Polityka prywatności

1. Wprowadzenie

Niniejsza Polityka prywatności dotyczy wszystkich użytkowników KnowStack, dostępnego pod adresem knowstack.ai. Opisuje nasze praktyki w zakresie zbierania, wykorzystywania, przechowywania, udostępniania i ochrony Twoich danych osobowych.

Administrator danych: Nest Artem Dolmatov, ul. Wrocławska 79, 30-017 Kraków, Polska

Kontakt: [email protected]

Zobowiązujemy się do ochrony Twojej prywatności i przetwarzania Twoich danych osobowych zgodnie z prawem, rzetelnie i w sposób przejrzysty. Jeśli masz pytania dotyczące tej polityki, skontaktuj się z nami przy użyciu powyższych danych.

2. Zbierane dane

Dane konta

Podczas tworzenia konta zbieramy:

• Adres e-mail
• Imię i nazwisko
• Hasło (przechowywane jako hash bcrypt — nigdy nie przechowujemy haseł w postaci jawnej)
• Nazwę firmy / organizacji
• Awatar profilu (opcjonalnie, przechowywany w chmurze)
• Sekret uwierzytelniania dwuskładnikowego (zaszyfrowany, jeśli włączysz 2FA)

Dane z połączonych usług

Za Twoją wyraźną zgodą uzyskujemy dostęp i przetwarzamy dane z usług, które podłączasz:

• Dane e-mail (Gmail, IMAP): wiadomości e-mail, w tym tematy, informacje o nadawcy/odbiorcy, treść wiadomości i znaczniki czasu. W przypadku Gmaila stosujemy OAuth 2.0 z zakresem tylko do odczytu — nigdy nie widzimy ani nie przechowujemy Twojego hasła Google.
• Treści ze stron internetowych: publicznie dostępne treści stron internetowych z adresów URL, które podajesz do indeksowania.
• Przesyłane dokumenty: pliki, które przesyłasz (PDF, DOCX, TXT, CSV, Markdown) — do 50 MB na plik.
• Wiadomości Slack: wiadomości z kanałów, wątki i metadane z przestrzeni roboczych podłączonych przez OAuth.
• Wiadomości Telegram: wiadomości z czatów i metadane z kont, które uwierzytelniasz.
• Transkrypcje spotkań: treść transkrypcji i metadane (tytuł, data, uczestnicy, czas trwania) z przesyłanych plików.

Dane użytkowania

Automatycznie zbieramy:

• Adresy IP i przybliżoną lokalizację geograficzną (na poziomie kraju/miasta)
• Typ przeglądarki, system operacyjny i informacje o urządzeniu
• Odwiedzane strony, używane funkcje i działania podejmowane w ramach Usługi
• Wykonane operacje AI (typ, użyty model, przetworzone tokeny, koszt)
• Znaczniki czasu Twoich interakcji z Usługą

Dane rozliczeniowe

Po wykupieniu płatnego planu zbieramy i przechowujemy:

• Identyfikator klienta Stripe (przetwarzanie płatności obsługuje Stripe — nie przechowujemy pełnych numerów kart kredytowych)
• Szczegóły metody płatności (marka karty i ostatnie 4 cyfry)
• Historię faktur i kwoty płatności
• Rejestr użycia AI (typ operacji, koszt, okres rozliczeniowy)

3. Podstawy prawne przetwarzania (art. 6 RODO)

Twoje dane osobowe przetwarzamy na następujących podstawach prawnych:

4. Jak wykorzystujemy Twoje dane

Zebrane dane wykorzystujemy do:

