Polityka prywatności

Ta polityka obowiązuje zawsze, gdy dane osobowe są zbierane lub wykorzystywane za pośrednictwem Atflow, w którejkolwiek z tych sytuacji:

• odwiedzanie naszej strony internetowej i czytanie artykułów;
• zakładanie konta, logowanie oraz tworzenie zespołów, flow, stron statusu i integracji;
• zapraszanie członków zespołu i konfigurowanie alertów e-mail i SMS;
• wykupienie pakietu i rozliczenie;
• wysyłanie raportów do Atflow z Twoich systemów przez nasz endpoint raportów, SDK lub API (część B);
• korzystanie z aplikacji desktopowej lub mobilnej, kontakt z pomocą techniczną albo otrzymywanie od nas e-maili i wiadomości SMS.

Dotyczy następujących osób:

• odwiedzających, którzy przeglądają naszą stronę;
• klientów: osób zakładających konto Atflow oraz organizacji, w imieniu których działają;
• członków zespołu: osób, które klient zaprasza do zespołu, także tych, które zaproszenie otrzymały, ale jeszcze nie dołączyły;
• osób, których dane znajdują się w raportach: na przykład użytkowników aplikacji naszych klientów, jeśli klient umieści ich dane w raporcie. W ich przypadku działamy jako podmiot przetwarzający w imieniu klienta (część B), a obowiązuje także własna informacja o prywatności klienta;
• naszego personelu i podwykonawców, którzy mogą uzyskiwać dostęp do danych osobowych wyłącznie w celu świadczenia, zabezpieczania i obsługi usługi oraz którzy są związani poufnością.

Nie dotyczy sposobu, w jaki nasi klienci wykorzystują dane we własnych systemach, usług, które podłączasz do Atflow, takich jak Jira, monday.com, GitHub, dostawca AI czy Twoje własne endpointy webhook (obowiązują ich warunki i polityki), ani informacji zanonimizowanych w taki sposób, że nikogo już nie identyfikują.

• Dane konta: Twój adres e-mail i dane profilu, którymi dzielisz się podczas logowania. Logowanie zapewnia Alternative Auth, usługa uwierzytelniania, którą również prowadzimy; jej własna polityka prywatności obejmuje samo logowanie. Atflow nie przechowuje Twojego hasła.
• Dane zespołu: nazwy zespołów i logo, adresy e-mail i role członków oraz zaproszenia (kto kogo zaprosił i kiedy).
• Ustawienia powiadomień: czy chcesz otrzymywać alerty e-mail lub SMS i dla jakich zdarzeń oraz Twój numer telefonu komórkowego, jeśli włączysz SMS-y.
• Zawartość przestrzeni roboczej: flow, węzły, nazwy i opisy, ustawienia stron statusu oraz ustawienia integracji, które podłączasz: na przykład witryna Jira, e-mail konta i projekt, tablica monday.com, adresy webhooków, repozytorium GitHub i gałęzie, a także tokeny dostępu i klucze, które dla nich wpisujesz.
• Dane rozliczeniowe: Twój pakiet, status subskrypcji oraz identyfikatory klienta i subskrypcji, które otrzymujemy od Stripe. Dane karty wprowadza się na stronach Stripe i przetwarza je Stripe; pełnych numerów kart nigdy nie otrzymujemy.
• Dane o użytkowaniu i bezpieczeństwie: adres IP, informacje o przeglądarce i urządzeniu, czas i adres żądań do naszych serwerów oraz działania, które wykonujesz w panelu.
• Komunikacja: wiadomości wysyłane przez czat wsparcia, z Twoim imieniem i e-mailem, oraz e-maile, które do nas piszesz. Jeśli funkcja jest włączona — pytania zadawane asystentowi AI i jego odpowiedzi.
• Aplikacja desktopowa: otwiera ten sam panel w oknie. Utrzymuje Cię zalogowanego na urządzeniu i regularnie sprawdza liczbę nieprzeczytanych powiadomień. Nie zbiera niczego ponad to, co zbiera panel.
• Odwiedziny strony: nasza strona nie używa analitycznych ani reklamowych plików cookie. Nasz dostawca hostingu przetwarza Twój adres IP i dane żądania, aby dostarczać strony i chronić witrynę, a nasze strony ładują czcionki z Google Fonts, co oznacza, że Twoja przeglądarka wysyła Twój adres IP do Google.

