Polityka prywatności

Stan na 16.10.2026 r.

Niniejsza polityka wyjaśnia, jakie dane osobowe przetwarzamy w serwisie kavil.pl (we wszystkich jego wersjach językowych: polskiej, ukraińskiej, rosyjskiej i angielskiej), w jakich celach i na jakiej podstawie prawnej, komu je przekazujemy, jak długo je przechowujemy oraz jakie prawa Ci przysługują. Informacje te przekazujemy zgodnie z art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: RODO). Zasady stosowania plików cookies i podobnych technologii opisujemy w Polityce cookies.

1. Administrator danych

Administratorem Twoich danych osobowych, a zarazem usługodawcą w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, jest KARDAN GROUP sp. z o.o. (KARDAN GROUP SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ) z siedzibą w Warszawie, adres: ul. Hoża 86 lok. 410, 00-682 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001247189, NIP 7011318413 (numer VAT UE: PL7011318413), REGON 544981130, kapitał zakładowy 5 000,00 zł (dalej: „my”).

W sprawach dotyczących danych osobowych możesz się z nami kontaktować:

e-mailem: kavilcoffee@gmail.com;
listownie: KARDAN GROUP sp. z o.o., ul. Hoża 86 lok. 410, 00-682 Warszawa, z dopiskiem „Dane osobowe”.

2. Jakie dane przetwarzamy

2.1. Dane z formularza zgłoszeniowego

Za pomocą formularzy na stronie możesz wysłać zgłoszenie, aby nasz menedżer skontaktował się z Tobą i przygotował kalkulację dla Twojej lokalizacji. W zależności od formularza podajesz lub wybierasz:

numer telefonu z numerem kierunkowym kraju – pole obowiązkowe;
imię – pole nieobowiązkowe, dostępne tylko w jednym z formularzy;
typ miasta, w którym planujesz otworzyć kawiarnię („Miasto powyżej miliona”, „Miasto wojewódzkie”, „Małe miasto” lub „Jeszcze nie wiem”);
preferowany sposób kontaktu: telefon (ustawiony domyślnie), Telegram lub Viber;
nazwę miasta – tylko jeśli wybierzesz je na mapie punktów Kavil na stronie.

Formularze nie zawierają pól na adres e-mail ani na treść wiadomości. Razem ze zgłoszeniem strona automatycznie przesyła:

informacje o ofertach i przyciskach klikniętych na stronie przed wysłaniem formularza (np. o wybranej ofercie);
dane techniczne zgłoszenia: rodzaj formularza, tytuł strony, wersję językową, oznaczenie rynku i domenę strony, datę i godzinę wysłania, czas wypełniania formularza, losowy identyfikator zgłoszenia oraz pomocniczą ocenę zgłoszenia (pkt 6);
informacje o źródle wizyty (pkt 2.2).

2.2. Źródło wizyty

Do każdego zgłoszenia – niezależnie od Twojej decyzji w sprawie plików cookies – dołączamy informacje o tym, skąd nastąpiło wejście na stronę. Pochodzą one z adresu otwartej strony i z przeglądarki:

parametry kampanii z adresu strony: utm_source, utm_medium, utm_campaign, utm_content, utm_term;
identyfikatory kliknięcia w reklamę, jeśli występują w adresie strony: gclid, gbraid, wbraid, fbclid, msclkid, ttclid;
adres otwartej podstrony wraz ze wszystkimi parametrami;
adres strony odsyłającej, jeśli przeglądarka go przekazuje.

Jeżeli wyrazisz zgodę na pliki cookies marketingowe, strona zapisuje ponadto w Twojej przeglądarce pierwsze źródło wizyty oraz ostatnie źródło płatne (np. kliknięcie w reklamę) i przez 90 dni od ich zapisania dołącza je do zgłoszenia. Szczegóły znajdziesz w Polityce cookies.

Pełne dane zgłoszenia, łącznie ze źródłem wizyty, zapisujemy w bazie zgłoszeń na serwerze, na którym działa strona. Do systemu CRM przekazujemy tylko część tych informacji: parametry kampanii, identyfikatory kliknięcia w reklamę i ścieżkę podstrony (bez parametrów), a w przypadku źródeł zapisanych w przeglądarce – także datę ich zapisania. Jeżeli adres strony nie zawierał parametrów kampanii ani identyfikatorów kliknięcia, przekazujemy do CRM domenę strony odsyłającej.

2.3. Adres IP i dzienniki techniczne

Gdy korzystasz ze strony, Twoja przeglądarka przekazuje nam adres IP i standardowe informacje techniczne (np. typ przeglądarki i adres strony odsyłającej).

