Polityka Prywatności

Ostatnia aktualizacja: październik 2026

1. Kim jesteśmy

HumanKey (“my”, “nas”) dostarcza usługi inteligencji ruchu AI. Niniejsza polityka wyjaśnia, w jaki sposób gromadzimy, wykorzystujemy i chronimy dane osobowe zgodnie z RODO i dyrektywą ePrivacy.

Administrator danych: Robert Pałka ChainGuard, Zawiercie, Polska · NIP 6492230699 · contact@humankey.io
HumanKey to nazwa usługi.
Kontakt: skontaktuj się z nami

2. Zbierane dane

Dane konta

• Adres e-mail; imię lub imię i nazwisko (opcjonalnie — jeżeli zakładasz konto przez Google, wpisywane jest imię i nazwisko z Twojego konta Google; możesz je zmienić w Panel → Ustawienia)
• Identyfikator konta Google — tylko jeśli korzystasz z logowania przez Google (zob. sekcję 2A)
• Zahaszowane hasło (algorytm zgodny ze standardami branżowymi) — tylko w przypadku uwierzytelniania e-mail/hasło
• Metadane konta: poziom planu (Free, Pro, Business i Enterprise), rola (użytkownik/admin), data rejestracji, status weryfikacji e-mail
• Nowy adres e-mail, na który prosisz o zmianę — do czasu potwierdzenia; jeśli go nie potwierdzisz, zwykle usuwamy go w ciągu 48 godzin (link potwierdzający jest ważny 24 godziny, a niepotwierdzone adresy usuwamy raz na dobę)
• Identyfikator klienta Stripe (tworzony w chwili rozpoczęcia zakupu płatnego planu, nawet jeśli go nie dokończysz)

Nowe konta otrzymują 14-dniowy okres próbny planu Pro. Podczas okresu próbnego nie są wymagane dane płatnicze.

Kto jeszcze widzi Twoje imię i nazwisko oraz adres e-mail. Jeżeli korzystasz z funkcji zespołu, właściciel zespołu widzi imię i nazwisko oraz adres e-mail jego członków, a także adresy e-mail osób zaproszonych; członkowie widzą imię i nazwisko oraz adres e-mail właściciela, a osoby zaproszone — imię i nazwisko właściciela, jeżeli je podano. Wiadomość, którą wysyłasz z poziomu usługi do osoby o wskazanym przez Ciebie adresie — zaproszenie do zespołu albo instrukcje konfiguracji dla osoby technicznej — zawiera Twoje imię i nazwisko, jeżeli je podano. Jeżeli osoba, do której wysłano taką wiadomość, zapyta nas, kto ją wysłał, a prośba pochodzi z adresu, na który wiadomość wysłano, podamy jej Twoje imię i nazwisko, a jeżeli ich nie podano — adres e-mail Twojego konta, o ile nasze zapisy nadal to wskazują.

Wskaźnik kondycji konta. Raz dziennie wyliczamy dla każdego konta klienta wewnętrzny wskaźnik na podstawie planu oraz sposobu korzystania z usługi: tego, czy kod śledzący na Twoich stronach przesyła dane, czy na koncie była ostatnio aktywność i czy subskrypcja jest aktywna. Wskaźnik nie jest widoczny w Twoim panelu; nasz zespół korzysta z niego, aby zdecydować, z którymi klientami się skontaktować, na przykład aby zaproponować pomoc. Sam w sobie nie zmienia Twojego konta ani planu. Podstawą prawną jest nasz prawnie uzasadniony interes w dbaniu o naszych klientów (art. 6 ust. 1 lit. f RODO). Dzienne wyniki przechowujemy do usunięcia konta i usuwamy razem z nim.

