Polityka prywatności

Administratorem danych osobowych jest Maciej Zmitrukiewicz, osoba fizyczna prowadząca markę CometWeb. Brak zarejestrowanej działalności gospodarczej (brak KRS / NIP dla CometWeb). Kontakt w sprawach RODO: hello@cometweb.io.

Zbieramy: e-mail (rejestracja), nazwę firmy (opcjonalnie), adresy URL skanowane, logi techniczne (IP, user-agent, czas). Na cometweb.io formularze kontaktu, demo, triala, newslettera i poradników zbierają to, co wpiszesz (imię, e-mail, firma, strona, wiadomość); zapisujemy to we własnym CRM na serwerze Hostinger (Frankfurt, DE) i wysyłamy do siebie e-mailem przez Resend. Adresy URL wpisane w darmowych narzędziach pobiera nasz serwer. Nie zbieramy danych osób trzecich poza skanowanymi domenami publicznymi.

Dane przetwarzamy na podstawie umowy (art. 6 ust. 1 lit. b RODO) w celu świadczenia usługi: skanowania domen, generowania raportów, billingu. Na stronie marketingowej możemy przetwarzać dane analityczne na podstawie zgody (art. 6 ust. 1 lit. a) przez Google Tag Manager, Google Analytics 4 i Microsoft Clarity. Nie wykorzystujemy wyników skanów, raportów ani innych danych produktowych do profilowania, trenowania modeli AI ani żadnego celu poza świadczeniem usługi.

Logi techniczne: 30 dni. Logi logowania: 90 dni. Dziennik zapytań do AI: 180 dni. Okna historii/trendów skanów: zgodnie z planem (Free: bieżący wynik bez archiwum trendów; Growth: 30 dni; Studio: 90 dni; Scale: 365 dni). Dane konta: do momentu usunięcia konta + 30 dni karencji.

Masz prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych oraz wniesienia skargi do Prezesa UODO. Realizujemy żądania w 72 godziny.

Dane aplikacji przechowujemy na serwerach w UE (Hostinger, Frankfurt, DE). Część dostawców przetwarza dane poza EOG: Cloudflare (sieć brzegowa przed aplikacją i stroną), logowanie przez Okta/Auth0 (tenant w regionie UE; Okta Inc. to firma z USA), płatności przez Stripe (IE + USA), funkcje AI przez OpenRouter i bezpośrednio przez OpenAI (USA), API Google jako źródła danych Insight, dane SERP przez SearchApi, gdy korzystasz z tego widoku, e-maile z formularzy cometweb.io przez Resend Inc. (USA) oraz, po zgodzie, analityka strony marketingowej przez Google LLC i Microsoft Clarity (USA). Podstawą są EU-US Data Privacy Framework lub standardowe klauzule umowne (SCC). Dostawcy SERP podłączani Twoim własnym kluczem (SerpApi, DataForSEO) dostają zapytania na Twoje polecenie, bez umowy DPA po naszej stronie. Pełna lista jest na stronie GDPR / RODO.

Hostinger (hosting · Frankfurt, DE), Cloudflare (CDN, firewall, TLS · globalna sieć brzegowa), Okta/Auth0 (logowanie · region UE), Stripe (płatności · IE + USA), OpenRouter i OpenAI (funkcje AI · USA), Anthropic (model AI przez OpenRouter · USA), API Google (Search Console, GA4, PageSpeed / CrUX, Safe Browsing · USA/UE), Microsoft (integracje Bing Webmaster i Clarity, opcjonalne · USA/UE), SearchApi (dane SERP, tylko przy użyciu · USA), SerpApi i DataForSEO (tylko z Twoim własnym kluczem), Resend (e-maile z formularzy cometweb.io · USA), HubSpot (opcjonalna integracja CRM w Insight · UE), Google Tag Manager i Analytics 4 oraz Microsoft Clarity (analityka strony marketingowej · USA, po zgodzie). Twoja przeglądarka pobiera też w aplikacji ikony z Simple Icons i DuckDuckGo (tylko adres IP i stała ikona). Pinecone, Yandex, Kit, Gravatar i Clearbit są na liście, ale wyłączone. Publiczne linki do warunków prawnych i DPA są w tabeli na stronie GDPR / RODO.

