Polityka prywatności

Operatorem usługi Mention Reminder jest Webalize sp. z o.o. z siedzibą w Warszawie (Plac Bankowy 2, 00-095 Warszawa), wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000822439, NIP PL5252811769, REGON 385278470, kapitał zakładowy 5 000 zł („Mention Reminder”, „my”). Świadczymy bota i powiązane usługi, które pomagają zespołom śledzić i domykać nieodpowiedziane wzmianki na platformach czatu - obecnie na Slacku, w Microsoft Teams i na Discordzie.

W sprawach ochrony danych pisz na privacy@mentionreminder.com.

W odniesieniu do treści z przestrzeni Slack, zespołów i czatów grupowych Microsoft Teams oraz serwerów Discord (wzmianki, fragmenty wiadomości, przypomnienia) działamy zwykle jako podmiot przetwarzający w imieniu Twojej organizacji - to administrator workspace decyduje, po co i jak używa Mention Reminder. Za poinformowanie członków zespołu i posiadanie odpowiedniej podstawy prawnej odpowiada wtedy Twoja organizacja.

W odniesieniu do relacji z klientem - konta w panelu, dane rozliczeniowe, zgłoszenia z formularzy, analityka strony - jesteśmy administratorem.

Warunki powierzenia przetwarzania (DPA) wymagane przez art. 28 RODO stanowią integralną część Regulaminu (pkt 7) i nie wymagają odrębnego dokumentu ani podpisu. Zgodnie z art. 28 ust. 9 RODO umowa powierzenia może być zawarta w formie elektronicznej, więc akceptacja Regulaminu w panelu web, wymagana zanim bot zacznie cokolwiek przetwarzać, jest jej zawarciem. Jeśli Twoja organizacja potrzebuje tych postanowień w osobnym pliku do dokumentacji, wyślemy je na życzenie - napisz na privacy@mentionreminder.com.

Dane konta i konfiguracji: identyfikatory przestrzeni Slack, zespołów Microsoft Teams i serwerów Discord (w Teams także identyfikator dzierżawy Microsoft 365 Twojej organizacji oraz identyfikatory czatów grupowych podłączonych do konta), nazwa organizacji, godziny przypomnień i strefa czasowa, wskazanie serwera głównego oraz flaga „objęcia” (seat) dla poszczególnych użytkowników.

Dane wzmianek: identyfikatory użytkowników, kanałów i wiadomości, adresy URL wiadomości, identyfikator autora, znaczniki czasu oraz krótki fragment (excerpt) wiadomości niezbędny do wyświetlenia listy „do odpowiedzi”. Do samego przypomnienia nie przechowujemy pełnej treści każdej wiadomości.

Microsoft Teams: w zespołach i czatach grupowych, w których zainstalowano aplikację, odczytujemy wiadomości przez Microsoft Graph, w zakresie uprawnień nadanych dla danego zespołu lub czatu przy dodaniu aplikacji - aby ustalić, kogo dotyczy wzmianka (także członków tagu, kanału lub całego zespołu), pobrać krótki kontekst rozmowy używany przez funkcje AI oraz zauważyć reakcje na wiadomości z otwartymi przypomnieniami. W tym ostatnim celu utrzymujemy krótkotrwałe subskrypcje zmian w Graph, wyłącznie dla kanałów i czatów, w których są otwarte przypomnienia. Teams przekazuje też strefę czasową każdego użytkownika, którą zapisujemy, by przypomnienia przychodziły o właściwej godzinie lokalnej.

Automatyczne usuwanie danych uwierzytelniających: zanim fragment wiadomości zostanie zapisany, tekst wyglądający na klucz API, token, hasło lub klucz prywatny jest automatycznie zastępowany symbolem zastępczym. Takie dane nie trafiają do naszej bazy ani do dostawcy modelu AI. Wykrywanie jest heurystyczne, więc nie gwarantujemy wychwycenia każdego przypadku - nie zastępuje ono ostrożności przy dzieleniu się sekretami na czacie.

Tokeny instalacji: przy instalacji przez OAuth (Slack) przechowujemy token autoryzacyjny aplikacji, aby bot mógł działać w Twojej przestrzeni. W Microsoft Teams nie przechowujemy żadnego tokenu instalacji: bot loguje się własnymi danymi uwierzytelniającymi i działa wyłącznie w zakresie uprawnień nadanych przy dodaniu go do zespołu lub czatu.

Powiązanie tożsamości: gdy do jednego konta podpięta jest więcej niż jedna przestrzeń Slack, ta sama osoba ma w każdej z nich inny identyfikator. Aby rozpoznać, że chodzi o tę samą osobę, zapisujemy adres e-mail z jej profilu Slack wyłącznie jako klucz dopasowania między tymi identyfikatorami. Gdy adres jest ukryty przez administratora przestrzeni, dopasowanie nie następuje. W Microsoft Teams ta sama osoba ma jeden identyfikator we wszystkich zespołach swojej organizacji, więc adres e-mail nie jest do tego potrzebny. Tożsamości między platformami nigdy nie łączymy automatycznie: administrator może ręcznie połączyć w panelu konta tej samej osoby na różnych platformach, aby miała jedną listę przypomnień i jedno miejsce.

