Polityka cookies i dostępu do urządzenia: BudOS

Nr dokumentu: COOKIE-BUDOS-2026-001
Wersja: 2.1
Publikacja: 05.10.2026. Informacja dotyczy korzystania z technologii urządzenia od dnia publikacji.
Powiązane dokumenty: Polityka prywatności, Klauzula RODO i informacja o AI, Regulamin.

1. Podmiot, technologie i podstawy

Operatorem serwisu i administratorem danych we własnych celach jest QA10 spółka z ograniczoną odpowiedzialnością, ul. Mariacka 37, 40-014 Katowice, KRS 0001232199, NIP 9542906279. Kontakt spółki i prywatność: hello@qa10.io. Zgłoszenia incydentów: Pomoc@budos.io. Informacja dotyczy wszystkich odwiedzających i użytkowników, także konsumentów i chronionych JDG.

W tej polityce „cookies” obejmują także localStorage, sessionStorage i inne sposoby zapisu lub odczytu informacji w urządzeniu, w zakresie art. 399 Prawa komunikacji elektronicznej (PKE). Cookie może być przesyłane wraz z żądaniem do serwera. localStorage zachowuje wpis w przeglądarce pomiędzy wizytami, a sessionStorage służy przechowywaniu w sesji karty. Usunięcie lokalnego wpisu nie usuwa automatycznie danych serwera lub odbiorcy zewnętrznego.

Przed nieniezbędnym dostępem do informacji w urządzeniu wymagane są jasna informacja i uprzednia zgoda. Art. 399 ust. 3 PKE przewiduje wyjątek dla dostępu koniecznego do transmisji albo dostarczenia usługi żądanej przez użytkownika. Wyjątek stosuje się wyłącznie w zakresie spełniającym te warunki; sam cel bezpieczeństwa, funkcjonalności lub analityki nie wystarcza. Jeżeli informacje są danymi osobowymi, potrzebna jest także odpowiednia podstawa RODO, wskazana w Polityce prywatności.

Zgoda na cookies nie zapisuje do newslettera i nie jest zgodą na kontakt e-mail, SMS ani telefoniczny. Komunikacja handlowa podlega odrębnie art. 398 PKE. Konto, logowanie, przyjęcie Regulaminu i zapoznanie z polityką również nie oznaczają tych zgód. Newsletter publiczny i kontowy mają osobny wybór, opisany w pkt 2.4 Polityki prywatności.

2. Zapisy w przeglądarce i okresy

Zakres zależy od hosta, używanej funkcji, wyborów i ograniczeń przeglądarki. „Brak automatycznego terminu” oznacza, że wpis nie wygasa samoczynnie i może pozostać do usunięcia przez użytkownika lub właściwą funkcję. Dane po stronie QA10 podlegają odrębnym okresom i kryteriom przechowywania z Polityki prywatności. Okresy sesji API wskazane poniżej są domyślne i mogą zależeć od konfiguracji serwera. Okresy cookies reklamowych są przybliżone na dzień publikacji; rzeczywiste wygaśnięcie może zależeć od wersji narzędzia, odnowienia zapisu, ustawień dostawcy i przeglądarki.

2.1. Konto, sesja i żądane funkcje

Identyfikatory oznaczone * mogą zawierać identyfikator kosztorysu, przetargu lub konta; w szkicu kontraktu także użytkownika i organizacji oraz, jeżeli wskazano, przetargu. Dawny szkic pod kluczem budos.kontrakt.roboczy nie jest używany przez obecny mechanizm, ale nie jest też automatycznie usuwany. Wpis z poprzedniej wersji może pozostać do ręcznego usunięcia.

Cookies session, refresh i csrf_token są trwałe w tym sensie, że mogą przetrwać zamknięcie przeglądarki do wskazanego wygaśnięcia. Nie ma osobnego wyboru „nie wylogowuj mnie”. Wcześniej ich działanie kończy wylogowanie. Znacznik budos_auth i profil terra-auth mogą pozostać po wygaśnięciu sesji, ale nie uprawniają wtedy do danych; każde żądanie jest sprawdzane przez API. Przechowywanie po końcu sesji i utrzymanie zalogowania bez osobnego wyboru podlegają warunkom art. 399 ust. 3 PKE; poza zakresem tego wyjątku wymagają uprzedniej zgody.

