Polityka prywatności

1. Administrator danych i role w przetwarzaniu

Administratorem danych osobowych w rozumieniu RODO jest Web Impact Sp. z o.o. sp. k., z siedzibą pod adresem Rynek Główny 28, 31-010 Kraków, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000754465, NIP 6762556673 (dalej: „WebImpact”, „my”, „nas”).

WebImpact występuje w dwóch różnych rolach, zależnie od kategorii danych. W odniesieniu do danych kont, danych rejestracyjnych, danych logowania oraz danych o korzystaniu z platformy przez Użytkowników - WebImpact jest administratorem tych danych i samodzielnie określa cele oraz sposoby ich przetwarzania.

W odniesieniu do danych, które Klient (firma korzystająca z platformy) wprowadza lub generuje w swoim wyodrębnionym workspace na temat swoich własnych klientów lub kontrahentów - na przykład danych klientów końcowych prowadzonych w studiu treningowym, danych zawartych we wgrywanych dokumentach czy danych kadrowych pracowników Klienta - WebImpact działa jako podmiot przetwarzający (procesor) na zlecenie i w imieniu Klienta. W takim przypadku administratorem tych danych jest Klient, a WebImpact przetwarza je wyłącznie na udokumentowane polecenie Klienta, na podstawie zawartej umowy powierzenia przetwarzania danych osobowych (DPA).

Jeżeli jesteś osobą, której dane trafiły do platformy za pośrednictwem jednego z naszych Klientów (np. jako klient zapisany na zajęcia w studiu treningowym prowadzonym przez tę firmę), administratorem Twoich danych jest ten Klient, a niniejsza Polityka opisuje jedynie zakres, w jakim WebImpact przetwarza te dane jako procesor. W sprawach dotyczących takich danych właściwym adresatem żądań jest w pierwszej kolejności ten Klient.

2. Kontakt w sprawie danych osobowych

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji przysługujących Ci praw możesz skontaktować się z nami pod adresem e-mail: [email protected] lub korespondencyjnie na adres siedziby WebImpact.

3. Zakres przetwarzanych danych

Zakres przetwarzanych danych zależy od sposobu korzystania z platformy oraz od tego, które moduły zostały włączone dla danej firmy. Przetwarzamy w szczególności następujące kategorie danych:

• Dane konta i profilu - imię i nazwisko, służbowy adres e-mail, przypisana firma (workspace) oraz rola Użytkownika decydująca o zakresie dostępu.
• Dane logowania i uwierzytelniania - dane niezbędne do bezpiecznego logowania, w tym w przypadku logowania za pośrednictwem konta Google (adres e-mail oraz podstawowe dane identyfikacyjne przekazywane przez dostawcę logowania); haseł nie przechowujemy w postaci jawnej.
• Dane o korzystaniu z platformy - informacje o aktywności w panelu, wykorzystaniu modułów i limitów, zdarzenia zapisywane w dzienniku audytu oraz podstawowe dane techniczne (np. znaczniki czasu operacji).
• Treści wgrywane i generowane - materiały wprowadzane przez Użytkownika (np. zdjęcia produktów, pliki referencyjne, briefy, dokumenty) oraz wyniki generowane przez platformę, zapisywane w Bibliotece zasobów firmy.
• Dane klientów końcowych Klienta (gdy moduł studia treningowego jest włączony) - dane kontaktowe, cele treningowe, uwagi zdrowotne, historia obecności oraz podpis potwierdzający udział w zajęciach.
• Dane kadrowe (gdy moduł kadrowy jest włączony) - dane pracowników Klienta dotyczące czasu pracy, ewidencji obecności oraz wniosków urlopowych i nieobecności.
• Dane z Facebooka i Instagrama (gdy moduł publikacji social media jest włączony, a Klient podłączy swoje konta) - opisujemy je w osobnej sekcji poniżej.
• Materiały kontekstowe o firmie - opis oferty, tonu komunikacji i faktów o Kliencie, przygotowywany po stronie WebImpact i wykorzystywany przez moduły generacyjne.

