Polityka prywatności

Informacja o przetwarzaniu danych osobowych w serwisach nihili.com, wzmocnia.com, wzmocnia.pl i wzmocnia.org oraz w Pomieszczeniach WZMOCNIA, przekazywana na podstawie art. 13 i 14 RODO.

Wersja 1.4 z 2026-10-13 — odesłania do Regulaminu Licencji WZMOCNIA i Regulaminu Charteru i Rezerwacji WZMOCNIA, definicja Obiektu i formularz specyfikacji zamiast konfiguratora, także w Polityce prywatności (zmiany w § 1, § 2, § 8, § 9, § 12, § 17, § 18 i § 20). Wersja 1.3 z 2026-10-13 dodała w § 10 ust. 4 gniazdo 400 V 32 A po stronie Pracodawcy; wersja 1.2 z 2026-10-04 — zadatek, dopłatę i rezygnację przy blokach, osoby zawierające umowę, oświadczenia przy zamówieniu i powierzenie danych. Obowiązuje od dnia publikacji w serwisie; wcześniejsze wersje na żądanie.

§ 1. Administrator i kontakt

Administratorem danych osobowych jest NIHILI Prosta Spółka Akcyjna z siedzibą w Warszawie, ul. Piękna 49, 00-672 Warszawa, KRS 0001244757, NIP 7011316302, REGON 544879583 („NIHILI”, „my”). Kontakt w sprawach danych osobowych: e-mail [adres ogólny], adres korespondencyjny jak wyżej. NIHILI nie wyznaczyła inspektora ochrony danych; wnioski i pytania obsługuje zarząd.

Dla pobytów kupionych w recepcji hotelu i dla usług hotelowych administratorem jest hotel (Gospodarz lokalizacji) i stosuje się jego informacja o przetwarzaniu danych. Dla danych kontaktowych pracowników przekazanych przez pracodawcę administratorem jest pracodawca, a NIHILI podmiotem przetwarzającym — zob. § 4.

§ 2. Kogo dotyczy ta polityka i skąd mamy dane

Kogo	Jakie dane	Skąd
Klient wzmocnia.pl	imię, e-mail, hasło (wyłącznie w formie skrótu), język; data, wersja regulaminu i treść zgód; zamówienia, bilety, Kody, płatności (bez danych karty); historia odtwarzania w WZMOCNIA Online; korespondencja	od Ciebie i z Twojego korzystania z serwisu
Osoba prowadząca pilotaż u pracodawcy oraz osoba wysyłająca zamówienie pilotażu bez konta	imię i nazwisko, stanowisko, służbowy e-mail i telefon; dane organizacji (nazwa, NIP, adres, branża, przedział zatrudnienia); region, wybrane terminy, uwagi, język, numer i status zamówienia; w zakupie grupowym — dane pozostałych Pracodawców (nazwa, NIP, adres, e-mail do rozliczeń), rozkład sesji i podział kosztu; dla konta: identyfikator, rola, powiązanie z organizacją, hasło w formie skrótu; przy zamówieniu bloków — osoby zawierające umowę (imię, nazwisko, funkcja albo podstawa umocowania), organ i sposób reprezentacji, treść, data i wersja oświadczeń, stan zadatku oraz pliki umowy przesłane przez stronę zamówienia	od Ciebie albo od Twojej organizacji; w zakupie grupowym dane spółek i adresy do rozliczeń podaje Koordynator; nazwa i adres podmiotu po podaniu NIP mogą zostać pobrane z publicznego Wykazu podatników VAT Ministerstwa Finansów (§ 5); organ, sposób reprezentacji i skład organu — z Krajowego Rejestru Sądowego (§ 5)
Osoba przygotowująca specyfikację obiektu w formularzu specyfikacji	NIP, nazwa i adres firmy, lokalizacja dostawy, imię i nazwisko, stanowisko, telefon i e-mail osoby kontaktowej, wybrane wyposażenie i sposób finansowania — wyłącznie w Twojej przeglądarce, do wydruku albo PDF; serwis ich nie zapisuje, a nasz serwer otrzymuje przejściowo tylko NIP i wpisywane fragmenty adresu dostawy (§ 5)	od Ciebie; nazwa i adres firmy po podaniu NIP mogą zostać pobrane z publicznego Wykazu podatników VAT Ministerstwa Finansów (§ 5)
Osoba kontaktowa gospodarza lokalizacji	imię i nazwisko, stanowisko, służbowy e-mail i telefon; dane obiektu i kalendarza; dla konta: identyfikator, rola, hasło w formie skrótu	od Ciebie albo od Twojej organizacji
Uczestnik pilotażu (pracownik z Kodem)	numer telefonu albo e-mail (do wysyłki Kodu); Kod; czasy wejść do obiektu; dobrowolne odpowiedzi na trzy pytania ankiety zapisane pod Kodem, bez imienia	numer albo e-mail od pracodawcy (§ 4); reszta z Twojego korzystania
Osoba składająca zapytanie, reklamację albo oświadczenie o odstąpieniu	dane podane w wiadomości i dane umowy, której dotyczy	od Ciebie
Osoba w zasięgu monitoringu przy obiekcie	wizerunek w strefach zewnętrznych obiektu	z kamer prowadzonych przez NIHILI na terenie pracodawcy albo przez gospodarza na jego terenie (§ 3)
Czytelnik wzmocnia.org, odwiedzający serwisy	adres IP, dane przeglądarki i treść żądań w logach serwera; ciasteczka opisane w § 9; bez kont i bez analityki	z Twojej przeglądarki

