Polityka Prywatności — RoasLens

Wersja 1.7 · data wejścia w życie: 2026.07.28

Obowiązuje od: 2026.07.28 · Wersja 1.7

Informacja RODO (obowiązek informacyjny — art. 13 i 14 RODO)

Niniejsza sekcja stanowi spełnienie obowiązku informacyjnego wynikającego z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Poniżej znajdziesz zwięzłe zestawienie najważniejszych informacji; szczegóły opisują dalsze punkty Polityki (kotwica: #rodo).

Model B2B — czyje dane przetwarzamy. RoasLens jest usługą świadczoną wyłącznie przedsiębiorcom (B2B). Przetwarzane przez Operatora dane osobowe dotyczą przede wszystkim osób reprezentujących Użytkownika oraz jego pracowników / współpracowników korzystających z Konta (m.in. imię i nazwisko lub nazwa użytkownika, służbowy adres e-mail, dane logowania i dane techniczne). W odniesieniu do tych danych Operator jest administratorem.

Administrator: P.P.H.U. DEOZE Sebastian Pietrzak (dane w pkt 1).
Cele i podstawy prawne: wykonanie umowy (art. 6 ust. 1 lit. b RODO), obowiązki prawne (lit. c), prawnie uzasadniony interes — bezpieczeństwo, analizy zanonimizowane, dochodzenie roszczeń (lit. f), zgoda dla cookies analitycznych (lit. a). Szczegóły w pkt 3.
Odbiorcy: podmioty przetwarzające (Cloudflare, Resend, Google Workspace — poczta, Anthropic — odczyt AI na żądanie, Google/Microsoft/Meta — analityka i pomiar reklam za zgodą) — pkt 8.
Transfer poza EOG: tak (Cloudflare/USA), na podstawie SCC — art. 46 RODO, pkt 4.
Okres przechowywania: pkt 7 (m.in. czas trwania umowy oraz okresy przedawnienia roszczeń).
Twoje prawa (art. 15–21 RODO): dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, cofnięcie zgody — pkt 9. Masz też prawo skargi do Prezesa UODO.
Źródło danych (art. 14 RODO): dane reprezentantów/pracowników pochodzą od Użytkownika (pracodawcy); Dane Importowane pobierane są z Usług zewnętrznych na zlecenie Użytkownika — pkt 6.

1. Administrator danych

Administratorem danych osobowych jest P.P.H.U. DEOZE Sebastian Pietrzak, ul. gen. Stefana "Grota" Roweckiego 8a/211, 95-200 Pabianice, NIP PL7311938864, REGON 100696122, e-mail: hello@roaslens.com, adres do e-Doręczeń: AE:PL-14305-68246-WCJJC-21 (dalej „Operator"), prowadzący usługę „RoasLens". Operator jest administratorem danych osobowych reprezentantów i pracowników Użytkowników korzystających z Konta.

2. Jakie dane zbieramy

W modelu B2B dane osobowe dotyczą reprezentantów i pracowników / współpracowników Użytkownika (firmy) korzystających z Konta. Operator jest administratorem tych danych.

Kategoria	Zakres	Źródło
Dane konta	służbowy adres e-mail, nazwa użytkownika, zaszyfrowane hasło (PBKDF2)	od Użytkownika
Dane techniczne / logi	adres IP, logi logowań, dane sesji	automatycznie
Cookies / analytics	niezbędne cookie sesyjne; opcjonalnie Google Analytics 4, Microsoft Clarity i Piksel Meta — wyłącznie za zgodą	automatycznie / za zgodą
Czat na stronie (osoby niezalogowane)	treść pytań i odpowiedzi, losowy identyfikator sesji nadany przez przeglądarkę, kraj (z nagłówka dostawcy infrastruktury), adres podstrony, na której padło pytanie. Nie zapisujemy adresu IP ani żadnego identyfikatora osoby	od osoby odwiedzającej — dobrowolnie, przez zadanie pytania
Kontakt zostawiony w czacie (prośba o rozmowę lub spotkanie)	imię, adres e-mail albo numer telefonu (wystarczy jedno), treść ostatniego pytania, kraj i adres podstrony, a także treść zgody, którą osoba zaznaczyła, wraz z datą	od osoby odwiedzającej — dobrowolnie, po zaznaczeniu zgody na kontakt. Nie wysyłamy w odpowiedzi żadnej wiadomości automatycznej — kontaktuje się człowiek
Klucze API	dane dostępowe do Usług zewnętrznych — przechowywane zaszyfrowane (AES-256-GCM)	od Użytkownika
Dane biznesowe (Dane Importowane)	dane sprzedażowo-reklamowe ze źródeł zewnętrznych; mogą zawierać dane osobowe osób trzecich (np. klientów Użytkownika)	z Usług zewnętrznych na zlecenie Użytkownika