4. Cele i podstawy prawne przetwarzania

Dane osobowe przetwarzamy wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach, na następujących podstawach prawnych:

• Świadczenie usługi i wykonanie umowy - założenie i utrzymanie konta, udostępnianie włączonych modułów, generowanie i przechowywanie wyników w Bibliotece zasobów oraz obsługa Użytkownika (art. 6 ust. 1 lit. b RODO).
• Prawnie uzasadniony interes administratora - zapewnienie bezpieczeństwa platformy i danych, zapobieganie nadużyciom, prowadzenie dziennika zdarzeń i audytu, rozwój i doskonalenie usługi oraz dochodzenie lub obrona ewentualnych roszczeń (art. 6 ust. 1 lit. f RODO).
• Zgoda osoby, której dane dotyczą - w zakresie, w jakim jest ona wymagana dla danej czynności; zgodę można w każdej chwili wycofać bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem (art. 6 ust. 1 lit. a RODO).
• Wypełnienie obowiązków prawnych ciążących na administratorze - w zakresie wynikającym z przepisów, którym podlegamy (art. 6 ust. 1 lit. c RODO).
• W zakresie danych przetwarzanych jako procesor na zlecenie Klienta podstawę i cel przetwarzania określa Klient jako administrator; przetwarzamy je zgodnie z jego poleceniami i umową powierzenia (DPA).

5. Dane z Facebooka i Instagrama

Jeżeli w module publikacji social media podłączysz Stronę na Facebooku lub konto Instagram, platforma łączy się z nimi przez aplikację WebImpact w serwisach Meta Platforms Ireland Limited (Facebook, Instagram). Robimy to wyłącznie po to, żeby publikować treści wskazane przez Klienta na jego profilach i pokazywać mu wyniki jego postów - także tych opublikowanych przed podłączeniem konta albo poza platformą.

Z serwisów Meta pobieramy i przechowujemy wyłącznie następujące dane:

• identyfikatory, nazwy i zdjęcia profilowe podłączonych Stron na Facebooku i kont Instagram;
• identyfikator osoby udzielającej dostępu w przestrzeni naszej aplikacji (bez imienia, nazwiska, adresu e-mail i zdjęcia tej osoby) - potrzebny wyłącznie do obsługi próśb o usunięcie danych i cofnięcia dostępu;
• token dostępu Strony, przechowywany wyłącznie w postaci zaszyfrowanej;
• identyfikatory, linki i treść postów opublikowanych przez platformę oraz ich liczbowe statystyki (wyświetlenia, zasięg, reakcje, komentarze, zapisy, udostępnienia);
• identyfikatory, linki, podpisy, daty publikacji i miniatury (zmniejszona kopia zdjęcia albo kadru filmu) postów ze zdjęciem lub filmem opublikowanych na podłączonej Stronie lub koncie Instagram poza platformą - z 6 miesięcy przed podłączeniem konta i na bieżąco później - oraz ich liczbowe statystyki w tym samym zakresie co wyżej;
• liczbowe statystyki całej Strony i całego konta Instagram za ostatnie 28 dni (wyświetlenia, zasięg, zaangażowanie, liczba obserwujących).

