Polityka prywatności
Wersja 1.0 · Data wejścia w życie: 28 lipca 2026 r. · Wersja polska jest wersją wiążącą; tłumaczenie angielskie ma charakter wyłącznie informacyjny.
Niniejsza Polityka prywatności opisuje, w jaki sposób przetwarzamy dane osobowe w związku ze świadczeniem usługi dostępu do aplikacji SuperRank (superrank.pl) — narzędzia monitorującego widoczność marek w odpowiedziach asystentów AI — oraz w związku z prowadzeniem serwisu internetowego, w tym bezpłatnego narzędzia „Sprawdź”. Polityka realizuje obowiązki informacyjne wynikające z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
Sekcja 1. Administrator danych i kontakt
1. Administratorem Państwa danych osobowych — w zakresie opisanym w Sekcji 2 pkt 2 — jest Borys Kuśmirek, prowadzący działalność gospodarczą pod firmą BORYS KUŚMIREK, ul. Zakładowa 9/4, 50-231 Wrocław, NIP: 8952257118 (dalej: „Usługodawca” lub „my”). 2. We wszystkich sprawach dotyczących danych osobowych mogą się Państwo kontaktować pod adresem e-mail: rodo@superrank.pl. Sprawy dotyczące bieżącej obsługi usługi prosimy kierować na adres pomoc@superrank.pl, a sprawy rozliczeń i faktur — na adres faktury@superrank.pl. 3. Nie wyznaczyliśmy inspektora ochrony danych; obowiązek jego wyznaczenia w naszym przypadku nie zachodzi. Punktem kontaktowym we wszystkich sprawach ochrony danych jest adres rodo@superrank.pl.
Sekcja 2. Dwie role: administrator i podmiot przetwarzający
1. W ramach usługi SuperRank występujemy w dwóch odrębnych rolach w rozumieniu RODO. Rozróżnienie to określa, które zasady — niniejsza Polityka czy umowa powierzenia przetwarzania danych — mają zastosowanie do konkretnej kategorii danych. 2. Jesteśmy administratorem danych osobowych związanych z: (a) kontami użytkowników i organizacji (rejestracja, logowanie, ustawienia), (b) rozliczeniami, płatnościami i fakturami, (c) korespondencją z nami, (d) danymi technicznymi i bezpieczeństwa (m.in. adresy IP, logi), (e) marketingiem własnych usług, (f) bezpłatnym narzędziem „Sprawdź” oraz (g) zagregowaną telemetrią produktową. Tych danych dotyczy niniejsza Polityka. 3. Jesteśmy podmiotem przetwarzającym (procesorem) w odniesieniu do Danych Klienta, tj. treści wprowadzanych do Aplikacji przez klienta i wyników monitoringu wykonywanego na jego zlecenie: monitorowanych marek i ich aliasów, promptów, list konkurentów oraz odpowiedzi silników AI zebranych w ramach monitoringu. Treści te mogą incydentalnie zawierać dane osobowe — w szczególności firmy przedsiębiorców będących osobami fizycznymi (jednoosobowa działalność gospodarcza zawiera imię i nazwisko) oraz dane osób wzmiankowanych w odpowiedziach asystentów AI (np. założycieli, ekspertów). Administratorem tych danych jest klient; my przetwarzamy je wyłącznie w celu świadczenia usługi, na podstawie umowy powierzenia przetwarzania danych stanowiącej Załącznik nr 1 do Regulaminu (superrank.pl/umowa-powierzenia). 4. W planie Agencja klient może korzystać z Aplikacji na rzecz własnych klientów końcowych — wówczas klient działa jako podmiot przetwarzający swoich klientów (administratorów), a my jako dalszy podmiot przetwarzający. Szczegóły określa umowa powierzenia. 5. Jeżeli Państwa dane pojawiają się w treściach monitorowanych przez naszego klienta (np. w odpowiedziach silników AI dotyczących danej branży), administratorem tych danych jest odpowiedni klient. Żądania dotyczące takich danych przekażemy właściwemu administratorowi lub wskażemy Państwu, kim on jest — w zakresie, w jakim możemy to ustalić. 6. Informacja o charakterze danych z monitoringu: odpowiedzi asystentów AI mają charakter probabilistyczny — są generowane maszynowo, mogą się różnić między uruchomieniami i mogą zawierać informacje nieprawdziwe, w tym nieprawdziwe informacje o osobach. Prezentujemy je wyłącznie jako zapis tego, co w danym momencie odpowiedział dany silnik, a nie jako stwierdzenie faktów.
