Polityka prywatności

Operatorem usługi Mention Reminder jest Webalize sp. z o.o. z siedzibą w Warszawie (Plac Bankowy 2, 00-095 Warszawa), wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000822439, NIP PL5252811769, REGON 385278470, kapitał zakładowy 5 000 zł („Mention Reminder”, „my”). Świadczymy bota i powiązane usługi, które pomagają zespołom śledzić i domykać nieodpowiedziane wzmianki na platformach czatu - obecnie na Discordzie i Slacku.

W sprawach ochrony danych pisz na privacy@mentionreminder.com.

W odniesieniu do treści z serwerów Discord i przestrzeni Slack (wzmianki, fragmenty wiadomości, przypomnienia) działamy zwykle jako podmiot przetwarzający w imieniu Twojej organizacji - to administrator workspace decyduje, po co i jak używa Mention Reminder. Za poinformowanie członków zespołu i posiadanie odpowiedniej podstawy prawnej odpowiada wtedy Twoja organizacja.

W odniesieniu do relacji z klientem - konta w panelu, dane rozliczeniowe, zgłoszenia z formularzy, analityka strony - jesteśmy administratorem.

Warunki powierzenia przetwarzania (DPA) wymagane przez art. 28 RODO stanowią integralną część Regulaminu (pkt 7) i nie wymagają odrębnego dokumentu ani podpisu. Zgodnie z art. 28 ust. 9 RODO umowa powierzenia może być zawarta w formie elektronicznej, więc akceptacja Regulaminu przy instalacji bota jest jej zawarciem. Jeśli Twoja organizacja potrzebuje tych postanowień w osobnym pliku do dokumentacji, wyślemy je na życzenie - napisz na privacy@mentionreminder.com.

Dane konta i konfiguracji: identyfikatory serwerów Discord i przestrzeni Slack, nazwa organizacji, godziny przypomnień i strefa czasowa, wskazanie serwera głównego oraz flaga „objęcia” (seat) dla poszczególnych użytkowników.

Dane wzmianek: identyfikatory użytkowników, kanałów i wiadomości, adresy URL wiadomości, identyfikator autora, znaczniki czasu oraz krótki fragment (excerpt) wiadomości niezbędny do wyświetlenia listy „do odpowiedzi”. Do samego przypomnienia nie przechowujemy pełnej treści każdej wiadomości.

Automatyczne usuwanie danych uwierzytelniających: zanim fragment wiadomości zostanie zapisany, tekst wyglądający na klucz API, token, hasło lub klucz prywatny jest automatycznie zastępowany symbolem zastępczym. Takie dane nie trafiają do naszej bazy ani do dostawcy modelu AI. Wykrywanie jest heurystyczne, więc nie gwarantujemy wychwycenia każdego przypadku - nie zastępuje ono ostrożności przy dzieleniu się sekretami na czacie.

Tokeny instalacji: przy instalacji przez OAuth (Slack) przechowujemy token autoryzacyjny aplikacji, aby bot mógł działać w Twojej przestrzeni.

Powiązanie tożsamości: gdy do jednego konta podpięta jest więcej niż jedna przestrzeń Slack, ta sama osoba ma w każdej z nich inny identyfikator. Aby rozpoznać, że chodzi o tę samą osobę, zapisujemy adres e-mail z jej profilu Slack wyłącznie jako klucz dopasowania między tymi identyfikatorami. Gdy adres jest ukryty przez administratora przestrzeni, dopasowanie nie następuje. Tożsamości nigdy nie łączymy między platformami.

Dane logowania do panelu: przy logowaniu przez OAuth odczytujemy Twój identyfikator na danej platformie oraz listę serwerów lub przestrzeni, w których jesteś administratorem - wyłącznie po to, by sprawdzić, czy masz prawo wejść do panelu danego konta. Listy tej nie przechowujemy.

Dane rozliczeniowe: nazwa firmy, adres, numer NIP/VAT, e-mail do faktur oraz identyfikatory subskrypcji i statusu płatności. Dane karty płatniczej przetwarza wyłącznie Stripe - nie widzimy ani nie przechowujemy pełnego numeru karty.

Zgłoszenia z formularzy: dane podane w formularzu kontaktowym (imię, nazwisko, e-mail, firma, treść), zapisach na listę oczekujących (e-mail, wybrane platformy) oraz w formularzu opinii dostępnym z poziomu bota (kategoria, treść, identyfikator osoby zgłaszającej i platforma).

