Polityka Prywatności

1. Informacje ogólne

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych Klientów oraz osób korzystających z serwisu WCOB.pl („Serwis", „Platforma") - platformy B2B dla agencji marketingowych, agencji SEO i działów in-house, świadczącej usługi reklamowe w sieci ponad 740 portali lokalnych w Polsce.

Kontakt w sprawach ochrony danych osobowych: bok@wcob.pl · tel. +48 792 599 999 (Pon-Pt 9:00-17:00).

Zgodnie z art. 37 RODO Administrator nie wyznaczył Inspektora Ochrony Danych (IOD/DPO) - w sprawach RODO należy kontaktować się bezpośrednio z Administratorem.

Administrator przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz polską ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.

2. Zakres przetwarzanych danych

W ramach Serwisu Administrator przetwarza następujące kategorie danych osobowych:

2.1. Dane Konta Klienta

• adres e-mail (login do systemu),
• hasło (przechowywane wyłącznie jako hash bcrypt - Administrator nie zna hasła w postaci jawnej),
• imię i nazwisko (opcjonalnie),
• numer telefonu (do weryfikacji SMS i kontaktu serwisowego),
• identyfikator Google (przy logowaniu OAuth 2.0) - wyłącznie e-mail i podstawowy profil.

2.2. Dane do faktury VAT

Niezbędne do wystawienia faktury za doładowanie Portfela:

• nazwa firmy / imię i nazwisko (jeśli osoba fizyczna prowadząca działalność),
• NIP,
• adres rejestrowy (ulica, numer, kod pocztowy, miejscowość),
• e-mail do faktury (jeżeli inny niż e-mail Konta).

2.3. Dane Klientów Końcowych zarządzanych przez Klienta-Agencję

Klient (np. agencja marketingowa) może wprowadzać do Serwisu dane firm trzecich (Klientów Końcowych) w celu realizacji zamówionych Usług. W takim przypadku Klient pełni rolę administratora danych Klienta Końcowego, a Administrator jest podmiotem przetwarzającym (procesor) w rozumieniu art. 28 RODO. Dane mogą obejmować:

• nazwę i nazwę rejestrową firmy Klienta Końcowego,
• adres siedziby, NIP, REGON, KRS,
• dane kontaktowe (telefon, e-mail, strona WWW),
• godziny otwarcia, kategorie, opis działalności,
• zdjęcia, logo, banery,
• współrzędne geograficzne (lat/lng) - dla wizytówek NAP,
• linki do mediów społecznościowych.

2.4. Dane z Google API (Google Places)

Przy dodawaniu wizytówki przez import z Google Maps automatycznie pobierane są:

• Google Place ID,
• ocena Google i liczba opinii,
• treść opinii (wykorzystywana opcjonalnie przez Klienta do generowania opisów przez asystenta AI).

2.5. Dane techniczne i logi

• adres IP (rejestrowany do logów dostępu serwera oraz logów logowania),
• nagłówki HTTP (User-Agent, Referer),
• znaczniki czasu (login, akcje w panelu, transakcje Portfela),
• logi nieudanych prób logowania (rate-limiting: do 5 prób / 15 min / IP),
• logi audytowe operacji impersonacji (gdy administrator techniczny loguje się na konto Klienta w celach pomocy technicznej - patrz § 11).

2.6. Dane płatności

Pełne dane karty płatniczej i rachunku bankowego nie są przechowywane przez Administratora. Płatności obsługuje wyłącznie operator Tpay (Krajowy Integrator Płatności S.A.). Administrator otrzymuje od Tpay potwierdzenie transakcji oraz identyfikator transakcji - niezbędne do księgowania doładowania Portfela.

2.7. Dane Programu Lojalnościowego (Rangi)

W ramach Programu Lojalnościowego Administrator przetwarza:

• Lifetime Spent - skumulowaną wartość netto wpłat Klienta na Portfel, agregowaną po NIP firmy z całego ekosystemu WCOB (Serwis WCOB.pl, WizytowkiFirmowe.pl, MarketingHotelowy.pl);
• Rangę Klienta (Bronze / Silver / Gold / Platinum / Diamond / Legend) wynikającą z progu Lifetime Spent;
• historię zmian Rangi (data osiągnięcia danego poziomu);
• logi naliczenia rabatu Rangi przy każdym pobraniu Punktów z Portfela.