Jeśli połączysz przestrzeń roboczą z aplikacją GitHub „CometWeb Insight”, Insight czyta tylko repozytoria, które wskażesz w GitHubie podczas instalacji, i tylko z uprawnieniami, które zaakceptujesz. Aplikacja prosi o odczyt zawartości repozytorium (Contents: read) i metadanych (Metadata: read), odczyt zdarzeń pull requestów i wdrożeń (Pull requests: read, Deployments: read), zapis zgłoszeń (Issues: read & write), żeby tworzyć i zamykać zgłoszenia z wyników audytu, oraz zapis checków (Checks: read & write) do sprawdzania PR. Uprawnienia do zapisu kodu i otwierania pull requestów (Contents i Pull requests: read & write) są opcjonalne i potrzebne tylko do funkcji „PR z poprawką”; bez nich Insight niczego w repozytorium nie zmienia.

Do analizy pobieramy archiwum wybranego commita na serwer aplikacji Insight (dostawcę hostingu i lokalizację serwerów podają punkty 6 i 7), do katalogu roboczego tej jednej analizy. Analizujemy je w odizolowanym środowisku bez dostępu do sieci, a katalog kasujemy zaraz po zakończeniu analizy; pozostałości po awarii usuwamy najpóźniej po dwóch godzinach. Kodu w całości nie przechowujemy. W bazie zostają wyniki: ścieżki plików, numery linii, krótkie fragmenty kodu przy znalezionych problemach (do kilku linii, z zamaskowanymi sekretami; przy wykrytym sekrecie tylko plik, linia i odcisk), identyfikator commita i suma kontrolna archiwum. Przy funkcji „PR z poprawką” zapisujemy też różnicę zmian (zmienione linie z dwoma liniami kontekstu), numer i adres PR, nazwę gałęzi oraz historię tego, kto przygotował i kto zatwierdził zmianę.

Analiza, poprawki i sprawdzanie PR są deterministyczne: integracja nie wysyła Twojego kodu do zewnętrznych modeli AI i nie trenujemy na nim żadnych modeli. Jeśli sam uruchomisz funkcję AI Insighta na zadaniach projektu, do dostawcy AI może trafić tytuł zadania i krótki opis (do ok. 220 znaków, może zawierać ścieżkę pliku), bez fragmentów kodu. Dostawców AI i podstawy przekazywania danych poza EOG opisują punkty 6 i 7. Tokeny dostępu do GitHuba są krótkotrwałe (do 1 godziny) i trzymamy je tylko w pamięci serwera, a token z prawem zapisu unieważniamy zaraz po utworzeniu PR.

W ustawieniach ekranu Repozytorium możesz odłączyć repozytorium od projektu albo całą integrację. To usuwa powiązanie i dane instalacji w Insight, ale nie odinstalowuje aplikacji na GitHubie; zrobisz to w ustawieniach GitHuba (Settings → Applications), a wtedy GitHub powiadomi nas i usuniemy powiązania także po naszej stronie. Wyniki analiz i historia PR należą do projektu i usuwamy je razem z projektem albo kontem. Gdy usuwasz konto albo przestrzeń roboczą, usuwamy też dane instalacji i powiązania repozytoriów. Aplikacji na GitHubie nie odinstalowujemy za Ciebie; zrobisz to w ustawieniach GitHuba (Settings → Applications).

O istotnych zmianach informujemy 30 dni przed wejściem w życie: e-mailem i banerem w aplikacji. Drobne korekty (literówki, formatowanie): bez powiadomienia. v4.3: administrator jako osoba fizyczna (brak spółki); skrót o transferach poza EOG zgodny z SCC; kontakt RODO bez fikcyjnego IOD.