3.1. Dane Użytkowników Platformy

Podczas rejestracji i korzystania z Platformy zbieramy:

• Dane identyfikacyjne: imię, nazwisko, adres e-mail
• Dane firmowe: nazwa firmy, NIP, adres
• Dane logowania: hasło (przechowywane wyłącznie w postaci skrótu kryptograficznego), tokeny sesji
• Dane techniczne: adres IP, dane przeglądarki, system operacyjny
• Dane dotyczące subskrypcji i płatności

3.2. Dane z Połączonych Platform E-commerce

Z systemów e-commerce (WooCommerce, Magento, Shoper, Shopify, IdoSell, RedCart, PrestaShop, SkyShop):

• Dane transakcyjne: numer zamówienia, data, status, wartość zamówienia
• Dane produktowe: ID produktu, nazwa, cena, kategoria, stan magazynowy, warianty
• Dane klientów końcowych w postaci pseudonimizowanej, w zakresie opisanym w pkt 3.6
• Informacje o metodach płatności i dostawy (bez danych uwierzytelniających)
• Kody kuponów rabatowych i informacje o promocjach

Z platformy Allegro:

• Dane ofert i produktów
• Dane transakcyjne i zamówień
• Dane o kosztach, opłatach, prowizjach i bonusach
• Informacje o kategoriach i cenach

3.3. Dane z Platform Reklamowych

Google Ads:

• Statystyki kampanii: wyświetlenia, kliknięcia, konwersje
• Koszty reklam i dane o wydajności kampanii
• Frazy wyszukiwania i dane o grupach reklam

Szczegółowy opis danych pochodzących z usług Google znajduje się w Sekcji 4 (Dane Użytkowników Google).

Meta Ads (Facebook, Instagram):

• Statystyki kampanii reklamowych
• Dane o zaangażowaniu i zasięgu
• Koszty i wyniki konwersji

TikTok Ads:

• Dane kampanii reklamowych
• Statystyki odtworzeń i zaangażowania
• Informacje o kosztach i konwersjach

Criteo i Tradetracker:

• Dane o prowizjach afiliacyjnych
• Statystyki kampanii remarketingowych

3.4. Dane z Google Analytics

• Statystyki sesji
• Zdarzenia e-commerce
• Ścieżki nawigacji i źródła ruchu

Pełny opis danych pochodzących z usług Google znajduje się w Sekcji 4 (Dane Użytkowników Google).

3.5. Dane NIE Zbierane przez Platformę

Adres e-mail i numer telefonu klienta końcowego zapisujemy wyłącznie w postaci skrótu kryptograficznego (zob. pkt 3.6).

3.6. Dane Klientów Końcowych Sklepów (powierzenie)

W imieniu Klienta, jako podmiot przetwarzający, przetwarzamy przypisane do zamówień:

• identyfikator klienta nadany przez platformę sklepową
• skrót kryptograficzny adresu e-mail i numeru telefonu
• znaczniki kampanii marketingowych (np. UTM, gclid, fbclid)

Są to dane osobowe w postaci pseudonimizowanej, przetwarzane wyłącznie w celu świadczenia Usługi analitycznej na rzecz Klienta (np. analizy klientów nowych i powracających), na zasadach określonych w § 9 Regulaminu. Administratorem tych danych jest Klient.

4.1. Jakie dane użytkowników Google uzyskujemy

Po udzieleniu przez Państwa autoryzacji (OAuth 2.0) uzyskujemy dostęp wyłącznie w trybie do odczytu (read-only) do następujących danych z Państwa kont Google:

• Google Ads: statystyki kampanii (wyświetlenia, kliknięcia, konwersje), koszty reklam, frazy wyszukiwania, dane grup reklam i wydajności kampanii
• Google Analytics (GA4): dane o sesjach, zdarzenia e-commerce, źródła ruchu i ścieżki nawigacji
• Google Merchant Center: dane o produktach w feedzie, status zatwierdzenia ofert, widoczność oraz konkurencyjność cenowa
• Google Search Console: dane o wydajności w wyszukiwarce (frazy, strony, kliknięcia, wyświetlenia)

4.2. Jak wykorzystujemy dane użytkowników Google

Dane użytkowników Google wykorzystujemy wyłącznie w celu świadczenia i ulepszania funkcji Platformy widocznych dla użytkownika, tj. analizy oraz wizualizacji wyników marketingowych i sprzedażowych na Państwa pulpitach analitycznych w DataOrganizer.