Dane techniczne: adres IP, typ przeglądarki i urządzenia, raporty błędów oraz zdarzenia potrzebne do bezpieczeństwa i diagnostyki. Do logowania w panelu używamy wyłącznie niezbędnych, podpisanych ciasteczek - ich listę znajdziesz w pkt 7.

Świadczenie usługi (art. 6 ust. 1 lit. b RODO): wykrywanie wzmianek, utrzymywanie prywatnych przypomnień, ich wysyłka w ustalonym rytmie, logowanie do panelu oraz obsługa subskrypcji.

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): bezpieczeństwo, zapobieganie nadużyciom, diagnostyka, zbiorcza analityka strony w sposób respektujący prywatność oraz rozwój produktu.

Obowiązek prawny (art. 6 ust. 1 lit. c RODO): przechowywanie faktur i dokumentacji podatkowej.

Zgoda (art. 6 ust. 1 lit. a RODO): tam, gdzie jej wymagamy, np. opcjonalny marketing e-mail. Zgodę możesz wycofać w każdej chwili.

Klasyfikacja AI jest opcjonalna. Gdy jest włączona, krótkie fragmenty wiadomości mogą być przekazywane dostawcy modelu (obecnie OpenAI) wyłącznie po to, by ocenić, czy wzmianka wymaga reakcji lub czy odpowiedź zamyka sprawę. Fragmenty nie służą trenowaniu modeli dostawcy.

Kontekstem oceny jest sama wzmianka oraz kilka poprzedzających ją wiadomości z tego samego kanału - bez tego nie da się stwierdzić, czy ktoś już odpowiedział. Zanim cokolwiek trafi do dostawcy modelu, zarówno do wiadomości, jak i do tego kontekstu stosujemy opisane wyżej automatyczne usuwanie danych uwierzytelniających - wykryte klucze, tokeny i hasła są wcześniej wycinane.

AI można wyłączyć - wtedy Mention Reminder działa na prostych regułach. We wdrożeniach Enterprise (self-host) możliwe są modele lokalne, dzięki czemu treść nie opuszcza infrastruktury klienta.

W naszym imieniu, jako podmioty przetwarzające, działają: Hetzner (infrastruktura serwerowa w Niemczech), Vercel (hosting strony i panelu oraz analityka), OpenAI (opcjonalna klasyfikacja AI) oraz inFakt (wystawianie faktur VAT i przekazywanie ich do Krajowego Systemu e-Faktur). Powierzenie następuje na podstawie warunków przetwarzania danych stanowiących część umów zawartych z tymi dostawcami.

Stripe obsługuje płatności. W zakresie danych rozliczeniowych przetwarzanych na nasze zlecenie działa jako podmiot przetwarzający, a jednocześnie - w zakresie przeciwdziałania oszustwom, obowiązków płatniczych i regulacyjnych - jako niezależny administrator na podstawie własnej polityki prywatności.

Discord i Slack nie są naszymi podmiotami przetwarzającymi: to niezależni administratorzy własnych platform, a my odbieramy z nich dane przez API w zakresie uprawnień nadanych przez administratora Twojego serwera lub przestrzeni roboczej. Ich przetwarzanie Waszych rozmów - także wtedy, gdy nie korzystacie z Mention Reminder - podlega ich własnym politykom prywatności i umowom, które zawarliście bezpośrednio z nimi.

Poza tym dane mogą trafić do doradców (księgowość, obsługa prawna) oraz organów publicznych, gdy wymaga tego prawo - w szczególności faktury trafiają do Krajowego Systemu e-Faktur prowadzonego przez Ministerstwo Finansów. Nie sprzedajemy danych i nie udostępniamy ich do celów reklamowych. O zmianie lub dodaniu podprocesora informujemy z wyprzedzeniem, a aktualną listę wysyłamy na żądanie pod privacy@mentionreminder.com.

Używamy wyłącznie ciasteczek niezbędnych do działania panelu i żadne z nich nie służy śledzeniu ani reklamie: mention_reminder_session (podpisane ciasteczko sesyjne utrzymujące zalogowanie), mention_reminder_signed_in (informacja dla interfejsu, że sesja istnieje) oraz ciasteczka techniczne o krótkim czasie życia, obsługujące bezpieczne przeprowadzenie logowania i instalacji (w tym zapamiętanie języka, w którym instalacja została rozpoczęta). Te ostatnie wygasają wraz z zakończeniem danej operacji lub sesji.

