Ocena Skutków dla Ochrony Danych — Podsumowanie

Art. 35 RODO | Kwiecień 2026

1. Cel i zakres

HumanKey świadczy usługi detekcji botów AI i klasyfikacji ruchu dla wydawców stron internetowych. Usługa systematycznie monitoruje żądania do witryn, aby odróżnić użytkowników od agentów zautomatyzowanych (crawlerów AI, scraperów, botów). Niniejsza DPIA ocenia wpływ tego przetwarzania na prywatność.

2. Kategorie danych

3. Podstawa prawna

• Dane konta: Zgoda (art. 6 ust. 1 lit. a) — wyraźna akceptacja podczas rejestracji
• Detekcja botów: Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — ochrona treści przed nieautoryzowanym scrapingiem, zapewnienie dokładnych metryk ruchu, zapobieganie przeciążeniu serwerów przez agresywne crawlery
• Współpraca między posiadaczami kont: Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — gdy posiadacz konta zaprasza inną osobę do swojej przestrzeni roboczej, kontekst identyfikujący zapraszającego (taki jak jego nazwa wyświetlana, jeśli jest dostępna) może zostać pokazany zapraszanemu w celu weryfikacji tożsamości, równoważony zmniejszonym oczekiwaniem prywatności zapraszającego w samym akcie zapraszania. Bezpośrednie identyfikatory kontaktowe zapraszającego nie są ujawniane.

Zgoda nie jest odpowiednia dla detekcji botów, ponieważ agenty zautomatyzowane nie mogą i nie udzielają zgody, a jej wymaganie uniemożliwiłoby cel przetwarzania.

4. Zidentyfikowane ryzyka i środki zaradcze

5. Zabezpieczenia

• Pseudonimizacja: Adresy IP haszowane kryptograficznie przed zapisem (art. 32 ust. 1 lit. a)
• Minimalizacja danych: User-Agent skrócony, brak zbierania danych szczególnych kategorii
• Ograniczenie przechowywania: Automatyczne egzekwowanie retencji (Free: 7 dni, Pro: 30 dni, Business: 90 dni, Enterprise: 365 dni)
• Szyfrowanie: Szyfrowanie w tranzycie i w spoczynku zgodne ze standardami branżowymi
• Kontrola dostępu: Uwierzytelnianie, ograniczanie liczby żądań i dostęp oparty na rolach
• Monitoring: Śledzenie błędów z usuwaniem PII, strukturalne logowanie, ścieżka audytu
• Rezydencja danych w UE: Dane podstawowe przetwarzane i przechowywane na terenie Unii Europejskiej
• Brak automatycznego blokowania: Klasyfikacja ma charakter wyłącznie informacyjny — brak zautomatyzowanych decyzji dotyczących osób
• Ręczna weryfikacja administratora: Administratorzy platformy mogą ręcznie przeglądać graniczne klasyfikacje detekcji botów i nadpisywać automatyczną heurystykę. Etykiety weryfikacji są przechowywane z zahashowanym identyfikatorem administratora w celach audytowych. To przetwarzanie ma charakter wyłącznie informacyjny i nie wywołuje skutków prawnych ani podobnie istotnych dla użytkowników końcowych.
• Transparentność AI (art. 50 Aktu o AI — Rozporządzenie (UE) 2024/1689): Każde miejsce, w którym HumanKey wykorzystuje duży model językowy, jest publicznie zarejestrowane pod adresem /pl/legal/ai-transparency wraz z odbiorcą, poziomem ryzyka i statusem audytu. Wynik scoringu ML jest skalibrowanym wskaźnikiem prawdopodobieństwa i ma charakter wyłącznie doradczy — wspiera przegląd administracyjny i dashboardowe wglądy produktowe, ale nigdy nie stanowi jedynej podstawy decyzji prawnej ani finansowej (granica art. 22 RODO).

6. Prawa podmiotów danych (art. 15–22)

6.1 Prawo do usunięcia — zakres i wyjątki

Gdy posiadacz konta korzysta z art. 17 RODO (Prawo do usunięcia), HumanKey stosuje warstwowy mechanizm usuwania, który równoważy prawo podmiotu danych z obowiązkami ustawowymi:

