1. Administrator danych
Administratorem danych osobowych jest Seowp Wojciech Władziński, ul. Nieborowska 36, 80-034 Gdańsk, NIP: 9840163453 - właściciel serwisu CitationOne dostępnego pod adresem app.citationone.com.
2. Jakie dane zbieramy
Zbieramy wyłącznie następujące dane:
- Adres email - podawany przy rejestracji/logowaniu, używany do uwierzytelnienia i identyfikacji konta
- Dane z konta Google (przy logowaniu Google OAuth) - adres email oraz identyfikator konta Google (sub). Nie pobieramy zdjęcia profilowego ani innych pól profilu
- Dane programu poleceń (jeśli uczestniczysz) - Twój unikalny kod polecający, informacja o tym, który Użytkownik polecił dane konto, oraz naliczone prowizje. W celu wypłaty prowizji możesz dobrowolnie podać dodatkowe dane (np. dane do przelewu lub faktury). Polecający widzi swoich poleconych wyłącznie w formie zmaskowanej (bez pełnego adresu e-mail)
- Dane firmowe do raportów (opcjonalne) - nazwa firmy i logo, które możesz dobrowolnie dodać w Ustawieniach w celu brandowania raportów
- Dane audytów - adresy URL, treść analizowanych stron, słowa kluczowe i opcjonalne etykiety projektów, które wprowadzasz w narzędziu
- Dane z formularza kontaktowego - adres e-mail, treść wiadomości oraz opcjonalnie imię, jeśli je podasz. Formularz działa bez logowania, więc te dane możesz przekazać także nie mając konta
Nie zbieramy nazwisk, adresów zamieszkania, numerów telefonu ani innych danych osobowych poza tymi wymienionymi powyżej. Imię zbieramy wyłącznie wtedy, gdy dobrowolnie podasz je w formularzu kontaktowym.
3. Cel przetwarzania danych
Dane przetwarzamy w celu:
- Utworzenia i utrzymania konta użytkownika
- Uwierzytelnienia - jednorazowe kody weryfikacyjne (OTP) wysyłane na email lub logowanie przez Google OAuth
- Przypisania audytów do konta użytkownika
- Komunikacji w sprawie konta (np. powiadomienia o feedbacku)
- Obsługi programu poleceń - przypisania polecenia, naliczania i wypłaty prowizji (jeśli uczestniczysz)
- Wysyłania informacji o nowych funkcjach i aktualizacjach narzędzia - wyłącznie po wyrażeniu osobnej, opcjonalnej zgody
- Udzielenia odpowiedzi na wiadomość wysłaną przez formularz kontaktowy
4. Podstawa prawna
Dane przetwarzamy na podstawie:
- Art. 6 ust. 1 lit. a RODO (zgoda) - wyrażona przy rejestracji poprzez zaakceptowanie niniejszej Polityki Prywatności - w zakresie utworzenia konta i korzystania z narzędzia
- Art. 6 ust. 1 lit. a RODO (osobna zgoda) - opcjonalna zgoda na komunikację marketingową, wyrażana osobnym checkboxem przy rejestracji lub w Ustawieniach konta. Zgodę można w każdej chwili wycofać w Ustawieniach albo klikając link „Wypisz się” w stopce każdej wiadomości marketingowej
- Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) - obsługa korespondencji: odpowiedź na wiadomość wysłaną przez formularz kontaktowy. Uzasadnionym interesem jest udzielenie odpowiedzi osobie, która sama się do nas zwróciła
- Art. 6 ust. 1 lit. a RODO (zgoda na cookies) - w zakresie cookies analitycznych i marketingowych (w tym Microsoft Clarity i Meta Pixel), wyrażana w banerze zgody wyświetlanym przy pierwszej wizycie. Cookies te nie są niezbędne do działania serwisu. Zgodę można w każdej chwili zmienić w banerze, a w przypadku Meta Pixel dodatkowo wyłączyć profilowanie reklamowe w ustawieniach konta Meta
5. Pliki cookies i analityka
Serwis wykorzystuje:
- Cookie sesyjne (httpOnly) - przechowują token JWT do utrzymania sesji logowania (7 dni)
- Cookie afiliacyjne (co_ref) (httpOnly) - zapisywane po wejściu przez link polecający; przechowuje kod polecającego przez 30 dni, aby przypisać polecenie po rejestracji. Nie zawiera danych osobowych
- Google Tag Manager (GTM) - zarządzanie tagami analitycznymi
- Google Analytics 4 (GA4) - analiza ruchu i zachowań użytkowników (anonimowe dane: strony odwiedzane, czas sesji, zdarzenia)
- Vercel Analytics - prywatna analityka ruchu (zanonimizowane dane, bez identyfikacji użytkownika)
- Microsoft Clarity - narzędzie analityki behawioralnej: nagrywanie sesji (session replay) oraz mapy cieplne kliknięć i przewijania. Zapisuje cookies (m.in. _clck, _clsk) i przekazuje do Microsoft informacje o ruchach kursora, kliknięciach, przewijaniu, odwiedzonych podstronach, rozdzielczości ekranu, typie urządzenia i przeglądarki oraz adres IP. Treść wpisywana w pola formularzy jest domyślnie maskowana i nie trafia do nagrania
- Meta Pixel (Facebook) - narzędzie marketingowe mierzące skuteczność reklam. Zapisuje cookies (m.in. _fbp) i przekazuje do Meta Platforms informacje o odwiedzonych stronach oraz o wykonaniu wybranych działań w serwisie: zalogowaniu, utworzeniu audytu i jego zakończeniu. Wraz z tymi zdarzeniami Meta otrzymuje adres IP oraz identyfikator przeglądarki, co - inaczej niż w przypadku pozostałych narzędzi analitycznych - może pozwolić na powiązanie aktywności z kontem na Facebooku lub Instagramie
GA4 może zbierać dane takie jak przybliżona lokalizacja (kraj/miasto), typ urządzenia, przeglądarka i system operacyjny. Dane te są anonimowe i nie pozwalają na bezpośrednią identyfikację użytkownika.
