Polityka prywatności

Obowiązuje od 4 września 2026 r.

Przetwarzamy tylko dane potrzebne do prowadzenia konta, przygotowania wyceny, wykonania i dostarczenia wydruku oraz zapewnienia bezpieczeństwa usługi. Pliki 3D są prywatne — nie publikujemy ich, nie sprzedajemy i nie używamy do trenowania modeli ani własnego katalogu.

1. Administrator danych

Administratorem danych osobowych jest DCRA sp. z o.o. z siedzibą w Lublinie, ul. Mełgiewska 74/7, 20-234 Lublin, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000718408, NIP 9462678787, REGON 369479181, prowadząca usługę LayersFactory.

W sprawach dotyczących prywatności i realizacji praw można skontaktować się pod adresem [email protected] albo korespondencyjnie na adres siedziby z dopiskiem „RODO”. Zapytania przed zamówieniem, w tym wiadomości i pliki przesyłane w celu wyceny, trafiają na [email protected].

2. Jakie dane przetwarzamy

• Dane konta i tożsamości: imię, nazwisko, adres e-mail, identyfikator użytkownika, dane uwierzytelniające — hasło przechowujemy wyłącznie w postaci skrótu kryptograficznego — oraz, przy logowaniu SSO dostępnym wyłącznie dla uprawnionych użytkowników wewnętrznych DCRA, identyfikator i dane tożsamości przekazane przez system tożsamości.
• Dane zamówienia: wybrane parametry druku, wycena, historia statusów, treść uzgodnień, numer zamówienia i informacje potrzebne do obsługi reklamacji.
• Dane dostawy i rozliczeń: odbiorca, adres, telefon, dane do faktury oraz informacja o stanie i identyfikatorze płatności. Pełne dane karty płatniczej obsługuje operator płatności, a nie LayersFactory.
• Pliki 3D i dane techniczne: przesłany model, nazwa i metadane pliku, wynik analizy, miniatury, parametry technologiczne oraz robocze kopie potrzebne do druku.
• Dane techniczne i bezpieczeństwa: adres IP, identyfikatory sesji, typ urządzenia i przeglądarki, czas operacji, logi błędów oraz zdarzenia związane z bezpieczeństwem.
• Korespondencja: wiadomości, zgłoszenia, reklamacje, żądania dotyczące danych oraz zgłoszenia potencjalnego naruszenia praw do pliku.
• Opinie o zamówieniu: ocena oraz dobrowolny komentarz powiązane z kontem i zamówieniem. Nie publikujemy ich bez odrębnej, dobrowolnej zgody.
• Dane przesłane przez publiczny formularz wyceny: imię i nazwisko, adres e-mail, treść zapytania oraz dobrowolnie dołączone modele 3D i pliki referencyjne.

3. Cele i podstawy prawne

• Odpowiedź na zapytanie z formularza, założenie i obsługa konta, przygotowanie wyceny, przyjęcie płatności, wykonanie wydruku, dostawa i obsługa reklamacji — działania na żądanie osoby przed zawarciem umowy oraz niezbędność do wykonania umowy (art. 6 ust. 1 lit. b RODO). Jeżeli wiadomość nie zmierza do zawarcia umowy, podstawą odpowiedzi i zachowania korespondencji jest nasz prawnie uzasadniony interes polegający na komunikacji i obronie przed roszczeniami (art. 6 ust. 1 lit. f RODO).
• Wystawianie i przechowywanie dokumentów księgowych, realizacja obowiązków podatkowych oraz udzielanie odpowiedzi uprawnionym organom — obowiązek prawny ciążący na administratorze (art. 6 ust. 1 lit. c RODO).
• Zapewnienie bezpieczeństwa, zapobieganie nadużyciom, diagnostyka błędów, doskonalenie usługi na podstawie opinii o zamówieniu, dochodzenie i obrona roszczeń, ustalenie historii uzgodnień oraz ochrona praw do plików — prawnie uzasadniony interes DCRA sp. z o.o. i użytkowników (art. 6 ust. 1 lit. f RODO).
• Wysyłanie informacji handlowych lub prowadzenie innych działań opcjonalnych — wyłącznie na podstawie odrębnej, dobrowolnej zgody, jeżeli taka funkcja zostanie uruchomiona (art. 6 ust. 1 lit. a RODO). Zgodę można wycofać w każdej chwili bez wpływu na wcześniejsze przetwarzanie.

