§ 1. Administrator danych

Administratorem danych osobowych jest Getyourbrand Arkadiusz Czyżowski, z adresem ul. Dębowa 7, 34-115 Ryczów, NIP 5512670143.

W sprawach dotyczących danych osobowych napisz na kontakt@ancoro.pl — odpowiadamy na każdą wiadomość.

Polityka opisuje przetwarzanie danych w serwisie Ancoro zgodnie z rozporządzeniem RODO (UE 2016/679).

§ 2. Jakie dane zbieramy

• Dane konta: imię, adres e-mail i hasło (przechowywane wyłącznie w postaci skrótu, nigdy jawnie).
• Przy logowaniu przez Google: imię (a gdy Google go nie poda - nazwa wyświetlana konta), adres e-mail i identyfikator Twojego konta Google, które Google przekazuje nam po Twojej zgodzie. Nie zapisujemy nazwiska ani zdjęcia profilowego, nie dostajemy Twojego hasła do Google i nie przechowujemy tokenów dostępu do Twojego konta Google. Google działa tu jako samodzielny administrator danych Twojego konta Google, na zasadach własnej polityki prywatności.
• Dane projektu: adres analizowanej witryny, jej struktura, adresy podstron i treść pobrana z publicznie dostępnych stron.
• Dane z Google Search Console: liczby wyświetleń, kliknięć i pozycji dla Twojej witryny — po tym, jak sam nadasz nam dostęp.
• Dane z formularza kontaktowego: imię, adres e-mail, opcjonalnie adres strony oraz treść wiadomości.
• Dane techniczne: adres IP sprawdzany przy wysyłce formularza kontaktowego (limit wiadomości z jednego adresu, bez zapisywania w bazie ani w treści wiadomości), adres IP i opis przeglądarki zapisywane przy logowaniu (lista zalogowanych urządzeń i ochrona konta) oraz logi serwera.
• Ochrona przed botami: po otwarciu stron logowania, rejestracji, przypomnienia hasła i kontaktu Twoja przeglądarka łączy się z usługą Cloudflare Turnstile, która na podstawie adresu IP, nagłówka User-Agent i technicznych cech przeglądarki ocenia, czy formularz wysyła człowiek, czy bot. Od Cloudflare dostajemy tylko wynik tej oceny i go nie zapisujemy.
• Data i sposób ostatniego logowania (hasłem albo przez Google) - do ochrony konta i obsługi zgłoszeń.
• Dane zamówień i płatności: wybrany plan i okres rozliczeniowy, kwota, chwila złożenia zamówienia i wersja zaakceptowanego regulaminu, identyfikatory klienta i subskrypcji w Stripe, stan subskrypcji oraz numery, kwoty i okresy faktur z linkami do nich. Danych karty płatniczej nie otrzymujemy ani nie przechowujemy - podajesz je bezpośrednio operatorowi płatności Stripe, podobnie jak adres rozliczeniowy i (dobrowolnie) NIP, które trafiają na fakturę.

§ 3. Po co przetwarzamy dane i na jakiej podstawie

• Świadczenie usługi — prowadzenie konta, analiza witryny, generowanie zaleceń i raportów. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO).
• Obsługa zgłoszeń z formularza i korespondencji. Podstawa: prawnie uzasadniony interes polegający na udzieleniu odpowiedzi (art. 6 ust. 1 lit. f RODO).
• Powiadomienia e-mail o stanie witryny, np. o wypadnięciu strony z indeksu Google. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO).
• Bezpieczeństwo Serwisu, w tym ograniczanie nadużyć formularzy oraz ochrona logowania, rejestracji i przypomnienia hasła przed botami (Cloudflare Turnstile). Podstawa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
• Obsługa konta przez administratora Serwisu: np. zawieszenie konta przy nadużyciu, ręczne potwierdzenie adresu albo wylogowanie ze wszystkich urządzeń na Twoją prośbę. Każde takie działanie zapisujemy w dzienniku (kto, kiedy, co i dlaczego). Podstawa: prawnie uzasadniony interes - bezpieczeństwo kont i rozliczalność (art. 6 ust. 1 lit. f RODO).
• Sprzedaż planów: przyjęcie zamówienia, pobieranie opłat, odnawianie i anulowanie subskrypcji, wystawianie faktur i obsługa zwrotów. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO).
• Obowiązki księgowe i podatkowe, w tym przechowywanie faktur. Podstawa: obowiązek prawny (art. 6 ust. 1 lit. c RODO).
• Udokumentowanie zawarcia umowy i obrona przed roszczeniami - zapis chwili złożenia zamówienia i wersji zaakceptowanego regulaminu. Podstawa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