6. Jak korzystamy z danych z Facebooka i Instagrama

• Cel: publikacja treści wskazanych przez Klienta (od razu albo w zaplanowanym terminie), zmiana podpisu i usunięcie opublikowanego przez platformę posta na polecenie Klienta oraz pokazanie Klientowi statystyk jego postów (także opublikowanych poza platformą) i profili. Podstawa prawna: wykonanie umowy z Klientem (art. 6 ust. 1 lit. b RODO).
• Nie pobieramy prywatnych wiadomości, treści komentarzy ani danych osób obserwujących Stronę lub konto.
• Nie sprzedajemy tych danych, nie używamy ich do reklam, profilowania ani trenowania modeli sztucznej inteligencji i nie udostępniamy ich innym Klientom platformy - dane każdej firmy są odseparowane.
• Dostęp do tych danych mają wyłącznie Użytkownicy workspace'u danej firmy oraz nasz personel w zakresie wsparcia technicznego. Przechowujemy je u tych samych dostawców infrastruktury co pozostałe dane platformy (lista podprocesorów).
• Jeżeli w module skorzystasz z funkcji opartych na sztucznej inteligencji (np. analizy wyników postów albo poprawki podpisu), treść Twoich postów i ich liczbowe statystyki przekazujemy dostawcom modeli AI z listy podprocesorów (Anthropic, Google) wyłącznie w celu przygotowania odpowiedzi dla Ciebie. Dostawcy przetwarzają te dane w naszym imieniu, na podstawie umów powierzenia.
• Meta Platforms Ireland Limited jest odrębnym administratorem danych przetwarzanych w serwisach Facebook i Instagram - zasady opisuje polityka prywatności Meta (facebook.com/privacy/policy).

7. Usuwanie danych z Facebooka i Instagrama

• Odłączenie konta w panelu (Publikacja social media → Kanały → Odłącz) usuwa natychmiast token dostępu, identyfikator i nazwę konta, linki opublikowanych postów, posty pobrane z tego konta (razem z ich podpisami i miniaturami) oraz statystyki pobrane dla tego konta. Gdy odłączony zostanie ostatni kanał danej osoby, cofamy również jej zgodę dla aplikacji WebImpact w serwisach Meta.
• Usunięcie aplikacji WebImpact w ustawieniach Facebooka (Integracje biznesowe) natychmiast odcina nasz dostęp i usuwa token. Jeśli jednocześnie wyślesz prośbę o usunięcie danych, usuwamy wszystkie połączenia utworzone przez Twoje konto, a Meta pokaże Ci kod potwierdzenia i adres, pod którym sprawdzisz stan prośby.
• Możesz też napisać na [email protected] - usuniemy dane nie później niż w ciągu miesiąca od otrzymania prośby.
• Instrukcja krok po kroku jest pod adresem /data-deletion. Posty już opublikowane pozostają na Facebooku i Instagramie - usuwa się je bezpośrednio w tych serwisach albo przyciskiem „Usuń z Facebooka” w panelu.

8. Odbiorcy danych i podmioty przetwarzające (podprocesorzy)

W celu świadczenia usługi korzystamy z zaufanych dostawców zewnętrznych, którzy przetwarzają dane wyłącznie w naszym imieniu, na podstawie zawartych umów powierzenia i tylko w zakresie niezbędnym do świadczenia usługi. Odbiorców opisujemy kategoriami:

• Dostawcy modeli AI - przetwarzający treści przekazane do wygenerowania wyniku (np. tekstu, obrazu, wideo, głosu).
• Dostawcy infrastruktury chmurowej - w zakresie hostingu aplikacji oraz przechowywania plików i danych (storage).
• Dostawca uwierzytelniania - w zakresie obsługi logowania i zarządzania tożsamością.
• Dostawca poczty - w zakresie wysyłki wiadomości transakcyjnych i powiadomień.
• Dostawcy narzędzi do monitorowania błędów i utrzymania niezawodności usługi.
• Doradcy i usługodawcy wspierający nas w prowadzeniu działalności (np. obsługa prawna, księgowa), w niezbędnym zakresie.

9. Lista podprocesorów

Aktualną listę podprocesorów - z nazwami dostawców, celem przetwarzania, miejscem przetwarzania i podstawą ewentualnego przekazania poza EOG - publikujemy pod adresem /podprocesorzy. Lista stanowi jednocześnie załącznik do umowy powierzenia przetwarzania danych osobowych (DPA).

