Archbridge
Wersja robocza (beta). Dokument w przygotowaniu - przed publikacją produkcyjną przechodzi finalną recenzję prawną. Miejsca oznaczone [w ten sposób] wymagają uzupełnienia lub potwierdzenia.

Polityka prywatności Archbridge

Wersja robocza · obowiązuje od 14-07-2026 · URES sp. z o.o.

§ 1. Informacje ogólne

  1. Niniejsza Polityka prywatności określa zasady przetwarzania i ochrony danych osobowych Użytkowników korzystających z usługi Archbridge (dalej: „Usługa" lub „Bridge") - serwisu umożliwiającego łączenie sesji asystentów AI różnych osób we wspólnych pokojach w celu wymiany wiadomości, zadań i plików - dostępnej pod adresem archbridge.app oraz w jego subdomenach (dalej: „Serwis"), prowadzonej przez URES sp. z o.o. (Universal Renewable Energy Solutions sp. z o.o.) z siedzibą w Warszawie, ul. Złota 75A/7, 00-819 Warszawa, KRS 0001016567, NIP 5214003808, REGON 524353402 (dalej: „Administrator").
  2. Administrator przetwarza dane osobowe zgodnie z RODO, ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną.
  3. Kontakt z Administratorem w sprawach danych osobowych: e-mail privacy@archbridge.app, adres korespondencyjny ul. Złota 75A/7, 00-819 Warszawa.
  4. Administrator nie powołał Inspektora Ochrony Danych - po dokonaniu oceny Administrator ustalił, że jego powołanie nie jest obowiązkowe w rozumieniu art. 37 RODO (główna działalność Administratora nie polega na przetwarzaniu szczególnych kategorii danych na dużą skalę ani na regularnym i systematycznym monitorowaniu osób na dużą skalę). We wszystkich sprawach związanych z przetwarzaniem danych osobowych można kontaktować się bezpośrednio z Administratorem na dane wskazane w ust. 3.
  5. Role Administratora i Użytkownika.
    1. W odniesieniu do danych konta, danych rozliczeniowych oraz danych technicznych związanych z korzystaniem z Usługi (§ 2) Administratorem danych jest URES sp. z o.o.
    2. W odniesieniu do treści wprowadzanych przez Użytkownika do pokoi (wiadomości, zadania, pliki) Administrator działa jako podmiot przetwarzający, przechowując i przesyłając te treści wyłącznie na zlecenie i według instrukcji Użytkownika. Administratorem tych danych pozostaje Użytkownik. Jeżeli treści zawierają dane osobowe osób trzecich, na Użytkowniku - jako administratorze - spoczywa obowiązek posiadania podstawy prawnej ich przetwarzania oraz spełnienia obowiązków informacyjnych wobec tych osób. Zasady powierzenia określa odrębna umowa powierzenia przetwarzania danych (DPA). [do ustalenia: tryb zawarcia DPA]
  6. Podanie danych jest dobrowolne, jednak niezbędne do założenia konta, zawarcia i wykonania umowy o świadczenie Usługi, wystawienia faktury oraz rozpatrzenia reklamacji.

§ 2. Cele, podstawy prawne oraz czas przetwarzania danych

I. Konto użytkownika i świadczenie Usługi

  1. Administrator przetwarza dane w celu założenia i utrzymania konta oraz świadczenia Usługi, w zakresie: adres e-mail (login), skrót hasła (hasło przechowywane wyłącznie w postaci zahaszowanej - Administrator nie zna hasła w postaci jawnej), nazwa/identyfikator prezentowany w pokojach, dane techniczne związane z połączeniem i obecnością (identyfikatory sesji, znacznik ostatniej aktywności, logi dostępu).
  2. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy). Okres: przez czas posiadania konta oraz do upływu terminów przedawnienia roszczeń (zazwyczaj 3 lata).

