Polityka prywatności

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych jest Maciej Czuper, osoba fizyczna prowadząca serwis Heuriso pod adresem heuriso.com („Heuriso", „my").

We wszystkich sprawach dotyczących danych osobowych napisz na contact@heuriso.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

2. Jakie dane przetwarzamy i skąd je mamy

Konto. Adres e-mail i hasło podane przy rejestracji. Hasła nie znamy: przechowuje je dostawca logowania (Supabase) wyłącznie w postaci skrótu kryptograficznego. Do konta zapisujemy też datę akceptacji regulaminu, Twoją decyzję w sprawie zgody marketingowej oraz nazwę użytkownika, jeśli ją ustawisz.

Zespół. Jeśli zaprosisz do konta inne osoby, przetwarzamy ich adresy e-mail, żeby mogły się zalogować i pracować na Twoich projektach.

Płatności. Płatności obsługuje Stripe. Danych karty nie widzimy i nie przechowujemy. U siebie zapisujemy identyfikator klienta w Stripe, wybrany plan, status subskrypcji i datę jej odnowienia. Dane potrzebne do rachunku lub faktury (np. nazwa firmy, adres, NIP) podajesz Stripe i tam są przechowywane.

Projekty. To, co wpisujesz przy zakładaniu i prowadzeniu projektu: nazwa marki, adres strony, kraj, język, opis oferty, tematy, prompty i lista konkurentów. Do tego wyniki pomiarów: odpowiedzi asystentów AI na Twoje prompty, wskazane w nich źródła oraz treść publicznie dostępnych stron (Twojej witryny i stron cytowanych przez asystentów), które pobieramy do audytu i planu działań. To przede wszystkim dane o firmach, nie o osobach. Mogą zawierać dane osobowe, jeśli np. nazwa firmy jest imieniem i nazwiskiem przedsiębiorcy.

Połączenia z Google. Jeśli połączysz konto Google Analytics albo Google Search Console, przetwarzamy dane opisane w punkcie 4.

Korespondencja. Gdy do nas piszesz, przetwarzamy Twój adres e-mail i treść wiadomości.

Dane techniczne. Serwery zapisują w dziennikach adres IP, czas i adres żądania oraz komunikaty błędów. Służą nam wyłącznie do utrzymania i zabezpieczenia serwisu.

Statystyki odwiedzin (Google Analytics). Tylko jeśli się na to zgodzisz w banerze cookies: które strony oglądasz, skąd do nas trafiłeś, typ urządzenia i przeglądarki, przybliżona lokalizacja (kraj, miasto) oraz kluczowe działania w serwisie (założenie konta, ukończenie konfiguracji, uruchomienie pomiaru, przejście do płatności). Po zalogowaniu dołączamy losowy identyfikator konta, żeby ta sama osoba na kilku urządzeniach liczyła się raz. Nie wysyłamy adresu e-mail, nazwy firmy ani nazw monitorowanych marek.

Mapy kliknięć i nagrania sesji (Microsoft Clarity). Tylko jeśli się na to zgodzisz w banerze cookies i tylko na publicznych stronach serwisu (strona główna, cennik, blog, rejestracja): ruchy myszy, kliknięcia i przewijanie, z których powstają mapy kliknięć i odtworzenia wizyty, a także typ urządzenia i przeglądarki oraz przybliżona lokalizacja. Treść wpisywana w pola formularzy jest maskowana. Panelu po zalogowaniu i konfiguracji projektu nie nagrywamy — ich treść jest maskowana.

Nie zbieramy danych do celów reklamowych i nie używamy pikseli reklamowych.

3. Po co i na jakiej podstawie

• Założenie i prowadzenie konta oraz świadczenie usługi (monitoring, raporty, audyt, plan działań, integracje): wykonanie umowy, art. 6 ust. 1 lit. b RODO.
• Obsługa płatności i subskrypcji: wykonanie umowy, art. 6 ust. 1 lit. b RODO.
• Wystawianie i przechowywanie dokumentów sprzedaży, rozliczenia podatkowe: obowiązek prawny, art. 6 ust. 1 lit. c RODO.
• Wiadomości o nowych funkcjach i wskazówki (newsletter): Twoja zgoda, art. 6 ust. 1 lit. a RODO. Możesz ją wycofać w każdej chwili.
• Statystyki odwiedzin, mapy kliknięć i nagrania sesji (Google Analytics, Microsoft Clarity): Twoja zgoda, art. 6 ust. 1 lit. a RODO. Możesz ją wycofać w każdej chwili linkiem „Ustawienia cookies” w stopce strony.
• Odpowiedzi na wiadomości: nasz prawnie uzasadniony interes w kontakcie z Tobą, art. 6 ust. 1 lit. f RODO.
• Bezpieczeństwo serwisu, wykrywanie nadużyć i błędów, dochodzenie roszczeń i obrona przed nimi: nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub podobnie istotnie na Ciebie wpływały, i nie profilujemy Cię. Modele językowe, których używamy, analizują odpowiedzi asystentów AI i treść stron o Twojej marce, a nie Ciebie jako osobę.