Dane analizy ruchu

• Adresy IP: W zapisanych danych o ruchu przechowywane wyłącznie w formie pseudonimizowanej (skrót z kluczem) — nigdy jako surowy adres
• Ciągi User-Agent: Skrócone do 200 znaków wyłącznie do klasyfikacji botów
• Adresy URL stron i referrerów (do analizy ruchu)
• Znaczniki czasu odwiedzin i czas trwania
• Wyniki klasyfikacji botów (człowiek/bot, wynik pewności)
• Dane geolokalizacyjne na poziomie kraju: Uzyskane z adresu IP za pomocą bazy geolokalizacji (przechowywane wyłącznie jako kod kraju — bez danych o mieście ani precyzyjnej lokalizacji)
• Analiza wzorców sesji: Zagregowane wzorce sesji przetwarzane przez nasz autorski silnik analizy. Przechowywane w naszej bazie danych w UE. Wykorzystywane wyłącznie do identyfikacji skoordynowanej aktywności botów — bez indywidualnego profilowania.
• Operator sieci: ustalany lokalnie w bazie adresów IP na podstawie adresu IP; dane nie są przekazywane dostawcy bazy.
• Metryki interakcji: Zagregowane miary sposobu korzystania ze strony (aktywność wskaźnika, klawiatury, przewijania i kliknięć), powiązane z wizytą
• Dane map cieplnych (gdy funkcja jest aktywna): Współrzędne kliknięć i przewinięć, próbki ruchu wskaźnika oraz wymiary okna przeglądarki dla odwiedzanych stron, przechowywane w powiązaniu z wizytą, w której powstały, i usuwane razem z nią

Sygnały urządzenia i przeglądarki (odczytywane w trakcie wizyty, nieprzechowywane)

Aby zaklasyfikować żądanie jako pochodzące od człowieka albo zautomatyzowane, nasz skrypt detekcyjny odczytuje następujące kategorie informacji z przeglądarki i urządzenia odwiedzającego. Sygnały te podlegają ocenie wyłącznie na potrzeby tej jednej decyzji i nie są zapisywane w naszej bazie danych:

• Parametry wyświetlania (np. właściwości ekranu)
• Cechy przeglądarki i platformy (np. platforma, preferencje językowe i zgłaszany przez przeglądarkę sprzęt)
• Cechy grafiki zgłaszane przez przeglądarkę
• Wskaźniki, że przeglądarka jest sterowana zdalnie lub skryptowo

Przechowywany jest wyłącznie wynik tej oceny — klasyfikacja człowiek/bot wraz ze wskaźnikiem pewności, wskazana powyżej. Odczyt informacji z urządzenia końcowego odwiedzającego podlega art. 5 ust. 3 dyrektywy 2002/58/WE, wdrożonemu w Polsce w art. 399 ustawy — Prawo komunikacji elektronicznej. W niniejszym serwisie odczyt ten następuje wyłącznie po wyrażeniu przez Ciebie zgody za pośrednictwem naszego banera. W witrynach naszych klientów to klient jest administratorem danych i odpowiada za zgodność tego dostępu z prawem.

Gdy korzystasz z naszej strony lub panelu, nasi dostawcy hostingu i sieci przetwarzają adres IP i User-Agent każdego żądania i przechowują je w logach swoich platform przez ograniczony czas, zgodnie z ich politykami retencji (zob. listę podmiotów przetwarzających).

2A. Logowanie przez Google — dane, które otrzymujemy od Google

Ta sekcja dotyczy zakładania konta i logowania się przez Google.

