Polityka prywatności
Niniejsza Polityka prywatności wyjaśnia, w jaki sposób Marko Omelyash VARSOFIA (operator sign.yt) przetwarza dane osobowe. Działamy jako administrator danych dla danych odwiedzających i danych konta operatora oraz jako podmiot przetwarzający dla treści dokumentów i danych sygnatariuszy przesyłanych przez organizacje klientów. Przetwarzanie danych dokumentów Klienta jest dodatkowo regulowane odrębną Umową Powierzenia Przetwarzania (DPA).
1. Administrator danych
Marko Omelyash VARSOFIA, jednoosobowa działalność gospodarcza zarejestrowana w Polsce, NIP 7011036703. Kontakt we wszystkich sprawach dotyczących prywatności i ochrony danych: support@sign.yt.
2. Zakres i rola
Jesteśmy administratorem: analityki odwiedzających, danych logowania użytkowników operatora, danych rozliczeniowych i telemetrii bezpieczeństwa. Jesteśmy podmiotem przetwarzającym: treść dokumentów przesyłanych przez organizacje klientów, dane osobowe odbiorców zawarte w tych dokumentach oraz wpisy w dzienniku audytu wynikające z procesów uruchamianych przez klientów. Organizacje klientów są administratorami tych danych i przekazują nam polecenia poprzez Usługę i DPA.
3. Kategorie danych
Konto: e-mail, imię, hash hasła, tajne klucze MFA (zaszyfrowane), identyfikatory SSO. Dane dokumentów: przesłane pliki (szyfrowane w spoczynku), imiona, e-maile i numery telefonów odbiorców oraz dowody podpisu. Telemetria: adres IP, user-agent, znaczniki czasu i referrer dla bezpieczeństwa i wykrywania nadużyć. Cookies: ściśle niezbędne tokeny sesji i CSRF, preferencje języka i motywu. Domyślnie nie używamy cookies analitycznych, reklamowych ani trackingu firm trzecich.
4. Podstawa prawna (art. 6 RODO)
Wykonanie umowy — dla świadczenia Usługi, zarządzania kontem, rozliczeń. Prawnie uzasadniony interes — dla bezpieczeństwa, zapobiegania nadużyciom, administracji systemowej oraz bezpośredniej komunikacji z obecnymi klientami (z możliwością sprzeciwu). Obowiązek prawny — dla podatków, księgowości i retencji dziennika audytu. Zgoda — dla cookies nieobowiązkowych, komunikacji marketingowej do osób spoza klientów oraz opcjonalnych funkcji AI.
5. Podmioty przetwarzające
Korzystamy z podmiotów przetwarzających dla hostingu, dostarczania e-maili i SMS, obsługi płatności oraz — wyłącznie gdy Klient je włączy — opcjonalnych funkcji AI. Aktualna lista podprocesorów jest udostępniana online i okresowo aktualizowana; Klient może ją w każdej chwili sprawdzić i z uzasadnionych przyczyn zgłosić sprzeciw wobec nowego podprocesora. Każdy podprocesor jest związany odpowiednimi warunkami umownymi (aneksami DPA, warunkami biznesowymi/API) oraz zabezpieczeniami transferu opisanymi w pkt 6. Aktualna lista jest opublikowana pod adresem sign.yt/subprocessors.
6. Transfery międzynarodowe
Domyślnie dane dokumentów Klienta są przetwarzane na infrastrukturze w Europejskim Obszarze Gospodarczym. Tam, gdzie dane osobowe są przekazywane poza EOG — np. przez niektóre podmioty rozliczeniowe, e-mailowe lub AI z siedzibą w USA — opieramy się na Standardowych Klauzulach Umownych Komisji Europejskiej (Decyzja 2021/914) oraz na środkach technicznych i organizacyjnych zgodnych z wyrokiem Schrems II, w tym szyfrowaniu w transmisji i spoczynku, ścisłej kontroli dostępu i transparentności dotyczącej żądań organów państwowych otrzymywanych przez podprocesora.
7. Retencja
Dane dokumentów Klienta są przechowywane zgodnie z ustawieniem retencji wybranym przez Klienta dla jego organizacji lub — jeśli Klient nie skonfiguruje takiego ustawienia — przez domyślny okres archiwizacji wynoszący dziesięć (10) lat po ukończeniu, jako funkcja archiwizacji dowodowej Usługi (a nie jako obowiązek prawny po naszej stronie). Dane konta są przechowywane przez czas aktywności konta i do 24 miesięcy po jego zamknięciu. Logi audytu są przechowywane przez ten sam okres co powiązane dane dokumentów. Kopie zapasowe podlegają 90-dniowej rotacji. Prompty AI nie są przechowywane poza wywołaniem.