• Aby świadczyć usługę, którą zamówiłeś: prowadzić Twoje zespoły i flow, pokazywać Twoje raporty, wysyłać wybrane przez Ciebie alerty e-mail i SMS oraz łączyć włączone integracje — wykonanie naszej umowy (art. 6 ust. 1 lit. b RODO).
• Aby wystawiać Ci rachunki i zarządzać subskrypcją — wykonanie umowy.
• Aby utrzymać bezpieczeństwo usługi: uwierzytelniać żądania, wykrywać oszustwa i nadużycia, egzekwować limity pakietu i limity częstotliwości oraz badać incydenty — nasz prawnie uzasadniony interes w bezpiecznej usłudze (art. 6 ust. 1 lit. f).
• Aby wysyłać e-maile serwisowe, rozliczeniowe i bezpieczeństwa, takie jak zaproszenia i zmiany w zespole — umowa i prawnie uzasadniony interes. E-maile marketingowe wysyłamy tylko za Twoją zgodą, a każdy z nich umożliwia rezygnację z subskrypcji.
• Aby odpowiadać na zgłoszenia do pomocy technicznej i — jeśli funkcja jest włączona — pytania do asystenta AI — umowa i prawnie uzasadniony interes.
• Aby ulepszać usługę: przyglądamy się temu, jak wykorzystywane są funkcje, a także błędom i wydajności, na podstawie zagregowanych danych o użytkowaniu na poziomie konta — nasz prawnie uzasadniony interes w ulepszaniu produktu. Nie wykorzystujemy do tego treści Twoich raportów, a w każdej chwili możesz się sprzeciwić.
• Aby prowadzić księgi rachunkowe i wypełniać obowiązki podatkowe i prawne — obowiązek prawny (art. 6 ust. 1 lit. c).

Nie sprzedajemy danych osobowych i nie wykorzystujemy Twoich danych ani danych z Twoich raportów do trenowania modeli AI.

Korzystamy z następujących dostawców usług. Przetwarzają dane wyłącznie na nasze polecenie i na podstawie umów powierzenia przetwarzania. Ta sama lista dotyczy danych raportów w części B.

• Amazon Web Services (AWS) — wysyłka e-maili (SES) i wiadomości SMS (SNS), przechowywanie logo zespołów (S3) oraz kolejki i funkcje, które odbierają raporty i wykonują zadania w tle. Nasze zasoby przyjmowania raportów i kolejek zadań działają w UE (Frankfurt, Niemcy).
• Nasz dostawca bazy danych — baza Atflow, która przechowuje dane Twojego konta, zespołu, przestrzeni roboczej i raportów: a PostgreSQL server we operate on Amazon Web Services in Frankfurt, Germany (EU).
• Vercel — hosting strony, panelu i API. Żądania do panelu i API są przetwarzane na serwerach Vercel w Stanach Zjednoczonych; Twoje dane są przechowywane w UE, jak opisano powyżej.
• Stripe — płatności, fakturowanie i podatki.
• Google — czcionki internetowe (Google Fonts) używane przez nasze strony.
• Groq — generuje odpowiedzi asystenta AI oraz, jeśli je włączysz, podsumowania w e-mailach z analizą AI. Wysyłamy tylko Twoje pytanie i wcześniejsze wiadomości tej rozmowy albo podsumowanie raportów Twojego zespołu (tytuły, typy, statusy, liczby i skrócone wiadomości bez sekretów) — nigdy dane konta, metadane ani stany komponentów.

Logowanie (Alternative Auth) i czat wsparcia, na który odpowiadamy z naszego wewnętrznego systemu obsługi (WNC Base), są prowadzone przez nas, a nie przez zewnętrzną stronę.

Integracje, które włączasz, są inne: Jira (Atlassian), monday.com, GitHub, dostawca AI wybrany do AI hotfix (Anthropic lub OpenAI, z Twoim własnym kluczem API) oraz Twoje własne endpointy webhook otrzymują dane raportów, ponieważ poleciłeś nam wysyłać je tam. Działają na podstawie własnych warunków wobec Ciebie, a nie jako nasi podprzetwarzający.

Możemy też ujawnić dane, gdy wymaga tego prawo lub właściwy organ, aby chronić nasze prawa lub bezpieczeństwo innych, albo następcy prawnemu w przypadku fuzji lub przejęcia, który będzie związany niniejszą polityką.

Niektórzy z wyżej wymienionych dostawców mają siedzibę w Stanach Zjednoczonych lub przetwarzają tam ograniczone dane (na przykład płatności, hosting panelu, czcionki lub zapytania AI). Gdy tak się dzieje, opieramy się na Ramach ochrony danych UE–USA, jeśli dostawca jest certyfikowany, albo na standardowych klauzulach umownych Komisji Europejskiej.

• Dane konta, zespołu i przestrzeni roboczej: tak długo, jak istnieje Twoje konto. Po jego usunięciu — w ciągu 30 dni, z wyjątkiem poniższych.
• Twój numer telefonu: dopóki go nie usuniesz lub nie usuniesz konta.
• Faktury i dokumenty księgowe: 7 lat, zgodnie z estońskim prawem księgowym.
• Logi bezpieczeństwa i serwera: do 90 dni.
• Rozmowy z pomocą techniczną: tak długo, jak są potrzebne, aby Ci pomóc, i do 2 lat po tym.
• Kopie zapasowe: nadpisywane w regularnym cyklu, najdłużej 35 dni.