• Świadczenia, utrzymywania i ulepszania Usługi
• Generowania i organizowania Baz wiedzy z Twoich połączonych źródeł danych
• Przetwarzania zapytań AI z wykorzystaniem zawartości Twojej Bazy wiedzy jako kontekstu
• Uwierzytelniania Twojej tożsamości i zarządzania kontem oraz uprawnieniami
• Przetwarzania płatności i zarządzania Twoją subskrypcją
• Wysyłania komunikatów związanych z Usługą (weryfikacja konta, alerty bezpieczeństwa, powiadomienia rozliczeniowe, aktualizacje zgłoszeń wsparcia)
• Odpowiadania na Twoje zapytania i prośby o wsparcie
• Monitorowania i analizy wzorców użycia w celu ulepszania platformy
• Wykrywania, zapobiegania i reagowania na zagrożenia bezpieczeństwa i problemy techniczne
• Przestrzegania zobowiązań prawnych

Czego NIE robimy:

• Nie sprzedajemy Twoich danych osobowych podmiotom trzecim — nigdy
• Nie wykorzystujemy Twoich danych do reklamy ani targetowania
• Nie wykorzystujemy Twoich danych do trenowania, opracowywania lub ulepszania ogólnodostępnych modeli AI
• Nie udostępniamy zawartości Twojej Bazy wiedzy innym użytkownikom ani organizacjom
• Nie uzyskujemy dostępu do Twoich połączonych kont bez wyraźnej autoryzacji
• Nie wykorzystujemy danych uzyskanych przez interfejsy API Google do celów innych niż świadczenie Usługi

5. Przetwarzanie danych przez AI

Gdy korzystasz z funkcji opartych na AI, Twoje dane są przetwarzane w następujący sposób:

Jakie dane są przesyłane do dostawców AI

• Treści tekstowe z Twoich połączonych źródeł danych, dokumentów lub Baz wiedzy — wyłącznie fragmenty istotne dla konkretnej operacji AI, którą inicjujesz
• Twoje zapytania wyszukiwania podczas korzystania z wyszukiwania opartego na AI
• Prompty systemowe i parametry konfiguracyjne (nie zawierają one danych osobowych)

Jakie dane NIE są przesyłane do dostawców AI

• Twoje dane uwierzytelniające, hasło lub tokeny uwierzytelniające
• Twoje dane rozliczeniowe ani szczegóły płatności
• Twój adres IP ani odcisk palca przeglądarki
• Dane z innych Kont firmowych ani innych użytkowników

Postępowanie z danymi przez dostawców AI

• Dane są przesyłane do dostawców AI przez szyfrowane połączenia (TLS)
• Dostawcy AI przetwarzają dane wyłącznie w celu wygenerowania żądanego wyniku (ekstrakcja wiedzy, podsumowania, wyniki wyszukiwania itp.)
• Wymagamy, aby dostawcy AI nie przechowywali Twoich danych poza oknem przetwarzania niezbędnym do wygenerowania odpowiedzi
• Wymagamy, aby dostawcy AI nie wykorzystywali Twoich danych do trenowania, ulepszania ani opracowywania swoich modeli

Minimalizacja danych

Stosujemy zasady minimalizacji danych, przesyłając wyłącznie treści niezbędne do konkretnej operacji. Na przykład generując Bazę wiedzy z e-maili przesyłamy treść e-maili, ale nie nagłówki, metadane załączników ani dane uwierzytelniające konta.

6. Podwykonawcy przetwarzania

Aby świadczyć Usługę, korzystamy z następujących zewnętrznych podwykonawców przetwarzania. Każdy z nich został zweryfikowany pod kątem praktyk ochrony danych:

Z co najmniej 14-dniowym wyprzedzeniem powiadomimy e-mailem przed zaangażowaniem nowego podwykonawcy przetwarzania, który istotnie zmienia sposób przetwarzania Twoich danych osobowych. Jeśli sprzeciwisz się nowemu podwykonawcy, możesz rozwiązać subskrypcję w ciągu 30 dni od powiadomienia.

7. Międzynarodowe transfery danych

Nasza podstawowa infrastruktura aplikacyjna jest hostowana w Unii Europejskiej (Railway EU). Twoje dane konta, Bazy wiedzy i podłączone źródła danych są przechowywane w UE.

