Polityka prywatności BudOS
Nr dokumentu: PP-BUDOS-2026-001
Wersja: 2.1
Publikacja: 05.10.2026. Informacje w tej polityce dotyczą przetwarzania od dnia publikacji. Polityka nie zmienia wstecz zawartych umów ani nie zastępuje umowy powierzenia danych.
Powiązane dokumenty: Regulamin, DPA, Licencja SaaS, Klauzula RODO i informacja o AI, Polityka cookies.
1. Administrator i zakres informacji
Administratorem danych przetwarzanych we własnych celach jest QA10 spółka z ograniczoną odpowiedzialnością, ul. Mariacka 37, 40-014 Katowice, wpisana do rejestru przedsiębiorców KRS prowadzonego przez Sąd Rejonowy Katowice-Wschód w Katowicach, VIII Wydział Gospodarczy KRS, KRS 0001232199, NIP 9542906279, REGON 544435060, kapitał zakładowy 5 000 zł. Kontakt spółki oraz w sprawach prywatności i realizacji praw osób: hello@qa10.io. Zgłoszenia incydentów: Pomoc@budos.io.
Polityka obejmuje dane kont, bezpieczeństwo, rozliczenia, kontakt, pomoc w korzystaniu z serwisu, własne opracowania publicznych źródeł, newsletter oraz analitykę i marketing QA10. Dotyczy konsumentów, osób fizycznych prowadzących działalność, przedstawicieli organizacji i pozostałych osób, których dane przetwarzamy. Szczególna ochrona umowna konsumenta i osoby prowadzącej działalność, której umowa nie ma charakteru zawodowego („chroniona JDG”), wynika z Regulaminu i prawa. Status przedsiębiorcy nie wyłącza praw z RODO.
Zapoznanie się z polityką nie jest zgodą na przetwarzanie ani przyjęciem umowy. Dane niezbędne do konta i wykonania umowy mają podstawy opisane w pkt 3. Zgody na newsletter, marketingowe technologie zewnętrzne i niekonieczną analitykę są odrębne i dobrowolne. Odmowa tych zgód nie zastępuje ani nie uniemożliwia akceptacji warunków usługi.
Gdy organizacja klienta określa cel i istotne sposoby używania swoich dokumentów, ofert, rejestrów lub danych pracowników w BudOS, to ona jest administratorem, a QA10 działa na jej udokumentowane polecenie jako podmiot przetwarzający. Klient może też sam być procesorem innego administratora. Warunki powierzenia określa DPA. Rola QA10 i klienta zależy od celu i sposobu konkretnej czynności przetwarzania. Dane użytkownika organizacji mogą równocześnie służyć QA10 do bezpieczeństwa konta i rozliczenia oraz występować w treściach powierzonych przez klienta. Klient odrębnie przekazuje wymagane informacje osobom, których dane zawiera w swoich dokumentach.
Samodzielne pozyskiwanie i opracowywanie publicznych ogłoszeń przez QA10 dla własnej bazy i newslettera jest inną operacją niż analiza dokumentów na polecenie klienta. QA10 jest administratorem danych osobowych przetwarzanych w tej własnej operacji. Marketing QA10 i newsletter nie stają się powierzeniem klienta tylko dlatego, że są dostępne w tym samym serwisie.
2. Kategorie danych, źródła i osoby
2.1. Konta i przedstawiciele organizacji
Przetwarzamy imię i nazwisko, adres e-mail, firmę i rolę, identyfikator konta i organizacji, dane uwierzytelniające w postaci skrótów, preferencje usługi, historię uprawnień oraz kontaktów. Dane podaje osoba, administrator konta jej organizacji lub inny upoważniony przedstawiciel. Dane organizacji, np. NIP, CPV i region, mogą być danymi osobowymi, gdy pozwalają zidentyfikować osobę fizyczną, w szczególności przedsiębiorcę jednoosobowego.
Przy logowaniu przez Google użytkownik żąda przekazania danych konta Google w zakresie openid, email i profile: identyfikatora, adresu e-mail z informacją o jego potwierdzeniu oraz imienia i nazwiska. QA10 zapisuje identyfikator konta Google przy koncie BudOS, a imię i nazwisko pobrane tą drogą przy zakładaniu nowego konta. Odrębnie podłączona integracja Google obejmuje adres e-mail konta Google, zakres uprawnień i zaszyfrowany token autoryzacji. Integracja służy wydarzeniom tworzonym przez aplikację w Kalendarzu i wysyłaniu wiadomości przez Gmail. Jej zakres wynika z wyboru użytkownika, nie z samej zgody na cookies.
2.2. Kontakt, leady i rozliczenia
W kontaktach B2B i zapytaniach przetwarzamy imię, nazwisko, służbowe dane kontaktowe, stanowisko, firmę, korespondencję i historię relacji. Źródłem jest osoba, jej pracodawca lub kontrahent, formularz, korespondencja albo publiczna strona firmy, rejestry KRS i CEIDG, BIP oraz ogłoszenia przetargowe, zależnie od kontaktu. Publiczność źródła nie jest zgodą na reklamowy kontakt i nie znosi obowiązku informacyjnego.
Do rozliczeń potrzebne są dane osoby kontaktowej lub prowadzącej działalność, adres i identyfikatory na fakturze, zamówienia, płatności oraz identyfikatory transakcji. Źródłem jest klient, osoba kontaktowa i operator płatności Stripe. Dane karty podaje się operatorowi płatności. Zakres danych rozliczeniowych QA10 obejmuje dane faktury, zamówienia, płatności i identyfikatory transakcji, a nie pełny numer karty.
