Polityka prywatności

Wersja 1.0.3 · Data wejścia w życie: TBD · Status: draft (wymaga sign-off prawnika)

Niniejsza Polityka opisuje, jak [LEGAL ENTITY NAME] („Operator”, „my”) przetwarza dane osobowe w związku z Usługą Markandem. Uzupełnia Regulamin. Podprocesorzy: Lista podprocesorów. Gdy działamy jako procesor Treści Klienta — DPA.

1. Administrator i kontakt

Administrator danych konta, rozliczeń i komunikacji z Użytkownikami: [LEGAL ENTITY NAME], [REGISTERED ADDRESS].

Punkt kontaktowy RODO: [PRIVACY CONTACT] (IOD / DPO: TBD — zob. docs/legal/OUTSTANDING-QUESTIONS.md).

W zakresie Treści Klienta w workspace (kampanie, wiedza, media, drafty, treści przygotowane do publikacji na podłączonych kanałach Meta/GBP) Operator działa zwykle jako procesor, a Klient jako administrator.

Usługa nie jest przeznaczona do gromadzenia list kontaktowych, danych identyfikujących klientów końcowych Klienta ani korespondencji z nimi — zob. Politykę dopuszczalnego użytku. Jeśli takie dane trafią do Treści Klienta mimo zakazu, Klient odpowiada za podstawę prawną; Operator przetwarza je wyłącznie w zakresie technicznie niezbędnym do świadczenia Usługi (np. indeks wiedzy) i zgodnie z instrukcjami usuwania.

Komunikacja Operatora: e-maile i powiadomienia wysyłane przez Operatora trafiają wyłącznie do Użytkowników platformy (zarejestrowane konta w organizacji), nie do klientów końcowych Klienta.

2. Kategorie danych

Kategoria	Przykłady	Źródło
Dane konta	e-mail, hash hasła, 2FA, role, identyfikatory workspace	Użytkownik / zapraszający
Dane rozliczeniowe	nazwa firmy, NIP, adres, identyfikatory Stripe (nie pełny numer karty)	Klient, Stripe
Dane operacyjne	logi dostępu, identyfikator żądania technicznego, skrót IP przy zapisie zgód rejestracyjnych	automatycznie
Treści Klienta	kampanie, media, wiedza, briefy, konwersacje z agentem (marketing operacyjny)	Klient
Powiadomienia platformy	adres e-mail Użytkownika, treść digestów operacyjnych (Daily, przegląd miesięczny itd.)	Usługa / Użytkownik
Dane AI	prompty, kontekst RAG, output, metadane jobów	Klient / Usługa
Integracje	tokeny OAuth (szyfrowane), identyfikatory stron Meta/GBP	Klient / dostawca

Nie wymagamy numeru PESEL. Nie projektujemy Usługi pod przechowywanie danych identyfikujących klientów końcowych Klienta ani szczególnych kategorii (np. zdrowie). Jeśli Klient je wgra mimo zakazu w AUP, robi to na własną odpowiedzialność i ryzyko zgodności z RODO.

3. Cele i podstawy (RODO art. 6)

Cel	Podstawa
Świadczenie Usługi, konto, workspace	Umowa (art. 6 ust. 1 lit. b)
Rozliczenia, faktury, KSeF, księgowość	Umowa / obowiązek prawny (lit. b / c)
Bezpieczeństwo, nadużycia, audit	Prawnie uzasadniony interes (lit. f)
Zgody na dokumenty prawne (register)	Umowa + udokumentowanie (lit. b / f)
Cookies nieistotne (jeśli pojawią się w przyszłości)	Zgoda (lit. a) — dziś brak pikseli marketingowych
Marketing własny e-mail (jeśli kiedykolwiek)	Zgoda lub lit. f z opt-out — nie wdrożone w produkcie na dzień draftu
Przetwarzanie Treści Klienta	Instrukcje Klienta (DPA); podstawa po stronie Klienta

4. Odbiorcy i transfery

Odbiorcy: podprocesorzy z listy (m.in. Stripe, OpenAI, hosting/S3, PostgreSQL, Redis, Qdrant, Meta, Google, SMTP).

