Polityka prywatności CometLens

Administrator danych: Maciej Zmitrukiewicz (CometWeb). Kontakt w sprawach prywatności: hello@cometweb.io
Organ nadzorczy (Polska): UODO, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl

Rozszerzenie deklaruje mały skrypt treści dla wszystkich stron WWW, aby działała funkcja „Sprawdź element” z menu prawego przycisku. Przeglądarka może pokazać szerokie uprawnienie do witryn. Po zdarzeniu menu kontekstowego skrypt wyznacza selektor CSS wskazanego elementu i przekazuje bieżący URL do rozszerzenia. Tymczasowa pamięć rozszerzenia przechowuje selektor, skrót SHA-256 adresu, czas wskazania i identyfikator dokumentu, jeśli przeglądarka go udostępnia. W tym zapisie nie jest przechowywany jawny URL. Skrypt nie wysyła tekstu strony, wartości pól formularzy ani żądań sieciowych. Żądania do Insight zaczynają się dopiero po wybraniu funkcji Insight.

Po połączeniu konta Insight rozszerzenie przesyła klucz API do app.cometweb.io, aby uwierzytelnić żądania. Otwarcie raportu wysyła adres sprawdzanej strony w celu znalezienia istniejących wyników. Uruchomienie skanu w chmurze wysyła ten adres i wybrany zakres; backend analizuje publiczną stronę. Utworzenie zadania i wyciszenie problemu przesyłają wybrane ustalenie, adres strony i podaną przez Ciebie treść. Domyślnie adresy stron nie zawierają parametrów zapytania ani fragmentów. W Ustawieniach możesz zgodzić się na wysyłanie wybranych nazw parametrów i ich bieżących wartości dla dokładnego adresu witryny z protokołem i portem. Zapisz zatwierdza wybór; usunięcie go i zapisanie wycofuje zgodę dla przyszłych żądań. Znane parametry danych logowania, danych osobowych i trackingu pozostają pomijane. Skan w chmurze jest blokowany, jeśli usunięcie parametrów zmieniłoby analizowaną stronę. Dla stron, których tożsamość zależy od danych osobowych lub sekretów, użyj lokalnego audytu.

Na Twoje żądanie Lens sprawdza sześć reguł dostępności w bieżącej karcie, także na stronie po zalogowaniu. Treść strony i pełny adres pozostają w przeglądarce. Wynik jest przechowywany w pamięci rozszerzenia przez maksymalnie dziesięć minut. Aby zapisać go w Insight, wybierasz projekt i osobno potwierdzasz każdą wysyłkę. Do Insight trafiają: domena z protokołem, skróty strony, opisanego stanu, roli i wskazanych elementów, wyniki reguł, dane przeglądarki i okna, język oraz czas pomiaru. Insight zapisuje też projekt, workspace i konto wysyłające wynik; obserwacja jest usuwana po 30 dniach. To obserwacja zgłoszona przez użytkownika, a nie wynik skanu w chmurze ani potwierdzenie zgodności z WCAG.

Metryki przeglądarkowe są funkcją opcjonalną. Przy pierwszym uruchomieniu użytkownik może je zaakceptować albo wybrać korzystanie z rozszerzenia bez ich wysyłania. Odmowa nie blokuje raportów, panelu bocznego, inspektora ani fix snippets.

Decyzję można później zmienić w ustawieniach rozszerzenia. Po wyłączeniu metryk rozszerzenie nie wykonuje kolejnych wysyłek danych przeglądarkowych.

Po włączeniu metryk rozszerzenie zbiera dane techniczne dotyczące analizowanej strony:

• Metryki wydajności strony (LCP, INP, CLS, FCP i TTFB)
• Liczba dostępnych dla JavaScript plików cookie według kategorii
• Liczba żądań i rozmiar transferu, jeśli dostępny, według kategorii zasobów zewnętrznych
• Nazwy cookie i adresy zasobów zewnętrznych służą tylko do lokalnej klasyfikacji; nie są wysyłane
• URL analizowanej strony bez parametrów zapytania, fragmentu i danych logowania
• Data i godzina wykonania pomiaru

Dobrowolne metryki przeglądarki nie zawierają nazw ani wartości ciasteczek, treści formularzy strony ani wartości wpisywanych w pola sprawdzanej strony. Uwierzytelnianie konta i tekst zadań opisano osobno powyżej.

Dane są używane do uzupełnienia audytu jakości strony o pomiary wykonane w prawdziwej przeglądarce i do powiązania tych pomiarów z projektem użytkownika CometWeb.

Metryki są wysyłane szyfrowanym połączeniem wyłącznie do backendu CometWeb. Produkcyjny adres to https://app.cometweb.io. Klucz API jest przechowywany w pamięci pochodzenia rozszerzenia i nigdy nie trafia do analizowanej strony.

Podglądy poprawek HTML są sanityzowane. Usuwane są skrypty, formularze, event handlery, style inline oraz atrybuty mogące samoczynnie pobierać zewnętrzne zasoby, takie jak src, srcset i href.

Narzędzia strony sprawdzają bieżący DOM lokalnie. Rozszerzenie nie przesyła całego DOM ani lokalnych podglądów HTML/CSS. Klucz API pozostaje w IndexedDB rozszerzenia, ustawienia w jego lokalnej pamięci, a wpisy pamięci podręcznej raportów wygasają po pięciu minutach. Usunięcie klucza czyści zapisane wyniki i zatrzymuje sprawdzanie postępu skanów. Odinstalowanie usuwa lokalne dane rozszerzenia; raportami w chmurze zarządzasz w swoim koncie Insight. Tryb prywatny nie jest obsługiwany. Nierozstrzygnięty skan zachowuje też lokalny identyfikator ponowienia i skrót adresu strony, aby po restarcie przeglądarki można było ponowić tę samą operację. Rozszerzenie usuwa ten wpis po potwierdzeniu przyjęcia skanu. Trwający skan zachowuje też lokalnie swój identyfikator, adres analizowanej strony i stan postępu, aby wznowić śledzenie po restarcie przeglądarki. Zakończony stan jest dostępny przez pięć minut. Usunięcie klucza API usuwa zapisany stan śledzenia skanu. Zgoda dla witryny zapisuje lokalnie jej adres i wybrane nazwy parametrów, bez ich wartości. Zmiana zgody czyści zapisane raporty, ale zachowuje identyfikatory ponowienia nierozstrzygniętych skanów i śledzenie trwającego skanu.

Dane służą do raportów, skanów w chmurze, akcji zadań i opcjonalnych pomiarów strony. CometLens nie sprzedaje danych o przeglądaniu, nie używa ich do reklam ani nie przesyła do osobnej usługi analitycznej. Wykorzystuje je do opisanych funkcji. Dane konta i okresy przechowywania po stronie serwera opisuje pełna polityka prywatności CometWeb.

W sprawach dostępu do danych, ich sprostowania lub usunięcia skorzystaj z panelu app.cometweb.io/profile albo napisz na hello@cometweb.io.

Pełna polityka prywatności jest dostępna na cometweb.io/legal/privacy.