• Google przekazuje. W ramach trzech uprawnień, o które prosimy (openid, email, profile), odpowiedź Google może zawierać: identyfikator Twojego konta Google, adres e-mail, informację, czy Google zweryfikował ten adres, imię i nazwisko oraz dalsze dane profilu, na przykład adres zdjęcia profilowego. Nie wszystkie z tych danych są zawsze obecne.
• Odczytujemy. Cztery z nich: identyfikator, adres e-mail, informację o weryfikacji adresu oraz imię i nazwisko. Na podstawie informacji o weryfikacji ustalamy, czy adres może posłużyć do odnalezienia albo utworzenia konta. Dane te pobieramy jednym zapytaniem, w którym używamy tokenu dostępu wydanego przez Google; tokenu tego nie zapisujemy.
• Przechowujemy. Identyfikator, aby przy kolejnym logowaniu rozpoznać Twoje logowanie przez Google; a jeżeli logowanie tworzy nowe konto — także adres e-mail oraz imię i nazwisko, które stają się adresem e-mail oraz imieniem i nazwiskiem przypisanymi do tego konta, wraz z informacją, że adres jest zweryfikowany. Jeżeli logowanie zostaje powiązane z kontem, które już istnieje, adres e-mail oraz imię i nazwisko tego konta pozostają bez zmian.

Danych tych używamy do utworzenia Twojego konta HumanKey i do logowania; gdy logowanie tworzy konto, adres e-mail oraz imię i nazwisko stają się danymi tego konta i podlegają zasadom, które niniejsza polityka opisuje dla danych konta (sekcje 2, 3 i 5) — na przykład na ten adres wysyłamy wiadomości e-mail kierowane do konta, a imię i nazwisko są widoczne w Twoim panelu. Przechowujemy je w naszej bazie danych kont; dostawcę tej bazy i jej lokalizację wskazuje sekcja 9. Dane te trafiają do dostawców usług wymienionych w sekcji 9 w zakresie, w jakim każdy z nich obsługuje dane konta, a Twoje imię i nazwisko oraz adres e-mail są widoczne dla innych osób w przypadkach opisanych w części „Dane konta” w sekcji 2. Sposób ich ochrony opisuje sekcja 10. Okres przechowywania danych konta opisuje sekcja 7; sekcja 8 opisuje, jak usunąć konto, co jest wtedy usuwane i co musimy zachować z mocy prawa; prawa przysługujące Ci w odniesieniu do tych danych opisuje sekcja 5. Dostęp HumanKey możesz usunąć w ustawieniach swojego konta Google. Usunięcie dostępu w Google nie usuwa Twojego konta HumanKey ani wymienionych wyżej danych; aby je usunąć, usuń konto w sposób opisany w sekcji 8.

2B. Osoby bez konta w HumanKey

Ta sekcja dotyczy Ciebie, jeśli nie masz konta w HumanKey, a otrzymaliśmy Twój adres e-mail, ponieważ użytkownik HumanKey zaprosił Cię do zespołu, użytkownik HumanKey wysłał Ci instrukcje konfiguracji jako osobie technicznej odpowiedzialnej za stronę albo otrzymaliśmy od Ciebie wiadomość.