2.3. Bezpieczeństwo, używanie serwisu i pomoc
Automatycznie lub przy obsłudze incydentu przetwarzamy adres IP, informacje o przeglądarce (user-agent), czasy zdarzeń, identyfikatory sesji, próby logowania, żądania API, zdarzenia diagnostyczne i zgłoszenia nadużyć. Dla wybranych formularzy i publicznej wyszukiwarki działa Cloudflare Turnstile. Poza tokenem i adresem IP przekazywanym do weryfikacji skrypt dostawcy może bezpośrednio zbierać sygnały przeglądarki i urządzenia. Zakres opisuje pkt 4 i Polityka cookies.
Przy wywołaniach API może być używany identyfikator urządzenia. Bez włączonej analityki jest to losowa wartość w pamięci strony. Przy włączonej analityce mechanizm może utworzyć i zapisać trwały skrót sygnałów Canvas/WebGL, ekranu, czcionek, strefy czasowej i przeglądarki. To odrębny cel identyfikacji urządzenia i przeciwdziałania nadużyciom, a nie anonimowa statystyka. Wyboru analityki nie należy traktować jako blankietowej zgody na każdy sposób identyfikacji urządzenia. Szczegóły działania, ograniczeń i usuwania wpisu podaje Polityka cookies.
W pomocy AI przetwarzamy pytanie wpisane przez użytkownika oraz fragmenty publicznego centrum pomocy potrzebne do dobrania instrukcji. Pomoc AI nie pobiera historii konta ani dokumentów organizacji do tego zadania i nie wykonuje operacji na koncie. Treść pytania może jednak sama zawierać dane osobowe lub tajemnice. Nie wpisuj haseł, kluczy, danych osób ani poufnych dokumentów. Automatyczne rozpoznawanie niebezpiecznych treści nie zapewnia usunięcia wszystkich danych osobowych. Lokalna historia rozmowy może pozostać w przeglądarce; jej zakres opisuje Polityka cookies. Kontakt z pomocą i zgłoszenia błędów obejmują także treść zgłoszenia, dane umożliwiające odpowiedź i identyfikatory potrzebne do wyjaśnienia sprawy. Wpisy diagnostyczne powinny ograniczać się do danych koniecznych, bez nadmiarowych treści dokumentów.
2.4. Newsletter BudOS
Newsletter zawiera zestawienie i opracowanie publicznych ogłoszeń przetargowych. Można zamówić go bez zakładania konta albo odrębnie włączyć na własnym aktywnym koncie ze zweryfikowanym adresem. Publiczny zapis nie tworzy konta ani organizacji w BudOS. Newsletter jest niezależny od reguł alertów konta, zgody na piksele reklamowe i pozostałych zgód marketingowych.
QA10 przetwarza adres e-mail, wybrane branże lub wybór wszystkich branż z zakresu newslettera, stan i czas zapisu, potwierdzenia i rezygnacji, identyfikator i generację subskrypcji, skrót wyzwania potwierdzenia oraz metadane prób wysyłki, ich statusy i historię. W publicznym zapisie wybór branż służy filtrowaniu ogłoszeń według kodów CPV i dopasowaniu treści wysyłki; zakres dostępnych ogłoszeń wskazuje formularz zapisu. Do ograniczania nadużyć oraz powielonych wysyłek służą kluczowane skróty adresu e-mail i IP. Są to dane pseudonimizowane, które nadal podlegają ochronie danych osobowych.
Publiczny zapis wymaga osobnego wyboru newslettera i potwierdzenia wysłanego na wskazany adres. Link potwierdzenia jest ważny przez 24 godziny. Samo otwarcie strony z linku nie zmienia zgody; należy zatwierdzić wskazaną czynność. Na aktywnym koncie ze zweryfikowanym e-mailem newsletter włącza się osobno w ustawieniach, bez kolejnego linku potwierdzającego tę subskrypcję. Założenie konta ani wcześniejsza weryfikacja adresu nie oznaczają zamówienia newslettera.
Rezygnacja jest dostępna przez link w wiadomości, a dla subskrypcji kontowej także w ustawieniach. Na stronie rezygnacji należy ją potwierdzić; samo otwarcie linku nie cofa zgody. Funkcja jednoklikowego wypisania udostępniona przez program pocztowy może wykonać rezygnację bez otwierania tej strony. Jeżeli ten sam adres zapisano publicznie i na koncie, rezygnacja obejmuje dalszą wysyłkę newslettera na ten adres w obu kanałach. Można też skontaktować się z hello@qa10.io. Zamknięcie konta nie jest automatyczną rezygnacją z odrębnej publicznej subskrypcji. Przyjęcie wiadomości przez transport pocztowy nie gwarantuje jej doręczenia do skrzynki.
Linki potwierdzenia i rezygnacji zawierają uprawnienie do konkretnej czynności. Nie udostępniaj ich innym osobom ani nie wklejaj do pomocy AI. Okres ważności linku nie jest terminem usunięcia danych subskrypcji.
2.5. Analityka i technologie reklamowe
Po wyborze analityki zbierane są zdarzenia wizyty i korzystania z publicznych powierzchni serwisu, losowy identyfikator karty, ścieżka, typ i czas zdarzenia, host strony odsyłającej oraz oznaczenia kampanii UTM. Można łączyć obserwowane zdarzenia tej samej karty, w tym przejście do demo, skuteczne utworzenie konta i wynik rozpoczętej płatności. Przy rozpoczęciu płatności identyfikator karty może zostać przesłany do QA10 i powiązany po stronie QA10 ze skrótem identyfikatora sesji płatności. Ten identyfikator karty nie jest przekazywany do Stripe w metadanych ani w adresie przekierowania. Dane potrzebne Stripe do płatności są odrębnym przepływem.
