Polityka prywatności Dianique

Wersja 1.1 · Data wejścia w życie: 14 października 2026 r.

§1. Administrator danych

1. Administratorem danych osobowych w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”) jest Yahor Fadzin, prowadzący jednoosobową działalność gospodarczą pod firmą Yahor Fadzin, NIP: 5273062132, REGON: 525623252, adres: ul. Siedmiogrodzka 1 lok. 130, 01-204 Warszawa („Dianique”, „my”). 2. Kontakt we wszystkich sprawach dotyczących danych osobowych: [email protected] lub listownie na adres wskazany w ust. 1. Nie powołaliśmy inspektora ochrony danych (nie mamy takiego obowiązku na podstawie art. 37 RODO). 3. Polityka dotyczy: 1. aplikacji mobilnej Dianique na iOS i Android („Aplikacja”), przeznaczonej dla specjalistów i ich zespołów; 2. serwisu internetowego www.dianiquebeauty.com, w tym publicznych stron rezerwacji online specjalistów („Serwis Rezerwacji”); 3. wiadomości e-mail i powiadomień push wysyłanych w związku z korzystaniem z Aplikacji i Serwisu Rezerwacji.

§2. Kim są osoby, których dane przetwarzamy — i w jakiej roli

• Specjalista — osoba zakładająca konto w Aplikacji (indywidualny specjalista, właściciel salonu/studia) — Nasza rola: Administrator; Kto decyduje o celach przetwarzania: Dianique • Członek zespołu — pracownik lub współpracownik zaproszony przez właściciela do jego przestrzeni roboczej — Nasza rola: Administrator (dane konta) / Podmiot przetwarzający (dane kadrowe); Kto decyduje o celach przetwarzania: Dianique / właściciel salonu • Klient z kontem — osoba, która założyła konto w Serwisie Rezerwacji — Nasza rola: Administrator danych konta; Kto decyduje o celach przetwarzania: Dianique • Klient Specjalisty — osoba, która zarezerwowała wizytę (także bez konta) lub której dane Specjalista wpisał do swojej bazy — Nasza rola: Podmiot przetwarzający (art. 28 RODO); Kto decyduje o celach przetwarzania: Specjalista • Odwiedzający Serwis Rezerwacji — Nasza rola: Administrator; Kto decyduje o celach przetwarzania: Dianique 1. Dane Klientów Specjalisty (baza klientów/CRM, wizyty, notatki, zdjęcia, formularze zgód) przetwarzamy wyłącznie w imieniu i na polecenie Specjalisty, na podstawie umowy powierzenia przetwarzania danych (umowa-powierzenia.md). Ich administratorem jest Specjalista (lub salon), u którego klient rezerwuje wizytę: to on decyduje, jakie dane zbiera, jak długo je przechowuje i do czego wykorzystuje (np. przypomnienia, informacje marketingowe). Prawa wobec tych danych należy w pierwszej kolejności realizować u Specjalisty; jeżeli zgłosisz się do nas, przekażemy żądanie Specjaliście i pomożemy mu je wykonać. 2. Jedna osoba może mieć kilka ról jednocześnie (np. Klient z kontem, którego dane są także w bazach kilku Specjalistów). Dane konta w Serwisie Rezerwacji i dane w bazie danego Specjalisty są odrębnymi zbiorami: usunięcie konta nie usuwa wpisów prowadzonych przez Specjalistów i odwrotnie.