• Jakie dane mamy i skąd. Jeśli zaproszono Cię do zespołu: Twój adres e-mail, wpisany przez zapraszającego użytkownika, oraz zapisy dotyczące zaproszenia; przez krótki czas po zaproszeniu przechowujemy też spseudonimizowaną postać Twojego adresu, aby zapobiegać nadużyciom zaproszeń. Jeśli wysłano Ci instrukcje konfiguracji: używamy Twojego adresu, aby wysłać wiadomość, o którą poprosił użytkownik; nie przechowujemy go w naszych systemach. Jeśli otrzymaliśmy od Ciebie wiadomość: Twój adres, Twoją wiadomość wraz z załącznikami, inne dane podane w formularzu kontaktowym (np. imię i nazwisko lub nazwę firmy) oraz nasze odpowiedzi.
• Cel i podstawa prawna. Aby dostarczyć wiadomość, o którą poprosił nasz użytkownik, a w przypadku zaproszenia — aby zachować jego zapis dla użytkownika, który je wysłał; jeśli otrzymaliśmy od Ciebie wiadomość — aby Ci odpowiedzieć. Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w świadczeniu usługi, o którą proszą nasi użytkownicy, i w odpowiadaniu na otrzymane wiadomości; w przypadku wiadomości wysłanej przez jeden z naszych formularzy kontaktowych — zgoda wyrażona w formularzu (art. 6 ust. 1 lit. a RODO), którą możesz w każdej chwili wycofać.
• Jak długo. Zaproszenie usuwamy po jego wygaśnięciu (jest ważne 7 dni) albo gdy zostanie przyjęte, odrzucone lub wycofane. Zapisy dotyczące zaproszenia (jego wysłania, ponownego wysłania, wycofania lub odrzucenia) wraz z Twoim adresem pozostają w dzienniku aktywności zapraszającego użytkownika do 5 lat. Nasi dostawcy poczty e-mail przechowują wysłane przez nas wiadomości, wraz z ich treścią, oraz logi dostarczania zgodnie z własnymi politykami retencji (zob. listę podmiotów przetwarzających). Twoje wiadomości do nas i nasze odpowiedzi przechowujemy tak długo, jak jest to potrzebne do załatwienia Twojej sprawy, a następnie tak długo, jak mogą być potrzebne do ustalenia, dochodzenia lub obrony roszczeń; jeśli wycofasz zgodę albo poprosisz o ich usunięcie, usuwamy je, chyba że nadal są potrzebne w tym celu. Gdy nasz zespół otworzy, zarchiwizuje lub przywróci Twoją wiadomość albo na nią odpowie, wpis o tym wraz z Twoim adresem i tematem wiadomości (w przypadku wiadomości z formularza kontaktowego temat tworzymy z podanych przez Ciebie danych, np. imienia i nazwiska lub nazwy firmy) pozostaje w naszym wewnętrznym dzienniku aktywności do 5 lat od tej czynności.
• Kto je widzi. Zapraszający użytkownik widzi Twój adres w swoim zespole, w dzienniku aktywności oraz w wiadomości e-mail, którą wysyłamy mu, jeśli odrzucisz zaproszenie. Użytkownik, który wysłał Ci instrukcje konfiguracji, sam wpisał Twój adres. Jeśli otrzymaliśmy od Ciebie wiadomość, czyta ją nasz zespół. Nasi dostawcy poczty przetwarzają Twój adres, aby dostarczać wiadomości (zob. listę podmiotów przetwarzających).
• Twoje prawa. Możesz zapytać nas, jakie dane o Tobie mamy, poprosić o ich sprostowanie, usunięcie lub ograniczenie przetwarzania albo wnieść sprzeciw wobec ich przetwarzania: humankey.io/pl/kontakt#privacy. Odpowiadamy w terminie, który wyznacza RODO (miesiąc, z możliwością przedłużenia w przypadkach, które RODO przewiduje). Możesz też złożyć skargę do organu nadzorczego; w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (UODO).

3. Podstawa prawna (RODO Art. 6)

• Wykonanie umowy: Przetwarzanie danych konta w celu świadczenia naszej usługi
• Prawnie uzasadniony interes: Wykrywanie botów i klasyfikacja ruchu w celu ochrony właścicieli witryn
• Zgoda: Opcjonalna analityka własna w tym serwisie, w tym niezbędny do niej odczyt informacji z Twojej przeglądarki i urządzenia (za pośrednictwem banera zgody)

Akceptujesz Warunki Korzystania z Usługi i potwierdzasz zapoznanie się z niniejszą Polityką Prywatności (a) zaznaczając pole podczas rejestracji e-mailem lub (b) na dedykowanym ekranie akceptacji wyświetlanym po zalogowaniu przez OAuth (Google). Ta akceptacja zawiera umowę, na podstawie której przetwarzamy dane Twojego konta (art. 6 ust. 1 lit. b RODO) — nie jest to zgoda i jest odrębna od prawnie uzasadnionego interesu w wykrywaniu botów (art. 6 ust. 1 lit. f RODO). Podanie danych konta jest wymogiem umownym: bez nich nie możemy utworzyć ani prowadzić Twojego konta (art. 13 ust. 2 lit. e RODO). Jedynym przetwarzaniem opartym na Twojej zgodzie (art. 6 ust. 1 lit. a RODO) jest opcjonalna analityka własna w tym serwisie — w tym niezbędny do niej odczyt informacji z Twojej przeglądarki i urządzenia — oraz zapytania przesyłane przez nasze formularze kontaktowe.