Klienci z tym samym NIP w różnych markach ekosystemu (np. konto w WCOB.pl i konto w WizytowkiFirmowe.pl) są dla celów wyliczenia Rangi traktowani jako jeden Klient. Agregacja po NIP jest niezbędna do realizacji umowy (Program Lojalnościowy) i nie wymaga osobnej zgody.

2.8. Dane Programu Partnerskiego

Dla Klientów uczestniczących w Programie Partnerskim Administrator przetwarza dodatkowo:

• Kod Partnerski oraz Link Partnerski (publiczne identyfikatory),
• pełne dane firmy Partnera z weryfikacji KYC (NIP, nazwa firmy, adres, kod pocztowy, miasto - pobierane z Białej Listy VAT MF, z możliwością ręcznej korekty),
• historię kliknięć Linku Partnerskiego (anonimowo: znacznik czasu, kraj/region z GeoIP, źródło ruchu z parametrów UTM, jeżeli obecne) - do celów statystycznych i wykrywania fraudów,
• identyfikatory Klientów Poleconych (powiązanie Partner → Klient Polecony, data rejestracji, status aktywności konta) - w Panelu Partnera widoczne wyłącznie w formie zanonimizowanej (np. „firma w branży [X]", bez ujawniania nazwy lub NIP-u Klienta Poleconego),
• historię Prowizji Partnerskich (kwota netto, status pending/approved/paid, data naliczenia, identyfikator wpłaty Klienta Poleconego),
• historię wypłat (kwota, data, ścieżka: kredyt Portfela / przelew bankowy, numer faktury VAT wystawionej przez Partnera).

Cookie Attribution Programu Partnerskiego - patrz § 9 (cookie ref ważne 90 dni).

2.9. Dane analityczne i marketingowe (cookies)

Patrz § 9. Cookies - pliki cookies analityczne i marketingowe są ładowane wyłącznie po wyrażeniu zgody przez użytkownika (Consent Mode v2 zgodnie z wymaganiami Google).

2.10. Dane z połączonych kanałów zewnętrznych (Google Business Profile, Facebook, Instagram)

Klient korzystający z usługi opieki nad widocznością firmy może dobrowolnie połączyć z Panelem swoją wizytówkę Google (Google Business Profile), stronę na Facebooku i powiązane konto Instagram. Połączenie następuje wyłącznie przez oficjalną autoryzację u dostawcy (OAuth 2.0), Administrator nigdy nie otrzymuje haseł Klienta. Przetwarzane są:

• identyfikator i nazwa wizytówki Google / strony na Facebooku / konta Instagram wybranej przez Klienta,
• tokeny dostępu wydane przez dostawcę (przechowywane w postaci zaszyfrowanej, wyłącznie w celu publikacji treści zleconych przez Klienta),
• identyfikatory i adresy opublikowanych wpisów (do pokazania Klientowi w Panelu i raportach).

Administrator publikuje w połączonych kanałach wyłącznie treści zaplanowane w ramach usługi opieki i widoczne dla Klienta w Panelu. Administrator nie odczytuje prywatnych wiadomości, listy znajomych ani danych innych użytkowników. Klient może w każdej chwili odłączyć kanał w Panelu (tokeny są wtedy trwale usuwane) albo cofnąć dostęp bezpośrednio u dostawcy (Google: myaccount.google.com/permissions; Meta: Ustawienia → Integracje biznesowe).

Korzystanie z danych otrzymanych z interfejsów Google API odbywa się zgodnie z Google API Services User Data Policy, w tym z wymogami ograniczonego użycia (Limited Use). Korzystanie z danych platform Meta odbywa się zgodnie z Meta Platform Terms.

3. Cele i podstawy prawne przetwarzania

4. Publikacja danych firm w Sieci Portali

Dane firmowe (Klienta lub Klienta Końcowego) zawarte w Wizytówkach NAP, ogłoszeniach, banerach i artykułach sponsorowanych są z założenia danymi jawnymi przeznaczonymi do publicznego udostępnienia. Publikując takie treści Klient wyraża zgodę na:

• wyświetlanie danych firmy w Serwisie WCOB.pl,
• wyświetlanie danych w portalach Sieci (LokalneOgloszenia.com, MarketingHotelowy.pl, PracaMiasto.pl, dedykowane domeny lokalne),
• indeksowanie przez wyszukiwarki internetowe (Google, Bing, etc.),
• archiwizację publicznych zasobów (Wayback Machine, Common Crawl),
• wykorzystanie w cytatach i podsumowaniach przez modele AI (zgodnie z polityką wyszukiwarek i AI providers).