4.3. Komu udostępniamy, przekazujemy lub ujawniamy dane użytkowników Google

Dane użytkowników Google mogą być udostępniane wyłącznie następującym kategoriom odbiorców:

• Podmiotom przetwarzającym (sub-procesorom) niezbędnym do świadczenia Usługi, w szczególności dostawcy infrastruktury chmurowej Google Cloud Platform, na której hostowana jest Platforma, działającym wyłącznie na nasze udokumentowane polecenie na podstawie umów powierzenia przetwarzania zgodnie z art. 28 RODO.
• Dostawcy usług AI: funkcje analityczne oparte na sztucznej inteligencji realizowane są z wykorzystaniem Anthropic (model Claude) jako podmiotu przetwarzającego, za pośrednictwem Anthropic API, z przetwarzaniem na serwerach w USA na podstawie standardowych klauzul umownych. Dane przekazane do tego dostawcy, które mogą obejmować dane pochodzące z usług Google, nie są wykorzystywane do trenowania modeli AI.
• Organom państwowym, wyłącznie gdy jest to bezwzględnie wymagane obowiązującymi przepisami prawa lub prawomocnym żądaniem (np. organom ścigania).
• Upoważnionym współpracownikom w ramach naszej organizacji, na zasadzie ograniczonego dostępu („need to know”), zobowiązanym do zachowania poufności.

4.4. Zgodność z Google API Services User Data Policy (Limited Use)

W wersji oryginalnej (en): DataOrganizer’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

4.5. Minimalny zakres dostępu (minimalne zakresy / OAuth scopes)

Wnioskujemy wyłącznie o minimalne zakresy uprawnień (OAuth scopes) niezbędne do działania funkcji Platformy i wyłącznie w trybie do odczytu (read-only). Nie żądamy dostępu do danych ani uprawnień wykraczających poza zakres niezbędny do analizy danych marketingowo-sprzedażowych. Nie wnioskujemy o zakresy „na zapas” ani dla funkcji jeszcze niewdrożonych.

4.6. Ochrona danych użytkowników Google

Dane użytkowników Google podlegają tym samym środkom bezpieczeństwa, które opisano w Sekcji 9, w tym szyfrowaniu w transmisji (TLS) i podczas przechowywania (AES-256), kontroli dostępu oraz rejestrowaniu operacji administracyjnych. Tokeny dostępu (OAuth) przechowywane są w zabezpieczonej bazie danych w infrastrukturze Google Cloud, szyfrowanej w spoczynku.

4.7. Przechowywanie i usuwanie danych użytkowników Google

• Dane użytkowników Google przechowujemy wyłącznie przez okres aktywnej integracji.
• Po odłączeniu integracji (cofnięciu autoryzacji) lub na Państwa żądanie dane usuwane są w ciągu 30 dni; z kopii zapasowych, w ciągu 90 dni.
• Autoryzację mogą Państwo cofnąć w dowolnym momencie w ustawieniach konta DataOrganizer lub na stronie uprawnień konta Google: myaccount.google.com/permissions.

4.8. Dodatek Google Workspace (Google Apps Script)

Dodatek DataOrganizer dla Google Workspace zbudowany jest w oparciu o Google Apps Script i wykorzystuje następujące zakresy uprawnień:

• script.scriptapp – umożliwia działanie dodatku w Państwa imieniu, w tym tworzenie i obsługę wyzwalaczy (np. automatyczne, cykliczne odświeżanie danych);
• script.container.ui – umożliwia wyświetlanie interfejsu dodatku (panel boczny, okna dialogowe) wewnątrz aplikacji Google;
• script.external_request – umożliwia dodatkowi łączenie się z zewnętrznym interfejsem API DataOrganizer w celu pobrania Państwa danych analitycznych i udostępnienia ich w dodatku.

Dodatek nie odczytuje innych Państwa plików ani dokumentów Google poza zakresem niezbędnym do działania opisanych powyżej funkcji.

