Polityka prywatności

1. Administrator i Inspektor Ochrony Danych

Administratorem danych jest Signal to Insight Sp. z o.o. z siedzibą pod adresem ul. Lęborska 5 m. 2, 92-713 Łódź, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem 0000223875 przez Sąd Rejonowy dla Łodzi-Śródmieścia w Łodzi, XX Wydział Gospodarczy Krajowego Rejestru Sądowego, NIP 7251889374, REGON 473291235, kapitał zakładowy 50 000 zł. Kontakt: support@signaltoinsight.com.

Wyznaczyliśmy Inspektora Ochrony Danych (IOD), z którym możesz kontaktować się we wszystkich sprawach dotyczących przetwarzania Twoich danych i korzystania z Twoich praw: iod@signaltoinsight.com.

2. Dwie role: administrator i podmiot przetwarzający

• Jesteśmy administratorem danych kont Użytkowników, danych rozliczeniowych Klientów, danych technicznych i bezpieczeństwa, korespondencji z nami oraz danych osób odwiedzających nasze strony.
• Jesteśmy podmiotem przetwarzającym Dane Klienta — treści, które Klient i jego Użytkownicy wprowadzają do Workspace (np. kontakty CRM, dokumenty, poczta, zamówienia sklepu). Administratorem tych danych jest Klient; przetwarzamy je na jego polecenie na podstawie umowy powierzenia zawartej w Regulaminie. Jeśli Twoje dane trafiły do Platformy za sprawą naszego Klienta (np. jesteś jego kontrahentem), w sprawie swoich praw zwróć się przede wszystkim do niego — pomożemy mu je zrealizować.

3. Jakie dane przetwarzamy

• Dane konta: imię i nazwisko, adres e-mail, numer telefonu (jeśli podany), rola w Workspace, język, strefa czasowa, zdjęcie profilowe, klucze dostępu (passkey — przechowujemy wyłącznie klucz publiczny), ustawienia drugiego składnika.
• Dane Klienta (organizacji): nazwa, dane rejestrowe i adresowe, NIP, dane osoby kontaktowej, pakiet i historia rozliczeń. Dane kart płatniczych przetwarza wyłącznie Stripe — nie widzimy pełnego numeru karty.
• Dane techniczne i bezpieczeństwa: adres IP, identyfikator urządzenia i sesji, typ przeglądarki i systemu, znaczniki czasu, zdarzenia logowania, dzienniki zapytań i błędów.
• Dane z integracji: dane, do których dostęp przyznajesz, łącząc konto zewnętrzne (sekcja 5).
• Korespondencja: wiadomości kierowane do wsparcia i IOD.
• Dane odwiedzających stronę: strona signaltoinsight.com nie używa narzędzi analitycznych ani reklamowych stron trzecich. Formularz rejestracji i umówienia demo zbiera dane, które w nim wpiszesz.

4. Cele i podstawy prawne

Nie sprzedajemy danych osobowych, nie wykorzystujemy ich do reklamy behawioralnej i nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne.

5. Dane z połączonych kont zewnętrznych

Integracje są dobrowolne i włączane przez Użytkownika. Dostęp udzielasz w procesie autoryzacji dostawcy (OAuth 2.0), widząc listę uprawnień, i możesz go cofnąć w ustawieniach Platformy lub u dostawcy. Tokeny dostępu przechowujemy zaszyfrowane (AES-256-GCM) i używamy ich wyłącznie do funkcji, którą włączyłeś.

Dane z integracji nie są wykorzystywane do reklamy, nie są sprzedawane ani udostępniane podmiotom trzecim poza podprzetwarzającymi niezbędnymi do działania funkcji i nie służą do trenowania modeli AI. Po odłączeniu integracji usuwamy zapisane tokeny i przestajemy pobierać dane; dane już zsynchronizowane do Workspace pozostają Danymi Klienta i podlegają Polityce usuwania danych.

