Polityka prywatności serwisu LexaFlow
Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych w związku z korzystaniem z serwisu LexaFlow (zwanego dalej „Serwisem”), zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz ustawą o ochronie danych osobowych.
1. Administrator danych
Administratorem Twoich danych osobowych („Administratorem”) jest:
Łukasz Grzybowski (osoba fizyczna prowadząca działalność gospodarczą)
Adres: ul. Sadowa 24L/2, 32-020 Wieliczka
Kontakt: [E-MAIL – do uzupełnienia], ewent. [TELEFON]
NIP: 6282065722
W sprawach dotyczących przetwarzania danych osobowych możesz skontaktować się z Administratorem pod powyższym adresem e-mail lub korespondencyjnym. W przypadku powołania inspektora ochrony danych (IOD) dane kontaktowe zostaną opublikowane w Serwisie.
2. Cele i podstawy prawne przetwarzania
Twoje dane osobowe są przetwarzane w następujących celach i na następujących podstawach prawnych:
| Cel przetwarzania | Podstawa prawna (RODO) | Dane |
|---|---|---|
| Świadczenie usługi – analiza przesłanego dokumentu (umowy) i wygenerowanie Raportu (Szybki podgląd oraz opcjonalnie Pełna analiza) | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) lub – w przypadku usługi bez umowy – Twoja zgoda (art. 6 ust. 1 lit. a RODO) | Treść umowy (dokumentu) w ogóle nie jest przechowywana na serwerze Serwisu – po przesłaniu jest ona przekazywana wyłącznie do dostawcy modelu AI (OpenAI) w celu wygenerowania Raportu. Na serwerze Serwisu przechowywane są wyłącznie: identyfikator zadania, treść wygenerowanego Raportu oraz metadane – i to nie dłużej niż 24 godziny, po czym są automatycznie usuwane (patrz sekcja 4). Wyniki analizy (Raport) są od razu zwracane Użytkownikowi do wglądu na stronie. |
| Przekazanie treści dokumentu do dostawcy modelu AI (OpenAI) w celu wygenerowania analizy | Wykonanie umowy / zgoda (jak wyżej) | Treść dokumentu (może zawierać dane osobowe: imię, nazwisko, adres, PESEL, dane finansowe itp.) – przekazywana wyłącznie w celu wygenerowania Raportu |
| Realizacja płatności za Pełną analizę – przekierowanie do Stripe | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) | Identyfikator zadania (jobId) – przekazywany do Stripe w metadanych sesji płatności. Adres e-mail, imię, nazwisko, adres rozliczeniowy płatnika oraz dane karty płatniczej / BLIK – zbierane wyłącznie przez Stripe na swojej stronie w celu realizacji płatności i wygenerowania faktury. Administrator nie przechowuje ani nie ma dostępu do tych danych. |
| Wysyłka Raportu na adres e-mail (po opłaceniu) | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) | Adres e-mail odbiorcy – przekazywany do Resend (operator e-mail) w celu dostarczenia wiadomości z Raportem |
| Ochrona bezpieczeństwa Serwisu, zapobieganie nadużyciom (rate limit) | Prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) – ochrona infrastruktury i uczciwe korzystanie z usługi | Adres IP, ewentualnie nagłówki HTTP |
| Egzekwowanie limitu bezpłatnych Szybkich podglądów (3 na 3 miesiące, zapobieganie nadużyciom) | Prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) – uczciwe korzystanie z usługi i egzekwowanie Regulaminu | Identyfikator urządzenia/przeglądarki (fingerprint), adres IP. Dane przechowywane do 90 dni (patrz sekcja 4). |
| Dochodzenie roszczeń i obrona przed roszczeniami | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) | Dane niezbędne do ustalenia roszczeń (np. identyfikator zadania, logi w zakresie niezbędnym) |
