Polityka prywatności

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z serwisu leadhook.pl, aplikacji Leadhook oraz rozszerzenia Chrome „Leadhook” (dalej łącznie: „Usługa”) jest:

Upcode
ul. Sporna 9, 95-015 Głowno
NIP: 8341813553, REGON: 100493608
e-mail: [email protected], tel.: +48 698 685 890

przedsiębiorca wpisany do Centralna Ewidencja i Informacja o Działalności Gospodarczej (CEIDG) (dalej: „Administrator”, „my”).

Nie wyznaczyliśmy inspektora ochrony danych. We wszystkich sprawach dotyczących danych osobowych napisz na [email protected] albo na adres pocztowy podany powyżej.

W Usłudze występujemy w dwóch rolach:

1. jako administrator danych naszych klientów i ich zespołów (konto, przestrzeń robocza, rozliczenia, korespondencja, dane techniczne);
2. jako podmiot przetwarzający dane zawarte w postach, które Usługa wyszukuje i ocenia na zlecenie klienta w źródłach wybranych przez klienta. Administratorem tych danych jest klient (firma korzystająca z Leadhook), a zasady powierzenia określa § 8 Regulaminu. Informacje dla autorów postów znajdziesz w § 4.

Pojęcia pisane wielką literą (np. Klient, Użytkownik, Przestrzeń robocza, Źródło, Okazja) mają znaczenie nadane im w Regulaminie.

1. Dane konta

• adres e-mail (służy do logowania i kontaktu; potwierdzasz go linkiem wysłanym na skrzynkę);
• hasło, przechowywane wyłącznie jako kryptograficzny skrót z solą (nie znamy Twojego hasła);
• przy logowaniu przez Google: adres e-mail, imię i nazwisko oraz identyfikator konta Google, które przekazuje nam Google (zakres „profile” i „email”); nie otrzymujemy hasła do konta Google;
• przynależność do Przestrzeni roboczych, rola (właściciel lub członek) i data dołączenia;
• zaproszenia do zespołu: adres e-mail zaproszonej osoby, rola, kto zaprosił, termin ważności zaproszenia (7 dni) i data jego przyjęcia.

2. Dane Przestrzeni roboczej

• nazwa firmy, Plan i termin Okresu próbnego;
• produkty: adres strony, tekst pobrany z publicznych podstron produktu, profil produktu przygotowany przez AI, słowa kluczowe, preferowany ton i podpis odpowiedzi;
• Źródła: nazwy i adresy grup, subredditów, tagów, forów i kanałów RSS, także proponowanych przez Usługę;
• kanały powiadomień: adresy e-mail odbiorców, adres webhooka i jego sekret (przechowywany w postaci zaszyfrowanej), częstotliwość i próg powiadomień, historia doręczeń;
• połączenie ze Slackiem (jeśli je dodasz): nazwa i identyfikator przestrzeni Slack, identyfikator bota, token bota (zaszyfrowany), kto i kiedy połączył;
• tokeny rozszerzenia Chrome: nazwa, data utworzenia i ostatniego użycia; sam token przechowujemy wyłącznie jako skrót.

3. Dane z postów w Źródłach wybranych przez Klienta

Na zlecenie Klienta Usługa zbiera i ocenia posty z następujących miejsc:

• grupy na Facebooku wskazane przez Klienta oraz wyniki wyszukiwania postów na Facebooku dla fraz związanych z jego produktami. Posty odczytuje rozszerzenie Chrome w przeglądarce Użytkownika, wyłącznie w zakresie, w jakim są dla niego widoczne;
• Reddit (przez oficjalne API Reddit), Wykop i fora internetowe (przez publiczne kanały RSS);
• publiczne wyniki wyszukiwarki internetowej (adresy, tytuły i fragmenty wątków na forach i w grupach).

Przechowujemy: platformę, identyfikator posta, imię i nazwisko lub pseudonim autora w postaci, w jakiej są widoczne przy poście, tytuł, treść, link, datę publikacji i rozpoznany język. Do posta dopisujemy wynik oceny AI: stopień dopasowania, uzasadnienie, cytaty z posta wskazujące potrzebę zakupową, projekt odpowiedzi oraz status nadany przez zespół Klienta.

Nie zbieramy wiadomości prywatnych, list znajomych, zdjęć ani danych z profili autorów. Leadhook nie kontaktuje się z autorami postów i niczego nie publikuje w imieniu Użytkownika.

4. Dane rozszerzenia Chrome

• lokalnie w przeglądarce (chrome.storage): token połączenia z Przestrzenią roboczą, jej nazwa, stan skanowania (kolejka zadań, czas ostatniego skanu, stan wyszukiwań i grup, kliknięte propozycje dołączenia do grup), liczba i lista ostatnich Okazji oraz ustawienie powiadomień;
• wysyłane do Leadhook (przez HTTPS, z tokenem Przestrzeni roboczej): posty odczytane z grup i wyników wyszukiwania opisanych w pkt 3, nazwy i liczba członków grup proponowanych do dołączenia, informacja, czy Użytkownik należy do danej grupy, oraz sygnał, że rozszerzenie działa.

