Polityka prywatności

Niniejsza Polityka prywatności opisuje, w jaki sposób Aurea Enterprises sp. z o.o., z siedzibą przy ul. Plac Bankowy 2, 00-095 Warszawa, NIP: 9591956107, KRS: 0000510950, dalej jako „Administrator", „my" albo „Bezpieczna Kancelaria", przetwarza dane osobowe w związku z korzystaniem ze strony internetowej bezpiecznakancelaria.pl oraz aplikacji Bezpieczna Kancelaria.

W sprawach dotyczących ochrony danych osobowych można skontaktować się z nami pod adresem e-mail: privacy@bezpiecznakancelaria.pl.

1. Czym jest Bezpieczna Kancelaria

Bezpieczna Kancelaria jest systemem SaaS przeznaczonym dla kancelarii prawnych i innych podmiotów profesjonalnych, służącym m.in. do zarządzania sprawami, dokumentami, nagraniami, transkrypcjami, kalendarzami, uprawnieniami użytkowników, komunikacją, fakturowaniem oraz integracjami z usługami zewnętrznymi.

Bezpieczna Kancelaria nie jest kancelarią prawną i nie świadczy usług prawnych na rzecz klientów końcowych kancelarii. Usługi prawne świadczy kancelaria lub inny podmiot korzystający z systemu.

2. Nasze role w przetwarzaniu danych

W zależności od rodzaju danych pełnimy różne role.

2.1. Jesteśmy administratorem danych

Jesteśmy administratorem danych osobowych w zakresie danych przetwarzanych na potrzeby:

• prowadzenia strony internetowej,
• zakładania i obsługi kont użytkowników,
• zawierania i wykonywania umów z klientami,
• obsługi płatności i faktur,
• kontaktu handlowego i obsługi zapytań,
• wsparcia technicznego,
• zapewnienia bezpieczeństwa aplikacji,
• prowadzenia działań marketingowych dotyczących naszych usług,
• dochodzenia lub obrony przed roszczeniami.

W tym zakresie decydujemy o celach i sposobach przetwarzania danych.

2.2. Jesteśmy podmiotem przetwarzającym dane klienta

W zakresie danych wprowadzanych do systemu przez kancelarię lub innego klienta, takich jak akta spraw, dokumenty, dane klientów kancelarii, nagrania, transkrypcje, notatki, wiadomości, dane z kalendarzy, dane z faktur, dane z integracji oraz inne treści zapisane w systemie, działamy zasadniczo jako podmiot przetwarzający dane na zlecenie klienta.

Oznacza to, że administratorem tych danych jest klient korzystający z Bezpiecznej Kancelarii, np. kancelaria prawna, a my przetwarzamy te dane wyłącznie w celu świadczenia usługi, zgodnie z umową, regulaminem, umową powierzenia przetwarzania danych oraz poleceniami klienta.

Jeżeli jesteś klientem kancelarii korzystającej z Bezpiecznej Kancelarii i chcesz skorzystać ze swoich praw wynikających z RODO, skontaktuj się przede wszystkim z tą kancelarią. Możemy pomagać kancelarii w realizacji takich żądań, ale nie decydujemy samodzielnie o danych znajdujących się w aktach spraw prowadzonych przez klienta.

3. Jakie dane przetwarzamy jako administrator

Jako administrator możemy przetwarzać następujące kategorie danych:

3.1. Dane użytkownika konta

Obejmują w szczególności:

• imię i nazwisko,
• adres e-mail,
• numer telefonu,
• nazwę organizacji lub kancelarii,
• stanowisko lub rolę w organizacji,
• identyfikator użytkownika,
• ustawienia konta,
• informacje o uprawnieniach i rolach w systemie,
• historię logowań i zdarzeń bezpieczeństwa.

3.2. Dane kontraktowe i rozliczeniowe

Obejmują w szczególności:

• dane firmy lub kancelarii,
• NIP, REGON, KRS, adres siedziby,
• dane osoby kontaktowej,
• dane potrzebne do wystawienia faktury,
• historię płatności,
• informacje o wybranym pakiecie lub zakresie usługi.

3.3. Dane techniczne

Obejmują w szczególności:

• adres IP,
• identyfikatory sesji,
• typ i wersję przeglądarki,
• system operacyjny,
• identyfikatory urządzenia,
• datę i godzinę logowania,
• logi techniczne,
• logi błędów,
• zdarzenia bezpieczeństwa,
• informacje o użyciu funkcji systemu.

3.4. Dane kontaktowe i supportowe

Obejmują w szczególności:

• dane podane w formularzach kontaktowych,
• treść wiadomości e-mail,
• zgłoszenia serwisowe,
• historię komunikacji,
• pliki lub zrzuty ekranu przekazane w ramach wsparcia technicznego.

Prosimy, aby w zgłoszeniach supportowych nie przekazywać danych wrażliwych, akt spraw, nagrań ani dokumentów zawierających dane klientów kancelarii, chyba że jest to konieczne do rozwiązania zgłoszenia i odbywa się zgodnie z procedurą bezpieczeństwa.