Zautomatyzowane przetwarzanie (art. 22 RODO)

Nasza detekcja botów używa zautomatyzowanej klasyfikacji żądań ruchu sieciowego przy użyciu autorskiej, wielowarstwowej metodologii analizy. Klasyfikacja odbywa się na naszej infrastrukturze w UE — dane odwiedzających nie są w tym celu przesyłane do usług zewnętrznych (wymienieni niżej dostawcy sieciowi jedynie przekazują i chronią żądania). To zautomatyzowane przetwarzanie nie wywołuje skutków prawnych ani podobnie istotnych skutków dla odwiedzających Twoją stronę — klasyfikuje żądania sieciowe, nie osoby. Odwiedzający, których żądania są klasyfikowane jako ruch nieludzki, nie są indywidualnie profilowani ani poddawani konsekwencjom zautomatyzowanych decyzji. Dodatkowo, autorski pipeline analityczny służy do identyfikacji skoordynowanej aktywności farm botów — jest to technika informacyjna i nie skutkuje automatycznym blokowaniem żadnego indywidualnego odwiedzającego.

Wykorzystujemy również model językowy AI do okresowej analizy zagregowanych metryk platformy (liczby detekcji, rozkłady ufności, trendy wolumenu botów) i generowania rekomendacji doradczych dotyczących ulepszenia systemu detekcji. Analiza opiera się na podsumowaniach statystycznych; w celu rozpoznania nieznanych klientów automatycznych model otrzymuje także ciągi User-Agent pojedynczych wizyt sklasyfikowanych jako zautomatyzowane, a gdy administrator przegląda wyniki detekcji — liczbowe cechy interakcji pojedynczych sesji; zawsze bez adresu IP, skrótu adresu IP i identyfikatora sesji. Wszystkie te rekomendacje wymagają ręcznego przeglądu przez administratora. Funkcje AI uruchamiane przez klienta (np. rekomendacje dotyczące crawlerów) przekazują domenę Twojej strony, jej publiczny plik robots.txt, Twoje ustawienia zezwoleń i blokad crawlerów oraz zagregowane liczby wizyt dla strony i poszczególnych crawlerów; ich wyniki mają charakter doradczy i są wyświetlane bezpośrednio Tobie.

Możemy wysyłać Ci okresowe powiadomienia e-mail o ruchu botów na Twoich stronach (dzienne raporty, tygodniowe analizy AI, alerty o nowych crawlerach, ostrzeżenia o limitach). Możesz kontrolować każdy typ powiadomień niezależnie w Panel → Ustawienia → Powiadomienia e-mail. Zarówno tygodniowe e-maile z analizami AI, jak i opcjonalna analiza AI zawarta w raporcie dziennym wykorzystują zagregowane metryki Twojej strony (zdanie w raporcie dziennym zawiera także nazwę domeny strony) — w przypadku tych dwóch funkcji do modelu AI nie są przesyłane dane na poziomie odwiedzającego.

Asystent AI (Chatbot): HumanKey udostępnia asystenta czatowego opartego na AI na naszej stronie internetowej i w panelu. Rozmowy są przetwarzane przez model językowy AI w celu generowania odpowiedzi. Do modelu AI przesyłany jest wyłącznie tekst wiadomości czatu, przygotowany przez nas prompt systemowy oraz — jeśli jesteś zalogowany — ogólny kontekst konta (np. plan, liczba witryn, korzystanie z funkcji i przedział wolumenu ruchu); nie przekazujemy adresu e-mail, imienia i nazwiska, adresu IP ani identyfikatora sesji. Twoje wiadomości zawierają dane osobowe tylko wtedy, gdy sam je wpiszesz. Wszystkie rozmowy są efemeryczne: przechowywane w pamięci serwera tylko w trakcie rozmowy i usuwane około 30 minut po Twojej ostatniej wiadomości; nigdy nie są zapisywane w żadnej bazie danych. Rozmów nie można odzyskać po zakończeniu sesji. Asystent AI dostarcza wyłącznie informacje doradcze i nie podejmuje wiążących decyzji. Zgodnie z Art. 50 EU AI Act, asystent jest wyraźnie oznaczony jako oparty na AI, a link do wsparcia ludzkiego jest zawsze dostępny.