Zgodnie z RODO możesz żądać dostępu do swoich danych, ich poprawienia, usunięcia lub eksportu, ograniczenia lub sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz w każdej chwili wycofać zgodę. Ustawienia powiadomień i numer telefonu możesz zmienić sam w panelu. We wszystkich pozostałych sprawach napisz na legal@we-nocode.com; odpowiadamy w ciągu miesiąca. Możesz także złożyć skargę do the Estonian Data Protection Inspectorate (Andmekaitse Inspektsioon, www.aki.ee) lub do organu nadzorczego w Twoim kraju.

Używamy wyłącznie tego, czego usługa potrzebuje do działania: plików cookie i pamięci przeglądarki, które utrzymują Cię zalogowanego w panelu i zapamiętują ustawienia, na przykład motyw. Nasza strona nie ustawia własnych plików cookie. Nie używamy plików cookie reklamowych ani plików śledzących między stronami.

Gdy Twoje systemy wysyłają raporty do Atflow, to Ty decydujesz, co każdy raport zawiera i po co, i to Ty jesteś administratorem. Przetwarzamy te dane w Twoim imieniu, zgodnie z Warunkami przetwarzania danych z sekcji 9 naszego Regulaminu.

Raport składa się z pól, które wypełnia Twój kod: jego typ i status, identyfikator, wiadomość, wszelkie dołączone metadane oraz stan komponentów we flow. Dodajemy czas otrzymania i zliczamy, jak często się pojawia. Nie dodajemy niczego o Twoich użytkownikach, czego sam nie wysłałeś.

Dane raportów wykorzystujemy wyłącznie do świadczenia usługi na Twoją rzecz:

• są przechowywane i wyświetlane członkom Twojego zespołu;
• krótki fragment komunikatu o błędzie jest zawarty w alertach e-mail i SMS, które członkowie zespołu zdecydowali się otrzymywać;
• są wysyłane do integracji, które włączasz — na przykład w celu utworzenia zgłoszenia w Jirze lub elementu w monday.com, wywołania Twoich webhooków albo, przy AI hotfix, do dostawcy AI i repozytorium GitHub, które skonfigurowałeś.

Wysyłaj tylko to, czego potrzebujesz do naprawienia problemu. Raporty nie mogą zawierać szczególnych kategorii danych osobowych (takich jak dane o zdrowiu, biometryczne lub o przekonaniach religijnych), danych o wyrokach skazujących, haseł, tokenów dostępu, kluczy API, numerów kart płatniczych ani numerów dokumentów tożsamości. Jeśli musisz zidentyfikować użytkownika, użyj wewnętrznego identyfikatora zamiast imienia czy adresu e-mail.

Raporty przechowujemy przez okres historii Twojego pakietu — 30 dni w Hobby, 90 w Starter, 180 w Pro, lub zgodnie z umową w Enterprise — albo do chwili, gdy usuniesz je, ich flow lub swoje konto, w zależności od tego, co nastąpi wcześniej. Raporty spoza okresu historii oraz usunięte raporty są usuwane z naszych systemów w ciągu 30 dni, a z kopii zapasowych — w ich regularnym cyklu.

Jeśli jesteś użytkownikiem jednej z aplikacji naszych klientów i masz pytanie o swoje dane, prosimy najpierw skontaktować się z tym klientem; jeśli skontaktujesz się z nami, przekażemy Twoją prośbę jemu.

Chronimy dane przez szyfrowanie w transmisji (TLS), dostęp ograniczony do członków każdego zespołu, osobny sekretny klucz dla endpointu raportów każdego flow, szyfrowanie (AES-256) tokena GitHub i klucza dostawcy AI, które przechowujesz dla AI hotfix, oraz logowanie zdarzeń. Nasz personel pomocy technicznej może mieć dostęp do Twojej przestrzeni roboczej, także przeglądając ją tak, jak zrobiłby to członek zespołu, wyłącznie w celu zapewnienia wsparcia, o które prosiłeś, lub w celu zbadania nadużycia albo problemu bezpieczeństwa. Żaden system nie jest w pełni bezpieczny; jeśli naruszenie dotyczy Twoich danych, poinformujemy Cię, a tam, gdzie wymaga tego prawo, także organ nadzorczy.

Atflow jest skierowany do dorosłych działających w imieniu firmy. Nie jest kierowany do dzieci, a klienci nie powinni świadomie przesyłać nam w raportach danych dotyczących dzieci.

Zmiany będziemy publikować tutaj i aktualizować datę powyżej. W przypadku istotnych zmian poinformujemy także klientów e-mailem lub w panelu, zanim wejdą w życie.

WeNoCode OÜ — legal@we-nocode.com