§ 3. Cele, podstawy prawne i okresy przechowywania

Cel	Podstawa prawna (RODO)	Jak długo
Prowadzenie Konta Klienta, sprzedaż i realizacja biletów oraz dostępu do WZMOCNIA Online, obsługa odstąpień i zwrotów	art. 6 ust. 1 lit. b — umowa z Tobą	przez czas umowy; po jej zakończeniu dane niezbędne do obrony roszczeń do upływu przedawnienia (6 lat od końca roku), pozostałe usuwane w 30 dni
Obsługa zamówień pilotażu, kont pracodawców i gospodarzy, kontakt z osobami reprezentującymi organizacje	art. 6 ust. 1 lit. b — gdy jesteś stroną umowy; art. 6 ust. 1 lit. f — gdy reprezentujesz organizację (nasz interes: zawarcie i wykonanie umowy z organizacją)	przez czas umowy; zamówienie bez umowy — 12 miesięcy od wysłania; po zakończeniu umowy do upływu przedawnienia roszczeń gospodarczych (3 lata od końca roku)
Pobranie nazwy i adresu firmy po NIP oraz podpowiedzi adresu dostawy w formularzu specyfikacji	art. 6 ust. 1 lit. b — gdy przygotowujesz specyfikację we własnym imieniu (działania na Twoje żądanie przed zawarciem umowy); art. 6 ust. 1 lit. f — gdy działasz w imieniu organizacji (nasz interes: przygotowanie specyfikacji, o którą prosisz)	do naszej bazy nie trafia nic; odpowiedzi wykazu i usług adresowych — w pamięci podręcznej serwera do 24 godzin
Wystawianie faktur, rozliczenia podatkowe	art. 6 ust. 1 lit. c — obowiązek prawny (ustawa o rachunkowości, Ordynacja podatkowa)	5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku
Rozpatrywanie reklamacji, odpowiedzi na zapytania, obrona i dochodzenie roszczeń	art. 6 ust. 1 lit. b i f — umowa, prawnie uzasadniony interes	do zakończenia sprawy, potem do upływu przedawnienia
Wysyłka Kodów do uczestników pilotażu	przetwarzanie na zlecenie pracodawcy (art. 28) — pracodawca jest administratorem kontaktów; podstawa po stronie pracodawcy: art. 6 ust. 1 lit. f	do końca pilotażu plus 30 dni; potem kontakty są usuwane, a Kody odłączane od numerów i adresów
Otwieranie Pomieszczenia Kodem, rejestr wejść, ankiety pod Kodem, raport zbiorczy dla pracodawcy	art. 6 ust. 1 lit. f — prawnie uzasadniony interes NIHILI: wykonanie pilotażu, bezpieczeństwo obiektu i ocena pilotażu bez identyfikacji osób	rejestr wejść 90 dni; odpowiedzi pod Kodem 12 miesięcy od końca pilotażu, potem wyłącznie zbiorczo
Bezpieczeństwo serwisów, logi, zapobieganie nadużyciom	art. 6 ust. 1 lit. f — prawnie uzasadniony interes	logi serwera do 30 dni
Monitoring wizyjny stref zewnętrznych obiektu	art. 6 ust. 1 lit. f — bezpieczeństwo osób i mienia	30 dni, dłużej wyłącznie jako dowód w postępowaniu
Zapamiętanie języka, utrzymanie sesji, dostęp hasłem do wzmocnia.org	art. 6 ust. 1 lit. f; przechowywanie w urządzeniu na podstawie art. 399 ust. 3 ustawy Prawo komunikacji elektronicznej (niezbędne do usługi, o którą prosisz)	język 12 miesięcy; sesja do wylogowania, najdłużej 400 dni; dostęp do wzmocnia.org 30 dni
Informacje o nowych programach i lokalizacjach e-mailem	art. 6 ust. 1 lit. a — zgoda, wyrażana osobnym polem, także w rozumieniu art. 398 Prawa komunikacji elektronicznej	do cofnięcia zgody (odnośnik w każdej wiadomości)