Na budos.io i www.budos.io żądania do API przechodzą przez /api w domenie otwartej strony; session, refresh i csrf_token są tam zapisami tego hosta. Na app.yu-na.io połączenie z api.yu-na.io odbywa się bezpośrednio, a cookies należą do hosta API. Konfiguracja wspólnej domeny nadrzędnej może rozszerzyć zakres na jej poddomeny. budos_auth zapisuje się dla hosta strony. Przekazanie adresu IP przez serwer pośredniczący do API, w tym dla limitowania nadużyć i weryfikacji Turnstile, nie jest samo w sobie zapisem w urządzeniu; podlega zasadom Polityki prywatności.

Porządkowanie po wcześniejszych wersjach obejmuje zastąpienie dawnego wpisu terra-auth z tokenami wpisem bez tokenów i profilu przy uruchomieniu obecnej aplikacji, co może wymagać ponownego logowania. Dawne cookie session zapisywane skryptem na 30 dni, bez HttpOnly, jest wygaszane przy wczytaniu strony. Skrypt nie może w ten sposób usunąć sesji API chronionej HttpOnly. Strona wyrejestrowuje też dawne Service Workery i usuwa Cache Storage tej witryny. Pozostałe lokalne zapisy mają odrębne zasady usuwania wskazane w tabelach powyżej i w pkt 4.

2.2. Wybory, analityka i identyfikacja urządzenia

Zgoda musi obejmować cel i zakres wskazane w informacji otrzymanej przed wyborem. Wartość true nie rozszerza tego zakresu. Trwała identyfikacja urządzenia jest odrębnym celem od statystyki, także gdy oba mechanizmy korzystają ze wspólnego przełącznika analityki. Działanie i granice opisuje pkt 3.2.

2.3. Marketingowe technologie Meta i X

Poniższe zapisy występują w związku z narzędziami reklamowymi uruchamianymi po łącznym włączeniu marketing i third_party na dopuszczonych publicznych stronach budos.io i www.budos.io. Domyślnie wybory są wyłączone. Okresy są przybliżone na dzień publikacji; odnowienie zapisu, wersja narzędzia, ustawienia dostawcy i przeglądarki mogą wpłynąć na rzeczywistą datę wygaśnięcia.

Domena techniczna .twitter.com lub .t.co pozostaje nazwą domeny używaną przez narzędzie X. Narzędzia dostawców mogą korzystać również z innych zapisów zależnych od wersji i przeglądarki. Zestaw zapisów może różnić się pomiędzy sesjami; cofnięcie wyboru nie usuwa automatycznie zapisów dostawców. Aktualną zawartość można sprawdzić i usunąć w ustawieniach danych witryn przeglądarki.

2.4. Zewnętrzne strony i linki newslettera

Płatność Stripe, logowanie Google i podłączenie integracji mogą przenieść użytkownika na stronę dostawcy. Cookies ustawiane przez Google na accounts.google.com lub przez operatora na jego stronie nie są tym samym co zapis własny BudOS. Na stronie BudOS osadzany jest natomiast skrypt i ramka Turnstile oraz, po odpowiednim wyborze, narzędzia Meta i X. Vercel obsługuje warstwę hostingu serwisu; zapisy w urządzeniu zależą od uruchomionych funkcji i narzędzi.

Link potwierdzenia newslettera lub rezygnacji zawiera uprawnienie do wskazanej czynności, nie jest cookie. Samo otwarcie strony z linku nie potwierdza zapisu ani nie cofa zgody; czynność wymaga zatwierdzenia, z odrębną możliwością jednoklikowego wypisania przez program pocztowy. Strony obsługi tych uprawnień nie służą do uruchamiania pikseli reklamowych. Nie udostępniaj linków osobom trzecim. Dane subskrypcji i ich retencję opisuje Polityka prywatności, nie termin lokalnego zapisu ani ważność linku.

3. Odrębne cele: analityka, identyfikacja, ochrona i reklama

3.1. Własna analityka QA10 i wynik płatności

Własny licznik wysyła zdarzenia dopiero po włączeniu analityki. Obejmuje losowy klucz karty, ścieżkę, typ i czas zdarzenia, ewentualne oznaczenia kampanii i host strony odsyłającej. Nie odczytuje e-maila ani tekstu linku do etykiety tego licznika. Infrastruktura HTTP może odrębnie przetwarzać IP i logi techniczne, a zewnętrzne SDK mają własny zakres danych opisany w pkt 3.3 i 3.4.

