Polityka prywatności

Data wejścia w życie: 1 listopada 2026

Wersja skrócona

Nikt nie czyta polityk prywatności. Dlatego oto całość w dziesięciu linijkach, a pełna wersja poniżej.

• To Ty jesteś właścicielem swoich danych. W przypadku rezerwacji dokonywanych przez Twoje konto Cal.com, to Ty jesteś administratorem, a my podmiotem przetwarzającym, zgodnie z Umową powierzenia przetwarzania danych dostępną pod adresem cal.com/dpa, która jest częścią naszych Warunków świadczenia usług dla każdego konta, darmowego i płatnego. Przetwarzamy je w Twoim imieniu i nikomu ich nie sprzedajemy, nigdy.
• Zbieramy minimum. Imiona i nazwiska, adresy e-mail, numery telefonów i wszystko, o co pytasz w pytaniach rezerwacyjnych. Do tego nudne techniczne rzeczy, które dostaje każda strona: adres IP, przeglądarka, wyświetlone strony.
• Baza danych to miejsce, w którym przechowujemy dane osobowe. Nie w naszych logach, nie w analityce, nie w arkuszu kalkulacyjnym. Nasze własne zasady inżynieryjne zakazują danych osobowych w logach, raportach błędów i zdarzeniach analitycznych. Wysyłamy identyfikatory, nie ludzi.
• Korzystamy z podwykonawców przetwarzania i wymieniamy ich wszystkich. Hosting, e-mail, SMS, wideo, płatności, AI, analityka, monitoring, wsparcie i nasze własne narzędzia zaplecza, które mogą zobaczyć Twoje dane. Pełna tabela i ich cel są w naszym Centrum zaufania; zanim zacznie działać nowy, przekazujemy właścicielom kont wcześniejsze pisemne powiadomienie e-mailem, w produkcie albo inną udokumentowaną metodą elektroniczną, wystarczająco wcześnie, aby można było sprawdzić zmianę i zgłosić sprzeciw.
• Funkcje AI są dobrowolne i wąsko ukierunkowane. Notatki ze spotkań AI wysyłają tekst transkrypcji (bez tytułów, bez listy uczestników, bez linków). Agenci telefoniczni AI wysyłają numer telefonu i dane gościa potrzebne do wykonania połączenia. Nic nie jest używane do trenowania czyichkolwiek modeli.
• Twoje aplikacje to Twój wybór. Gdy łączysz Google Calendar, Zoom, Salesforce albo webhook, dane trafiają tam, bo tak zdecydowałeś. To Twoje integracje, działające według Twoich instrukcji.
• Brak plików cookie firm trzecich w produkcie. Nasza strona marketingowa korzysta jednak z analityki i pomiaru reklam. Zobacz sekcję o plikach cookie.
• Możesz wyeksportować swoje dane albo je usunąć. W każdej chwili, samodzielnie albo e-mailem. Usunięcie oznacza usunięcie, także u naszych podwykonawców przetwarzania.
• Pytania: [email protected]. Prawdziwi ludzie, nie formularz.

Kto jest kim: administrator a podmiot przetwarzający

To często myli ludzi, więc zaczynamy od tego.

Cal.com — nasi właśni dostawcy usług. Aby prowadzić własną działalność, korzystamy z dostawców usług, którzy widzą dane kontaktowe naszych klientów, na przykład Documenso i Fusial do elektronicznego podpisywania umów i DPA (Stany Zjednoczone). Działają zgodnie z naszymi instrukcjami i nie są podwykonawcami przetwarzania Twoich danych.

Co to oznacza: jeśli jesteś uczestnikiem, który zarezerwował spotkanie, i chcesz usunąć swoje dane, najszybsza droga prowadzi przez osobę, u której rezerwowałeś. Pomożemy w każdym przypadku i przekażemy prośbę dalej.