Jednak niektóre czynności przetwarzania obejmują transfer danych do podwykonawców znajdujących się w Stanach Zjednoczonych, w szczególności:

• Przetwarzanie AI (OpenRouter, Anthropic, OpenAI, Google AI, Meta AI)
• Przetwarzanie płatności (Stripe)
• Dostarczanie e-maili (Resend)
• Indeksowanie stron (Firecrawl)

W przypadku transferów danych osobowych z EOG do krajów, które nie otrzymały decyzji o adekwatności od Komisji Europejskiej, opieramy się na:

• Standardowych klauzulach umownych UE (SCC) przyjętych przez Komisję Europejską (decyzja wykonawcza Komisji (UE) 2021/914), włączonych do naszych umów z podwykonawcami
• Decyzjach o adekwatności, jeśli mają zastosowanie
• Środkach uzupełniających, w tym szyfrowaniu w tranzycie (TLS 1.2+) i zobowiązaniach umownych dostawców do nieużywania danych do trenowania modeli

8. Okresy przechowywania danych

Przechowujemy Twoje dane przez minimalny okres niezbędny dla celu, w jakim zostały zebrane:

Gdy dane nie są już potrzebne do pierwotnego celu i nie ma zastosowania żaden prawny obowiązek przechowywania, są usuwane lub anonimizowane.

9. Twoje prawa (RODO)

Jeśli znajdujesz się w Europejskim Obszarze Gospodarczym (EOG), Wielkiej Brytanii lub jurysdykcji o podobnych przepisach o ochronie danych, przysługują Ci następujące prawa dotyczące Twoich danych osobowych:

• Prawo dostępu (art. 15): żądanie kopii danych osobowych, które o Tobie posiadamy, oraz informacji o tym, jak są przetwarzane
• Prawo do sprostowania (art. 16): żądanie skorygowania nieprawidłowych lub niekompletnych danych osobowych
• Prawo do usunięcia (art. 17): żądanie usunięcia Twoich danych osobowych („prawo do bycia zapomnianym”), z zastrzeżeniem prawnych wymogów przechowywania
• Prawo do ograniczenia (art. 18): żądanie ograniczenia przetwarzania Twoich danych osobowych w określonych okolicznościach (np. podczas weryfikacji ich prawidłowości)
• Prawo do przenoszenia danych (art. 20): żądanie udostępnienia Twoich danych osobowych w ustrukturyzowanym, powszechnie używanym, nadającym się do odczytu maszynowego formacie lub żądanie przesłania ich do innego administratora
• Prawo do sprzeciwu (art. 21): sprzeciw wobec przetwarzania opartego na naszych uzasadnionych interesach. Zaprzestaniemy przetwarzania, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw
• Prawo do wycofania zgody (art. 7 ust. 3): jeżeli przetwarzanie odbywa się na podstawie zgody, możesz ją wycofać w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego wcześniej
• Zautomatyzowane podejmowanie decyzji (art. 22): KnowStack nie podejmuje wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne lub w podobny sposób istotnych. Funkcje AI to narzędzia, które wymagają Twojej inicjacji i weryfikacji.

Jak skorzystać ze swoich praw

Aby skorzystać z dowolnego z tych praw, skontaktuj się z nami pod adresem [email protected] z dopiskiem „Privacy Request” w temacie. My:

• Zweryfikujemy Twoją tożsamość przed rozpatrzeniem żądania
• Odpowiemy w ciągu 30 dni (z możliwością przedłużenia o maks. 60 dni dla skomplikowanych żądań, z powiadomieniem)
• Zrealizujemy żądanie bezpłatnie, z wyjątkiem żądań ewidentnie nieuzasadnionych lub nadmiernych

Prawo do wniesienia skargi

Jeśli uważasz, że nasze przetwarzanie Twoich danych osobowych narusza obowiązujące prawo o ochronie danych, masz prawo wnieść skargę do lokalnego organu nadzorczego ds. ochrony danych. Lista organów nadzorczych UE jest dostępna pod adresem edpb.europa.eu. W Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO).