| Wypełnienie obowiązków prawnych (np. księgowe, podatkowe) | Obowiązek prawny (art. 6 ust. 1 lit. c RODO) | Dane wymagane przepisami (np. NIP, dane transakcji) – w zakresie, w jakim usługa jest odpłatna i powstają takie obowiązki |
| Analiza ruchu i użycia Serwisu (Google Analytics) | Zgoda (art. 6 ust. 1 lit. a RODO) lub prawnie uzasadniony interes – optymalizacja Serwisu | Adres IP (w formie skróconej lub zanonimizowanej), dane o odwiedzonych stronach, czasu sesji, źródła ruchu, typ urządzenia – zbierane przez Google Analytics |
| Wyświetlanie reklam dopasowanych do zainteresowań (Google Ads) | Zgoda (art. 6 ust. 1 lit. a RODO) | Adres IP, identyfikatory cookies, informacje o interakcji z reklamami – zbierane przez Google. Administrator nie ma dostępu do tych danych w formie umożliwiającej identyfikację osoby |
Uwaga: Treść przesłanego dokumentu (umowy) często zawiera dane osobowe – Twoje lub osób trzecich (np. współumawiających). Przesyłając dokument, potwierdzasz, że masz prawo do udostępnienia tych danych Administratorowi w celu wykonania usługi. W przypadku danych osób trzecich – powinieneś mieć podstawę do ich ujawnienia (np. zgoda, konieczność wykonania umowy). Treść umowy nie jest w ogóle przechowywana na serwerze Serwisu – jest przekazywana wyłącznie do OpenAI w celu wygenerowania Raportu. Na serwerze przechowywane są wyłącznie identyfikator zadania, Raport i metadane – i to nie dłużej niż 24 godziny (patrz sekcja 4).
3. Odbiorcy danych i transfer poza EOG
3.1. Odbiorcy danych w EOG: Dane mogą być udostępniane podmiotom świadczącym na rzecz Administratora usługi techniczne (hosting, utrzymanie serwerów) – w granicach niezbędnych do realizacji tych usług, na podstawie umów powierzenia przetwarzania.
3.2. OpenAI (USA / poza EOG): Treść przesłanego dokumentu oraz ewentualnie wygenerowany Raport (w ramach działania modelu AI) są przekazywane do OpenAI, Inc. (USA) w celu wygenerowania analizy (usługa Responses API, model Deep Research). OpenAI działa w charakterze podmiotu przetwarzającego na zlecenie Administratora. Transfer danych do USA odbywa się z zachowaniem wymogów RODO (rozdział V), w szczególności na podstawie Standardowych Klauzul Umownych (SCC) oraz Umowy powierzenia przetwarzania (DPA). Szczegóły w dokumentacji OpenAI.
3.3. Stripe (USA / poza EOG): Płatności za Pełny raport są realizowane przez Stripe, Inc. (USA). Administrator przekazuje do Stripe wyłącznie identyfikator zadania (jobId) w metadanych sesji płatności. Adres e-mail, imię, nazwisko, adres rozliczeniowy płatnika oraz dane karty płatniczej, BLIK lub inne dane płatności są zbierane bezpośrednio przez Stripe na stronie Stripe – w celu realizacji płatności i automatycznego wygenerowania faktury. Administrator nie ma dostępu do tych danych. Stripe działa w charakterze współadministratora lub podmiotu przetwarzającego (w zależności od modelu umowy). Transfer danych do USA podlega wymogom RODO (SCC, DPA). Więcej informacji: Polityka prywatności Stripe.
3.4. Resend (USA / poza EOG): Wysyłka Raportu na adres e-mail Użytkownika (po opłaceniu) jest realizowana przez Resend, Inc. (USA). Administrator przekazuje do Resend adres e-mail odbiorcy oraz treść Raportu w celu dostarczenia wiadomości. Resend działa w charakterze podmiotu przetwarzającego. Transfer danych podlega wymogom RODO.