4. Czy podanie danych jest obowiązkowe

Założenie konta i realizacja zamówienia wymagają podania danych oznaczonych jako obowiązkowe. Bez adresu e-mail nie utworzymy konta, a bez danych do dostawy lub rozliczenia nie wykonamy odpowiedniej części umowy. Pozostałe dane są dobrowolne. Nie wymagamy danych szczególnych kategorii, takich jak informacje o zdrowiu, poglądach lub pochodzeniu — prosimy nie umieszczać ich w plikach, nazwach plików ani wiadomościach.

Serwis nie jest kierowany do osób poniżej 18. roku życia. Konto i zamówienie we własnym imieniu może utworzyć wyłącznie osoba, która ukończyła 18 lat i ma pełną zdolność do czynności prawnych. Jeżeli dowiemy się, że wbrew tym zasadom otrzymaliśmy dane dziecka, zweryfikujemy sytuację i usuniemy dane, o ile nie istnieje podstawa prawna do ich dalszego przechowywania.

5. Skąd otrzymujemy dane

Większość danych otrzymujemy bezpośrednio od użytkownika. Publiczny użytkownik może utworzyć konto i logować się adresem e-mail oraz hasłem. Uprawnieni użytkownicy DCRA mogą korzystać z wewnętrznego SSO przez system Keycloak prowadzony przez DCRA pod adresem keycloak.3dcra.cloud; otrzymujemy wtedy identyfikator konta i dane tożsamości wskazane przed zalogowaniem. Zewnętrzne metody logowania, takie jak Google lub GitHub, nie są obecnie aktywne. Przed ich uruchomieniem zaktualizujemy Politykę, wskażemy dostawcę, zakres otrzymywanych danych, odbiorców i ewentualne transfery poza EOG. Dane techniczne powstają podczas korzystania z serwisu i analizy pliku, a operator płatności i przewoźnik mogą przekazać nam status płatności albo dostawy.

6. Komu możemy ujawnić dane

• Dostawcom hostingu, przechowywania plików, kopii zapasowych, poczty elektronicznej, monitoringu i utrzymania systemu — wyłącznie w zakresie potrzebnym do świadczenia usługi.
• Operatorowi płatności Stripe lub innemu operatorowi wskazanemu przed zapłatą oraz bankom uczestniczącym w rozliczeniu.
• Przewoźnikom i operatorom punktów odbioru wybranym do dostarczenia zamówienia.
• Księgowości, doradcom prawnym i ubezpieczycielom, gdy jest to potrzebne do wykonania obowiązku lub ochrony roszczeń.
• Sądom, organom ścigania, organom podatkowym i innym uprawnionym instytucjom, gdy ujawnienie wynika z prawa. Dane klienta nie są przekazywane osobie zgłaszającej prawa do modelu bez odpowiedniej podstawy prawnej.

7. Przekazywanie danych poza EOG

Niektórzy dostawcy infrastruktury, płatności lub innych usług mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. W takim przypadku stosujemy podstawę przewidzianą w RODO, w szczególności decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony albo standardowe klauzule umowne wraz z wymaganymi zabezpieczeniami. Prowadzone przez DCRA systemy Keycloak i Plausible nie powodują same przez się przekazania danych zewnętrznym operatorom tych usług w modelu SaaS. Informację o właściwym mechanizmie i jego kopię można uzyskać, kontaktując się w sprawie prywatności.