Oprócz automatycznej klasyfikacji, HumanKey kontroluje jakość wyników klasyfikacji, w tym przez przegląd wykonywany przez personel HumanKey; ponadto niektóre automatyczne kontrole mogą też potwierdzić klasyfikację. Te etykiety weryfikacyjne mają charakter wyłącznie informacyjny, nie stanowią zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO i nie wywołują skutków prawnych ani podobnie istotnych dla odwiedzających strony. Każda etykieta jest przechowywana z zahaszowanym identyfikatorem — zahaszowanym identyfikatorem administratora dla weryfikacji ręcznych lub zahaszowanym adresem IP dla sygnałów zautomatyzowanych — wyłącznie do celów audytu i jakości detekcji; nie są zbierane żadne dodatkowe dane osobowe i żadne dane nie są przesyłane poza HumanKey.

Zagregowana analiza trendów: HumanKey okresowo agreguje historyczne wzorce ruchu w zanonimizowane statystyki dzienne (liczby odwiedzających według kategorii: ludzie, boty, nieznany, zablokowany). Te zagregowane dane nie zawierają danych osobowych i nie mogą być wykorzystane do identyfikacji poszczególnych odwiedzających. Podstawa przetwarzania: uzasadniony interes (art. 6 ust. 1 lit. f RODO).

4. Minimalizacja danych

Przestrzegamy zasady minimalizacji danych. W zapisanych danych o ruchu adresy IP przechowujemy wyłącznie jako kluczowany skrót, ciągi User-Agent są skracane i przechowujemy tylko dane niezbędne do analizy ruchu.

5. Twoje prawa

Zgodnie z RODO masz prawo do:

• Dostępu: Eksportuj dane swojego konta, witryn i ruchu (JSON) z Panel → Ustawienia → Eksportuj dane
• Usunięcia: Usuń swoje konto w Panel → Ustawienia → Usuń konto. Zapisy, które musimy przechowywać z mocy prawa (np. dotyczące zwrotów płatności, do celów podatkowych), przechowujemy tylko tak długo, jak wymaga tego prawo, a następnie usuwamy; co usuwamy, a co zachowujemy, opisuje sekcja 8.
• Przenoszenia: Pobierz swoje dane w formacie JSON
• Sprostowania: Zaktualizuj informacje o profilu w Panel → Ustawienia
• Ograniczenia przetwarzania (art. 18 RODO): przez formularz kontaktowy możesz zażądać ograniczenia przetwarzania Twoich danych w przypadkach przewidzianych w RODO.
• Sprzeciwu (art. 21 RODO): gdy opieramy przetwarzanie na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO), np. przy wykrywaniu botów lub wskaźniku kondycji konta, możesz w każdej chwili wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją, przez formularz kontaktowy.
• Wycofania zgody (art. 7 ust. 3 RODO): Tam, gdzie opieramy się na Twojej zgodzie, możesz ją wycofać w dowolnym momencie, równie łatwo, jak została udzielona — wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem. W przypadku analitycznych plików cookie użyj narzędzia preferencji na stronie naszej Polityki plików cookie. W przypadku zapytania przesłanego przez formularz kontaktowy skorzystaj z naszego formularza kontaktowego (Prywatność i RODO). Dane Twojego konta nie są przetwarzane na podstawie zgody — są przetwarzane w celu wykonania umowy z Tobą (art. 6 ust. 1 lit. b RODO), więc to prawo ich nie dotyczy; zobacz Usunięcie powyżej.

