Polityka prywatności serwisu internetowego

1. Kto przetwarza Twoje dane i jak się z nami skontaktować

Serwis optif.pl jest platformą wspólną dla dwóch podmiotów marki Opti:

• Opti Finance Mateusz Kozieł (jednoosobowa działalność gospodarcza), NIP: 9581701618, REGON: 383518220, adres miejsca wykonywania działalności: ul. Morska 222/54, 81-006 Gdynia; świadczy usługi pośrednictwa leasingowego.
• OPTI FINANCE Sp. z o.o. z siedzibą w Gdyni, ul. Morska 222/54, 81-006 Gdynia, wpisana do rejestru przedsiębiorców KRS pod numerem 0000936791 (Sąd Rejonowy Gdańsk-Północ w Gdańsku, VIII Wydział Gospodarczy KRS), NIP: 9581720828, REGON: 520609490; świadczy usługi pośrednictwa ubezpieczeniowego.

W zakresie serwisu www, formularzy kontaktowych, wspólnej bazy kontaktów i działań marketingowych marki Opti działamy jako współadministratorzy danych (art. 26 RODO). W zakresie właściwych usług, czyli leasingu i ubezpieczeń, każdy z nas działa jako odrębny administrator.

Punkt kontaktu (dla obu podmiotów): biuro@optif.pl, adres do korespondencji: ul. Morska 222/54, 81-006 Gdynia, tel. +48 536 152 161.

Kontakt w sprawach ochrony danych i zgód: rodo@optif.pl. To wspólny punkt kontaktowy współadministratorów w rozumieniu art. 26 ust. 1 RODO. Pod tym adresem możesz wykonać każde ze swoich praw, w tym wycofać zgodę, wobec każdego z nas. Nie powołaliśmy Inspektora Ochrony Danych.

Zasadnicza treść uzgodnień współadministratorów (art. 26 ust. 2 RODO)

• Zakres wspólny: serwis optif.pl, formularze (w tym formularz analizy potrzeb klienta), wspólna baza kontaktów oraz marketing marki Opti Finance są objęte współadministrowaniem przez Opti Finance Mateusz Kozieł (JDG) i OPTI FINANCE Sp. z o.o.
• Podział odpowiedzialności: za przetwarzanie związane z usługami finansowania (leasing, kredyt) odpowiada Opti Finance Mateusz Kozieł, a za przetwarzanie związane z dystrybucją ubezpieczeń OPTI FINANCE Sp. z o.o.
• Realizacja praw: wnioski obsługujemy wspólnie. Niezależnie od tego, do którego z nas wpłyną, odpowiadamy w terminie miesiąca, a koordynuje je OPTI FINANCE Sp. z o.o.
• Bezpieczeństwo i naruszenia: za zabezpieczenie wspólnych zasobów oraz zgłaszanie naruszeń ochrony danych do PUODO i zawiadamianie osób odpowiada OPTI FINANCE Sp. z o.o.
• Obowiązek informacyjny: przy kontakcie przez serwis optif.pl i nasze formularze wykonujemy go wspólnie treścią niniejszej Polityki, a poza serwisem ten z nas, z którym masz pierwszy kontakt.
• Dostęp do uzgodnień: pełną treść udostępnimy na żądanie, w zakresie niestanowiącym tajemnicy przedsiębiorstwa.
• Punkt kontaktowy: rodo@optif.pl. Niezależnie od uzgodnień możesz wykonywać swoje prawa wobec każdego ze współadministratorów z osobna.

W zakresie dystrybucji ubezpieczeń działamy jako agent (OFWCA) na rzecz Agencji Konsultant Sp. z o.o. z siedzibą w Warszawie (marka Superpolisa). Administratorem danych zgromadzonych w związku z zawarciem i obsługą umowy ubezpieczenia jest agencja lub zakład ubezpieczeń. Przetwarzamy je w ich systemach i w ich imieniu, a dane te nie zasilają naszej bazy marketingowej.

