Polityka prywatności i plików cookies serwisu zacheta.art.pl

Wersja: 1.0
Data aktualizacji: 19 sierpnia 2026 r.

W skrócie: szanujemy Twoją prywatność i zbieramy tylko dane potrzebne do działania serwisu, obsługi konta, newslettera, formularzy, wydarzeń, zakupów oraz bezpieczeństwa. Opcjonalne technologie analityczne, marketingowe i treści zewnętrzne uruchamiamy dopiero po Twojej zgodzie.

W tej polityce wyjaśniamy, jakie dane przetwarzamy podczas korzystania z serwisu zacheta.art.pl, dlaczego to robimy, komu możemy je przekazać, jak długo je przechowujemy i jakie prawa Ci przysługują.

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych jest Zachęta – Narodowa Galeria Sztuki z siedzibą przy pl. Małachowskiego 3, 00-916 Warszawa.

Kontakt ogólny: informacja@zacheta.art.pl, tel. 22 219 92 98.

Inspektor Ochrony Danych: Paweł Mościcki, e-mail: iodo@zacheta.art.pl. Możesz również napisać na adres siedziby Zachęty z dopiskiem „IOD”.

2. Czego dotyczy ta polityka

Polityka obejmuje serwis zacheta.art.pl, w tym konto użytkownika, ulubione treści, newsletter, formularze, e-księgarnię oraz funkcje dostępne bezpośrednio w serwisie.

Niektóre działania prowadzą do odrębnych serwisów, np. systemu sprzedaży biletów, operatora płatności albo serwisu społecznościowego. W takim przypadku dane są przetwarzane także na zasadach określonych przez danego dostawcę. Informację o tym pokazujemy przed przejściem do zewnętrznej usługi lub w jej interfejsie.

3. Kiedy i po co przetwarzamy dane

3.1. Korzystanie z serwisu i bezpieczeństwo

Podczas wizyty serwer zapisuje dane techniczne, takie jak adres IP, data i czas żądania, odwiedzony adres, kod odpowiedzi, typ przeglądarki i urządzenia, strona odsyłająca oraz informacje o błędach. Korzystamy z nich, aby wyświetlić stronę, utrzymać jej bezpieczeństwo, diagnozować problemy i zapobiegać nadużyciom.

Podstawa prawna: art. 6 ust. 1 lit. e RODO w zakresie zadań realizowanych w interesie publicznym, a w pozostałym zakresie – art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa i sprawności serwisu.

3.2. Konto użytkownika i ulubione

Jeżeli zakładasz konto, przetwarzamy adres e-mail, dane uwierzytelniające oraz informacje związane z kontem, np. zapisane wystawy, wydarzenia, obiekty z kolekcji, publikacje i multimedia. Dane są potrzebne do utworzenia konta, logowania, zapamiętywania wybranych treści i obsługi zgłoszeń dotyczących konta.

Podstawa prawna: art. 6 ust. 1 lit. b RODO – wykonanie usługi świadczonej na Twoje żądanie.

Założenie konta nie wymaga zgody na newsletter. Zgody marketingowe są dobrowolne i można je wycofać niezależnie od konta.

3.3. Newsletter

Jeżeli zapisujesz się do newslettera, przetwarzamy Twój adres e-mail, wybraną listę tematyczną, informacje o potwierdzeniu zapisu oraz historię zgody i rezygnacji. Możesz wybrać newsletter Zachęty, newsletter dla nauczycieli albo obie listy.

Podstawa prawna: Twoja zgoda – art. 6 ust. 1 lit. a RODO. Wiadomości wysyłamy zgodnie z art. 398 ustawy Prawo komunikacji elektronicznej.

