Data wejścia w życie: 2 września 2026 r.
Wersja: 2026-09-02
Niniejszy dokument realizuje obowiązki informacyjne wynikające w szczególności z art. 13 i 14 RODO oraz opisuje zasady korzystania z cookies i podobnych technologii.
Administratorem danych osobowych jest Blue Dragonflies sp. z o.o. z siedzibą w Gogolinie, adres: ul. Malińska 1, 47-320 Gogolin, Polska, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000896949, NIP 1990126320, REGON 388744895 (dalej: „Administrator” lub „my”).
W sprawach dotyczących danych osobowych można skontaktować się z nami pod adresem e-mail support@cacadi.pl albo pisemnie na adres wskazany powyżej.
Polityka opisuje przetwarzanie danych osobowych w związku z korzystaniem z serwisu Cacadi.pl oraz, jeżeli jest dostępna, aplikacji mobilnej Cacadi (łącznie: „Serwis”), w tym z prowadzeniem Konta, śledzeniem transakcji afiliacyjnych, przyznawaniem i wypłatą Cashbacku, obsługą reklamacji, bezpieczeństwem, analityką i marketingiem.
Pojęcia „Konto”, „Partner”, „Transakcja” i „Cashback” mają znaczenie określone w Regulaminie Serwisu. Polityka nie zastępuje informacji o przetwarzaniu danych przekazywanych przez Partnerów, banki, dostawców logowania lub inne podmioty działające jako odrębni administratorzy.
Możemy przetwarzać: dane Konta i kontaktowe (np. adres e-mail, identyfikator Konta, imię i nazwisko – jeśli jest potrzebne); dane uwierzytelniające i informacje o logowaniu; dane transakcyjne i afiliacyjne (np. identyfikator kliknięcia, Partner, identyfikator zamówienia lub jego skrócona wartość, data, wartość i status Transakcji, stawka i kwota Cashbacku, informacja o zwrocie lub anulowaniu); dane do wypłaty (np. imię i nazwisko, numer rachunku bankowego, dane wymagane przez wybraną metodę wypłaty); treść korespondencji, reklamacji i załączniki; dane o zgodach i preferencjach; oraz dane techniczne i o korzystaniu z Serwisu (np. adres IP, identyfikatory sesji i urządzenia, typ urządzenia, system, przeglądarka, znaczniki czasu, logi bezpieczeństwa, zdarzenia w Serwisie).
Dane otrzymujemy bezpośrednio od Użytkownika, automatycznie z urządzenia i Serwisu, a także od Partnerów, sieci afiliacyjnych, dostawców logowania i podmiotów obsługujących wypłaty – w zakresie niezbędnym do powiązania Transakcji, rozliczenia Cashbacku, uwierzytelnienia lub obsługi płatności.
Jeżeli dane otrzymujemy od Partnera lub sieci afiliacyjnej, mogą one obejmować w szczególności identyfikator kliknięcia lub Transakcji, datę, wartość, kategorię zakupionego produktu, status zamówienia, informację o zwrocie lub anulowaniu oraz należnej prowizji. Co do zasady nie potrzebujemy pełnej listy zakupionych produktów ani danych szczególnych kategorii. Partner powinien ograniczyć przekazywane dane do niezbędnego zakresu.
Podanie danych oznaczonych jako wymagane do rejestracji lub wykonania umowy jest konieczne do założenia Konta lub skorzystania z danej funkcji. Niepodanie danych do wypłaty uniemożliwi wypłatę Cashbacku. Pozostałe dane są dobrowolne; konsekwencję ich niepodania wskazujemy przy ich pozyskiwaniu.
Poniżej wskazujemy podstawowe procesy przetwarzania danych.