2. Jakie dane zbieramy i skąd je mamy

Zbieramy wyłącznie dane niezbędne do obsługi zapytań/umów i komunikacji:

• Dane identyfikacyjne i kontaktowe: imię, nazwisko, e-mail, telefon, ewentualnie nazwa firmy/NIP.
• Dane ofertowe: parametry pojazdu/ryzyka, preferencje, informacje potrzebne do kalkulacji i przedstawienia oferty.
• Dane techniczne: adres IP, identyfikatory przeglądarki/urządzenia, logi serwera; dane z plików cookie (szczegóły: Polityka cookies).
• Dane o źródle zgłoszenia: adres strony z formularzem, rodzaj formularza i oznaczenia kampanii (UTM) z adresu tej strony. Jeżeli wyrazisz zgodę marketingową, także strona wejścia do serwisu, jej oznaczenia kampanii, nazwa domeny strony odsyłającej i identyfikator kliknięcia w reklamę (gclid, gbraid, wbraid, fbclid), zapamiętane w pamięci karty przeglądarki do jej zamknięcia. Dane te nie obejmują treści formularza.
• Opinie z wizytówki Google: imię lub nazwa użytkownika i zdjęcie profilowe autora, ocena, treść i data opinii oraz link do profilu autora, pobrane z publicznie dostępnej wizytówki Opti Finance w Google.
• Źródła: bezpośrednio od Ciebie (formularze, telefon, e-mail), z polecenia osoby trzeciej (informujemy o źródle przy pierwszym kontakcie), dane powstające w trakcie obsługi, a w przypadku opinii publiczna wizytówka Google.

Uwaga (OFWCA): nasza własna baza strony/marketingu nie zawiera dokumentów polis ani szczegółów „polisowych” przetwarzanych wyłącznie w procesach agencyjnych; te dane znajdują się w systemach Agencji i zakładów ubezpieczeń (patrz pkt 9).

3. Cele i podstawy przetwarzania

• Kontakt i obsługa Twojego zapytania, przedstawienie oferty: art. 6 ust. 1 lit. b RODO (działania na Twoje żądanie przed zawarciem umowy), a wobec osób kontaktowych klientów firmowych art. 6 ust. 1 lit. f.
• Analiza potrzeb klienta (APK) przed zaproponowaniem ubezpieczenia: art. 6 ust. 1 lit. c RODO w zw. z art. 8 ustawy z 15 grudnia 2017 r. o dystrybucji ubezpieczeń.
• Prowadzenie serwisu, bezpieczeństwo, statystyka: art. 6 ust. 1 lit. f RODO. Obejmuje to w szczególności ochronę formularzy przed automatycznymi zgłoszeniami (Cloudflare Turnstile) oraz zbiorcze statystyki odwiedzin (Cloudflare Web Analytics, bez plików cookies i bez zapisu w Twoim urządzeniu). Naszym uzasadnionym interesem jest bezpieczne działanie serwisu i wiedza o tym, jak często odwiedzane są jego strony.
• Ustalenie, z której strony i kampanii przyszło zgłoszenie (adres strony z formularzem, rodzaj formularza i oznaczenia kampanii z adresu tej strony): art. 6 ust. 1 lit. f RODO. Naszym uzasadnionym interesem jest ocena, które strony i kampanie przynoszą zapytania.
• Zapamiętanie strony wejścia, domeny strony odsyłającej i identyfikatora kliknięcia w reklamę oraz przekazywanie zdarzeń konwersji do Google i Meta w celu oceny skuteczności reklam: art. 6 ust. 1 lit. a RODO, na podstawie zgody marketingowej wyrażonej w banerze cookies.
• Prezentowanie w serwisie opinii klientów z wizytówki Google: art. 6 ust. 1 lit. f RODO. Naszym uzasadnionym interesem jest pokazanie rzetelnych opinii o naszych usługach. Jeżeli jesteś autorem opinii i nie chcesz, żebyśmy ją pokazywali, napisz na rodo@optif.pl, a usuniemy ją z serwisu.
• Marketing własny Opti Finance (łącznie: OPTI FINANCE Sp. z o.o. i Opti Finance Mateusz Kozieł), czyli informacje handlowe e-mailem, SMS-em lub telefonicznie: art. 6 ust. 1 lit. a RODO, odrębna i dobrowolna zgoda na każdy kanał. Zgody na kontakt w kanale elektronicznym wymagają także przepisy Prawa komunikacji elektronicznej. Bez zgody nie prowadzimy marketingu w tych kanałach, również wobec naszych obecnych klientów.
• Profilowanie marketingowe, czyli analiza w celu proponowania w przyszłości lepiej dopasowanych ofert: art. 6 ust. 1 lit. a RODO, odrębna i dobrowolna zgoda.
• Zawarcie i wykonanie umów oraz rozliczenia: art. 6 ust. 1 lit. b i c RODO.
• Ustalenie i dochodzenie roszczeń: art. 6 ust. 1 lit. f RODO.