Cofnięcie dostępu do połączonych usług

W dowolnym momencie możesz odłączyć zintegrowane usługi w ustawieniach swojego konta KnowStack. W przypadku usług Google możesz również cofnąć dostęp poprzez uprawnienia konta Google.

10. Usunięcie konta

Możesz usunąć swoje konto w dowolnym momencie poprzez ustawienia konta. Proces usuwania działa następująco:

• Okres karencji: po zażądaniu usunięcia obowiązuje 10-dniowy okres karencji, w którym możesz anulować usunięcie i przywrócić konto
• E-maile przypominające: otrzymasz e-maile przypominające 3 dni i 1 dzień przed usunięciem
• Decyzje firmowe: jeśli jesteś jedynym administratorem Konta firmowego, musisz albo przekazać własność innemu użytkownikowi, albo potwierdzić, że dane firmy mają zostać usunięte
• Co jest usuwane: Twoje dane konta, Bazy wiedzy, połączone źródła danych, dokumenty, logi AI, powiadomienia oraz powiązane dane firmowe (jeśli oznaczone do usunięcia)
• Cofnięcie tokenu Gmail: jeśli podłączyłeś(-aś) Gmaila, cofniemy nasze tokeny dostępu OAuth
• Anonimizacja logów aktywności: logi aktywności są anonimizowane (usunięcie identyfikatorów osobowych), a nie usuwane, w celu zachowania integralności audytu
• Rejestry rozliczeniowe: rejestry transakcji są przechowywane przez 7 lat zgodnie z wymogami prawa
• Zakończenie: wszystkie dane osobowe są usuwane lub anonimizowane w ciągu 30 dni od zakończenia okresu karencji

11. Zgodność z usługami API Google

Wykorzystywanie i przekazywanie informacji otrzymanych z interfejsów API Google przez KnowStack jest zgodne z Polityką Google API Services User Data Policy, w tym z wymogami Limited Use.

Integracja z Gmailem

Po podłączeniu konta Gmail:

• Stosujemy OAuth 2.0 do bezpiecznego uwierzytelniania — nigdy nie widzimy ani nie przechowujemy Twojego hasła Google
• Żądamy wyłącznie zakresu gmail.readonly — dostępu tylko do odczytu Twoich e-maili w celu ekstrakcji wiedzy
• Treść e-maili jest przetwarzana w celu ekstrakcji wiedzy i budowy Twoich Baz wiedzy
• Nie wykorzystujemy danych z Gmaila do celów reklamowych
• Nie udostępniamy danych z Gmaila podmiotom trzecim, z wyjątkiem przypadków koniecznych do świadczenia Usługi (np. przesyłanie treści do dostawców AI w celu przetwarzania na Twoje żądanie)
• Możesz cofnąć dostęp w dowolnym momencie poprzez ustawienia KnowStack lub poprzez uprawnienia konta Google

Google OAuth (logowanie)

Jeśli korzystasz z opcji „Zaloguj się z Google”:

• Otrzymujemy Twój adres e-mail i podstawowe informacje profilowe
• Wykorzystujemy te informacje wyłącznie do utworzenia i uwierzytelniania Twojego konta
• Nie uzyskujemy dostępu do innych usług Google bez dodatkowej wyraźnej zgody

12. Pliki cookie i śledzenie

Używamy plików cookie i podobnych technologii w trzech kategoriach:

• Niezbędne pliki cookie: wymagane do uwierzytelniania, bezpieczeństwa (ochrona CSRF) i podstawowej funkcjonalności witryny. Nie można ich wyłączyć.
• Przechowywanie preferencji: zapamiętuje ustawienia, takie jak preferowany motyw (jasny/ciemny). Wykorzystuje localStorage przeglądarki.
• Analityczne pliki cookie: pliki Google Analytics ustawiane wyłącznie za Twoją wyraźną zgodą przez nasz baner zgody. Pomagają nam zrozumieć, jak odwiedzający korzystają z naszej witryny.