Co zbieramy

Dane, które Ty i osoby rezerwujące u Ciebie nam podajecie

• Dane konta: imię i nazwisko, e-mail, nazwa użytkownika, hash hasła lub tożsamość SSO, strefa czasowa, zdjęcie profilowe i Twoja dostępność. Podczas rejestracji możemy wyszukać zdjęcie profilowe dla Twojego adresu e-mail przez AvatarAPI; możesz je zastąpić lub usunąć.
• Dane rezerwacji: imiona i nazwiska uczestników oraz ich adresy e-mail, numery telefonów, gdy używane są przypomnienia SMS lub połączenia telefoniczne, tytuły i lokalizacje spotkań, odpowiedzi na pytania rezerwacyjne, notatki, listy gości, powody anulowania i przełożenia.
• Dane rozliczeniowe: nazwa firmy, adres rozliczeniowy i dane karty płatniczej. Karta trafia prosto do Stripe, a my nigdy jej nie widzimy ani nie przechowujemy.
• Dane wsparcia: wszystko, co do nas napiszesz, plus kontekst konta dołączony do rozmowy.

Dane, które zbieramy automatycznie

• Adres IP, przeglądarka i urządzenie, adres URL odsyłający, wyświetlone strony i znaczniki czasu.
• Zdarzenia użycia produktu (których funkcji używasz i jak często) powiązane z nieczytelnym ID, nie z Twoim adresem e-mail.
• Diagnostyka błędów i wydajności, gdy coś się psuje.

Czego świadomie nie robimy

• Nie zbieramy celowo danych szczególnych kategorii. Twoje pytania rezerwacyjne mogą jednak to robić. Jeśli pytasz o zdrowie, są to dane dotyczące zdrowia na Twoim koncie Cal.com i to Ty odpowiadasz za zgodne z prawem pytanie o nie. Zobacz „Informacje o zdrowiu”.
• Nie zbieramy świadomie danych od osób poniżej 18 lat.
• Nie budujemy profili reklamowych z danych rezerwacji ani nie sprzedajemy ani nie wynajmujemy danych osobowych.

Co to oznacza: przechowujemy to, co potrzebne, aby dodać spotkanie do dwóch kalendarzy, rozliczać Cię i wspierać. Najciekawsze dane osobowe, czyli odpowiedzi osób rezerwujących u Ciebie, przechowujemy dla Ciebie, nie dla siebie.

Dlaczego możemy to robić (podstawy prawne, art. 6 GDPR)

Podmioty podprzetwarzające: kto jeszcze ma kontakt z danymi osobowymi

Korzystamy z usług innych firm, aby obsługiwać Cal.com. Każdy podmiot podprzetwarzający ma z nami umowę powierzenia przetwarzania danych, otrzymuje tylko to, czego potrzebuje, i przetwarza dane wyłącznie na nasze polecenie. To, co robią i gdzie przetwarzają dane, znajdziesz w naszym Centrum zaufania.

Jak informujemy Cię o zmianach. Zanim nowy lub zastępczy podmiot podprzetwarzający zacznie przetwarzać Dane osobowe klienta, przekazujemy Ci wcześniejsze pisemne powiadomienie e-mailem do administratora Twojego konta lub kontaktu ds. prywatności/prawnych, powiadomieniem w produkcie albo inną udokumentowaną metodą elektroniczną. Dokładamy komercyjnie uzasadnionych starań, aby zrobić to na tyle wcześnie, by dać Ci czas na przejrzenie zmiany i zgłoszenie sprzeciwu (DPA §6.3-6.4). Sama aktualizacja listy podmiotów podprzetwarzających nie jest naszym jedynym sposobem powiadamiania.

Jeśli sprzeciwiasz się z rozsądnych i uzasadnionych powodów związanych z ochroną danych, możesz zrobić to zgodnie z opisem w DPA. Jeśli masz pytania o podmiot podprzetwarzający, napisz na [email protected].

Reklama i identyfikacja leadów (strona marketingowa i narzędzia marketingowe, nie produkt)

Zarządza nimi nasz zespół marketingu, a nie kod produktu; widzą wyłącznie dane ze strony marketingowej i list marketingowych, nigdy dane rezerwacji, odpowiedzi uczestników ani nic z Twojego konta Cal.com.