Wskazanie w formularzu, jak mamy się z Tobą skontaktować w sprawie tego zapytania (e-mail, SMS, telefon), nie jest zgodą marketingową. To element obsługi zapytania (art. 6 ust. 1 lit. b RODO) i potrzebujemy co najmniej jednego kanału, żeby móc odpowiedzieć.

Zasady marketingu:

• Zgody marketingowe i zgoda na profilowanie są w pełni dobrowolne. Ich niewyrażenie nie wpływa na obsługę zapytania ani na przedstawioną ofertę.
• Łącznie, we wszystkich kanałach, na które wyraziłeś zgodę, skontaktujemy się z Tobą w celach marketingowych nie więcej niż 4 razy w każdym okresie kolejnych 12 miesięcy. Do limitu liczą się wiadomości e-mail, SMS-y i połączenia telefoniczne, niezależnie od tego, który z administratorów je wykonuje.
• Każdą zgodę możesz wycofać w dowolnej chwili, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania: e-mail: link rezygnacji w każdej wiadomości marketingowej lub rodo@optif.pl; SMS: odpowiedź STOP na dowolną naszą wiadomość marketingową lub rodo@optif.pl; telefon: informacja podczas rozmowy lub rodo@optif.pl; profilowanie: rodo@optif.pl. Zgodę marketingową z banera cookies wycofasz także przyciskiem „Ustawienia cookies” w stopce serwisu. Wycofanie realizujemy niezwłocznie, nie później niż w ciągu 7 dni. Zachowujemy przy tym minimum danych potrzebne, by ponownie się z Tobą nie kontaktować.

Zasady profilowania:

• Profil budujemy wyłącznie na danych, które sami zebraliśmy: z Twoich zapytań, korespondencji z nami i historii obsługi (rodzaj produktu, daty i zakres współpracy, preferowany kanał kontaktu). Nie wykorzystujemy do niego danych o Twoich umowach ubezpieczenia objętych tajemnicą ubezpieczeniową, przetwarzanych w systemach agencji (por. pkt 9). Wynikiem analizy jest wyłącznie wskazanie tematu, z którym może zgłosić się nasz pracownik.
• Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO).
• Decyzje o przyznaniu finansowania lub o zawarciu umowy ubezpieczenia podejmują banki, leasingodawcy i zakłady ubezpieczeń jako odrębni administratorzy. Jeżeli stosują zautomatyzowane podejmowanie decyzji, informują o tym w swoich klauzulach.

Prawo sprzeciwu wobec marketingu: w dowolnym momencie możesz wnieść sprzeciw wobec przetwarzania Twoich danych na potrzeby marketingu bezpośredniego, w tym profilowania w tym celu (art. 21 ust. 2 RODO). Po sprzeciwie przestajemy przetwarzać dane w tym celu. Sprzeciw zgłosisz na rodo@optif.pl.