Adres IP wykorzystujemy do ograniczenia liczby zgłoszeń wysyłanych z jednego adresu (maksymalnie 10 na minutę i 60 na godzinę). W tym celu przechowujemy go wyłącznie w pamięci operacyjnej aplikacji przyjmującej zgłoszenia – nie zapisujemy go w bazie zgłoszeń ani w plikach aplikacji.
Serwer WWW prowadzi dziennik żądań (logi), w którym zapisuje adres IP, datę i godzinę, adres żądanej podstrony wraz z parametrami, kod odpowiedzi oraz informacje przekazane przez przeglądarkę (np. typ przeglądarki i adres strony odsyłającej).
Aplikacja przyjmująca zgłoszenia prowadzi techniczny dziennik zdarzeń, w którym zapisuje m.in. numer i status zgłoszenia, rodzaj formularza, wersję językową i wybrany sposób kontaktu, a także informacje o przeglądarce i adres strony (wraz z parametrami), z której wysłano zgłoszenie. Nie zapisuje w nim numeru telefonu ani imienia.

Okresy przechowywania podajemy w pkt 8.

2.4. Narzędzia analityczne i reklamowe

Jeżeli wyrazisz zgodę w banerze, korzystamy z Google Analytics 4 i Google Ads, uruchamianych przez Google Tag Manager. Narzędzia te otrzymują informacje o Twojej wizycie, np. adres IP, odwiedzane podstrony, źródło wizyty i identyfikatory zapisane w plikach cookies. Skrypty naszej strony nie przekazują im Twojego numeru telefonu ani imienia. Opis narzędzi, kategorii i okresów przechowywania – w tym działanie narzędzi Google przy zgodzie tylko na jedną kategorię – znajdziesz w Polityce cookies.

2.5. Kontakt przez komunikatory i media społecznościowe

Na stronie znajdują się linki do kanałów Kavil w serwisach Telegram, Instagram, Messenger, Facebook i YouTube oraz do Map Google. Strona nie łączy się z tymi serwisami, dopóki nie klikniesz linku. Jeśli napiszesz do nas przez komunikator, przetwarzamy dane, które w nim przekażesz (np. nazwę profilu, numer telefonu i treść wiadomości), aby odpowiedzieć na Twoje zapytanie. Korzystanie z tych serwisów podlega ich regulaminom i politykom prywatności.

Jeśli jako preferowany sposób kontaktu wybierzesz Telegram lub Viber, nasz menedżer skontaktuje się z Tobą przez ten komunikator, korzystając z podanego numeru telefonu.

Jeżeli wysłanie formularza się nie powiedzie, strona zaproponuje kontakt przez komunikator. Gdy wybierzesz Instagram lub Messenger, strona skopiuje do schowka Twojego urządzenia treść zgłoszenia – numer telefonu i imię podane w formularzu oraz miasto lub typ miasta – aby można ją było wkleić do wiadomości. W przypadku Telegramu strona wstawia do treści wiadomości jedynie prośbę o kalkulację oraz miasto lub typ miasta, bez numeru telefonu i imienia. W obu przypadkach o wysłaniu wiadomości decydujesz Ty.

Jeśli napiszesz do nas w Telegramie na nasze konto firmowe, korespondencja (w tym Twoja nazwa w Telegramie, treść wiadomości i udostępnione dane kontaktowe) może być zapisywana na naszym serwerze, a wiadomości głosowe – automatycznie zamieniane na tekst. Rozmowy mogą być analizowane z użyciem narzędzi sztucznej inteligencji (bez numerów telefonów), aby nasz zespół szybciej i lepiej odpowiadał na zapytania; wyniki tej analizy służą wyłącznie jako wskazówka dla zespołu (pkt 6). Podstawą prawną jest art. 6 ust. 1 lit. f RODO – naszym prawnie uzasadnionym interesem jest sprawna obsługa zapytań.