Losowy klucz karty nie jest trwałym identyfikatorem sprzętu. Dane umożliwiają łączenie zdarzeń i wyniku płatności i nie są z tego powodu anonimowe. Zestawienia służą ocenie używania serwisu, etapów ścieżki i skuteczności działań QA10. Obserwowane karty nie są liczbą osób ani kompletną liczbą klientów; brak zgody lub brak powiązania może ograniczyć pomiar. Zestawienia operacyjne i rozliczeniowe potrzebne do prowadzenia usługi pozostają odrębne od fakultatywnego śledzenia karty.
Po łącznym włączeniu marketingu i usług zewnętrznych na dopuszczonych publicznych stronach budos.io i www.budos.io działają Meta Pixel i X Website Tag. Mogą zbierać adres IP, informacje o przeglądarce i urządzeniu, identyfikatory reklamowe, adres odwiedzanej strony z dopuszczonymi parametrami oraz zdarzenia interakcji, w tym automatycznie rozpoznane kliknięcia i etykiety przycisków. Nie jest to ten sam zakres co własny licznik QA10. Dane mogą być używane przez dostawców do pomiaru i personalizacji reklam na zasadach ich polityk. Nie umieszczaj danych osobowych, poufnych informacji ani linków uprawniających do czynności w parametrach publicznych adresów.
Źródłem tych danych jest przeglądarka i interakcje użytkownika. Zapis wyboru znajduje się w localStorage, a klucz wizyty w sessionStorage. Odmowę i cofnięcie, nazwy zapisów oraz ich okresy opisuje Polityka cookies.
2.6. Treści klienta i własne źródła publiczne QA10
Treści klienta mogą obejmować SWZ, oferty, kosztorysy, dokumenty i rejestry firmy, kwalifikacje personelu, dane pracowników i kontrahentów, podpisy, uprawnienia, kontrakty, historię realizacji i informacje o zamawiających. Zakres zależy od używanej funkcji. Mogą też zawierać przypadkowo dane dotyczące zdrowia, niepełnosprawności lub niekaralności, w tym KRK. Ogranicz przesyłanie takich danych, usuń lub zredaguj dane zbędne. Przetwarzanie danych szczególnych kategorii wymaga odpowiedniej podstawy z art. 9 RODO, a danych o wyrokach i naruszeniach prawa spełnienia art. 10 RODO; sama umowa, publiczność dokumentu albo przypadkowe otrzymanie nie wystarczają. W zakresie powierzenia obowiązują role i warunki DPA.
Własna baza ogłoszeń i opracowania QA10 korzystają z publicznych źródeł, w szczególności BZP, TED i BIP. Dane osobowe mogą występować w osobach kontaktowych, nazwach zamawiających lub wykonawców będących osobami fizycznymi, tytułach i opisach. Publiczność ogłoszenia nie oznacza anonimizacji ani zgody na marketing. Własne opracowanie nie powinno zawierać danych zbędnych do informacji o zamówieniu; błędy i żądania dotyczące danych można zgłaszać na hello@qa10.io. Przygotowanie paczki oferty w warsztacie klienta nie jest publicznym udostępnieniem jej danych ani złożeniem oferty do zamawiającego.
2.7. Informacja przy pozyskaniu pośrednim
Przy zbieraniu danych bezpośrednio przekazujemy informację z art. 13 RODO. Przy pozyskaniu od organizacji lub ze źródła publicznego, gdy QA10 jest administratorem tej czynności, informujemy także o źródle, kategoriach danych i tym, czy źródło było publiczne. Informację z art. 14 przekazujemy w terminach z ust. 3: co do zasady najpóźniej w ciągu miesiąca, a gdy wcześniej kontaktujemy się z osobą lub ujawniamy dane, najpóźniej przy pierwszym kontakcie lub ujawnieniu. Wyjątek z art. 14 ust. 5 wymaga konkretnej, udokumentowanej podstawy; nie wynika wyłącznie z dużej skali lub publiczności źródła. Jeżeli mamy dane tylko jako procesor, kierujemy wniosek do właściwego administratora i pomagamy mu zgodnie z DPA.