8. Jak długo przechowujemy dane

• Dane konta — przez czas jego aktywności, a po zamknięciu tylko w zakresie potrzebnym do rozliczenia umów, wykonania obowiązków prawnych i obrony przed roszczeniami.
• Dane zamówień, płatności, reklamacji i dokumenty księgowe — przez okres realizacji umowy, a następnie przez okres wymagany przepisami podatkowymi i rachunkowymi oraz do upływu właściwych terminów przedawnienia roszczeń.
• Ocena i komentarz o zamówieniu — razem z danymi danego zamówienia, nie dłużej niż do upływu właściwego terminu przedawnienia roszczeń, chyba że użytkownik wcześniej skutecznie sprzeciwi się dalszemu wykorzystaniu komentarza do doskonalenia usługi.
• Pliki 3D, miniatury i kopie robocze przesłane w panelu i niepowiązane z przyjętym zamówieniem — do daty usunięcia pokazanej przy modelu, co do zasady nie dłużej niż 7 dni od przesłania. Modele 3D i pliki referencyjne przesłane przez publiczny formularz wyceny lub na [email protected] usuwamy nie później niż 7 dni od otrzymania wiadomości, chyba że zapytanie doprowadzi do przyjęcia zamówienia. Plik powiązany z przyjętym zamówieniem może zostać zarchiwizowany przez czas produkcji, dostawy, reklamacji, obowiązku prawnego lub zabezpieczenia roszczeń.
• Treść zapytania przesłanego przez formularz lub zwykłą pocztę elektroniczną, po oddzieleniu załączonych modeli 3D i plików referencyjnych — przez czas potrzebny do odpowiedzi i dalszych uzgodnień, a następnie do upływu właściwego terminu przedawnienia roszczeń albo krócej, jeżeli wiadomość nie wymaga dalszego przechowywania.
• Kopie zapasowe bazy danych, które mogą zawierać dane kont, zamówień i metadane plików — maksymalnie przez 30 dni zgodnie z aktualnym cyklem rotacji. Kopii używamy wyłącznie do odtworzenia systemu po awarii, a nie do przywracania danych usuniętych w zwykłym toku korzystania z serwisu; po odtworzeniu ponownie stosujemy obowiązujące terminy usuwania.
• Magazyn obiektowy używany dla modeli nie przechowuje poprzednich wersji usuniętego obiektu. Po wykonaniu zaplanowanego usunięcia nie zachowujemy w nim osobnej wersji pliku; tymczasowe obiekty techniczne, które osiągnęły wiek 7 dni, są dodatkowo usuwane w cotygodniowym cyklu porządkowym.
• Logi kontenerów ze wszystkich przestrzeni klastra przesyłane do centralnego systemu, w tym logi aplikacji, ingressu, bazy danych oraz komponentów Cilium i Hubble, a także zdarzenia Kubernetes i logi audytowe — maksymalnie przez 1 miesiąc. Nie archiwizujemy w tym systemie pełnego strumienia przepływów sieciowych Hubble. Lokalne rotacyjne pliki logów na węzłach nie stanowią osobnego archiwum i mogą zostać usunięte wcześniej w wyniku rotacji technicznej. Wyodrębnione informacje potrzebne do wyjaśnienia konkretnego incydentu, obrony przed nadużyciem lub roszczeniem możemy przechowywać dłużej, lecz tylko do zakończenia sprawy i upływu właściwego terminu przedawnienia.
• Dane przetwarzane na podstawie zgody — do jej wycofania lub do ustania celu, dla którego została udzielona.

9. Prawa osoby, której dane dotyczą

Żądanie można wysłać na [email protected] lub na adres siedziby. Dla ochrony danych możemy poprosić o potwierdzenie tożsamości. Ograniczenia poszczególnych praw wynikają bezpośrednio z RODO, na przykład gdy dane są nadal potrzebne do wykonania obowiązku prawnego albo obrony roszczeń.

• Dostęp do danych i otrzymanie ich kopii, sprostowanie danych oraz — w przypadkach przewidzianych prawem — usunięcie lub ograniczenie przetwarzania.
• Przeniesienie danych dostarczonych administratorowi, gdy przetwarzanie jest zautomatyzowane i opiera się na zgodzie lub umowie.
• Sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie z przyczyn związanych ze szczególną sytuacją użytkownika. W przypadku marketingu bezpośredniego sprzeciw jest bezwarunkowy.
• Wycofanie zgody w dowolnym momencie, jeżeli przetwarzanie opiera się na zgodzie.

10. Skarga do organu nadzorczego

Jeżeli użytkownik uważa, że jego dane są przetwarzane niezgodnie z prawem, może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, albo do organu nadzorczego właściwego dla miejsca zamieszkania lub pracy. Zachęcamy również do wcześniejszego kontaktu z nami, abyśmy mogli wyjaśnić sprawę.

11. Automatyczna analiza pliku i wycena

System automatycznie analizuje techniczne cechy modelu i może na ich podstawie obliczyć orientacyjną lub ostateczną cenę. Nie wykorzystujemy tej analizy do oceny osoby ani profilowania jej zachowania. Sam wynik analizy nie wywołuje skutków prawnych podobnych do decyzji, o której mowa w art. 22 RODO: użytkownik sam decyduje, czy zaakceptować ofertę, a w razie błędu lub nietypowego modelu może poprosić o weryfikację przez człowieka.

12. Prywatność plików 3D

Plik jest używany tylko do analizy technicznej, wyceny, przygotowania produkcji, wykonania zamówienia, reklamacji, zapewnienia bezpieczeństwa oraz wykonania obowiązków prawnych. Nie tworzymy publicznej biblioteki plików. Bez osobnej, dobrowolnej zgody nie publikujemy modelu, nie sprzedajemy go, nie wykorzystujemy do reklamy, własnej produkcji, katalogu ani trenowania systemów uczenia maszynowego.

Użytkownik powinien przesyłać tylko dane potrzebne do wydruku i usunąć z modelu, nazwy pliku oraz metadanych zbędne dane osobowe innych osób.