| Cel | Podstawa prawna | Okres lub kryterium retencji |
|---|---|---|
| Założenie i prowadzenie Konta, uwierzytelnienie, udostępnianie funkcji | art. 6 ust. 1 lit. b RODO – wykonanie umowy | przez czas trwania umowy; następnie dane niezbędne do obrony roszczeń do upływu właściwego terminu przedawnienia |
| Rejestrowanie, weryfikacja i rozliczenie Transakcji oraz Cashbacku; wypłata | art. 6 ust. 1 lit. b RODO; art. 6 ust. 1 lit. c RODO w zakresie obowiązków rachunkowych i podatkowych | do zakończenia rozliczenia, a dokumentacja wymagana prawem – przez okres wynikający z przepisów podatkowych i rachunkowych, liczony zgodnie z tymi przepisami |
| Obsługa zapytań i reklamacji | art. 6 ust. 1 lit. b RODO, a przed zawarciem umowy – działania na żądanie Użytkownika; art. 6 ust. 1 lit. f RODO – dokumentowanie obsługi i obrona roszczeń | do zakończenia sprawy, a następnie do upływu właściwego terminu przedawnienia roszczeń |
| Bezpieczeństwo, zapobieganie oszustwom i nadużyciom, logi techniczne | art. 6 ust. 1 lit. f RODO – ochrona Użytkowników, Serwisu, majątku i roszczeń | przez okres niezbędny do zapewnienia bezpieczeństwa i wyjaśnienia zdarzenia, a dane dotyczące incydentu – do jego wyjaśnienia i upływu właściwego terminu roszczeń |
| Spełnianie obowiązków prawnych, żądań organów i rozliczeń | art. 6 ust. 1 lit. c RODO | przez okres wskazany w przepisach właściwych dla danego obowiązku |
| Ustalenie, dochodzenie lub obrona roszczeń | art. 6 ust. 1 lit. f RODO – ochrona praw Administratora | do upływu właściwego terminu przedawnienia, a w razie sporu – do jego prawomocnego zakończenia i wykonania rozstrzygnięcia |
| Wysyłanie komunikatów marketingowych drogą elektroniczną lub przy użyciu automatycznych systemów | art. 6 ust. 1 lit. a RODO – zgoda, jeżeli jest właściwą podstawą przetwarzania; dodatkowo zgoda wymagana przez Prawo komunikacji elektronicznej | do wycofania zgody lub skutecznego sprzeciwu; dowód zgody – do czasu upływu terminu roszczeń lub kontroli |
| Analityka, personalizacja i marketing z użyciem opcjonalnych cookies/SDK | art. 6 ust. 1 lit. a RODO – zgoda oraz zgoda na przechowywanie lub dostęp do informacji w urządzeniu, gdy jest wymagana | do wycofania zgody, nie dłużej niż okres wskazany dla danej technologii w wykazie cookies/SDK |
Jeżeli podstawą jest prawnie uzasadniony interes, przed rozpoczęciem procesu oceniamy jego niezbędność oraz wpływ na prawa i wolności Użytkowników. Użytkownik może wnieść sprzeciw na zasadach opisanych w pkt 10.
Dane mogą otrzymywać podmioty, które wspierają nas w prowadzeniu Serwisu: dostawcy hostingu, chmury, baz danych, poczty elektronicznej, obsługi klienta, cyberbezpieczeństwa, utrzymania i rozwoju oprogramowania, analityki – jeżeli Użytkownik wyraził wymaganą zgodę – oraz doradcy prawni, podatkowi i księgowi. Podmioty przetwarzające działają na podstawie umowy i naszych udokumentowanych poleceń, jeżeli wymaga tego RODO.
W zakresie koniecznym do identyfikacji i weryfikacji Transakcji dane mogą otrzymywać Partnerzy i sieci afiliacyjne. Zależnie od modelu współpracy mogą działać jako nasi procesorzy, odrębni administratorzy albo – wyjątkowo – współadministratorzy. Jeżeli występuje współadministrowanie, przekażemy Użytkownikowi zasadniczą treść uzgodnień i informacje o wykonywaniu praw.
Dane niezbędne do wypłaty otrzymuje bank Administratora, bank odbiorcy oraz – jeżeli Użytkownik wybierze taką metodę – wskazany dostawca wypłat lub usług płatniczych. Podmioty te mogą działać jako odrębni administratorzy zgodnie z właściwymi przepisami.
Jeżeli Użytkownik wybiera logowanie zewnętrzne, dostawca logowania przekazuje nam dane wskazane na ekranie autoryzacji, a sam może otrzymać informację o użyciu logowania. Zakres zależy od ustawień Użytkownika i danego dostawcy.
Dane mogą zostać ujawnione organom publicznym lub innym uprawnionym podmiotom, gdy obowiązek lub uprawnienie do ujawnienia wynika z prawa. Aktualną informację o konkretnych odbiorcach danych dotyczących Użytkownika przekazujemy w ramach prawa dostępu, z uwzględnieniem ograniczeń przewidzianych prawem.