O zamiarze dodania nowego podprocesora albo zastąpienia dotychczasowego uprzedzamy Klienta z wyprzedzeniem co najmniej 30 dni, aktualizując tę listę i informując Klienta; Klient może w tym czasie zgłosić uzasadniony sprzeciw. Listę w postaci załącznika do umowy wydajemy również na żądanie, pod adresem [email protected].

10. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

Część naszych dostawców może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Podstawę każdego takiego przekazania (decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony, w tym decyzję dotyczącą EU-U.S. Data Privacy Framework, albo standardowe klauzule umowne zatwierdzone przez Komisję Europejską) wskazujemy osobno dla każdego dostawcy na liście podprocesorów, razem z pozycjami, których jeszcze nie potwierdziliśmy. Dostawcom, dla których podstawy przekazania nie ustaliliśmy, nie przekazujemy danych bezpośrednio; jeżeli ich model udostępnia nam pośrednik, lista podprocesorów opisuje ten łańcuch.

Informacji o zabezpieczeniach zastosowanych do konkretnego transferu udzielamy na żądanie, pod adresem [email protected].

11. Okres przechowywania danych

Dane osobowe przechowujemy tak długo, jak jest to niezbędne do świadczenia usługi oraz przez okres wymagany przepisami prawa lub uzasadniony potrzebą dochodzenia albo obrony roszczeń.

• Dane konta i związane z nim treści - przez czas obowiązywania umowy oraz utrzymywania konta; po jego usunięciu dane są usuwane lub anonimizowane, z zastrzeżeniem danych, które musimy zachować na podstawie przepisów.
• Dane osobowe osób trzecich (klientów końcowych Klienta, pracowników) - przez okres korzystania z modułu, który je gromadzi, lub zgodnie z poleceniami Klienta będącego administratorem tych danych. Niezależnie od poleceń Klienta stosujemy własne terminy maksymalne: podpis potwierdzający obecność na zajęciach oraz uwagi o stanie zdrowia usuwamy po 12 miesiącach, notatki z zajęć oraz dane kontaktowe zakończonych kartotek - po 24 miesiącach. Sam zapis, że dana usługa się odbyła (data, status, rozliczenie pakietu), pozostaje, ponieważ stanowi dokumentację rozliczeniową Klienta.
• Wyniki w Bibliotece zasobów - przez czas korzystania z platformy. Świadomie NIE usuwamy ich po upływie czasu: są to materiały wytworzone na zlecenie Klienta i stanowiące jego własność, a kryterium ich usunięcia jest zakończenie współpracy, a nie wiek pliku. Klient usuwa je samodzielnie w panelu (pojedynczo albo funkcją usunięcia danych firmy); usunięty materiał znika z magazynu natychmiast, a opis, pod jakim powstał, usuwamy po 30 dniach.
• Historia generacji (dziennik zleceń) - wpis z datą, modułem, tytułem, statusem i kosztem pozostaje na czas rozliczeń z Klientem i możliwości ich weryfikacji. Treść zlecenia, w tym wgrane materiały referencyjne oraz treść komunikatów o błędach, usuwamy po 12 miesiącach.
• Dane kadrowe - przez okres korzystania z modułu lub zgodnie z poleceniami Klienta jako administratora; uzasadnienia wniosków urlopowych usuwamy po 12 miesiącach od zakończenia urlopu.
• Dane pobrane z Facebooka i Instagrama - token dostępu do czasu odłączenia konta lub cofnięcia zgody w serwisach Meta; identyfikatory, linki, podpisy, miniatury i statystyki postów (także pobranych z platformy) oraz statystyki profili do czasu odłączenia konta albo usunięcia danych firmy (w obu przypadkach usuwamy je natychmiast).
• Eksport danych oraz usunięcie wygenerowanych treści są dostępne w panelu natychmiast i samodzielnie. Wniosek o usunięcie konta również składa się z poziomu panelu; rozpatrujemy go w terminie miesiąca od złożenia (art. 12 ust. 3 RODO). Jeżeli konto jest jedynym kontem właściciela firmy, realizacja wymaga wcześniejszego przekazania własności innej osobie - informujemy o tym przy składaniu wniosku.