4. Pliki cookie, narzędzia i zgody

Serwis korzysta z własnego banera zgód. Skrypty i treści podmiotów trzecich, które wymagają zgody, są wczytywane dopiero po jej udzieleniu. Serwis nie korzysta z Google Analytics ani z Google reCAPTCHA, a w przeglądarce nie działają skrypty reklamowe. Aktualnie używamy:

• Niezbędne (bez zgody): zapamiętanie Twojego wyboru w banerze (plik cookie optif_consent, 12 miesięcy), stan kalkulatorów i okienek w pamięci przeglądarki (sessionStorage, localStorage) oraz ochrona formularzy i kalkulatorów przed automatycznymi zgłoszeniami (Cloudflare Turnstile).
• Funkcjonalne (po zgodzie): mapa Google na stronie Kontakt. Do czasu zgody widoczny jest tylko odnośnik do mapy w serwisie Google.
• Marketingowe (po zgodzie): zapamiętanie kodu polecającego z linku (plik cookie opti_ref, 30 dni) oraz strony wejścia, oznaczeń kampanii, domeny strony odsyłającej i identyfikatora kliknięcia w reklamę (pamięć karty przeglądarki, do jej zamknięcia). Po tej zgodzie możemy też przekazywać zdarzenia konwersji do Google i Meta z naszego serwera (zakres danych: pkt 5).
• Statystyka bez plików cookies: Cloudflare Web Analytics. Skrypt nie zapisuje w Twoim urządzeniu plików cookies ani innych danych i nie rozpoznaje Cię między wizytami ani między stronami różnych firm. Przekazuje do Cloudflare adres odwiedzanej strony (bez parametrów z adresu), adres strony odsyłającej, rodzaj przeglądarki, systemu i urządzenia oraz czasy ładowania strony; kraj Cloudflare ustala na podstawie adresu IP połączenia. Widzimy wyłącznie dane zbiorcze, dlatego narzędzie działa poza kategoriami zgód. Możesz je zablokować w przeglądarce (adres static.cloudflareinsights.com).

Zgłoszenie wysłane formularzem bez zgody marketingowej zawiera wyłącznie adres strony z formularzem, rodzaj formularza i oznaczenia kampanii z adresu tej strony; pozostałe dane o źródle zgłoszenia dodajemy tylko po zgodzie marketingowej. Szczegóły i lista pozycji: Polityka plików cookies.

5. Odbiorcy danych (kategorie)

• Dostawcy IT/chmury (podmioty przetwarzające, działające na podstawie umów powierzenia przetwarzania danych, które są częścią warunków świadczenia ich usług):
  • Microsoft (Microsoft 365, OneDrive): poczta i pliki;
  • Cloudflare: hosting serwisu, serwer przyjmujący zgłoszenia z formularzy, zaszyfrowana kolejka zgłoszeń oczekujących na przekazanie do naszego systemu, ochrona formularzy (Turnstile), wysyłka wewnętrznych powiadomień e-mail, statystyka Web Analytics, obsługa DNS;
  • Neon: baza danych w centrum danych we Frankfurcie, w której przechowujemy bufor zgłoszeń przekazywanych do naszego systemu (usuwanych po przekazaniu) oraz dane serwisu bez treści formularzy: numerację zgłoszeń, ustawienia, stawki WIBOR, opinie, statystyki i dane o źródle zgłoszeń;
  • SMSAPI: wysyłka wiadomości SMS z kodem w analizie potrzeb klienta; SMSAPI przetwarza dane jako podmiot przetwarzający na podstawie umowy powierzenia przetwarzania danych, która jest częścią warunków świadczenia usługi przez tego dostawcę;
  • OVH: rejestracja domeny optif.pl, a do czasu wygaszenia poprzedniej wersji serwisu także jej hosting wraz z danymi przesłanymi przez dawne formularze.
• Formularz „Księgowość online” trafia wyłącznie do skrzynki księgowości (Microsoft 365). Treść zapytania wysyłamy przez Cloudflare Email Service, bez wprowadzania jej do bazy kontaktów. Pozostałe powiadomienia e-mail z serwisu nie zawierają danych osobowych.
• Google Ireland Limited: mapa na stronie Kontakt (po zgodzie funkcjonalnej) oraz zdarzenia konwersji, jeżeli prowadzimy kampanie w Google Ads (tylko po zgodzie marketingowej).
• Meta Platforms Ireland Limited: zdarzenia konwersji, jeżeli prowadzimy kampanie w serwisach Meta (tylko po zgodzie marketingowej).
• Zakres zdarzenia konwersji: rodzaj zgłoszenia (np. kontakt, leasing, GAP, analiza potrzeb klienta), czas, losowy identyfikator zdarzenia, adres strony z formularzem oraz identyfikator kliknięcia w reklamę z linku, którym wszedłeś do serwisu (gclid, gbraid, wbraid lub fbclid); do Meta także nazwa i wersja przeglądarki (User-Agent). Jeżeli włączymy dopasowanie rozszerzone, dołączamy także adres e-mail i numer telefonu wyłącznie w postaci skrótu SHA-256, który służy do dopasowania zdarzenia do konta reklamowego; jawnego adresu e-mail ani numeru telefonu nie przekazujemy. Nie przekazujemy treści formularza, imienia, nazwiska ani Twojego adresu IP. Zdarzenie wysyła nasz serwer po przyjęciu zgłoszenia. Google i Meta mogą przetwarzać te dane także jako odrębni administratorzy, na zasadach swoich polityk prywatności.
• Partnerzy merytoryczni: leasingodawcy, zakłady ubezpieczeń (co do zasady odrębni administratorzy).
• Organy publiczne: jeśli wynika to z przepisów.