Rozszerzenie działa wyłącznie na stronach www.facebook.com oraz w aplikacji Leadhook. Nie czyta wiadomości, nie publikuje postów ani komentarzy i nie dołącza do grup za Użytkownika.

5. Dane techniczne i rejestr zużycia AI

• logi serwera: adres IP, data i godzina, adres żądania, kod odpowiedzi i informacja o przeglądarce (user agent);
• liczniki prób logowania i zakładania konta (adres IP, adres e-mail), przechowywane przez kilka minut w celu ochrony przed nadużyciami;
• rejestr wywołań modeli AI: Przestrzeń robocza, model, cel wywołania, liczba tokenów i koszt. Rejestr nie zawiera treści zapytań ani odpowiedzi.

6. Korespondencja i płatności

• treść wiadomości, które do nas wysyłasz, oraz dane potrzebne do odpowiedzi (adres e-mail, telefon);
• przy płatnych Planach: dane rozliczeniowe Klienta (nazwa firmy, NIP, adres), Plan i historia płatności. Danych karty płatniczej nie widzimy, obsługuje je Stripe.

Wstępny wybór postów (porównanie treści ze słowami kluczowymi i frazami Produktu) odbywa się na naszym serwerze, bez udziału zewnętrznych dostawców.

Podanie adresu e-mail i hasła (albo zalogowanie przez Google) jest dobrowolne, ale niezbędne do założenia konta. Nie wysyłamy newsletterów ani reklam. Wiadomości transakcyjne nie są informacją handlową.

Ocena postów przez AI służy wyłącznie wskazaniu Klientowi, które posty mogą dotyczyć jego produktu. Nie podejmujemy wobec nikogo decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na kogoś wpływały (art. 22 RODO). O tym, czy i jak odpowiedzieć na post, decyduje zawsze człowiek.

Jeśli opublikowałeś post w grupie, na forum, na Reddicie lub Wykopie, Twój post mógł zostać zebrany przez Usługę na zlecenie jednego z naszych Klientów. Poniżej wyjaśniamy, co to oznacza.

1. Administrator. Administratorem Twoich danych jest Klient, który dodał Źródło, w którym opublikowałeś post. Przetwarzamy je w jego imieniu, na podstawie umowy powierzenia (§ 8 Regulaminu).
2. Zakres danych. Imię i nazwisko lub pseudonim w postaci widocznej przy poście, treść i tytuł posta, link, data publikacji, platforma.
3. Źródło danych. Grupy na Facebooku, Reddit, Wykop, fora internetowe i publiczne wyniki wyszukiwarek, w zakresie widocznym dla Użytkownika Klienta.
4. Cel i podstawa. Wskazanie Klientowi postów, w których ktoś szuka produktu lub usługi takiej jak jego, aby mógł odpowiedzieć pod postem. Podstawą jest prawnie uzasadniony interes Klienta (art. 6 ust. 1 lit. f RODO), polegający na odpowiadaniu na publicznie zgłoszoną potrzebę i promocji własnych produktów.
5. Co się nie dzieje. Leadhook nie wysyła do Ciebie wiadomości i niczego nie publikuje. Ewentualną odpowiedź pod Twoim postem publikuje ręcznie pracownik Klienta, ze swojego konta, zgodnie z zasadami danej platformy.
6. Odbiorcy. Zespół Klienta oraz nasi dalsi podmioci przetwarzający wymienieni w § 5 (m.in. dostawca modelu AI, któremu przekazujemy treść posta bez nazwy autora).
7. Okres przechowywania. Do czasu usunięcia Przestrzeni roboczej Klienta albo wcześniejszego usunięcia posta na Twoje żądanie lub żądanie Klienta.
8. Twoje prawa. Możesz wnieść sprzeciw wobec przetwarzania (art. 21 RODO), żądać dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz wnieść skargę do Prezesa UODO. Napisz do Klienta albo do nas na [email protected] i podaj link do posta. Przekażemy żądanie Klientowi i, zgodnie z jego poleceniem z umowy powierzenia, usuniemy wskazany post z Usługi.

Ze względu na to, że Usługa nie zbiera danych kontaktowych autorów, indywidualne powiadomienie każdej osoby wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Dlatego informację tę udostępniamy publicznie.