Sekcja 3. Kategorie danych, cele i podstawy prawne
1. Przetwarzanie, dla którego jesteśmy administratorem: — Dane konta (adres e-mail, identyfikator logowania Google, ustawienia konta i organizacji): rejestracja i prowadzenie konta, uwierzytelnianie (jednorazowy link e-mail lub konto Google), świadczenie usługi dostępu do Aplikacji — art. 6 ust. 1 lit. b RODO (wykonanie umowy). — Dane rozliczeniowe (imię i nazwisko lub firma, adres, NIP, wybrany plan, historia płatności i faktur; pełne dane kart płatniczych przetwarza wyłącznie Stripe): zawarcie i wykonanie umowy, obsługa płatności, przypomnienia o wygasających przepustkach przedpłaconych — lit. b (wykonanie umowy). — Dane nabywcy na fakturach: wystawianie, przechowywanie i przekazywanie faktur ustrukturyzowanych do KSeF; rachunkowość i podatki — lit. c (obowiązek prawny wynikający z przepisów podatkowych i o rachunkowości). — Korespondencja (treść wiadomości kierowanych na pomoc@, rodo@ i faktury@ oraz nasze odpowiedzi): obsługa zgłoszeń, reklamacji i żądań dotyczących danych osobowych — lit. b (obsługa umowy) oraz lit. f (obrona przed roszczeniami). — Dane techniczne i bezpieczeństwa (adres IP, identyfikatory sesji, logi serwerowe i zdarzenia bezpieczeństwa): bezpieczeństwo usługi, zapobieganie nadużyciom, diagnostyka błędów — lit. f (prawnie uzasadniony interes: bezpieczeństwo i niezawodność usługi). — Bezpłatne narzędzie „Sprawdź” (adres IP w postaci skrótu, treść sprawdzenia i wynik): świadczenie bezpłatnej usługi jednorazowego sprawdzenia, egzekwowanie limitu 3 sprawdzeń dziennie na adres IP, moderacja treści — lit. b oraz lit. f. — Wysyłka wyniku bezpłatnego sprawdzenia na e-mail (adres e-mail podany dobrowolnie w formularzu pod wynikiem oraz skrót adresu IP zgłoszenia): jednorazowe przesłanie linku do wyniku wraz z jego podsumowaniem — lit. b (podjęcie działań na żądanie osoby, której dane dotyczą) oraz lit. f (zapobieganie nadużyciom: limit wysyłek na adres IP, jedna wiadomość na jedno sprawdzenie). Podanie adresu jest w pełni dobrowolne — cały wynik jest widoczny bez podawania e-maila. Zgoda na otrzymywanie wskazówek i informacji o nowościach jest odrębna, domyślnie niezaznaczona i mogą ją Państwo cofnąć jednym kliknięciem w każdej wiadomości. — Powiadomienia i wiadomości serwisowe związane z korzystaniem z Aplikacji (adres e-mail, ustawienia powiadomień, historia wysyłek): alerty o spadkach widoczności, cotygodniowy digest wyników, wiadomości okresu próbnego (pierwszy raport oraz wskazówki w 3., 7., 11. i 13. dniu triala), przypomnienia o kończącym się okresie przedpłaconej przepustki, a także potwierdzenia zamówienia, faktury, zwrotu środków, zaproszenia do organizacji i przyjęcia żądania usunięcia organizacji — lit. b (wykonanie umowy). Alerty i digest wyłączają Państwo jednym kliknięciem w każdej wiadomości (nagłówek List-Unsubscribe) lub w ustawieniach Aplikacji; wiadomości niezbędne do wykonania umowy (potwierdzenia, faktury) wysyłamy zawsze. — Marketing własnych usług (adres e-mail, historia wysyłek): informowanie o nowych funkcjach i usługach