Skip to content
Home

Polityka prywatności

Last updated: 12 October 2026 · v0.1-draft

Draft document — under legal review.

This document is available in Polish only for now. The Polish version is binding; an English translation will follow.

W tej Polityce prywatności wyjaśniamy, jakie dane osobowe przetwarzamy w związku z działaniem serwisu https://labiryntfestiwal.pl, sprzedażą Biletów na Labirynt Festiwal i organizacją Wydarzenia: w jakich celach i na jakiej podstawie to robimy, jak długo przechowujemy dane, komu je przekazujemy i jakie prawa Ci przysługują.

Pojęcia pisane wielką literą (np. Bilet, Kostka, Kupujący, Uczestnik, Paczkomat, Rezerwacja, Zamówienie, Serwis, Sklep, Wydarzenie) mają znaczenie nadane im w Regulaminie sprzedaży biletów.

1. Administrator danych

Administratorem Twoich danych osobowych jest Labirynt Festiwal Spółka z Ograniczoną Odpowiedzialnością z siedzibą w Łodzi, ul. Orla 9/4A, 90-317 Łódź, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001206628, NIP 7252361557, REGON 543296394 (dalej: „Administrator” lub „my”).

2. Kontakt w sprawach danych osobowych

W sprawach dotyczących danych osobowych, w tym w celu skorzystania z przysługujących Ci praw, możesz się z nami skontaktować:

Nie wyznaczyliśmy inspektora ochrony danych.

3. Kogo dotyczy ta Polityka

Polityka dotyczy w szczególności:

  • osób korzystających z Serwisu (Użytkowników);
  • Kupujących;
  • Uczestników, czyli osób wskazanych na Biletach – również wtedy, gdy Bilet kupił dla nich ktoś inny;
  • subskrybentów Newslettera;
  • osób, które kontaktują się z nami;
  • osób widocznych na fotografiach opublikowanych w Serwisie.

Sklep i Wydarzenie są przeznaczone wyłącznie dla osób pełnoletnich.

4. Jakie dane przetwarzamy i skąd je mamy

4.1. Dane, które podajesz nam sam

  • Przy składaniu Zamówienia: imię i nazwisko, numer telefonu, adres e-mail, adres pocztowy (ulica, numer domu i lokalu, kod pocztowy, miejscowość), wybrany Paczkomat, imiona i nazwiska Uczestników, użyty Kod promocyjny, a także informacje o akceptacji Regulaminu (z jego wersją i datą), o złożeniu oświadczenia o pełnoletności oraz o wyrażeniu albo niewyrażeniu zgody na Newsletter.
  • Przy zapisie na Newsletter: adres e-mail, wersja językowa Serwisu oraz informacje o wyrażeniu i potwierdzeniu zgody (data, treść zgody).
  • W korespondencji z nami: adres e-mail oraz inne dane, które zawrzesz w wiadomości.

4.2. Dane, które otrzymujemy od innych osób i podmiotów

  • Od Kupującego – Twoje imię i nazwisko, jeżeli Kupujący wskazał Cię jako Uczestnika (zob. pkt 5.2).
  • Od Operatora płatności (ING Bank Śląski S.A.) – informacje o statusie płatności, identyfikator transakcji i kwotę. Nie otrzymujemy danych Twojej karty płatniczej ani danych logowania do banku.
  • Od InPost sp. z o.o. – informacje o statusie doręczenia przesyłki z Kostkami, w tym numer przesyłki.

4.3. Dane zbierane automatycznie

  • Dane techniczne związane z korzystaniem z Serwisu: adres IP, informacje o urządzeniu i przeglądarce, data i godzina żądań, adresy odwiedzanych podstron (logi serwera).
  • Dane o przebiegu zakupu w Sklepie – statystyki własne (zob. pkt 5.10).
  • Dane zbierane przez Google Analytics – wyłącznie po wyrażeniu zgody (zob. pkt 5.10 oraz Politykę plików cookies).
  • Przy wejściu na Wydarzenie – informacje o zeskanowaniu Biletu: czas, wynik weryfikacji, urządzenie oraz osoba z obsługi, która dokonała skanowania.