3. Cele, podstawy prawne i przechowywanie
| Cel | Podstawa prawna QA10 jako administratora | Okres lub kryterium |
|---|---|---|
| Zawarcie i wykonanie umowy z konsumentem lub JDG; konto i usługa, w tym wykonanie odrębnie zamówionych Dodatków | Art. 6 ust. 1 lit. b RODO | Przez trwanie całej usługi i właściwe okna rozliczenia, zwrotu i eksportu opisane poniżej. |
| Konto i kontakt pracownika, reprezentanta lub użytkownika organizacji, który nie jest osobiście stroną umowy | Art. 6 ust. 1 lit. f RODO: uzasadniony interes QA10 i klienta w obsłudze relacji, uwierzytelnieniu i wykonaniu umowy z organizacją | Przez okres upoważnienia lub relacji, następnie tylko w niezbędnym zakresie dla obowiązku prawnego lub udokumentowanej potrzeby roszczeniowej. Podstawa umowna z lit. b nie dotyczy tej osoby wyłącznie z racji korzystania z konta organizacji. |
| Faktury, rachunkowość i podatki | Art. 6 ust. 1 lit. c RODO w związku z właściwymi przepisami rachunkowymi i podatkowymi | Co do zasady 5 lat dla ksiąg i dowodów rachunkowych, liczonych według art. 74 ustawy o rachunkowości od początku roku następującego po roku obrotowym, którego zbiór dotyczy. Dokumenty podatkowe do upływu właściwego przedawnienia według Ordynacji podatkowej, z uwzględnieniem zawieszeń i przerwań. Nie jest to jednakowy termin dla każdej kategorii. |
| Zapytania, korespondencja i pomoc w korzystaniu z serwisu, w tym dobór instrukcji przez pomoc AI | Art. 6 ust. 1 lit. f RODO: interes w komunikacji, wyjaśnianiu problemów i obsłudze relacji; lit. b, gdy osoba podejmuje działania przed zawarciem własnej umowy lub pomoc jest potrzebna do jej wykonania | Przez obsługę sprawy, a następnie tylko w zakresie potrzebnym do udokumentowania relacji lub roszczeń. Dla niepodjętych leadów przyjęty okres wynosi 12 miesięcy od ostatniego kontaktu. |
| Bezpieczeństwo, przeciwdziałanie nadużyciom, diagnostyka oraz ustalenie, dochodzenie i obrona roszczeń | Art. 6 ust. 1 lit. f RODO: integralność usługi, ochrona osób i obrona praw; lit. c w zakresie konkretnego obowiązku prawnego | Przyjęty okres zwykłych logów zdarzeń wynosi 30 dni. Materiał dotyczący incydentu lub postępowania przez niezbędny, udokumentowany okres związany z postępowaniem lub właściwym terminem roszczeń. |
| Własna baza i opracowania publicznych ogłoszeń | Art. 6 ust. 1 lit. f RODO: uzasadniony interes QA10 i odbiorców w wyszukiwaniu i porządkowaniu informacji o zamówieniach, o ile nie przeważają interesy lub prawa osoby | Tak długo, jak dane są potrzebne do informacji o ogłoszeniu, historii postępowania i rzetelności opracowania; uwzględniamy aktualność, sprostowania, żądania osób i niezbędność każdej kategorii. Nie tworzy to prawa do bezterminowego zachowania wszystkich danych osoby. |
| Wysyłanie zamówionego newslettera | Art. 6 ust. 1 lit. a RODO oraz odrębny wybór używania e-maila do tego newslettera w zakresie art. 398 PKE | Przez aktywną subskrypcję do rezygnacji; po niej wyłącznie dane niezbędne na odrębnej podstawie wskazanej niżej. |
| Ochrona zapisu i wysyłki newslettera przed nadużyciem i powieleniem | Art. 6 ust. 1 lit. f RODO: interes QA10 i odbiorców w zapobieganiu niezamówionym, powielonym i nadużywanym wysyłkom | Dane niedokończonego zapisu i skróty ograniczania prób przez czas potrzebny do obsługi potwierdzenia oraz przeciwdziałania konkretnym nadużyciom; metadane dostaw przez czas potrzebny do wyjaśnienia wysyłki, błędu lub zgłoszenia. Nie stosujemy do nich automatycznie harmonogramu treści klienta. |
| Rozliczalność zgód i respektowanie rezygnacji lub sprzeciwu | Art. 6 ust. 1 lit. c RODO w związku z obowiązkami rozliczalności, w szczególności art. 5 ust. 2 i art. 7 ust. 1; lit. f w zakresie niezbędnym do obrony roszczeń i niedopuszczania ponownego niechcianego kontaktu | Minimalny zapis przez czas potrzebny do wykazania wyboru i przestrzegania rezygnacji albo sprzeciwu, z uwzględnieniem właściwych roszczeń. Nie uzasadnia to dalszej wysyłki ani przechowywania pełnej historii bez potrzeby. |
| Fakultatywna analityka wizyt i etapów ścieżki, w tym powiązanie karty z wynikiem płatności po stronie QA10 | Art. 6 ust. 1 lit. a RODO przy danych osobowych; uprzednia zgoda na nieniezbędny zapis i odczyt w urządzeniu według art. 399 PKE | Nowe zbieranie zależy od zgody. Przyjęty horyzont surowych zdarzeń i powiązania z wynikiem płatności wynosi 90 dni. Cofnięcie zatrzymuje dalsze korzystanie z klucza karty w opisanym mechanizmie, lecz nie usuwa automatycznie danych już zapisanych. |
| Piksele Meta i X: pomiar wizyt, interakcji i skuteczności reklam QA10 | Art. 6 ust. 1 lit. a RODO oraz uprzednia zgoda z art. 399 PKE na marketingowe technologie zewnętrzne | Do cofnięcia zgody dla dalszego zbierania. Okresy zapisów w urządzeniu podaje Polityka cookies; wcześniej przekazane dane podlegają także zasadom właściwego dostawcy i prawom osób. |
| Pozostały marketing własny i kontakt handlowy | Art. 6 ust. 1 lit. f RODO, jeśli interes QA10 nie ustępuje prawom osoby, z bezwarunkowym sprzeciwem wobec marketingu bezpośredniego; lit. a tam, gdzie przetwarzanie oparto na zgodzie | Do sprzeciwu, cofnięcia zgody lub końca uzasadnionej potrzeby. Niezależnie od podstawy RODO zgoda na komunikację handlową i marketing przez środki komunikacji podlega art. 398 PKE, gdy jest wymagana. Zgoda na cookies jej nie zastępuje. |
Okresy i kryteria przechowywania stosuje się odrębnie do właściwych kategorii danych. Kopie, logi i zapisy w przeglądarce nie mają jednego wspólnego terminu automatycznego usunięcia. Wygaśnięcie linku newsletterowego po 24 godzinach nie oznacza usunięcia rekordu zapisu. Retencja newslettera jest niezależna od posiadania konta i od treści powierzonych przez klienta. Po rezygnacji przechowywanie pełnego adresu i historii wymaga odrębnej, udokumentowanej potrzeby; pozostawienie minimalnego zapisu zakazu ponownej wysyłki nie uprawnia do używania adresu w marketingu. Kryteria dotyczą także danych niedokończonych zapisów, skrótów IP i e-maila oraz historii dostaw, nie tylko aktywnej listy adresów.