§ 4. Czego nie robimy

• Nie sprzedajemy ani nie wynajmujemy danych osobowych nikomu.
• Nie profilujemy użytkowników w sposób wywołujący wobec nich skutki prawne i nie podejmujemy decyzji wyłącznie automatycznie.
• Nie używamy plików cookie do śledzenia reklamowego ani nie osadzamy w Serwisie zewnętrznych skryptów analitycznych i reklamowych.
• Nie wykorzystujemy treści Twojej witryny do trenowania własnych modeli sztucznej inteligencji.

§ 5. Pliki cookie i pamięć przeglądarki

Serwis używa wyłącznie plików cookie niezbędnych do działania: utrzymania zalogowanej sesji i bezpieczeństwa formularzy. Nie wymagają one zgody, bo bez nich usługa nie mogłaby działać.

Dodatkowo w pamięci lokalnej przeglądarki (localStorage) zapisujemy wybór motywu jasny/ciemny. To ustawienie nie opuszcza Twojego urządzenia i nie trafia na nasze serwery.

Na stronach logowania, rejestracji, przypomnienia hasła i kontaktu ładujemy skrypt Cloudflare Turnstile. Może on odczytać lub zapisać w przeglądarce dane techniczne potrzebne wyłącznie do odróżnienia człowieka od bota. To zabezpieczenie usługi, o którą sam prosisz, więc nie wymaga zgody; nie służy do śledzenia ani reklamy.

§ 6. Komu powierzamy dane

Dane powierzamy wyłącznie podmiotom, które są nam potrzebne do świadczenia usługi, na podstawie umów powierzenia przetwarzania:

• Hostinger — hosting aplikacji, bazy danych i poczty wychodzącej (Unia Europejska).
• Google Ireland Limited — Google Search Console, jako źródło danych o ruchu Twojej witryny; dostęp nadajesz sam i możesz go w każdej chwili odebrać.
• DataForSEO OÜ (Estonia) — pobieranie wyników wyszukiwania na potrzeby pomiaru pozycji i odpowiedzi AI w Google; przekazujemy mierzone frazy i adres Twojej domeny, bez danych osobowych użytkowników.
• Serper (serper.dev) — ten sam pomiar pozycji, gdy korzystamy z dostawcy zapasowego; zakres przekazywanych danych jest identyczny.
• Cloudflare, Inc. (USA) - ochrona formularzy przed botami (Cloudflare Turnstile); przekazujemy adres IP i dane techniczne przeglądarki potrzebne do tej oceny. Część tych sygnałów Cloudflare wykorzystuje jako osobny administrator do ulepszania wykrywania botów - zasady opisuje Turnstile Privacy Addendum (cloudflare.com/turnstile-privacy-policy).
• Anthropic — model językowy Claude, używany do przygotowania planów działań i propozycji fraz; przekazujemy dane o witrynie i frazach, nie przekazujemy danych logowania.
• OpenAI, Perplexity i Google (Gemini) — modele, którym zadajemy pytania o Twoją branżę, żeby sprawdzić, czy wymieniają Twoją markę (moduł GEO / AI); przekazujemy treść pytania i nazwę marki.
• Stripe (Stripe Payments Europe, Limited, Irlandia, i spółki z grupy Stripe) - operator płatności: obsługuje formularz płatności, pobiera opłaty, odnawia subskrypcje i wystawia faktury w naszym imieniu. Przy zamówieniu przekazujemy Stripe adres e-mail i imię z konta oraz wybrany plan; dane karty (albo BLIK, Apple Pay, Google Pay), adres rozliczeniowy i NIP podajesz Stripe bezpośrednio. Przy obsłudze płatności Stripe działa na nasze zlecenie, a w zakresie zapobiegania oszustwom i własnych obowiązków prawnych operatora płatności - jako odrębny administrator, na zasadach polityki prywatności Stripe (stripe.com/pl/privacy).