4. Dane z Google (Google Analytics i Google Search Console)

Połączenie z Google jest dobrowolne i uruchamiasz je sam na ekranie Aplikacje. Prosimy wyłącznie o dostęp tylko do odczytu.

Co pobieramy:

• Google Search Console (zakres webmasters.readonly): listę usług Search Console, do których masz dostęp, oraz dla wybranej witryny zapytania wyszukiwania z ostatnich 28 dni wraz z liczbą wyświetleń, kliknięć i średnią pozycją. To dane zbiorcze o witrynie, nie o pojedynczych internautach.
• Google Analytics 4 (zakres analytics.readonly): listę usług Analytics, do których masz dostęp, oraz dla wybranej usługi zbiorcze statystyki ruchu z asystentów AI (liczba sesji i użytkowników, konwersje, strony docelowe).
• Adres e-mail Twojego konta Google, żeby pokazać, jakim kontem połączono integrację.
• Token odświeżania wydany przez Google, który pozwala nam pobierać te dane bez ponownego logowania. Przechowujemy go zaszyfrowanego (AES-256).

Do czego ich używamy: wyłącznie do funkcji, które widzisz w swoim panelu. Z zapytań Search Console przygotowujemy propozycje promptów do monitoringu, które sam zatwierdzasz. Statystyki Analytics pokazujemy jako ruch z asystentów AI na Twojej stronie.

Komu je przekazujemy: żeby przepisać zapytania z Search Console na pytania do asystentów AI, przesyłamy ich treść (bez danych identyfikujących Ciebie) do OpenAI przez API. OpenAI przetwarza je jako nasz podmiot przetwarzający i zgodnie ze swoimi warunkami nie używa danych przesłanych przez API do trenowania modeli. Poza tym danych z Google nie przekazujemy nikomu, poza dostawcami infrastruktury wymienionymi w punkcie 5, na których serwerach działa serwis.

Czego nie robimy: nie sprzedajemy danych z Google, nie używamy ich do reklam ani do oceny zdolności kredytowej, nie używamy ich do trenowania ani doskonalenia ogólnych modeli sztucznej inteligencji i nie pozwalamy ludziom ich czytać, chyba że wyrazisz na to zgodę (np. zgłaszając problem), jest to konieczne ze względów bezpieczeństwa lub wymaga tego prawo.

Korzystanie z informacji otrzymanych z interfejsów API Google i ich przekazywanie do innych aplikacji odbywa się zgodnie z Zasadami dotyczącymi danych użytkownika usług Google API, w tym z wymaganiami dotyczącymi ograniczonego użytkowania (Limited Use).

Heuriso's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Jak odłączyć Google: kliknij „Rozłącz" na ekranie Aplikacje. Wtedy odwołujemy dostęp po stronie Google i kasujemy zapisany token. Dostęp możesz też cofnąć w ustawieniach konta Google: myaccount.google.com/permissions. Propozycje promptów przygotowane wcześniej z Search Console zostają w projekcie do czasu usunięcia projektu lub konta. Możesz też poprosić nas o ich usunięcie.

5. Komu powierzamy dane

Korzystamy z dostawców, którzy przetwarzają dane na nasze zlecenie i według naszych poleceń:

• Supabase Inc.: baza danych i logowanie. Dane przechowywane w Sztokholmie (Szwecja, UE).
• Vercel Inc.: hosting strony i panelu (renderowanie w regionie Sztokholm, UE).
• Railway Corporation: serwer aplikacji (backend).
• Contabo GmbH (Niemcy): serwer wykonujący pomiary w asystentach AI.
• OpenAI: analiza odpowiedzi asystentów AI, generowanie promptów i treści planu działań.
• Stripe Payments Europe Ltd. (Irlandia): płatności i dokumenty sprzedaży.
• Resend Inc.: wysyłka e-maili systemowych (potwierdzenie adresu, reset hasła).
• Google Ireland Ltd.: logowanie do integracji Google (OAuth) oraz czcionka z ikonami interfejsu, pobierana z serwerów Google Fonts. Przy jej pobraniu Twoja przeglądarka łączy się z serwerem Google i przekazuje mu adres IP. Po Twojej zgodzie także Google Analytics 4: statystyki odwiedzin opisane w punkcie 2.
• Microsoft Ireland Operations Ltd.: po Twojej zgodzie Microsoft Clarity, mapy kliknięć i nagrania sesji opisane w punkcie 2.