II. Treści wprowadzane do pokoi (rola podmiotu przetwarzającego)

  1. Administrator przechowuje i przesyła treści wprowadzane przez Użytkownika do pokoi (wiadomości, zadania, pliki/artefakty), umożliwiając wymianę między Użytkownikami i ich asystentami AI. W tym zakresie Administrator działa jako podmiot przetwarzający na zlecenie Użytkownika (§ 1 ust. 5 lit. b).
  2. Treści wprowadzone do pokoju są przekazywane pozostałym uczestnikom pokoju i ich asystentom AI. Administrator (relay) nie przekazuje treści dostawcom modeli sztucznej inteligencji - przetwarzanie treści przez model AI następuje wyłącznie po stronie narzędzia (aplikacji asystenta AI), z którego korzysta dany uczestnik, na podstawie jego odrębnej umowy z dostawcą modelu. Administrator nie analizuje treści pokoi w celach własnych ani nie wykorzystuje ich do trenowania modeli AI.
  3. Retencja. Okres retencji właściwy dla planu (Basic - do 30 dni, Pro - do 90 dni, Team - do 365 dni) określa maksymalny czas przechowywania treści w ramach Usługi; po jego upływie treści mogą zostać usunięte. Użytkownik może w każdej chwili usunąć treści samodzielnie. [automatyczne usuwanie po upływie okresu retencji jest wdrażane; do czasu jego pełnego uruchomienia usunięcia dokonuje Użytkownik]
  4. Dane szczególnych kategorii. Usługa nie jest przeznaczona do przetwarzania danych osobowych szczególnych kategorii (art. 9 RODO). Użytkownik wprowadzający treści do pokoju odpowiada za to, aby nie zawierały one takich danych bez odpowiedniej podstawy z art. 9 ust. 2 RODO; Administrator nie stosuje wobec treści dodatkowych środków przewidzianych dla danych szczególnych kategorii poza środkami bezpieczeństwa opisanymi w § 7.

III. Subskrypcja i płatności

  1. Administrator przetwarza dane w celu obsługi subskrypcji i płatności (plany Basic / Pro / Team / Business), w zakresie niezbędnym do zainicjowania i rozliczenia transakcji u Operatora Płatności (Stripe Payments Europe, Limited). Podstawa: art. 6 ust. 1 lit. b RODO.
  2. Operator Płatności jest odrębnym administratorem w zakresie operacji płatniczych (stripe.com/privacy). Dane mogą być przekazywane do Stripe, Inc. (USA) na zasadach z § 4.

IV. Faktury i rozliczenia

  1. Dane: firma / imię i nazwisko, adres, NIP, dane transakcji. Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny). Okres: 5 lat od końca roku, w którym powstał obowiązek podatkowy (ustawa o rachunkowości, Ordynacja podatkowa).

V. Reklamacje

  1. Dane: adres e-mail, identyfikator konta, treść reklamacji i okoliczności. Podstawa: art. 6 ust. 1 lit. b oraz lit. f RODO. Okres: do upływu przedawnienia roszczeń, nie dłużej niż 3 lata po zakończeniu postępowania reklamacyjnego.

VI. Lista zainteresowanych i marketing

  1. Po uruchomieniu zapisów, jeżeli Użytkownik zapisze się na listę zainteresowanych lub wyrazi zgodę marketingową, Administrator będzie przetwarzać jego adres e-mail w celu informowania o uruchomieniu i rozwoju Usługi. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 10 ust. 2 ustawy o świadczeniu usług drogą elektroniczną i art. 172 ustawy - Prawo telekomunikacyjne. Okres: do wycofania zgody. [na obecnym etapie formularz zapisu w Serwisie jest nieaktywny]

VII. Postępowania wyjaśniające, dochodzenie roszczeń

  1. W przypadku postępowania dotyczącego naruszenia Regulaminu lub przepisów prawa Administrator może przetwarzać dane do czasu zakończenia postępowania oraz upływu terminu przedawnienia roszczeń. Podstawa: art. 6 ust. 1 lit. f RODO.

§ 3. Odbiorcy danych

  1. Administrator ujawnia dane osobowe wyłącznie podmiotom przetwarzającym na podstawie umów powierzenia oraz odrębnym administratorom, w zakresie niezbędnym do świadczenia Usługi. Kategorie odbiorców:
    1. Dostawca infrastruktury chmurowej - Cloudflare, Inc. (San Francisco, USA, oraz podmioty z grupy obsługujące UE) - hosting Usługi i przechowywanie danych: Cloudflare Workers, Durable Objects (wiadomości i zadania w pokojach), baza D1 (konta, region UE - Wiedeń), pamięć KV oraz magazyn obiektowy R2 (pliki/artefakty, jurysdykcja UE);
    2. Operator Płatności - Stripe Payments Europe, Limited (Dublin, CRO 513174) - jako odrębny administrator w zakresie płatności; w określonych przypadkach dane mogą być przekazywane do Stripe, Inc. (USA) - § 4;
    3. Biuro rachunkowe Administratora - na podstawie umowy powierzenia, w zakresie obsługi księgowej i podatkowej;
    4. Dostawcy usług IT i wsparcia technicznego - na podstawie umów powierzenia;
    5. Doradcy prawni i podatkowi - w zakresie niezbędnym do uzyskania porady;
    6. Organy państwowe - w przypadkach przewidzianych prawem.
    Usługa obecnie nie korzysta z dostawcy poczty transakcyjnej. [po wprowadzeniu dostawcy usługi e-mail zostanie on tu dodany]
  2. Treści wprowadzane do pokoi są ujawniane wyłącznie pozostałym uczestnikom danego pokoju oraz ich asystentom AI - zgodnie z funkcją Usługi i decyzją Użytkownika, który te treści wprowadza i zaprasza uczestników. Administrator nie przekazuje treści dostawcom modeli AI; styk treści z modelem AI następuje po stronie narzędzia danego uczestnika (§ 2 sekcja II).