4. Jakie dane mogą być przetwarzane w systemie jako dane klienta

Kancelarie i inni klienci korzystający z Bezpiecznej Kancelarii mogą wprowadzać do systemu różne dane, w tym dane osobowe osób trzecich. Mogą to być w szczególności:

• dane klientów kancelarii,
• dane stron postępowań,
• dane kontrahentów,
• dane świadków,
• dane pełnomocników,
• dane pracowników i współpracowników,
• dane zawarte w dokumentach i aktach spraw,
• dane zawarte w nagraniach audio,
• dane zawarte w transkrypcjach,
• dane z kalendarzy,
• dane z faktur,
• dane z integracji z systemami zewnętrznymi,
• sygnatury spraw,
• informacje o terminach, czynnościach i zadaniach.

Dane te mogą obejmować także szczególne kategorie danych osobowych, dane dotyczące wyroków skazujących, czynów zabronionych, postępowań sądowych, sytuacji rodzinnej, majątkowej, zdrowotnej lub zawodowej, jeżeli takie dane znajdują się w materiałach przetwarzanych przez klienta.

W tym zakresie nie jesteśmy administratorem tych danych. Administratorem jest klient korzystający z systemu, a my przetwarzamy dane wyłącznie jako dostawca usługi technologicznej.

5. Cele i podstawy prawne przetwarzania danych

5.1. Utworzenie i obsługa konta

Przetwarzamy dane w celu utworzenia konta, uwierzytelnienia użytkownika, zarządzania dostępem, rolami i uprawnieniami oraz umożliwienia korzystania z aplikacji.

Podstawa prawna: wykonanie umowy lub działania przed zawarciem umowy, art. 6 ust. 1 lit. b RODO.

5.2. Świadczenie usługi Bezpieczna Kancelaria

Przetwarzamy dane w celu świadczenia usługi, utrzymania działania systemu, synchronizacji danych, obsługi integracji, zapisywania ustawień użytkownika oraz realizacji funkcji wybranych przez klienta.

Podstawa prawna: wykonanie umowy, art. 6 ust. 1 lit. b RODO.

W zakresie danych wprowadzanych przez klienta do systemu przetwarzamy dane jako podmiot przetwarzający, na podstawie umowy powierzenia przetwarzania danych.

5.3. Obsługa zgłoszeń i kontaktu

Przetwarzamy dane w celu odpowiedzi na zapytania, obsługi formularzy, prowadzenia korespondencji, rozwiązywania problemów technicznych i obsługi reklamacji.

Podstawa prawna: wykonanie umowy albo nasz uzasadniony interes polegający na obsłudze kontaktu i wsparcia, art. 6 ust. 1 lit. b albo f RODO.

5.4. Rozliczenia, faktury i obowiązki księgowe

Przetwarzamy dane w celu wystawiania faktur, obsługi płatności, prowadzenia księgowości oraz realizacji obowiązków podatkowych i rachunkowych.

Podstawa prawna: obowiązek prawny ciążący na Administratorze, art. 6 ust. 1 lit. c RODO.

5.5. Bezpieczeństwo systemu

Przetwarzamy dane techniczne i logi w celu zapewnienia bezpieczeństwa aplikacji, wykrywania nadużyć, ochrony przed nieautoryzowanym dostępem, zapobiegania incydentom, prowadzenia audytu zdarzeń oraz zapewnienia rozliczalności działań użytkowników.

Podstawa prawna: nasz uzasadniony interes polegający na zapewnieniu bezpieczeństwa usługi, art. 6 ust. 1 lit. f RODO.

5.6. Rozwój i poprawa jakości usługi

Przetwarzamy ograniczone dane techniczne, diagnostyczne i statystyczne w celu analizy błędów, poprawy stabilności, wydajności, użyteczności i bezpieczeństwa aplikacji.

Podstawa prawna: nasz uzasadniony interes polegający na rozwijaniu i ulepszaniu produktu, art. 6 ust. 1 lit. f RODO.

Dane klientów zapisane w dokumentach, aktach, nagraniach lub transkrypcjach nie są wykorzystywane do rozwoju produktu bez podstawy prawnej, zgody klienta albo innej wyraźnej podstawy wynikającej z umowy.

5.7. Marketing własny

Możemy przetwarzać dane kontaktowe w celu prowadzenia marketingu własnych produktów i usług, o ile jest to dozwolone przepisami prawa.

Podstawa prawna: nasz uzasadniony interes, art. 6 ust. 1 lit. f RODO, a w przypadkach wymagających zgody - zgoda, art. 6 ust. 1 lit. a RODO.

Zgodę można wycofać w każdej chwili.

5.8. Cookies i analityka

Jeżeli korzystamy z plików cookies lub podobnych technologii analitycznych niewymaganych do działania strony lub aplikacji, robimy to na podstawie zgody użytkownika.

Zgodę można wycofać lub zmienić w ustawieniach cookies.

5.9. Dochodzenie i obrona roszczeń

Możemy przetwarzać dane w celu ustalenia, dochodzenia lub obrony przed roszczeniami.