Dane logowania do panelu: przy logowaniu przez OAuth odczytujemy Twój identyfikator na danej platformie oraz listę przestrzeni lub serwerów, w których jesteś administratorem (w Microsoft Teams: to, czy jesteś właścicielem podłączonego zespołu, sprawdzane przez Microsoft Graph) - wyłącznie po to, by sprawdzić, czy masz prawo wejść do panelu danego konta. Listy tej nie przechowujemy.

Dane rozliczeniowe: nazwa firmy, adres, numer NIP/VAT, e-mail do faktur oraz identyfikatory subskrypcji i statusu płatności. Dane karty płatniczej przetwarza wyłącznie Stripe - nie widzimy ani nie przechowujemy pełnego numeru karty.

Zgłoszenia z formularzy: dane podane w formularzu kontaktowym (imię, nazwisko, e-mail, firma, treść), zapisach na listę oczekujących (e-mail, wybrane platformy) oraz w formularzu opinii dostępnym z poziomu bota (kategoria, treść, identyfikator osoby zgłaszającej i platforma).

Dane techniczne: adres IP, typ przeglądarki i urządzenia, raporty błędów oraz zdarzenia potrzebne do bezpieczeństwa i diagnostyki. Do logowania w panelu używamy wyłącznie niezbędnych, podpisanych ciasteczek - ich listę znajdziesz w pkt 7.

Świadczenie usługi (art. 6 ust. 1 lit. b RODO): wykrywanie wzmianek, utrzymywanie prywatnych przypomnień, ich wysyłka w ustalonym rytmie, logowanie do panelu oraz obsługa subskrypcji.

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): bezpieczeństwo, zapobieganie nadużyciom, diagnostyka, zbiorcza analityka strony w sposób respektujący prywatność oraz rozwój produktu.

Obowiązek prawny (art. 6 ust. 1 lit. c RODO): przechowywanie faktur i dokumentacji podatkowej.

Zgoda (art. 6 ust. 1 lit. a RODO): tam, gdzie jej wymagamy, np. opcjonalny marketing e-mail. Zgodę możesz wycofać w każdej chwili.

Funkcje AI są dostępne w planach płatnych i można je wyłączyć. Gdy są włączone, ograniczone fragmenty wiadomości mogą być przekazywane dostawcy modelu (obecnie OpenAI) wyłącznie po to, by ocenić masową wzmiankę lub dopasować odpowiedź do otwartej wzmianki. Fragmenty nie służą trenowaniu modeli dostawcy.

Przy dopasowywaniu odpowiedzi analizujemy jej treść, treść wybranych otwartych wzmianek tej osoby i wcześniejsze wiadomości z rozmowy. Nie zapisujemy pełnej historii czatu do tego celu. Zanim cokolwiek trafi do dostawcy modelu, zarówno do tych wiadomości, jak i do kontekstu stosujemy opisane wyżej automatyczne usuwanie danych uwierzytelniających - wykryte klucze, tokeny i hasła są wcześniej wycinane.

AI można wyłączyć - wtedy Mention Reminder działa na prostych regułach. We wdrożeniach Enterprise (self-host) możliwe są modele lokalne, dzięki czemu treść nie opuszcza infrastruktury klienta.

W naszym imieniu, jako podmioty przetwarzające, działają: Hetzner (infrastruktura serwerowa w Niemczech), Vercel (hosting strony i panelu oraz analityka), OpenAI (opcjonalna klasyfikacja AI) oraz inFakt (wystawianie faktur VAT i przekazywanie ich do Krajowego Systemu e-Faktur). Powierzenie następuje na podstawie warunków przetwarzania danych stanowiących część umów zawartych z tymi dostawcami.

Stripe obsługuje płatności. W zakresie danych rozliczeniowych przetwarzanych na nasze zlecenie działa jako podmiot przetwarzający, a jednocześnie - w zakresie przeciwdziałania oszustwom, obowiązków płatniczych i regulacyjnych - jako niezależny administrator na podstawie własnej polityki prywatności.

Slack, Microsoft (Teams) i Discord nie są naszymi podmiotami przetwarzającymi: to niezależni administratorzy własnych platform, a my odbieramy z nich dane przez API w zakresie uprawnień nadanych przez administratora lub właściciela Twojej przestrzeni roboczej, zespołu lub serwera. Ich przetwarzanie Waszych rozmów - także wtedy, gdy nie korzystacie z Mention Reminder - podlega ich własnym politykom prywatności i umowom, które zawarliście bezpośrednio z nimi.

Poza tym dane mogą trafić do doradców (księgowość, obsługa prawna) oraz organów publicznych, gdy wymaga tego prawo - w szczególności faktury trafiają do Krajowego Systemu e-Faktur prowadzonego przez Ministerstwo Finansów. Nie sprzedajemy danych i nie udostępniamy ich do celów reklamowych. O zmianie lub dodaniu podprocesora informujemy z wyprzedzeniem, a aktualną listę wysyłamy na żądanie pod privacy@mentionreminder.com.