§3. Jakie dane przetwarzamy, w jakich celach i na jakiej podstawie

3.1. Specjaliści i członkowie zespołu (Aplikacja)

• adres e-mail, hasło (przechowywane wyłącznie w postaci skrótu kryptograficznego), identyfikator konta Apple lub Google (przy logowaniu przez Apple/Google) — Cel: założenie i obsługa konta, logowanie, bezpieczeństwo konta; Podstawa prawna: art. 6 ust. 1 lit. b RODO (umowa) • imię i nazwisko, telefon, zdjęcie profilowe, data urodzenia (opcjonalnie), język, opis i tytuł zawodowy na stronie publicznej — Cel: profil, wyświetlanie Specjalisty na jego stronie rezerwacji; Podstawa prawna: art. 6 ust. 1 lit. b RODO • dane przestrzeni roboczej: nazwa salonu/studia, adres, telefon kontaktowy, linki do mediów społecznościowych, logo, zdjęcie w tle, portfolio, usługi, cennik, grafik — Cel: prowadzenie kalendarza i publicznej strony rezerwacji; Podstawa prawna: art. 6 ust. 1 lit. b RODO • dane finansowe własnej działalności (przychody, koszty, napiwki, cele), a w zespołach — warunki wynagrodzenia i czas pracy członków zespołu — Cel: raporty finansowe, rozliczenia zespołu; Podstawa prawna: art. 6 ust. 1 lit. b RODO (wobec Specjalisty); wobec członka zespołu — jako podmiot przetwarzający (§2) • status subskrypcji, identyfikator transakcji i produktu, okres próbny — przekazywane przez Apple/Google za pośrednictwem RevenueCat; nie mamy dostępu do danych karty płatniczej — Cel: obsługa subskrypcji i uprawnień; Podstawa prawna: art. 6 ust. 1 lit. b RODO; art. 6 ust. 1 lit. c RODO (obowiązki podatkowe i rachunkowe) • token powiadomień push urządzenia, platforma (iOS/Android) — Cel: powiadomienia o wizytach i zdarzeniach na koncie; Podstawa prawna: art. 6 ust. 1 lit. b RODO • raporty awarii (Firebase Crashlytics): przebieg błędu, model urządzenia, wersja systemu i Aplikacji, identyfikator użytkownika — Cel: wykrywanie i usuwanie błędów, stabilność Aplikacji; Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: działająca i bezpieczna usługa) • statystyki korzystania z Aplikacji (Firebase Analytics): otwierane ekrany i wykonane czynności (np. rejestracja, zakończenie onboardingu, zakup), wersja Aplikacji, identyfikator użytkownika — Cel: analiza i rozwój Aplikacji; Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) w związku z art. 399 ustawy — Prawo komunikacji elektronicznej; zgodę można w każdej chwili wycofać w ustawieniach Aplikacji • treść zgłoszeń do pomocy technicznej i adres e-mail do odpowiedzi — Cel: obsługa zgłoszeń i reklamacji; Podstawa prawna: art. 6 ust. 1 lit. b i f RODO • dane dotyczące naruszeń Regulaminu, zgłoszeń treści niezgodnych z prawem i podjętych decyzji — Cel: moderacja treści, obowiązki z rozporządzenia (UE) 2022/2065 (DSA); Podstawa prawna: art. 6 ust. 1 lit. c i f RODO

3.2. Klienci z kontem w Serwisie Rezerwacji

• adres e-mail, hasło (skrót), identyfikator konta Google (przy logowaniu przez Google), preferowany język — Cel: założenie i obsługa konta, logowanie; Podstawa prawna: art. 6 ust. 1 lit. b RODO • imię, nazwisko, telefon, data urodzenia (opcjonalnie), ustawienia powiadomień i zgód — Cel: uzupełnianie danych przy kolejnych rezerwacjach, zarządzanie zgodami; Podstawa prawna: art. 6 ust. 1 lit. b RODO • powiązanie konta z wpisami w bazach Specjalistów (na podstawie tego samego adresu e-mail) — Cel: wyświetlenie w jednym miejscu wizyt u różnych Specjalistów, odwoływanie i przenoszenie wizyt; Podstawa prawna: art. 6 ust. 1 lit. b RODO • token powiadomień push (jeżeli włączysz powiadomienia) — Cel: powiadomienia o wizytach; Podstawa prawna: art. 6 ust. 1 lit. b RODO

3.3. Rezerwacje (także bez konta) — dane powierzone przez Specjalistę

1. Przy rezerwacji podajesz: imię, nazwisko (opcjonalnie), adres e-mail, numer telefonu (opcjonalnie), komentarz do wizyty, a także decydujesz o zgodzie na przypomnienia e-mail i — osobno — na informacje marketingowe od Specjalisty. Do rezerwacji zapisujemy wybraną usługę, termin i osobę wykonującą. 2. Administratorem tych danych jest Specjalista, u którego rezerwujesz (§2 ust. 1). Specjalista może uzupełniać Twój wpis w swojej bazie o dalsze dane, np. historię wizyt, notatki, zdjęcia „przed i po”, receptury koloryzacji, saldo bonów i przedpłat, a w studiach tatuażu i piercingu — formularz wywiadu i zgody zawierający informacje o zdrowiu (np. alergie, przyjmowane leki, ciąża). Dane o zdrowiu stanowią szczególną kategorię danych (art. 9 RODO) — za istnienie podstawy prawnej ich przetwarzania (w szczególności wyraźnej zgody klienta) odpowiada Specjalista; Dianique przechowuje je wyłącznie w jego imieniu, nie analizuje ich i nie wykorzystuje do własnych celów. 3. Wiadomości o rezerwacji (potwierdzenie, przypomnienie, zmiana, odwołanie, zalecenia po zabiegu) wysyłamy w imieniu Specjalisty. Wiadomości marketingowe Specjalisty wysyłane są wyłącznie po potwierdzeniu zgody linkiem w wiadomości e-mail (podwójna zgoda) i można z nich zrezygnować w każdej wiadomości lub w ustawieniach konta.