Zapis potwierdzamy wiadomością wysłaną na podany adres e-mail. Z newslettera możesz zrezygnować w każdej chwili, korzystając z linku w wiadomości lub pisząc do nas. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

3.4. Kontakt, formularze i zgłoszenia

Gdy kontaktujesz się z nami e-mailem, telefonicznie lub przez formularz, przetwarzamy dane podane w wiadomości, w szczególności dane kontaktowe oraz treść sprawy. Dotyczy to również zapytań o zbiory, zgłoszeń do open calli, rekrutacji uczestników, próśb o dostępność i innych formularzy publikowanych w serwisie.

Podstawa prawna zależy od sprawy: art. 6 ust. 1 lit. b RODO, gdy odpowiadamy na prośbę związaną z umową lub usługą; art. 6 ust. 1 lit. c lub e RODO, gdy realizujemy obowiązek prawny albo zadanie publiczne; w pozostałych sprawach – art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes polegający na obsłudze korespondencji i obronie roszczeń.

3.5. Wydarzenia, warsztaty i dostępność

Przy zapisach na wydarzenie możemy poprosić o imię i nazwisko, adres e-mail, numer telefonu, wybrany termin, rodzaj biletu oraz inne informacje potrzebne do organizacji udziału. Podstawą jest art. 6 ust. 1 lit. b RODO, a w przypadku działań realizowanych jako zadanie publiczne także art. 6 ust. 1 lit. e RODO.

Jeżeli dobrowolnie przekazujesz informacje o zdrowiu lub niepełnosprawności, abyśmy mogli zapewnić dostępność albo bezpieczny udział, przetwarzamy je wyłącznie w niezbędnym zakresie na podstawie Twojej wyraźnej zgody – art. 9 ust. 2 lit. a RODO. Zgodę możesz wycofać w każdym czasie.

3.6. E-księgarnia

Przy składaniu i realizacji zamówienia przetwarzamy dane identyfikacyjne i kontaktowe, adres dostawy, informacje o zamówieniu, płatności, dostawie, fakturze, zwrocie lub reklamacji. Dane wykorzystujemy do zawarcia i wykonania umowy, obsługi płatności i wysyłki, rozliczeń oraz dochodzenia lub obrony roszczeń.

Podstawa prawna: art. 6 ust. 1 lit. b RODO – wykonanie umowy; art. 6 ust. 1 lit. c RODO – obowiązki podatkowe, księgowe i konsumenckie; art. 6 ust. 1 lit. f RODO – ustalanie, dochodzenie lub obrona roszczeń.

Płatności elektroniczne obsługują PayU lub PayPal, zależnie od wybranej metody. Dane niezbędne do dostawy otrzymuje operator pocztowy lub kurierski. Dostawcy ci przetwarzają dane zgodnie z własnymi obowiązkami prawnymi i politykami prywatności.

3.7. Bilety online

Sprzedaż biletów online jest obsługiwana przy użyciu usługi Iksoris oraz Przelewy24. Po uruchomieniu modułu zakupu dane wymagane do transakcji są przekazywane bezpośrednio do operatora usługi. Jeżeli Zachęta otrzymuje dane dotyczące zakupu lub udziału, przetwarza je w zakresie potrzebnym do realizacji wizyty, rozliczeń, obsługi zwrotu lub reklamacji.

3.8. Statystyka, multimedia i media społecznościowe

Za Twoją zgodą możemy korzystać z narzędzi analitycznych, piksela Meta, materiałów YouTube i Vimeo oraz funkcji Facebooka. Usługi te mogą otrzymywać adres IP, identyfikatory internetowe, informacje o urządzeniu i aktywności w serwisie. Opcjonalne narzędzia uruchamiamy dopiero po wybraniu odpowiedniej kategorii w Ustawieniach prywatności.

Podstawa prawna: Twoja zgoda – art. 6 ust. 1 lit. a RODO oraz art. 399 ustawy Prawo komunikacji elektronicznej.

Samo kliknięcie zwykłego linku prowadzącego do profilu Zachęty w serwisie społecznościowym oznacza przejście do zewnętrznego serwisu, w którym obowiązują zasady danego operatora.