3. Cele i podstawy prawne przetwarzania

Obsługa zgłoszenia – kontakt telefoniczny lub przez wybrany komunikator, odpowiedź na wiadomości, przygotowanie kalkulacji i przedstawienie oferty: art. 6 ust. 1 lit. b RODO (podjęcie działań na Twoje żądanie przed zawarciem umowy). Jeżeli kontaktujesz się z nami w imieniu firmy: art. 6 ust. 1 lit. f RODO – naszym prawnie uzasadnionym interesem jest odpowiedź na zapytanie i prowadzenie rozmów handlowych.
Ustalenie, skąd pochodzą zgłoszenia (źródło wizyty dołączane do zgłoszenia, pkt 2.2): art. 6 ust. 1 lit. f RODO – naszym prawnie uzasadnionym interesem jest ocena skuteczności kanałów kontaktu i kampanii reklamowych.
Bezpieczeństwo serwisu i ochrona przed spamem (limit zgłoszeń z jednego adresu IP, ukryte pole wykrywające automaty, oznaczanie podejrzanych i powtórzonych zgłoszeń, dzienniki techniczne): art. 6 ust. 1 lit. f RODO – naszym prawnie uzasadnionym interesem jest bezpieczeństwo i prawidłowe działanie serwisu.
Ochrona zgłoszeń przed utratą (powiadomienie o zgłoszeniu, którego nie udało się przekazać do CRM, oraz kopie zapasowe): art. 6 ust. 1 lit. f RODO – naszym prawnie uzasadnionym interesem jest zapewnienie dostępności i integralności danych.
Statystyki odwiedzin i pomiar skuteczności reklam z użyciem plików cookies oraz zapis źródła wizyty w przeglądarce: art. 6 ust. 1 lit. a RODO (Twoja zgoda) w związku z art. 399 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej.
Rozpatrywanie Twoich żądań dotyczących danych (pkt 9): art. 6 ust. 1 lit. c RODO w związku z art. 12–22 RODO.

4. Czy musisz podać dane

Podanie danych jest dobrowolne. Bez numeru telefonu nie możemy jednak przyjąć zgłoszenia ani się z Tobą skontaktować. Imię możesz pominąć. Zgoda na pliki cookies analityczne i marketingowe również jest dobrowolna – jej brak nie ogranicza korzystania ze strony ani wysłania formularza.

5. Odbiorcy danych

Dostęp do Twoich danych mają upoważnione przez nas osoby, które obsługują zgłoszenia. Dane przekazujemy także następującym odbiorcom:

dostawca hostingu – HostIQ: na jego serwerze działają strona i baza zgłoszeń;
dostawca systemu CRM – KeyCRM: trafiają tam imię, numer telefonu, szczegóły zgłoszenia (m.in. typ miasta, miasto, wybrane oferty, preferowany sposób kontaktu) i część informacji o źródle wizyty (pkt 2.2);
Telegram: przez ten komunikator upoważnione osoby z naszego zespołu otrzymują automatyczne powiadomienie, gdy zgłoszenia nie udało się przekazać do CRM (numer zgłoszenia, numer telefonu, rodzaj formularza); do prywatnego czatu w Telegramie codziennie trafia też kopia zapasowa baz danych serwera, w tym bazy zgłoszeń;
dostawcy narzędzi sztucznej inteligencji (m.in. Anthropic): z ich modeli korzysta wewnętrzny asystent naszego zespołu – gdy członek zespołu wyszukuje za jego pomocą klienta w CRM, imię i numer telefonu są przekazywane do Anthropic – oraz analiza korespondencji w Telegramie opisana w pkt 2.5;
Google Ireland Limited: Google Tag Manager, Google Analytics 4 i Google Ads – wyłącznie po wyrażeniu przez Ciebie zgody na co najmniej jedną kategorię plików cookies;
dostawcy komunikatorów (Telegram, Viber, Instagram, Messenger), jeśli kontaktujesz się z nami w ten sposób lub wybierzesz taki sposób kontaktu – na zasadach określonych w ich regulaminach.

Informacje o przekazywaniu danych poza Europejski Obszar Gospodarczy podajemy w pkt 7.

6. Zautomatyzowane podejmowanie decyzji

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Nasz system automatycznie:

przypisuje zgłoszeniu pomocniczą ocenę (0 lub 2 punkty), zależną wyłącznie od wybranego typu miasta;
oznacza jako podejrzane zgłoszenie, którego formularz wypełniono w czasie krótszym niż 1,5 sekundy – takie zgłoszenie i tak trafia do naszego zespołu;
nie tworzy w CRM osobnej karty, jeśli z tego samego numeru telefonu w ciągu 48 godzin ponownie wysłano zgłoszenie o tej samej treści (zgłoszenie pozostaje zapisane w bazie zgłoszeń), a zgłoszenie o innej treści przekazuje do CRM z oznaczeniem, że jest ponowne;
nie przyjmuje zgłoszeń, w których wypełniono ukryte pole służące do wykrywania automatów, ani zgłoszeń przekraczających limity wysyłki.
ocenia z użyciem narzędzi sztucznej inteligencji, na podstawie korespondencji w Telegramie (pkt 2.5), Twoje zainteresowanie współpracą – wyłącznie jako wskazówkę dla naszego zespołu.