3. Cele i podstawy prawne

Świadczenie usługi (prowadzenie konta, analityka, prezentacja sugestii) — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
Bezpieczeństwo, logowanie dwuetapowe (2FA), przeciwdziałanie nadużyciom — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
Analiza zbiorcza, benchmarki branżowe i rozwój usługi na danych zanonimizowanych — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
Udostępnianie i odpłatne zbywanie danych zanonimizowanych i zagregowanych podmiotom trzecim (np. partnerom, agencjom badawczym) — dotyczy wyłącznie danych trwale zanonimizowanych, które nie stanowią danych osobowych w rozumieniu RODO, więc regulacja ta nie ma do nich zastosowania.
Cookies analityczne i reklamowe (GA4, Clarity, Piksel Meta) — art. 6 ust. 1 lit. a RODO (zgoda).
Obowiązki prawne (np. rozliczenia) — art. 6 ust. 1 lit. c RODO.

4. Transfer danych poza EOG

Dane są przekazywane poza Europejski Obszar Gospodarczy (EOG), w tym do Stanów Zjednoczonych. Poniżej pełna lista transferów — do wersji 1.6 ten punkt wymieniał wyłącznie Cloudflare, choć transferów było więcej, a jeden z nich jest znacznie wrażliwszy niż hosting:

Do kogo	Co jest przekazywane	Kiedy
Anthropic PBC (USA)	TREŚĆ wgranego dokumentu (faktury, dokumentu kosztowego) — najbardziej wrażliwy transfer na tej liście, bo dokument może zawierać dane osobowe, których nie da się z góry przewidzieć	tylko po kliknięciu „Odczytaj AI" przy konkretnym pliku
Cloudflare, Inc. (USA / globalnie)	całość danych Konta — hosting aplikacji, baza, magazyn plików	zawsze (infrastruktura)
Resend (USA)	adres e-mail i treść wiadomości transakcyjnych	przy wysyłce kodu logowania, powiadomienia, briefingu
Google (USA / UE)	korespondencja na adres kontaktowy (Workspace); dane analityczne serwisu (GA4, Google Ads)	Workspace zawsze; analityka po zgodzie na cookies
Microsoft (USA / UE)	nagrania sesji i mapy ciepła (Clarity), pomiar reklam (Bing UET)	po zgodzie na cookies
Meta Platforms (Irlandia / USA)	treści publikowane przez Użytkownika w jego kanałach; pomiar reklam (Piksel)	przy publikacji z Plannera; piksel po zgodzie

Podstawą transferów są standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską (art. 46 ust. 2 RODO) oraz — dla podmiotów certyfikowanych — Data Privacy Framework. Bez transferu poza EOG działają: Fakturownia (Polska) oraz zapytanie do „Wykazu podatników VAT" Ministerstwa Finansów. Punkt uzupełniony 28.07.2026.

5. Anonimizacja i wykorzystanie zbiorcze

Dane pobrane i przetworzone w ramach usługi mogą być wykorzystywane przez Operatora w formie zanonimizowanej (bez możliwości identyfikacji Użytkownika i osób, których dane dotyczą) do benchmarków branżowych, analiz zbiorczych, statystyk oraz rozwoju usługi. Dane zanonimizowane nie stanowią już danych osobowych. Zasady własności i wykorzystania danych określa również Regulamin (§6) — dane przetworzone w ramach usługi stanowią zasób Operatora, spójnie z niniejszą Polityką.

Operator nie sprzedaje ani nie udostępnia danych podmiotom trzecim — poza odbiorcami wymienionymi w pkt 8, którzy przetwarzają dane w celu świadczenia Usługi. Dotyczy to również danych zbiorczych i zanonimizowanych.

