Audyt SEO
Polityka prywatności aplikacji Audyt SEO
Ten dokument wykonuje obowiązek informacyjny z art. 13 rozporządzenia (UE) 2016/679 (RODO). Opisuje, jakie dane przetwarzamy, po co, komu je powierzamy, jak długo je trzymamy i jakie masz prawa.
1. Administrator i kontakt
Administratorem Twoich danych osobowych jest Kosma Mastalerz, adres zamieszkania: Karnice 42, 96-330 Puszcza Mariańska, osoba fizyczna działająca pod marką „mastalex” (dalej: „my”). W sprawach danych osobowych pisz na adres mastalex.kontakt@gmail.com albo dzwoń: +48 503 642 317.
Nie powołaliśmy inspektora ochrony danych, ponieważ nie mamy takiego obowiązku (art. 37 RODO).
2. Jakie dane przetwarzamy
- Dane konta: adres e-mail, imię (jeżeli je podasz), informacja o potwierdzeniu adresu, sposób logowania (hasło albo Google), data założenia i ostatniego logowania. Przy logowaniu przez Google otrzymujemy od Google Twój adres e-mail, imię i nazwisko oraz identyfikator konta. Hasła nie znamy: przechowuje je w postaci zabezpieczonego skrótu usługa uwierzytelniania Google Firebase.
- Akceptacja dokumentów: wersja Regulaminu i Polityki prywatności oraz data i godzina akceptacji.
- Dane Audytów: adresy stron, które zlecasz do analizy, wybrane usługi Google, status, podsumowania i pliki Raportów.
- Dane połączenia z Google (tylko gdy je włączysz): adres e-mail konta Google, zakres udzielonego dostępu, zaszyfrowany token dostępu oraz dane statystyczne Twojej witryny pobierane podczas Audytu (opis w punkcie 7).
- Dane techniczne: adres IP, typ przeglądarki i urządzenia, czas i adres żądań, zapisywane w dziennikach serwera i usługi logowania.
- Dane osób trzecich na analizowanych stronach: Audyt pobiera publicznie dostępną treść strony, którą wskażesz. Jeżeli ta strona zawiera dane osobowe (np. imiona i nazwiska autorów albo dane kontaktowe), mogą one znaleźć się w materiale analizowanym w trakcie Audytu. Nie wyszukujemy ich celowo, nie łączymy z innymi danymi i nie używamy do innych celów. Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w wykonaniu zleconej analizy SEO. Przechowujemy je tylko w Raporcie, przez okres z punktu 6.
- Dane zamówień płatnych: adres strony, cena, status i data płatności, identyfikatory płatności w Stripe, wersja Regulaminu oraz treść i chwila złożenia oświadczenia o rozpoczęciu Audytu przed upływem 14 dni. Danych karty nie znamy: wpisujesz je w formularzu Stripe i trafiają bezpośrednio do Stripe. Stripe może też poprosić o adres rozliczeniowy, jeżeli wymaga go metoda płatności.
- Korespondencja: treść wiadomości, które do nas wyślesz, w tym reklamacji i oświadczeń o odstąpieniu od umowy.
Podanie danych konta jest dobrowolne, ale bez nich nie założysz Konta i nie skorzystasz z Aplikacji. Połączenie z Google jest w pełni dobrowolne.
3. Cele i podstawy prawne
| Cel | Podstawa prawna (RODO) |
|---|---|
| Założenie i prowadzenie Konta, logowanie, potwierdzenie adresu e-mail, wykonanie Audytów, historia, połączenie z Google na Twoje żądanie, pobranie kopii i usunięcie danych | art. 6 ust. 1 lit. b: wykonanie umowy (Regulaminu) |
| Bezpieczeństwo Aplikacji, zapobieganie nadużyciom, limity Audytów, dzienniki techniczne | art. 6 ust. 1 lit. f: nasz prawnie uzasadniony interes w ochronie usługi i użytkowników |
| Dowód akceptacji Regulaminu, ustalenie, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f: prawnie uzasadniony interes |
| Rozpatrywanie reklamacji i odpowiedzi na wiadomości | art. 6 ust. 1 lit. b i c: umowa oraz obowiązki z ustawy o prawach konsumenta |
| Przyjęcie płatności za Audyt, potwierdzenie zamówienia, zwroty, obsługa odstąpienia od umowy | art. 6 ust. 1 lit. b i c: umowa oraz obowiązki z ustawy o prawach konsumenta |
| Ewidencja sprzedaży i przechowywanie dowodów sprzedaży | art. 6 ust. 1 lit. c: obowiązki z przepisów podatkowych |
Nie wysyłamy marketingu, nie używamy narzędzi analitycznych ani reklamowych, nie sprzedajemy danych i nie tworzymy profili w celach marketingowych. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu w rozumieniu art. 22 RODO: sztuczna inteligencja ocenia stronę internetową, nie Ciebie.