Dane zagregowane mogą być przechowywane odrębnie od surowych zdarzeń. Tylko agregaty rzeczywiście uniemożliwiające identyfikację osoby nie podlegają RODO. Sam brak imienia lub e-maila, użycie skrótu, losowego klucza albo sporządzenie zestawienia nie przesądza anonimizacji. Zapisy diagnostyczne, archiwalne i zestawienia podlegają terminom lub kryteriom właściwym dla ich odrębnych celów, z zachowaniem zasady ograniczenia przechowywania.
3.1. Koniec konta, całej usługi i zmiana dostawcy
Umowny harmonogram po zakończeniu całej usługi obejmuje 30 dni dostępu do eksportu, następnie do 30 dni na usunięcie danych produkcyjnych i do następnych 30 dni na usunięcie z kopii, na zasadach Regulaminu i DPA, z uwzględnieniem wyboru administratora danych oraz udokumentowanych wyjątków ustawowych. Harmonogram dotyczy właściwych treści powierzonych i powiązanych danych konta. Pozostałe kategorie podlegają odrębnym okresom i kryteriom przechowywania opisanym powyżej.
Samo anulowanie odnawialnego abonamentu nie zawsze kończy całą usługę. Nie rozpoczyna okna usuwania, jeżeli nadal trwa konto lub uprawnienie do używania skutecznie nabytych, bezterminowych Dodatków. Zasada dotyczy Dodatków skutecznie nabytych; dostępność nowych Dodatków i warunki ich zamówienia określa Regulamin. Faktury, wymagane dowody i dane związane z roszczeniami mają odrębne podstawy przechowywania.
Przy zmianie dostawcy na zasadach rozporządzenia (UE) 2023/2854 (Data Act) okres przejściowy wynosi zasadniczo nie więcej niż 30 dni kalendarzowych, z ustawowymi wyjątkami. Po zakończeniu okresu przejściowego przysługuje co najmniej 30 dni na odzyskanie danych. Zwykłe okno eksportu po zakończeniu usługi nie skraca tego późniejszego okresu i nie pozwala rozpocząć kasowania przed jego upływem. Zakres, formaty, pomoc i wyjątki określają Regulamin i DPA.
Usunięcie pojedynczego konta kończy dostęp użytkownika, obejmuje dezaktywację, unieważnienie uprawnień i pseudonimizację właściwych zapisów. Nie jest równoznaczne z usunięciem wszystkich dokumentów organizacji, danych innych osób, odrębnej publicznej subskrypcji newslettera lub kopii. Pseudonimizacja nie jest anonimizacją. Pełny zakres żądania usunięcia lub zwrotu danych można zgłosić niezależnie od funkcji interfejsu na hello@qa10.io.
4. Odbiorcy, AI i przekazywanie poza EOG
4.1. Dostawcy i zakres dostępu
Dostęp mogą otrzymać upoważnione osoby QA10 oraz odbiorcy potrzebni do konkretnej funkcji:
| Odbiorca lub kategoria | Funkcja i zakres |
|---|---|
| Vercel oraz dostawcy hostingu API, przechowywania i kopii | Udostępnienie interfejsu, pośredniczenie w żądaniach, obsługa danych i metadanych potrzebnych do działania usługi. Oprogramowanie używane we własnej infrastrukturze QA10 nie jest samo w sobie odrębnym odbiorcą. |
| Obsługa poczty QA10 | Wiadomości konta, kontakt i newsletter: adresy, treść wysyłki oraz metadane transportu. Poczta korzysta z transportu SMTP pod domeną postal.budos.io. Postal jest nazwą systemu pocztowego, nie nazwą odrębnego administratora lub strony umowy. |
| Stripe | Obsługa płatności, portalu rozliczeniowego i danych transakcji. Operator może działać jako odrębny administrator dla własnych celów płatniczych i obowiązków prawnych. Nie otrzymuje analitycznego klucza karty opisanej w pkt 2.5. |
| Google, gdy użytkownik wybiera logowanie lub podłącza integrację | Dane logowania albo dane związane z wydarzeniami Kalendarza i wysyłką Gmail w udzielonym zakresie. Logowanie i integracja to odrębne funkcje. |
| Cloudflare Turnstile | Ochrona logowania hasłem, prośby o zmianę hasła, rejestracji hasłem, ponownej prośby o weryfikację adresu i publicznej wyszukiwarki. Token, IP i sygnały przeglądarki lub urządzenia. Cloudflare opisuje rolę procesora dla ochrony witryny i własnego administratora dla ulepszania wykrywania botów. |
| OpenRouter, Inc. oraz operatorzy inferencji używanej funkcji | Pośrednictwo w przetwarzaniu pytania lub danych zadania przez model. Modele ogólne i pomoc AI mają różne trasy, opisane w pkt 4.2. Nazwa modelu nie identyfikuje automatycznie operatora endpointu. |
| DeepInfra, Inc. w odrębnej pomocy AI przez OpenRouter | Dobór fragmentów publicznego centrum pomocy na podstawie pytania użytkownika w odrębnej trasie pomocy AI. Operatorzy pozostałych funkcji zależą od używanej trasy. |
| Meta Platforms Ireland Limited i X, po wyborze marketingowych technologii zewnętrznych | Dane wizyty i interakcji zbierane przez Meta Pixel i X Website Tag do pomiaru oraz działań reklamowych. Są odbiorcami marketingu QA10, nie procesorami dokumentów klienta z samego faktu obecności piksela. |
| Dostawcy wsparcia i diagnostyki w zakresie wykorzystywanej funkcji | Dane niezbędne do wyjaśnienia zgłoszenia, zapewnienia działania i bezpieczeństwa, z ograniczeniem do potrzebnego zakresu. |
| Organy publiczne i uprawnieni odbiorcy | Dane przekazywane w zakresie wynikającym z obowiązującego prawa. |
Nie każdy odbiorca ma dostęp do każdej kategorii danych ani działa w tej samej roli dla wszystkich operacji. Przekazanie treści klienta dalszym procesorom wymaga skutecznego powierzenia i właściwego upoważnienia na zasadach DPA. Informacje o odbiorcach lub ich kategoriach oraz dane potrzebne do realizacji art. 15 RODO można uzyskać przez hello@qa10.io. Poszczególne usługi nie muszą korzystać z tego samego regionu przetwarzania.