Klient w każdej chwili może edytować lub usunąć dane przez Panel Klienta. Po usunięciu dane mogą być nadal widoczne w cache wyszukiwarek przez kilka tygodni - Administrator nie kontroluje cache stron trzecich.

5. Odbiorcy danych (kategorie procesorów)

W ramach świadczenia Usług dane osobowe mogą być przekazywane następującym kategoriom odbiorców (na podstawie umów powierzenia art. 28 RODO):

• Hosting i infrastruktura - operator hostingu, na którym działa Serwis (CyberFolks / Cyber Folks S.A. lub inny aktualny dostawca);
• Operator płatności - Krajowy Integrator Płatności S.A. (Tpay), ul. Plac Andersa 3, 61-894 Poznań, NIP 7773061579;
• Google LLC - Google Sign-In (OAuth 2.0), Google Places API, Google Analytics 4, Google Tag Manager (USA);
• SMSAPI.pl - LINK Mobility Poland sp. z o. o. (weryfikacja telefonu SMS-em);
• Anthropic, PBC - Claude API (USA) - wyłącznie dla generowania treści artykułów na zlecenie Klienta. Klient samodzielnie decyduje co przesłać do AI; Administrator nie wysyła danych Klienta do AI bez zlecenia;
• fakturowania.pl - Fakturownia Sp. z o.o. (wystawianie elektronicznych faktur VAT) - opcjonalnie, w przypadku integracji;
• ConsentGuards - Warszawskie Centrum Obsługi Biznesu Sp. z o.o. (system zarządzania zgodami cookies, gdy aktywne);
• Biała Lista VAT MF - Ministerstwo Finansów (rządowy wykaz podatników VAT) - weryfikacja NIP i automatyczne pobieranie danych firmy przy rejestracji w Programie Partnerskim oraz przy doładowaniu Portfela (publiczne API gov.pl - przekazywany wyłącznie NIP);
• Spółki ekosystemu WCOB - WizytowkiFirmowe.pl oraz MarketingHotelowy.pl (powiązane infrastrukturalnie z Administratorem) - w zakresie SSO (Single Sign-On) oraz agregacji Lifetime Spent po NIP dla potrzeb Programu Lojalnościowego;
• Sieć Portali - operatorzy portali z Sieci, w zakresie niezbędnym do publikacji Wizytówek/ogłoszeń/artykułów (są to spółki powiązane lub bezpośrednio Administrator);
• Podmioty doradcze i prawne - kancelarie prawne, biura księgowe (na zasadach poufności i wyłącznie w niezbędnym zakresie);
• Organy publiczne - wyłącznie na podstawie przepisów prawa (np. KAS, Policja, sądy).

Administrator nie sprzedaje, nie wynajmuje i nie udostępnia danych osobowych podmiotom trzecim w celach marketingowych.

6. Przekazywanie danych poza EOG (transfer międzynarodowy)

W związku z korzystaniem z usług Google LLC (Analytics, OAuth, Places) oraz Anthropic, PBC (Claude API) dane mogą być przekazywane do Stanów Zjednoczonych. Transfer odbywa się na podstawie:

• EU-US Data Privacy Framework - decyzja Komisji Europejskiej z dn. 10.07.2023 stwierdzająca odpowiedni stopień ochrony (Google jest certyfikowany);
• Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską (decyzja 2021/914) - dla transferów do podmiotów niecertyfikowanych w DPF;
• środków uzupełniających (encryption in transit/at rest, kontrola dostępu) zgodnie z wytycznymi EROD.

Klient ma prawo zażądać kopii zawartych umów powierzenia oraz informacji o aktualnych podstawach prawnych transferu - wniosek na bok@wcob.pl.

7. Okres przechowywania danych

8. Prawa osób, których dane dotyczą

Użytkownikowi przysługują następujące prawa:

Część praw można zrealizować samodzielnie w Panelu Klienta (edycja, usuwanie danych). W pozostałych sprawach należy skontaktować się z Administratorem.

9. Pliki cookies

Serwis wykorzystuje pliki cookies (ciasteczka) - niewielkie pliki tekstowe przechowywane na urządzeniu Użytkownika.

