RODO/GDPR: środki ochrony danych

1. Klauzula informacyjna (art. 13)

Pełen tekst klauzuli znajdziesz w Polityce prywatności. Skrót: dane zbieramy tylko w celu świadczenia usługi, przechowujemy w UE, a część dostawców przetwarza je poza EOG (np. Cloudflare, dostawcy modeli AI, Stripe, Auth0, analityka marketingowa po zgodzie) na podstawie EU-US Data Privacy Framework lub SCC. Wszystkich dostawców wymieniamy w punkcie 4.

2. Środki bezpieczeństwa (art. 32)

Szyfrowanie w tranzycie (TLS) na stronie, w aplikacji i API.
Konta z e-mailem i hasłem: hasła przechowujemy wyłącznie jako skróty Argon2 (starsze skróty bcrypt służą tylko do weryfikacji). Logowanie przez Google/GitHub idzie przez Auth0 (region UE). Sesje trzymamy w cookies httpOnly.
Kontrola dostępu oparta na rolach (RBAC) dla workspace’ów i akcji administracyjnych.
Akcje administratora zapisywane w dzienniku audytowym.
Co noc szyfrowane kopie bazy i przesłanych plików z ograniczoną czasowo retencją oraz sprawdzana kopia na drugim serwerze u tego samego dostawcy (Hostinger, UE).

3. Kontakt w sprawach ochrony danych

Nie wyznaczono osobnego Inspektora Ochrony Danych (IOD). Kontakt RODO: Maciej Zmitrukiewicz · hello@cometweb.io. Wnioski o realizację praw: odpowiedź w 72h, decyzja merytoryczna w 30 dni.