Niektórzy dostawcy mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Przed takim przekazaniem weryfikujemy właściwy mechanizm prawny i zakres transferu.
Transfer może odbywać się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony – w przypadku organizacji z USA także wtedy, gdy uczestniczy ona w EU–US Data Privacy Framework w zakresie objętym certyfikacją – albo na podstawie standardowych klauzul umownych Komisji Europejskiej wraz z dodatkowymi zabezpieczeniami, jeżeli są potrzebne.
Informację o państwie, odbiorcy i zastosowanym zabezpieczeniu oraz kopię odpowiednich zabezpieczeń lub sposób ich uzyskania można otrzymać, kontaktując się z nami pod adresem support@cacadi.pl.
Serwis korzysta z plików cookies i identyfikatorów niezbędnych do świadczenia żądanych usług, bezpieczeństwa, utrzymania sesji, logowania oraz obsługi programu poleceń. Aktualnie Serwis nie ustawia własnych opcjonalnych cookies analitycznych ani marketingowych. Jeżeli takie technologie zostaną wprowadzone, przed ich uruchomieniem zaktualizujemy poniższy wykaz i uzyskamy zgodę, gdy będzie wymagana.
Cookies można zablokować lub usunąć w ustawieniach przeglądarki. Zablokowanie cookies niezbędnych może uniemożliwić logowanie, utrzymanie sesji lub prawidłowe przypisanie polecenia. Ustawienia i uprawnienia aplikacji mobilnej można zmieniać w ustawieniach systemu urządzenia.
Przy aktywowaniu oferty Cashback może być potrzebny identyfikator afiliacyjny, aby Partner lub sieć afiliacyjna przypisali Transakcję do Cacadi. Przed aktywacją informujemy, czy dana technologia jest konieczna do działania wybranej funkcji i jaki jest skutek jej zablokowania. Sam brak zapisu technicznego nie odbiera prawa do złożenia reklamacji.
Po przejściu do Partnera mogą być używane technologie Partnera lub sieci afiliacyjnej na zasadach opisanych w ich własnych politykach prywatności i cookies.
| Nazwa | Cel | Podstawa | Czas działania |
|---|---|---|---|
| JSESSIONID | Utrzymanie sesji, ochrona formularzy i bezpieczeństwo Serwisu | technologia niezbędna; art. 6 ust. 1 lit. b i f RODO | do zakończenia sesji |
| auth | Utrzymanie zalogowania Użytkownika i uwierzytelnienie Konta | technologia niezbędna; art. 6 ust. 1 lit. b RODO | do 30 dni albo do wylogowania |
| ref | Zapamiętanie identyfikatora polecenia, gdy Użytkownik otworzy link polecający | realizacja funkcji polecenia wyraźnie żądanej przez Użytkownika; art. 6 ust. 1 lit. b RODO | 7 dni |
| testCookie | Jednorazowe sprawdzenie, czy przeglądarka obsługuje cookies przed przejściem do Partnera | technologia niezbędna do diagnostyki aktywowanej funkcji Cashbacku; art. 6 ust. 1 lit. b RODO | usuwane bezpośrednio po sprawdzeniu |
Jeżeli udostępniamy aplikację mobilną, może ona przetwarzać identyfikator instalacji, dane o wersji aplikacji i systemu, logi awarii oraz token powiadomień. Opcjonalne analityczne lub reklamowe identyfikatory urządzenia są wykorzystywane wyłącznie po spełnieniu wymagań prawnych i ustawień systemowych.
Powiadomienia push są wysyłane po udzieleniu odpowiedniego uprawnienia systemowego. Użytkownik może je wyłączyć w ustawieniach urządzenia; cofnięcie uprawnienia nie wpływa na prowadzenie Konta.
Jeżeli określona funkcja aplikacji wymaga uprawnienia systemowego, jego cel jest wyjaśniany przed udzieleniem dostępu. Odmowa lub cofnięcie uprawnienia może wyłączyć wyłącznie funkcję, która go wymaga.