Nie używamy plików cookie do reklamy, śledzenia między witrynami ani sprzedaży danych podmiotom trzecim.

Pełne szczegóły dotyczące każdego używanego przez nas pliku cookie, jego celów i sposobu zarządzania preferencjami znajdziesz w naszej Polityce plików cookie.

Możesz zrezygnować z Google Analytics na wszystkich witrynach, instalując dodatek do przeglądarki blokujący Google Analytics.

13. Bezpieczeństwo danych

Wdrażamy kompleksowe środki techniczne i organizacyjne w celu ochrony Twoich danych:

• Szyfrowanie w tranzycie: wszystkie dane przesyłane między Twoją przeglądarką a naszymi serwerami są szyfrowane za pomocą TLS 1.2 lub wyższej
• Szyfrowanie w spoczynku: wrażliwe dane, w tym poświadczenia podmiotów trzecich i tokeny uwierzytelniające, są szyfrowane przy użyciu AES-256-GCM (uwierzytelnione szyfrowanie)
• Bezpieczeństwo haseł: hasła są haszowane za pomocą bcrypt z odpowiednim współczynnikiem trudności — nigdy nie przechowujemy haseł w postaci jawnej
• Izolacja danych: dane każdego Konta firmowego są logicznie izolowane. Użytkownicy mogą uzyskać dostęp wyłącznie do danych w obrębie autoryzowanych Kont firmowych i zgodnie z przypisanymi rolami.
• Kontrola dostępu: drobnoziarnista kontrola dostępu oparta na rolach (RBAC) z uprawnieniami na poziomie Bazy wiedzy i sekcji
• Ochrona CSRF: wzorzec double-submit cookie zapobiega atakom CSRF
• Polityka bezpieczeństwa treści: ścisłe nagłówki CSP zapobiegają atakom XSS
• Infrastruktura: hostowana w infrastrukturze chmurowej zgodnej z SOC 2, z regularnymi aktualizacjami bezpieczeństwa
• Zarządzanie sesjami: uwierzytelnione sesje mają 1-godzinny przesuwany limit czasu

Mimo wdrażania solidnych środków bezpieczeństwa żadna metoda transmisji ani przechowywania nie jest w 100% bezpieczna. Nie możemy zagwarantować absolutnego bezpieczeństwa, ale jesteśmy zobowiązani do ochrony Twoich danych w jak największym stopniu i niezwłocznego reagowania na wykryte luki.

14. Powiadomienie o naruszeniu danych

W przypadku naruszenia ochrony danych osobowych:

Powiadomienie organu nadzorczego (art. 33 RODO)

Tam gdzie to możliwe, powiadomimy właściwy organ nadzorczy w ciągu 72 godzin od stwierdzenia naruszenia, które prawdopodobnie spowoduje ryzyko dla praw i wolności osób. Powiadomienie zawiera:

• Charakter naruszenia danych osobowych, w tym kategorie i przybliżoną liczbę osób, których dotyczy
• Imię, nazwisko i dane kontaktowe naszej osoby ds. ochrony danych
• Możliwe konsekwencje naruszenia
• Środki podjęte lub proponowane w celu zaradzenia naruszeniu i ograniczenia jego skutków

Powiadomienie osób, których dane dotyczą (art. 34 RODO)

Jeżeli naruszenie może spowodować wysokie ryzyko dla Twoich praw i wolności, powiadomimy Cię bez zbędnej zwłoki za pośrednictwem e-maila, opisując charakter naruszenia, jego prawdopodobne konsekwencje i środki, które podjęliśmy. Przekażemy także zalecenia dotyczące działań, które możesz podjąć w celu ochrony siebie.

Reakcja na naruszenie

Utrzymujemy plan reagowania na incydenty obejmujący procedury powstrzymania, dochodzenia, naprawy i powiadomień. Przeprowadzamy przeglądy poincydentalne, aby zapobiegać powtórzeniom.

15. Prywatność dzieci

KnowStack jest przeznaczony do użytku biznesowego i nie jest skierowany do dzieci.