5.1. Świadczenie Usługi Analitycznej

Cel: Analiza i wizualizacja danych e-commerce w celu umożliwienia użytkownikom monitorowania wyników biznesowych.

Podstawa prawna:

• Art. 6 ust. 1 lit. b) RODO – wykonanie umowy (świadczenie usługi DataOrganizer)
• Art. 6 ust. 1 lit. f) RODO – uzasadniony interes prawny polegający na zapewnieniu funkcjonalności Platformy

Dane klientów końcowych (pkt 3.6) przetwarzamy na polecenie Klienta jako administratora, na podstawie umowy powierzenia (art. 28 RODO, § 9 Regulaminu).

5.2. Zarządzanie Kontem Użytkownika

Cel: Utworzenie i zarządzanie kontem użytkownika, uwierzytelnianie, komunikacja.

Podstawa prawna: Art. 6 ust. 1 lit. b) RODO – wykonanie umowy.

5.3. Rozliczenia i Płatności

Cel: Obsługa subskrypcji, fakturowanie, realizacja płatności.

Podstawa prawna:

• Art. 6 ust. 1 lit. b) RODO – wykonanie umowy
• Art. 6 ust. 1 lit. c) RODO – obowiązek prawny (przepisy podatkowe i księgowe)

5.4. Wsparcie Techniczne

Cel: Udzielanie pomocy technicznej, rozwiązywanie problemów, komunikacja z użytkownikami.

Podstawa prawna: Art. 6 ust. 1 lit. b) i f) RODO.

5.5. Bezpieczeństwo i Wykrywanie Nadużyć

Cel: Zapewnienie bezpieczeństwa Platformy, wykrywanie i zapobieganie nadużyciom.

Podstawa prawna: Art. 6 ust. 1 lit. f) RODO – uzasadniony interes prawny (bezpieczeństwo systemów).

5.6. Analiza i Doskonalenie Usługi

Cel: Analiza sposobu korzystania z Platformy, rozwój funkcjonalności, optymalizacja wydajności.

Podstawa prawna: Art. 6 ust. 1 lit. f) RODO – uzasadniony interes prawny.

5.7. Marketing (z Państwa Zgodą)

Cel: Wysyłka newslettera, informacji o nowych funkcjach, ofert promocyjnych.

Podstawa prawna: Art. 6 ust. 1 lit. a) RODO – dobrowolna zgoda (którą można w każdej chwili wycofać).

Marketing prowadzimy wyłącznie w oparciu o dane kontaktowe użytkowników Platformy. Do działań marketingowych nie wykorzystujemy danych użytkowników Google (zob. Sekcja 4.2).

6.1. Dane Użytkowników Platformy

Czas trwania umowy: Dane przechowywane są przez cały okres korzystania z Platformy.

Po zakończeniu umowy:

• Dane niezbędne do rozliczeń: 5 lat (zgodnie z przepisami podatkowymi)
• Dane komunikacji z wsparciem: 3 lata
• Pozostałe dane: 30 dni od dezaktywacji konta

6.2. Dane z Połączonych Platform

• Podczas aktywnej integracji: dane synchronizowane raz na dobę
• Po odłączeniu integracji lub zamknięciu konta: dane usuwane w ciągu 30 dni
• Użytkownik może zażądać wcześniejszego usunięcia danych
• Kopie zapasowe: dane usuwane z kopii najpóźniej w ciągu 90 dni

Szczegółowe zasady przechowywania i usuwania danych użytkowników Google opisano w Sekcji 4.7.

6.3. Interakcje z Funkcjami AI

Interakcje z funkcjami AI (historia rozmów) przechowywane są w celu świadczenia usługi oraz jej rozwoju i ulepszania, nie dłużej niż 12 miesięcy od ich utworzenia, po czym są automatycznie usuwane. Wcześniej usuwane są wraz z danymi konta po jego zamknięciu.