Podstawa prawna: nasz uzasadniony interes, art. 6 ust. 1 lit. f RODO.

6. Szyfrowanie plików i dostęp do treści klienta

Bezpieczna Kancelaria została zaprojektowana z naciskiem na poufność i bezpieczeństwo danych kancelarii.

Każdy plik i dokument klienta zapisany w systemie jest przechowywany w postaci zaszyfrowanej. Dane są również chronione podczas przesyłania. Mechanizm szyfrowania i zarządzania kluczami został zaprojektowany w taki sposób, aby odszyfrowanie treści było możliwe wyłącznie przez użytkowników klienta posiadających odpowiednie uprawnienia do danego pliku.

Administratorzy Bezpiecznej Kancelarii ani administratorzy infrastruktury nie posiadają kluczy pozwalających im na samodzielne odszyfrowanie i odczytanie przechowywanej treści plików. Zwykłe czynności administracyjne, serwisowe i techniczne nie zapewniają personelowi dostępu do jawnej treści dokumentów klienta.

Jeżeli klient udostępni plik innemu użytkownikowi swojej organizacji, dostęp do odszyfrowanej treści uzyskuje wyłącznie użytkownik objęty tym uprawnieniem, zgodnie z rolami i konfiguracją dostępu w systemie.

Nie prosimy użytkowników o przekazywanie haseł ani kluczy. Dane uwierzytelniające użytkownika powinny pozostać znane wyłącznie użytkownikowi.

Niektóre funkcje świadomie uruchamiane przez uprawnionego użytkownika, takie jak OCR, transkrypcja, analiza AI, wyszukiwanie treści lub eksport, mogą wymagać czasowego odszyfrowania wybranego pliku albo jego fragmentu. Przetwarzanie odbywa się wtedy wyłącznie przez czas i w zakresie niezbędnym do wykonania wybranej funkcji. Jeżeli wykonanie funkcji wymaga skorzystania z podprocesora, przekazywane są wyłącznie dane niezbędne do jej realizacji, zgodnie z sekcjami 7 i 9. Nie oznacza to przyznania administratorom Bezpiecznej Kancelarii stałego ani samodzielnego dostępu do treści pliku.

Powyższe zasady dotyczą treści plików. Metadane niezbędne do działania systemu, takie jak nazwa pliku, jego rozmiar, właściciel, uprawnienia, data dodania i techniczne informacje o operacji, mogą być przetwarzane oddzielnie w zakresie koniecznym do świadczenia usługi, zapewnienia bezpieczeństwa i prowadzenia rejestru zdarzeń.

7. Nagrania, transkrypcje i funkcje AI

Jeżeli klient korzysta z funkcji nagrywania, transkrypcji lub asystenta AI, w systemie mogą być przetwarzane:

• pliki audio,
• metadane nagrań,
• głosy uczestników rozmowy,
• transkrypcje,
• streszczenia,
• notatki,
• polecenia użytkownika,
• odpowiedzi wygenerowane przez system,
• dane zawarte w dokumentach wskazanych do analizy.

Funkcje te są uruchamiane przez klienta lub użytkownika i służą wyłącznie realizacji wybranej funkcji w ramach systemu.

Jeżeli do wykonania funkcji korzystamy z zewnętrznych dostawców technologii, robimy to na podstawie odpowiednich umów oraz zabezpieczeń wymaganych przez RODO. Lista takich dostawców wskazana jest w wykazie podprocesorów (sekcja „Odbiorcy danych").

8. Integracje z usługami zewnętrznymi

Bezpieczna Kancelaria może umożliwiać integracje z usługami zewnętrznymi, takimi jak kalendarze, systemy poczty elektronicznej, systemy fakturowe, KSeF, systemy sądowe lub inne narzędzia wykorzystywane przez klienta.

Dane z takich integracji są przetwarzane wyłącznie w zakresie koniecznym do działania funkcji włączonej przez klienta lub użytkownika.

Klient lub użytkownik może być zobowiązany do udzielenia odpowiednich uprawnień w zewnętrznym systemie. Zakres tych uprawnień zależy od konkretnej integracji.

8.1. Dane z połączonego konta Google

Jeżeli użytkownik dobrowolnie połączy swoje konto Google z Bezpieczną Kancelarią, przetwarzamy dane z Kalendarza Google wyłącznie w zakresie niezbędnym do działania wybranej przez użytkownika funkcji synchronizacji terminów.