Klucz karty może towarzyszyć skutecznej rejestracji i rozpoczęciu płatności. QA10 może połączyć go ze skrótem identyfikatora sesji płatności, a następnie z odnotowanym wynikiem zapłaty. Powiązanie pozostaje po stronie QA10: klucz nie jest wysyłany do Stripe w metadanych lub adresie przekierowania. Brak klucza albo brak zgody nie blokuje rzeczywistej płatności i nie znosi obowiązku jej rozliczenia. Operacyjne dane płatności są odrębne od fakultatywnego pomiaru karty.

Pomiar służy poznaniu używania serwisu i etapów ścieżki, np. strony, demo, utworzenia konta i płatności. Jego jednostką jest obserwowana karta, nie osoba. Dane nie obejmują całej populacji, a brak obserwacji lub powiązania nie oznacza braku klienta lub zapłaty. Klucz losowy i skrót transakcji nie zapewniają anonimowości surowego powiązania.

Przyjęty horyzont surowych zdarzeń analitycznych i powiązania wyniku płatności z kartą wynosi 90 dni. Kopie i dane diagnostyczne podlegają okresom lub kryteriom właściwym dla ich odrębnych kategorii i celów, z zachowaniem zasady ograniczenia przechowywania. Zestawienia zagregowane mogą pozostać odrębnie; tylko faktycznie anonimowe agregaty nie podlegają RODO. Szczegółowe podstawy i kryteria retencji określa pkt 3 Polityki prywatności.

3.2. Trwała identyfikacja urządzenia

Fingerprint budos-device-fp jest oparty na sygnałach urządzenia i przeglądarki oraz używany przy API do identyfikacji i przeciwdziałania nadużyciom. To inny mechanizm niż losowy klucz wizyty. Obecnie tworzenie i użycie trwałego fingerprintu są powiązane z przełącznikiem analytics. Zgoda na samą statystykę nie obejmuje odrębnego celu trwałej identyfikacji urządzenia. Fingerprint wymaga uprzedniej zgody obejmującej ten cel i zakres, chyba że konkretne użycie spełnia warunki wyjątku niezbędności. Cel bezpieczeństwa sam nie przesądza wyjątku z art. 399 ust. 3 PKE.

Bez włączonej analityki używana jest losowa wartość w pamięci strony, niewyliczona ze sprzętu. Losowa wartość może łączyć żądania w ramach działania danej strony. Odmowa analityki nie warunkuje korzystania z podstawowych funkcji. Cofnięcie nie usuwa istniejącego budos-device-fp; wpis można usunąć w przeglądarce, a prawa do danych serwerowych wykonywać przez hello@qa10.io.

3.3. Cloudflare Turnstile

Turnstile to osadzony skrypt i ramka dostawcy zewnętrznego. Przeglądarka pobiera je bezpośrednio z challenges.cloudflare.com. Służą zabezpieczeniu formularza logowania hasłem, prośby o link do zmiany hasła, rejestracji hasłem i ponownej prośby o weryfikację adresu. Na stronie logowania widżet może wczytać się już przy otwarciu strony, również gdy użytkownik później wybierze Google, którego to narzędzie nie zabezpiecza. Odrębna strona ustawienia nowego hasła nie wczytuje tego widżetu. Działanie jest niezależne od przełącznika usług zewnętrznych w banerze.

Widżet wydaje jednorazowy token. Token jest przekazywany z formularzem do API, które sprawdza go w Cloudflare i może przekazać także IP osoby. Niezależnie od tego skrypt może zbierać sygnały urządzenia i przeglądarki bezpośrednio. Zakres danych dostawcy obejmuje zatem także sygnały zbierane bezpośrednio przez skrypt. Wczytany skrypt może pozostać w karcie do jej przeładowania. Zakres odczytów, zapisów i ich okresy zależą od działania widżetu, wersji narzędzia i przeglądarki.

W publicznej wyszukiwarce przetargów, w tym na stronie głównej i /en, skrypt wczytuje się po wejściu w pole wyszukiwania lub zażądaniu potwierdzenia przez API, a nie przy samym otwarciu strony. Widżet pozostaje niewidoczny, dopóki nie poprosi o interakcję. Po weryfikacji tokenu i, jeżeli ustalono, IP, API wydaje przepustkę ważną 30 minut, przechowywaną tylko w pamięci karty. Nie jest to cookie, localStorage ani sessionStorage. Przepustka zawiera czas i podpis obliczany m.in. z IP, nie sam adres IP; serwer nie zapisuje jej jako rekordu. Przeładowanie lub zamknięcie karty usuwa ją z pamięci.