Dla zbierania i przekazywania danych przez objęte nimi Meta Business Tools warunki Meta opisują współadministrowanie QA10 i Meta Platforms Ireland Limited w rozumieniu art. 26 RODO. Dalsze własne przetwarzanie Meta nie należy do tej wspólnej operacji. Controller Addendum przewiduje przekazanie informacji przez operatora witryny i obsługę praw dotyczących danych przechowywanych po stronie Meta przez Meta. Wspólne zbieranie i przekazywanie danych wymaga uzgodnienia obowiązków QA10 i Meta zgodnie z art. 26 RODO. Prawa dotyczące wspólnej operacji można wykonywać także wobec QA10, a nie wyłącznie wobec Meta. Informacje o własnych celach, podstawach i prawach u dostawców: polityka Meta i polityka X.
4.2. Trasy AI i ważne ograniczenia
Ogólna obsługa AI ma skonfigurowaną pierwszą trasę przez OpenRouter z modelami Grok 4.7 (x-ai/grok-4.7) do analizy, rozumowania, rozmowy, generowania dokumentów i zadań mogących zawierać dane osobowe oraz DeepSeek V4.1 Flash (deepseek/deepseek-v4.1-flash) do klasyfikacji przewidzianej dla treści nieobejmujących danych osobowych. Publiczny dokument nie jest automatycznie nieosobowy; ocena i minimalizacja dotyczą faktycznej treści. Mechanizm ogólny przewiduje również alternatywne trasy bezpośrednie xAI i Amazon Bedrock, a w określonych zadaniach bezpośredni DeepSeek. Wybór trasy zależy od zadania. Przed przekazaniem danych osobowych każda trasa, w tym alternatywna, wymaga spełnienia warunków ochrony danych opisanych poniżej.
Odrębna pomoc AI korzysta z OpenRouter i modelu DeepSeek V4.1 Flash z wyborem operatora DeepInfra. Przekazywane są pytanie użytkownika i dobrane fragmenty publicznego centrum pomocy, nie historia konta ani treści organizacji pobierane przez tę funkcję. Model wybiera fragmenty do odpowiedzi; nie jest to ogólna analiza przetargu ani pracownik uprawniony do obsługi sprawy. Dla tej trasy żądany jest tryb ZDR i brak przejścia na innych operatorów. Ten zakres ustawień dotyczy wyłącznie pomocy AI. ZDR nie jest zapewniony dla wszystkich funkcji AI. Przetwarzanie danych wymagających powierzenia wymaga skutecznych umów i upoważnień w całym łańcuchu.
Brak wykorzystania danych klienta do treningu i Zero Data Retention (ZDR) to różne wymagania. Ustawienie ograniczające zbieranie danych, takie jak data_collection=deny, samo nie zapewnia ZDR. ZDR dotyczy nieutrwalania treści wejściowych i wyjściowych przez zatwierdzonego operatora inferencji; nie wyłącza automatycznie metadanych rozliczeniowych, narzędzi, wtyczek, plików, lokalnej historii ani logów QA10.
Warunkami dopuszczenia danych powierzonych do AI pozostają: brak treningu na danych klienta, zatwierdzony reżim nieutrwalania treści, skuteczne umowy, upoważnienie odbiorców i zgodność transferów. Gdy brak zgodnej ścieżki, QA10 ma zatrzymać daną operację, a nie skierować dane do niezatwierdzonego zastępstwa. Ogólny tor AI nie zapewnia ZDR ani automatycznego zatrzymania dla wszystkich alternatywnych tras. Do takiego toru nie należy kierować danych powierzonych ani poufnych bez uprzedniego spełnienia tych warunków. QA10 pozostaje odpowiedzialna za spełnienie tych warunków; korzystanie z funkcji nie upoważnia do przetwarzania przez niezgodną trasę.
4.3. Transfery poza Europejski Obszar Gospodarczy
Przetwarzanie nie jest ograniczone wyłącznie do EOG. Przy korzystaniu z usług międzynarodowych dane mogą być przetwarzane poza EOG; zakres zależy od odbiorcy, endpointu oraz dostępu administracyjnego lub wsparcia. Lokalizacje i mechanizmy transferu mogą różnić się pomiędzy usługami.