Jakie dane uzyskujemy z Google:

• adres e-mail konta Google, wykorzystywany jako identyfikator połączenia,
• listę kalendarzy widocznych na połączonym koncie, obejmującą ich nazwy, identyfikatory, opisy, miejsca, strefy czasowe, kolory, role dostępu, oznaczenia kalendarza głównego oraz flagi wyboru i widoczności - wyłącznie w celu wyświetlenia użytkownikowi dostępnych kalendarzy, umożliwienia wyboru oraz utrzymania konfiguracji synchronizacji; zapisujemy również techniczny rekord wpisu listy kalendarzy w postaci zwracanej przez Google Calendar API,
• pełny rekord wydarzenia z kalendarzy Google wybranych przez użytkownika do synchronizacji oraz z kalendarzy BK-LOCAL i BK-PI, w postaci zwracanej przez Google Calendar API. W zależności od zawartości wydarzenia może on obejmować w szczególności: identyfikator wydarzenia i iCalUID, status, tytuł, opis, miejsce, początek i koniec, oznaczenie wydarzenia całodniowego, regułę powtarzania, identyfikator serii i pierwotny termin wystąpienia, daty utworzenia i modyfikacji, etag, adres e-mail organizatora, link, numer sekwencji, uczestników, przypomnienia, dane wideokonferencji, załączniki, właściwości rozszerzone oraz inne informacje techniczne zwrócone przez API. Dane są zapisywane zarówno w wyodrębnionych polach systemu, jak i jako surowy rekord JSON wydarzenia.

Nie pobieramy ani nie zapisujemy treści wydarzeń znajdujących się w kalendarzach Google, których użytkownik nie wybrał do synchronizacji. Uprawnienia udzielone przez Google mogą, zależnie od zakresu technicznego wymaganego przez Google Calendar API, umożliwiać aplikacji dostęp do szerszego zbioru kalendarzy, jednak Bezpieczna Kancelaria wykorzystuje je wyłącznie w odniesieniu do kalendarzy wskazanych przez użytkownika.

W jakim celu wykorzystujemy dane:

Dane wykorzystujemy wyłącznie do zapewnienia funkcji kalendarza widocznych dla użytkownika. Użytkownik samodzielnie wybiera kalendarze Google, które mają zostać zsynchronizowane z Bezpieczną Kancelarią. Wydarzenia z wybranych kalendarzy są kopiowane do aplikacji i pozostają powiązane z odpowiadającymi im wydarzeniami w Google Calendar.

Użytkownik może również osobno włączyć synchronizację kalendarzy Bezpiecznej Kancelarii do Google Calendar. Po włączeniu tej opcji w Google Calendar tworzone i utrzymywane są kopie:

• BK-LOCAL - lokalnego kalendarza kancelarii prowadzonego w Bezpiecznej Kancelarii,
• BK-PI - kalendarza posiedzeń sądowych pochodzących z integracji Bezpiecznej Kancelarii z Portalem Informacyjnym.

Synchronizacja jest dwukierunkowa. Zmiana wydarzenia z wybranego kalendarza Google dokonana w Bezpiecznej Kancelarii jest przekazywana do Google Calendar. Zmiana dokonana przez użytkownika w Google Calendar jest pobierana i odzwierciedlana w Bezpiecznej Kancelarii. Funkcja służy również wykrywaniu kolizji w grafiku i zachowaniu aktualności terminów w obu systemach.

Nie wykorzystujemy danych Google do reklamy, profilowania marketingowego, oceny zdolności kredytowej ani do innych celów niezwiązanych z funkcją synchronizacji.

Komu możemy przekazywać dane:

Dane mogą być przetwarzane przez podmioty wskazane w sekcji 9 wyłącznie w zakresie koniecznym do świadczenia funkcji wybranej przez użytkownika, na nasze polecenie i na podstawie odpowiednich umów.

Treść wydarzeń pobieranych z kalendarzy Google wybranych do synchronizacji nie jest przekazywana do OpenAI. Dotyczy to w szczególności tytułów, opisów, miejsc, terminów, danych organizatorów, uczestników, załączników i pozostałej zawartości wydarzeń. Agendę i odpowiedź na pytanie o plan dnia przygotowuje nasz system na podstawie lokalnej kopii danych, wyłącznie dla użytkownika posiadającego odpowiednie uprawnienia. Do modelu AI może zostać przekazana jedynie informacja techniczna o żądanym zakresie dat i łącznej liczbie pozycji w przygotowanej agendzie, bez treści i szczegółów poszczególnych wydarzeń.

Jeżeli użytkownik utworzy wydarzenie bezpośrednio w kalendarzu BK-LOCAL prowadzonym przez nas na jego koncie Google, wydarzenie zostaje przejęte do Bezpiecznej Kancelarii i staje się treścią klienta. Jeżeli klient korzysta z funkcji asystenta AI, treść takiego wydarzenia - tytuł, opis, miejsce i termin - jest automatycznie przygotowywana do wyszukiwania semantycznego, co wiąże się z przekazaniem jej do OpenAI. Może ona również zostać przekazana do OpenAI jako fragment kontekstu odpowiedzi asystenta. Pierwsze przekazanie następuje w ramach działania funkcji AI i nie wymaga uprzedniego zadania pytania asystentowi. Wydarzenia utworzone ręcznie w kalendarzu BK-PI nie są przejmowane do Bezpiecznej Kancelarii, indeksowane ani przekazywane do OpenAI.