§ 7. Przekazywanie poza Europejski Obszar Gospodarczy

Część dostawców wymienionych wyżej (Google, Anthropic, OpenAI, Perplexity, Serper, Cloudflare i Stripe - dwaj ostatni uczestniczą w programie EU-U.S. Data Privacy Framework) może przetwarzać dane poza EOG, w tym w Stanach Zjednoczonych — odbywa się to na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską albo decyzji o odpowiednim stopniu ochrony. DataForSEO OÜ ma siedzibę w Estonii, czyli w EOG, ale korzysta też z zespołu na Ukrainie; podstawą tego przekazania są standardowe klauzule umowne.

§ 8. Jak długo trzymamy dane

• Dane konta i projektów — przez czas trwania konta. Po jego usunięciu kasujemy je wraz ze wszystkimi danymi projektów.
• Dane projektu po zakończeniu subskrypcji — pozostają w trybie tylko do odczytu, dopóki sam nie usuniesz projektu lub konta.
• Korespondencja z formularza kontaktowego — do 12 miesięcy od ostatniej wiadomości w danej sprawie.
• Adres IP nadawcy formularza kontaktowego - w pamięci serwera, w limitach wiadomości i ochrony przed botami, najdłużej kilkanaście minut; nie zapisujemy go w bazie ani w treści wiadomości. Osobno, jak przy każdym wejściu na stronę, adres trafia do logów serwera.
• Logi serwera - przez okres ustalony przez dostawcę hostingu (Hostinger), wyłącznie do diagnozy awarii i bezpieczeństwa Serwisu.
• Dane zamówień (plan, kwota, chwila złożenia zamówienia i wersja regulaminu) - przez czas trwania konta; usuwamy je razem z kontem.
• Faktury i zapis płatności (numer, kwota, okres, identyfikator klienta w Stripe) - do upływu okresu przedawnienia zobowiązania podatkowego (co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku), także po usunięciu konta.
• Dane klienta u operatora płatności Stripe (e-mail, imię, adres rozliczeniowy, NIP, metoda płatności zapisana do odnowień) - przez czas trwania konta. Przy usunięciu konta anulujemy subskrypcję i usuwamy klienta w Stripe; faktury i zapisy transakcji Stripe przechowuje dalej, tak jak wymagają tego przepisy.
• Adres IP i opis przeglądarki z logowania - do wylogowania lub wygaśnięcia sesji (najdłużej 30 dni od ostatniego użycia, wygasłe usuwamy raz na dobę) albo do usunięcia konta.
• Data i sposób ostatniego logowania - przez czas trwania konta.
• Dziennik działań administratora na koncie (w tym adres e-mail konta i powód działania) - 12 miesięcy, także po usunięciu konta, żeby dało się wyjaśnić, kto i dlaczego coś zmienił.
• Dokumenty księgowe - do upływu okresu przedawnienia zobowiązania podatkowego (co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku).

§ 9. Twoje prawa

Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Aby skorzystać z któregokolwiek z tych praw, napisz na kontakt@ancoro.pl. Odpowiadamy najpóźniej w ciągu miesiąca.

Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uznasz, że przetwarzamy Twoje dane niezgodnie z prawem.

Podanie danych jest dobrowolne, ale niezbędne do założenia konta i korzystania z Serwisu.

§ 10. Bezpieczeństwo

Połączenie z Serwisem jest szyfrowane (HTTPS). Hasła przechowujemy wyłącznie jako skróty kryptograficzne, a dostęp do bazy danych i kluczy do usług zewnętrznych mają wyłącznie osoby, którym jest to niezbędne.

Dane każdego projektu są odseparowane na poziomie bazy danych, więc jeden użytkownik nie ma wglądu w dane innego.

§ 11. Zmiany polityki

Politykę możemy zmieniać, gdy zmieni się zakres usługi, lista dostawców albo przepisy. Nową wersję publikujemy w Serwisie i aktualizujemy datę na początku dokumentu.

O istotnych zmianach informujemy dodatkowo na adres e-mail przypisany do konta.