Dostawcy z tej kategorii (Google Analytics i Tag Manager, X Ads, atrybucja witryny Dub, tagi reklamowe LinkedIn i Meta) działają wyłącznie na stronie marketingowej za Twoją zgodą i są wymienieni w banerze plików cookie; nie są podmiotami podprzetwarzającymi dane rezerwacji.

Co to oznacza: jeśli jesteś w EOG lub Wielkiej Brytanii, dostawcy dopasowywania odbiorców i identyfikacji odwiedzających nie działają dla Ciebie. W każdym innym miejscu możesz ich wyłączyć, odrzucając marketingowe pliki cookie albo używając Global Privacy Control.

Aplikacje i integracje, które łączysz

Gdy łączysz aplikację, polecasz nam wysyłać do niej dane. Robimy dokładnie to i nic więcej.

• Kalendarze: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: tytuły wydarzeń, opisy, godziny, lokalizacje, imiona i nazwiska oraz adresy e-mail organizatora i uczestników, a także dane o wolnych/zajętych terminach.
• Wideo: Zoom, Google Meet, Microsoft Teams i inne: szczegóły spotkania potrzebne do utworzenia linku.
• CRM i automatyzacja: Salesforce, HubSpot, Pipedrive i podobne: imię i nazwisko oraz e-mail uczestnika, szczegóły spotkania i odpowiedzi na pytania rezerwacyjne.
• Automatyzacja i linki: Zapier, Dub, Close i podobne integracje z App Store, które łączysz, działają na Twoim własnym koncie u tego dostawcy.
• Webhooki i Twój własny serwer SMTP: podajesz endpoint lub serwer pocztowy; otrzymuje on wszystko, co zawierają zdarzenia, które subskrybujesz.

Co to oznacza: to są Twoje podmioty przetwarzające, nie nasze. Obowiązują ich polityki prywatności, a odłączenie aplikacji zatrzymuje przepływ danych. Nie możemy usunąć tego, co już jest w Twoim CRM.

Informacje zdrowotne (PHI)

Cal.com nie jest produktem zdrowotnym, ale rezerwacje mogą zawierać informacje zdrowotne: pytanie w formularzu wstępnym, tytuł spotkania, notatki. Jeśli używasz Cal.com do czegokolwiek objętego HIPAA, te dane są chronione tylko na tyle, na ile chroni je stojąca za nimi umowa: poproś nas o Business Associate Agreement (dostępne w planach Teams i wyższych; napisz na [email protected] albo zapytaj dział pomocy lub sprzedaży) i podpisz ją, zanim zaczniesz je zbierać, chyba że Twój formularz zamówienia lub inna podpisana z nami umowa wyraźnie na to pozwala; nie umieszczaj ich też w polach rezerwacji, które są kopiowane do aplikacji firm trzecich.

Jak długo je przechowujemy

Dokąd trafiają Twoje dane

Jesteśmy firmą z USA i dane są przetwarzane w Stanach Zjednoczonych; niektóre podmioty podprzetwarzające przetwarzają je gdzie indziej (zobacz tabelę). W przypadku transferów z EOG i Wielkiej Brytanii Cal.com, Inc. uczestniczy w EU-U.S. Data Privacy Framework i jego UK Extension oraz poświadczyła zgodność z nimi. Tam, gdzie Data Privacy Framework nie obejmuje transferu, oraz w przypadku Szwajcarii, opieramy się na standardowych klauzulach umownych UE z 2021 r., UK Addendum i szwajcarskich zmianach, wypełnionych w naszym załączniku SCC pod adresem cal.com/dpa-scc, który stanowi część DPA, zgodnie z opisem w sekcji Data Privacy Framework poniżej. Naszą certyfikację możesz zweryfikować na DPF List pod adresem https://www.dataprivacyframework.gov/list. Swiss-U.S. Data Privacy Framework obecnie nie ma zastosowania. Jeśli potrzebujesz rezydencji danych w UE, skontaktuj się z nami pod adresem [email protected].