Transfer poza EOG może wystąpić w związku z infrastrukturą globalnych dostawców (Microsoft, Cloudflare, Google, Meta, Neon). Microsoft, Cloudflare, Google i Meta mogą przekazywać dane do USA na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych w ramach EU-US Data Privacy Framework (art. 45 RODO), w zakresie certyfikacji tych firm, a ponadto na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Baza Neon działa w centrum danych we Frankfurcie, a ewentualny dostęp dostawcy spoza EOG jest objęty standardowymi klauzulami umownymi. Stosujemy też środki dodatkowe, w tym szyfrowanie transmisji i szyfrowanie kolejki zgłoszeń.

6. Jak długo przechowujemy dane (retencja)

• Dane zapytania (formularze, w tym analiza potrzeb klienta, korespondencja): 12 miesięcy od ostatniego kontaktu, chyba że dojdzie do zawarcia umowy.
• Pliki robocze do ubezpieczeń: do sfinalizowania sprawy, a następnie niezwłoczne usunięcie.
• Polisy w aktach operacyjnych sp. z o.o.: pomocniczo do czasu sprzedaży pojazdu, jednak nie dłużej niż 3 lata wstecz licząc rok bieżący.
• Księgowość: 5 lat od końca roku podatkowego.
• Logi serwera: do 24 miesięcy.
• Dane kontaktowe objęte zgodą marketingową oraz profil marketingowy: do wycofania zgody lub skutecznego sprzeciwu, niezależnie od 12-miesięcznego okresu dla samego zapytania.
• Dowód wyrażenia i wycofania zgody: przez czas obowiązywania zgody oraz 3 lata po jej wycofaniu (rozliczalność, art. 5 ust. 2 i art. 7 ust. 1 RODO).
• Historia kontaktów marketingowych (kontrola limitu 4 na 12 miesięcy): 12 miesięcy.
• Minimum danych potrzebne, by respektować wycofanie zgody lub sprzeciw (lista wykluczeń): bezterminowo, art. 6 ust. 1 lit. c i f RODO.
• Roszczenia: do upływu terminów przedawnienia.
• Zgłoszenia oczekujące na przekazanie do naszego systemu (zaszyfrowana kolejka w Cloudflare): do przekazania, zwykle przy najbliższej synchronizacji (w nocy do ok. 14 godzin); zgłoszenia, których nie udało się przekazać, są usuwane automatycznie najpóźniej po 7 dniach.
• Bufor zgłoszeń w bazie Neon: do przekazania zgłoszenia do naszego systemu, po czym jest usuwany.
• Dane o źródle zgłoszenia: tak długo jak dane zapytania, którego dotyczą.
• Statystyki odwiedzin (Cloudflare Web Analytics): Cloudflare przechowuje pełne dane przez 7 dni, potem w postaci zagregowanej próbki, i udostępnia je przez 6 miesięcy; u siebie przechowujemy wyłącznie liczby zbiorcze, które nie pozwalają nikogo zidentyfikować.
• Opinie z wizytówki Google: do czasu wymiany opinii w serwisie albo do zgłoszenia sprzeciwu przez autora.
• Pliki cookies i pamięć przeglądarki: optif_consent 12 miesięcy, opti_ref 30 dni, pamięć karty przeglądarki do zamknięcia karty (szczegóły: Polityka cookies).

