1. Kto odpowiada za serwis i dane?
Operatorem BravoBus.pl i administratorem danych jest Bustrade sp. z o.o. W sprawach konta i prywatności napisz na kontakt@bravobus.pl lub zadzwoń pod numer 500 600 711.
2. Dane konta, profilu i ogłoszeń
Przy rejestracji e-mailem zapisujemy adres e-mail, zabezpieczony skrót hasła, status konta, datę i wersję zaakceptowanego regulaminu oraz informacje o utworzeniu konta i ostatnim logowaniu. Nie przechowujemy hasła w postaci jawnej.
Profil sprzedawcy może zawierać nazwę firmy lub sprzedawcy, osobę kontaktową, telefon, WhatsApp, e-mail, stronę WWW, adres, kod pocztowy, miejscowość, województwo, opis i adres publicznego profilu. Zakres zależy od danych podanych przez użytkownika. Nazwa oraz udostępnione dane kontaktowe i informacje profilu mogą być widoczne dla odwiedzających.
W ofertach zapisujemy opis i parametry pojazdu, cenę, walutę i stawkę VAT, lokalizację, dane kontaktowe, zdjęcia lub filmy, identyfikator właściciela i numer oferty, status i daty publikacji oraz historię działań dotyczących oferty. Opublikowane oferty są przeznaczone do publicznego przeglądania. Nie zamieszczaj w opisie ani mediach danych, których nie chcesz ujawnić.
3. Logowanie przez Google i Facebook
Logowanie społecznościowe jest dobrowolne i zależy od dostępności danego providera. Możesz korzystać z logowania e-mailem i hasłem.
Google: prosimy o zakresy openid, email i profile. Odczytujemy identyfikator konta Google (sub), adres e-mail, informację o jego potwierdzeniu i imię lub nazwę zwróconą przez Google.
Facebook: prosimy o public_profile i email. Odczytujemy identyfikator użytkownika Facebook, nazwę i e-mail, jeżeli Facebook go udostępni. Gdy e-mail nie zostanie przekazany, serwis prosi o jego podanie. Nie uzyskujemy dostępu do postów, listy znajomych, stron ani wiadomości Facebook.
Dane OAuth służą do utworzenia konta, logowania i świadomego powiązania metod logowania. Zapisujemy providera, jego identyfikator, e-mail i informację o potwierdzeniu e-maila. Przy tworzeniu nowego konta imię lub nazwa może wstępnie uzupełnić nazwę sprzedawcy i osobę kontaktową; można je zmienić w „Moje dane”. Nie pobieramy zdjęcia profilowego do profilu sprzedawcy. Nie wykorzystujemy danych OAuth do reklamy.
Sam zgodny e-mail nie powoduje automatycznego połączenia kont. Istniejący użytkownik loguje się dotychczasową metodą i wybiera połączenie w „Moje dane → Logowanie i bezpieczeństwo”. Konta z hasłem wymagają jego potwierdzenia. System nie przenosi tożsamości Google lub Facebook przypisanej do innego konta BravoBus.
Tokeny dostępu są używane podczas wymiany logowania; aplikacja nie zapisuje ich długoterminowo w bazie, profilu ani sesji. Dane tymczasowego przebiegu logowania są związane z sesją i mają ograniczoną ważność. Google i Meta przetwarzają dane w swoich usługach według własnych zasad; logowanie przekierowuje do ich serwisów.
4. Sesje, cookies i bezpieczeństwo
Serwis używa niezbędnego cookie sesyjnego bb2clean (na becie bb2beta). Służy ono do utrzymania sesji, zabezpieczenia formularzy oraz przebiegu logowania. Cookie jest przypisane do danego hosta, przesyłane przez HTTPS i niedostępne dla skryptów strony; korzysta z ustawienia SameSite=Lax. Jest cookie sesyjnym, bez zadanej trwałej daty ważności. Przywracanie sesji zależy także od ustawień przeglądarki.
Stosujemy tokeny formularzy, jednorazowe stany OAuth, potwierdzenie hasła przy łączeniu kont i ograniczenie liczby prób. Odzyskiwanie hasła wykorzystuje ograniczony czasowo, jednorazowy link; w bazie przechowywany jest skrót tokenu. Działania administracyjne i zmiany statusów ofert mogą być odnotowywane dla bezpieczeństwa i obsługi serwisu.
Wersja aplikacyjna PWA może przechowywać w przeglądarce pliki interfejsu, ikony i stronę offline. Strony logowania, konta i OAuth są pobierane z sieci i nie trafiają do cache PWA. Nie dodajemy reklamowych cookies ani odrębnego cookie analitycznego. Linki lub materiały zewnętrzne mogą łączyć przeglądarkę z innym serwisem, który stosuje własne zasady.
Własne statystyki ruchu: zliczamy publiczne odsłony i kliknięcia kontaktowe, aby oceniać działanie serwisu. Nie zapisujemy w analytics adresów IP, pełnego user-agenta, treści formularzy, wiadomości ani pełnych adresów odsyłających. Dzienny identyfikator szacunkowy powstaje jako skrót z ograniczonego prefiksu sieci i kontekstu przeglądarki, zabezpieczony codziennie zmienianym kluczem. Nie łączymy go z kontem. Zapis obejmuje typ i czas zdarzenia, publiczną ścieżkę bez parametrów, identyfikator oferty lub profilu, ogólną kategorię źródła i krótkie, zweryfikowane oznaczenia kampanii UTM. Boty, beta i zalogowani administratorzy są wykluczani. Szczegółowe dane są dostępne wyłącznie administratorowi. Docelowa retencja zdarzeń wynosi 13 miesięcy; usuwanie starszych wpisów uruchamia operator narzędziem serwisowym. Zbiorcze liczniki bez identyfikatorów odwiedzających mogą być przechowywane dłużej.
5. Dlaczego i komu udostępniane są dane?
Dane służą obsłudze konta, publikacji ofert, umożliwieniu kontaktu ze sprzedawcą, obsłudze zgłoszeń i ochronie serwisu. Podanie danych wymaganych w formularzu jest potrzebne do realizacji danej funkcji. Publiczne informacje oferty i profilu są dostępne dla odwiedzających. Obsługa techniczna obejmuje hosting serwisu i wysyłkę wiadomości związanych z kontem; dane logowania społecznościowego są wymieniane z wybranym providerem.
6. Przechowywanie, poprawianie i usuwanie
Dane konta i jego powiązania są przechowywane w systemie podczas obsługi konta. Aplikacja nie ustala jednego automatycznego terminu usunięcia wszystkich danych. Ukrycie, oznaczenie jako sprzedane lub usunięcie oferty w panelu nie jest równoznaczne z trwałym usunięciem wszystkich zapisów w bazie i kopiach zapasowych.
Dane profilu możesz poprawić w „Moje dane”. W sprawie dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu lub przeniesienia danych skontaktuj się z administratorem. Zakres uprawnień zależy od sytuacji i właściwych przepisów. Możesz również złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.
Instrukcja zgłoszenia żądania usunięcia konta i powiązań Google/Facebook znajduje się na stronie Usuwanie konta i danych. Nie przesyłaj haseł, kodów logowania ani tokenów. Możemy poprosić o bezpieczne potwierdzenie, że żądanie dotyczy Twojego konta.