Transfer wymaga podstawy z rozdziału V RODO. Decyzja o adekwatności, w tym EU-US Data Privacy Framework, ma zastosowanie tylko do odbiorcy i zakresu nią objętego. Standardowe klauzule umowne (SCC) wymagają skutecznego związania właściwych stron, oceny transferu i, gdy potrzebne, środków uzupełniających. Przed transferem QA10 musi ustalić właściwą podstawę dla konkretnego odbiorcy i zakresu oraz zapewnić wymagane zabezpieczenia, w tym skuteczne umowy, gdy są wymagane. Zgoda na cookies nie zastępuje tych warunków. Informację o zastosowanych zabezpieczeniach oraz sposobie uzyskania ich kopii można uzyskać przez hello@qa10.io.
4.4. Infrastruktura ICT i ochrona danych nieosobowych (Data Act)
QA10 sp. z o.o. jest spółką polską. Własny serwer zarządzany przez QA10, obsługujący API, zadania przetwarzania i bazę BudOS u Mevspace, znajduje się w Polsce. Ta warstwa infrastruktury podlega polskiej jurysdykcji; publiczny regulamin Mevspace wskazuje polską spółkę i prawo polskie jako prawo właściwe. Lokalizacja tego serwera nie wyznacza lokalizacji ani jurysdykcji wszystkich zewnętrznych usług, kopii, logów lub tras AI.
Warstwy zewnętrzne mają odrębny zakres przetwarzania i podlegają także jurysdykcjom państw, w których działają ich dostawcy i infrastruktura:
- Interfejs i pośredniczenie w żądaniach: Vercel. DPA Vercel, pkt 13 wskazuje główne przetwarzanie w USA oraz możliwość przetwarzania w innych państwach, w których Vercel lub jego podwykonawcy prowadzą takie operacje. Warstwa ta obejmuje zatem także jurysdykcję USA; jej zakres nie ogranicza się do Polski ani do jednego regionu funkcji.
- Pośrednictwo AI: OpenRouter. Polityka OpenRouter, pkt 9–10 przewiduje serwery w USA lub innych państwach poza EOG i Wielką Brytanią, a dla opisanych w niej sporów wskazuje prawo stanu Nowy Jork, z zachowaniem bezwzględnie obowiązujących przepisów ochrony danych. Prawo właściwe nie jest równoznaczne z miejscem wykonania każdej operacji. Operatorzy inferencji oraz trasy bezpośrednie i alternatywne mają własną infrastrukturę i właściwe dla niej jurysdykcje; zakres funkcji i tras opisuje pkt 4.2.
Pozostałe funkcje i kategorie odbiorców wskazuje pkt 4.1, a zasady transferów danych osobowych: pkt 4.3. Nie wszystkie funkcje korzystają z tego samego państwa, regionu lub operatora. Polska siedziba QA10, lokalizacja własnego serwera oraz obsługa klientów z Polski i Unii nie oznaczają przetwarzania wszystkich danych wyłącznie w Polsce lub EOG.
Zasady ochrony danych nieosobowych przechowywanych w Unii. Regulamin (§ 12 i § 15 ust. 8) określa zobowiązania QA10 do ochrony poufności, ograniczania dostępu do niezbędnego zakresu i dopuszczania niezbędnych odbiorców przy obowiązku poufności umownym lub równoważnym ustawowym. QA10 zobowiązuje się stosować odpowiednie środki techniczne, organizacyjne i prawne, w tym umowne, w celu zapobiegania dostępowi administracji rządowej państw trzecich lub przekazywaniu jej takich danych, gdy byłoby to sprzeczne z prawem Unii lub właściwego państwa członkowskiego. Żądania tych organów podlegają ocenie podstawy prawnej, zakresu i dopuszczalności według art. 32 Data Act; żądania niespełniające właściwych przesłanek nie są realizowane. Dopuszczalne ujawnienie obejmuje jak najmniejszą wymaganą ilość danych, a klient jest informowany przed wykonaniem żądania, z wyjątkami określonymi w art. 32 ust. 5. Środki ochrony w poszczególnych warstwach zewnętrznych wymagają odrębnego doboru do ich zakresu, infrastruktury i jurysdykcji, z zachowaniem obowiązków QA10 wynikających z Regulaminu. Dla danych osobowych odrębnie obowiązują RODO i właściwa DPA.
Informacje w tym punkcie podlegają bieżącej aktualizacji przy zmianach infrastruktury i usług. Kontakt w sprawach infrastruktury i ochrony danych: hello@qa10.io.
5. AI, profilowanie i decyzje zautomatyzowane
BudOS wspomaga wyszukiwanie, analizę dokumentów, kosztorysy, projekty ofert i rekomendacje, np. GO/ANALIZA/NO-GO. Pomoc AI dobiera instrukcje centrum pomocy. Wynik może być niepełny, błędny lub nieaktualny i wymaga sprawdzenia przez człowieka. Przekazanie danych do modelu w celu wykonania zadania nie oznacza zgody na trening.
Opisane funkcje służą wsparciu decyzji, nie samodzielnemu podejmowaniu przez QA10 wobec osoby fizycznej decyzji o skutkach prawnych lub podobnie istotnych w rozumieniu art. 22 RODO. Ocena konkretnego procesu klienta pozostaje odrębna: etykieta „rekomendacja” ani formalne kliknięcie zatwierdzenia nie wykluczają automatycznej decyzji, jeżeli człowiek nie dokonuje rzeczywistej oceny. Gdy sposób użycia lub praktyka przetwarzania się zmieniają, potrzebna jest ponowna ocena i uprzednia informacja wymagana art. 13 ust. 2 lit. f lub art. 14 ust. 2 lit. g RODO.