SuperRank — lit. f (marketing bezpośredni własnych usług); samo przesyłanie informacji handlowych drogą elektroniczną wymaga Państwa odrębnej zgody wynikającej z przepisów o komunikacji elektronicznej, którą mogą Państwo cofnąć w każdej chwili. Zgodę odbieramy w onboardingu (pole domyślnie niezaznaczone, data zgody zapisywana odrębnie dla każdej osoby) i wyłącznie na jej podstawie wysyłamy wiadomości marketingowe — w tym zaproszenie do powrotu po zakończeniu okresu próbnego; wycofanie zgody działa jednym kliknięciem w każdej wiadomości. — Telemetria produktowa (zagregowane statystyki korzystania z Aplikacji i zbiorcze wskaźniki): rozwój usługi oraz opracowywanie statystyk i benchmarków — wyłącznie w postaci zagregowanej, niepozwalającej zidentyfikować ani osób fizycznych, ani konkretnego klienta — lit. f do momentu agregacji; dane skutecznie zagregowane nie stanowią danych osobowych. 2. Podanie danych jest dobrowolne, jednak podanie adresu e-mail jest niezbędne do założenia konta, a danych rozliczeniowych — do zawarcia umowy odpłatnej i wystawienia faktury. Bez tych danych nie możemy świadczyć usługi. 3. Nie zbieramy danych osobowych z innych źródeł niż od Państwa, z zastrzeżeniem: Danych Klienta opisanych w Sekcji 2 pkt 3 (treść odpowiedzi silników AI pochodzi od ich dostawców), danych przekazywanych nam przez Stripe w związku z obsługą płatności, danych otrzymywanych od Google przy logowaniu kontem Google oraz adresu e-mail podanego przez organizację zapraszającą Państwa do Aplikacji.
Sekcja 4. Odbiorcy danych i podwykonawcy
1. Dane osobowe powierzamy podwykonawcom (podmiotom przetwarzającym) wyłącznie w zakresie niezbędnym do świadczenia usługi — m.in. dostawcom infrastruktury bazodanowej i hostingu, dostawcom obsługującym pocztę wychodzącą i przychodzącą oraz dostawcom silników AI, do których kierowane są zapytania monitorujące. Aktualna, pełna lista podwykonawców — wraz z siedzibą, rolą, regionem przetwarzania i mechanizmem transferu — jest dostępna na stronie superrank.pl/podwykonawcy. O każdej zmianie listy informujemy klientów aktywnie, e-mailem, co najmniej 14 dni wcześniej; strona zawiera także archiwum poprzednich wersji. 2. Stripe (Stripe Payments Europe, Ltd. z siedzibą w Irlandii oraz Stripe, Inc. z siedzibą w USA) działa w odniesieniu do danych płatniczych w przeważającej mierze jako odrębny administrator — samodzielnie odpowiada m.in. za zapobieganie oszustwom płatniczym i realizację obowiązków z zakresu przeciwdziałania praniu pieniędzy. Zasady przetwarzania danych przez Stripe określa polityka prywatności Stripe (stripe.com/privacy). 3. Odbiorcami danych mogą być również: Krajowy System e-Faktur (KSeF) i organy Krajowej Administracji Skarbowej — w zakresie faktur ustrukturyzowanych (obowiązek prawny), podmioty świadczące dla nas obsługę księgową i prawną (w zakresie niezbędnym i na podstawie stosownych umów) oraz organy publiczne, gdy obowiązek udostępnienia danych wynika z przepisów prawa. 4. Nie sprzedajemy danych osobowych i nie udostępniamy ich podmiotom trzecim w celach marketingowych.
