Tulsy to zestaw prostych aplikacji internetowych dla małych firm, dostępnych pod adresem tulsy.pl (m.in. Terminy i Eko-skaner). Poniżej wyjaśniamy, jakie dane osobowe przetwarzamy, po co, na jakiej podstawie, jak długo i jakie masz prawa. Piszemy to możliwie prosto.
1. Administrator danych
Administratorem Twoich danych osobowych jest BIT Consulting, ul. Telewizyjna 30, Gdańsk, NIP 5551952590 (dalej: „Administrator”, „my”).
We wszystkich sprawach dotyczących danych osobowych napisz na adres hello@tulsy.net. Nie wyznaczyliśmy inspektora ochrony danych; ten adres jest naszym punktem kontaktowym w sprawach prywatności.
2. W jakiej roli przetwarzamy dane
- Jako administrator przetwarzamy dane potrzebne do prowadzenia konta, firmy w Tulsy, dostępu do aplikacji, płatności, powiadomień, bezpieczeństwa i kontaktu z Tobą oraz dane z odwiedzin serwisu.
- Jako podmiot przetwarzający działamy wobec danych, które Ty lub Twoja firma wprowadzacie do aplikacji (np. terminy, notatki, dane Waszych klientów lub pracowników). Administratorem tych danych jest Twoja firma, a my przetwarzamy je na jej polecenie, na podstawie postanowień o powierzeniu przetwarzania danych zawartych w Regulaminie (pkt 9). Poniżej opisujemy także przepływ tych danych przy korzystaniu z asystenta AI; nie zastępuje to obowiązku informacyjnego Twojej firmy wobec osób, których dane wprowadza do Tulsy.
3. Jakie dane, w jakim celu i na jakiej podstawie
| Cel | Dane | Podstawa prawna (RODO) |
|---|---|---|
| Założenie i prowadzenie konta oraz firmy, logowanie, zaproszenia osób do firmy, uprawnienia do aplikacji | adres e-mail, hasło (przechowujemy wyłącznie jego bezpieczny skrót), imię i nazwisko lub nazwa wyświetlana, nazwa firmy, rola w firmie, identyfikatory techniczne | art. 6 ust. 1 lit. b, gdy jesteś stroną umowy; dla przedstawicieli i pracowników klienta: lit. f (nasz interes: obsługa umowy z firmą i jej użytkowników) |
| Korzystanie z aplikacji (np. Terminy, Eko-skaner) | dane, które sam wprowadzasz do aplikacji, oraz ustawienia konta; patrz punkt 2 | dla danych konta: art. 6 ust. 1 lit. b lub f jak wyżej; dla danych powierzonych: działamy na polecenie firmy na podstawie art. 28 RODO, a podstawę przetwarzania ustala firma |
| Okres próbny, abonament, płatności i faktury | dane do faktury (nazwa, NIP, adres, e-mail do faktur), historia płatności i status subskrypcji. Danych karty nie widzimy ani nie przechowujemy: obsługuje je operator płatności | art. 6 ust. 1 lit. b (umowa), lit. c (obowiązki podatkowe i księgowe) |
| Powiadomienia e-mail (aktywacja konta, zaproszenia, reset hasła, przypomnienia o terminach, komunikaty o płatnościach) i powiadomienia push w przeglądarce | adres e-mail, treść powiadomienia; dla push: identyfikator subskrypcji przeglądarki (przy włączeniu powiadomień na tym urządzeniu) | art. 6 ust. 1 lit. b; push: art. 6 ust. 1 lit. a (zgoda, którą wyrażasz włączając powiadomienia w przeglądarce) |
| Odpowiedź na wiadomość z formularza kontaktowego | adres e-mail i treść wiadomości | art. 6 ust. 1 lit. f (nasz interes: odpowiedź na zapytanie); przed zawarciem umowy: lit. b |
| Bezpieczeństwo, diagnostyka błędów i działanie serwisu | dzienniki techniczne (adres IP, czas, ścieżka, identyfikatory konta i firmy, informacje o błędach). Nie zapisujemy w dziennikach adresów e-mail, haseł ani tokenów | art. 6 ust. 1 lit. f (nasz interes: bezpieczeństwo i niezawodność usługi) |
| Anonimowa statystyka odwiedzin (bez zgody na analitykę) | liczba odwiedzin danej podstrony w danym dniu. Bez plików cookie i bez identyfikowania osób | art. 6 ust. 1 lit. f (nasz interes: wiedza, z których stron korzystacie) |
| Analityka i reklama (Google Analytics, Google Ads, Meta), tylko po zgodzie | identyfikatory w plikach cookie, dane o korzystaniu z serwisu, urządzeniu i przeglądarce | art. 6 ust. 1 lit. a (zgoda) oraz art. 399 Prawa komunikacji elektronicznej |
| Dochodzenie roszczeń i obrona przed nimi, rozliczenia | dane z powyższych kategorii, w zakresie niezbędnym | art. 6 ust. 1 lit. f |
Asystent AI — zakres i przepływ danych
Asystent jest systemem sztucznej inteligencji wykorzystującym modele OpenAI przez API, a nie rozmową z człowiekiem ani Twoim prywatnym kontem ChatGPT. Do OpenAI przekazujemy treść wysyłanej wiadomości, kontekst rozmowy oraz wyniki funkcji odczytujących dane dostępne dla Ciebie w Tulsy, potrzebne do obsługi polecenia. Mogą to być dane z terminów, ofert i słowników firmy, w tym dane osobowe zawarte w opisach, notatkach i danych kontrahentów. Przekazanie może nastąpić także przy obliczaniu rozmiaru zapytania, przed wygenerowaniem odpowiedzi.