6. Ograniczone wykorzystanie danych Google (Limited Use)

Wykorzystanie i przekazywanie do innych aplikacji informacji otrzymanych z interfejsów API Google przez Signal to Insight jest zgodne z Google API Services User Data Policy, w tym z wymaganiami dotyczącymi ograniczonego wykorzystania (Limited Use). W szczególności:

• używamy danych z kont Google wyłącznie do dostarczania i ulepszania funkcji widocznych dla użytkownika, które świadomie włączył;
• nie przekazujemy tych danych podmiotom trzecim, chyba że jest to niezbędne do świadczenia tych funkcji, wymagane przez prawo lub następuje w ramach fuzji lub przejęcia;
• nie wykorzystujemy danych Google do reklamy, w tym reklamy spersonalizowanej lub retargetingu;
• nie wykorzystujemy danych Gmail, Kalendarza, Kontaktów, Zadań ani Dysku do tworzenia, trenowania ani ulepszania ogólnych modeli sztucznej inteligencji lub uczenia maszynowego;
• nie pozwalamy ludziom czytać tych danych, chyba że wyrazisz zgodę na konkretne zgłoszenie wsparcia, jest to niezbędne ze względów bezpieczeństwa (np. badanie nadużycia), wymagane przez prawo, albo dane są zagregowane i zanonimizowane do celów operacyjnych.

7. Sztuczna inteligencja

Gdy korzystasz z asystenta, agentów AI lub funkcji generowania treści, przesyłamy do dostawcy modelu wyłącznie dane potrzebne do wykonania danego zadania, a wywołania modeli językowych kierujemy przez bramkę modeli, która rejestruje, który model obsłużył zapytanie. Dostawcy modeli działają jako nasi podprzetwarzający, na warunkach komercyjnego API, które wykluczają wykorzystanie przesłanych danych do trenowania ich modeli. My również nie trenujemy modeli na Danych Klienta.

8. Pliki cookie i pamięć przeglądarki

Używamy wyłącznie plików cookie i pamięci lokalnej niezbędnych do działania usługi: utrzymania sesji logowania, ochrony przed atakami CSRF, zapamiętania języka i motywu. Nie stosujemy cookies analitycznych ani reklamowych, dlatego nie wyświetlamy banera zgody. Jeżeli to się zmieni, poprosimy o zgodę przed ich użyciem.

9. Odbiorcy i podprzetwarzający

Dane powierzamy dostawcom, którzy pomagają nam świadczyć Platformę, na podstawie umów powierzenia (art. 28 RODO). Aktualna lista:

Dane mogą być też ujawniane organom publicznym, gdy wymaga tego prawo, a w przypadku integracji — dostawcom, z którymi Użytkownik połączył konto, w zakresie funkcji, którą włączył. O zmianach listy podprzetwarzających informujemy Klientów z 14-dniowym wyprzedzeniem.

10. Przekazywanie danych poza EOG

Główne bazy danych i pliki przechowujemy w Europejskim Obszarze Gospodarczym (Holandia). Część podprzetwarzających ma siedzibę w USA; przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) wobec podmiotów certyfikowanych lub standardowych klauzul umownych (SCC) przyjętych przez Komisję. Kopię zabezpieczeń możesz otrzymać, pisząc do IOD.

11. Jak długo przechowujemy dane

Szczegóły, w tym sposób zlecenia usunięcia, opisuje Polityka usuwania danych.

12. Twoje prawa

Masz prawo do: dostępu do danych i uzyskania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania).

Większość praw zrealizujesz sam w Platformie (edycja profilu, eksport Takeout, usunięcie konta). W pozostałych sprawach napisz do IOD: iod@signaltoinsight.com. Odpowiadamy w ciągu miesiąca; w złożonych sprawach termin może zostać przedłużony o dwa miesiące, o czym poinformujemy. Możemy poprosić o potwierdzenie tożsamości.

Masz prawo wnieść skargę do organu nadzorczego — Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

13. Bezpieczeństwo

Stosujemy szyfrowanie transmisji (TLS), szyfrowanie sekretów i tokenów (AES-256-GCM), izolację danych Workspace na poziomie bazy danych, logowanie bez haseł z kluczami dostępu i drugim składnikiem, zasadę najmniejszych uprawnień i rejestrowanie zdarzeń. Szczegóły: Polityka bezpieczeństwa informacji.

14. Dzieci

Platforma jest przeznaczona dla firm i nie jest skierowana do osób poniżej 16 lat. Nie zbieramy świadomie ich danych; jeśli dowiemy się o takim przypadku, usuniemy je.

15. Zmiany Polityki

O istotnych zmianach informujemy w Platformie lub e-mailem przed ich wejściem w życie. Numer i datę wersji podajemy na górze dokumentu.