Przekazanie do OpenAI nie następuje, jeżeli klient nie korzysta z funkcji AI albo sprawa powiązana z wydarzeniem została wyłączona z obsługi przez asystenta. OpenAI przetwarza takie dane jako dostawca usługi działający na nasze zlecenie. Zgodnie ze standardowymi zasadami OpenAI API dane API nie są wykorzystywane do trenowania modeli, chyba że organizacja korzystająca z API dobrowolnie włączy udostępnianie danych. Dane wejściowe i wyniki API mogą być przechowywane przez OpenAI przez okres do 30 dni w celu świadczenia usługi i wykrywania nadużyć, chyba że dla danego projektu obowiązuje zatwierdzona konfiguracja Zero Data Retention lub inne krótsze zasady retencji.

Nie sprzedajemy danych Google, nie przekazujemy ich brokerom danych ani reklamodawcom oraz nie udostępniamy ich podmiotom, które wykorzystywałyby je do trenowania lub ulepszania własnych modeli sztucznej inteligencji albo uczenia maszynowego.

Jak chronimy dane:

Transmisja danych jest chroniona przy użyciu protokołu TLS. Token odświeżania Google jest szyfrowany algorytmem AES-256-GCM i powiązany z konkretnym kontem użytkownika. Każde jego odszyfrowanie jest rejestrowane w dzienniku audytowym. Krótkotrwałe tokeny dostępowe są przechowywane wyłącznie w cache z czasem życia ograniczonym okresem ich ważności, krótszym niż jedna godzina, i nie są zapisywane w głównej bazie danych ani w kolejce synchronizacji. Dostęp do tokenów mają wyłącznie procesy techniczne realizujące autoryzację i synchronizację.

Dane z kalendarza podlegają środkom opisanym w niniejszej Polityce, w szczególności separacji danych poszczególnych kancelarii, kontroli dostępu opartej na rolach i rejestrowaniu zdarzeń bezpieczeństwa.

Nasz personel nie uzyskuje dostępu do treści danych Google, z wyjątkiem sytuacji, w których jest to konieczne do realizacji zgłoszenia użytkownika i następuje za jego wyraźną zgodą, jest niezbędne ze względów bezpieczeństwa albo wynika z obowiązku prawnego.

Jak długo przechowujemy dane i jak je usuwamy:

Tokeny OAuth i ustawienia połączenia przechowujemy tak długo, jak aktywne jest połączenie konta Google. Wyłączenie synchronizacji konkretnego kalendarza zatrzymuje dalsze pobieranie i przekazywanie zmian dotyczących tego kalendarza.

Rozłączenie konta Google w ustawieniach Bezpiecznej Kancelarii powoduje natychmiastowe usunięcie zapisanego tokenu odświeżania, konfiguracji i powiązań synchronizacji, kolejki niewysłanych operacji oraz lokalnych kopii kalendarzy i wydarzeń pobranych z Google. Krótkotrwały token dostępowy znajdujący się w cache wygasa automatycznie nie później niż z końcem okresu jego ważności, krótszego niż jedna godzina. Przed usunięciem połączenia aplikacja podejmuje próbę usunięcia z konta Google kalendarzy BK-LOCAL i BK-PI. Jeżeli Google odmówi wykonania tej operacji albo będzie ona technicznie niemożliwa, kalendarze mogą pozostać na koncie Google, a użytkownik może usunąć je samodzielnie.

Wydarzenie utworzone ręcznie w kalendarzu BK-LOCAL, które przed rozłączeniem zostało przejęte do Bezpiecznej Kancelarii, pozostaje wydarzeniem klienta w systemie i podlega ogólnym zasadom przechowywania danych opisanym w sekcji 11. Wydarzenia utworzone ręcznie w kalendarzu BK-PI nie są przejmowane do systemu; w przypadku skutecznego usunięcia tego kalendarza z konta Google zostają usunięte razem z nim.

Użytkownik może w każdej chwili rozłączyć integrację w ustawieniach Bezpiecznej Kancelarii albo cofnąć dostęp aplikacji w ustawieniach swojego konta Google. Cofnięcie dostępu po stronie Google zatrzymuje synchronizację. Usunięcie konta w Bezpiecznej Kancelarii lub zakończenie świadczenia usługi powoduje usunięcie albo zwrot danych zgodnie z procedurą opisaną w sekcji 11.

Ograniczone wykorzystanie danych Google (Limited Use):

Wykorzystywanie przez Bezpieczną Kancelarię surowych i pochodnych danych użytkownika otrzymanych za pośrednictwem interfejsów Google Workspace jest zgodne z Google API Services User Data Policy, w tym z wymaganiami Limited Use.

Nie wykorzystujemy surowych, pochodnych, zagregowanych ani zanonimizowanych danych Google do tworzenia, rozwijania, trenowania lub ulepszania modeli sztucznej inteligencji albo uczenia maszynowego. Nie przekazujemy również takich danych podmiotom, które wykorzystywałyby je w tym celu.

The use of raw or derived user data received from Google Workspace APIs by BezpiecznaKancelaria.pl adheres to the Google API Services User Data Policy, including the Limited Use requirements.

8.2. Dane z połączonego konta Apple i Kalendarza iCloud

Jeżeli użytkownik dobrowolnie połączy Bezpieczną Kancelarię z Kalendarzem iCloud, przetwarzamy dane z tej usługi wyłącznie w zakresie niezbędnym do działania wybranej przez użytkownika funkcji synchronizacji terminów.