3.5. Google (USA / poza EOG): Serwis wykorzystuje usługi Google Analytics (analiza ruchu, optymalizacja działania Serwisu) oraz Google Ads (wyświetlanie reklam). Google zbiera dane takie jak adres IP (może być zanonimizowany), identyfikatory cookies, informacje o odwiedzonych stronach, czasie sesji, interakcji z reklamami. Google działa w charakterze podmiotu przetwarzającego lub współadministratora (w zależności od usługi). Transfer danych do USA podlega wymogom RODO (SCC, DPA). Więcej informacji: Polityka prywatności Google, Google Analytics – opis, Google Ads – polityka.
3.6. Administrator nie przekazuje danych osobowych do państw trzecich poza opisane powyżej przypadki, chyba że wynika to z przepisów prawa (np. żądanie organu państwa).
4. Okres przechowywania danych
Zasada minimalizacji i brak przechowywania treści umów: Treść przesłanej umowy (dokumentu) w ogóle nie jest zapisywana na serwerze Serwisu – po uploadzie jest ona przekazywana wyłącznie do dostawcy AI (OpenAI) w celu wygenerowania Raportu. Na serwerze Serwisu przechowywane są wyłącznie: identyfikator zadania, treść wygenerowanego Raportu oraz metadane – i to maksymalnie 24 godziny od utworzenia zadania; po upływie tego okresu są automatycznie usuwane (minimalizacja danych, art. 5 ust. 1 lit. c RODO). Po usunięciu zadanie nie jest już dostępne – Użytkownik powinien zapisać Raport (np. PDF) lub adres e-mail z Raportem we własnym zakresie. Wyniki analizy są od razu zwracane Użytkownikowi do wglądu na stronie; Użytkownik może pobrać Raport w formacie PDF (po opłaceniu Pełnej analizy).
| Kategoria danych | Okres przechowywania |
|---|---|
| Treść umowy (dokumentu) | Nie jest przechowywana na serwerze Serwisu – przekazywana wyłącznie do OpenAI w celu analizy. |
| Identyfikator zadania, treść Raportu, metadane zadania | Maksymalnie 24 godziny od utworzenia zadania. Dane są automatycznie usuwane z serwerów Serwisu po upływie 24 h. W tym czasie Użytkownik ma dostęp do Raportu pod linkiem do zadania. |
| Identyfikator zadania (np. w logach technicznych, po usunięciu z głównego magazynu) | Nie dłużej niż okres niezbędny do działania Serwisu lub dochodzenia roszczeń (np. w formie zanonimizowanej), zgodnie z polityką retencji. |
| Adres IP (logi, rate limit) | Nie dłużej niż [np. 90 dni] lub okres wynikający z obowiązków prawnych / dochodzenia roszczeń. |
| Identyfikator urządzenia (fingerprint) i adres IP – egzekwowanie limitu bezpłatnych Szybkich podglądów (3 na 3 miesiące) | Do 90 dni od ostatniego wykorzystania bezpłatnego Szybkiego podglądu (okno limitu). Po upływie tego okresu dane są usuwane. Po opłaceniu Pełnej analizy dane są usuwane (reset limitu). |
| Adres e-mail odbiorcy (wysyłka Raportu) | Wyłącznie w czasie trwania wysyłki. Resend może przechowywać kopie wiadomości zgodnie ze swoją polityką – Administrator nie przechowuje adresu e-mail odbiorcy po zakończeniu wysyłki. |
| Dane związane z rozliczeniami (transakcje płatnicze) | Identyfikator zadania, informacja o statusie płatności (paid) – przechowywana w magazynie zadań max 24 h. Dane transakcji u Stripe – zgodnie z polityką Stripe. Administrator, w zakresie dokumentacji księgowej – przez okres wymagany przepisami (np. 5 lat). |
Po upływie wskazanych okresów dane są usuwane lub poddawane anonimizacji w sposób uniemożliwiający identyfikację osoby.
5. Prawa osoby, której dane dotyczą
Przysługują Ci następujące prawa:
- Prawo dostępu (art. 15 RODO) – do uzyskania potwierdzenia, czy Administrator przetwarza Twoje dane, oraz do uzyskania ich kopii.