3.4. Odwiedzający Serwis Rezerwacji (również przy rezerwacji)

• adres IP, dane techniczne zapytania (przeglądarka, czas, adres podstrony) — Cel: dostarczenie strony (hosting, CDN), ochrona przed nadużyciami — boty, masowe i fałszywe rezerwacje, limity prób; Podstawa prawna: art. 6 ust. 1 lit. f RODO (bezpieczeństwo usługi i ochrona Specjalistów przed fałszywymi rezerwacjami) • sygnały przeglądarki oceniane przez Cloudflare Turnstile (weryfikacja „czy jesteś człowiekiem”) — Cel: ochrona formularzy przed botami; Podstawa prawna: art. 6 ust. 1 lit. f RODO • domena adresu e-mail (np. „gmail.com” — bez części przed „@”) — Cel: sprawdzenie w publicznym DNS Google, czy domena może odbierać pocztę (wykrycie literówek); Podstawa prawna: art. 6 ust. 1 lit. f RODO; wynik nie jest zapisywany • anonimowe statystyki ścieżki rezerwacji: losowy identyfikator sesji, kroki (strona → usługa → termin → rezerwacja), źródło wejścia (np. parametry UTM), typ urządzenia — bez imienia, e-maila i telefonu — Cel: statystyki skuteczności strony rezerwacji udostępniane Specjaliście; Podstawa prawna: art. 6 ust. 1 lit. f RODO (interes Specjalisty i nasz w ocenie skuteczności strony) • własne statystyki odwiedzin serwisu: wyświetlenia stron, rejestracje i logowania, język, typ urządzenia, domena strony odsyłającej, losowy identyfikator sesji — bez danych kontaktowych — Cel: analiza i rozwój Serwisu Rezerwacji; Podstawa prawna: art. 6 ust. 1 lit. a RODO — wyłącznie po wyrażeniu zgody w banerze plików cookie (kategoria „Analityka”) • raporty błędów technicznych (Sentry): komunikat i przebieg błędu, adres podstrony bez parametrów, typ przeglądarki i systemu — bez adresu IP i plików cookie — Cel: wykrywanie i usuwanie błędów; Podstawa prawna: art. 6 ust. 1 lit. f RODO • treść formularza opinii lub kontaktu, opcjonalny adres e-mail do odpowiedzi, adres podstrony — Cel: obsługa zgłoszenia; Podstawa prawna: art. 6 ust. 1 lit. f RODO Zasady korzystania z pamięci przeglądarki i plików cookie opisuje Polityka plików cookie.

3.5. Dochodzenie roszczeń i obowiązki prawne

Niezależnie od powyższego możemy przetwarzać dane w zakresie niezbędnym do ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO) oraz do wykonania obowiązków prawnych, np. podatkowych, rachunkowych, wynikających z DSA lub z żądań uprawnionych organów (art. 6 ust. 1 lit. c RODO).

§4. Dobrowolność podania danych

Podanie danych jest dobrowolne. Bez adresu e-mail (lub konta Apple/Google) nie można założyć konta, a bez imienia i adresu e-mail — dokonać rezerwacji online. Pola oznaczone jako opcjonalne można pominąć. Brak zgody na analitykę i marketing nie ogranicza korzystania z usług.

