1. Administrator danych
Administratorem danych osobowych jest Seowp Wojciech Władziński, ul. Nieborowska 36, 80-034 Gdańsk, NIP: 9840163453 - właściciel serwisu CitationOne, na który składają się strona citationone.com oraz aplikacja app.citationone.com. Niniejsza Polityka obejmuje oba adresy.
2. Jakie dane zbieramy
Zbieramy wyłącznie następujące dane:
- Adres email - podawany przy rejestracji/logowaniu, używany do uwierzytelnienia i identyfikacji konta
- Dane z konta Google (przy logowaniu Google OAuth) - adres email oraz identyfikator konta Google (sub). Nie pobieramy zdjęcia profilowego ani innych pól profilu
- Dane programu poleceń (jeśli uczestniczysz) - Twój unikalny kod polecający, informacja o tym, który Użytkownik polecił dane konto, oraz naliczone prowizje. W celu wypłaty prowizji możesz dobrowolnie podać dodatkowe dane (np. dane do przelewu lub faktury). Polecający widzi swoich poleconych wyłącznie w formie zmaskowanej (bez pełnego adresu e-mail)
- Dane firmowe do raportów (opcjonalne) - nazwa firmy i logo, które możesz dobrowolnie dodać w Ustawieniach w celu brandowania raportów
- Dane audytów - adresy URL, treść analizowanych stron, słowa kluczowe i opcjonalne etykiety projektów, które wprowadzasz w narzędziu
- Klucze i integracje (opcjonalne) - klucze dostępu do naszego API (przechowujemy ich skrót, a nie samą wartość, wraz z nadaną nazwą i datą ostatniego użycia) oraz adresy webhooków, pod które wysyłamy powiadomienia o zakończonych audytach
- Adres IP - przetwarzany doraźnie przy wysyłce formularza kontaktowego, aby ograniczyć liczbę zgłoszeń z jednego źródła. Nie zapisujemy go w bazie danych
- Dane z formularza kontaktowego - adres e-mail, treść wiadomości oraz opcjonalnie imię, jeśli je podasz. Formularz działa bez logowania, więc te dane możesz przekazać także nie mając konta
- Dane zakupu - przy zakupie kredytów podajesz w koszyku Easytools imię, nazwisko, adres e-mail oraz dane do faktury (np. adres, a w przypadku firmy NIP). Easytools przekazuje nam imię, nazwisko i adres e-mail w powiadomieniu o zakupie, aby przypisać zakup do konta. W bazie Serwisu zapisujemy wyłącznie adres e-mail oraz dane transakcji: kwotę, liczbę kredytów i identyfikator zamówienia. Dane do faktury pozostają w systemie fakturowym Easytools
Poza danymi zakupu nie zbieramy nazwisk, adresów zamieszkania, numerów telefonu ani innych danych osobowych niż wymienione powyżej. Poza zakupem imię zbieramy wyłącznie wtedy, gdy dobrowolnie podasz je w formularzu kontaktowym.
Raport możesz udostępnić publicznym linkiem. Od tej chwili każda osoba, która zna adres, widzi jego treść bez logowania - razem z nazwą firmy i logo, jeśli je dodałeś. Decyzja należy do Ciebie: link powstaje dopiero na Twoje żądanie, możesz nadać mu termin ważności i w każdej chwili go cofnąć.
