Polityka Prywatności

§1. Administrator danych

Administratorem danych osobowych w rozumieniu art. 4 pkt 7 RODO jest:

Inspektor Ochrony Danych: funkcję IOD pełni Patryk Juniszewski (jednoosobowa działalność gospodarcza). Kontakt w sprawach związanych z ochroną danych osobowych: contact@franklyn.io.

§2. Cele i podstawy prawne przetwarzania

Przetwarzamy dane osobowe w następujących celach:

• Świadczenie usługi monitoringu regulacji (EUR-Lex, Dziennik Ustaw, KNF, UODO, EROD/EDPB) oraz wykrywanie zmian i generowanie zadań compliance — podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Czat AI z cytatami do źródeł oraz RAG na dokumentach klienta — podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Rozliczenia i fakturowanie — podstawa prawna: art. 6 ust. 1 lit. c RODO (obowiązek prawny — ustawa z dnia 29 września 1994 r. o rachunkowości, ustawa z dnia 11 marca 2004 r. o podatku od towarów i usług).
• Prowadzenie audit trail i logów bezpieczeństwa — podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora — zapewnienie rozliczalności i bezpieczeństwa usługi).
• Obsługa zapytań i korespondencji — podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes — komunikacja z klientami i użytkownikami).

§3. Kategorie przetwarzanych danych

• Dane identyfikacyjne i kontaktowe — adres email, imię i nazwisko, nazwa firmy, stanowisko.
• Dane techniczne — logi serwera, adres IP, identyfikator sesji, user agent przeglądarki.
• Treść interakcji — wiadomości użytkownika w czacie, treść wgranych dokumentów (PDF, DOCX, TXT) oraz odpowiedzi wygenerowane przez AI.
• Dane rozliczeniowe — NIP, dane do faktury, dane płatnicze (numer rachunku, dane karty płatniczej) przetwarzane przez operatora płatności Stripe.
• Dane uwierzytelniające — hasło przechowywane w postaci skrótu bcrypt (nigdy w postaci jawnej).

§4. Podprocesorzy (subprocesorzy)

Zgodnie z art. 28 RODO powierzamy przetwarzanie danych osobowych następującym podmiotom przetwarzającym (podprocesorom):

Transfer danych do państw trzecich (Schrems II): w przypadku podprocesorów z siedzibą w USA (Anthropic, Hugging Face, Resend, Cloudflare) transfer danych osobowych odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zawartych w Data Processing Agreement każdego z podmiotów, zgodnie z wymogami wyroku TSUE C-311/18 (Schrems II) oraz decyzji wykonawczej Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. Podmioty te wdrożyły dodatkowe środki techniczne i organizacyjne, w tym szyfrowanie w tranzycie (TLS 1.2+) oraz polityki retencji ograniczające czas przechowywania danych.

§5. Okresy retencji

• Historia czatu i interakcje z AI — przez okres trwania subskrypcji oraz 30 dni po jej zakończeniu (na potrzeby ewentualnej reaktywacji konta), następnie trwałe usunięcie.
• Embeddingi dokumentów klienta w pgvector — przez okres trwania subskrypcji oraz 30 dni po jej zakończeniu, następnie trwałe usunięcie.
• Faktury i dokumentacja rozliczeniowa — 5 lat licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy (art. 86 § 1 ustawy z dnia 29 sierpnia 1997 r. — Ordynacja podatkowa; art. 74 ust. 2 ustawy o rachunkowości).
• Logi audytowe (audit trail) — 5 lat od daty zdarzenia, jako uzasadniony interes administratora w zapewnieniu rozliczalności wobec organów nadzoru oraz w postępowaniach reklamacyjnych.
• Dane konta po usunięciu — usunięcie z systemu w ciągu 30 dni od złożenia żądania, z wyłączeniem danych wymaganych przepisami prawa (faktury).

§6. Prawa osób, których dane dotyczą

Na podstawie art. 15-22 RODO przysługują Państwu następujące prawa:

• Prawo dostępu (art. 15 RODO) — możecie Państwo uzyskać potwierdzenie, czy przetwarzamy Państwa dane oraz otrzymać kopię tych danych wraz z informacją o celach, kategoriach, odbiorcach i okresie przechowywania.
• Prawo do sprostowania (art. 16 RODO) — macie Państwo prawo żądać niezwłocznego sprostowania danych nieprawidłowych oraz uzupełnienia danych niekompletnych.
• Prawo do usunięcia / „prawo do bycia zapomnianym" (art. 17 RODO) — możecie Państwo żądać usunięcia danych, jeżeli nie są już niezbędne do celów, dla których zostały zebrane, lub gdy cofnęliście Państwo zgodę. Prawo to nie obejmuje danych, których przetwarzanie jest wymagane przepisami prawa (np. faktury).
• Prawo do ograniczenia przetwarzania (art. 18 RODO) — w określonych sytuacjach (np. kwestionujecie Państwo prawidłowość danych) możemy ograniczyć przetwarzanie do samego przechowywania.
• Prawo do przenoszenia danych (art. 20 RODO) — macie Państwo prawo otrzymać dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego i przesłać je innemu administratorowi.
• Prawo sprzeciwu (art. 21 RODO) — możecie Państwo wnieść sprzeciw wobec przetwarzania danych opartego na uzasadnionym interesie administratora (art. 6 ust. 1 lit. f RODO).
• Brak zautomatyzowanego podejmowania decyzji (art. 22 RODO) — żadne istotne dla Państwa decyzje nie są podejmowane wyłącznie w sposób zautomatyzowany; propozycje generowane przez AI mają charakter rekomendacji i wymagają zatwierdzenia przez uprawnionego pracownika Państwa organizacji.

Aby zrealizować swoje prawa, wystarczy wysłać wiadomość na adres contact@franklyn.io. Na żądanie odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca od jego otrzymania.

§7. Skarga do organu nadzorczego

Mają Państwo prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli uznają Państwo, że przetwarzanie danych narusza przepisy RODO:

§8. Pliki cookie

Wykorzystujemy wyłącznie pliki cookie techniczne, niezbędne do działania usługi: sesyjne cookie uwierzytelniające (utrzymanie sesji zalogowanego użytkownika) oraz cookie konfiguracyjne (preferencja języka, motyw). Nie stosujemy plików cookie śledzących, narzędzi analitycznych (Google Analytics, Mixpanel itp.) ani skryptów reklamowych firm trzecich.

§9. Zmiany Polityki Prywatności

Niniejszą Politykę Prywatności aktualizujemy przy istotnych zmianach w sposobie przetwarzania danych, dodaniu nowych podprocesorów lub zmianach w obowiązujących przepisach. O istotnych zmianach informujemy użytkowników drogą mailową lub poprzez komunikat w aplikacji co najmniej 30 dni przed wejściem zmian w życie. Data ostatniej aktualizacji: 15 maja 2026 r.