Zgodność z RODO i ochrona danych
RODO i ochrona danych
Zgody prawne nie powinny zatrzymywać automatyzacji.
Poznaj nasze podejście do zgodności z RODO, politykę retencji i kontrole audytowe - tak, aby zespół prawny mógł spokojnie zatwierdzić projekt, bez spowalniania prac.
Nasze zasady RODO
Jak przetwarzamy i chronimy Twoje dane
Umowy powierzenia danych (DPA)
Z każdym klientem podpisujemy DPA przed rozpoczęciem przetwarzania danych. Jasny podział ról: Ty jesteś Administratorem, my Procesorem. Wszystkie obowiązki są precyzyjnie opisane, udokumentowane i prawnie wiążące.
Brak trenowania AI na Twoich danych
Twoje dane nigdy nie są wykorzystywane do trenowania modeli AI. Korzystamy z OpenAI API, Anthropic API lub prywatnych modeli z polityką braku retencji. Każda rozmowa pozostaje poufna. Korzystamy z trybów "no training / zero data retention" tam, gdzie jest to możliwe - dane z zapytań nie są używane do poprawy modeli podstawowych.
Przechowywanie danych w UE
Wszystkie dane przetwarzamy i przechowujemy wyłącznie w centrach danych w UE (Frankfurt, Warszawa, Amsterdam). Żadnych transferów poza UE bez Twojej wyraźnej zgody i odpowiednich zabezpieczeń. W przypadku potencjalnych transferów stosujemy odpowiednie zabezpieczenia, takie jak standardowe klauzule umowne (SCC) oraz szyfrowanie end-to-end.
Szyfrowanie wszędzie
Dane szyfrujemy w tranzycie (TLS 1.3) i w spoczynku (AES-256). Szyfrowane są bazy danych, backupy i logi. Nigdy nie przechowujemy danych w postaci jawnej.
Minimalizacja danych
Zbieramy wyłącznie dane niezbędne do realizacji usługi. Bez ukrytych pikseli śledzących, bez zbędnej analityki, bez sprzedaży danych podmiotom trzecim. Nigdy.
Przejrzystość przetwarzania
Wiesz dokładnie, jakie dane przetwarzamy, w jakim celu i jak długo. Otrzymujesz pełną dokumentację, a logi audytowe udostępniamy na żądanie.
Środki techniczne i organizacyjne
Jak realnie zabezpieczamy Twoje dane
Kontrola dostępu
Stosujemy role (RBAC), uwierzytelnianie wieloskładnikowe (MFA) i zasadę najmniejszych uprawnień. Dostęp do systemów produkcyjnych mają wyłącznie odpowiednio upoważnione osoby.
Logi audytowe
Utrzymujemy pełną ścieżkę audytu wszystkich działań związanych z dostępem i przetwarzaniem danych. Logi przechowujemy przez 12 miesięcy, chronimy przed modyfikacją i udostępniamy do wglądu.
Bezpieczna infrastruktura
Korzystamy z infrastruktury AWS/Azure/GCP zgodnej m.in. z SOC 2 Type II. Prywatne VPC, segmentacja sieci, ochrona DDoS i regularne audyty bezpieczeństwa są standardem. Stosujemy praktyki bezpieczeństwa zgodne z najlepszymi standardami branżowymi, w tym wytycznymi ISO 27001, OWASP i CIS Benchmarks.
Polityka retencji danych
Okresy przechowywania danych jasno definiujemy w DPA. Po upływie okresu retencji dane usuwamy automatycznie. Nigdy nie przechowujemy ich "na zawsze".
Plan reagowania na incydenty
Mamy udokumentowane procedury powiadamiania o naruszeniach. Informujemy w ciągu 24 godzin od wykrycia incydentu (RODO wymaga 72 godzin dla organów nadzorczych). Wspieramy również klientów w przygotowaniu zgłoszeń do organów nadzorczych oraz w analizie incydentu, jeśli jest to wymagane.
Regularne szkolenia z bezpieczeństwa
Cały zespół regularnie przechodzi szkolenia z zakresu RODO i ochrony danych. Szkolenia odświeżające organizujemy co najmniej raz w roku.
Audyty zewnętrzne
Korzystamy wyłącznie z podwykonawców spełniających wymogi RODO (m.in. OpenAI, Anthropic, AWS, Azure, GCP). Pełną listę podwykonawców znajdziesz w DPA. Lista podprocesorów (subprocessors) jest aktualizowana na bieżąco i udostępniana klientom wraz z dokumentacją DPA.
Pseudonimizacja i anonimizacja
Tam, gdzie to możliwe, dane osobowe pseudonimizujemy. Dane wykorzystywane do analityki i testów są w pełni anonimizowane.
Twoje prawa wynikające z RODO
Co możesz zrobić ze swoimi danymi osobowymi
Prawo dostępu
Możesz zażądać kopii wszystkich danych osobowych, które przetwarzamy. Dane dostarczamy w formacie JSON/CSV w ciągu 30 dni.
Prawo do sprostowania
Możesz zażądać poprawienia nieprawidłowych lub niekompletnych danych osobowych. Aktualizujemy je niezwłocznie.
Prawo do usunięcia danych
Możesz zażądać usunięcia swoich danych osobowych ("prawo do bycia zapomnianym"). Dane usuwamy w ciągu 30 dni, o ile nie mamy prawnego obowiązku ich dalszego przechowywania.
Prawo do przenoszenia danych
Możesz otrzymać swoje dane w ustrukturyzowanym formacie (np. JSON/CSV) i przekazać je innemu dostawcy.
Prawo do ograniczenia przetwarzania
Możesz zażądać ograniczenia przetwarzania danych w określonych sytuacjach (np. na czas trwania sporu).
Prawo do sprzeciwu
Możesz wnieść sprzeciw wobec przetwarzania danych opartego na uzasadnionym interesie lub wykorzystywania danych do celów marketingu bezpośredniego.
Masz pytania dotyczące ochrony danych?
Skontaktuj się z naszym Inspektorem Ochrony Danych w sprawie RODO, żądań dostępu do danych lub innych kwestii związanych z prywatnością.