Dane mogą być przekazywane poza EOG (w szczególności do dostawcy modelu AI i operatora płatności). Stosujemy zabezpieczenia wymagane RODO (m.in. standardowe klauzule umowne dostawcy, o ile są dostępne). Nie twierdzimy, że dane pozostają wyłącznie w UE — region hostingu produkcji jest TBD.

Inference AI (domyślnie): prompty i kontekst są przekazywane do OpenAI i — gdy włączone — xAI jako podprocesorów Operatora (klucze zarządzane przez Operatora, zob. Lista podprocesorów). W środowiskach historycznych lub testowych mógł być dostępny własny klucz API Klienta; docelowy model produkcyjny to klucz platformy — szczegóły w Warunkach AI.

5. AI i dane

Prompty, fragmenty wiedzy i media mogą być wysyłane do dostawcy modelu w celu wygenerowania outputu. Operator nie trenuje własnego modelu fundamentowego na Treściach Klienta.

Czy dostawca modelu wykorzystuje dane do treningu — zależy od umów Operatora z dostawcą (OpenAI, xAI); szczegóły (ZDR, retencja, region) zostaną opublikowane przed produkcją (docs/legal/OUTSTANDING-QUESTIONS.md). Nie obiecujemy „zero retention” u dostawcy, dopóki umowy tego nie potwierdzą.

Szczegóły: Warunki AI.

6. Okres przechowywania

Definicję Dnia Zakończenia Dostępu i szczegółowe zasady podaje Regulamin pkt 10.3–10.7; poniżej streszczenie.

Dane	Okres (draft)
Konto aktywne	Przez czas umowy
Dane robocze Przestrzeni — okres próbny zakończony bez zakupu	usunięcie 30 dni po końcu okresu próbnego
Dane robocze Przestrzeni — po zakończeniu dostępu płatnego (subskrypcja, pakiet, okres ochronny po nieudanej płatności)	usunięcie 90 dni po Dniu Zakończenia Dostępu
Dane robocze Przestrzeni — całkowita blokada konta	usunięcie 90 dni po nałożeniu blokady, o ile nie została zdjęta
Dane robocze Przestrzeni — usunięcie na żądanie	po 7-dniowym okresie ochronnym, w którym żądanie można anulować
Kopie zapasowe	nadpisywane w rotacji, najpóźniej do 180 dni (od Dnia Zakończenia Dostępu lub od wykonania usunięcia na żądanie)
Dane konta Użytkownika i Organizacji (e-mail, dane rozliczeniowe) po zakończeniu dostępu	nie są usuwane automatycznie z danymi roboczymi; przechowujemy je do czasu żądania usunięcia, z wyjątkami niżej
Dokumenty księgowe / faktury	zgodnie z prawem podatkowym PL (zwykle 5 lat)
Rejestry zużycia i rozliczeń, dziennik audytu, akceptacje dokumentów, rejestr wniosków prywatności	przez czas niezbędny do wykazania zgodności oraz dochodzenia i obrony roszczeń; nie są usuwane razem z danymi roboczymi
Hold prawny	do zakończenia holdu

Przed usunięciem możesz pobrać eksport danych (okna czasowe: Regulamin pkt 10.4). Zakup lub wznowienie planu przed dniem usunięcia anuluje zaplanowane usunięcie; zaplanowane usunięcie po zakończeniu dostępu nie jest anulowane ręcznie.

Moduł Prywatność i dane w ustawieniach konta służy do eksportu danych i złożenia żądania usunięcia przestrzeni roboczej — nie zastępuje tej Polityki.

7. Prawa osób

Przysługują: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, cofnięcie zgody (gdy podstawa = zgoda), skarga do PUODO.

Żądania osób, których dane są w Treściach Klienta, należy kierować najpierw do Klienta (administratora). Operator wspiera Klienta zgodnie z DPA.

7.1 Eksport danych (dostęp i przenoszalność)

W module Prywatność i dane (ustawienia konta) Użytkownik z uprawnieniami do danej Przestrzeni może złożyć wniosek o eksport danych tej Przestrzeni. Po przygotowaniu otrzymuje archiwum ZIP do pobrania w ograniczonym czasie (link wygasa po upływie terminu technicznego).