Jakie dane uzyskujemy z Kalendarza iCloud:

• identyfikator konta oraz informacje techniczne niezbędne do ustanowienia i utrzymania połączenia,
• listę kalendarzy dostępną w ramach połączonego konta, obejmującą nazwy, identyfikatory i podstawowe metadane - wyłącznie w celu umożliwienia użytkownikowi wyboru kalendarzy do synchronizacji,
• treść i terminy wydarzeń znajdujących się w kalendarzach wybranych przez użytkownika do synchronizacji, w zakresie obejmującym tytuł, opis, miejsce, datę i godzinę oraz regułę powtarzania.

Nie pobieramy treści wydarzeń z kalendarzy, których użytkownik nie wybrał do synchronizacji.

W jakim celu wykorzystujemy dane:

Dane wykorzystujemy wyłącznie do zapewnienia funkcji kalendarza widocznych dla użytkownika. Użytkownik samodzielnie wybiera kalendarze iCloud, które mają zostać zsynchronizowane z Bezpieczną Kancelarią. Wydarzenia z wybranych kalendarzy są kopiowane do aplikacji i pozostają powiązane z odpowiadającymi im wydarzeniami w Kalendarzu iCloud.

Użytkownik może również osobno włączyć synchronizację kalendarzy Bezpiecznej Kancelarii do Kalendarza iCloud. Po włączeniu tej opcji w Kalendarzu iCloud tworzone i utrzymywane są kopie:

• BK-LOCAL - lokalnego kalendarza kancelarii prowadzonego w Bezpiecznej Kancelarii,
• BK-PI - kalendarza posiedzeń sądowych pochodzących z integracji Bezpiecznej Kancelarii z Portalem Informacyjnym.

Synchronizacja jest dwukierunkowa. Zmiana wydarzenia z wybranego kalendarza iCloud dokonana w Bezpiecznej Kancelarii jest przekazywana do Kalendarza iCloud. Zmiana dokonana przez użytkownika w Kalendarzu iCloud jest pobierana i odzwierciedlana w Bezpiecznej Kancelarii. Funkcja służy również wykrywaniu kolizji w grafiku i zachowaniu aktualności terminów w obu systemach.

Nie wykorzystujemy tych danych do reklamy, profilowania marketingowego, oceny zdolności kredytowej ani do innych celów niezwiązanych z funkcją synchronizacji.

Komu możemy przekazywać dane:

Dane mogą być przetwarzane przez podmioty wskazane w sekcji 9 wyłącznie w zakresie koniecznym do świadczenia funkcji wybranej przez użytkownika, na nasze polecenie i na podstawie odpowiednich umów.

Wydarzenia pobierane z wybranych kalendarzy iCloud na potrzeby wyświetlania ich w siatce kalendarza Bezpiecznej Kancelarii i wykrywania kolizji nie są przekazywane do OpenAI.

Jeżeli użytkownik utworzy wydarzenie bezpośrednio w kalendarzu BK-LOCAL lub BK-PI prowadzonym przez nas w jego Kalendarzu iCloud, wydarzenie zostaje przejęte do Bezpiecznej Kancelarii i staje się treścią klienta. Jeżeli klient korzysta z funkcji asystenta AI, treść takiego wydarzenia - tytuł, opis, miejsce i termin - jest automatycznie przygotowywana do wyszukiwania semantycznego, co wiąże się z przekazaniem jej do OpenAI. Przekazanie następuje w ramach działania funkcji AI i nie wymaga uprzedniego zadania pytania asystentowi.

Przekazanie do OpenAI nie następuje, jeżeli klient nie korzysta z funkcji AI albo sprawa powiązana z wydarzeniem została wyłączona z obsługi przez asystenta. OpenAI przetwarza takie dane jako dostawca usługi działający na nasze zlecenie; dane te nie są wykorzystywane do trenowania ani ulepszania modeli OpenAI.

Nie sprzedajemy danych z Kalendarza iCloud, nie przekazujemy ich brokerom danych ani reklamodawcom oraz nie udostępniamy ich podmiotom, które wykorzystywałyby je do trenowania lub ulepszania własnych modeli sztucznej inteligencji albo uczenia maszynowego.

Jak chronimy dane:

Dane uwierzytelniające, tokeny lub inne sekrety połączenia wymagane do działania integracji przechowujemy w postaci zaszyfrowanej i powiązanej z konkretnym kontem użytkownika. Dostęp do nich mają wyłącznie procesy techniczne realizujące uwierzytelnianie i synchronizację. Dane są chronione podczas przesyłania i przechowywania oraz podlegają środkom opisanym w niniejszej Polityce.

Nasz personel nie uzyskuje dostępu do treści danych z Kalendarza iCloud, z wyjątkiem sytuacji, w których jest to konieczne do realizacji zgłoszenia użytkownika i następuje za jego wyraźną zgodą, jest niezbędne ze względów bezpieczeństwa albo wynika z obowiązku prawnego.