4. Pliki cookies i podobne technologie

Cookies to niewielkie informacje zapisywane w urządzeniu lub odczytywane z niego podczas korzystania z serwisu. Podobną funkcję mogą pełnić piksele, identyfikatory i pamięć przeglądarki.

• Niezbędne – umożliwiają działanie strony, sesji, konta, koszyka, bezpieczeństwa i zapamiętanie ustawień prywatności.
• Funkcjonalne – pozwalają uruchomić dodatkowe funkcje, np. logowanie przez Facebooka, wideo lub zewnętrzny moduł.
• Analityczne – pomagają nam zrozumieć, jak działa serwis i które treści są użyteczne.
• Marketingowe – służą do mierzenia skuteczności kampanii i działania narzędzi reklamowych.

Niezbędne technologie stosujemy w zakresie koniecznym do dostarczenia usługi, o którą prosisz. Pozostałe uruchamiamy dopiero po Twojej zgodzie. Możesz zaakceptować wszystkie kategorie, odrzucić opcjonalne albo wybrać własne ustawienia. Zgodę możesz później zmienić lub wycofać w panelu „Ustawienia prywatności” dostępnym w stopce serwisu. Wycofanie zgody jest równie łatwe jak jej udzielenie.

Usługi, które mogą działać w serwisie

• zacheta.art.pl — Sesja, konto, koszyk, bezpieczeństwo i ustawienia prywatności. Kiedy uruchamiana: automatycznie – technologie niezbędne.
• Google reCAPTCHA — Ochrona formularzy przed spamem i automatycznymi zgłoszeniami. Kiedy uruchamiana: gdy korzystasz z chronionego formularza.
• Google Analytics 4 / Tag Manager — Statystyka odwiedzin i pomiar działania serwisu. Kiedy uruchamiana: po zgodzie analitycznej.
• Meta Pixel — Pomiar skuteczności komunikacji i kampanii. Kiedy uruchamiana: po zgodzie marketingowej.
• Facebook Login — Logowanie lub rejestracja przy użyciu konta Facebook. Kiedy uruchamiana: po zgodzie funkcjonalnej i wybraniu tej opcji.
• YouTube / Vimeo — Wyświetlanie osadzonych materiałów wideo. Kiedy uruchamiana: po zgodzie funkcjonalnej i uruchomieniu materiału.
• Iksoris / Przelewy24 — Wyświetlenie modułu i zakup biletu online. Kiedy uruchamiana: po wybraniu zakupu biletu.
• PayU / PayPal — Realizacja wybranej płatności w e-księgarni. Kiedy uruchamiana: po wybraniu metody płatności.

Aktualna lista konkretnych cookies i podobnych technologii – wraz z nazwą, dostawcą, celem i czasem działania – jest dostępna w panelu „Ustawienia prywatności”. Lista jest aktualizowana, gdy zmienia się konfiguracja serwisu.

5. Komu możemy przekazywać dane

Dane mogą otrzymywać wyłącznie podmioty, które potrzebują ich do wykonania określonego zadania, w szczególności:

• dostawcy hostingu, utrzymania serwisu, poczty elektronicznej, cyberbezpieczeństwa i wsparcia IT;
• dostawca systemu newsletterowego i narzędzia do zarządzania zgodami;
• Iksoris, Przelewy24 – w związku ze sprzedażą biletów online;
• PayU, PayPal, operator pocztowy lub kurier – w związku z płatnością i dostawą zamówienia;
• Google, Meta, YouTube i Vimeo – tylko w zakresie wynikającym z Twoich ustawień lub działania, które samodzielnie inicjujesz;
• podmioty świadczące usługi prawne, audytowe, księgowe lub archiwizacyjne;
• organy publiczne – jeżeli obowiązek przekazania danych wynika z prawa.

Dostawcy działający na nasze zlecenie otrzymują dane na podstawie umów i wyłącznie zgodnie z naszymi instrukcjami. Nie sprzedajemy danych osobowych.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Niektórzy dostawcy technologii są częścią międzynarodowych grup i mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych. W takim przypadku dane są przekazywane na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni poziom ochrony albo standardowych klauzul umownych, a gdy jest to potrzebne – także z zastosowaniem dodatkowych zabezpieczeń. Informacje o mechanizmach stosowanych przez danego dostawcę znajdziesz w jego polityce prywatności.