Treść rozmowy i dane firmy w niej zawarte przetwarzamy na polecenie firmy, na zasadach powierzenia. Identyfikatory konta i firmy, liczniki tokenów, czas i status operacji przetwarzamy także do obsługi limitów i zapewnienia bezpieczeństwa: art. 6 ust. 1 lit. b, gdy jesteś stroną umowy, lub lit. f (nasz interes: obsługa użytkowników klienta, kontrola wykorzystania i ochrona usługi). Korzystanie z asystenta jest dobrowolne. Nie wpisuj haseł, kluczy dostępu, danych o zdrowiu ani innych szczególnych kategorii danych lub danych o wyrokach skazujących. Podawaj tylko dane potrzebne do zadania.
W Tulsy zapisujemy wiadomości, odpowiedzi, przygotowane operacje i informacje o wykorzystaniu asystenta. Rozmowę możesz usunąć w panelu asystenta; nie usuwa to utworzonych przez Ciebie rekordów w aplikacjach ani ewidencji wykorzystanego limitu. Historię utrzymujemy w celu kontynuowania rozmów do jej usunięcia lub zakończenia świadczenia usługi, z uwzględnieniem zasad zwrotu i usuwania danych w Regulaminie. Okres przechowywania kopii przez dostawcę AI jest niezależny od usunięcia rozmowy w Tulsy.
Zapytania generujące odpowiedzi wysyłamy z parametrem store=false. Nie oznacza to
zerowego przechowywania danych przez OpenAI: zgodnie ze standardowymi zasadami API dzienniki
przeciwdziałania nadużyciom mogą zawierać treści i być przechowywane do 30 dni, a dłużej, gdy wymaga
tego prawo. Dane API nie są domyślnie wykorzystywane do trenowania modeli; odrębne udostępnianie danych
zależy od ustawień organizacji dostawcy. Szczegóły opisuje
dokumentacja zasad przetwarzania danych API OpenAI.
Odpowiedzi mogą zawierać błędy. Zweryfikuj ich treść i podgląd operacji przed zatwierdzeniem zapisu.
Podanie danych do założenia konta i płatności jest dobrowolne, ale niezbędne do korzystania z Tulsy. Eko-skaner analizuje publicznie dostępne strony internetowe wskazane przez użytkownika; nie służy do oceniania osób.
4. Pliki cookie i podobne technologie
Niezbędne pliki cookie ustawiamy zawsze, bo bez nich serwis nie działa: sesja logowania, ochrona formularzy
(antiforgery), Twój wybór zgód (tulsy_consent), motyw (tl_theme) i układ menu
(tl_nav). Nie wymagają zgody.
Narzędzia analityczne i reklamowe (Google Analytics, Google Ads, piksel Meta) uruchamiamy dopiero po Twojej zgodzie. Bez niej nie ustawiamy tych plików cookie, a odwiedziny liczymy wyłącznie anonimowo (punkt 3). Zgodę możesz w każdej chwili zmienić lub wycofać na stronie Ustawienia cookies. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed jej wycofania. Pliki cookie możesz też usunąć lub zablokować w ustawieniach przeglądarki.