EU-U.S. Data Privacy Framework i UK Extension

Cal.com, Inc. przestrzega EU-U.S. Data Privacy Framework (EU-U.S. DPF) oraz UK Extension to the EU-U.S. DPF, zgodnie z zasadami określonymi przez U.S. Department of Commerce. Cal.com, Inc. poświadczyła Departamentowi, że przestrzega zasad EU-U.S. DPF w odniesieniu do danych osobowych niezwiązanych z HR, otrzymywanych z Unii Europejskiej i Europejskiego Obszaru Gospodarczego na podstawie EU-U.S. DPF oraz ze Zjednoczonego Królestwa i Gibraltaru na podstawie UK Extension. To zobowiązanie nie obejmuje danych HR pracowników przekazywanych do wykorzystania w stosunku pracy. Jeśli ta polityka jest sprzeczna z zasadami DPF, obowiązują zasady. Dowiedz się więcej o programie i zobacz Cal.com na liście Data Privacy Framework pod adresem https://www.dataprivacyframework.gov/list.

Dane objęte ochroną mogą obejmować imiona i nazwiska, adresy e-mail, numery telefonów, szczegóły konta i profilu, dostępność, szczegóły rezerwacji i spotkań, odpowiedzi na pytania w rezerwacji, informacje rozliczeniowe i dotyczące wsparcia oraz informacje o stronie, urządzeniu, użyciu i bezpieczeństwie. Klienci mogą konfigurować pytania w rezerwacji, które zbierają dane wrażliwe. Używamy danych objętych ochroną do świadczenia usług planowania i usług powiązanych, zarządzania kontami, rezerwacjami i płatnościami, komunikacji z użytkownikami i uczestnikami, zapewniania wsparcia, zabezpieczania i ulepszania usługi oraz prowadzenia marketingu tam, gdzie jest to dozwolone. Inne sekcje tej polityki opisują te dane i cele bardziej szczegółowo.

Ujawniamy odpowiednie dane objęte ochroną dostawcom usług i podprocesorom na potrzeby hostingu, przechowywania, e-maili i SMS, wideo, płatności, wsparcia, analiz, bezpieczeństwa i funkcji opcjonalnych, a także integracjom wybranym przez klientów. Nasze Centrum zaufania wymienia podprocesorów i ich cele. Możemy też ujawniać dane osobowe, gdy wymaga tego prawo. Zgodnie z zasadą odpowiedzialności za dalsze przekazywanie w ramach DPF, Cal.com pozostaje odpowiedzialne, jeśli agent przetwarza dane objęte ochroną niezgodnie z Zasadami, chyba że Cal.com udowodni, że nie odpowiadało za zdarzenie, które doprowadziło do szkody.

Osoby fizyczne mogą poprosić o dostęp do danych objętych ochroną oraz o poprawienie, zmianę lub usunięcie danych, które są niedokładne albo przetwarzane z naruszeniem Zasad. Tam, gdzie wymaga tego zasada wyboru DPF, osoby fizyczne mogą zrezygnować, zanim dane objęte ochroną zostaną ujawnione stronie trzeciej lub użyte w istotnie innym celu. Tam, gdzie ta Zasada wymaga wyraźnej zgody na informacje wrażliwe, uzyskamy ją przed odpowiednim użyciem lub ujawnieniem. Wyślij prośby na [email protected]. W przypadku danych rezerwacji, które przetwarzamy zgodnie z instrukcjami klienta, skoordynujemy z nim obsługę prośby.