Nie sprzedajemy danych osobowych i nie udostępniamy ich w celach reklamowych. Dostęp do danych Przestrzeni roboczej mają wyłącznie jej członkowie. Korzystamy z następujących dostawców, którzy przetwarzają dane w naszym imieniu lub, w przypadku Google i adresów webhook, jako odrębni odbiorcy:

Dane mogą też otrzymać podmioty świadczące nam usługi księgowe i prawne oraz organy publiczne, gdy obowiązek ich przekazania wynika z przepisów prawa.

Przekazywanie poza EOG. Dostawca modelu AI przetwarza dane w Chinach, dla których Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni stopień ochrony. Przekazanie odbywa się na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO); kopię zabezpieczeń możesz otrzymać, pisząc na [email protected]. Ograniczamy zakres przekazywanych danych do treści niezbędnych do oceny (bez nazw autorów i danych kont). Slack, Google i Stripe mogą przetwarzać dane w Stanach Zjednoczonych na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych.

Nie korzystamy z narzędzi analitycznych, reklamowych ani z zewnętrznego monitoringu błędów. Jeśli to zmienimy, uzupełnimy tę listę przed ich włączeniem.

• konto i dane Przestrzeni roboczej: do czasu usunięcia konta lub Przestrzeni roboczej. Usunięcie możesz zlecić, pisząc na [email protected] z adresu przypisanego do konta; wykonujemy je w ciągu 30 dni;
• posty, Okazje i projekty odpowiedzi: przez czas istnienia Przestrzeni roboczej Klienta; po jej usunięciu lub rozwiązaniu umowy usuwamy je w ciągu 30 dni;
• kopie zapasowe: usunięte dane znikają z kopii zapasowych w ramach ich cyklu nadpisywania, nie później niż w ciągu 30 dni od usunięcia z bazy;
• zaproszenia: ważne 7 dni; zapis zaproszenia przechowujemy do usunięcia Przestrzeni roboczej;
• logi serwera i rejestr zużycia AI: do 12 miesięcy;
• wyniki wyszukiwarki internetowej: wykorzystujemy ponownie przez 7 dni, potem pobieramy je na nowo;
• liczniki prób logowania: kilka minut;
• korespondencja: przez czas potrzebny do obsługi sprawy, a następnie do upływu terminu przedawnienia roszczeń;
• dane rozliczeniowe (przy płatnych Planach): 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku;
• dane w rozszerzeniu Chrome: do kliknięcia „Rozłącz” (rozszerzenie usuwa wtedy token, stan skanowania i ostatnie Okazje, a token jest unieważniany na serwerze) albo do odinstalowania rozszerzenia (przeglądarka usuwa wtedy wszystkie dane lokalne).

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO);
• sprostowania danych (art. 16);
• usunięcia danych (art. 17);
• ograniczenia przetwarzania (art. 18);
• przenoszenia danych przetwarzanych na podstawie umowy (art. 20);
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeśli uważasz, że przetwarzamy dane niezgodnie z prawem.

Żądania wysyłaj na [email protected]. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Możemy poprosić o potwierdzenie tożsamości, np. wiadomością z adresu przypisanego do konta.

Jeśli jesteś członkiem zespołu Klienta albo autorem posta zebranego na zlecenie Klienta, w sprawach danych z postów możesz zwrócić się bezpośrednio do Klienta, który jest ich administratorem. Pomożemy mu wykonać Twoje żądanie.

• połączenia z Usługą i rozszerzeniem są szyfrowane (HTTPS/TLS), a ciasteczka sesji mają atrybuty Secure i HttpOnly;
• hasła przechowujemy jako skróty z solą; tokeny rozszerzenia i zaproszeń wyłącznie jako skróty;
• tokeny Slacka i sekrety webhooków są zaszyfrowane kluczem przechowywanym poza bazą danych;
• powiadomienia webhook są podpisywane (HMAC-SHA256), aby odbiorca mógł sprawdzić, że pochodzą od nas;
• dane każdej Przestrzeni roboczej są od siebie oddzielone, a dostęp mają tylko jej członkowie;
• liczba prób logowania, zakładania konta i resetu hasła jest ograniczona;
• dostęp administracyjny do serwerów i panelu ma wyłącznie Administrator.

Używamy wyłącznie ciasteczek niezbędnych do działania Usługi: sesji logowania (sessionid), ochrony przed atakami CSRF (csrftoken) oraz zapamiętania wybranej Przestrzeni roboczej (lh_workspace). Nie używamy ciasteczek analitycznych ani reklamowych, dlatego nie prosimy o zgodę na cookies.

Szczegóły, w tym okresy ważności i dane zapisywane w pamięci przeglądarki, opisuje Polityka cookies.

Politykę aktualizujemy, gdy zmienia się sposób przetwarzania danych, np. lista dostawców. O istotnych zmianach informujemy e-mailem lub w Usłudze przed ich wejściem w życie. Aktualna wersja i data obowiązywania są podane na górze strony.

Kontakt w sprawach prywatności: [email protected], tel. +48 698 685 890.