5. Odbiorcy danych
Dane nie są sprzedawane. Korzystamy z zaufanych dostawców, którzy przetwarzają dane na nasze polecenie, na podstawie umów powierzenia:
- dostawca hostingu (serwer VPS) i infrastruktury, na której działa Tulsy, w tym kopii zapasowych,
- Stripe: operator płatności kartą i subskrypcji (Stripe jest też samodzielnym administratorem w zakresie własnych obowiązków, np. przeciwdziałania nadużyciom),
- dostawca poczty e-mail, przez którego wysyłamy powiadomienia,
- Sentry: monitoring błędów (przekazujemy dane techniczne i identyfikatory, bez adresów e-mail i haseł),
- OpenAI: dostawca modeli asystenta AI; otrzymuje wiadomości, kontekst rozmowy i wyniki funkcji opisane w punkcie 3, gdy korzystasz z asystenta,
- usługi push przeglądarek (Google, Apple, Mozilla, Microsoft) dostarczające powiadomienia na urządzenie, jeśli je włączysz,
- Google i Meta, wyłącznie jeśli wyrazisz zgodę na analitykę lub reklamę,
- biuro rachunkowe, doradcy prawni i podmioty obsługujące nas informatycznie, w zakresie niezbędnym do świadczenia im usług na naszą rzecz.
Dane mogą też otrzymać organy publiczne, jeśli wynika to z przepisów prawa. Osoby z Twojej firmy widzą dane w zakresie nadanych im uprawnień; dane jednej firmy nie są widoczne dla innych firm.
Część dostawców (np. OpenAI, Google, Meta, Stripe, Sentry) może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Wtedy dane są chronione mechanizmami z RODO, w szczególności decyzją Komisji Europejskiej o adekwatności (Data Privacy Framework) lub standardowymi klauzulami umownymi. Właściwy mechanizm zależy od konkretnego odbiorcy i zakresu usługi; sama siedziba dostawcy w UE nie wyklucza dostępu spoza EOG. Informację o stosowanych zabezpieczeniach transferu oraz możliwość uzyskania ich kopii zapewniamy pod adresem hello@tulsy.net.
6. Jak długo przechowujemy dane
- Konto i dane firmy: przez czas korzystania z Tulsy, a po usunięciu konta lub firmy do czasu wygaśnięcia ewentualnych roszczeń (co do zasady do 6 lat).
- Dane w aplikacjach: przez czas trwania umowy; po jej zakończeniu zgodnie z Regulaminem.
- Dokumenty księgowe i faktury: 5 lat od końca roku podatkowego, w którym powstał obowiązek podatkowy.
- Wiadomości z formularza kontaktowego: do zakończenia sprawy, a następnie do 12 miesięcy; dłużej, jeśli doprowadzą do zawarcia umowy lub sporu.
- Dzienniki techniczne: przez krótki, niezbędny do diagnostyki i bezpieczeństwa okres.
- Zgody i ustawienia cookie: do 12 miesięcy w pliku cookie, do czasu zmiany lub usunięcia.
- Subskrypcja push: do czasu jej wyłączenia lub wygaśnięcia w przeglądarce.
7. Twoje prawa
Masz prawo do:
- dostępu do swoich danych i otrzymania ich kopii,
- sprostowania danych,
- usunięcia danych („prawo do bycia zapomnianym”),
- ograniczenia przetwarzania,
- przenoszenia danych,
- sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie,
- wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania),
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa).
Aby skorzystać z praw, napisz na hello@tulsy.net. Jeśli Twoje dane wprowadziła do aplikacji Twoja firma lub inna firma (my jesteśmy wtedy podmiotem przetwarzającym), przekażemy zgłoszenie administratorowi tych danych. Nie podejmujemy wobec Ciebie decyzji wyłącznie na podstawie zautomatyzowanego przetwarzania, w tym profilowania, które wywoływałyby skutki prawne.
8. Bezpieczeństwo
Dane jednej firmy są od siebie oddzielone na poziomie bazy danych, połączenia są szyfrowane (HTTPS), hasła przechowujemy wyłącznie w postaci skrótu, a dostęp do danych płatniczych i uprawnień mają tylko wyznaczone role systemowe. Dane karty płatniczej trafiają bezpośrednio do Stripe.
9. Zmiany polityki
Możemy aktualizować tę politykę, np. gdy dodamy nową aplikację lub dostawcę. Aktualna wersja jest zawsze na tej stronie, z datą obowiązywania na górze. O istotnych zmianach poinformujemy zalogowanych użytkowników e-mailem lub w serwisie.