4. Odbiorcy danych
Dane powierzamy dostawcom, którzy przetwarzają je wyłącznie na nasze polecenie, na podstawie umów powierzenia (art. 28 RODO):
| Dostawca | Co robi | Gdzie |
|---|---|---|
| Google Cloud (Google Cloud EMEA Ltd., Irlandia) | serwer Aplikacji (Cloud Run), baza danych (Firestore), pliki Raportów (Cloud Storage), szyfrowanie (Cloud KMS), sekrety, dzienniki | region europe-central2, Warszawa |
| Google Firebase Authentication / Identity Platform (Google) | logowanie, przechowywanie kont i haseł, wysyłka e-maili weryfikacyjnych i resetu hasła, kod logowania w przeglądarce (www.gstatic.com) | wyłącznie centra danych Google w USA |
| Anthropic Ireland, Limited (Irlandia) | model AI Claude, który wykonuje Audyt | przetwarzanie w USA, przez Anthropic, PBC |
| Stripe Payments Europe, Limited (Irlandia) | przyjmowanie płatności za Audyty i zwroty (więcej poniżej) | UE oraz spółki grupy Stripe w USA |
Co trafia do Anthropic: adres audytowanej strony, publicznie dostępna treść tej strony oraz, jeżeli połączysz Google, statystyki witryny z Search Console i Analytics. Nie przekazujemy Anthropic Twojego adresu e-mail, imienia ani danych logowania. Warunki komercyjne Anthropic zakazują mu trenowania modeli na tych danych. Anthropic usuwa je w ciągu 30 dni, chyba że musi je zachować dłużej w związku z naruszeniem zasad korzystania (do 2 lat) lub z mocy prawa.
Płatności: obsługuje je Stripe Payments Europe, Limited (Irlandia). Przekazujemy Stripe adres e-mail Konta, nazwę usługi, cenę i identyfikator zamówienia. Dane płatnicze (np. numer karty, dane BLIK, adres rozliczeniowy) podajesz bezpośrednio w formularzu Stripe. Stripe przetwarza dane częściowo na nasze polecenie, a częściowo jako odrębny administrator, w szczególności w celu zapobiegania oszustwom i wykonania własnych obowiązków prawnych (np. przeciwdziałania praniu pieniędzy), na zasadach Polityki prywatności Stripe.
Poczta: potwierdzenia zamówień i korespondencję wysyłamy z naszej skrzynki Gmail (mastalex.kontakt@gmail.com). Wiadomość zawiera Twój adres e-mail, adres audytowanej strony, numer i cenę zamówienia. Google przechowuje ją w skrzynce nadawczej jako dostawca poczty, na zasadach Polityki prywatności Google.
Gdy logujesz się przez Google albo łączysz konto Google, Google LLC przetwarza dane także jako odrębny administrator, na zasadach Polityki prywatności Google.
Dane możemy też udostępnić organom publicznym, gdy wymaga tego prawo.
5. Przekazywanie danych poza Europejski Obszar Gospodarczy
Do USA trafiają: dane konta i logowania (Firebase Authentication działa wyłącznie w centrach danych w USA), dane Audytów przetwarzane przez model AI (Anthropic) oraz, przy płatności, dane przetwarzane przez spółki grupy Stripe. Podstawą przekazania jest:
- dla Stripe: decyzja Komisji Europejskiej o odpowiednim stopniu ochrony w ramach EU-U.S. Data Privacy Framework (Stripe jest uczestnikiem) oraz standardowe klauzule umowne;
- dla Google: decyzja Komisji Europejskiej o odpowiednim stopniu ochrony w ramach EU-U.S. Data Privacy Framework (Google LLC jest uczestnikiem) oraz standardowe klauzule umowne;
- dla Anthropic: standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914, zawarte w umowie powierzenia Anthropic (Data Processing Addendum). Anthropic nie deklaruje udziału w Data Privacy Framework.
Kopię zabezpieczeń możesz otrzymać, pisząc na adres z punktu 1.
6. Jak długo przechowujemy dane
| Dane | Okres |
|---|---|
| Konto, historia Audytów, akceptacja dokumentów | do usunięcia Konta |
| Pliki Raportów | 90 dni od wykonania Audytu (usuwane automatycznie) |
| Dostęp do Google (zaszyfrowany token) | do odłączenia Google albo usunięcia Konta |
| Dzienniki serwera (m.in. adres IP) | do 30 dni |
| Adresy IP w usłudze logowania Firebase | kilka tygodni; kopie zapasowe Google usuwa do 180 dni od usunięcia Konta |
| Dane przesłane do Anthropic | do 30 dni (wyjątki w punkcie 4) |
| Niedokończona rejestracja | bez akceptacji Regulaminu: do ok. 24 godzin; bez potwierdzenia e-maila: do ok. 7 dni (potem usuwamy konto automatycznie) |
| Reklamacje i korespondencja | do upływu terminu przedawnienia roszczeń |
| Opłacone zamówienia (dowód sprzedaży, oświadczenie o rozpoczęciu Audytu) | 5 lat od końca roku, w którym upłynął termin płatności podatku za rok sprzedaży; także po usunięciu Konta, wtedy już bez powiązania z Kontem |
| Zamówienia nieopłacone | do usunięcia Konta |
7. Dane z kont Google (Search Console, Analytics)
- Prosimy wyłącznie o uprawnienia tylko do odczytu:
webmasters.readonly(Search Console) ianalytics.readonly(Google Analytics 4), a także o adres e-mail konta Google, żeby pokazać, które konto jest połączone. - Odczytujemy listę Twoich usług w Search Console i GA4, żebyś mógł wybrać witrynę, a podczas zleconego Audytu: zapytania, wyświetlenia, kliknięcia, pozycje, stan indeksowania i ruch organiczny wybranej witryny.