- Prawo do sprostowania (art. 16 RODO) – do żądania poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
- Prawo do usunięcia („prawo do bycia zapomnianym”) (art. 17 RODO) – do żądania usunięcia danych, w przypadkach przewidzianych w RODO (np. gdy dane nie są już niezbędne, cofniesz zgodę, dane były przetwarzane niezgodnie z prawem).
- Prawo do ograniczenia przetwarzania (art. 18 RODO) – w przypadkach przewidzianych w RODO (np. w trakcie weryfikacji poprawności danych lub dochodzenia roszczeń).
- Prawo do przenoszenia danych (art. 20 RODO) – do otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie, w zakresie, w jakim przetwarzanie odbywa się na podstawie umowy lub zgody i w sposób zautomatyzowany.
- Prawo sprzeciwu (art. 21 RODO) – wobec przetwarzania na podstawie prawnie uzasadnionego interesu Administratora (np. w zakresie logów, rate limit) – z przyczyn związanych z Twoją szczególną sytuacją.
- Prawo do cofnięcia zgody – w przypadku przetwarzania na podstawie zgody (art. 6 ust. 1 lit. a RODO). Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.
- Prawo do wniesienia skargi do organu nadzorczego – do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl. Możesz też skorzystać z prawa do skargi w innym państwie członkowskim UE – w miejscu zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia.
Aby skorzystać z powyższych praw, skontaktuj się z Administratorem pod adresem wskazanym w sekcji 1. Odpowiedź zostanie udzielona niezwłocznie, nie później niż w ciągu miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin może zostać przedłużony o kolejne dwa miesiące, o czym zostaniesz poinformowany.
6. Obowiązek lub dobrowolność podania danych
- Dane niezbędne do świadczenia usługi (treść dokumentu, w tym dane osobowe w dokumencie): ich podanie jest warunkiem wykonania usługi. Bez przesłania dokumentu nie jest możliwe wygenerowanie Raportu.
- Dane techniczne (np. adres IP, identyfikator urządzenia – fingerprint): zbierane są automatycznie w związku z korzystaniem z Serwisu. Nie musisz ich podawać ręcznie, ale przetwarzanie jest niezbędne do działania Serwisu (ochrona, limit żądań, egzekwowanie limitu bezpłatnych Szybkich podglądów – 3 na 3 miesiące).
- Dane związane z płatnościami (w przypadku opłacenia Pełnego raportu): dane karty płatniczej są zbierane wyłącznie przez Stripe na stronie Stripe – nie przekazujesz ich Administratorowi. Administrator przekazuje Stripe identyfikator zadania. Podanie danych karty jest warunkiem dokonania płatności.
- Adres e-mail (wysyłka Raportu na email): podanie adresu e-mail jest dobrowolne i warunkuje możliwość wysłania Raportu na ten adres. Adres jest przekazywany Resend w celu dostarczenia wiadomości.
7. Automatyczne podejmowanie decyzji i profilowanie
Raport (zarówno Szybki podgląd, jak i Pełna analiza) jest generowany z wykorzystaniem automatycznych systemów (model AI). Nie stosujemy profilowania w rozumieniu art. 22 RODO. Nie podejmujemy decyzji wywołujących skutki prawne wobec Ciebie lub w inny sposób istotnie Cię dotyczących wyłącznie w oparciu o zautomatyzowane przetwarzanie (np. automatyczna odmowa usługi bez ingerencji człowieka). Analiza dokumentu służy wyłącznie wygenerowaniu treści informacyjnej (Raportu), którą Ty sam wykorzystujesz według uznania. Odmowa kolejnego bezpłatnego Szybkiego podglądu po wykorzystaniu limitu (3 bezpłatne Szybkie podglądy na 3 miesiące) stanowi egzekwowanie postanowień Regulaminu (identyfikacja urządzenia/adresu), a nie profilowanie w rozumieniu art. 22 RODO.