Pomiary w asystentach AI. Żeby sprawdzić, czy asystenci AI wymieniają Twoją markę, wysyłamy treść Twoich promptów do tych usług: ChatGPT (OpenAI), Gemini i Google AI Overviews (Google), Perplexity, Microsoft Copilot oraz Claude (Anthropic). Robimy to z naszych kont, bez żadnych danych o Tobie. Prompty dotyczą usług i kategorii firm. Nie wpisuj do nich danych osobowych.

Danych nie sprzedajemy. Możemy je udostępnić organom publicznym, jeśli wymaga tego prawo.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część dostawców (Supabase, Vercel, Railway, OpenAI, Resend, Google, Microsoft) ma siedzibę w Stanach Zjednoczonych, więc dane mogą trafiać poza EOG. Odbywa się to na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–US Data Privacy Framework), jeśli dostawca jest w nim certyfikowany, albo na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń możesz otrzymać, pisząc na contact@heuriso.com.

7. Jak długo przechowujemy dane

• Konto i projekty: do czasu usunięcia konta. Usunięcie konta (Moje konto → Usuń konto) najpierw anuluje subskrypcję w Stripe, a potem kasuje konto, projekty, wyniki pomiarów i połączenia z Google.
• Kopie zapasowe bazy: usunięte dane znikają z nich po 7 dniach.
• Dokumenty sprzedaży i dane rozliczeniowe: 5 lat od końca roku, w którym powstał obowiązek podatkowy, tyle wymagają przepisy podatkowe. Przechowuje je Stripe.
• Zgoda marketingowa: do jej wycofania.
• Korespondencja: do zakończenia sprawy, a potem przez okres przedawnienia ewentualnych roszczeń.
• Dzienniki serwerów: do 30 dni.
• Statystyki Google Analytics: 14 miesięcy od zebrania.
• Microsoft Clarity: nagrania sesji 30 dni, mapy kliknięć i statystyki do 13 miesięcy.

8. Twoje prawa

Masz prawo:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania danych nieprawidłowych,
• usunięcia danych („prawo do bycia zapomnianym"),
• ograniczenia przetwarzania,
• przenoszenia danych, czyli otrzymania ich w formacie nadającym się do odczytu maszynowego,
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie,
• wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed jej wycofania.

Żeby skorzystać z tych praw, napisz na contact@heuriso.com. Większość z nich możesz też wykonać sam w panelu: edytować dane konta, rozłączyć integracje i usunąć konto.

Masz też prawo wnieść skargę do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).

9. Pliki cookies i pamięć przeglądarki

Pliki niezbędne do działania serwisu, które nie wymagają zgody:

• ciasteczka sesji logowania (Supabase): utrzymują Cię zalogowanym, usuwane przy wylogowaniu lub po wygaśnięciu sesji,
• lang: zapamiętuje wybrany język interfejsu, ważne rok,
• pamięć przeglądarki (localStorage): zapamiętuje ostatnio wybrany projekt i ustawienia widoku. Zostaje na Twoim urządzeniu i nie jest nigdzie wysyłana.

Za Twoją zgodą także ciasteczka analityczne Google Analytics (_ga, _ga_*, ważne do 2 lat) i Microsoft Clarity (_clck — rok, _clsk — doba). Bez zgody żaden z tych skryptów się nie wczytuje. Wybór zapamiętujemy w pamięci przeglądarki, a zmienisz go linkiem „Ustawienia cookies” w stopce strony. Po wycofaniu zgody usuwamy ciasteczka analityczne.

Nie używamy ciasteczek reklamowych. Ciasteczka możesz usunąć w ustawieniach przeglądarki. Bez ciasteczek sesji nie da się zalogować.

10. Bezpieczeństwo

Połączenia z serwisem są szyfrowane (HTTPS). Reguły dostępu w bazie danych pozwalają każdemu kontu odczytać wyłącznie własne projekty, a tabele z danymi płatności i połączeniami z Google są dostępne tylko dla serwera aplikacji. Tokeny dostępu do usług Google przechowujemy zaszyfrowane, a hasła wyłącznie jako skróty kryptograficzne. Każdy projekt jest dostępny tylko dla konta, które go założyło, i osób zaproszonych do tego konta.

11. Czy musisz podać dane

Podanie adresu e-mail jest konieczne do założenia konta i korzystania z serwisu. Połączenie z Google i zgoda marketingowa są dobrowolne. Serwis jest przeznaczony dla firm i osób dorosłych, nie dla dzieci.

12. Zmiany polityki

Gdy zmienimy sposób przetwarzania danych, zaktualizujemy tę stronę i datę na jej początku. O istotnych zmianach poinformujemy e-mailem przed ich wejściem w życie.