• Niefinansowe dane konta: rekordy ruchu (dane o odwiedzinach), klucze API, konfiguracja serwisu i inne niefinansowe rekordy są trwale usuwane w ciągu 30 dni od żądania usunięcia.
• Kaskadowe usuwanie e-maila zaproszonego: wpisy dziennika audytu utworzone przez inne organizacje, które wchodziły z podmiotem danych w interakcję jako z zaproszonym członkiem zespołu, mają adres e-mail podmiotu danych zastąpiony znacznikiem redakcji. Ciągłość ścieżki audytowej drugiej strony jest zachowana (obowiązek prowadzenia rejestru czynności przetwarzania zgodnie z art. 30 RODO; podstawa uzasadnionego interesu z art. 6 ust. 1 lit. f RODO), a dane osobowe podmiotu danych są usuwane.
• Wyjątek dla rekordów finansowych (art. 17 ust. 3 lit. b RODO): wpisy dziennika audytu dotyczące zdarzeń fakturowych, potwierdzeń płatności i innych dowodów księgowych są zachowywane przez okres do 5 lat zgodnie z polską ustawą o rachunkowości art. 74 (podstawa obowiązku prawnego). 5-letni pułap jest egzekwowany przez automatyczne zadanie cron retencji, które trwale usuwa rekordy przekraczające ustawowy próg.

Ten projekt spełnia wymóg art. 17 ust. 1 poprzez usunięcie danych osobowych dotyczących podmiotu danych, przy jednoczesnym poszanowaniu wynikającego z innych przepisów wyjątku dotyczącego obowiązku prawnego z art. 17 ust. 3 lit. b dla rekordów księgowych.

6.2 Osadzalna odznaka weryfikacyjna — ocena przetwarzania

Nowe działanie przetwarzania wprowadzone dla klientów planu Pro+, którzy wybiorą osadzenie naszej odznaki weryfikacyjnej HumanKey na swoich stronach internetowych. Endpoint odznaki pod adresem api.humankey.io/api/badge otrzymuje żądanie HTTP od każdego odwiedzającego stronę klienta, zawierające: adres IP (zaszyfrowany dzienną rotacyjną solą zgodnie z art. 32 RODO), User-Agent (skrócony do 200 znaków) oraz opcjonalnie nagłówek Referer (pomijany przez zalecany Referrer-Policy: no-referrer).

Ocena uzasadnionego interesu (LIA, art. 6 ust. 1 lit. f): uzasadniony interes administratora w sygnalizacji zaufania i transparentności wobec odwiedzających w zakresie monitorowania ruchu AI jest zrównoważony z interesem prywatności odwiedzającego. Zbierane dane są zminimalizowane (zaszyfrowany IP, skrócony UA) i przetwarzane wyłącznie do celów ograniczania nadużyć (rate-limiting); nie odbywa się profilowanie poszczególnych odwiedzających. Domyślnie wyłączony przełącznik w panelu klienta oraz krótkie okna retencji (w zależności od planu) dodatkowo ograniczają ingerencję w prywatność. Administrator stwierdza, że uzasadniony interes nie zostaje przeważony przez prawa odwiedzającego.

Sprawdzenie ochrony konsumenta (statuty krzyżowe):handlowe stwierdzenie "Zweryfikowane" powiązane z odznaką ma podstawę zgodnie z art. 6 dyrektywy UCP 2005/29/WE (działania wprowadzające w błąd) oraz polską implementacją (Ustawa o przeciwdziałaniu nieuczciwym praktykom rynkowym art. 4–5). Odznaka jest renderowana jako "aktywna" tylko wtedy, gdy klient ma aktywną subskrypcję Pro+ oraz zweryfikowaną domenę; zawieszona subskrypcja prezentuje szary wariant "Weryfikacja wstrzymana".

Ryzyko operatora JDG — potwierdzenie: niniejsza DPIA odzwierciedla ocenę operatora dokonaną w dobrej wierze w ramach systemu osobistej odpowiedzialności majątkowej. Zmiany zakresu przetwarzania odznaki lub kontroli kryptograficznych podlegają czterostopniowemu protokołowi Knowledge Base Evolution Check udokumentowanemu w naszych wewnętrznych procedurach zgodności (kadencja Senior Counsel).

7. Podmioty przetwarzające

Pełna lista podmiotów przetwarzających, ich celów, lokalizacji danych i linków do DPA jest dostępna pod adresem: /pl/legal/podmioty-przetwarzajace

Wszystkie podmioty z siedzibą w UE są objęte RODO bezpośrednio. Podmioty z USA zawarły Standardowe Klauzule Umowne zgodnie z rozdziałem V RODO.

8. Harmonogram przeglądów

• Częstotliwość: Coroczny (każdy luty) lub przy istotnych zmianach
• Następny przegląd: Luty 2027
• Wyzwalacze: Nowe typy danych, zmiana podstawy prawnej, naruszenie danych, zapytanie organu nadzorczego lub istotne zmiany technologiczne
• Odpowiedzialny: ChainGuard (Administrator Danych)

9. Organ nadzorczy

Polski organ nadzorczy: Urząd Ochrony Danych Osobowych (UODO)
Strona: uodo.gov.pl

10. Wniosek

Pytania? Skontaktuj się przez formularz kontaktowy lub napisz do polskiego organu nadzorczego (UODO).