Polityka prywatności i ochrony danych osobowych

01Administrator danych

Administratorem danych podanych w związku z zakupem i korzystaniem ze strony jest sprzedawca: Jacek Bobowik „JCBSOFT", ul. Jabłoniowa 9, 39-400 Tarnobrzeg, kontakt: biuro@jcbsoft.pl.

Nie wyznaczyliśmy inspektora ochrony danych — nie zachodzi żadna z przesłanek, które by tego wymagały. We wszystkich sprawach dotyczących danych osobowych prosimy o kontakt pod adresem podanym wyżej.

W odniesieniu do danych wprowadzanych przez klienta do jego przestrzeni roboczej administratorem jest KLIENT, a sprzedawca jest podmiotem przetwarzającym na podstawie umowy powierzenia.

02Jakie dane przetwarzamy

Przy rejestracji okresu próbnego: adres e-mail, imię i nazwisko oraz nazwa organizacji.

Przy zakupie: dane niezbędne do wystawienia faktury, podane przez nabywcę.

W trakcie korzystania z usługi: dane konta użytkownika, zapisy zdarzeń w dzienniku audytu oraz treści wprowadzone przez użytkowników do przestrzeni roboczej.

Adresy IP: przy rejestracji okresu próbnego zapisujemy adres w postaci SKRÓCONEJ do sieci (/24 albo /64), bez pełnego adresu. Natomiast licznik rozpoczętych logowań, chroniący przed odgadywaniem haseł i skanowaniem kont, zapisuje PEŁNY adres IP — bez niego limit nie odróżniłby napastnika od pozostałych użytkowników tej samej sieci. Wpisy licznika są kasowane wraz z wygaśnięciem okna limitu.

Pełne adresy IP zapisują także, niezależnie od nas, dostawcy infrastruktury i dostawca tożsamości w swoich dziennikach technicznych, na potrzeby bezpieczeństwa i diagnostyki.

03Cele i podstawy prawne

Zawarcie i wykonanie umowy (art. 6 ust. 1 lit. b RODO): prowadzenie konta, świadczenie usługi, obsługa płatności i zgłoszeń.

Obowiązki prawne (art. 6 ust. 1 lit. c RODO): wystawianie i przechowywanie faktur.

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): zapobieganie nadużyciom przy rejestracji i zapewnienie bezpieczeństwa usługi.

04Okres przechowywania

Dane konta i treści wprowadzone do przestrzeni: przez czas trwania abonamentu, a po jego zakończeniu przez 14 dni karencji i kolejne 6 miesięcy, po czym są usuwane z systemów roboczych.

Kopie zapasowe BAZY DANYCH: wykonywane codziennie, przechowywane nie dłużej niż 7 dni. Dane usunięte z systemów roboczych mogą przez ten czas istnieć jeszcze w kopii, a po odtworzeniu wcześniejszej kopii dyspozycje usunięcia wykonujemy ponownie.

Treść plików (załączniki, dokumenty) przechowywana jest w magazynie obiektowym i NIE jest objęta kopią bazy danych. Usunięcie pliku jest więc natychmiastowe i nieodwracalne.

Dzienniki audytu: domyślnie przez czas trwania abonamentu i NIE DŁUŻEJ niż 24 miesiące po jego zakończeniu — ale nie dłużej, niż istnieje sama przestrzeń. Dwadzieścia cztery miesiące są granicą górną, nie gwarancją. Klient może jednak SAM skrócić ten okres we własnej przestrzeni — aplikacja pozwala usunąć wpisy starsze niż wskazana liczba dni, nie mniejsza niż 30. Jest to dyspozycja klienta jako administratora danych i po jej wykonaniu usunięte wpisy nie podlegają odtworzeniu.

Usunięcie całej przestrzeni usuwa również jej dziennik audytu; w śladzie operatorskim zostają wtedy wyłącznie kod przestrzeni, nazwa, powód i liczniki usuniętych wierszy — bez treści zdarzeń.

Faktury i dokumentacja rozliczeniowa: 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku — tego wymagają przepisy podatkowe i nie podlega to żądaniu usunięcia.

Wnioski o okres próbny niezakończone rejestracją: 90 dni, wyłącznie na potrzeby limitów zapobiegających nadużyciom.

Korespondencja z formularza kontaktowego: 12 miesięcy od ostatniej wiadomości.

05Operator płatności — odrębny administrator

W celu realizacji płatności przekazujemy operatorowi Paynow dane niezbędne do obsługi transakcji. W zakresie świadczenia usług płatniczych i wykonywania związanych z nimi obowiązków prawnych operator działa jako ODRĘBNY ADMINISTRATOR danych, a nie podmiot przetwarzający w naszym imieniu. Szczegółowe zasady przetwarzania określa polityka prywatności operatora.

06Podmioty przetwarzające

Korzystamy z następujących dostawców, którzy przetwarzają dane w naszym imieniu:

• Vercel Inc. (Delaware, Stany Zjednoczone) — hostowanie warstwy frontowej (statyczne strony i aplikacja przeglądarkowa).

• Scaleway SAS (Francja) — hostowanie usług serwerowych i dostawcy tożsamości, w regionie Warszawa.

• Supabase Pte. Ltd. (Singapur) — baza danych i składowanie plików, w regionie Unii Europejskiej.

• Prociv Sp. z o.o. (Wrocław, NIP 8971776931) — serwis domenomania.pl — wysyłka wiadomości systemowych pocztą elektroniczną.