12. Prawa osoby, której dane dotyczą

W związku z przetwarzaniem danych osobowych przysługują Ci następujące prawa:

• Prawo dostępu do danych oraz uzyskania ich kopii.
• Prawo do sprostowania (poprawienia) danych nieprawidłowych lub niekompletnych.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”) w przypadkach przewidzianych w RODO.
• Prawo do ograniczenia przetwarzania.
• Prawo do przenoszenia danych, w tym ich eksportu w ustrukturyzowanym, powszechnie używanym formacie.
• Prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.
• Prawo do cofnięcia zgody w dowolnym momencie, jeżeli przetwarzanie odbywa się na jej podstawie, bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia.
• Prawo do wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (PUODO).
• Aby skorzystać z powyższych praw, napisz do nas na adres [email protected]. Część uprawnień - w szczególności eksport oraz usunięcie danych - możesz zrealizować samodzielnie z poziomu panelu. Jeżeli dane, których dotyczy żądanie, przetwarzamy jako procesor na zlecenie Klienta, przekażemy Twoje żądanie właściwemu administratorowi (Klientowi) lub poprosimy o skierowanie go bezpośrednio do niego.

13. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne zapewniające ochronę danych osobowych adekwatną do ryzyka, w tym:

• Izolacja danych pomiędzy firmami - każda firma korzysta z odrębnego, odizolowanego workspace i ma dostęp wyłącznie do własnych danych oraz włączonych dla niej modułów.
• Kontrola dostępu oparta na rolach - zakres uprawnień Użytkownika wynika z przypisanej mu roli, zgodnie z zasadą minimalizacji dostępu.
• Dziennik zdarzeń i audytu - kluczowe operacje są rejestrowane, co umożliwia rozliczalność i wykrywanie nieprawidłowości.
• Szyfrowanie w transmisji - dane przesyłane pomiędzy Twoim urządzeniem a platformą są chronione za pomocą szyfrowanych połączeń.
• Ograniczony dostęp personelu - dostęp do danych mają wyłącznie upoważnione osoby, w zakresie niezbędnym do wykonywania obowiązków.

14. Pliki cookie i sesja

Platforma wykorzystuje niezbędne pliki cookie oraz mechanizmy sesji, konieczne do prawidłowego działania usługi - w szczególności do utrzymania stanu zalogowania i bezpieczeństwa sesji Użytkownika. Bez tych plików logowanie i korzystanie z panelu nie byłoby możliwe.

Niezbędne pliki cookie nie wymagają zgody, ponieważ służą wyłącznie świadczeniu żądanej usługi. Jeżeli w przyszłości wprowadzimy pliki cookie o charakterze analitycznym lub marketingowym, będą one stosowane wyłącznie na podstawie odrębnej zgody.

15. Zmiany Polityki prywatności

Niniejsza Polityka może być okresowo aktualizowana, w szczególności w związku ze zmianami w funkcjonowaniu platformy, zakresie usług lub obowiązujących przepisach. O istotnych zmianach będziemy informować w odpowiedni sposób, np. za pośrednictwem platformy lub wiadomości e-mail.

Aktualna wersja Polityki jest zawsze dostępna w ramach platformy. Zachęcamy do okresowego zapoznawania się z jej treścią.

16. Kontakt i data wejścia w życie

W sprawach związanych z niniejszą Polityką prywatności oraz ochroną danych osobowych prosimy o kontakt pod adresem e-mail: [email protected]. Prawem właściwym dla niniejszej Polityki jest prawo polskie.

Data wejścia w życie: 13 października 2026 r.