7.1. Główna Infrastruktura

Google Cloud Platform (GCP) – Region Europa:

• Dane analityczne: region europe-west1 (Belgia)
• Dane aplikacji: region europe-central2 (Warszawa)
• Kopie zapasowe: w tych samych regionach
• Część danych o korzystaniu z Platformy może być przechowywana w wieloregionie UE, wyłącznie na terenie Unii Europejskiej

7.2. Zgodność z Wymogami RODO

Wszystkie główne dane przechowywane są na terenie Unii Europejskiej w infrastrukturze zgodnej z certyfikacjami: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2/SOC 3.

7.3. Przekazywanie Danych poza EOG

W ograniczonym zakresie dane mogą być przekazywane poza Europejski Obszar Gospodarczy:

• w ramach funkcji AI: do Anthropic (USA), na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską
• przez Google i jego podwykonawców (np. w ramach wsparcia technicznego), na podstawie standardowych klauzul umownych
• w ramach obsługi płatności: do Stripe, Inc. (USA), na podstawie EU-US Data Privacy Framework oraz standardowych klauzul umownych

Lista państw z decyzją o adekwatności: commission.europa.eu

8.1. Podmioty Przetwarzające

• Dostawca infrastruktury chmurowej: Google Cloud Platform
• Dostawca usług AI: Anthropic (model Claude), dla funkcji analitycznych opartych na AI; do dostawcy przekazywana jest treść zapytania i wyniki przetworzonych zestawień, w których klienci końcowi występują wyłącznie jako skrót kryptograficzny; dane nie są wykorzystywane do trenowania modeli
• Operator płatności: Stripe (w zakresie niezbędnym do obsługi subskrypcji)
• Dostawca poczty elektronicznej i narzędzi biurowych: Google Workspace
• Współpracownicy DATADIARY związani umowami o zachowaniu poufności

Aktualna lista dalszych podmiotów przetwarzających stanowi Załącznik nr 1 do Regulaminu.

8.2. Podmioty Uprawnione z Mocy Prawa

Dane mogą być udostępniane organom państwowym, gdy jest to wymagane przepisami prawa (np. organy podatkowe, organy ścigania).

8.3. Brak Sprzedaży i Brak Przekazywania w Celach Reklamowych

8.4. Źródła Danych

8.5. Umowy Powierzenia Przetwarzania

Z wszystkimi podmiotami przetwarzającymi dane w naszym imieniu zawieramy umowy powierzenia przetwarzania danych osobowych zgodnie z art. 28 RODO.

9.1. Środki Techniczne

Szyfrowanie:

• Transmisja danych: TLS
• Przechowywanie danych: AES-256
• Hasła użytkowników: przechowywane wyłącznie w postaci skrótu kryptograficznego, w zabezpieczonej usłudze uwierzytelniania (nie przechowujemy haseł w formie jawnej)
• Tokeny dostępu do integracji: przechowywane w zabezpieczonej bazie danych w infrastrukturze Google Cloud, szyfrowanej w spoczynku

Kontrola dostępu:

• Wymuszone uwierzytelnianie dwuskładnikowe (2FA) dla kont zespołu DATADIARY z dostępem do infrastruktury
• Uwierzytelnianie dwuskładnikowe (2FA) dla użytkowników Platformy: planowane
• Czasowa blokada logowania po wielu nieudanych próbach
• Zasada najmniejszych uprawnień
• Logi dostępu i audyt działań

Zabezpieczenia infrastruktury:

• Rozdzielenie danych poszczególnych Klientów w osobnych bazach
• Zarządzana infrastruktura Google Cloud
• Automatyczne powiadomienia o błędach i nieprawidłowościach w działaniu usługi
• Automatyczne kopie zapasowe wykonywane codziennie oraz regularne testy ich odtwarzania

9.2. Środki Organizacyjne

• Polityka bezpieczeństwa informacji
• Zobowiązanie współpracowników do przestrzegania polityki bezpieczeństwa informacji
• Procedury reagowania na incydenty
• Ograniczony dostęp do danych osobowych (na zasadzie „need to know”)
• Umowy o zachowaniu poufności ze współpracownikami

9.3. Certyfikacje i Audyty

Infrastruktura oparta jest na Google Cloud Platform posiadającym certyfikaty: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2 Type II.