5. Cele, podstawy prawne i okresy przetwarzania

5.1. Sprzedaż Biletów i wykonanie Umowy

  • Co robimy: obsługujemy Rezerwację i Zamówienie, przyjmujemy płatność za pośrednictwem Operatora płatności, wysyłamy potwierdzenie zawarcia Umowy i Bilety, udostępniamy Stronę statusu Zamówienia, wysyłamy Kostki do Paczkomatu i kontaktujemy się z Tobą w sprawach Zamówienia.
  • Dane: dane Kupującego podane w Zamówieniu, dane Zamówienia i płatności. Numer telefonu wykorzystujemy do kontaktu w sprawie Zamówienia i do obsługi przesyłki w Paczkomacie. Adres pocztowy zbieramy w celu: [DO UZUPEŁNIENIA].
  • Podstawa prawna: art. 6 ust. 1 lit. b RODO – przetwarzanie jest niezbędne do zawarcia i wykonania umowy, której jesteś stroną, oraz do podjęcia działań na Twoje żądanie przed jej zawarciem.
  • Okres przechowywania: przez czas wykonywania Umowy, a następnie przez okres przedawnienia roszczeń (pkt 5.11) i okres przechowywania dokumentacji księgowej (pkt 5.5). Dane z Zamówień, które nie zostały opłacone (np. po wygaśnięciu Rezerwacji), przechowujemy przez [DO UZUPEŁNIENIA].

5.2. Dane Uczestników – jeżeli Bilet kupił dla Ciebie ktoś inny

Bilety są imienne. Jeżeli Kupujący wskazał Cię jako Uczestnika, otrzymaliśmy od niego Twoje imię i nazwisko. Przetwarzamy je, aby wystawić imienny Bilet i zweryfikować Twoją tożsamość przy wejściu na Wydarzenie.

  • Dane: imię i nazwisko, a przy wejściu na Wydarzenie – również dane opisane w pkt 5.3.
  • Źródło danych: Kupujący.
  • Podstawa prawna: art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes, polegający na wykonaniu Umowy zawartej z Kupującym i kontroli wstępu na podstawie imiennych Biletów. Jeżeli Uczestnikiem jest sam Kupujący – art. 6 ust. 1 lit. b RODO.
  • Okres przechowywania: do zakończenia Wydarzenia, a następnie przez [DO UZUPEŁNIENIA]; jeżeli dane stanowią część dokumentacji Umowy – przez okres przedawnienia roszczeń.

Niniejsza Polityka stanowi informację, o której mowa w art. 14 RODO, dla Uczestników, których dane otrzymaliśmy od Kupującego. Prosimy Kupujących o przekazanie jej Uczestnikom.

5.3. Kontrola wstępu na Wydarzenie

Przy wejściu skanujemy kod QR Biletu, porównujemy imię i nazwisko z Biletu z danymi w dokumencie tożsamości ze zdjęciem i sprawdzamy, czy Uczestnik jest pełnoletni. Dokument jest jedynie okazywany obsłudze – nie kopiujemy go i nie zapisujemy danych z niego.

  • Dane: imię i nazwisko z Biletu, dane widoczne w okazanym dokumencie w zakresie potrzebnym do porównania (imię, nazwisko, wizerunek, data urodzenia), informacje o skanowaniu Biletu (czas, wynik weryfikacji, urządzenie, osoba z obsługi).
  • Podstawa prawna: art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes, polegający na zapewnieniu, że z Biletu korzysta osoba uprawniona i tylko jeden raz, na niewpuszczaniu osób niepełnoletnich, zapewnieniu bezpieczeństwa Wydarzenia oraz ustalaniu i obronie roszczeń.
  • Okres przechowywania: informacje o skanowaniu Biletów – [DO UZUPEŁNIENIA] od zakończenia Wydarzenia.

5.4. Istotne informacje o Wydarzeniu dla Kupujących

Z adresu important@labiryntfestiwal.pl wysyłamy Kupującym istotne informacje dotyczące Wydarzenia, np. o zmianach terminu, miejsca lub godzin, zasadach wejścia oraz kwestiach organizacyjnych – do wszystkich Kupujących albo tylko do tych, których dana informacja dotyczy (np. posiadaczy określonego rodzaju Biletu). Nie są to wiadomości marketingowe.

  • Dane: adres e-mail, imię i nazwisko, dane Zamówienia (np. rodzaj Biletu).
  • Podstawa prawna: art. 6 ust. 1 lit. b RODO – wykonanie Umowy.
  • Okres przechowywania: jak w pkt 5.1.

5.5. Rozliczenia, księgowość i podatki

  • Co robimy: dokumentujemy sprzedaż, rozliczamy płatności i zwroty, prowadzimy księgi rachunkowe i rozliczenia podatkowe.
  • Dane: dane Kupującego i Zamówienia, kwoty, daty i identyfikatory płatności oraz zwrotów.
  • Podstawa prawna: art. 6 ust. 1 lit. c RODO – wypełnienie obowiązków prawnych wynikających z przepisów o rachunkowości i przepisów podatkowych.
  • Okres przechowywania: przez okres wymagany tymi przepisami, co do zasady 5 lat od końca roku obrotowego, którego dotyczą.