Cookies Microsoft Clarity nie są niezbędne do działania serwisu i uruchamiają się dopiero po wyrażeniu zgody w banerze. Nagrania sesji służą wyłącznie diagnozie problemów z użytecznością serwisu; nie łączymy ich z danymi Twojego konta. Microsoft Ireland Operations Ltd. przetwarza te dane również we własnych celach opisanych w Oświadczeniu o ochronie prywatności Microsoft, a dane mogą być przekazywane do USA na podstawie EU-U.S. Data Privacy Framework. Zgodę można w każdej chwili wycofać w banerze zgody.
Cookies marketingowe Meta Pixel nie są niezbędne do działania serwisu. Meta Platforms Ireland Ltd. występuje tu jako współadministrator w zakresie pomiaru reklam, a dane mogą być przekazywane do USA na podstawie EU-U.S. Data Privacy Framework. Zasady przetwarzania danych przez Meta opisuje Polityka prywatności Meta. Sprzeciw wobec profilowania reklamowego można zgłosić w ustawieniach swojego konta Meta lub blokując cookies w przeglądarce.
Korzystamy z platformy zarządzania zgodami (Consent Management Platform), która pozwala zaakceptować lub odrzucić pliki cookie analityczne. Skrypty analityczne uruchamiają się zgodnie z Twoim wyborem.
6. Usługi zewnętrzne
W celu świadczenia usługi korzystamy z następujących dostawców:
- Google (OAuth) - uwierzytelnienie przy logowaniu kontem Google (Google otrzymuje informację o logowaniu do serwisu, my otrzymujemy email i identyfikator konta)
- Resend - wysyłka emaili: kody weryfikacyjne, powiadomienia dotyczące konta oraz - po wyrażeniu osobnej zgody - wiadomości marketingowe (przekazujemy adres email). Tą samą drogą trafia do nas wiadomość z formularza kontaktowego, wraz z podanym w nim adresem e-mail i imieniem
- Lemon Squeezy - obsługa płatności jako Merchant of Record (otrzymuje email, dane rozliczeniowe i kraj kupującego do celów VAT). Szczegóły w Regulaminie, sekcja 5
- Neon (PostgreSQL) - przechowywanie danych konta i audytów (serwery w UE)
- Vercel - hosting aplikacji oraz prywatna analityka ruchu (Vercel Analytics) (serwery w UE/US)
- Google Gemini API - analiza treści w ramach audytu (przekazujemy treść audytowanej strony, nie dane osobowe)
- Bright Data - pobieranie treści stron i wyników wyszukiwania Google (nie przekazujemy danych osobowych)
- DataForSEO - dane o wolumenach słów kluczowych i profilu linków konkurencji (nie przekazujemy danych osobowych)
- Jina Reader - opcjonalny fallback przy pobieraniu treści stron (nie przekazujemy danych osobowych)
- Microsoft Ireland Operations - analityka behawioralna i nagrywanie sesji (Microsoft Clarity; przekazujemy adres IP, informacje o urządzeniu i przeglądarce oraz zapis interakcji ze stroną - szczegóły w sekcji 5). Dane mogą trafiać do USA na podstawie EU-U.S. Data Privacy Framework
- Meta Platforms Ireland - pomiar skuteczności reklam (Meta Pixel; przekazujemy adres IP, identyfikator przeglądarki i informacje o wykonanych działaniach w serwisie - szczegóły w sekcji 5). Dane mogą trafiać do USA na podstawie EU-U.S. Data Privacy Framework
7. Okres przechowywania
Dane przechowujemy przez czas posiadania konta. Po usunięciu konta wszystkie powiązane dane (email, audyty, wyniki) są trwale kasowane z bazy danych. Wyjątek stanowią dane rozliczeniowe (rekordy płatności) oraz dane prowizji z programu poleceń, które przechowujemy przez okres wymagany przepisami podatkowymi i o rachunkowości.
Wiadomości z formularza kontaktowego nie trafiają do bazy danych - przekazujemy je wyłącznie na naszą skrzynkę pocztową i przechowujemy tam przez czas potrzebny do obsługi sprawy, nie dłużej niż 12 miesięcy od ostatniej wiadomości w wątku.
8. Twoje prawa
Zgodnie z RODO masz prawo do:
- Dostępu do swoich danych
- Sprostowania danych
- Usunięcia danych („prawo do bycia zapomnianym”)
- Cofnięcia zgody w dowolnym momencie
- Wniesienia skargi do organu nadzorczego (Prezes UODO)
W celu realizacji tych praw skontaktuj się z administratorem.
9. Bezpieczeństwo
Stosujemy odpowiednie środki techniczne i organizacyjne: szyfrowane połączenia (HTTPS/TLS), hashowane tokeny sesji (JWT z HS256), jednorazowe kody weryfikacyjne zamiast haseł, ograniczenie dostępu do danych (role admin/user).
10. Kontakt
W sprawach związanych z ochroną danych osobowych skontaktuj się z administratorem: Seowp Wojciech Władziński, ul. Nieborowska 36, 80-034 Gdańsk, e-mail: kontakt@citationone.com.