§5. Odbiorcy danych

1. Dane powierzamy wyłącznie podmiotom, które pomagają nam świadczyć usługi, na podstawie umów powierzenia (art. 28 RODO) lub — gdy dostawca działa jako odrębny administrator (np. sklepy z aplikacjami) — na podstawie jego regulaminu i polityki prywatności: • Supabase, Inc. — Zakres: baza danych, uwierzytelnianie, przechowywanie plików (zdjęcia, wideo, logo), funkcje serwerowe; Lokalizacja przetwarzania: UE — Frankfurt nad Menem, Niemcy (eu-central-1); wsparcie techniczne: USA • Cloudflare, Inc. — Zakres: hosting Serwisu Rezerwacji, sieć CDN, ochrona przed atakami i botami (Turnstile); Lokalizacja przetwarzania: globalna sieć, w tym USA • Plus Five Five, Inc. (Resend) — Zakres: wysyłka wiadomości e-mail (logowanie, rezerwacje, przypomnienia, wiadomości od Specjalisty, zgłoszenia); Lokalizacja przetwarzania: USA • 650 Industries, Inc. (Expo) — Zakres: przekazywanie powiadomień push do Apple i Google; Lokalizacja przetwarzania: USA • Apple Inc. / Apple Distribution International Ltd. — Zakres: logowanie przez Apple, App Store, płatności za subskrypcję, powiadomienia push (APNs); Lokalizacja przetwarzania: UE / USA • Google Ireland Ltd. / Google LLC — Zakres: logowanie przez Google, Google Play i płatności, powiadomienia push (FCM), Firebase Crashlytics i Analytics, publiczny DNS, mapy Google; Lokalizacja przetwarzania: UE / USA • RevenueCat, Inc. — Zakres: zarządzanie subskrypcjami i weryfikacja zakupów; Lokalizacja przetwarzania: USA • Functional Software, Inc. (Sentry) — Zakres: raporty błędów Serwisu Rezerwacji; Lokalizacja przetwarzania: USA lub UE (zależnie od regionu projektu Sentry) 2. Specjaliści otrzymują dane rezerwacji dokonanych na ich stronie, a członkowie zespołu — dane w zakresie nadanych im uprawnień. 3. Dane możemy udostępnić organom publicznym, gdy obowiązek taki wynika z przepisów prawa. 4. Nie sprzedajemy danych osobowych, nie udostępniamy ich w celach reklamowych i nie korzystamy z narzędzi reklamowych ani śledzących użytkownika między aplikacjami lub witrynami innych podmiotów.

§6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część odbiorców wskazanych w §5 przetwarza dane w USA lub w innych państwach trzecich. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework — w odniesieniu do podmiotów nim objętych) albo standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) wraz z dodatkowymi zabezpieczeniami stosowanymi przez dostawcę. Kopię zabezpieczeń można otrzymać, kontaktując się z nami (§1 ust. 2).

§7. Okres przechowywania danych

• konto Specjalisty, członka zespołu lub Klienta — Okres: do usunięcia konta; dane są usuwane niezwłocznie po usunięciu konta, a z kopii zapasowych — w ciągu 30 dni • dane w bazie Specjalisty (Klienci Specjalisty, wizyty, notatki, zdjęcia, formularze) — Okres: decyduje Specjalista; po usunięciu konta przez Specjalistę lub zakończeniu umowy — usunięcie w ciągu 30 dni (§9 Umowy powierzenia) • przestrzeń robocza bez subskrypcji i bez logowania zespołu przez 12 miesięcy — Okres: usunięcie wraz z danymi Klientów po uprzedzeniu właściciela e-mailem 30 i 7 dni wcześniej (§13 ust. 6 Regulaminu dla Specjalistów) • dane rozliczeniowe i dowody księgowe — Okres: 5 lat od końca roku, w którym upłynął termin płatności podatku (obowiązki podatkowe) • adresy IP używane do ochrony przed nadużyciami — Okres: 1 dzień (powiązane z rezerwacją) albo 7 dni (limity prób) • statystyki odwiedzin Serwisu (za zgodą) — Okres: 13 miesięcy • statystyki ścieżki rezerwacji — Okres: 25 miesięcy • dziennik wysłanych wiadomości (e-mail/push) — Okres: 12 miesięcy • raporty awarii i statystyki Firebase — Okres: raporty awarii (Crashlytics) — 90 dni; statystyki (Google Analytics dla Firebase) — nie dłużej niż 14 miesięcy • raporty błędów Sentry — Okres: nie dłużej niż 90 dni • zgłoszenia do pomocy technicznej, reklamacje, zgłoszenia treści (DSA) — Okres: 3 lata od zakończenia sprawy (okres przedawnienia roszczeń) • dane w pamięci przeglądarki — Okres: do wylogowania, usunięcia konta lub wyczyszczenia danych witryny w przeglądarce (Polityka plików cookie) • dane przetwarzane na podstawie zgody — Okres: do jej wycofania (bez wpływu na zgodność z prawem przetwarzania przed wycofaniem)