4. Lista podmiotów przetwarzających

Hostinger International Ltd. Hosting: aplikacja Insight i jej baza danych (Frankfurt, DE), cometweb.io, nasz własny CRM (Twenty, Frankfurt, DE), w którym trafiają zgłoszenia z formularzy cometweb.io, e-mail aplikacji (SMTP) UE (aplikacja: Frankfurt, DE) DPA Hostinger ↗
Cloudflare, Inc. / Cloudflare Germany GmbH CDN, firewall i terminacja TLS przed app.cometweb.io i cometweb.io: przetwarza każde zapytanie, w tym adresy IP. Weryfikacja Turnstile w formularzach pobrania poradników (ładuje się z challenges.cloudflare.com, gdy zaczniesz wypełniać formularz). Web Analytics bez cookies dla odwiedzających spoza UE Globalna sieć brzegowa (DPF + SCC) DPA Cloudflare ↗
Okta, Inc. (Auth0) Logowanie i uwierzytelnianie konta Region UE (Okta Inc., DPF + SCC) Warunki prawne Okta ↗
Stripe, Inc. / Stripe Payments Europe Ltd. Płatności i subskrypcje IE + USA (DPF + SCC) DPA Stripe ↗
OpenRouter, Inc. Funkcje AI (Wnioski AI, Orb, Code Fix): główna bramka, która przekazuje zapytania do dostawców modeli (np. OpenAI, Anthropic, DeepSeek, Perplexity) USA (DPF + SCC) Polityka prywatności OpenRouter ↗
OpenAI, LLC Funkcje AI: część zapytań trafia bezpośrednio do API OpenAI, pozostałe do modeli OpenAI przez OpenRouter USA (DPF + SCC) DPA OpenAI ↗
Anthropic, PBC Dostawca modeli AI, dostępny wyłącznie przez OpenRouter USA (DPF + SCC) Polityka prywatności Anthropic ↗
Google LLC (API) Źródła danych Insight: Search Console i GA4 (tylko po połączeniu), PageSpeed Insights / CrUX, Safe Browsing, favikony audytowanych domen. Na cometweb.io darmowy audytor wydajności wysyła wpisany adres URL do API PageSpeed Insights z naszego serwera USA / UE (DPF) DPA Google Cloud ↗
Google LLC (Tag Manager / Analytics 4) Kontener tagów i analityka ruchu na stronie marketingowej (za zgodą; sygnały reklamowe zablokowane przez Consent Mode) USA (DPF + SCC) Google Ads Data Processing Terms ↗
Microsoft Corporation (Clarity) Analityka UX / nagrania sesji na stronie marketingowej (za zgodą; bez cookies Clarity; pola formularzy maskowane; powiązanie z identyfikatorem klienta GA4); opcjonalna integracja w Insight, która czyta dane Clarity Twojej strony USA / UE (DPF + SCC) Microsoft Products and Services DPA ↗
Microsoft Corporation (Bing Webmaster) Opcjonalna integracja w Insight, tylko gdy dodasz klucz API Bing Webmaster USA / UE (DPF + SCC) Microsoft Products and Services DPA ↗
SearchApi LLC Dane SERP dla widoku SERP / Share of Voice (tylko gdy z niego korzystasz) USA (SCC) DPA SearchApi ↗
SerpApi, LLC Dane SERP, tylko z Twoim własnym kluczem SerpApi (BYOK, od Growth); zapytania i domeny projektu wysyłamy z naszych serwerów na Twoje polecenie USA (bez umowy DPA) SerpApi legal ↗
DataForSEO Dane SERP. Platforma nie wysyła żadnych danych do DataForSEO: jej zapasowe źródło SERP jest wyłączone. Możesz podłączyć własne konto DataForSEO (BYOK, od Growth); wtedy zapytania i domeny projektu trafiają do DataForSEO na Twoje konto i na podstawie Twojej umowy z DataForSEO. CometWeb nie ma umowy powierzenia z DataForSEO Lokalizacja niepotwierdzona (brak umowy powierzenia między CometWeb a DataForSEO) DataForSEO ↗
Resend Inc. Tylko formularze cometweb.io: wysyłka e-maili ze zgłoszeń i linków do pobrania poradników. Aplikacja Insight nie korzysta z Resend US (SCC) DPA Resend ↗
Kit (ConvertKit LLC) Wysyłka newslettera. Nieaktywne: zapisy na newsletter trzymamy we własnym CRM i dziś nic nie trafia do Kit US (SCC) Nieaktywne
HubSpot, Inc. Opcjonalna integracja w Insight, która czyta dane z Twojego CRM. Formularze cometweb.io nie trafiają już do HubSpot UE (centrum danych UE) DPA HubSpot ↗
Simple Icons CDN Ikony marek ładowane przez Twoją przeglądarkę w aplikacji: tylko adres IP i stała nazwa ikony (odbiorca, nie podmiot przetwarzający) Globalna sieć brzegowa Bez DPA (publiczny CDN)
DuckDuckGo, Inc. Zapasowa ikona marki ładowana przez Twoją przeglądarkę w aplikacji: tylko adres IP i stały adres ikony, bez informacji o audytowanych stronach (odbiorca, nie podmiot przetwarzający) USA (SCC) Bez DPA (publiczna ikona)
Automattic Inc. (Gravatar) Pobieranie awatara przez Twoją przeglądarkę w aplikacji (skrót adresu e-mail i adres IP). Nieaktywne: wyłączone w sierpniu 2026, zostaje na liście, żeby rejestr był kompletny USA (DPF + SCC) Nieaktywne
Clearbit (HubSpot, Inc.) Pobieranie logo przez Twoją przeglądarkę w aplikacji (audytowana domena i adres IP). Nieaktywne: usunięte w sierpniu 2026, zostaje na liście, żeby rejestr był kompletny USA (DPF + SCC) Nieaktywne
Pinecone Systems, Inc. Baza wektorowa do wyszukiwania w funkcjach AI. Nieaktywne: wyłączone na produkcji, przed włączeniem wymaga umowy DPA USA Nieaktywne
Yandex LLC / Direct Cursus Technology B.V. Opcjonalne logowanie Yandex oraz integracja Metrica i Webmaster. Nieaktywne: wyłączone, bo dla Rosji nie ma decyzji stwierdzającej odpowiedni stopień ochrony i nie mamy innego zabezpieczenia transferu RU Nieaktywne

Potrzebujesz umowy powierzenia przetwarzania danych (art. 28 RODO) dla danych swoich klientów? Mamy wzór umowy powierzenia w wersji roboczej, który uzgadniamy z każdym klientem. Napisz na hello@cometweb.io.

5. Ocena skutków (DPIA)

Oceniamy wpływ na prywatność funkcji przetwarzających dane osobowe przed ich wdrożeniem. Ocena skutków (DPIA) dla Insight jest w toku i nie została jeszcze zatwierdzona.

6. Procedura zgłaszania naruszeń

Naruszenia zgłaszamy PUODO w ciągu 72 godzin oraz powiadamiamy zainteresowanych użytkowników. Zgłoszenia podatności (produkt lub cometweb.io): hello@cometweb.io. Zwykle odpowiadamy w ciągu 1–2 dni roboczych. Nie dołączaj danych osobowych klientów, chyba że są konieczne do odtworzenia problemu.