6. Pliki cookie

• Niezbędne: Tokeny uwierzytelniania (httpOnly, bezpieczne) — wymagane do logowania
• Opcjonalne: Pliki cookie analityczne — ustawiane tylko za Twoją zgodą

Zobacz naszą Politykę plików cookie po szczegóły.

7. Okres przechowywania danych

Okres przechowywania danych o odwiedzinach zależy od Twojego planu:

• Plan darmowy: 7 dni
• Plan Pro: 30 dni
• Plan Business: 90 dni
• Plan Enterprise: 365 dni

Dane przekraczające te okresy są automatycznie i trwale usuwane. Dane konta są przechowywane do momentu usunięcia konta. Po obniżeniu planu — także po zakończeniu okresu próbnego lub anulowaniu subskrypcji z zachowaniem aktywnego konta — obowiązuje 7-dniowy okres karencji, w którym zachowujesz dostęp do funkcji poprzedniego planu; po jego zakończeniu dane starsze niż okres przechowywania w nowym planie są usuwane zgodnie z powyższym opisem. (Usunięcie konta działa inaczej — powoduje natychmiastowe anulowanie każdej aktywnej subskrypcji; zob. nasz Regulamin.)

8. Usunięcie konta i przenoszenie danych

Usunięcie konta

Możesz usunąć konto w dowolnym momencie w Ustawieniach > Konto > Usuń konto. Po usunięciu konta Twoje strony, dane wizyt, klucze API i analityka są usuwane z usługi; dane w kopiach zapasowych wygasają zgodnie z cyklem kopii dostawcy bazy danych. Zapisy, które musimy przechowywać z mocy prawa (np. dotyczące zwrotów płatności, do celów podatkowych), przechowujemy tylko tak długo, jak wymaga tego prawo, a następnie usuwamy. Zachowujemy również jeden zapis o tym, które wersje Regulaminu zostały zaakceptowane na koncie i kiedy. Zapis jest powiązany wyłącznie z kluczowanym skrótem adresu e-mail konta (bez adresu IP i bez danych o przeglądarce) i przechowywany przez 5 lat od usunięcia konta w celu ustalenia, dochodzenia lub obrony roszczeń związanych z umową (prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO; wyjątek z art. 17 ust. 3 lit. e RODO), a następnie usuwany przez to samo zadanie retencji. Wpisy dziennika audytu utworzone przez inne organizacje, które wchodziły z Tobą w interakcję jako z zaproszonym członkiem zespołu, mają Twój adres e-mail usunięty (zastąpiony neutralnym znacznikiem), zachowując ciągłość ścieżki audytu drugiej strony.

Przenoszenie danych

Przenoszenie danych RODO (dane osobowe) jest dostępne na wszystkich planach. Eksport danych analitycznych (CSV) jest dostępny na planach Business i wyższych.

9. Podmioty przetwarzające i usługi stron trzecich (RODO Art. 28)

Korzystamy z następujących dostawców w celu świadczenia naszej usługi. Tam, gdzie dostawca przetwarza dane osobowe w naszym imieniu, obowiązuje umowa powierzenia (DPA) spełniająca wymogi RODO. Część poniższych pozycji nie wiąże się z przekazaniem jakichkolwiek danych osobowych — pobieramy wyłącznie publikowany przez nie plik publiczny — i są wymienione dla przejrzystości, a nie jako podmioty przetwarzające:

Prawo do sprzeciwu: Jeśli sprzeciwiasz się transferom danych poza UE, skontaktuj się z nami przez formularz kontaktowy. Należy pamiętać, że niektóre usługi (rozliczenia, logowanie przez Google) obejmują firmy przetwarzające dane także w Stanach Zjednoczonych — rezygnacja z nich może ograniczyć funkcjonalność.