§8. Twoje prawa

1. Masz prawo do: dostępu do danych i otrzymania ich kopii (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20), wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21), a także do wycofania zgody w dowolnym momencie. 2. Żądania prosimy kierować na adres [email protected]. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca (z możliwością przedłużenia o dwa miesiące w sprawach złożonych — art. 12 ust. 3 RODO). Możemy poprosić o informacje potwierdzające tożsamość. 3. Masz prawo wnieść skargę do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl — lub do organu nadzorczego w państwie członkowskim UE swojego zwykłego pobytu. 4. W odniesieniu do danych przetwarzanych w imieniu Specjalisty (§2 ust. 1) prawa realizuje Specjalista jako administrator; pomagamy mu w tym.

§9. Usunięcie konta

1. Specjalista i członek zespołu: w Aplikacji: Profil → Konto → Usuń konto. Usunięcie konta właściciela przestrzeni roboczej usuwa także tę przestrzeń wraz z danymi jego klientów, wizytami, zdjęciami i stroną rezerwacji — przed usunięciem możesz poprosić nas o przekazanie kopii danych w formacie nadającym się do odczytu maszynowego ([email protected]). Instrukcja usunięcia konta bez instalowania Aplikacji: https://www.dianiquebeauty.com/account-deletion. 2. Klient z kontem: w Serwisie Rezerwacji: Konto → Ustawienia → Usuń konto. Wpisy prowadzone przez Specjalistów, u których rezerwowałeś wizyty, pozostają u nich — o ich usunięcie możesz poprosić Specjalistę lub nas (przekażemy żądanie). 3. Konto możesz też usunąć, pisząc z adresu przypisanego do konta na [email protected]. 4. Usunięcie konta nie anuluje subskrypcji kupionej w App Store lub Google Play — anuluje się ją w ustawieniach konta Apple lub Google.

§10. Zautomatyzowane podejmowanie decyzji

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołują wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływają. Automatyczne mechanizmy ochrony przed nadużyciami (limity prób, weryfikacja Turnstile) mogą czasowo uniemożliwić wysłanie formularza — w takim przypadku możesz spróbować ponownie lub skontaktować się ze Specjalistą bezpośrednio.

§11. Dzieci

Aplikacja jest przeznaczona dla osób pełnoletnich prowadzących działalność zawodową. Konto w Serwisie Rezerwacji może założyć osoba, która ukończyła 16 lat. Rezerwacji w imieniu osoby młodszej dokonuje jej rodzic lub opiekun. Nie zbieramy świadomie danych dzieci poniżej 16 lat w ramach własnych celów.

§12. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w szczególności: szyfrowanie transmisji (TLS), szyfrowanie danych w spoczynku u dostawcy infrastruktury, kontrolę dostępu na poziomie wierszy bazy danych (Row Level Security) oddzielającą dane poszczególnych Specjalistów, prywatne magazyny plików z czasowo ważnymi odnośnikami, przechowywanie haseł wyłącznie w postaci skrótu, ochronę przed botami i limity prób, minimalizację danych w statystykach i raportach błędów oraz regularne kopie zapasowe. O naruszeniu ochrony danych powodującym wysokie ryzyko poinformujemy osoby, których dotyczy (art. 34 RODO).

§13. Zmiany polityki

Politykę możemy zmieniać w związku ze zmianą przepisów, usług lub dostawców. Aktualna wersja jest zawsze dostępna pod adresem wskazanym na początku dokumentu, z datą wejścia w życie. O istotnych zmianach informujemy z wyprzedzeniem w Aplikacji, w Serwisie Rezerwacji lub e-mailem. Poprzednie wersje udostępniamy na żądanie.

Dianique Privacy Policy

§1. Controller

1. The controller of personal data under Regulation (EU) 2016/679 (“GDPR”) is Yahor Fadzin, a sole proprietor registered in Poland under the business name Yahor Fadzin, NIP (tax ID): 5273062132, REGON: 525623252, address: ul. Siedmiogrodzka 1 lok. 130, 01-204 Warszawa, Poland (“Dianique”, “we”). 2. Contact for all data-protection matters: [email protected] or by post to the address above. We have not appointed a data protection officer (not required under Art. 37 GDPR). 3. This policy covers: (1) the Dianique mobile app for iOS and Android (“App”) for specialists and their teams; (2) the website www.dianiquebeauty.com, including specialists’ public online booking pages (“Booking Site”); (3) e-mails and push notifications sent in connection with them.