13. Pliki cookie i pamięć przeglądarki

Poniższa tabela opisuje mechanizmy faktycznie używane przez serwis. Są to mechanizmy pierwszej strony konieczne do logowania i działania funkcji żądanych przez użytkownika albo zapisujące dokonany przez niego wybór. Mechanizmy oznaczone jako „wewnętrzne SSO DCRA” uruchamiają się wyłącznie podczas logowania SSO uprawnionych użytkowników wewnętrznych DCRA i nie są ustawiane podczas zwykłego korzystania z serwisu ani logowania adresem e-mail i hasłem. Nie używamy reklamowych ani marketingowych plików cookie. Dostęp do informacji zapisanej w urządzeniu odbywa się zgodnie z art. 399 Prawa komunikacji elektronicznej.

Serwis nie zapisuje w przeglądarce tokenu odświeżającego ani drugiego cookie przedłużającego sesję LayersFactory. Cookie lf_access wygasa najpóźniej po 1 godzinie i nie jest automatycznie odnawiane; po jego wygaśnięciu użytkownik musi ponownie rozpocząć logowanie.

Tabela obejmuje mechanizmy domen LayersFactory oraz keycloak.3dcra.cloud. Keycloak jest prowadzony przez DCRA i w jego domenie obowiązuje ta sama Polityka prywatności. Po dobrowolnym przejściu do zewnętrznego Stripe Checkout operator płatności może zapisywać własne cookies zgodnie ze swoją informacją o prywatności; LayersFactory nie ma dostępu do cookies zapisanych wyłącznie w domenie Stripe.

Do pomiaru działania serwisu korzystamy z Plausible Community Edition hostowanej przez DCRA sp. z o.o. pod adresem plausible.3dcra.eu. Dane nie są wysyłane do Plausible Analytics jako zewnętrznej usługi SaaS; dostęp mogą mieć wyłącznie podmioty utrzymujące naszą infrastrukturę w zakresie opisanym w sekcji 6. Rejestrujemy zagregowane odsłony wraz z odwiedzanym adresem URL, akcje interfejsu, kody błędów API oraz kategorie wyjątków przeglądarki. Adres URL może zawierać techniczny identyfikator modelu lub wyceny oraz parametry zapytania. Nie przekazujemy w tych zdarzeniach identyfikatora konta, adresu e-mail, nazwy pliku, treści odpowiedzi API, komunikatu wyjątku ani stosu wywołań. Plausible nie ustawia analitycznych plików cookie ani nie używa pamięci przeglądarki do śledzenia użytkownika między witrynami. Podstawą przetwarzania jest nasz prawnie uzasadniony interes polegający na wykrywaniu błędów i ulepszaniu serwisu (art. 6 ust. 1 lit. f RODO); użytkownik może wnieść sprzeciw na zasadach opisanych w sekcji 9.

Użytkownik może usuwać i blokować cookies oraz dane localStorage w ustawieniach przeglądarki. Zablokowanie mechanizmów niezbędnych może uniemożliwić logowanie, zachowanie ustawień albo prawidłowe działanie panelu. Jeżeli w przyszłości dodamy mechanizmy analityczne, reklamowe lub inne opcjonalne mechanizmy wymagające zgody, uruchomimy je dopiero po uzyskaniu właściwej zgody i zaktualizujemy tę tabelę.

14. Bezpieczeństwo i zmiany polityki

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym kontrolę dostępu, szyfrowane połączenia, kopie zapasowe, rejestrowanie zdarzeń i ograniczanie dostępu do plików do osób, które potrzebują go do realizacji zadania. Domeny 3dcra.cloud i 3dcra.eu należą do DCRA sp. z o.o. System tożsamości Keycloak pod adresem keycloak.3dcra.cloud i system analityczny Plausible Community Edition pod adresem plausible.3dcra.eu są prowadzone przez DCRA; nie są zewnętrznymi usługami SaaS ani odrębnymi odbiorcami danych. Żadna usługa internetowa nie daje jednak gwarancji całkowitego braku ryzyka.

Politykę możemy aktualizować po zmianie funkcji, dostawców lub prawa. Nowa wersja będzie opublikowana z datą aktualizacji. O zmianach istotnie wpływających na sposób wykorzystania danych poinformujemy w panelu lub wiadomością e-mail, jeżeli prawo będzie tego wymagać.

15. Wersje językowe

Polityka jest dostępna po polsku i angielsku. W razie rozbieżności interpretacyjnych rozstrzygająca jest wersja polska, z zastrzeżeniem bezwzględnie obowiązujących praw osoby, której dane dotyczą.