Wyjątek niezbędności może dotyczyć ochrony żądanej funkcji w granicach art. 399 ust. 3 PKE. Nie obejmuje automatycznie każdego celu dostawcy lub samego wcześniejszego wczytania skryptu. Przy wyszukiwarce ochrona przed automatycznym pobieraniem służy przede wszystkim ochronie zasobów serwisu i wymaga odrębnej oceny, nie jest równoznaczna z samym wyszukiwaniem. Poza zakresem wyjątku niezbędności dostęp Turnstile do informacji w urządzeniu wymaga uprzedniej zgody.

Cloudflare opisuje własne role procesora przy zabezpieczaniu witryny operatora i administratora przy ulepszaniu wykrywania botów. Własnego celu dostawcy nie można automatycznie objąć podstawą bezpieczeństwa QA10. Informacje dostawcy: Turnstile Privacy Notice. Role, wymagania ochrony i transferów rozwija Polityka prywatności. Dla każdej operacji wymagane są właściwa podstawa, warunki powierzenia lub współpracy odpowiednie do roli odbiorcy oraz, gdy dotyczy, zabezpieczenia transferu.

3.4. Meta Pixel i X Website Tag

Meta Pixel i X Website Tag służą własnemu marketingowi QA10: pomiarowi publicznych wizyt, interakcji i skuteczności reklam. Uruchamiają się na dopuszczonych publicznych stronach budos.io i www.budos.io przy łącznym wyborze marketingu i usług zewnętrznych (marketing=true oraz third_party=true). Samo włączenie analityki nie włącza tych narzędzi. Przy braku wyboru, odmowie lub wyborze „Tylko niezbędne” nie są uruchamiane przez ten mechanizm.

Zakres zewnętrznych SDK jest szerszy od własnego licznika: może obejmować IP, dane urządzenia i przeglądarki, identyfikatory reklamowe, adres strony, dopuszczone parametry kampanii i interakcje. X może automatycznie przesyłać zdarzenia kliknięć wraz z etykietą przycisku. Zakres przetwarzania nie ogranicza się do pojedynczego wyświetlenia strony, a wartości parametrów mogą zawierać dane osobowe. Ograniczenie nazw parametrów adresu nie usuwa automatycznie danych osobowych z ich wartości. Nie umieszczaj ich, sekretów lub linków uprawniających do czynności w publicznych adresach.

Dla zbierania i przekazywania danych objętych warunkami Meta Business Tools dostawca opisuje współadministrowanie QA10 i Meta Platforms Ireland Limited; dalsze przetwarzanie Meta ma odrębny zakres. Wspólne zbieranie i przekazywanie danych wymaga uzgodnienia obowiązków QA10 i Meta zgodnie z art. 26 RODO. X jest odbiorcą danych własnego marketingu QA10. Nie są to procesorzy dokumentów klienta z samego faktu obecności piksela.

Informacje o danych i prawach: Meta, uzgodnienia Meta Business Tools, X oraz pkt 4 Polityki prywatności. Prawa wobec własnej operacji QA10, w tym wspólnego zbierania i przekazywania, można wykonywać przez hello@qa10.io. Przetwarzanie może obejmować transfer poza EOG. Lokalizacje i mechanizmy transferu mogą różnić się pomiędzy odbiorcami i usługami. Wymagania rozdziału V RODO i sposób uzyskania informacji o zabezpieczeniach opisuje Polityka prywatności; zgoda na cookies nie zastępuje ich zapewnienia.

4. Wybór, odmowa i cofnięcie

4.1. Jak ustawić preferencje

Baner udostępnia „Akceptuję”, „Tylko niezbędne” i „Ustawienia”. Panel zawiera domyślnie wyłączone wybory analityki, marketingu i usług zewnętrznych oraz przycisk „Zapisz ustawienia”. Preferencje można ponownie otworzyć przyciskiem „Cookies” lub „Zarządzaj cookies” na stronie. Samo przewijanie lub dalsza nawigacja nie oznaczają zgody.

Wybór zapisuje się w terra_cookie_consent. Nie musisz włączać opcjonalnych kategorii, aby korzystać z podstawowej usługi. Odmowa marketingu w przeglądarce nie rezygnuje z osobno zamówionego newslettera; newsletter wyłącza się w opisanym dla niego trybie. Tak samo zgoda na newsletter nie włącza pikseli.