Używamy wyłącznie ciasteczek niezbędnych do działania panelu i żadne z nich nie służy śledzeniu ani reklamie: mention_reminder_session (podpisane ciasteczko sesyjne utrzymujące zalogowanie), mention_reminder_signed_in (informacja dla interfejsu, że sesja istnieje) oraz ciasteczka techniczne o krótkim czasie życia, obsługujące bezpieczne przeprowadzenie logowania i instalacji (w tym zapamiętanie języka, w którym instalacja została rozpoczęta). Te ostatnie wygasają wraz z zakończeniem danej operacji lub sesji.

Do analityki strony korzystamy z Vercel Analytics, które działa bez plików cookie i bez profilowania - zbiera zbiorcze, zanonimizowane statystyki odwiedzin (np. liczba wyświetleń, kraj, typ urządzenia) i nie identyfikuje pojedynczych osób. Z tego powodu nie wyświetlamy bannera zgody na cookie. Jeśli w przyszłości dodamy narzędzia wymagające zgody, poprosimy o nią przed uruchomieniem.

Baza danych aplikacji i proces bota działają na serwerach w Niemczech, czyli na terenie Europejskiego Obszaru Gospodarczego. Faktury wystawia polski dostawca.

Niektórzy dostawcy (Stripe, OpenAI, Vercel) mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, w tym w USA. W takich przypadkach opieramy transfer na odpowiednich zabezpieczeniach - standardowych klauzulach umownych Komisji Europejskiej lub uczestnictwie w ramach Data Privacy Framework, tam gdzie ma zastosowanie.

Dane wzmianek i konfiguracji przechowujemy tak długo, jak Twoja przestrzeń korzysta z Mention Reminder. Odłączenie pojedynczej przestrzeni, zespołu lub serwera usuwa od razu jego dane wzmianek.

Gdy bot zostanie usunięty z ostatniej połączonej przestrzeni, zespołu lub serwera, konto przechodzi w tryb „uśpienia”: dane są zachowane przez okres karencji (obecnie 12 miesięcy), aby przypadkowe usunięcie bota dało się cofnąć, po czym są trwale usuwane. Ponowne dodanie bota w tym czasie przywraca konto.

Zamknięcie konta w panelu (sekcja „strefa niebezpieczna” na stronie firmy) działa inaczej i nie ma okresu karencji: usuwamy wtedy natychmiast i nieodwracalnie połączenia, ustawienia, miejsca (seaty), wzmianki, tożsamości i tokeny instalacji, a subskrypcję anulujemy ze skutkiem natychmiastowym. Tej operacji nie da się cofnąć.

Zamknięcie konta nie usuwa dokumentów księgowych: wystawione faktury VAT i powiązane z nimi dane rozliczeniowe przechowujemy przez okres wymagany przepisami podatkowymi, ponieważ mamy taki obowiązek prawny i nie możemy z niego zrezygnować. Zachowujemy również treść przesłanych opinii o produkcie. Zgłoszenia z formularza kontaktowego i listy oczekujących przechowujemy do czasu obsłużenia sprawy i przez rozsądny okres późniejszy. Możesz w każdej chwili poprosić o wcześniejsze usunięcie danych, których dotyczą Twoje prawa.

Stosujemy adekwatne środki techniczne i organizacyjne - szyfrowanie w tranzycie, ograniczony dostęp do danych, podpisywane sesje i rozdział sekretów. Żadna metoda transmisji ani przechowywania nie jest w 100% bezpieczna, ale traktujemy ochronę danych priorytetowo i reagujemy na incydenty zgodnie z obowiązującym prawem.

W zależności od miejsca zamieszkania możesz mieć prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia lub przenoszenia, a także sprzeciwu wobec części przetwarzania i wycofania zgody. Przysługuje Ci również prawo skargi do organu nadzorczego (w Polsce: Prezes UODO).

Aby skorzystać z praw, napisz na privacy@mentionreminder.com. Gdy działamy jako podmiot przetwarzający w imieniu Twojej organizacji, możemy przekierować żądanie do administratora workspace. Możemy poprosić o weryfikację tożsamości lub uprawnień administratora.

Mention Reminder jest narzędziem dla zespołów i nie jest kierowane do dzieci. Korzystanie wymaga spełnienia minimalnego wieku określonego w regulaminach Slacka, Microsoft Teams i Discorda oraz prawie właściwym. Nie zbieramy świadomie danych osób poniżej tego wieku.

Możemy aktualizować politykę wraz ze zmianami produktu lub obowiązków prawnych. Nowa wersja pojawi się na tej stronie wraz z datą „Ostatnia aktualizacja”. O istotnych zmianach dla administratorów workspace możemy dodatkowo poinformować e-mailem lub w produkcie.

Pytania dotyczące prywatności: privacy@mentionreminder.com.