Jak długo przechowujemy dane i jak je usuwamy:

Dane uwierzytelniające i ustawienia połączenia przechowujemy tak długo, jak aktywna jest integracja. Wyłączenie synchronizacji konkretnego kalendarza zatrzymuje dalsze pobieranie i przekazywanie zmian dotyczących tego kalendarza. Rozłączenie Kalendarza iCloud w ustawieniach Bezpiecznej Kancelarii powoduje usunięcie danych dostępowych i konfiguracji synchronizacji oraz zatrzymuje dalszy dostęp do danych z tej usługi.

Treść wydarzeń, która została wcześniej zsynchronizowana i zapisana w Bezpiecznej Kancelarii jako treść klienta, jest przechowywana zgodnie z umową, konfiguracją konta i polityką retencji klienta opisaną w sekcji 11. Użytkownik lub uprawniony klient może usunąć takie dane w aplikacji. Samo rozłączenie integracji zatrzymuje dalszy dostęp do Kalendarza iCloud, ale nie usuwa automatycznie danych zapisanych wcześniej w Bezpiecznej Kancelarii.

Użytkownik może w każdej chwili rozłączyć integrację w ustawieniach Bezpiecznej Kancelarii. Usunięcie konta w Bezpiecznej Kancelarii lub zakończenie świadczenia usługi powoduje usunięcie albo zwrot danych zgodnie z procedurą opisaną w sekcji 11.

9. Odbiorcy danych

Dane mogą być przekazywane następującym kategoriom odbiorców:

• dostawcom infrastruktury serwerowej i chmurowej,
• dostawcom poczty elektronicznej i wiadomości transakcyjnych,
• dostawcom systemów monitoringu technicznego i bezpieczeństwa,
• dostawcom systemów płatności,
• biuru rachunkowemu,
• kancelariom prawnym obsługującym Administratora,
• dostawcom usług transkrypcji, rozpoznawania mowy lub AI, jeżeli klient korzysta z takich funkcji,
• dostawcom narzędzi supportowych,
• operatorom usług zewnętrznych, z którymi klient połączył konto,
• organom publicznym, sądom lub innym uprawnionym podmiotom, jeżeli wymagają tego przepisy prawa.

Z podmiotami przetwarzającymi dane na nasze zlecenie zawieramy odpowiednie umowy powierzenia przetwarzania danych.

Aktualny wykaz podprocesorów, z których korzystamy:

• Hetzner Online GmbH (Niemcy, Europejski Obszar Gospodarczy) - infrastruktura serwerowa i hostingowa (serwery, bazy danych, przechowywanie plików).
• OpenAI (USA) - transkrypcja nagrań oraz funkcje AI; przekazanie danych poza EOG odbywa się na podstawie standardowych klauzul umownych (SCC).
• ElevenLabs (USA) - transkrypcja i rozpoznawanie mowy; przekazanie danych poza EOG odbywa się na podstawie standardowych klauzul umownych (SCC).

9.1. Operatorzy połączonych usług zewnętrznych

Jeżeli użytkownik połączy Bezpieczną Kancelarię z własnym kontem usługi zewnętrznej, dane mogą być wymieniane z operatorem tej usługi na polecenie użytkownika i wyłącznie w zakresie niezbędnym do działania wybranej integracji.

Dotyczy to w szczególności:

• Google - operatora usługi Google Calendar,
• Apple - operatora usługi Kalendarz iCloud.

W zakresie świadczenia użytkownikowi usług Google Calendar i Kalendarza iCloud Google i Apple działają jako operatorzy własnych usług, na podstawie własnych warunków i polityk prywatności. Nie są w tym zakresie podprocesorami Aurea Enterprises sp. z o.o. Użytkownik samodzielnie decyduje o połączeniu konta i może w każdej chwili rozłączyć integrację.

Informacje o zasadach przetwarzania danych przez tych operatorów znajdują się w Polityce prywatności Google oraz Polityce prywatności Apple.

10. Przekazywanie danych poza Europejski Obszar Gospodarczy

Co do zasady dążymy do tego, aby dane były przetwarzane na terenie Europejskiego Obszaru Gospodarczego.

Jeżeli w związku z korzystaniem z określonych dostawców lub funkcji dochodzi do przekazywania danych poza Europejski Obszar Gospodarczy, odbywa się to wyłącznie z zastosowaniem mechanizmów przewidzianych przez RODO, w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych lub innych wymaganych zabezpieczeń.

Informacje o transferach poza EOG wskazane są w wykazie podprocesorów (sekcja „Odbiorcy danych").

11. Okres przechowywania danych

Dane przechowujemy nie dłużej, niż jest to konieczne do realizacji celów, dla których zostały zebrane.