• Plan bezpłatny (Starter) wymaga, aby użytkownicy mieli co najmniej 16 lat
• Plany płatne wymagają, aby użytkownicy mieli co najmniej 18 lat
• Świadomie nie zbieramy danych osobowych od osób poniżej 16. roku życia
• Jeśli wykryjemy, że zebraliśmy dane osobowe dziecka poniżej 16. roku życia, niezwłocznie je usuniemy
• Jeśli uważasz, że nieumyślnie zebraliśmy dane od dziecka poniżej 16. roku życia, skontaktuj się z nami pod adresem [email protected]

16. Prawa mieszkańców Kalifornii (CCPA/CPRA)

Jeśli jesteś mieszkańcem Kalifornii, ustawa California Consumer Privacy Act (CCPA), zmieniona przez California Privacy Rights Act (CPRA), zapewnia Ci dodatkowe prawa:

Kategorie zbieranych danych osobowych

• Identyfikatory: imię i nazwisko, adres e-mail, adres IP, identyfikator konta
• Informacje handlowe: plan subskrypcji, historia płatności, rejestry użycia AI
• Aktywność w internecie lub sieci elektronicznej: odwiedzane strony, używane funkcje, typ przeglądarki
• Informacje zawodowe lub o zatrudnieniu: nazwa firmy / organizacji (jeśli podana)
• Wnioski: brak — nie tworzymy profili konsumentów

Twoje prawa zgodnie z CCPA/CPRA

• Prawo do informacji: możesz żądać kategorii i konkretnych danych osobowych, które o Tobie zebraliśmy
• Prawo do usunięcia: możesz żądać usunięcia swoich danych osobowych, z zastrzeżeniem prawnych wyjątków
• Prawo do sprostowania: możesz żądać korekty nieprawidłowych danych osobowych
• Prawo do rezygnacji ze sprzedaży/udostępniania: nie sprzedajemy ani nie udostępniamy Twoich danych osobowych do reklamy behawioralnej między kontekstami. Rezygnacja nie jest potrzebna.
• Prawo do niedyskryminacji: nie będziemy Cię dyskryminować za korzystanie z praw do prywatności

Aby skorzystać z tych praw, skontaktuj się z nami pod adresem [email protected]. Zweryfikujemy Twoją tożsamość przed rozpatrzeniem żądania. Możesz także wyznaczyć upoważnionego pełnomocnika do złożenia żądania w Twoim imieniu.

17. Zmiany w niniejszej Polityce

Możemy zaktualizować niniejszą Politykę prywatności w dowolnym momencie według własnego uznania. Zmiany wchodzą w życie z datą wskazaną w zaktualizowanej polityce.

Gdy wprowadzimy zmiany:

• Zaktualizujemy datę „Ostatnia aktualizacja” na górze tej strony
• Powiadomimy Cię o wszelkich zmianach, wysyłając powiadomienie na adres e-mail powiązany z Twoim kontem
• Zaktualizowana polityka zostanie opublikowana na tej stronie i wejdzie w życie z datą wskazaną w powiadomieniu lub, jeśli data nie jest wskazana, z chwilą publikacji

Kontynuując dostęp lub korzystanie z Usługi po wejściu w życie zaktualizowanej Polityki prywatności, zgadzasz się być związany zmienioną polityką. Wszyscy istniejący użytkownicy uznawani są za akceptujących zaktualizowaną politykę z dniem jej wejścia w życie. Jeśli nie zgadzasz się ze zmienioną polityką, jedynym Twoim środkiem zaradczym jest zaprzestanie korzystania z Usługi i usunięcie konta.

18. Kontakt

Jeśli masz pytania dotyczące niniejszej Polityki prywatności, naszych praktyk dotyczących danych lub chcesz skorzystać ze swoich praw do prywatności, skontaktuj się z nami:

W zapytaniach dotyczących ochrony danych prosimy o dopisek „Privacy Request” w temacie e-maila. Staramy się odpowiadać w ciągu 30 dni.