Format (wersja 3): plik manifest.json opisuje format markandem-workspace-export oraz datę wygenerowania. W archiwum znajdują się m.in.:

Element	Opis
`workspace.json`, `organization.json`	Metadane Przestrzeni i powiązanej Organizacji
`data/identity_users.json`	Użytkownicy platformy z członkostwem w tej Przestrzeni (np. adres e-mail, status konta)
`data/conversion_provider_connections.json`	Połączenia integracji analityki konwersji przypisane do Organizacji i powiązane z tą Przestrzenią (metadane połączenia, bez tokenów dostępu)
`data/*.json`	Pozostałe rekordy relacyjne powiązane z `workspace_id` Przestrzeni — zestaw tabel jest ustalany dynamicznie w bazie (spójnie z zakresem usuwania danych roboczych Przestrzeni, z wyjątkami poniżej)
`files/knowledge/…`, `files/media/…`	Pliki z bazy wiedzy i gotowe zasoby mediów Przestrzeni
`warnings.json`	Ostrzeżenia (np. pominięte pliki z powodu limitu rozmiaru lub błędu odczytu)

Redakcja wrażliwych pól: w eksporcie JSON pola, których nazwy wskazują na hasła, tokeny, klucze API, podpisy, dane sesji lub równoważne sekrety, są zastępowane wartością `[REDACTED]`. Nie udostępniamy w eksporcie pełnych tokenów OAuth ani innych poświadczeń integracji.

Czego eksport zwykle nie obejmuje:

danych innych Przestrzeni lub innych organizacji;
pełnych logów platformowych niepowiązanych z daną Przestrzenią;
wewnętrznego rejestru wniosków prywatności i wpisów legal hold (prowadzone przez Operatora);
kopii zapasowych infrastruktury poza archiwum — patrz §6 (rotacja backupów).

Rekordy rozliczeń, audytu i zużycia powiązane z Przestrzenią mogą być dołączone w eksporcie, o ile mają charakter danych powiązanych z workspace_id; po usunięciu danych roboczych Przestrzeni część z nich pozostaje u Operatora zgodnie z §6 (obowiązki księgowe, wykazanie zgodności).

Ograniczenia techniczne: obowiązują limity rozmiaru całego archiwum i pojedynczych plików; bardzo duże pliki mogą zostać pominięte (wpis w warnings.json). Eksport ma charakter kopii strukturalnej (JSON + pliki); nie gwarantujemy importu do innego systemu ani pełnej czytelności maszynowej poza standardowymi formatami plików.

Blokada konta: przy całkowitej blokacji konta zgodnie z Regulaminem pkt 10.3 lit. e samoobsługowy eksport w aplikacji jest wyłączony; eksport możliwy jest na wniosek do [PRIVACY CONTACT] — patrz Regulamin pkt 10.4.

Usunięcie Przestrzeni: żądanie usunięcia podlega 7-dniowej karencji (Regulamin pkt 10.6); w tym czasie można anulować wniosek. Eksport przed usunięciem jest dostępny w oknach czasowych z Regulaminu pkt 10.4.

Szczegóły zwrotu/usunięcia Treści Klienta jako procesor: DPA §10.

8. Cookies i podobne technologie

Stosujemy cookies niezbędne do bezpiecznego logowania oraz — opcjonalnie — preferencji języka. Szczegóły: Polityka cookies. Nie ustawiamy pikseli marketingowych ani cookies służących profilowaniu reklamowemu przez Operatora. Jeśli to się zmieni, zaktualizujemy Politykę cookies i — tam gdzie wymagane — poprosimy o zgodę przed włączeniem.

9. Dzieci

Usługa nie jest skierowana do osób poniżej 18 lat.

10. Zmiany

O istotnych zmianach poinformujemy e-mailem lub w aplikacji. Wersja i effectiveDate są w frontmatter dokumentu.

11. Kontakt

[LEGAL ENTITY NAME] · [REGISTERED ADDRESS] · [PRIVACY CONTACT]