§2. Whose data we process — and in what role

• Specialist — creates an account in the App (independent specialist, salon/studio owner) — Our role: Controller; Who decides the purposes: Dianique • Team member — invited by an owner to their workspace — Our role: Controller (account) / Processor (HR/pay data); Who decides the purposes: Dianique / salon owner • Client with an account on the Booking Site — Our role: Controller of the account data; Who decides the purposes: Dianique • Specialist’s Client — someone who booked (also as a guest) or whom a Specialist added to their client list — Our role: Processor (Art. 28 GDPR); Who decides the purposes: the Specialist • Visitor to the Booking Site — Our role: Controller; Who decides the purposes: Dianique 1. Specialists’ Client data (client list/CRM, visits, notes, photos, consent forms) is processed only on the Specialist’s behalf and instructions under a data processing agreement (umowa-powierzenia.md). Its controller is the Specialist (or salon) you book with: they decide what data is collected, how long it is kept and what it is used for (e.g. reminders, marketing). Please exercise your rights over this data with the Specialist first; if you contact us we will forward the request and help them handle it. 2. One person can hold several roles (e.g. a Client with an account whose details are also in several Specialists’ client lists). The Booking Site account and each Specialist’s client record are separate: deleting the account does not delete the Specialists’ records and vice versa.

§3. What data we process, why, and on what legal basis

3.1. Specialists and team members (App)

• e-mail, password (stored only as a cryptographic hash), Apple or Google account identifier (when signing in with Apple/Google) — Purpose: account creation and operation, sign-in, account security; Legal basis: Art. 6(1)(b) GDPR (contract) • name, phone, profile photo, date of birth (optional), language, public bio and title — Purpose: profile; showing the Specialist on their booking page; Legal basis: Art. 6(1)(b) • workspace data: salon/studio name, address, contact phone, social links, logo, cover image, portfolio, services, prices, schedule — Purpose: calendar and public booking page; Legal basis: Art. 6(1)(b) • own business finance (income, expenses, tips, goals); in teams — team members’ pay terms and working time — Purpose: finance reports, team payroll; Legal basis: Art. 6(1)(b) towards the Specialist; as processor towards team members (§2) • subscription status, transaction and product IDs, trial period — supplied by Apple/Google via RevenueCat; we never see card details — Purpose: subscriptions and entitlements; Legal basis: Art. 6(1)(b); Art. 6(1)(c) (tax and accounting) • device push token, platform — Purpose: notifications about appointments and account events; Legal basis: Art. 6(1)(b) • crash reports (Firebase Crashlytics): stack trace, device model, OS and App version, user ID — Purpose: finding and fixing bugs, App stability; Legal basis: Art. 6(1)(f) (legitimate interest in a working, secure service) • usage statistics (Firebase Analytics): screens opened and actions completed (e.g. sign-up, onboarding completed, purchase), App version, user ID — Purpose: App analysis and improvement; Legal basis: Art. 6(1)(a) (consent) together with Art. 399 of the Polish Electronic Communications Law; can be withdrawn at any time in App settings • support requests and reply e-mail — Purpose: support and complaints; Legal basis: Art. 6(1)(b) and (f) • data on breaches of the Terms, notices of illegal content and decisions taken — Purpose: content moderation, obligations under Regulation (EU) 2022/2065 (DSA); Legal basis: Art. 6(1)(c) and (f)

3.2. Clients with a Booking Site account

• e-mail, password (hash), Google account identifier (Google sign-in), preferred language — Purpose: account creation and sign-in; Legal basis: Art. 6(1)(b) • first and last name, phone, date of birth (optional), notification and consent settings — Purpose: pre-filling later bookings, managing consents; Legal basis: Art. 6(1)(b) • link between the account and Specialists’ client records (matched by the same e-mail) — Purpose: one place to see, cancel and reschedule visits with different Specialists; Legal basis: Art. 6(1)(b) • push token (if you enable notifications) — Purpose: appointment notifications; Legal basis: Art. 6(1)(b)