- Używamy tych danych wyłącznie do wykonania Audytu, który zlecasz, i do pokazania Ci jego wyników. Przekazujemy je tylko modelowi AI (Anthropic), który wykonuje Audyt, i nikomu innemu. Nie używamy ich do reklam, nie sprzedajemy ich i nie wykorzystujemy do trenowania modeli AI. Nie czytamy ich bez Twojej wyraźnej zgody, poza przypadkami bezpieczeństwa i obowiązków prawnych.
- Token dostępu przechowujemy zaszyfrowany kluczem w Cloud KMS. Podczas Audytu proces analizy dostaje wyłącznie krótkotrwały token tylko do odczytu (ważny ok. godzinę), nigdy token trwały. Po odłączeniu Google unieważniamy token w Google i usuwamy go.
- Korzystanie z informacji otrzymanych z interfejsów API Google i ich przekazywanie jest zgodne z Google API Services User Data Policy, w tym z wymogami Limited Use. Our use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.
8. Twoje prawa
Masz prawo do:
- dostępu do danych i otrzymania ich kopii (art. 15) oraz przenoszenia danych (art. 20): w zakładce „Moje konto” przyciskiem „Pobierz moje dane”;
- sprostowania danych (art. 16);
- usunięcia danych (art. 17): w zakładce „Moje konto” przyciskiem „Usuń konto”;
- ograniczenia przetwarzania (art. 18);
- sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21);
- cofnięcia dostępu do Google w każdej chwili, bez wpływu na zgodność z prawem wcześniejszego przetwarzania;
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).
Pozostałe prawa wykonasz, pisząc na adres z punktu 1. Odpowiemy w ciągu miesiąca.
9. Pliki cookies i pamięć przeglądarki
Aplikacja zapisuje w przeglądarce wyłącznie informacje niezbędne do świadczenia usługi, o którą prosisz. Na podstawie art. 399 ust. 3 ustawy Prawo komunikacji elektronicznej nie wymagają one zgody, dlatego Aplikacja nie wyświetla banera cookies.
| Nazwa | Cel | Czas |
|---|---|---|
__session | utrzymanie zalogowania (sesja); niedostępne dla skryptów (httpOnly), przesyłane tylko szyfrowanym połączeniem | 5 dni albo do wylogowania |
| pamięć sesji domeny mastalex-audyt.firebaseapp.com | tylko przy logowaniu przez Google: przekazanie wyniku logowania z okna Google do Aplikacji | na czas logowania |
__stripe_mid, __stripe_sid, m (Stripe) | tylko gdy przejdziesz do płatności: bezpieczeństwo płatności i wykrywanie oszustw. Ustawia je formularz Stripe (skrypt z js.stripe.com), który wczytujemy dopiero po kliknięciu „Przejdź do płatności” | według zasad Stripe |
Formularz Stripe zbiera przy tym informacje o urządzeniu i przebiegu płatności (m.in. adres IP), żeby odróżnić prawdziwego klienta od oszusta. Nie używamy cookies analitycznych, reklamowych ani śledzących. Pliki cookies możesz usunąć lub zablokować w ustawieniach przeglądarki, ale bez cookie sesji logowanie nie zadziała. Strony Google (np. ekran logowania i zgody) stosują własne pliki cookies na zasadach Google.
10. Bezpieczeństwo
Stosujemy m.in.: szyfrowane połączenie (HTTPS), przechowywanie danych w regionie Warszawa, szyfrowanie tokenów Google kluczem w Cloud KMS, sesje w plikach cookie niedostępnych dla skryptów, możliwość wylogowania ze wszystkich urządzeń, wymagane potwierdzenie adresu e-mail, reguły siły hasła, nagłówki bezpieczeństwa przeglądarki oraz dostęp do danych ograniczony do niezbędnych kont serwisowych. Proces, który analizuje cudze strony, działa w odizolowanym środowisku bez dostępu do bazy danych, kluczy szyfrujących i danych innych Użytkowników.
11. Zmiany polityki
O istotnych zmianach poinformujemy e-mailem przed ich wejściem w życie. Jeżeli zmiana dotyczy nowego sposobu użycia danych z Google, poprosimy o zgodę, zanim zaczniemy z nich tak korzystać.