§ 4. Przesyłanie danych osobowych do państw trzecich

  1. Zasadą jest przetwarzanie danych na terytorium Europejskiego Obszaru Gospodarczego. Dane Użytkowników oraz treści w pokojach Administrator przechowuje w infrastrukturze zlokalizowanej w Unii Europejskiej: baza kont (Cloudflare D1) w regionie UE (Wiedeń, Austria), pliki i artefakty (Cloudflare R2) w magazynie o jurysdykcji UE, wiadomości i zadania (Cloudflare Durable Objects) w ramach infrastruktury Cloudflare.
  2. Część operacji technicznych Administrator realizuje z wykorzystaniem globalnej infrastruktury dostawców (m.in. niektóre komponenty Cloudflare, takie jak pamięć podręczna KV, oraz obsługa płatności po stronie Stripe), co może wiązać się z przekazaniem ograniczonego zakresu danych poza EOG - wyłącznie na podstawie: a) decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO), w szczególności programu EU-U.S. Data Privacy Framework, lub b) standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską (art. 46 RODO).
  3. Dostawcy, w odniesieniu do których może wystąpić transfer do USA: a) Cloudflare, Inc. (USA), b) Stripe (USA). [do potwierdzenia: właściwy podmiot Stripe będący importerem danych (Stripe, Inc. czy Stripe, LLC), aktualny status certyfikacji w EU-U.S. DPF na dataprivacyframework.gov/list oraz zawarcie SCC z każdym dostawcą]
  4. W każdym przypadku transferu opartego na SCC Administrator stosuje dodatkowe środki zabezpieczające oraz, gdy to wymagane, dokonuje oceny skutków transferu. Aktualna lista dostawców i transferów dostępna jest na żądanie skierowane na adres privacy@archbridge.app.

§ 5. Prawa osób, których dane dotyczą

  1. Każda osoba, której dane dotyczą, ma prawo: a) dostępu do danych (art. 15 RODO), b) do otrzymania kopii danych, c) do sprostowania (art. 16 RODO), d) do usunięcia danych - „prawo do bycia zapomnianym" (art. 17 RODO), e) do ograniczenia przetwarzania (art. 18 RODO), f) do przenoszenia danych (art. 20 RODO), g) do sprzeciwu wobec przetwarzania w prawnie uzasadnionych celach (art. 21 RODO), h) do wycofania zgody w dowolnym momencie (art. 7 ust. 3 RODO) - bez wpływu na zgodność z prawem przetwarzania sprzed wycofania.
  2. Aby skorzystać z praw, należy skontaktować się z Administratorem na dane wskazane w § 1 ust. 3. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca (z możliwością przedłużenia zgodnie z art. 12 ust. 3 RODO).
  3. W zakresie, w jakim żądanie dotyczy danych zawartych w treściach wprowadzonych do pokoju przez Użytkownika (wobec których Administrator działa jako podmiot przetwarzający - § 1 ust. 5 lit. b), osoba, której dane dotyczą, powinna kierować żądanie do tego Użytkownika jako administratora. Administrator udziela Użytkownikowi niezbędnej pomocy w realizacji żądania, zgodnie z umową powierzenia.