Możemy analizować sposób korzystania z Serwisu i historię Transakcji w celu doboru ofert, pomiaru skuteczności Serwisu oraz wykrywania nadużyć. Profilowanie marketingowe oparte na technologiach opcjonalnych odbywa się po uzyskaniu wymaganej zgody. Użytkownik może ją wycofać, a wobec marketingu bezpośredniego może w każdej chwili wnieść sprzeciw.
Co do zasady nie podejmujemy wobec Użytkownika decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na niego wpływają. Automatyczny sygnał ryzyka może spowodować skierowanie wypłaty lub Transakcji do weryfikacji przez człowieka, a Użytkownik może przedstawić swoje stanowisko i złożyć reklamację.
Na warunkach określonych w RODO Użytkownik ma prawo: dostępu do danych i otrzymania ich kopii; sprostowania; usunięcia; ograniczenia przetwarzania; przenoszenia danych przetwarzanych automatycznie na podstawie zgody lub umowy; sprzeciwu z przyczyn związanych ze szczególną sytuacją wobec przetwarzania opartego na prawnie uzasadnionym interesie; oraz wycofania zgody w każdym czasie bez wpływu na zgodność wcześniejszego przetwarzania.
Sprzeciw wobec przetwarzania na potrzeby marketingu bezpośredniego, w tym związanego z nim profilowania, można wnieść w każdym czasie i nie wymaga uzasadnienia. Po jego otrzymaniu nie będziemy dalej przetwarzać danych w tym celu.
Żądanie można przesłać na adres support@cacadi.pl lub pocztą na adres Administratora. Możemy poprosić o informacje konieczne do potwierdzenia tożsamości, jeżeli mamy uzasadnione wątpliwości. Odpowiadamy bez zbędnej zwłoki, zasadniczo w ciągu miesiąca; w przypadku skomplikowanego żądania lub dużej liczby żądań termin może zostać przedłużony o kolejne dwa miesiące, o czym informujemy w pierwszym miesiącu wraz z przyczyną.
Realizacja niektórych praw może podlegać ograniczeniom wynikającym z RODO, np. gdy dalsze przechowywanie jest potrzebne do wykonania obowiązku prawnego albo ustalenia, dochodzenia lub obrony roszczeń.
Użytkownik ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, https://uodo.gov.pl. Zachęcamy do wcześniejszego kontaktu z nami, lecz nie jest to warunkiem złożenia skargi.
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, uwzględniając charakter, zakres, kontekst i cele przetwarzania. Obejmują one – stosownie do danego procesu – kontrolę dostępu, szyfrowanie transmisji, rejestrowanie zdarzeń, kopie zapasowe, zarządzanie podatnościami, procedury reagowania na incydenty oraz okresowe testowanie zabezpieczeń.
Żaden sposób transmisji lub przechowywania nie gwarantuje całkowitego bezpieczeństwa. Użytkownik powinien chronić dane logowania, używać unikalnego hasła i zgłaszać podejrzenie przejęcia Konta.
Naruszenia dokumentujemy i oceniamy zgodnie z RODO. Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób, zgłaszamy je właściwemu organowi nadzorczemu bez zbędnej zwłoki – w miarę możliwości nie później niż 72 godziny po stwierdzeniu. Jeżeli może powodować wysokie ryzyko, informujemy także osoby, których dane dotyczą, chyba że zachodzi wyjątek przewidziany w RODO.
Serwis i Konto są przeznaczone dla osób, które ukończyły 18 lat, zgodnie z Regulaminem. Nie zbieramy świadomie danych dzieci w celu prowadzenia Konta. Jeżeli stwierdzimy, że Konto założyła osoba niespełniająca wymogu wieku, podejmiemy odpowiednie działania, z uwzględnieniem obowiązków rozliczeniowych i praw tej osoby.
Politykę aktualizujemy, gdy zmieniają się procesy, dostawcy lub wymagania prawne. Aktualna wersja jest publikowana w Serwisie ze wskazaniem daty. O istotnych zmianach dotyczących sposobu korzystania z danych informujemy w odpowiedni sposób, np. e-mailem lub komunikatem na Koncie, przed rozpoczęciem nowego przetwarzania, gdy jest to wymagane.
Zmiana Polityki nie stanowi sama w sobie podstawy do rozpoczęcia przetwarzania w nowym celu ani do zmiany podstawy prawnej. Jeżeli nowy cel wymaga zgody, poprosimy o nią oddzielnie.