5.6. Reklamacje, odstąpienie od Umowy i zwroty

  • Dane: dane Kupującego i Zamówienia, treść reklamacji lub oświadczenia, korespondencja.
  • Podstawa prawna: art. 6 ust. 1 lit. c RODO – obowiązki wynikające z ustawy o prawach konsumenta i Kodeksu cywilnego; art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes w obsłudze zgłoszeń i dokumentowaniu sposobu ich rozpatrzenia.
  • Okres przechowywania: do zakończenia sprawy, a następnie przez okres przedawnienia roszczeń (pkt 5.11).

5.7. Newsletter

  • Co robimy: wysyłamy z adresu newsletter@labiryntfestiwal.pl informacje o Wydarzeniu, kolejnych edycjach festiwalu i naszej działalności.
  • Dane: adres e-mail, wersja językowa, data i treść zgody, data potwierdzenia subskrypcji, status subskrypcji.
  • Podstawa prawna: art. 6 ust. 1 lit. a RODO – Twoja zgoda. Przesyłanie informacji handlowych drogą elektroniczną wymaga również zgody na podstawie art. 398 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej.
  • Jak wyrażasz i wycofujesz zgodę: zgoda jest dobrowolna. Wyrażasz ją, zaznaczając pole, które nie jest domyślnie zaznaczone, a następnie potwierdzając subskrypcję odnośnikiem w wiadomości e-mail (double opt-in). Możesz ją wycofać w każdej chwili – odnośnikiem rezygnacji zamieszczonym w każdej wiadomości albo pisząc na adres biuro@labiryntfestiwal.pl. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
  • Okres przechowywania: do wycofania zgody. Po jej wycofaniu przechowujemy adres e-mail oraz informacje o zgodzie i jej wycofaniu w zakresie niezbędnym do wykazania, że wysyłka była zgodna z prawem, i do niewysyłania Ci kolejnych wiadomości – na podstawie art. 6 ust. 1 lit. f RODO, przez okres przedawnienia roszczeń. Niepotwierdzone zgłoszenia usuwamy po [DO UZUPEŁNIENIA].

5.8. Kontakt z nami

  • Dane: adres e-mail i inne dane zawarte w wiadomości.
  • Podstawa prawna: art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes w udzielaniu odpowiedzi; jeżeli wiadomość dotyczy Umowy – art. 6 ust. 1 lit. b RODO.
  • Okres przechowywania: przez czas potrzebny do obsługi sprawy, a jeżeli korespondencja może mieć znaczenie dla roszczeń – do upływu okresu ich przedawnienia.

5.9. Bezpieczeństwo Serwisu i zapobieganie nadużyciom

  • Co robimy: chronimy Serwis przed atakami, wykrywamy nadużycia (np. automatyczne rezerwowanie Biletów, nadużycia Kodów promocyjnych i płatności) oraz diagnozujemy błędy.
  • Dane: adres IP, logi serwera, informacje o urządzeniu i przeglądarce, informacje o działaniach w Sklepie (np. o Rezerwacjach).
  • Podstawa prawna: art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes w zapewnieniu bezpieczeństwa Serwisu i uczciwej sprzedaży Biletów.
  • Okres przechowywania: logi serwera – [DO UZUPEŁNIENIA]; dane dotyczące wykrytych nadużyć – do wyjaśnienia sprawy, a w razie sporu – do jego zakończenia.

5.10. Statystyki

Google Analytics 4. Za Twoją zgodą korzystamy z Google Analytics 4, aby mierzyć ruch w Serwisie i skuteczność sprzedaży.

  • Podstawa prawna: art. 6 ust. 1 lit. a RODO – zgoda wyrażona w banerze cookies. Możesz ją wycofać w każdej chwili, korzystając z odnośnika „Ustawienia cookies” w stopce Serwisu.
  • Okres przechowywania: dane w Google Analytics przechowujemy przez 14 miesięcy (ustawienie usługi).
  • Szczegóły: zob. Polityka plików cookies.