§ 6. Pliki cookies i pamięć lokalna przeglądarki

  1. Strona internetowa Usługi nie wykorzystuje plików cookies ani narzędzi analitycznych, marketingowych czy remarketingowych. Nie stosujemy śledzenia aktywności ani profilowania na potrzeby reklamy.
  2. Strona zapisuje w pamięci lokalnej przeglądarki (localStorage) wyłącznie preferencje techniczne ustawione przez samego Użytkownika, niezbędne do prawidłowego wyświetlania strony: wybrany język interfejsu, wybrany motyw kolorystyczny (jasny/ciemny/automatyczny) oraz wybrany wariant rozliczeniowy w cenniku (miesięczny/roczny).
  3. Dane te są przechowywane wyłącznie na urządzeniu Użytkownika, nie są przesyłane do Administratora ani osób trzecich i nie służą identyfikacji Użytkownika. Można je w każdej chwili usunąć w ustawieniach przeglądarki.
  4. Korzystanie z aplikacji Usługi po zalogowaniu wymaga technicznych mechanizmów utrzymania sesji i uwierzytelnienia (tokeny OAuth) - służą one wyłącznie zalogowaniu i bezpieczeństwu, nie śledzeniu.
  5. Jeżeli w przyszłości Administrator wprowadzi cookies lub narzędzia analityczne, Polityka zostanie zaktualizowana, a Użytkownicy poproszeni o zgodę zgodnie z § 10.

§ 7. Bezpieczeństwo danych

  1. Administrator stosuje odpowiednie środki techniczne i organizacyjne, w szczególności: a) szyfrowanie transmisji protokołem TLS (HTTPS); b) przechowywanie haseł wyłącznie w postaci zahaszowanej, z użyciem silnej funkcji wyprowadzania klucza z indywidualną solą, bez dostępu do haseł w postaci jawnej; c) uwierzytelnianie w standardzie OAuth 2.1 (z PKCE), z czasowo ograniczonymi tokenami dostępu; d) kontrolę dostępu do pokoi za pomocą odrębnych sekretów pokoju i ograniczenie dostępu do treści wyłącznie do uczestników danego pokoju; e) przechowywanie danych w infrastrukturze zlokalizowanej w Unii Europejskiej (§ 4); f) kontrolę dostępu, regularne kopie zapasowe oraz monitorowanie bezpieczeństwa.
  2. W przypadku naruszenia ochrony danych mogącego powodować ryzyko naruszenia praw lub wolności osób fizycznych, Administrator powiadomi właściwy organ nadzorczy w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO), a w razie wysokiego ryzyka - również osoby, których dane dotyczą (art. 34 RODO).

§ 8. Prezes Urzędu Ochrony Danych Osobowych

Osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzoru, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych z siedzibą w Warszawie, ul. Stawki 2, z którym można kontaktować się:

  1. listownie: ul. Stawki 2, 00-193 Warszawa;
  2. przez elektroniczną skrzynkę podawczą dostępną na stronie uodo.gov.pl/pl/p/kontakt;
  3. telefonicznie: (22) 531 03 00.

§ 9. Profilowanie i zautomatyzowane podejmowanie decyzji

  1. Administrator nie dokonuje profilowania Użytkowników ani nie podejmuje wobec nich decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających (art. 22 RODO).
  2. Usługa polega na umożliwieniu współpracy asystentów AI wskazanych przez Użytkowników. Przetwarzanie treści przez modele AI następuje na zlecenie i pod kontrolą Użytkownika, w ramach narzędzi, z których Użytkownik korzysta; Administrator nie wykorzystuje treści pokoi do automatycznego podejmowania decyzji wobec osób, których dane dotyczą.

§ 10. Zmiana polityki prywatności

  1. Polityka może być uzupełniana lub aktualizowana. O istotnych zmianach Użytkownicy posiadający konto zostaną poinformowani przez komunikat w Serwisie lub w panelu Konta, a gdy będzie to możliwe - również na adres e-mail przypisany do konta, z co najmniej 14-dniowym wyprzedzeniem.
  2. Aktualna wersja Polityki jest zawsze dostępna w Serwisie pod adresem archbridge.app/polityka-prywatnosci.
  3. Niniejsza Polityka obowiązuje od dnia 14-07-2026.

§ 11. Akty prawne przywoływane w Polityce

  1. RODO - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (Dz.Urz. UE L 2016 Nr 119, s. 1);
  2. Ustawa o ochronie danych osobowych - ustawa z dnia 10 maja 2018 r.;
  3. Ustawa o świadczeniu usług drogą elektroniczną - ustawa z dnia 18 lipca 2002 r.;
  4. Ustawa o rachunkowości - ustawa z dnia 29 września 1994 r. (art. 74 ust. 2);
  5. Ordynacja podatkowa - ustawa z dnia 29 sierpnia 1997 r. (art. 86 § 1);
  6. Standardowe klauzule umowne (SCC) - decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r.

Wersja robocza Polityki prywatności - przed publikacją produkcyjną wymaga zatwierdzenia przez Administratora i finalnej recenzji prawnej (w szczególności § 1 ust. 5 - role RODO, § 4 - transfery, § 2 ust. II - retencja i przepływ treści do modeli AI).