4.2. Skutki cofnięcia

Wyłączenie analityki usuwa w działającej karcie platform_hit_key i platform_hit_touch oraz zatrzymuje dalszą wysyłkę własnego licznika i przekazywanie tego klucza przy nowych czynnościach. Nie usuwa automatycznie budos-device-fp ani surowych zdarzeń, wcześniejszego powiązania z płatnością i innych danych już zapisanych po stronie serwera. Realizację praw do tych danych można zgłosić na hello@qa10.io. Nie cofamy tym legalności wcześniejszego przetwarzania opartego na zgodzie.

Cofnięcie marketingu lub usług zewnętrznych powoduje przeładowanie karty, aby zakończyć działanie wcześniej wczytanych skryptów Meta i X; mechanizm zgłasza też cofnięcie do Meta. Po zapisaniu odmowy i zakończeniu przeładowania skrypty nie są ponownie uruchamiane bez wymaganych wyborów. Pozostawione cookies dostawców nie oznaczają automatycznie dalszego śledzenia przez stronę, ale cofnięcie nie usuwa tych cookies ani danych już otrzymanych przez dostawców. Cofnięcie w jednej karcie nie usuwa wszystkich zapisów w pozostałych kartach, domenach i urządzeniach. W innych otwartych kartach sprawdź preferencje i w razie potrzeby przeładuj stronę.

Cookies sesji i znaczniki konta nie zależą od marketingowego wyboru. Wylogowanie usuwa właściwe zapisy i unieważnia token odświeżania na serwerze. Usunięcie ich wyłącznie w przeglądarce nie unieważnia go na serwerze, choć bez jego wartości nie da się go użyć, a serwer zachowuje tylko skrót. Aby zakończyć sesję na serwerze, wyloguj się przed czyszczeniem danych. W przeciwnym razie token wygasa według swojego okresu, domyślnie po 7 dniach.

4.3. Czyszczenie danych i ograniczenia przeglądarki

W ustawieniach przeglądarki możesz usuwać dane witryn, cookies dostawców, lokalne szkice i historię oraz blokować przyszłe zapisy. Zakres czyszczenia zależy od hosta i używanej przeglądarki; zapisy .twitter.com, .t.co lub domeny nadrzędnej mogą wymagać osobnego usunięcia. Usunięcie terra_cookie_consent usuwa lokalną preferencję i powoduje ponowne pytanie przy następnej wizycie, nie jest samo w sobie żądaniem usunięcia danych serwerowych.

Usunięcie szkiców może spowodować utratę niewysłanej pracy. Blokowanie technicznie potrzebnych zapisów może uniemożliwić logowanie lub wybraną funkcję. Nie powinno to służyć wymuszaniu zgód na reklamę i statystykę. Pomoc w sprawach danych: hello@qa10.io; podejrzenie incydentu: Pomoc@budos.io.

5. Ważność wyboru, aktualizacja i prawa

Wpis terra_cookie_consent zachowuje trzy wartości, ale nie zawiera daty, automatycznego terminu ważności ani wersji otrzymanej informacji. Baner może nie pojawić się ponownie, gdy taki wpis już istnieje. Zapis wyboru nie uruchamia automatycznie ponownego pytania po 12 miesiącach ani przy każdej zmianie dostawcy. Dawna wartość true nie rozszerza zakresu zgody na nowe narzędzie, nowego odbiorcę lub szerszy cel.

Zmiana zakresu wymaga oceny ważności wcześniejszej zgody i nowego wyboru, gdy poprzednia nie obejmowała zmiany. Polityka nie rozszerza historycznej zgody. Jeżeli Twój wybór pochodzi z informacji sprzed uruchomienia Meta i X, możesz otworzyć ustawienia i zdecydować na podstawie obecnego opisu. QA10 odpowiada za uzyskanie prawidłowej zgody; samodzielna zmiana ustawień przez użytkownika nie zastępuje tego obowiązku.

Zakres zapisów i okresy technologii zewnętrznych mogą różnić się pomiędzy przeglądarkami, sesjami i wersjami narzędzi. Nazwy i okresy aktualizujemy przy zmianach używanych funkcji.

Prawa RODO, w tym dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie w ustawowym zakresie, sprzeciw, cofnięcie zgody oraz skargę do Prezesa UODO, sposób kontaktu i terminy opisuje pkt 6 Polityki prywatności. Prawa do danych przekazanych właściwemu administratorowi zewnętrznemu można realizować także u niego; nie wyłącza to odpowiedzialności QA10 za własne czynności. Informacja jest dostępna na /cookies, a Polityka prywatności na /prywatnosc (również przez przekierowanie z /privacy).