Polityka prywatności

§ 1. Postanowienia ogólne

Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych Użytkowników serwisu konkurometr.pl (dalej: Serwis) zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).

Administratorem danych osobowych jest Wojciech Skrzek prowadzący działalność gospodarczą pod firmą WebMoose Wojciech Skrzek (dalej: Administrator).

§ 2. Zakres i cele przetwarzania

2.1 Złożenie zamówienia (Raport jednorazowy)

• Zakres danych: adres e-mail, domena strony internetowej, opcjonalnie: miasto, branża.
• Cel: realizacja umowy o świadczenie usługi (wygenerowanie Raportu i wysyłka linku).
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Okres przechowywania: przez okres realizacji umowy oraz przez 5 lat od zakończenia roku obrotowego, w którym wykonano usługę — wymóg Ustawy o rachunkowości (art. 74).

2.2 Założenie Konta

• Zakres danych: adres e-mail, imię (opcjonalnie), hasło (przechowywane w postaci skrótu Argon2), data weryfikacji e-mail, w przypadku logowania Google: identyfikator konta Google.
• Cel: umożliwienie korzystania z Konta i historii zamówień.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO.
• Okres przechowywania: do momentu usunięcia Konta przez Użytkownika lub bezczynności Konta przez 3 lata.

2.3 Sesje (cookies sesyjne)

• Zakres danych: identyfikator sesji, adres IP (przycięty do 64 znaków), User-Agent przeglądarki, znacznik czasowy.
• Cel: bezpieczeństwo logowania, wykrywanie nieautoryzowanych prób dostępu.
• Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes — bezpieczeństwo).
• Okres przechowywania: do 30 dni od ostatniego użycia sesji.

2.4 Subskrypcja miesięczna

• Zakres danych: jw. dla zamówienia + identyfikator subskrypcji Stripe + harmonogram cykli rozliczeniowych.
• Cel: realizacja cyklicznej umowy o świadczenie usług.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO.
• Okres przechowywania: przez czas trwania umowy + 5 lat (księgowość).

2.5 Korespondencja

• Zakres danych: adres e-mail nadawcy, treść korespondencji.
• Cel: udzielanie odpowiedzi na zapytania, obsługa reklamacji.
• Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora).
• Okres przechowywania: 3 lata.

§ 3. Odbiorcy danych

Dane mogą być przekazywane następującym kategoriom odbiorców (procesorom działającym na zlecenie Administratora):

• Stripe Payments Europe Ltd. (Dublin, Irlandia) — obsługa płatności i subskrypcji.
• Resend (Resend, Inc.) — wysyłka transakcyjnych wiadomości e-mail (potwierdzenia, linki weryfikacyjne, raporty).
• Google Ireland Limited — Google Analytics 4 (statystyki ruchu, mierzone wyłącznie po wyrażeniu zgody na cookies analityczne, anonimizacja IP włączona).
• Anthropic, PBC — generowanie narracji Raportu (LLM); do API trafiają wyłącznie zanonimizowane dane analityczne, nie dane osobowe Użytkownika.
• DataForSEO — pobranie publicznych danych SEO o domenie Użytkownika.
• Google Cloud / Coolify (hosting) — infrastruktura serwerowa Serwisu.
• Podmioty świadczące usługi księgowe i prawne na rzecz Administratora.

Dane mogą być również ujawnione organom państwowym (sądy, prokuratura, urzędy skarbowe) na podstawie obowiązujących przepisów.

§ 4. Przekazywanie danych poza EOG

Niektórzy odbiorcy (np. Anthropic — USA) mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Przekazanie odbywa się na podstawie:

• standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską,
• decyzji o adekwatności (Data Privacy Framework — USA, jeżeli ma zastosowanie).

§ 5. Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

• Dostęp do danych (art. 15) — możesz uzyskać kopię swoich danych w panelu, w zakładce Ustawienia → Eksport danych.
• Sprostowanie (art. 16) — możesz poprawić dane w panelu lub mailem.
• Usunięcie (art. 17, "prawo do bycia zapomnianym") — w panelu, w zakładce Ustawienia → Usuń konto. Twoje dane osobowe zostaną zanonimizowane natychmiast; dokumenty księgowe związane z fakturami zachowamy 5 lat (obowiązek ustawowy).
• Ograniczenie przetwarzania (art. 18) — możesz zażądać tego mailem na [email protected].
• Przenoszenie danych (art. 20) — eksport JSON w panelu.
• Sprzeciw (art. 21) — wobec przetwarzania opartego na uzasadnionym interesie administratora.
• Skarga do organu nadzorczego — możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

§ 6. Bezpieczeństwo danych

• Cały ruch HTTP jest szyfrowany TLS (HTTPS).
• Hasła Użytkowników przechowywane są w postaci skrótu Argon2id (19 MiB pamięci, 2 iteracje).
• Sesje są server-side w bazie Postgres, identyfikator sesji wysyłany w cookie HttpOnly, Secure, SameSite=Lax z prefiksem __Host-.
• Stosujemy nagłówki bezpieczeństwa: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Strict-Transport-Security.
• Backupy bazy danych są szyfrowane.
• Dostęp do produkcyjnej infrastruktury jest ograniczony do Administratora i uwierzytelniany kluczami SSH.

§ 7. Naruszenia ochrony danych

1. Administrator stosuje środki techniczne i organizacyjne mające na celu zapobieganie naruszeniom ochrony danych osobowych (art. 32 RODO) — m.in. szyfrowanie TLS, Argon2id dla haseł, dziennik dostępu do infrastruktury produkcyjnej, regularne aktualizacje zależności.
2. W przypadku stwierdzenia naruszenia ochrony danych osobowych Administrator:
   • bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia naruszenia, zgłasza je Prezesowi Urzędu Ochrony Danych Osobowych — chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 RODO);
   • jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych — niezwłocznie zawiadamia osoby, których dane dotyczą, w sposób jasny i prosty (art. 34 RODO);
   • prowadzi wewnętrzny rejestr naruszeń ochrony danych osobowych zawierający okoliczności, skutki i podjęte działania zaradcze.
3. Powiadomienie osoby, której dane dotyczą, zawiera co najmniej: opis charakteru naruszenia, dane kontaktowe Administratora, opis prawdopodobnych konsekwencji oraz opis środków zastosowanych w celu zaradzenia naruszeniu.

§ 8. Pliki cookies

Szczegółowe informacje o stosowanych plikach cookies znajdziesz w naszej Polityce cookies.

§ 9. Profilowanie i decyzje zautomatyzowane

Nie podejmujemy decyzji o profilowaniu w rozumieniu art. 22 RODO. Algorytmy generujące Raport opierają się na danych publicznych i nie wpływają na sytuację prawną Użytkownika.

§ 10. Zmiany Polityki

Polityka prywatności może być aktualizowana. Bieżąca wersja jest dostępna w Serwisie pod adresem konkurometr.pl/polityka-prywatnosci. Datę ostatniej aktualizacji wskazujemy u góry strony.