Sekcja 5. Przekazywanie danych poza Europejski Obszar Gospodarczy
1. Rozdzielamy uczciwie to, co pozostaje w Unii Europejskiej, od tego, co jest przekazywane poza EOG: — Pozostaje w UE: dane kont, dane rozliczeniowe, konfiguracja monitoringu oraz zgromadzone wyniki (odpowiedzi, metryki, raporty) — przechowywane w bazie danych Supabase w regionie UE (Irlandia) oraz obsługiwane przez funkcje aplikacji uruchamiane w regionie Frankfurt (Vercel, region fra1). E-maile transakcyjne wysyłamy przez Brevo (Sendinblue SAS z siedzibą we Francji) — przetwarzanie odbywa się w Unii Europejskiej. Faktury obsługuje polski dostawca (Fakturownia). Wyniki Google AI Overviews pobieramy przez DataForSEO OÜ (Estonia) — przetwarzanie w UE. — Jest przekazywane do USA: treść zapytań monitorujących (promptów) wysyłanych do silników AI oraz zwracane przez nie odpowiedzi — do OpenAI, Perplexity oraz Google (Gemini — wyłącznie płatne API, które zgodnie z warunkami dostawcy nie wykorzystuje danych do trenowania modeli); dane płatnicze w zakresie przetwarzanym przez Stripe, Inc. — te transfery realizuje Stripe jako odrębny administrator na podstawie własnych mechanizmów (DPF/SCC — stripe.com/legal/dpa). Dostawca hostingu (Vercel, Inc.) oraz dostawca bazy danych (Supabase, Inc.) są spółkami z siedzibą w USA — dane projektowe pozostają w UE (baza danych — Irlandia, funkcje — Frankfurt), jednak możliwy jest incydentalny dostęp (np. wsparcia technicznego) z USA. Korespondencja przychodząca na adresy pomoc@, kontakt@, rodo@ i faktury@ jest przekierowywana przez Cloudflare, Inc. (USA) do skrzynki pocztowej obsługiwanej przez Google (Google Ireland Ltd / Google LLC), więc jej treść może być przechowywana poza EOG. — Jest przekazywane do Zjednoczonego Królestwa: orkiestrację zadań w tle obsługuje API Hero Ltd (Trigger.dev) z siedzibą w Wielkiej Brytanii; do logów wykonań zadań (przechowywanych w regionie AWS us-east-1, USA) trafiają wyłącznie spseudonimizowane identyfikatory techniczne — bez treści promptów, odpowiedzi ani danych umożliwiających identyfikację przez dostawcę; klucz powiązania pozostaje wyłącznie w naszej bazie w EOG. 2. Podstawy przekazań (art. 45 i 46 RODO): przekazania do USA opieramy na decyzji wykonawczej Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU–US Data Privacy Framework (DPF) — w odniesieniu do dostawców certyfikowanych w DPF — a niezależnie od statusu tej decyzji utrzymujemy z tymi dostawcami standardowe klauzule umowne (SCC, decyzja wykonawcza Komisji 2021/914) jako mechanizm zabezpieczający. Przekazania do Zjednoczonego Królestwa odbywają się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony. 3. Mechanizm transferu właściwy dla każdego dostawcy wskazujemy na stronie superrank.pl/podwykonawcy. Kopię stosowanych zabezpieczeń (w tym standardowych klauzul umownych) mogą Państwo uzyskać, pisząc na adres rodo@superrank.pl.
