

Odłączenie konta – Klient może w każdej chwili odłączyć konto Gmail w panelu CRM (Ustawienia → Gmail → „Rozłącz”). Powoduje to natychmiastowe usunięcie tokenów OAuth z bazy danych Administratora i zaprzestanie odczytu nowych wiadomości;
Cofnięcie zgody w panelu Google – Klient może odwołać zgodę bezpośrednio w panelu Google pod adresem https://myaccount.google.com/permissions. Powoduje to unieważnienie tokenów po stronie Google, niezależnie od ich obecności w bazie Administratora;
Usunięcie pobranych wiadomości – wiadomości i załączniki pobrane przez integrację są przechowywane razem z powiązanymi rekordami Leadów; usunięcie Leada powoduje usunięcie powiązanych wiadomości w ciągu 30 dni;
Export historii – na żądanie skierowane do Administratora udostępnimy historię konwersacji w formacie elektronicznym (CSV/JSON/EML);
Prawo do bycia zapomnianym – realizowane niezależnie po stronie Google zgodnie z Polityką prywatności Google.

Bezpieczeństwo

Tokeny dostępowe (access_token) oraz tokeny odświeżające (refresh_token) są szyfrowane w bazie danych Administratora algorytmem AES-256-GCM z kluczem przechowywanym w zmiennych środowiskowych infrastruktury hostingowej (nie w bazie danych);
Połączenie z Gmail API odbywa się wyłącznie przez TLS 1.2+;
Każde wywołanie API jest logowane (request ID, scope, timestamp) na potrzeby audytu bezpieczeństwa – treść wiadomości w logach nie jest zapisywana;
Administrator nie ma dostępu do haseł kont Google Klientów – cała autentykacja odbywa się po stronie Google;
Webhook push notifications z Gmail (jeśli używany) jest weryfikowany podpisem JWT podpisanym przez Google.

Subprocesor Google LLC / Google Ireland Limited

Dane Gmail przesyłane są do infrastruktury Google LLC (USA) i Google Ireland Limited (Irlandia). Transfer danych poza Europejski Obszar Gospodarczy odbywa się na podstawie Standardowych Klauzul Umownych zatwierdzonych przez Komisję Europejską oraz programu EU-U.S. Data Privacy Framework. Google jest również certyfikowane w ramach ISO 27001, ISO 27017, ISO 27018 oraz SOC 2 Type II.

§14 Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator wykorzystuje w CRM algorytmy automatycznej oceny Leadów (tzw. „scoring”) służące do:
- Przydzielania Leadom etykiet „gorący / ciepły / zimny” na podstawie kompletności danych, źródła i innych parametrów;
- Sugerowania kolejności kontaktu;
- Wykrywania nadużyć i SPAM.
Powyższe procesy nie stanowią zautomatyzowanego podejmowania decyzji wywołujących skutki prawne lub istotnie wpływających na osobę w rozumieniu art. 22 RODO. Ostateczne decyzje (kontakt, archiwizacja, status) podejmuje człowiek – Klient Administratora lub jego pracownik.
Administrator nie wykorzystuje danych do profilowania marketingowego osób, których dane dotyczą.

§15 Zmiany Polityki Prywatności

Administrator może zmienić Polityki Prywatności w przypadku:
- Zmiany przepisów prawa;
- Zmiany praktyk przetwarzania;
- Zmiany podprocesorów lub infrastruktury;
- Wprowadzenia nowych funkcjonalności CRM.
O istotnych zmianach Administrator powiadamia drogą elektroniczną na adresy e-mail Klientów z co najmniej 14-dniowym wyprzedzeniem.
Aktualna wersja Polityki Prywatności jest zawsze dostępna pod adresem https://marketingdlanieruchomosci.pl/polityka-prywatnosci.

§16 Postanowienia końcowe

Niniejsza Polityka wchodzi w życie z dniem 22 maja 2026 r.
W sprawach nieuregulowanych zastosowanie mają przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Kontakt w sprawach Polityki: [email protected].