Polityka prywatności
Krótko: zbieramy tyle, ile trzeba, żeby wykonać analizę i wystawić fakturę. Dane trzymamy w Unii Europejskiej. Nie profilujemy i nie sprzedajemy niczego nikomu.
Administrator
Administratorem danych jest operator serwisu wskazany na stronie Dane operatora. W sprawach dotyczących danych osobowych piszcie na prywatnosc@substantly.eu.
Jakie dane i po co
- Konto
- Nazwa firmy lub sklepu, adres e-mail, hasło w postaci skrótu kryptograficznego. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO).
- Sklep i potwierdzenie własności
- Domena, metoda potwierdzenia, token weryfikacyjny i data potwierdzenia. Podstawa: wykonanie umowy oraz nasz prawnie uzasadniony interes polegający na tym, żeby nikt nie analizował cudzego sklepu (art. 6 ust. 1 lit. b i f RODO).
- Katalog produktów
- Tytuły, opisy i identyfikatory produktów, które wgrywasz lub przesyłasz przez API. To Twoje treści handlowe; co do zasady nie zawierają danych osobowych, a jeżeli je umieścisz, przetwarzamy je wyłącznie w celu wykonania analizy. Podstawa: wykonanie umowy.
- Wyniki analizy
- Wskazania, wersja zestawu reguł, poziom pewności i wygenerowane raporty. Podstawa: wykonanie umowy.
- Płatności
- Identyfikator płatności, kwota, kraj i dane do faktury. Danych karty nie widzimy ani nie przechowujemy. Podstawa: wykonanie umowy oraz obowiązek prawny w zakresie dokumentacji księgowej (art. 6 ust. 1 lit. b i c RODO).
- Dzienniki techniczne
- Adres IP, czas i ścieżka żądania, kod odpowiedzi — dla bezpieczeństwa i diagnostyki. Podstawa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
Czego nie robimy
- Nie prowadzimy analityki internetowej ani reklamowej po stronie przeglądarki
- Nie osadzamy skryptów, czcionek ani obrazów z serwerów osób trzecich
- Nie profilujemy i nie podejmujemy decyzji wyłącznie automatycznie ze skutkiem prawnym
- Nie sprzedajemy ani nie udostępniamy danych w celach marketingowych
Gdzie są dane
Aplikacja, baza danych i magazyn raportów działają w centrach danych na terenie Unii Europejskiej. Konfiguracja magazynu obiektowego odrzuca region spoza UE — to nie jest ustalenie organizacyjne, tylko warunek sprawdzany w kodzie przy starcie.
Rejestr czynności przetwarzania
Pełny wykaz: po co przetwarzamy dane, jakie to dane, na jakiej podstawie i jak długo je trzymamy.
| Cel | Dane | Podstawa prawna | Jak długo |
|---|---|---|---|
| Prowadzenie konta i logowanie | Adres e-mail, skrót hasła, rola, język, data potwierdzenia adresu | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) | Przez czas trwania konta; po zgłoszeniu zamknięcia jeszcze 14 dni |
| Potwierdzenie, że sklep należy do Ciebie | Domena, token weryfikacyjny, metoda i data każdego sprawdzenia | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) | Przez czas trwania konta |
| Sprawdzanie opisów produktów pod kątem twierdzeń środowiskowych | Tytuły, opisy i atrybuty produktów oraz zapisane wersje tych treści | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) | Bieżąca treść przez czas trwania konta; zapisane wersje przez 24 miesięcy |
| Pokazywanie ryzyka, gromadzenie dowodów i wykazywanie należytej staranności w czasie | Znalezione fragmenty, poziom ryzyka, pewność, deklaracje i załączone do nich dokumenty | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) | Deklaracje i dowody przez czas trwania konta; pojedyncze wyniki razem z wersją treści, której dotyczą (24 miesięcy) |
| Przyjmowanie płatności i wystawianie dokumentów księgowych | Kwota, waluta, dane do faktury, numer VAT, identyfikatory Stripe | Wykonanie umowy i obowiązek prawny (art. 6 ust. 1 lit. b i c RODO) | Przez okres wymagany przepisami podatkowymi, także po zamknięciu konta |
| Diagnostyka i bezpieczeństwo usługi | Identyfikator żądania, ścieżka, kod odpowiedzi, czas. Bez treści sklepu i bez kluczy | Prawnie uzasadniony interes: utrzymanie i bezpieczeństwo usługi (art. 6 ust. 1 lit. f RODO) | Krótko, na potrzeby diagnostyki |
Komu powierzamy dane
Korzystamy z dostawców, którzy przetwarzają dane na nasze polecenie: z infrastruktury hostingowej w UE, z operatora płatności Stripe (dane rozliczeniowe) oraz z dostawcy modelu językowego, który ocenia kontekst wskazanych fragmentów opisów. Z każdym z nich mamy zawartą umowę powierzenia przetwarzania. Aktualną listę podmiotów przetwarzających wraz z miejscem przetwarzania udostępniamy na żądanie pod adresem prywatnosc@substantly.eu.
Ta lista nie jest jeszcze kompletna. Dostawca hostingu i dostawca poczty nie zostali jeszcze wybrani, a miejsca przetwarzania nie są potwierdzone umowami. Uzupełnimy je przed uruchomieniem usługi — wolimy powiedzieć to wprost, niż wpisać tutaj coś, czego nie sprawdziliśmy.
| Podmiot | Po co | Jakie dane | Gdzie przetwarza |
|---|---|---|---|
| Anthropic | Model językowy, który ocenia, czy dany fragment tekstu jest twierdzeniem środowiskowym | Fragmenty opisów produktów wysyłane do oceny. Bez danych osobowych i bez danych o zamówieniach | jeszcze nieustalone |
| Stripe | Obsługa płatności | Dane do faktury, adres e-mail płatnika, kwota. Numeru karty nie widzimy i nie przechowujemy | jeszcze nieustalone |
| jeszcze nieustalone | Serwery, baza danych i miejsce na pliki | Wszystko, co usługa przechowuje | jeszcze nieustalone |
| jeszcze nieustalone | Wysyłka wiadomości transakcyjnych | Adres e-mail odbiorcy i treść wiadomości | jeszcze nieustalone |
Jak długo
Dane konta, sklepu, katalogu i raportów przechowujemy przez czas trwania konta. Zapisane wersje opisów produktów usuwamy po 24 miesiącach. Po zamknięciu konta zostają tylko dokumenty księgowe, przez okres wymagany przepisami. Logi techniczne trzymamy krótko, na potrzeby diagnostyki i bezpieczeństwa.
Jak chronimy te dane
Zapisane wersje opisów produktów i opisy dowodów są zaszyfrowane w bazie kluczem, którego sama baza nie zna. Panel wymaga zalogowania, klucze API przechowujemy wyłącznie jako skróty, a sekrety nie trafiają do logów. Kopie zapasowe odtwarzamy automatycznie i sprawdzamy ich zawartość, bo kopia, której nikt nigdy nie odtworzył, nie jest kopią.
Twoje prawa
Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Możesz też wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych. Katalog produktów możesz usunąć samodzielnie w panelu w dowolnym momencie.
Kopię swoich danych pobierzesz sam, w panelu, w zakładce „Dane i prywatność”. Tam też zamkniesz konto: usuwamy je po 14 dniach, więc do tego czasu możesz się rozmyślić.
Zmiany
O istotnych zmianach informujemy pocztą elektroniczną przed ich wejściem w życie.