Osoby z UE i Wielkiej Brytanii powinny najpierw wysyłać zapytania lub skargi dotyczące DPF do Cal.com, Inc., dział prywatności i zgodności, 2261 Market Street #4382, San Francisco, CA 94114, Stany Zjednoczone; [email protected]; +1 415 212 6667. Felix Kolodziej, kierownik ds. zgodności, jest też dostępny pod adresem [email protected]. Odpowiemy na skargi dotyczące DPF w ciągu 45 dni. W przypadku nierozwiązanych skarg dotyczących danych objętych ochroną zobowiązujemy się współpracować i stosować do zaleceń panelu ustanowionego przez unijne organy ochrony danych w odniesieniu do danych z UE oraz brytyjskiego Information Commissioner’s Office i Gibraltar Regulatory Authority w odniesieniu do danych z Wielkiej Brytanii i Gibraltaru. Te niezależne mechanizmy odwoławcze są dostępne dla osób fizycznych bezpłatnie.

Cal.com, Inc. podlega uprawnieniom dochodzeniowym i egzekucyjnym Federalnej Komisji Handlu USA w zakresie zgodności z EU-U.S. DPF i UK Extension. W określonych warunkach osoby fizyczne mogą skorzystać z wiążącego arbitrażu w przypadku pozostałych roszczeń dotyczących zgodności z DPF. Możemy być zobowiązani do ujawnienia danych objętych ochroną w odpowiedzi na zgodne z prawem żądania organów publicznych, w tym w celu spełnienia wymogów bezpieczeństwa narodowego lub egzekwowania prawa.

Pliki cookie

• W aplikacji: pliki cookie do logowania, zapamiętywania preferencji i bezpieczeństwa. Brak zewnętrznych reklamowych plików cookie.
• Na stronie marketingowej: analityczne i służące do pomiaru reklam pliki cookie wymienione powyżej. Możesz je odrzucić.
• Uznajemy sygnały Global Privacy Control i Do Not Track.

Twoje prawa

Niezależnie od tego, gdzie mieszkasz, możesz poprosić nas o: dostęp do swoich danych, poprawienie ich, usunięcie ich, eksport ich, ograniczenie lub sprzeciw wobec przetwarzania, albo wycofanie zgody. Jeśli jesteś w Kalifornii, dochodzi jeszcze: wiedza o tym, co zbieramy, usunięcie tego, poprawienie oraz rezygnacja ze sprzedaży lub udostępniania. Nie sprzedajemy ani nie udostępniamy tych danych, więc nie ma z czego rezygnować. Jeśli jesteś w EOG lub Wielkiej Brytanii, możesz też złożyć skargę do swojego organu ochrony danych.

Większość z tego zrobisz samodzielnie w ustawieniach. W przeciwnym razie napisz na [email protected] i odpowiemy w terminach wymaganych przez obowiązujące prawo. Najpierw poprosimy Cię o potwierdzenie tożsamości i nie będziemy traktować Cię gorzej za to, że pytasz.

Bezpieczeństwo

Szyfrowanie podczas przesyłania i w spoczynku, dostęp zgodnie z zasadą najmniejszych uprawnień, SSO i 2FA, audytowana infrastruktura oraz program bug bounty. Szczegóły i nasze aktualne raporty: cal.com/security. Żaden system nie jest idealnie bezpieczny; jeśli coś pójdzie nie tak, poinformujemy dotkniętych tym klientów bez zbędnej zwłoki po tym, jak dowiemy się o naruszeniu ochrony danych osobowych, zgodnie z wymogami naszej umowy DPA.

Zmiany w tej polityce

Opublikujemy tu nową wersję i zaktualizujemy datę wejścia w życie. O istotnych zmianach, takich jak nowa kategoria podprocesorów lub nowe użycie danych, powiadomimy Cię przed ich wejściem w życie e-mailem, powiadomieniem w produkcie lub inną udokumentowaną metodą elektroniczną.

Kontakt

Kontakt ds. prywatności: [email protected]

Przedstawiciel w UE (art. 27 GDPR): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Niemcy, [email protected]

Formalne zawiadomienia: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Stany Zjednoczone, z kopią do [email protected]

Pozostałe sprawy: [email protected]

Archiwum polityki prywatności