9.1. Rodzaje plików cookies

9.2. Zarządzanie plikami cookies

Użytkownik może zarządzać plikami cookies poprzez ustawienia przeglądarki internetowej. Instrukcje dla popularnych przeglądarek:

• Google Chrome
• Mozilla Firefox
• Microsoft Edge
• Safari

10. Narzędzia i usługi zewnętrzne

10.1. Google Analytics 4 (Consent Mode v2)

Serwis wykorzystuje Google Analytics 4 do analizy ruchu (zanonimizowany IP, zdarzenia w panelu, konwersje). Skrypt GA4 jest ładowany w trybie Consent Mode v2 z domyślnym stanem „denied" - dane są zbierane tylko po wyrażeniu zgody w bannerze cookies. Dane przechowywane do 14 miesięcy.

10.2. Google Sign-In (OAuth 2.0)

Klient może zalogować się kontem Google. Pobierane są wyłącznie: e-mail, identyfikator Google, podstawowy profil (imię, zdjęcie). Hasło Google nigdy nie jest udostępniane Administratorowi.

10.3. Google Places API

Pobieranie danych firm (Place ID, oceny, opinie, lokalizacja) z Google Maps na żądanie Klienta. Dane wykorzystywane zgodnie z licencją Google Maps Platform.

10.4. Tpay (Krajowy Integrator Płatności S.A.)

Płatności online obsługiwane przez Tpay - szybkie przelewy, BLIK, karty. Pełne dane karty/konta nie są przekazywane do Administratora. Polityka prywatności: tpay.com/polityka-prywatnosci.

10.5. SMSAPI.pl (LINK Mobility Poland sp. z o. o.)

Wysyłanie SMS-ów weryfikacyjnych (potwierdzenie numeru telefonu Klienta). Numer telefonu i kod weryfikacyjny przekazywane do SMSAPI wyłącznie w czasie weryfikacji.

10.6. Anthropic / Claude API

Asystent AI (Claude) wykorzystywany opcjonalnie przez Klienta do generowania treści artykułów. Dane (prompt, treści wprowadzone przez Klienta) wysyłane do Anthropic, PBC (USA). Anthropic nie używa danych klientów do treningu modeli (zgodnie z polityką commercial). Klient odpowiada za to, jakie dane przesyła do AI.

10.7. ConsentGuards (Warszawskie Centrum Obsługi Biznesu Sp. z o.o. )

System zarządzania zgodami cookies (gdy aktywny). Przechowuje stan zgody w cookie po stronie przeglądarki - bez danych osobowych Klienta po stronie ConsentGuards.

10.8. fakturowania.pl (Fakturownia Sp. z o.o.)

Po integracji - automatyczne wystawianie faktur elektronicznych. Przekazywane: dane do faktury z Konta + kwota doładowania. Polityka prywatności: fakturowania.pl/regulamin.

10.9. Biała Lista VAT - Ministerstwo Finansów

Przy rejestracji w Programie Partnerskim oraz przy aktualizacji danych firmowych w Panelu Klienta Administrator korzysta z publicznego API Białej Listy VAT Ministerstwa Finansów (wl-api.mf.gov.pl) w celu:

10.10. Google Business Profile API

Publikacja wpisów i zdjęć w wizytówce Google Klienta, który połączył ją z Panelem w ramach usługi opieki (zakres uprawnień: zarządzanie profilem firmy). Dostęp można cofnąć w Panelu lub na myaccount.google.com/permissions.

10.11. Meta Platforms (Facebook, Instagram)

Publikacja wpisów na stronie firmowej na Facebooku i na koncie Instagram Klienta, który połączył je z Panelem w ramach usługi opieki (Facebook Login for Business, Graph API). Dostęp można cofnąć w Panelu lub w ustawieniach konta Facebook (Integracje biznesowe).

• weryfikacji statusu czynnego podatnika VAT,
• automatycznego pobierania danych firmy (nazwa, adres) na podstawie NIP - z możliwością ich ręcznej korekty przez Klienta przed zapisem.

Do API przekazywany jest wyłącznie NIP. Korzystanie z Białej Listy VAT jest niezbędne do weryfikacji KYC oraz wystawiania faktur VAT - art. 6 ust. 1 lit. c RODO (obowiązek prawny).