Podanie danych oznaczonych jako wymagane jest warunkiem założenia Konta, zakupu albo złożenia zamówienia; bez nich nie możemy zawrzeć umowy. Podanie danych w polach opcjonalnych (na przykład uwagi) i udział w ankiecie są dobrowolne. Dane do faktur są wymagane przepisami podatkowymi.

Nie prosimy o dane o zdrowiu i prosimy nie podawać ich w wiadomościach do nas. Trzy pytania ankiety w pilotażu dotyczą odczuwanego przeciążenia, zdolności skupienia i klarowności myślenia, w skali samooceny; są dobrowolne, zapisywane pod Kodem bez imienia i nie służą do wnioskowania o stanie zdrowia ani do oceny osoby. Przetwarzanie danych uczestników pilotażu objęliśmy oceną skutków dla ochrony danych.

§ 4. Uczestnicy pilotażu — dane, których pracodawca nie widzi

Pracodawca przekazuje NIHILI listę numerów telefonów albo adresów e-mail osób zaproszonych do pilotażu. Pracodawca jest administratorem tych kontaktów i informuje pracowników o ich przekazaniu przed wysłaniem listy; NIHILI przetwarza je wyłącznie w celu wysłania Kodów, na podstawie powierzenia opisanego w § 10 ust. 9 Regulaminu. Pierwsza wiadomość z Kodem zawiera odnośnik do tej polityki — to nasza informacja z art. 14 RODO.

Od chwili użycia Kodu NIHILI jest administratorem danych zapisanych pod Kodem: rejestru wejść i odpowiedzi w ankiecie. Są to dane pseudonimizowane: Kod nie jest zapisany razem z numerem ani adresem po zakończeniu pilotażu, a NIHILI nie zwraca pracodawcy żadnych informacji o pojedynczych osobach — kto Kod aktywował, kto i kiedy wszedł do Pomieszczenia, co odpowiedział.

Raport dla pracodawcy zawiera wyłącznie dane zbiorcze (wykorzystanie puli, liczba wejść i powrotów, rozkład odpowiedzi). Przekroje są pokazywane, gdy obejmują co najmniej 8 osób, a raport nie zawiera czasów wejść ani przekrojów według działów, stanowisk czy dat, które pozwoliłyby rozpoznać osobę. Nie istnieje eksport danych jednostkowych z systemu. Udział jest dobrowolny i nie ma wpływu na zatrudnienie.

§ 5. Odbiorcy danych i źródła publiczne

Odbiorca	Rola	Zakres
Supabase, Inc. (baza danych i uwierzytelnianie; serwery w regionie Unii Europejskiej, Frankfurt)	podmiot przetwarzający	konta i dane logowania, zamówienia pilotażu, rezerwacje, bilety, Kody, historia odtwarzania, ankiety pod Kodem
Vercel, Inc. (hosting serwisów; serwery w UE i USA)	podmiot przetwarzający	logi serwera, adresy IP, treść żądań do formularzy (przetwarzana przejściowo przy obsłudze żądania)
BunnyWay d.o.o. (Bunny.net; sieć dostarczania treści, Słowenia)	podmiot przetwarzający	obrazy są pobierane przez nasz serwer, więc Bunny nie widzi Twojego adresu IP; programy audio są strumieniowane bezpośrednio do Twojej przeglądarki, więc Bunny widzi adres IP w logach dostarczania
Stripe Payments Europe, Ltd. (Irlandia) — płatności online, w tym zadatek za bloki	odrębny administrator	dane płatności; NIHILI nie widzi danych karty
PILOT P.S.A. (Polska) — posiadacz rachunku u Stripe, na który do odwołania wpływa zadatek płacony online	[rola — do potwierdzenia]	kwota i data płatności, numer zamówienia, adres e-mail płatnika
[dostawca SMS] i [dostawca poczty e-mail]	podmiot przetwarzający	numery telefonu i adresy e-mail do wysyłki Kodów, potwierdzeń i wiadomości
Gospodarz lokalizacji (hotel)	odrębny administrator	terminy i Kody potrzebne do wpuszczenia do obiektu; dla bloków w jego obiekcie — rekord rezerwacji (organizacja, termin, miejsce ustawienia, uwagi, status); bez danych z ankiet
Koordynator i pozostali Pracodawcy w zakupie grupowym	odrębni administratorzy	dane organizacji i rozliczeń z zamówienia, rozkład sesji, status płatności; bez Kodów, wejść i ankiet pracowników innych Pracodawców
Biuro rachunkowe, doradcy prawni, ubezpieczyciel	podmiot przetwarzający albo odrębny administrator	dane z faktur, korespondencja w sprawach spornych i szkodowych
Organy publiczne	odrębny administrator	gdy wymaga tego przepis prawa