3.3. Bookings (including guest bookings) — data entrusted by the Specialist

1. When booking you give: first name, last name (optional), e-mail, phone (optional), a comment, and you choose whether to receive e-mail reminders and — separately — marketing from the Specialist. We record the chosen service, time and staff member. 2. The controller of this data is the Specialist you book with (§2(1)). The Specialist may add more to your record in their client list, e.g. visit history, notes, before/after photos, colour formulas, gift-card and prepayment balances and — in tattoo and piercing studios — an intake and consent form containing health information (e.g. allergies, medication, pregnancy). Health data is a special category (Art. 9 GDPR); the Specialist is responsible for having a legal basis (in particular the client’s explicit consent). Dianique only stores it on the Specialist’s behalf and does not analyse or use it for its own purposes. 3. Booking messages (confirmation, reminder, change, cancellation, aftercare) are sent on the Specialist’s behalf. The Specialist’s marketing messages are sent only after you confirm consent via a link in an e-mail (double opt-in); you can unsubscribe in every message or in account settings.

3.4. Booking Site visitors (including while booking)

• IP address, request metadata (browser, time, page address) — Purpose: delivering the site (hosting, CDN); abuse prevention — bots, mass and fake bookings, rate limits; Legal basis: Art. 6(1)(f) (service security; protecting Specialists from fake bookings) • browser signals evaluated by Cloudflare Turnstile (“are you human” check) — Purpose: protecting forms from bots; Legal basis: Art. 6(1)(f) • the domain of your e-mail address (e.g. “gmail.com” — not the part before “@”) — Purpose: checking via Google Public DNS whether the domain can receive mail (catching typos); Legal basis: Art. 6(1)(f); the result is not stored • anonymous booking-funnel statistics: random session ID, steps (page → service → slot → booking), traffic source (e.g. UTM parameters), device type — no name, e-mail or phone — Purpose: booking-page performance statistics shown to the Specialist; Legal basis: Art. 6(1)(f) (the Specialist’s and our interest in measuring the booking page) • first-party site statistics: page views, sign-ups and sign-ins, language, device type, referring site’s domain, random session ID — no contact details — Purpose: analysing and improving the Booking Site; Legal basis: Art. 6(1)(a) — only with your consent in the cookie banner (“Analytics” category) • technical error reports (Sentry): error message and stack trace, page address without parameters, browser and OS type — no IP address or cookies — Purpose: finding and fixing bugs; Legal basis: Art. 6(1)(f) • feedback/contact form content, optional reply e-mail, page address — Purpose: handling the request; Legal basis: Art. 6(1)(f) Browser storage and cookies are described in the Cookie Policy.

3.5. Legal claims and legal obligations

We may also process data as needed to establish, pursue or defend legal claims (Art. 6(1)(f)) and to comply with legal obligations, e.g. tax, accounting, DSA, or lawful requests from authorities (Art. 6(1)(c)).

§4. Is providing data mandatory?

Providing data is voluntary. Without an e-mail (or Apple/Google account) you cannot create an account, and without a name and e-mail you cannot book online. Optional fields may be skipped. Refusing analytics or marketing consent does not limit use of the services.

§5. Recipients

1. We share data only with providers that help us deliver the services, under data processing agreements (Art. 28 GDPR) or — where the provider acts as a separate controller (e.g. app stores) — under its own terms and privacy policy: • Supabase, Inc. — Scope: database, authentication, file storage (photos, videos, logos), server functions; Processing location: EU — Frankfurt, Germany (eu-central-1); support: US • Cloudflare, Inc. — Scope: Booking Site hosting, CDN, attack and bot protection (Turnstile); Processing location: global network incl. US • Plus Five Five, Inc. (Resend) — Scope: e-mail delivery (sign-in, bookings, reminders, Specialist messages, support); Processing location: US • 650 Industries, Inc. (Expo) — Scope: relaying push notifications to Apple and Google; Processing location: US • Apple Inc. / Apple Distribution International Ltd. — Scope: Sign in with Apple, App Store, subscription payments, push (APNs); Processing location: EU / US • Google Ireland Ltd. / Google LLC — Scope: Google sign-in, Google Play and payments, push (FCM), Firebase Crashlytics and Analytics, Public DNS, Google Maps; Processing location: EU / US • RevenueCat, Inc. — Scope: subscription management and purchase verification; Processing location: US • Functional Software, Inc. (Sentry) — Scope: Booking Site error reports; Processing location: US or EU (depending on the Sentry project region) 2. Specialists receive the data of bookings made on their page; team members receive data within the permissions granted to them. 3. We may disclose data to public authorities where the law requires it. 4. We do not sell personal data, share it for advertising, or use advertising tools or tracking across other companies’ apps or websites.