10.10. Ekosystem WCOB (WizytowkiFirmowe.pl, MarketingHotelowy.pl)

Konto Klienta jest współdzielone między serwisami ekosystemu (Single Sign-On). Dane logowania, dane firmowe (NIP, nazwa, adres) oraz Lifetime Spent są przetwarzane wspólnie na wszystkich trzech platformach prowadzonych przez Administratora lub spółki powiązane:

• WCOB.pl - platforma B2B dla agencji (Serwis główny),
• WizytowkiFirmowe.pl - self-service NAP dla firm,
• MarketingHotelowy.pl - usługi marketingowe dla branży hotelarskiej.

Klient zachowuje jedno Konto, jeden Portfel i jedną Rangę w całym ekosystemie. Agregacja Lifetime Spent po NIP firmy jest niezbędna do realizacji Programu Lojalnościowego i nie wymaga osobnej zgody (art. 6 ust. 1 lit. b RODO).

11. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne zapewniające ochronę danych osobowych adekwatne do ryzyka:

• Szyfrowanie: HTTPS/TLS 1.2+ dla całego ruchu (HSTS), bcrypt do hashowania haseł (cost 12), szyfrowanie kopii zapasowych;
• Kontrola dostępu: dostęp do bazy ograniczony do wymaganych adresów IP, autoryzacja na poziomie kont (RBAC), separacja środowisk (production/staging/dev);
• Ochrona przed atakami: prepared statements (SQL injection), CSRF tokens, X-Frame-Options, Content-Security-Policy, rate-limiting (5 prób / 15 min na IP);
• Audit logi: rejestracja wszystkich akcji administracyjnych (impersonacja, modyfikacje portfela, zmiany konfiguracji);
• Backup: codzienne kopie zapasowe bazy danych z retencją 30 dni;
• Aktualizacje: regularne aktualizacje oprogramowania, monitoring CVE, audyty bezpieczeństwa kodu;
• Sekrety: przechowywanie kluczy API, haseł bazy danych w plikach konfiguracyjnych poza katalogiem publicznym, niedostępnych przez HTTP;
• Maskowanie PII: w logach systemowych e-maile, telefony i NIP-y są maskowane (np. jan***@firma.pl) w zgodzie z zasadą minimalizacji danych.

12. Naruszenie ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych mogącego skutkować ryzykiem dla osób, których dane dotyczą, Administrator:

• powiadomi Prezesa Urzędu Ochrony Danych Osobowych w terminie 72 godzin (art. 33 RODO),
• poinformuje osoby, których dane dotyczą, jeśli ryzyko jest wysokie (art. 34 RODO),
• podejmie środki naprawcze i prewencyjne.

13. Postanowienia końcowe

Polityka Prywatności może być aktualizowana w przypadku zmian przepisów prawa, struktury Usług, wprowadzenia nowych narzędzi zewnętrznych lub zmiany infrastruktury. O istotnych zmianach Klienci zostaną poinformowani z co najmniej 14-dniowym wyprzedzeniem przez e-mail oraz powiadomienie w Panelu.

Aktualna wersja dokumentu jest zawsze dostępna pod adresem: https://wcob.pl/polityka-prywatnosci.php.

W sprawach nieuregulowanych zastosowanie mają przepisy RODO, polskiej ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. oraz Kodeksu cywilnego.

Historia wersji

Każda wersja ma stały adres. Wersja obowiązująca w danym dniu jest wersją wiążącą dla zamówień z tego dnia.

• Wersja z 15.09.2026 - obowiązuje od 01.10.2026 (aktualna)
  Połączone kanały (komentarze, statystyki, tokeny), zakupy bez Konta i formularze kontaktowe, narzędzia AI (Anthropic, OpenAI), reCAPTCHA, Aftermarket.pl, nowe okresy przechowywania, instrukcja usuwania danych, wersja angielska; podstawy cookies i marketingu według Prawa komunikacji elektronicznej (cookie afiliacyjne jako niezbędne do usługi żądanej kliknięciem linku), odesłanie do umowy powierzenia (Załącznik nr 1 do Regulaminu), aktualne Rangi.
• Wersja z 12.05.2026 - obowiązywała 12.05.2026 - 30.09.2026
  Dane Programu Lojalnościowego i Partnerskiego, dane z połączonych kanałów (Google Business Profile, Facebook, Instagram), Biała Lista VAT, Google Business Profile API, Meta Platforms, ekosystem WCOB (SSO).
• Wersja z 28.04.2026 - obowiązywała 28.04.2026 - 11.05.2026
  Wersja pierwotna.