10. Bezpieczeństwo

Stosujemy szyfrowanie w tranzycie i w spoczynku zgodne ze standardami branżowymi, haszowanie haseł, uwierzytelnianie tokenowe, ograniczanie liczby żądań i kontrolę dostępu w celu ochrony Twoich danych.

Izolacja kont: Każda sesja w panelu jest w pełni odizolowana od innych sesji w tej samej przeglądarce. Wylogowanie uruchamia pełne czyszczenie stanu klienta (sessionStorage, pamięć zapytań, ustawienia użytkownika) oraz twarde przeładowanie strony, dzięki czemu żadne konto nigdy nie dziedziczy danych innego konta — zgodnie z art. 32 RODO (bezpieczeństwo przetwarzania).

Nagłówki bezpieczeństwa przeglądarki: HumanKey wymusza standardowe w branży polityki bezpieczeństwa przeglądarki, w tym politykę bezpieczeństwa treści (Content Security Policy), ochronę zasobów międzyźródłowych oraz politykę referrera. Nagłówki te zapobiegają nieautoryzowanemu wstrzykiwaniu skryptów, kradzieży zasobów oraz wyciekom danych między źródłami. Nasza polityka bezpieczeństwa treści jest ściśle skonfigurowana z założenia — nie zezwalamy na dynamiczne wykonywanie kodu i nigdy nie osadzamy skryptów zewnętrznych, których nie możemy zweryfikować. Jeśli przeglądarka zgłasza w konsoli ostrzeżenia pochodzące od zainstalowanych rozszerzeń podczas odwiedzania strony z zainstalowanym HumanKey, te ostrzeżenia pochodzą z rozszerzenia, a nie z naszej usługi. Typowe ostrzeżenia przeglądarki i ich przyczyny opisano w przewodniku rozwiązywania problemów.

11. Ocena skutków dla ochrony danych (DPIA)

Nasze systematyczne przetwarzanie monitorowania botów zostało ocenione zgodnie z art. 35 RODO. Zobacz podsumowanie Oceny skutków dla ochrony danych (DPIA) w celu uzyskania szczegółowych informacji na temat oceny ryzyka, zabezpieczeń i środków zgodności.

11A. Osadzalna odznaka weryfikacyjna

Klienci na planach Pro+ mogą włączyć osadzenie naszej odznaki weryfikacyjnej HumanKey na swoich stronach internetowych. Gdy odwiedzający wczytuje stronę zawierającą odznakę, przeglądarka odwiedzającego pobiera obraz SVG z api.humankey.io. Żądanie HTTP zawiera adres IP odwiedzającego i User-Agent oraz opcjonalnie nagłówek Referer. Nasza aplikacja nie zapisuje adresu IP ani User-Agenta odwiedzającego z żądania odznaki w danych o ruchu; żądania odznaki podlegają limitowaniu. Zalecany fragment osadzenia zawiera Referrer-Policy: no-referrer, aby pominąć nagłówek Referer. Podstawa prawna: art. 6 ust. 1 lit. f) RODO — uzasadniony interes prawny w postaci sygnalizacji zaufania dla naszych klientów oraz transparentność wobec odwiedzających w zakresie monitorowania ruchu AI. Ocena uzasadnionego interesu (LIA) jest udokumentowana w naszej DPIA.

12. Dane dzieci

HumanKey jest usługą skierowaną do firm (B2B) przeznaczoną dla właścicieli i operatorów stron internetowych. Świadomie nie zbieramy danych od osób poniżej 18. roku życia. Jeśli dowiesz się, że nieletnia osoba korzysta z Usługi, skontaktuj się z nami przez formularz kontaktowy.

13. Kontakt

W przypadku pytań dotyczących prywatności skontaktuj się z nami przez formularz kontaktowy. Masz prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, miejsca pracy lub miejsca popełnienia domniemanego naruszenia (art. 77 RODO). W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.