7. Jak długo przechowujemy dane

• Dane konta – do usunięcia konta albo zakończenia usługi, a później tylko przez okres potrzebny do rozliczeń lub obrony roszczeń.
• Newsletter – do wycofania zgody; później zachowujemy jedynie informacje potrzebne do wykazania, kiedy i na co udzielono zgody, do upływu właściwego terminu przedawnienia.
• Korespondencja i formularze – do zakończenia sprawy, a następnie przez okres wynikający z przepisów archiwalnych, kancelaryjnych albo terminów dochodzenia roszczeń.
• Wydarzenia i warsztaty – do zakończenia i rozliczenia wydarzenia; informacje o szczególnych potrzebach usuwamy po wydarzeniu, chyba że dalsze przechowywanie jest wymagane przez prawo lub potrzebne do obrony roszczeń.
• Zamówienia w e-księgarni – przez czas realizacji umowy, reklamacji i zwrotów; dokumentację podatkową i księgową co do zasady przez 5 lat od końca roku, w którym upłynął właściwy termin podatkowy.
• Logi techniczne – przez okres niezbędny do zapewnienia bezpieczeństwa, wykrywania nadużyć i wyjaśniania incydentów, a następnie są usuwane lub anonimizowane.
• Cookies i podobne technologie – przez czas wskazany przy danej technologii w panelu „Ustawienia prywatności” albo do wcześniejszego wycofania zgody.

8. Jakie prawa Ci przysługują

W zależności od podstawy i okoliczności przetwarzania możesz żądać:

• dostępu do danych i otrzymania ich kopii;
• sprostowania nieprawidłowych danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przeniesienia danych, jeżeli przetwarzanie odbywa się automatycznie na podstawie zgody lub umowy;
• wniesienia sprzeciwu, jeżeli podstawą jest art. 6 ust. 1 lit. e lub f RODO;
• wycofania zgody w dowolnym momencie, jeżeli przetwarzanie odbywa się na podstawie zgody.

Aby skorzystać z praw, napisz do Inspektora Ochrony Danych na iodo@zacheta.art.pl. Możemy poprosić o informacje potrzebne do potwierdzenia tożsamości.

Masz również prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Aktualne dane kontaktowe znajdują się na stronie uodo.gov.pl.

9. Czy podanie danych jest obowiązkowe

Podanie danych jest co do zasady dobrowolne. Jeżeli dane są potrzebne do wykonania wybranej usługi, ich brak może uniemożliwić np. utworzenie konta, wysłanie odpowiedzi, zapis na wydarzenie, zakup biletu lub realizację zamówienia. Pola obowiązkowe oznaczamy w formularzu.

10. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec użytkowników serwisu decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały. Wybór newslettera dla nauczycieli służy jedynie dopasowaniu tematyki wiadomości. Narzędzia analityczne i marketingowe mogą tworzyć statystyki lub grupy odbiorców, ale uruchamiamy je wyłącznie po uzyskaniu zgody.

11. Jak chronimy dane

Stosujemy środki techniczne i organizacyjne dopasowane do rodzaju danych i ryzyka, w szczególności kontrolę dostępu, zabezpieczenia transmisji, kopie bezpieczeństwa, aktualizacje systemów oraz zasady reagowania na incydenty. Dostęp do danych otrzymują wyłącznie osoby i podmioty, które go potrzebują.

12. Zmiany polityki

Politykę aktualizujemy, gdy zmieniają się przepisy, funkcje serwisu, dostawcy albo sposób przetwarzania danych. Na początku dokumentu zawsze podajemy numer wersji i datę aktualizacji. O ważnych zmianach poinformujemy w serwisie, a gdy będzie to potrzebne – również bezpośrednio.