Do analityki strony korzystamy z Vercel Analytics, które działa bez plików cookie i bez profilowania - zbiera zbiorcze, zanonimizowane statystyki odwiedzin (np. liczba wyświetleń, kraj, typ urządzenia) i nie identyfikuje pojedynczych osób. Z tego powodu nie wyświetlamy bannera zgody na cookie. Jeśli w przyszłości dodamy narzędzia wymagające zgody, poprosimy o nią przed uruchomieniem.

Baza danych aplikacji i proces bota działają na serwerach w Niemczech, czyli na terenie Europejskiego Obszaru Gospodarczego. Faktury wystawia polski dostawca.

Niektórzy dostawcy (Stripe, OpenAI, Vercel) mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, w tym w USA. W takich przypadkach opieramy transfer na odpowiednich zabezpieczeniach - standardowych klauzulach umownych Komisji Europejskiej lub uczestnictwie w ramach Data Privacy Framework, tam gdzie ma zastosowanie.

Dane wzmianek i konfiguracji przechowujemy tak długo, jak Twoja przestrzeń korzysta z Mention Reminder. Odłączenie pojedynczego serwera lub przestrzeni usuwa od razu jego dane wzmianek.

Gdy bot zostanie usunięty z ostatniego połączonego serwera lub przestrzeni, konto przechodzi w tryb „uśpienia”: dane są zachowane przez okres karencji (obecnie 12 miesięcy), aby przypadkowe usunięcie bota dało się cofnąć, po czym są trwale usuwane. Ponowne dodanie bota w tym czasie przywraca konto.

Zamknięcie konta w panelu (sekcja „strefa niebezpieczna” na stronie firmy) działa inaczej i nie ma okresu karencji: usuwamy wtedy natychmiast i nieodwracalnie połączenia, ustawienia, miejsca (seaty), wzmianki, tożsamości i tokeny instalacji, a subskrypcję anulujemy ze skutkiem natychmiastowym. Tej operacji nie da się cofnąć.

Zamknięcie konta nie usuwa dokumentów księgowych: wystawione faktury VAT i powiązane z nimi dane rozliczeniowe przechowujemy przez okres wymagany przepisami podatkowymi, ponieważ mamy taki obowiązek prawny i nie możemy z niego zrezygnować. Zachowujemy również treść przesłanych opinii o produkcie. Zgłoszenia z formularza kontaktowego i listy oczekujących przechowujemy do czasu obsłużenia sprawy i przez rozsądny okres późniejszy. Możesz w każdej chwili poprosić o wcześniejsze usunięcie danych, których dotyczą Twoje prawa.

Stosujemy adekwatne środki techniczne i organizacyjne - szyfrowanie w tranzycie, ograniczony dostęp do danych, podpisywane sesje i rozdział sekretów. Żadna metoda transmisji ani przechowywania nie jest w 100% bezpieczna, ale traktujemy ochronę danych priorytetowo i reagujemy na incydenty zgodnie z obowiązującym prawem.

W zależności od miejsca zamieszkania możesz mieć prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia lub przenoszenia, a także sprzeciwu wobec części przetwarzania i wycofania zgody. Przysługuje Ci również prawo skargi do organu nadzorczego (w Polsce: Prezes UODO).

Aby skorzystać z praw, napisz na privacy@mentionreminder.com. Gdy działamy jako podmiot przetwarzający w imieniu Twojej organizacji, możemy przekierować żądanie do administratora workspace. Możemy poprosić o weryfikację tożsamości lub uprawnień administratora.

Mention Reminder jest narzędziem dla zespołów i nie jest kierowane do dzieci. Korzystanie wymaga spełnienia minimalnego wieku określonego w regulaminach Discorda i Slacka oraz prawie właściwym. Nie zbieramy świadomie danych osób poniżej tego wieku.

Możemy aktualizować politykę wraz ze zmianami produktu lub obowiązków prawnych. Nowa wersja pojawi się na tej stronie wraz z datą „Ostatnia aktualizacja”. O istotnych zmianach dla administratorów workspace możemy dodatkowo poinformować e-mailem lub w produkcie.

Pytania dotyczące prywatności: privacy@mentionreminder.com.