Wersja 1.6 tej Polityki dopuszczała odpłatne zbywanie danych „trwale zanonimizowanych". Zapis został wycofany 28.07.2026 z trzech powodów, z których każdy wystarcza samodzielnie:

Był sprzeczny z umową powierzenia, którą akceptujesz razem z tą Polityką — jej § 2 ust. 3 stwierdza, że Operator danych nie sprzedaje. Dwa dokumenty obowiązujące jednocześnie nie mogą mówić rzeczy przeciwnych.
Opisywał anonimizację, której nie ma. Warstwa danych historycznych używa solonego skrótu adresu e-mail, a sól pozostaje sekretem Operatora — powiązanie jest więc odwracalne, co zgodnie z motywem 26 RODO czyni te dane nadal danymi osobowymi. Sprzedaż takich danych byłaby sprzedażą danych osobowych.
Opisywał praktykę, która nie miała miejsca. Operator nigdy nie sprzedał żadnych danych. Polityka nie powinna ogłaszać uprawnień, z których się nie korzysta — sam taki zapis jest ryzykiem, bez żadnej korzyści.

Nie wyklucza to udostępniania zagregowanych porównań branżowych w przyszłości. Gdyby do tego doszło, wymaga to uprzednio: nieodwracalnego procesu anonimizacji (bez zachowywanej soli), progów agregacji adekwatnych do liczby uczestników, rozstrzygnięcia roli Operatora (podmiot przetwarzający kontra administrator dla takiego celu), podstawy wobec Użytkowników — bo obroty i marże są tajemnicą przedsiębiorstwa niezależnie od RODO — oraz zmiany tej Polityki i umowy powierzenia, o której poinformujemy z wyprzedzeniem. Do tego czasu obowiązuje zdanie z początku tego punktu.

6. Dane osób trzecich w Danych Importowanych

Dane Importowane pobierane są z Usług zewnętrznych na zlecenie i przy użyciu Kluczy API Użytkownika (art. 14 RODO — źródło danych). Mogą one zawierać dane osobowe osób trzecich (np. klientów Użytkownika). W odniesieniu do tych danych rola Operatora i Użytkownika (administrator / współadministrator / podmiot przetwarzający) zależy od charakteru przetwarzania. Relacje powierzenia przetwarzania danych pochodzących ze źródeł zewnętrznych wymagają odrębnej analizy i uregulowania w stosownej umowie (np. umowie powierzenia). Szczegółowe zasady powierzenia lub współadministrowania danymi ustalane są indywidualnie i regulowane odrębną umową, jeżeli wymaga tego charakter przetwarzania. Użytkownik odpowiada za posiadanie podstawy prawnej do przekazania takich danych do usługi.

7. Okres przechowywania

Dane konta i Klucze API — przez czas trwania umowy (czas posiadania Konta); po skasowaniu Konta usuwane trwale w ciągu 30 dni (w tym oknie Konto można jeszcze przywrócić).
Dane klientów Użytkownika powierzone do przetwarzania (imię, e-mail, telefon, dane zamówień) — usuwane trwale w ciągu 30 dni od skasowania Konta, a na żądanie Użytkownika (realizującego wniosek jego klienta) — niezwłocznie, wraz z blokadą ponownego zaimportowania. Wykryte „okazje" usuwane są automatycznie po 400 dniach od daty zakupu.
Rozmowy z czatem osób niezalogowanych — 30 dni, potem usuwane automatycznie. Krócej niż dane Konta, bo dotyczą osób, które nie zawarły z nami umowy. Przechowujemy je po to, żeby wiedzieć, o co pytają odwiedzający przed założeniem konta.
Rozmowy z czatem w panelu (osoby zalogowane) — 90 dni od ostatniej wiadomości; można je skasować samodzielnie w oknie czatu.
Kontakt zostawiony w czacie (imię i e-mail lub telefon) — 12 miesięcy od zostawienia, potem usuwany automatycznie. Dłużej niż sama rozmowa, bo to zapowiedź kontaktu handlowego, a nie ślad wizyty; nie bezterminowo, bo po roku nie jest już aktualny. Zgodę można wycofać wcześniej w każdej chwili, pisząc na hello@roaslens.com — wtedy usuwamy wpis niezwłocznie.
Logi bezpieczeństwa — do 24 miesiące.
Dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń — do upływu właściwych okresów przedawnienia roszczeń wynikających z przepisów prawa.
Dane zagregowane/zanonimizowane — bezterminowo (nie stanowią już danych osobowych).