3. Cel przetwarzania danych
Dane przetwarzamy w celu:
- Utworzenia i utrzymania konta użytkownika
- Uwierzytelnienia - jednorazowe kody weryfikacyjne (OTP) wysyłane na email lub logowanie przez Google OAuth
- Przypisania audytów do konta użytkownika
- Sprzedaży kredytów, wystawienia faktury oraz obsługi zwrotów i reklamacji płatności
- Komunikacji w sprawie konta (np. powiadomienia o feedbacku)
- Obsługi programu poleceń - przypisania polecenia, naliczania i wypłaty prowizji (jeśli uczestniczysz)
- Wysyłania informacji o nowych funkcjach i aktualizacjach narzędzia - wyłącznie po wyrażeniu osobnej, opcjonalnej zgody
- Udzielenia odpowiedzi na wiadomość wysłaną przez formularz kontaktowy
4. Podstawa prawna
Dane przetwarzamy na podstawie:
- Art. 6 ust. 1 lit. b RODO (wykonanie umowy) - prowadzenie konta, uwierzytelnianie, przeprowadzanie audytów i pozostałych analiz, rozliczanie kredytów oraz obsługa programu poleceń. To podstawowy tytuł do przetwarzania w Serwisie: bez tych danych nie da się świadczyć usługi, o którą prosisz
- Art. 6 ust. 1 lit. c RODO (obowiązek prawny) - przechowywanie danych rozliczeniowych i danych o prowizjach przez okres wymagany przepisami podatkowymi i o rachunkowości
- Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) - odpowiedź na wiadomość z formularza kontaktowego (uzasadnionym interesem jest udzielenie odpowiedzi osobie, która sama się do nas zwróciła), zapewnienie bezpieczeństwa Serwisu i przeciwdziałanie nadużyciom oraz ustalenie i dochodzenie roszczeń
- Art. 6 ust. 1 lit. a RODO (zgoda) - komunikacja marketingowa, wyrażana osobnym checkboxem przy rejestracji lub w Ustawieniach konta. Zgodę można w każdej chwili wycofać w Ustawieniach albo klikając link „Wypisz się” w stopce każdej wiadomości marketingowej. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania ani na korzystanie z Serwisu
- Art. 6 ust. 1 lit. a RODO (zgoda na cookies) - w zakresie cookies analitycznych i marketingowych (w tym Microsoft Clarity i Meta Pixel), wyrażana w banerze zgody wyświetlanym przy pierwszej wizycie. Cookies te nie są niezbędne do działania serwisu. Zgodę można w każdej chwili zmienić w banerze, a w przypadku Meta Pixel dodatkowo wyłączyć profilowanie reklamowe w ustawieniach konta Meta
5. Pliki cookies i analityka
Serwis wykorzystuje:
- Cookie sesyjne (httpOnly) - przechowują token JWT do utrzymania sesji logowania (7 dni)
- Cookie afiliacyjne (co_ref) (httpOnly) - zapisywane po wejściu przez link polecający; przechowuje kod polecającego przez 30 dni, aby przypisać polecenie po rejestracji. Nie zawiera danych osobowych
- Cookie kodu promocyjnego (co_promo) (httpOnly) - zapisywane po wejściu przez link z kodem promocyjnym; przechowuje sam kod przez 7 dni, aby po zalogowaniu przyznać kredyty z promocji. Nie zawiera danych osobowych
- Google Tag Manager (GTM) - zarządzanie tagami analitycznymi
- Google Analytics 4 (GA4) - analiza ruchu i zachowań użytkowników (anonimowe dane: strony odwiedzane, czas sesji, zdarzenia)
- Vercel Analytics - prywatna analityka ruchu (zanonimizowane dane, bez identyfikacji użytkownika)
- Microsoft Clarity - narzędzie analityki behawioralnej: nagrywanie sesji (session replay) oraz mapy cieplne kliknięć i przewijania. Zapisuje cookies (m.in. _clck, _clsk) i przekazuje do Microsoft informacje o ruchach kursora, kliknięciach, przewijaniu, odwiedzonych podstronach, rozdzielczości ekranu, typie urządzenia i przeglądarki oraz adres IP. Treść wpisywana w pola formularzy jest domyślnie maskowana i nie trafia do nagrania
- Meta Pixel (Facebook) - narzędzie marketingowe mierzące skuteczność reklam. Zapisuje cookies (m.in. _fbp) i przekazuje do Meta Platforms informacje o odwiedzonych stronach oraz o wykonaniu wybranych działań w serwisie: zalogowaniu, utworzeniu audytu i jego zakończeniu. Wraz z tymi zdarzeniami Meta otrzymuje adres IP oraz identyfikator przeglądarki, co - inaczej niż w przypadku pozostałych narzędzi analitycznych - może pozwolić na powiązanie aktywności z kontem na Facebooku lub Instagramie. Przy wejściu do serwisu z reklamy Meta zapisujemy też w cookie _fbc identyfikator kliknięcia tej reklamy. Trafia on do Meta razem ze zdarzeniami i z informacją o zakupie, dzięki czemu zakup da się przypisać do reklamy
GA4 może zbierać dane takie jak przybliżona lokalizacja (kraj/miasto), typ urządzenia, przeglądarka i system operacyjny. Dane te są anonimowe i nie pozwalają na bezpośrednią identyfikację użytkownika.
Cookies Microsoft Clarity nie są niezbędne do działania serwisu i uruchamiają się dopiero po wyrażeniu zgody w banerze. Nagrania sesji służą wyłącznie diagnozie problemów z użytecznością serwisu; nie łączymy ich z danymi Twojego konta. Microsoft Ireland Operations Ltd. przetwarza te dane również we własnych celach opisanych w Oświadczeniu o ochronie prywatności Microsoft, a dane mogą być przekazywane do USA na podstawie EU-U.S. Data Privacy Framework. Zgodę można w każdej chwili wycofać w banerze zgody.