8. Cookies i pamięć lokalna przeglądarki
Serwis wykorzystuje pamięć lokalną przeglądarki (localStorage) oraz ewentualnie pliki cookies wyłącznie w celach niezbędnych do działania usługi oraz w celu zapamiętania Twojej decyzji dotyczącej informacji o cookies (zgodność z prawem polskim i RODO).
Stosowane przez Serwis:
| Nazwa / cel | Typ | Cel | Podstawa prawna | Okres |
|---|---|---|---|---|
aspika_last_job_id | localStorage | Zapamiętanie identyfikatora ostatniej analizy, aby umożliwić powrót do wyniku (link „Otwórz analizę”) | Wykonanie umowy / prawnie uzasadniony interes (art. 6 ust. 1 lit. b lub f RODO) | Do momentu usunięcia przez Użytkownika lub zakończenia sesji przeglądarki – w praktyce do czasu nadpisania przez kolejną analizę |
aspika_cookie_consent | localStorage | Zapamiętanie faktu przyjęcia informacji o cookies (nie pokazywanie ponownie komunikatu) | Zgoda (art. 6 ust. 1 lit. a RODO) | 12 miesięcy |
| Cookies Google Analytics | cookie | Analiza ruchu, statystyki, optymalizacja Serwisu | Zgoda (art. 6 ust. 1 lit. a RODO) | Zgodnie z polityką Google (np. do 2 lat) |
| Cookies Google Ads | cookie | Wyświetlanie reklam dopasowanych, pomiar skuteczności reklam | Zgoda (art. 6 ust. 1 lit. a RODO) | Zgodnie z polityką Google |
Serwis wykorzystuje także cookies Google Analytics i cookies Google Ads – ich stosowanie wymaga Twojej zgody (wyrażanej np. przez akceptację w komunikacie o cookies). Szczegółowy opis wszystkich cookies, w tym Google, znajduje się w Polityce cookies dostępnej w Serwisie. Możesz w każdej chwili cofnąć zgodę na cookies analityczne i reklamowe (zarządzanie w ustawieniach przeglądarki lub przez narzędzia Google).
Zarządzanie: Możesz w każdej chwili usunąć dane z pamięci lokalnej i cookies w ustawieniach przeglądarki. Ograniczenie lub usunięcie localStorage może wpłynąć na działanie funkcji „Otwórz analizę” (powrót do ostatniego wyniku).
9. Bezpieczeństwo danych
Administrator stosuje środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do ryzyka naruszenia, w szczególności:
- szyfrowanie transmisji (HTTPS),
- ograniczony dostęp do danych (tylko osoby upoważnione),
- umowy powierzenia z podmiotami przetwarzającymi dane (hosting, OpenAI),
- okresowe przeglądy okresów przechowywania i procedur usuwania danych.
W przypadku naruszenia ochrony danych osobowych Administrator podejmie działania przewidziane w RODO (art. 33 i 34), w tym w uzasadnionych przypadkach powiadomienie PUODO oraz osób, których dane dotyczą.
10. Zmiany Polityki prywatności
Administrator zastrzega sobie prawo do zmiany niniejszej Polityki prywatności, w szczególności w związku ze zmianą przepisów prawa, zmianą zakresu usług lub sposobu przetwarzania danych. O istotnych zmianach Użytkownik zostanie poinformowany z odpowiednim wyprzedzeniem (np. komunikat w Serwisie, e-mail). Aktualna wersja Polityki jest zawsze dostępna w Serwisie.
Wersja dokumentu: 1.2
Data: 2026-02-20
Zmiany (1.2): Doprecyzowanie zasad przechowywania danych: automatyczne usuwanie danych z zadania po 24 h, brak stałego przechowywania treści umów na serwerze.
Zmiany (1.1): Aktualizacja opisu usługi – wprowadzenie dwuetapowej analizy (Szybki podgląd + Pełna analiza). Aktualizacja terminologii i opisu przetwarzania danych.