Z każdym podmiotem przetwarzającym NIHILI zawiera umowę powierzenia. Nie sprzedajemy danych i nie udostępniamy ich do celów reklamowych osób trzecich.

Źródło publiczne: gdy w formularzu zamówienia pilotażu podasz NIP i wybierzesz „Wyszukaj”, nasz serwer wysyła NIP do publicznego Wykazu podatników VAT Ministerstwa Finansów (wl-api.mf.gov.pl) i pobiera nazwę oraz adres podmiotu, które możesz poprawić przed wysłaniem. Odpowiedź wykazu jest przechowywana w pamięci podręcznej serwera do 24 godzin; do naszej bazy trafia wyłącznie to, co wyślesz w zamówieniu. Gdy wybierzesz „Pobierz z KRS”, nasz serwer pyta ten wykaz o numer KRS podmiotu, a otwarte API Krajowego Rejestru Sądowego Ministerstwa Sprawiedliwości (api-krs.ms.gov.pl) — o organ uprawniony do reprezentacji, sposób reprezentacji i skład organu; rejestr podaje w tym API imiona i nazwiska zamaskowane, więc wpisujesz je samodzielnie. Odpowiedź rejestru jest przechowywana w pamięci podręcznej serwera do godziny. W formularzu specyfikacji obiektu przycisk „Pobierz dane” działa tak samo jak „Wyszukaj”, ale do naszej bazy nic nie trafia — formularz kończy się wydrukiem albo PDF w Twojej przeglądarce. Podpowiedzi adresu dostawy w tym formularzu pobiera nasz serwer: wpisywane fragmenty nazwy miejscowości i ulicy oraz numer wysyła do publicznej wyszukiwarki adresów Photon (photon.komoot.io; dane OpenStreetMap) i do usługi geokodowania Głównego Urzędu Geodezji i Kartografii (services.gugik.gov.pl), a ich odpowiedzi przechowuje w pamięci podręcznej do 24 godzin.

§ 6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Baza danych i uwierzytelnianie działają w regionie Unii Europejskiej (Frankfurt). Serwisy są hostowane w Vercel w regionach UE, a Stripe rozlicza płatności w Irlandii. Dostawcy z siedzibą w Stanach Zjednoczonych (Supabase, Inc. i Vercel, Inc.) mogą mieć dostęp do danych w ramach wsparcia technicznego i utrzymania; przekazanie odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej zawartych w umowach powierzenia z tymi dostawcami, a w wypadku Vercel także na podstawie certyfikacji w ramach Data Privacy Framework. Kopię zabezpieczeń można uzyskać, pisząc na adres z § 1.

§ 7. Twoje prawa

dostęp do danych i ich kopii; sprostowanie; usunięcie; ograniczenie przetwarzania; przenoszenie danych (dane przetwarzane na podstawie umowy albo zgody);
sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie — z przyczyn związanych z Twoją szczególną sytuacją; wobec informacji handlowych — w każdej chwili;
cofnięcie zgody w każdej chwili, bez wpływu na zgodność przetwarzania przed cofnięciem;
skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl).
Uczestnik pilotażu może zażądać usunięcia danych zapisanych pod swoim Kodem, pisząc z numeru telefonu albo adresu e-mail, na który Kod został wysłany — nie prosimy wtedy o imię i nazwisko.

Wnioski realizujemy w terminie miesiąca. W sprawach złożonych możemy przedłużyć ten termin o dwa miesiące; o przedłużeniu i jego przyczynach informujemy w ciągu miesiąca od otrzymania wniosku. Usunięcie danych nie obejmuje danych, które musimy zachować dla wykonania obowiązku prawnego (na przykład faktur) albo dla obrony roszczeń — wtedy ograniczamy ich przetwarzanie do tego celu. Przed realizacją wniosku możemy poprosić o potwierdzenie tożsamości w sposób proporcjonalny, na przykład o wysłanie wniosku z adresu e-mail przypisanego do Konta.