6. Usługi zewnętrzne
W celu świadczenia usługi korzystamy z następujących dostawców:
- Google (OAuth) - uwierzytelnienie przy logowaniu kontem Google (Google otrzymuje informację o logowaniu do serwisu, my otrzymujemy email i identyfikator konta)
- Resend - wysyłka emaili: kody weryfikacyjne, powiadomienia dotyczące konta oraz - po wyrażeniu osobnej zgody - wiadomości marketingowe (przekazujemy adres email). Tą samą drogą trafia do nas wiadomość z formularza kontaktowego, wraz z podanym w nim adresem e-mail i imieniem
- Easytools - koszyk i obsługa płatności oraz wystawianie faktur w imieniu Operatora (zbiera imię, nazwisko, adres e-mail i dane do faktury kupującego). Szczegóły w Regulaminie, sekcja 7
- Neon (PostgreSQL) - przechowywanie danych konta i audytów (serwery w UE)
- Vercel - hosting aplikacji oraz prywatna analityka ruchu (Vercel Analytics) (serwery w UE/US)
- Google Gemini API - analiza treści w ramach audytu. Przekazujemy treść audytowanej strony; jeżeli zawiera ona dane osobowe opublikowane w tej treści (na przykład imię i nazwisko autora), trafiają one do dostawcy razem z nią
- Bright Data - pobieranie treści stron i wyników wyszukiwania Google. Przekazujemy adresy do pobrania; pobrana treść może zawierać dane osobowe w niej opublikowane
- DataForSEO - dane o wolumenach słów kluczowych i profilu linków konkurencji (nie przekazujemy danych osobowych)
- Jina Reader - zapasowa droga pobierania treści stron, na tych samych zasadach co Bright Data
- Microsoft Ireland Operations - analityka behawioralna i nagrywanie sesji (Microsoft Clarity; przekazujemy adres IP, informacje o urządzeniu i przeglądarce oraz zapis interakcji ze stroną - szczegóły w sekcji 5). Dane mogą trafiać do USA na podstawie EU-U.S. Data Privacy Framework
- Meta Platforms Ireland - pomiar skuteczności reklam (Meta Pixel; przekazujemy adres IP, identyfikator przeglądarki i informacje o wykonanych działaniach w serwisie - szczegóły w sekcji 5). Dane mogą trafiać do USA na podstawie EU-U.S. Data Privacy Framework
7. Okres przechowywania
Dane przechowujemy przez czas posiadania konta. Po usunięciu konta wszystkie powiązane dane (email, audyty, wyniki) są trwale kasowane z bazy danych. Wyjątek stanowią dane rozliczeniowe (rekordy płatności) oraz dane prowizji z programu poleceń, które przechowujemy przez okres wymagany przepisami podatkowymi i o rachunkowości.
Jednorazowe kody logowania tracą ważność po 10 minutach, a po zalogowaniu usuwamy je z bazy. Klucze API pozostają na koncie do chwili ich unieważnienia przez Ciebie; unieważniony klucz zachowujemy w postaci skrótu, aby zachować ślad po wykonanych nim zleceniach.
Wiadomości z formularza kontaktowego nie trafiają do bazy danych - przekazujemy je wyłącznie na naszą skrzynkę pocztową i przechowujemy tam przez czas potrzebny do obsługi sprawy, nie dłużej niż 12 miesięcy od ostatniej wiadomości w wątku.
8. Twoje prawa
Zgodnie z RODO masz prawo do:
- Dostępu do swoich danych oraz otrzymania ich kopii
- Sprostowania danych
- Usunięcia danych („prawo do bycia zapomnianym”)
- Ograniczenia przetwarzania
- Przenoszenia danych - otrzymania danych przetwarzanych na podstawie umowy lub zgody w formacie nadającym się do odczytu maszynowego
- Sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie
- Cofnięcia zgody w dowolnym momencie - w zakresie przetwarzania opartego na zgodzie
- Wniesienia skargi do organu nadzorczego (Prezes UODO)
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Oceny wystawiane przez narzędzie dotyczą analizowanych treści, a nie osoby.
W celu realizacji tych praw skontaktuj się z administratorem.
9. Bezpieczeństwo
Stosujemy odpowiednie środki techniczne i organizacyjne: szyfrowane połączenia (HTTPS/TLS), podpisane kryptograficznie tokeny sesji (JWT, HMAC-SHA256) w ciasteczku niedostępnym dla skryptów, jednorazowe kody weryfikacyjne zamiast haseł, ograniczenie dostępu do danych (role admin/user).
10. Kontakt
W sprawach związanych z ochroną danych osobowych skontaktuj się z administratorem: Seowp Wojciech Władziński, ul. Nieborowska 36, 80-034 Gdańsk, e-mail: kontakt@citationone.com.