10.1. Prawo Dostępu (art. 15 RODO)

• Potwierdzenie, czy przetwarzamy Państwa dane osobowe
• Kopia przetwarzanych danych osobowych
• Informacje o celach przetwarzania, kategoriach danych, odbiorcach

Jak skorzystać: contact@dataorganizer.io

10.2. Prawo do Sprostowania (art. 16 RODO)

Możecie Państwo żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych bezpośrednio w ustawieniach konta lub pisząc na contact@dataorganizer.io.

10.3. Prawo do Usunięcia – „Prawo do Bycia Zapomnianym” (art. 17 RODO)

Możecie Państwo zażądać usunięcia danych gdy: dane nie są już niezbędne do celów przetwarzania, wycofano zgodę, wniesiono sprzeciw lub dane przetwarzane są niezgodnie z prawem.

10.4. Prawo do Ograniczenia Przetwarzania (art. 18 RODO)

Możecie Państwo zażądać ograniczenia przetwarzania danych w określonych sytuacjach (np. podczas weryfikacji prawidłowości danych).

10.5. Prawo do Przenoszenia Danych (art. 20 RODO)

Macie Państwo prawo otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie (CSV lub Parquet), na zasadach określonych w § 14 Regulaminu.

10.6. Prawo Sprzeciwu (art. 21 RODO)

Możecie Państwo wnieść sprzeciw wobec przetwarzania danych z przyczyn związanych z Państwa szczególną sytuacją lub wobec przetwarzania w celach marketingu bezpośredniego (w każdym czasie, bezwarunkowo).

10.7. Prawo do Cofnięcia Zgody (art. 7 ust. 3 RODO)

Jeśli przetwarzanie odbywa się na podstawie zgody, możecie ją Państwo w każdej chwili wycofać bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Autoryzację dostępu do usług Google możecie Państwo cofnąć w ustawieniach konta DataOrganizer lub na stronie myaccount.google.com/permissions.

10.8. Prawo do Skargi (art. 77 RODO)

10.9. Realizacja Praw

Czas realizacji: Do 30 dni od otrzymania żądania (możliwe przedłużenie o kolejne 60 dni z powiadomieniem). Realizacja praw jest co do zasady bezpłatna.

10.10. Dane Klientów Końcowych Sklepów

Żądania dotyczące danych klientów końcowych sklepów (pkt 3.6) należy kierować do właściciela sklepu jako administratora tych danych. DATADIARY pomaga administratorowi w ich realizacji.

11.1. Czym Są Pliki Cookies?

Pliki cookies to małe pliki tekstowe wysyłane przez serwer i przechowywane na urządzeniu użytkownika, umożliwiające rozpoznanie przeglądarki podczas kolejnych wizyt.

11.2. Jakie Cookies Używamy?

Cookies niezbędne (nie wymagają zgody):

• Uwierzytelnianie i zarządzanie sesją
• Bezpieczeństwo (ochrona CSRF)
• Podstawowa funkcjonalność Platformy

Cookies statystyczne (wymagają zgody):

• Google Analytics (pomiar ruchu, statystyki użytkowania)
• Analiza wydajności Platformy

Cookies preferencyjne (wymagają zgody):

• Zapamiętywanie ustawień użytkownika
• Język interfejsu, preferencje wyświetlania

Cookies marketingowe (wymagają zgody):

• Śledzenie konwersji z kampanii reklamowych
• Remarketing, personalizacja treści marketingowych

11.3. Podstawa Prawna

• Cookies niezbędne: art. 6 ust. 1 lit. f) RODO (uzasadniony interes prawny)
• Pozostałe cookies: art. 6 ust. 1 lit. a) RODO (zgoda użytkownika)

11.4. Zarządzanie Cookies

Po wejściu na stronę wyświetla się panel, w którym możecie zaakceptować wszystkie cookies, odrzucić wszystkie (poza niezbędnymi) lub dostosować ustawienia dla poszczególnych kategorii. Ustawienia można zmienić w dowolnym momencie klikając ikonę w lewym dolnym rogu strony.

11.5. Czas Przechowywania

• Cookies sesyjne: do zamknięcia przeglądarki
• Cookies stałe: zgodnie z datą wygaśnięcia (maksymalnie 24 miesiące)

13.1. Integracja Shopify

Zakres danych: dane zamówień (wartość, status, data), dane produktów (ID, nazwa, cena, warianty, kategorie), dane klientów końcowych wyłącznie w postaci pseudonimizowanej, w zakresie opisanym w pkt 3.6.