8. Odbiorcy danych (podmioty przetwarzające)

Podmiot	Rola	Lokalizacja
Cloudflare, Inc.	hosting aplikacji i bazy danych (Workers, D1)	USA / globalnie (SCC)
Resend (email)	wysyłka transakcyjnych wiadomości e-mail (kody uwierzytelniające, powiadomienia)	USA / UE (SCC)
Google (Workspace)	obsługa firmowej poczty e-mail — odbiór korespondencji kierowanej na adres kontaktowy (hello@roaslens.com)	USA / UE (SCC / DPF)
Anthropic PBC (Claude API)	odczyt kwot z dokumentów wgranych przez Użytkownika — wyłącznie na wyraźne żądanie (przycisk „Odczytaj AI"); dane nie są wykorzystywane do trenowania modeli	USA (SCC)
Google (Analytics 4)	analityka ruchu serwisu — uruchamiana wyłącznie po wyrażeniu zgody na cookies analityczne	USA / UE (SCC / DPF)
Google (Google Ads)	pomiar skuteczności kampanii reklamowych Operatora (konwersje, remarketing) — uruchamiany wyłącznie po wyrażeniu zgody na cookies reklamowe	USA / UE (SCC / DPF)
Microsoft (Clarity)	analityka zachowań na stronie: nagrania sesji i mapy ciepła — wyłącznie po wyrażeniu zgody	USA / UE (SCC / DPF)
Meta Platforms (Piksel Meta)	pomiar skuteczności reklam Facebook/Instagram — wyłącznie po wyrażeniu zgody	USA / UE (SCC / DPF)
Meta Platforms (Facebook, Instagram, Threads)	publikacja treści zaplanowanych przez Użytkownika w jego własnych kanałach — Meta jest tu samodzielnym administratorem swojego serwisu	Irlandia / USA (SCC / DPF)
Fakturownia sp. z o.o.	wystawianie faktur i proform za Usługę — otrzymuje dane firmowe Użytkownika (nazwa, NIP, adres, e-mail), nie otrzymuje danych klientów Użytkownika	Polska (bez transferu)
Microsoft (Bing UET)	pomiar skuteczności reklam Operatora w wyszukiwarce Bing — wyłącznie po wyrażeniu zgody	USA / UE (SCC / DPF)
Ministerstwo Finansów („Wykaz podatników VAT")	sprawdzenie numeru NIP podanego przez Użytkownika — zapytanie publiczne, bez klucza	Polska (bez transferu)

Które z tych podmiotów dotykają danych Twoich klientów. Rozdział ma znaczenie, bo względem danych Twoich klientów jesteśmy podmiotem przetwarzającym, a względem danych Twojego Konta — administratorem.

Mogą przetwarzać dane Twoich klientów: Cloudflare (infrastruktura), Anthropic (tylko treść dokumentu, który sam wyślesz do odczytu), Resend (adres, na który idzie wiadomość), Meta (tylko treść, którą sam opublikujesz).
Nie dotykają danych Twoich klientów w ogóle: Fakturownia, Google Workspace, GA4, Google Ads, Clarity, Bing UET, Piksel Meta, Wykaz podatników VAT. To narzędzia obsługi i marketingu samego serwisu roaslens.com albo rozliczeń z Tobą.

Wiążącą listę odbiorców danych powierzonych zawiera § 6 umowy powierzenia. Do 28.07.2026 obie listy różniły się między sobą, a Fakturowni brakowało na obu.

Z podmiotami przetwarzającymi Operator zawiera umowy powierzenia; transfery poza EOG zabezpieczane są standardowymi klauzulami umownymi (SCC).

Przetwarzanie z użyciem AI (Anthropic) uruchamiane jest tylko wtedy, gdy Użytkownik sam kliknie „Odczytaj AI" przy wgranym dokumencie. Treść dokumentu jest wówczas przekazywana do usługi Anthropic wyłącznie w celu wyodrębnienia kwot (np. z faktur, dokumentów księgowych) i zwrócenia ich do formularza; Operator nie wykorzystuje tych danych do innych celów, a dostawca AI nie trenuje na nich modeli. Jeśli dokument zawiera dane osobowe (np. dane pracowników), Użytkownik decyduje o jego przesłaniu do odczytu.

9. Prawa osoby, której dane dotyczą (art. 15–21 RODO)

Osobie, której dane dotyczą, przysługuje prawo:

dostępu do danych (art. 15 RODO);
sprostowania danych (art. 16 RODO);
usunięcia danych — „prawo do bycia zapomnianym" (art. 17 RODO); sposób zgłoszenia i terminy opisuje strona Usuwanie danych;
ograniczenia przetwarzania (art. 18 RODO);
przenoszenia danych (art. 20 RODO);
sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO);
cofnięcia zgody w dowolnym momencie (art. 7 ust. 3 RODO) — bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia.