§ 8. Wnioski o dane, dowody zgód i kontakt w sprawie danych

Dla każdej umowy zapisujemy datę, język i wersję regulaminu, którą zaakceptowałeś, oraz treść i datę zgód (na przykład zgody na rozpoczęcie odtwarzania przed upływem terminu do odstąpienia). Na żądanie przekazujemy te dane wraz z kopią potwierdzenia wysłanego e-mailem.

Wnioski w sprawie danych przyjmujemy e-mailem na adres [adres ogólny] i pocztą na adres siedziby. Osoba, której dane przekazał pracodawca, może zwrócić się bezpośrednio do nas; jeżeli wniosek dotyczy kontaktów, których jesteśmy podmiotem przetwarzającym, przekazujemy go pracodawcy i informujemy o tym wnioskodawcę.

§ 9. Ciasteczka i podobne rozwiązania

Serwisy używają wyłącznie ciasteczek niezbędnych do świadczenia usługi, o którą prosisz (logowanie, wybór języka, dostęp hasłem) — przechowywanie i odczyt takich informacji nie wymaga zgody (art. 399 ust. 3 Prawa komunikacji elektronicznej). Nie używamy ciasteczek analitycznych, reklamowych ani narzędzi śledzących osób trzecich, dlatego nie wyświetlamy baneru zgody. Gdyby to się zmieniło, poprosimy o zgodę przed uruchomieniem takich narzędzi.

Nazwa	Cel	Czas
wzmocnia-jezyk	zapamiętanie wybranego języka (pl/en)	12 miesięcy
sb-<projekt>-auth-token (może być podzielone na części .0, .1)	utrzymanie sesji zalogowanego użytkownika w wzmocnia.com i wzmocnia.pl; zawiera token sesji odświeżany przy aktywności	do wylogowania, najdłużej 400 dni
sb-<projekt>-auth-token-code-verifier	bezpieczne dokończenie logowania jednorazowym linkiem (PKCE)	kilka minut, do zakończenia logowania
wzmocnia-org-dostep	dostęp hasłem do wzmocnia.org (skrót hasła, nie hasło)	30 dni

Ciasteczka można usunąć w ustawieniach przeglądarki; bez ciasteczek niezbędnych nie da się zalogować ani otworzyć wzmocnia.org. Serwisy nie ustawiają innych ciasteczek, także technicznych ciasteczek biblioteki tłumaczeń.

§ 10. Bezpieczeństwo

Dane są szyfrowane w tranzycie (TLS) i w spoczynku u dostawców. Dostęp do danych produkcyjnych mają wyłącznie imiennie upoważnione osoby, w zakresie potrzebnym do ich zadań, z uwierzytelnianiem dwuskładnikowym. Dane różnych organizacji są od siebie odizolowane na poziomie bazy (polityki dostępu wierszowego). Hasła przechowujemy w formie skrótu. Kopie zapasowe bazy są przechowywane 30 dni w tym samym regionie. W razie naruszenia ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, poinformujemy Cię o nim bez zbędnej zwłoki; naruszenia zgłaszamy Prezesowi UODO w ciągu 72 godzin od ich stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw osób.

§ 11. Zautomatyzowane decyzje, profilowanie, dzieci

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne albo w podobny sposób istotnie na Ciebie wpływały, i nie profilujemy użytkowników. Automatyczne działania serwisu ograniczają się do sprawdzania dostępności terminów i poprawności danych w formularzach. Nie kierujemy usług do osób poniżej 18 lat i nie przetwarzamy świadomie ich danych; jeżeli dowiemy się o takim Koncie, usuniemy je.

§ 12. Zmiany polityki

Politykę aktualizujemy, gdy zmieniają się przepisy, dostawcy albo zakres usług. Aktualna wersja jest zawsze dostępna w stopce każdej strony serwisów, a jej numer i datę podajemy na początku dokumentu; wcześniejsze wersje udostępniamy na żądanie. O istotnych zmianach informujemy posiadaczy Kont e-mailem.

Dokument jest dostępny po polsku i po angielsku. Umowę zawiera się w języku, w którym Klient korzystał z serwisu, i w tym języku Klient może się na nią powoływać; wersja polska rozstrzyga wyłącznie wątpliwości co do znaczenia tłumaczenia i nigdy na niekorzyść Konsumenta.