8. Twoje prawa
Z zastrzeżeniem warunków określonych w art. 15-22 RODO, masz prawo do dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania danych osobowych, a także do cofnięcia każdej zgody. Aby skorzystać z tych praw, napisz na support@sign.yt lub użyj wbudowanego procesu /rodo-request. Odpowiadamy w ciągu 30 dni. Jeśli Twoje dane osobowe zostały przesłane przez organizację klienta, przekażemy Twoje żądanie temu klientowi (administratorowi) i pomożemy mu w odpowiedzi. Możesz również złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (Prezes UODO, ul. Stawki 2, 00-193 Warszawa) lub do lokalnego organu nadzorczego.
9. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka zgodnie z art. 32 RODO: TLS w transmisji, szyfrowanie w spoczynku dla danych dokumentów oraz szyfrowanie polowe wrażliwych poświadczeń, nowoczesne hashowanie haseł, obsługę uwierzytelniania wieloskładnikowego, kontrolę dostępu opartą na rolach, niezmienny dziennik audytu z łańcuchem hashów oraz proces powiadomień o naruszeniu w 72 godziny zgodnie z art. 33. Dodatkowo polegamy na zewnętrznej ochronie perimetru (TLS, ochrona przed DDoS, WAF) świadczonej przez renomowanych dostawców.
10. Przetwarzanie AI
Funkcje AI (np. auto-detekcja pól lub przegląd umów) są opcjonalne i włączane na poziomie organizacji. Po ich włączeniu treść dokumentów jest przesyłana do dostawcy AI wybranego przez Klienta (Anthropic, OpenAI, Google lub innego obsługiwanego dostawcy) wyłącznie w celu inferencji. W zakresie, w jakim wynika to z aktualnych warunków biznesowych lub API wybranego dostawcy, treść Klienta nie jest wykorzystywana do trenowania modeli; nie możemy zagwarantować warunków każdego dostawcy zewnętrznego, więc Klient powinien zapoznać się z nimi przed włączeniem funkcji AI. Klient może w każdej chwili wyłączyć przetwarzanie AI w ustawieniach swojej organizacji.
11. Pliki cookies
Stosujemy wyłącznie cookies ściśle niezbędne — ciasteczka sesji do uwierzytelniania, token CSRF oraz preferencje języka/motywu. Domyślnie nie używamy cookies analitycznych, reklamowych ani trackingu firm trzecich. Jeśli w przyszłości wprowadzimy cookies nieobowiązkowe, poprosimy o uprzednią świadomą zgodę zgodnie z dyrektywą o e-prywatności 2002/58/WE i polskimi przepisami o komunikacji elektronicznej je wdrażającymi. Na stronach logowania, rejestracji i publicznych formularzy podpisu używamy Cloudflare Turnstile (Cloudflare, Inc.) do blokowania zautomatyzowanych nadużyć. Usługa przetwarza adres IP i techniczne sygnały przeglądarki oraz może zapisać w przeglądarce krótkotrwały token bezpieczeństwa; służy wyłącznie bezpieczeństwu (art. 6 ust. 1 lit. f RODO), nie śledzeniu ani reklamie.
12. Dzieci
Usługa nie jest skierowana do dzieci poniżej 16 roku życia. Świadomie nie zbieramy danych osobowych dzieci. Organizacje klientów gwarantują, że posiadają odpowiednią podstawę prawną, jeśli Usługa jest wykorzystywana do przetwarzania danych osób małoletnich.
13. Zmiany niniejszej polityki
Możemy okresowo zmieniać niniejszą politykę. O istotnych zmianach informujemy z co najmniej 30-dniowym wyprzedzeniem mailem oraz baner w aplikacji. Aktualna wersja i data obowiązywania znajdują się powyżej.
14. Kontakt
We wszystkich sprawach związanych z niniejszą polityką lub realizacją Twoich praw, skontaktuj się z administratorem pod adresem support@sign.yt. Umowa Powierzenia Przetwarzania (DPA) regulująca przetwarzanie danych dokumentów Klienta jest dostępna pod adresem /dpa.