Usługi serwerowe i baza danych działają w Unii Europejskiej.

07Przekazywanie danych poza Europejski Obszar Gospodarczy

Usługi serwerowe, baza danych i składowanie plików działają w Unii Europejskiej.

INACZEJ JEST Z FUNKCJAMI AI. Jeżeli klient je włączy, treść objęta żądaniem trafia do dostawcy wybranego przez klienta, a ten może przetwarzać ją poza EOG — wedle przeglądu warunków z 17 lipca 2026 Anthropic przetwarza w Stanach Zjednoczonych, a OpenAI i Microsoft Azure OpenAI Service w Unii Europejskiej albo w Stanach Zjednoczonych, zależnie od wybranej konfiguracji. Podstawę takiego przekazania określa umowa, którą klient zawiera z dostawcą.

Nie możemy jednak wykluczyć dostępu z państwa trzeciego w ramach wsparcia technicznego świadczonego przez dostawców mających siedzibę poza EOG. Taki dostęp odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, stanowiących część umów zawartych z tymi dostawcami.

Kopię zastosowanych zabezpieczeń udostępniamy na żądanie skierowane na biuro@jcbsoft.pl.

08Prawa osób, których dane dotyczą

Przysługuje prawo dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, prawo do przenoszenia danych oraz prawo wniesienia sprzeciwu.

Żądania przyjmujemy pod adresem biuro@jcbsoft.pl.

Przysługuje także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

09Pliki cookie i pamięć przeglądarki

Nie stosujemy plików cookie analitycznych, marketingowych ani śledzących. Nie korzystamy z narzędzi analityki ruchu ani z pikseli serwisów społecznościowych.

Strony informacyjne zapisują w pamięci przeglądarki jedną wartość — wybrany język interfejsu — wyłącznie po to, żeby nie pytać o niego przy każdej wizycie.

Aplikacja po zalogowaniu używa jednego ciasteczka sesji, niezbędnego do działania usługi. Ciasteczko jest niedostępne dla skryptów strony (HttpOnly) i nie służy do śledzenia.

Portal interesariusza używa osobnego ciasteczka dla każdego udostępnionego materiału, wyłącznie po to, żeby potwierdzona tożsamość nie otwierała pozostałych materiałów.

10Dane szczególnej kategorii

Moduł nieobecności pozwala oznaczyć nieobecność jako chorobową. Taka informacja, przypisana do konkretnej osoby, jest daną dotyczącą zdrowia w rozumieniu art. 9 RODO. Pole notatki przy nieobecności jest wolnym tekstem i również może zawierać takie dane.

Administratorem tych danych pozostaje KLIENT. To on decyduje, czy i w jakim zakresie z tej funkcji korzysta, i na nim spoczywa obowiązek zapewnienia podstawy przetwarzania oraz poinformowania osób, których dane dotyczą.

My przetwarzamy je wyłącznie w zakresie niezbędnym do działania usługi, na tych samych zasadach co pozostałe treści przestrzeni, i nie wykorzystujemy ich do żadnego innego celu.

11Sztuczna inteligencja

Funkcje wspierane sztuczną inteligencją są WYŁĄCZONE DOMYŚLNIE i działają tylko wtedy, gdy klient sam je włączy w swojej przestrzeni.

UMOWĘ Z DOSTAWCĄ AI ZAWIERA KLIENT. Klucz dostępowy należy do przestrzeni klienta, to klient kupuje dostęp u dostawcy i jest stroną tej umowy. My nie jesteśmy jej stroną i nie podpisujemy jej w niczyim imieniu. Dane trafiają do dostawcy za pośrednictwem naszej usługi, na polecenie użytkownika klienta.

Nasza rola to sprawdzenie ogólnych warunków dostawcy i poinformowanie. Dopuszczamy wyłącznie dostawców, którzy spełniają trzy warunki naraz: nie wykorzystują przekazanych danych do trenowania modeli, udostępniają umowę powierzenia, a retencja treści zapytań jest u nich ZNANA i udokumentowana. Próba zatwierdzenia dostawcy, który któregokolwiek z nich nie spełnia, jest odrzucana przez bazę danych — nie jest to deklaracja, lecz warunek zapisany w więzach integralności.

Warunki weryfikujemy w ogólnych warunkach dostawcy i zapisujemy odnośnik oraz datę sprawdzenia. Bez źródła i daty dostawca nie może zostać zatwierdzony.

Przegląd z 17 lipca 2026 dopuścił trzech dostawców: Anthropic PBC, OpenAI oraz Microsoft Azure OpenAI Service. Żaden z nich nie trenuje modeli na treści klienta, każdy udostępnia umowę powierzenia, a retencja wynika z ich warunków — u OpenAI i Azure treść zapytań może być przechowywana czasowo na potrzeby wykrywania nadużyć (do 30 dni). Konkretny okres i miejsce przetwarzania wynikają z umowy, którą klient zawiera z dostawcą.

Do funkcji AI trafia wyłącznie treść, którą obejmuje konkretne żądanie użytkownika (na przykład opisy i wskaźniki projektów objętych raportem). Przekazanie następuje w chwili wywołania funkcji przez użytkownika, nigdy w tle.

Klient, włączając te funkcje, odpowiada za to, by przekazywane treści mogły zostać przekazane podmiotowi przetwarzającemu — dotyczy to zwłaszcza danych osób trzecich.