Sekcja 6. Okresy przechowywania danych
— Dane konta (SuperRank jako administrator): przez czas trwania umowy, a następnie do 30 dni. — Dane organizacji (Dane Klienta): 90 dni od zakończenia dostępu (płatnego lub okresu próbnego), w tym 30-dniowe okno samodzielnego eksportu; przy samodzielnym usunięciu organizacji — 7-dniowa karencja, po której dane są trwale usuwane (Sekcja 8); szczegóły w umowie powierzenia. — Faktury i dokumenty księgowe: 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (obowiązek prawny — te dane nie podlegają usunięciu na żądanie). — Surowe odpowiedzi silników AI: 90 dni w bazie operacyjnej, następnie skompresowane archiwum (gzip) w magazynie plików — przez czas trwania umowy (Dane Klienta — szczegóły w umowie powierzenia). — Teksty odpowiedzi i wyniki ekstrakcji: 24 miesiące (Dane Klienta). — Zagregowane metryki dzienne: bezterminowo (dane zagregowane, niepozwalające zidentyfikować osób ani klienta). — Dane narzędzia „Sprawdź”: skrót (HMAC) adresu IP — 90 dni (egzekwowanie limitu dziennego); treść i wynik sprawdzenia — do czasu wyłączenia publikacji wyniku, nie dłużej niż 24 miesiące. — Adres e-mail podany dobrowolnie w narzędziu „Sprawdź” (wysyłka wyniku na e-mail): 12 miesięcy od podania; przy udzielonej i niecofniętej zgodzie marketingowej — do cofnięcia zgody, nie dłużej jednak niż do usunięcia powiązanego sprawdzenia (24 miesiące). Skrót (HMAC) adresu IP takiego zgłoszenia — 90 dni. — Logi aplikacyjne i serwerowe: do 90 dni, zgodnie z ustawieniami retencji platform hostingu i orkiestracji zadań (logi zdarzeń bezpieczeństwa mogą być przechowywane dłużej, jeżeli jest to niezbędne do wyjaśnienia incydentu). — Kopie zapasowe bazy danych: dane usunięte znikają z kopii zapasowych najpóźniej po pełnym cyklu rotacji, nie dłużej niż 35 dni. — Korespondencja (pomoc@, rodo@, faktury@): do 3 lat od zamknięcia sprawy (obrona przed roszczeniami). — Dane marketingowe: do cofnięcia zgody na komunikację lub wniesienia sprzeciwu.
Sekcja 7. Prawa osób, których dane dotyczą
1. W odniesieniu do danych, których jesteśmy administratorem, przysługują Państwu prawa: dostępu do danych i uzyskania ich kopii (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21), w tym zawsze skutecznego sprzeciwu wobec marketingu bezpośredniego. W zakresie przetwarzania opartego na zgodzie przysługuje Państwu prawo jej cofnięcia w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem. 2. Prawo do usunięcia nie obejmuje danych, które mamy obowiązek przechowywać na podstawie przepisów prawa (w szczególności faktur i dokumentów księgowych — Sekcja 6). 3. Żądania mogą Państwo zgłaszać na adres rodo@superrank.pl. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania; w sprawach szczególnie złożonych termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy. Realizacja praw jest bezpłatna, z zastrzeżeniem żądań ewidentnie nieuzasadnionych lub nadmiernych. 4. Prawo do przenoszenia danych realizujemy także samoobsługowo: eksport danych (CSV) jest dostępny w Aplikacji w każdym czasie — również w okresie próbnym i w 30-dniowym oknie po wygaśnięciu dostępu. 5. Przysługuje Państwu prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl). 6. Żądania dotyczące Danych Klienta (Sekcja 2 pkt 3) przekazujemy administratorowi tych danych — naszemu klientowi — i wspieramy go w ich realizacji zgodnie z umową powierzenia.
Sekcja 8. Usunięcie konta i eksport danych
1. Konto (organizację) mogą Państwo usunąć samodzielnie w Aplikacji (Ustawienia → usunięcie organizacji). Usunięcie jest realizowane z 7-dniowym okresem karencji — w tym czasie dyspozycję można cofnąć, a dane pozostają dostępne do eksportu. Po upływie karencji dane organizacji są trwale usuwane, z wyjątkiem danych, których przechowywanie nakazują przepisy (Sekcja 6), oraz kopii zapasowych, z których dane znikają w cyklu rotacji. 2. Przed usunięciem konta zalecamy pobranie eksportu danych; przypominamy o tym w toku procedury usunięcia.