Statystyki własne. Na naszym serwerze rejestrujemy wyświetlenia podstron i kolejne etapy zakupu (wyświetlenie strony z Biletami, rozpoczęcie Zamówienia, podanie danych dostawy, przejście do płatności, opłacenie Zamówienia) wraz z odwiedzaną podstroną, wersją językową, źródłem wejścia (domena strony odsyłającej, parametry UTM) i rodzajem urządzenia, bez cookies i bez adresu IP. Etapy zakupu od rozpoczęcia Zamówienia zapisujemy z numerem Zamówienia. Losowy identyfikator karty przeglądarki dodajemy tylko po wyrażeniu zgody na cookies analityczne (zob. Polityka plików cookies, pkt 6). Wyniki analizujemy w formie zbiorczej, aby ulepszać Sklep. Nie udostępniamy tych danych innym podmiotom poza dostawcą hostingu.

  • Podstawa prawna: art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes w ulepszaniu Serwisu i procesu zakupu.
  • Okres przechowywania: [DO UZUPEŁNIENIA].

5.11. Ustalenie, dochodzenie i obrona roszczeń

  • Dane: dane niezbędne do wykazania przebiegu Zamówienia, wykonania Umowy i korespondencji.
  • Podstawa prawna: art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes w ustaleniu, dochodzeniu lub obronie roszczeń.
  • Okres przechowywania: do upływu terminu przedawnienia roszczeń – co do zasady 6 lat; termin przedawnienia kończy się z ostatnim dniem roku kalendarzowego.

5.12. Fotografie z Wydarzeń

W Serwisie publikujemy fotografie z poprzednich edycji festiwalu. Mogą one przedstawiać wizerunek uczestników, zazwyczaj jako element większej całości, np. publiczności.

  • Podstawa prawna: art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes w dokumentowaniu i promowaniu festiwalu; w zakresie rozpowszechniania wizerunku – przepisy ustawy o prawie autorskim i prawach pokrewnych.
  • Twoje możliwości: jeżeli nie chcesz, aby fotografia z Twoim wizerunkiem była dostępna w Serwisie, napisz do nas. Rozpatrzymy Twój sprzeciw i – jeżeli jest uzasadniony – usuniemy fotografię.
  • Okres przechowywania: dopóki fotografia jest publikowana w Serwisie albo do uwzględnienia sprzeciwu.

6. Czy musisz podać dane?

  • Podanie danych w Zamówieniu jest dobrowolne, ale niezbędne do zawarcia i wykonania Umowy – bez nich nie możemy sprzedać Ci Biletów, wystawić imiennych Biletów ani dostarczyć Kostek.
  • Okazanie dokumentu tożsamości przy wejściu jest warunkiem wejścia na Wydarzenie (§ 14 Regulaminu).
  • Zapis na Newsletter i zgoda na cookies analityczne są całkowicie dobrowolne. Ich brak nie wpływa na możliwość zakupu Biletów ani korzystania z Serwisu.
  • Podanie danych w korespondencji jest dobrowolne, ale bez adresu e-mail nie będziemy mogli Ci odpowiedzieć.

7. Komu przekazujemy dane

Przekazujemy dane tylko wtedy, gdy jest to niezbędne do realizacji opisanych celów:

  1. Dostawca hostingu – [DO UZUPEŁNIENIA: nazwa dostawcy serwera VPS i lokalizacja serwerów] – utrzymuje serwer, na którym działa Serwis; przetwarza dane w naszym imieniu jako podmiot przetwarzający.
  2. Dostawca usług poczty elektronicznej – [DO UZUPEŁNIENIA] – obsługuje wysyłkę i odbiór wiadomości e-mail; przetwarza dane w naszym imieniu jako podmiot przetwarzający.
  3. ING Bank Śląski S.A. – obsługa płatności w ramach ING Pay; otrzymuje dane niezbędne do realizacji płatności.
  4. InPost sp. z o.o. – doręczanie przesyłek z Kostkami; otrzymuje dane niezbędne do nadania i doręczenia przesyłki, w szczególności imię i nazwisko, numer telefonu, adres e-mail i kod Paczkomatu. Mapa Paczkomatów w formularzu Zamówienia jest ładowana z serwerów InPost, który może przy tym otrzymać Twój adres IP i dane techniczne przeglądarki.
  5. Google Ireland Limited – Google Analytics 4, wyłącznie po wyrażeniu przez Ciebie zgody; podmiot przetwarzający.
  6. Upoważnione osoby z naszego zespołu – pracownicy i współpracownicy (np. obsługa Zamówień, obsługa wejścia na Wydarzenie), którzy mają dostęp do danych tylko w niezbędnym zakresie, na podstawie upoważnienia i z obowiązkiem zachowania poufności.
  7. Podmioty świadczące nam usługi księgowe lub prawne – [DO UZUPEŁNIENIA, jeżeli dotyczy].
  8. Organy publiczne – gdy obowiązek przekazania danych wynika z przepisów prawa.