Marketingowe technologie dostawców mogą służyć dopasowaniu reklam, ocenie zainteresowań i profilowaniu zgodnie z ich politykami. Takie działania nie są automatycznie decyzjami o skutkach prawnych lub podobnie istotnych w rozumieniu art. 22 RODO. Szczegóły zakresu AI i obowiązków przejrzystości zawiera Klauzula RODO i informacja o AI.
6. Prawa osób, podanie danych i skarga
Na warunkach określonych w RODO przysługują:
- dostęp do danych i kopia (art. 15), w tym informacja o odbiorcach;
- sprostowanie (art. 16), usunięcie (art. 17) i ograniczenie przetwarzania (art. 18);
- informacja o odbiorcach, których zawiadamia się o sprostowaniu, usunięciu lub ograniczeniu (art. 19);
- przenoszenie danych w zakresie i przypadkach z art. 20, odrębne od prawa dostępu i od migracji danych organizacji;
- sprzeciw wobec przetwarzania opartego na art. 6 ust. 1 lit. f na zasadach art. 21 ust. 1 oraz bezwarunkowy sprzeciw wobec marketingu bezpośredniego, w tym związanego z nim profilowania;
- ochrona przed wyłącznie zautomatyzowaną decyzją w przypadkach z art. 22 i odpowiednie gwarancje tam przewidziane;
- cofnięcie zgody w dowolnym czasie, bez wpływu na zgodność wcześniejszego przetwarzania opartego na zgodzie;
- skarga do Prezesa Urzędu Ochrony Danych Osobowych.
Wnioski kieruj na hello@qa10.io, także bez konta lub po jego zamknięciu. Odpowiadamy co do zasady w ciągu miesiąca od otrzymania żądania. Jeżeli złożoność lub liczba żądań uzasadnia przedłużenie o dwa miesiące na podstawie art. 12 ust. 3 RODO, informujemy o nim i przyczynach w pierwszym miesiącu. W razie uzasadnionych wątpliwości możemy zweryfikować tożsamość w zakresie niezbędnym do ochrony danych. Prawa wykonuje się zasadniczo nieodpłatnie, z wyjątkami przewidzianymi w RODO.
Techniczny eksport dostępny na koncie obejmuje wybrane dane. Nie zastępuje pełnej odpowiedzi na żądanie dostępu, przenoszenia w ustawowym zakresie ani zwrotu danych powierzonych i zmiany dostawcy. Żądanie dodatkowego zakresu można skierować na hello@qa10.io. Usunięcie konta nie oznacza automatycznego usunięcia wszystkich treści organizacji, kopii lub osobnego newslettera; wskazanie zakresu pomaga obsłużyć wniosek, ale korzystanie z przycisku nie jest warunkiem realizacji prawa.
Jeżeli QA10 jest jedynie procesorem danych klienta, przekazuje mu żądanie i pomaga w realizacji zgodnie z DPA, chyba że prawo wymaga innego działania. Nie zastępuje klienta jako administratora. Nie ogranicza to praw do danych, które QA10 przetwarza we własnych celach.
Podanie danych potrzebnych do konta lub zawarcia umowy jest dobrowolne, lecz bez niezbędnych danych nie da się wykonać tej czynności. Dane faktury są wymagane w niezbędnym zakresie przez prawo; dane przedstawiciela mogą być potrzebne do obsługi organizacji. Newsletter, marketingowe technologie zewnętrzne i niekonieczna analityka nie są warunkiem korzystania z podstawowej usługi. Cofnięcie zgody na newsletter nie jest anulowaniem konta ani zamówionych alertów operacyjnych. Preferencje urządzenia zmienisz zgodnie z Polityką cookies.
7. Bezpieczeństwo, naruszenia i aktualizacje
QA10 jest zobowiązana stosować środki odpowiednie do ryzyka zgodnie z art. 25 i 32 RODO, ograniczać dostęp i zakres danych oraz chronić poufność. Zakres ochrony transmisji, przechowywania i kopii musi odpowiadać danym oraz ryzyku konkretnej operacji. Lokalizacje przetwarzania i odrębne zasady usuwania opisują pkt 3 i 4. Szczegółowe wymagania wobec danych powierzonych określa DPA; QA10 jest zobowiązana zapewnić wymagane środki przed przyjęciem tych danych i utrzymywać je podczas przetwarzania.
Gdy QA10 jest administratorem, ocenia obowiązek zgłoszenia naruszenia organowi bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, oraz zawiadomienia osób bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Dla danych powierzonych obowiązuje odrębne zawiadomienie klienta bez zbędnej zwłoki, najpóźniej w 24 godziny od stwierdzenia, na zasadach DPA. Podejrzenie incydentu zgłoś na Pomoc@budos.io, bez przesyłania haseł i zbędnych danych osób.
Usługa jest kierowana do osób pełnoletnich. Dokumenty mogą jednak zawierać dane osób w różnym wieku; wymóg pełnoletności użytkownika konta nie znosi obowiązków dotyczących tych danych.
Istotne zmiany informacji przekazujemy skutecznie, z wyprzedzeniem adekwatnym do zmiany i obowiązujących warunków umowy. Przy zmianie celu, zakresu lub odbiorców przekazujemy wymagane zawiadomienie i uzyskujemy nową zgodę, jeżeli wcześniejsza nie obejmowała zmiany i jest ona potrzebna. Polityka jest dostępna na stronie /prywatnosc; informacje o AI i technologiach urządzenia znajdują się także na /ai-info i /cookies.