Jeżeli wyrazisz zgodę na pliki cookies marketingowe, Google może wykorzystywać informacje o Twojej wizycie do pomiaru skuteczności reklam i do wyświetlania Ci reklam Kavil (remarketing).

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Niektórzy odbiorcy wymienieni w pkt 5 mają siedzibę poza Europejskim Obszarem Gospodarczym (EOG) albo należą do grup z siedzibą poza EOG – w szczególności Google (USA), Anthropic (USA) i Telegram. Poza EOG, m.in. w Ukrainie, mogą też pracować osoby z zespołu marki Kavil, które obsługują zgłoszenia. Podstawą przekazania danych jest – w zależności od odbiorcy – decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (art. 45 RODO; w przypadku Google LLC – EU-U.S. Data Privacy Framework), standardowe klauzule umowne przyjęte przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) albo – gdy przekazanie jest niezbędne do obsługi Twojego zgłoszenia – art. 49 ust. 1 lit. b RODO.

Zgłoszenia obsługują upoważnione osoby działające w naszym imieniu, w tym członkowie zespołu marki Kavil, którzy prowadzą dla nas system CRM, serwer i komunikację z klientami.

Na Twoje żądanie przekażemy informacje o zabezpieczeniach stosowanych przy przekazywaniu danych poza EOG oraz ich kopię (kontakt w pkt 1).

8. Jak długo przechowujemy dane

dane zgłoszeń w bazie zgłoszeń na serwerze i w systemie CRM oraz korespondencja prowadzona przez komunikatory: przez czas prowadzenia rozmów w sprawie współpracy, a jeśli nie dojdzie do zawarcia umowy – nie dłużej niż 12 miesięcy od ostatniego kontaktu; dłużej tylko wtedy, gdy jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń;
kopie zapasowe na serwerze: do 14 dni; kopie zapasowe i powiadomienia w Telegramie: nie dłużej niż 12 miesięcy;
dziennik żądań serwera WWW: pliki dziennika są automatycznie usuwane po 14 dniach od ich zamknięcia, a bieżący plik zamykamy po osiągnięciu rozmiaru 20 MB;
techniczny dziennik zdarzeń aplikacji: do czasu automatycznego nadpisania po osiągnięciu limitu rozmiaru dziennika, nie dłużej niż 12 miesięcy;
adres IP wykorzystywany do limitu zgłoszeń: wyłącznie w pamięci operacyjnej aplikacji, bez zapisu na dysku – do limitu liczą się zgłoszenia z ostatniej godziny, a sam adres jest usuwany z pamięci najpóźniej przy ponownym uruchomieniu aplikacji;
wpisy w Twojej przeglądarce i pliki cookies: zgodnie z okresami podanymi w Polityce cookies; dane w Google Analytics 4: nie dłużej niż 14 miesięcy.

9. Twoje prawa

Przysługuje Ci prawo do:

dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO);
sprostowania danych (art. 16 RODO);
usunięcia danych (art. 17 RODO);
ograniczenia przetwarzania (art. 18 RODO);
przenoszenia danych, które przetwarzamy w sposób zautomatyzowany na podstawie zgody lub umowy (art. 20 RODO);
cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO) – zgodę na pliki cookies zmienisz przez link „Ustawienia cookies” w stopce strony;
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem (art. 77 RODO).

Prawo sprzeciwu. W każdej chwili możesz wnieść sprzeciw – z przyczyn związanych z Twoją szczególną sytuacją – wobec przetwarzania Twoich danych na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Szczegóły określa art. 21 RODO.

Aby skorzystać ze swoich praw, skontaktuj się z nami w sposób opisany w pkt 1. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania; w razie potrzeby termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Cię poinformujemy (art. 12 ust. 3 RODO). Jeżeli będziemy mieć uzasadnione wątpliwości co do tożsamości osoby składającej żądanie, możemy poprosić o dodatkowe informacje potrzebne do jej potwierdzenia (art. 12 ust. 6 RODO).

10. Bezpieczeństwo

Połączenie ze stroną jest szyfrowane (HTTPS). Serwer WWW przekazuje do aplikacji przyjmującej zgłoszenia treść zgłoszenia wraz z adresem IP i standardowymi informacjami technicznymi przeglądarki, ale bez plików cookies. Dostęp do zgłoszeń mają wyłącznie upoważnione osoby.

11. Zmiany polityki

Aktualna wersja polityki jest dostępna na tej stronie. Datę ostatniej zmiany podajemy na początku dokumentu.