7. Prawa osób, których dane dotyczą

Masz prawo do: dostępu do danych i kopii, sprostowania, usunięcia, ograniczenia, przeniesienia, sprzeciwu wobec przetwarzania (w tym marketingu) oraz wycofania zgody (bez wpływu na zgodność przetwarzania przed jej wycofaniem). Masz też prawo wnieść skargę do Prezesa UODO.

Jak skorzystać: napisz na rodo@optif.pl (sprawy ochrony danych i zgód) lub biuro@optif.pl. Zgodę marketingową wycofasz także linkiem rezygnacji w każdej wiadomości marketingowej, odpowiadając STOP na SMS marketingowy albo informując nas podczas rozmowy telefonicznej. Odpowiadamy w ciągu 1 miesiąca (w przypadkach skomplikowanych maks. 3 miesiące, o czym poinformujemy).

8. Jak chronimy Twoje dane (środki bezpieczeństwa)

• Urządzenia: Windows 11 Pro, szyfrowanie dysków (BitLocker), blokada ekranu, aktualizacje, ochrona antywirusowa/EDR.
• Dostępy: MFA, zasada minimalnych uprawnień, ewidencja upoważnień i udostępnień.
• Chmura: OneDrive/SharePoint, udostępnienia imienne z hasłem i terminem wygaśnięcia; brak publicznych linków.
• Serwis: połączenia szyfrowane (HTTPS), zgłoszenia oczekujące na przekazanie przechowywane w postaci zaszyfrowanej, ochrona formularzy przed automatycznymi zgłoszeniami.
• Komunikatory (WhatsApp/SMS): minimalizacja; jeżeli klient wyśle zdjęcie DR, przenosimy do repozytorium i usuwamy z telefonu.
• AI: asystent AI w naszym systemie CRM działa na własnym serwerze firmy, a przetwarzane przez niego dane klientów nie trafiają do zewnętrznych dostawców usług AI. Działania proponowane przez asystenta zatwierdza pracownik. Do zewnętrznych narzędzi AI nie wprowadzamy danych klientów (chyba że po anonimizacji).
• Kopie: wersjonowanie OneDrive + planowane szyfrowane kopie offline (kwartalne).

9. Rozdzielenie ról: serwis/baza Opti vs. czynności agencyjne (OFWCA)

• Serwis www, formularze i własna baza kontaktów/marketingu: współadministracja DG + Sp. z o.o. (ta Polityka).
• Czynności agencyjne (OFWCA): przetwarzanie danych w systemach Agencji Konsultant (marka Superpolisa) i zakładów ubezpieczeń jako odrębnych administratorów. Działamy z upoważnienia, obowiązuje tajemnica ubezpieczeniowa; danych „polisowych” nie łączymy z własną bazą marketingową Opti.

10. Dobrowolność danych i konsekwencje

Podanie danych jest dobrowolne, lecz niezbędne, aby odpowiedzieć na Twoje zapytanie lub przedstawić ofertę. Zgody marketingowe są dobrowolne; możesz je w każdej chwili odwołać.

11. Zmiany polityki

Polityka może ulegać zmianom wraz z rozwojem serwisu i narzędzi. Aktualna wersja jest dostępna na tej stronie. O istotnych zmianach poinformujemy w serwisie.

Wersja polityki: z dnia 27.10.2026 (obowiązuje od tego dnia). Zestaw klauzul zgód: 2026-08 (bez zmian).
Poprzednie wersje udostępniamy na żądanie: rodo@optif.pl
Kontakt: biuro@optif.pl | rodo@optif.pl | Tel: +48 536 152 161