Sekcja 9. Pliki cookies
1. Serwis SuperRank działa bez śledzenia: nie używamy żadnych cookies analitycznych, marketingowych ani służących profilowaniu i nie osadzamy narzędzi śledzących podmiotów trzecich. 2. Używamy wyłącznie plików cookies niezbędnych do działania serwisu: — cookies sesyjne uwierzytelniania (Supabase): utrzymanie sesji zalogowanego użytkownika i jej bezpieczne odświeżanie — do wylogowania lub wygaśnięcia sesji; — cookie preferencji języka (locale): zapamiętanie wybranego języka interfejsu — do 12 miesięcy. 3. Cookies niezbędne do świadczenia usługi żądanej przez użytkownika nie wymagają zgody na podstawie przepisów o komunikacji elektronicznej — dlatego serwis nie wyświetla banera cookies, a obowiązek informacyjny w tym zakresie realizujemy niniejszą sekcją. 4. Jeżeli w przyszłości wprowadzimy jakiekolwiek cookies wymagające zgody, wdrożymy uprzednio mechanizm jej zbierania i zaktualizujemy niniejszą Politykę.
Sekcja 10. Bezpieczeństwo danych
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji (TLS) i szyfrowanie danych w spoczynku; logowanie bez haseł (jednorazowe linki e-mail lub konto Google — nie przechowujemy haseł); izolację danych każdej organizacji na poziomie bazy danych (row-level security); zasadę minimalnych uprawnień i ograniczony dostęp do danych produkcyjnych; przekazywanie do systemu zadań w tle wyłącznie identyfikatorów technicznych (nigdy treści danych); kopie zapasowe z rotacją; rejestrowanie zdarzeń bezpieczeństwa oraz bieżące aktualizacje komponentów. Szczegółowy opis środków (TOM) stanowi załącznik do umowy powierzenia przetwarzania danych (superrank.pl/umowa-powierzenia).
Sekcja 11. Dane osób niepełnoletnich
Usługa jest przeznaczona dla przedsiębiorców i osób zawodowo zajmujących się marketingiem; nie jest kierowana do osób niepełnoletnich (poniżej 18. roku życia) i świadomie nie przetwarzamy danych takich osób. Jeżeli powezmą Państwo informację, że osoba niepełnoletnia przekazała nam dane osobowe, prosimy o kontakt na rodo@superrank.pl — dane te usuniemy.
Sekcja 12. Zautomatyzowane podejmowanie decyzji i profilowanie
Nie podejmujemy wobec Państwa decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Państwa wpływały (art. 22 RODO). Alerty, rekomendacje i metryki generowane w Aplikacji mają charakter wyłącznie informacyjny i dotyczą monitorowanych marek, nie osób.
Sekcja 13. Zmiany niniejszej Polityki
1. Politykę możemy aktualizować, w szczególności w razie zmiany przepisów, zmiany podwykonawców, zmiany lub wycofania silnika AI przez jego dostawcę albo wprowadzenia nowych funkcji usługi. 2. O istotnych zmianach poinformujemy zarejestrowanych użytkowników e-mailem co najmniej 14 dni przed ich wejściem w życie. Każda wersja Polityki jest oznaczona numerem i datą; archiwalne wersje udostępniamy na żądanie (rodo@superrank.pl).
Sekcja 14. Postanowienia końcowe
1. Niniejsza Polityka ma charakter informacyjny i nie zastępuje Regulaminu ani umowy powierzenia przetwarzania danych; w zakresie Danych Klienta pierwszeństwo ma umowa powierzenia. 2. Wersją wiążącą Polityki jest wersja polska; wersja angielska jest tłumaczeniem informacyjnym. 3. Pytania dotyczące Polityki prosimy kierować na adres rodo@superrank.pl.