Nie sprzedajemy danych osobowych.

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

W związku z korzystaniem z Google Analytics dane mogą być przekazywane do Google LLC w Stanach Zjednoczonych. Podstawą przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony danych w ramach EU-US Data Privacy Framework (decyzja wykonawcza Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r.), obejmująca podmioty certyfikowane w tym programie, w tym Google LLC.

Poza tym nie przekazujemy danych poza Europejski Obszar Gospodarczy [DO UZUPEŁNIENIA: potwierdzić po ustaleniu lokalizacji serwera i poczty].

9. Jak długo przechowujemy dane – zasady ogólne

Okresy przechowywania wskazaliśmy w pkt 5 przy poszczególnych celach. Jeżeli te same dane przetwarzamy w kilku celach, przechowujemy je do upływu najdłuższego z tych okresów. Po ich upływie dane usuwamy lub anonimizujemy.

10. Twoje prawa

Masz prawo do:

  • dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO);
  • sprostowania danych (art. 16 RODO);
  • usunięcia danych (art. 17 RODO);
  • ograniczenia przetwarzania (art. 18 RODO);
  • przenoszenia danych, które przetwarzamy w sposób zautomatyzowany na podstawie zgody lub umowy (art. 20 RODO);
  • wniesienia sprzeciwu (art. 21 RODO) – zob. pkt 11;
  • wycofania zgody w dowolnym momencie (art. 7 ust. 3 RODO), bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Niektóre z tych praw nie mają zastosowania w każdej sytuacji – na przykład nie możemy usunąć danych, które musimy przechowywać na podstawie przepisów podatkowych.

Aby skorzystać ze swoich praw, napisz na adres biuro@labiryntfestiwal.pl. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania; w uzasadnionych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Cię poinformujemy. Możemy poprosić o informacje potrzebne do potwierdzenia Twojej tożsamości.

Masz także prawo wnieść skargę do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem.

11. Prawo sprzeciwu

Masz prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) – z przyczyn związanych z Twoją szczególną sytuacją. Po wniesieniu sprzeciwu przestaniemy przetwarzać dane w tym celu, chyba że wykażemy istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec Twoich interesów, praw i wolności, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.

Newsletter wysyłamy wyłącznie na podstawie zgody – aby przestać go otrzymywać, wystarczy ją wycofać.

12. Zautomatyzowane podejmowanie decyzji i profilowanie

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO).

Sklep automatycznie sprawdza poprawność danych w formularzu (np. zgodność kodu pocztowego z miejscowością, dostępność Paczkomatu) i automatycznie kończy Rezerwację po 15 minutach – są to techniczne elementy procesu zakupu.

Google Analytics – wyłącznie po wyrażeniu zgody – automatycznie analizuje sposób korzystania z Serwisu w celach statystycznych, co może stanowić profilowanie w ograniczonym zakresie. Nie wykorzystujemy tych informacji do reklamy ani do podejmowania decyzji wobec konkretnych osób.

13. Pliki cookies

Zasady korzystania z plików cookies i podobnych technologii opisujemy w Polityce plików cookies.

14. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

  • szyfrowane połączenie (HTTPS) w całym Serwisie;
  • dostęp do danych wyłącznie dla upoważnionych osób, z indywidualnymi kontami i uprawnieniami ograniczonymi do zakresu ich obowiązków;
  • bezpieczne przechowywanie haseł do panelu administracyjnego (w postaci skrótów kryptograficznych) i ograniczanie liczby prób logowania;
  • rejestrowanie czynności wykonywanych w panelu administracyjnym;
  • regularne kopie zapasowe;
  • kody QR na Biletach zabezpieczone podpisem kryptograficznym;
  • realizację płatności na stronie Operatora płatności, bez przekazywania nam danych kart płatniczych.

15. Zmiany Polityki

Możemy aktualizować tę Politykę, np. w razie zmiany przepisów, zakresu usług lub dostawców, z których korzystamy. Aktualna wersja jest zawsze dostępna w Serwisie i jest oznaczona numerem wersji oraz datą. O istotnych zmianach poinformujemy w Serwisie, a osoby, z którymi łączy nas umowa lub które zapisały się na Newsletter – także e-mailem, jeżeli zmiana ich dotyczy.