Przysługuje także prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (Prezesa UODO). Zgłoszenia w sprawach danych: hello@roaslens.com.

10. Pliki cookie

Serwis używa niezbędnego cookie sesyjnego (sid, HttpOnly, SameSite=Strict) służącego do utrzymania zalogowania. Nie wymaga ono zgody.

Stosujemy cookies marketingowe podmiotów trzecich — konkretnie remarketing i pomiar konwersji Google Ads, Piksel Meta oraz Bing UET, a także cookies analityczne (Google Analytics 4) i nagrywanie sesji (Microsoft Clarity). Wszystkie uruchamiają się wyłącznie po wyrażeniu zgody (Consent Mode v2: domyślnie odmowa, skrypty bramkowane).

Sprostowanie wobec wersji 1.6. Poprzednia wersja tego punktu twierdziła, że „nie stosujemy cookies marketingowych osób trzecich", wymieniając jednocześnie w pkt 8 remarketing Google Ads i Piksel Meta. To było nieprawdziwe — remarketing i piksel są dokładnie takimi cookies. Zdanie usunięto 28.07.2026 i zastąpiono opisem stanu faktycznego.

Jak zmienić albo wycofać zgodę. Na dole każdej strony informacyjnej jest odnośnik „Ustawienia cookies", który otwiera baner ponownie — również po wcześniejszej decyzji. Wycofanie zgody powoduje przeładowanie strony, żeby skrypty wpuszczone przy poprzedniej decyzji faktycznie przestały działać, a nie tylko dostały informację, że nie mają zbierać danych. Do 28.07.2026 baner pokazywał się tylko raz i takiej ścieżki nie było, mimo że Polityka obiecywała możliwość wycofania.

Czego jeszcze nie mamy. Decyzja o cookies zapisuje się w Twojej przeglądarce, a nie na naszym serwerze. Oznacza to, że po wyczyszczeniu danych przeglądarki baner pojawi się ponownie, a Operator nie prowadzi rejestru udzielonych zgód. Wdrożenie takiego rejestru — wymaganego, by móc wykazać zgodę (art. 7 ust. 1 RODO) — jest zaplanowane; mówimy o tym wprost, zamiast twierdzić, że już działa.

11. Bezpieczeństwo

Hasła przechowywane jako skróty PBKDF2 (nie w postaci jawnej).
Klucze API szyfrowane algorytmem AES-256-GCM.
Logowanie dwuetapowe (kod jednorazowy na e-mail).
Transmisja szyfrowana (HTTPS).

12. Kontakt

W sprawach dotyczących danych osobowych: hello@roaslens.com.

13. Zmiany Polityki

Polityka może być aktualizowana. O istotnych zmianach informujemy Użytkowników w Serwisie lub e-mailem. Aktualna wersja: 1.7, data: 2026.07.28 (zmiana 1.7 — wyłącznie sprostowania, żaden zapis nie rozszerza uprawnień Operatora: wycofano dopuszczenie odpłatnego zbywania danych „trwale zanonimizowanych" (pkt 5), bo było sprzeczne z umową powierzenia i opisywało anonimizację, której nie ma; uzupełniono listę transferów poza EOG o Anthropic, Resend, Google, Microsoft i Metę — do 1.6 punkt 4 wymieniał sam Cloudflare, pomijając najwrażliwszy transfer, czyli treść wgranych dokumentów (pkt 4); dopisano Fakturownię, publikację w kanałach Meta, Bing UET i Wykaz podatników VAT do odbiorców, z rozdziałem na to, kto dotyka danych klientów Użytkownika (pkt 8); usunięto nieprawdziwe zdanie o niestosowaniu cookies marketingowych osób trzecich i opisano ścieżkę wycofania zgody, która wcześniej nie istniała (pkt 10); zmiana 1.6: skrócono retencję danych po usunięciu Konta do 30 dni zgodnie z umową powierzenia, dodano Google Ads do listy podmiotów przetwarzających, opisano usuwanie danych pojedynczego klienta na żądanie; zmiana 1.2: doprecyzowano udostępnianie i odpłatne zbywanie danych zanonimizowanych osobom trzecim).

← Powrót do logowania