§6. Transfers outside the EEA

Some recipients in §5 process data in the US or other third countries. Transfers rely on a European Commission adequacy decision (EU-US Data Privacy Framework, for certified providers) or the European Commission’s Standard Contractual Clauses (Art. 46(2)(c) GDPR) with the provider’s supplementary safeguards. You can request a copy of the safeguards by contacting us (§1(2)).

§7. Retention

• Specialist, team member or Client account — Period: until the account is deleted; deleted immediately afterwards and from backups within 30 days • Specialist’s client-list data (clients, visits, notes, photos, forms) — Period: decided by the Specialist; after the Specialist deletes their account or the contract ends — deleted within 30 days (DPA §9) • Workspace with no subscription and no team login for 12 months — Period: deleted with its Client data after e-mailing the owner 30 and 7 days before (Specialist Terms §13(6)) • billing data and accounting records — Period: 5 years from the end of the year in which the tax payment deadline passed • IP addresses used for abuse prevention — Period: 1 day (tied to a booking) or 7 days (rate limits) • site statistics (with consent) — Period: 13 months • booking-funnel statistics — Period: 25 months • log of sent messages (e-mail/push) — Period: 12 months • Firebase crash reports and statistics — Period: crash reports (Crashlytics) — 90 days; statistics (Google Analytics for Firebase) — no longer than 14 months • Sentry error reports — Period: no longer than 90 days • support requests, complaints, illegal-content notices (DSA) — Period: 3 years after the matter is closed (limitation period) • browser storage — Period: until sign-out, account deletion or clearing site data in the browser (Cookie Policy) • data processed on the basis of consent — Period: until consent is withdrawn (without affecting the lawfulness of earlier processing)

§8. Your rights

1. You have the right to access and obtain a copy of your data (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), portability (Art. 20), to object to processing based on legitimate interest (Art. 21), and to withdraw consent at any time. 2. Send requests to [email protected]. We respond without undue delay and within one month (extendable by two months for complex requests — Art. 12(3) GDPR). We may ask for information to confirm your identity. 3. You may lodge a complaint with the Polish supervisory authority — President of the Personal Data Protection Office (UODO), ul. Stawki 2, 00-193 Warsaw, www.uodo.gov.pl — or with the supervisory authority of the EU member state where you live. 4. For data processed on a Specialist’s behalf (§2(1)), the Specialist as controller handles your rights; we assist them.

§9. Deleting your account

1. Specialist and team member: in the App: Profile → Account → Delete account. Deleting a workspace owner’s account also deletes that workspace together with its clients, appointments, photos and booking page — before deleting you can ask us for a copy of the data in a machine-readable format ([email protected]). Instructions for deleting without installing the App: https://www.dianiquebeauty.com/account-deletion. 2. Client with an account: on the Booking Site: Account → Settings → Delete account. Records kept by the Specialists you booked with remain with them — ask the Specialist or us (we will forward the request) to delete them. 3. You can also delete your account by e-mailing [email protected] from the address linked to the account. 4. Deleting the account does not cancel a subscription bought through the App Store or Google Play — cancel it in your Apple or Google account settings.

§10. Automated decision-making

We do not make decisions based solely on automated processing, including profiling, that produce legal effects concerning you or similarly significantly affect you. Automated abuse-prevention (rate limits, Turnstile) may temporarily block a form submission — you can retry or contact the Specialist directly.

§11. Children

The App is intended for adults acting in a professional capacity. A Booking Site account may be created by anyone aged 16 or over. Bookings for younger persons are made by a parent or guardian. We do not knowingly collect data of children under 16 for our own purposes.

§12. Security

We apply technical and organisational measures appropriate to the risk (Art. 32 GDPR), in particular: encryption in transit (TLS), encryption at rest at the infrastructure provider, database row-level security separating each Specialist’s data, private file storage with time-limited links, passwords stored only as hashes, bot protection and rate limits, data minimisation in statistics and error reports, and regular backups. We will notify affected persons of a personal data breach likely to result in a high risk (Art. 34 GDPR).

§13. Changes

We may change this policy when the law, our services or our providers change. The current version, with its effective date, is always available at the address at the top of this document. We announce material changes in advance in the App, on the Booking Site or by e-mail. Previous versions are available on request.