Autoryzacja: OAuth 2.0 przez właściciela sklepu. Usunięcie danych: po odinstalowaniu aplikacji lub na żądanie – w ciągu 30 dni. Zgodność: Shopify API Terms of Service oraz GDPR Requirements.

13.2. Integracja WooCommerce

Dane transakcyjne i produktowe oraz dane klientów końcowych w postaci pseudonimizowanej (pkt 3.6), pobierane poprzez WooCommerce REST API. Autoryzacja: klucze API generowane w panelu WooCommerce przez właściciela sklepu.

13.3. Integracja Google Ads, Google Analytics, Google Merchant Center i Google Search Console

Dane kampanii reklamowych, statystyki ruchu, dane feedu produktowego oraz wydajność w wyszukiwarce. Autoryzacja: OAuth 2.0 w trybie do odczytu. Zgodność z Google Ads API Terms, Google Analytics Terms of Service oraz Google API Services User Data Policy (w tym Limited Use). Pełny opis w Sekcji 4.

13.4. Integracja Meta Ads

Statystyki kampanii Facebook i Instagram. Autoryzacja: Facebook Business Manager OAuth. Zgodność z Meta Platform Terms oraz Business Tools Terms.

13.5. Pozostałe Integracje

Podobne zasady dotyczą integracji z: Magento, Shoper, IdoSell, RedCart, PrestaShop, SkyShop, Allegro, TikTok Ads, Criteo, Tradetracker.

14.1. Prawo Mieszkańców Kalifornii (CCPA)

Jeśli jesteście mieszkańcami Kalifornii, przysługują Wam dodatkowe prawa zgodnie z California Consumer Privacy Act:

• Prawo do informacji o zbieranych danych
• Prawo do usunięcia danych
• Prawo do rezygnacji z „sprzedaży” danych (nie sprzedajemy danych)
• Prawo do niedyskryminacji

Kontakt: contact@dataorganizer.io z tematem „CCPA Request”

14.2. Prawo Mieszkańców Wielkiej Brytanii (UK GDPR)

Stosujemy standardy ochrony danych zgodne z UK GDPR. Organ nadzorczy: Information Commissioner’s Office (ICO), ico.org.uk.

16.1. Aktualizacje

Zastrzegamy sobie prawo do aktualizacji niniejszej Polityki Prywatności w celu odzwierciedlenia zmian w przepisach prawa, funkcjonalności Platformy lub praktykach przetwarzania danych. O każdej zmianie sposobu wykorzystania danych użytkowników Google poinformujemy użytkowników z wyprzedzeniem.

16.2. Powiadomienia

O istotnych zmianach poinformujemy poprzez powiadomienie e-mail (z 30-dniowym wyprzedzeniem), komunikat w Platformie oraz zaktualizowaną datę „Ostatnia aktualizacja” na górze dokumentu. Poprzednie wersje Polityki udostępniamy w archiwum wraz z okresami ich obowiązywania.

16.3. Akceptacja Zmian

Dalsze korzystanie z Platformy po wprowadzeniu zmian oznacza akceptację zaktualizowanej Polityki. W przypadku istotnych zmian możemy wymagać ponownej zgody.

18.1. Język

Polityka Prywatności dostępna jest w języku polskim i angielskim. W przypadku rozbieżności wersja polska ma charakter wiążący.

18.2. Prawo Właściwe

Niniejsza Polityka oraz wszelkie kwestie z nią związane podlegają prawu polskiemu.

18.3. Rozdzielność Postanowień

Jeśli którekolwiek z postanowień Polityki zostanie uznane za nieważne lub niewykonalne, pozostałe postanowienia pozostają w pełnej mocy.

18.4. Powiązane Dokumenty

Niniejsza Polityka Prywatności powinna być czytana łącznie z:

• Regulaminem Platformy DataOrganizer, w szczególności z § 9 (powierzenie przetwarzania danych), § 13 (bezpieczeństwo) i § 14 (eksport i usunięcie danych)
• Warunkami Świadczenia Usług (Terms of Service)