W szczególności:

• dane konta użytkownika przechowujemy przez czas korzystania z usługi, a następnie przez okres wymagany do rozliczeń, obsługi roszczeń lub spełnienia obowiązków prawnych,
• dane rozliczeniowe i księgowe przechowujemy przez okres wymagany przepisami podatkowymi i rachunkowymi,
• dane kontaktowe przetwarzane w związku z zapytaniem przechowujemy przez czas obsługi sprawy, a następnie przez okres potrzebny do wykazania jej przebiegu lub obrony przed roszczeniami,
• logi bezpieczeństwa przechowujemy przez okres 12 miesięcy,
• dane marketingowe przetwarzamy do czasu wniesienia sprzeciwu, wycofania zgody albo utraty przydatności danych,
• dane zapisane przez klienta w systemie przechowujemy zgodnie z umową, konfiguracją konta i polityką retencji wybraną przez klienta.

Po zakończeniu umowy dane klienta mogą zostać usunięte, zwrócone, wyeksportowane albo zanonimizowane zgodnie z umową i procedurą zakończenia świadczenia usługi.

12. Prawa osoby, której dane dotyczą

W zakresie, w jakim jesteśmy administratorem danych, osobie, której dane dotyczą, przysługuje prawo do:

• dostępu do danych,
• otrzymania kopii danych,
• sprostowania danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na naszym uzasadnionym interesie,
• cofnięcia zgody, jeżeli przetwarzanie odbywa się na podstawie zgody.

Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Aby skorzystać z praw, należy skontaktować się z nami pod adresem: privacy@bezpiecznakancelaria.pl.

Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. W przypadkach skomplikowanych termin ten może zostać przedłużony zgodnie z RODO.

Jeżeli żądanie dotyczy danych przetwarzanych przez klienta w systemie, np. danych znajdujących się w aktach sprawy prowadzonej przez kancelarię, możemy przekazać żądanie właściwemu klientowi albo poinformować, że należy skontaktować się bezpośrednio z tym klientem.

13. Prawo wniesienia skargi

Osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego właściwego w sprawach ochrony danych osobowych.

W Polsce organem tym jest Prezes Urzędu Ochrony Danych Osobowych.

Dane kontaktowe UODO: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Zachęcamy jednak, aby przed wniesieniem skargi skontaktować się z nami. Wiele spraw można wyjaśnić szybciej bez formalnego postępowania.

14. Zautomatyzowane podejmowanie decyzji

Nie podejmujemy wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały.

Funkcje AI, transkrypcji, podsumowań, wyszukiwania lub analizy dokumentów mają charakter pomocniczy i służą wsparciu pracy użytkownika. Ostateczne decyzje dotyczące spraw, klientów, dokumentów lub czynności prawnych podejmuje użytkownik albo klient korzystający z systemu.

15. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne mające chronić dane przed nieuprawnionym dostępem, utratą, zmianą, ujawnieniem lub zniszczeniem.

W szczególności stosujemy, zależnie od zakresu usługi:

• szyfrowanie danych,
• kontrolę dostępu,
• role i uprawnienia użytkowników,
• logowanie zdarzeń,
• mechanizmy uwierzytelniania,
• separację danych klientów,
• kopie zapasowe,
• monitoring bezpieczeństwa,
• procedury obsługi incydentów,
• ograniczenie dostępu personelu do danych.

Żaden system informatyczny nie gwarantuje absolutnego bezpieczeństwa, ale projektujemy Bezpieczną Kancelarię tak, aby minimalizować ryzyka związane z przetwarzaniem danych kancelarii.

16. Poufność zawodowa i tajemnica zawodowa klientów

Rozumiemy, że dane przetwarzane w Bezpiecznej Kancelarii mogą być objęte tajemnicą zawodową, tajemnicą adwokacką, radcowską, tajemnicą przedsiębiorstwa lub innymi obowiązkami poufności.

Bezpieczna Kancelaria jest systemem technologicznym, a odpowiedzialność za ocenę, jakie dane mogą zostać wprowadzone do systemu oraz jakie obowiązki zawodowe mają zastosowanie, spoczywa na kliencie korzystającym z usługi.

Zapewniamy środki techniczne i organizacyjne przewidziane dla ochrony poufności danych, zgodnie z umową, dokumentacją bezpieczeństwa i ustawieniami systemu.

17. Dane dzieci

Bezpieczna Kancelaria nie jest usługą kierowaną bezpośrednio do dzieci. Nie zakładamy świadomie kont osobom, które nie są uprawnionymi użytkownikami klienta.

Dane dzieci mogą jednak znajdować się w dokumentach lub aktach spraw przetwarzanych przez klientów systemu. W takim przypadku administratorem tych danych jest klient, a my przetwarzamy je jako podmiot przetwarzający.

18. Zmiany Polityki prywatności

Możemy zmieniać Politykę prywatności, w szczególności w przypadku zmian w systemie, zmian technologicznych, zmian dostawców, zmian prawnych albo zmian zakresu usług.

Aktualna wersja Polityki prywatności jest publikowana na stronie bezpiecznakancelaria.pl.

O istotnych zmianach możemy poinformować użytkowników także w aplikacji lub drogą e-mailową.

19. Kontakt

W sprawach dotyczących prywatności i ochrony danych osobowych prosimy o kontakt:

Aurea Enterprises sp. z o.o., ul. Plac Bankowy 2, 00-095 Warszawa. E-mail: privacy@bezpiecznakancelaria.pl.