Wiemy, po co mamy dane.
Nie zbieramy ich „na wszelki wypadek”.

§ 1. Administrator

1. Administratorem danych osobowych jest Samael Spółka z ograniczoną odpowiedzialnością z siedzibą w Tarnowie, ul. Czarna Droga 84, 33-101 Tarnów, KRS 0000503734, NIP 9930654255, REGON 123072381 (dalej „Administrator”, „my”), prowadząca serwis i usługi Rankora™.
2. Kontakt w sprawach danych osobowych: e-mail biuro@samael.pl (temat: „Dane osobowe”), listownie na adres siedziby, telefonicznie: +48 690 500 402 (żądania z zakresu RODO prosimy kierować e-mailem lub listownie, aby można je było udokumentować).
3. Inspektor ochrony danych (IOD). Administrator nie wyznaczył inspektora ochrony danych, ponieważ nie ma takiego obowiązku (art. 37 ust. 1 RODO): nie jest organem publicznym, jego główna działalność nie polega na operacjach wymagających regularnego i systematycznego monitorowania osób na dużą skalę ani na przetwarzaniu na dużą skalę szczególnych kategorii danych. Ocena jest powtarzana przy istotnym wzroście skali, w szczególności usług nasłuchu i pozyskiwania kontaktów.
4. Jeżeli przetwarzamy dane w imieniu naszego klienta (np. dane z formularzy na stronie klienta, z jego Search Console lub kont społecznościowych), administratorem jest nasz klient, a my działamy jako podmiot przetwarzający na podstawie umowy powierzenia. W takich sprawach należy kontaktować się z danym klientem; przekażemy mu otrzymane żądanie.

§ 2. Skąd mamy dane

1. Bezpośrednio od Ciebie — gdy wypełniasz formularz (kontakt, widżet „Oddzwonimy”, bezpłatny audyt, newsletter, rejestracja, zamówienie w Kreatorze współpracy), logujesz się, płacisz, piszesz do nas lub rozmawiasz z Asystentem AI w panelu.
2. Od Google — gdy logujesz się kontem Google (adres e-mail, imię i nazwisko, identyfikator konta Google, adres zdjęcia profilowego).
3. Od Twojego pracodawcy lub zleceniodawcy — gdy jesteś osobą kontaktową lub użytkownikiem konta klienta (imię, nazwisko, e-mail, telefon, stanowisko).
4. Ze źródeł publicznych (art. 14 RODO) — w zakresie opisanym w § 4 (pozyskiwanie kontaktów biznesowych i nasłuch).

§ 3. Cele, podstawy prawne i okresy przechowywania

Podanie danych jest dobrowolne, ale niezbędne do skorzystania z danej usługi (bez adresu e-mail nie wyślemy raportu ani newslettera, bez danych do faktury nie zawrzemy umowy). Podanie danych do faktury jest wymogiem ustawowym.

Jak liczymy okresy przechowywania. Okresy wskazane w tabeli są okresami maksymalnymi. Po ich upływie dane usuwamy lub anonimizujemy w ramach okresowego przeglądu danych, przeprowadzanego co najmniej raz na kwartał (usunięcie nie następuje automatycznie w chwili upływu okresu); od upływu okresu do przeglądu dane nie są wykorzystywane w żadnym celu. Okres przechowywania może się wydłużyć, jeżeli dane są potrzebne do ustalenia, dochodzenia lub obrony roszczeń, do wykonania obowiązku prawnego albo jeżeli zażądasz ograniczenia przetwarzania. Wpisy w dzienniku zdarzeń bezpieczeństwa, którego nie można edytować, po upływie okresu anonimizujemy.

§ 4. Dane pozyskiwane ze źródeł publicznych (art. 14 RODO)

1. Pozyskiwanie kontaktów biznesowych. Wyszukujemy firmy, które mogą być zainteresowane usługami Rankora, wyłącznie w źródłach publicznych:
   1. OpenStreetMap (przez Overpass API i Nominatim, licencja ODbL — © współtwórcy OpenStreetMap);
   2. publicznie dostępne strony internetowe firm (z poszanowaniem plików robots.txt);
   3. Wykaz podatników VAT („Biała Lista”) Ministerstwa Finansów — weryfikacja nazwy urzędowej i statusu VAT na podstawie NIP;
   4. zgłoszenia i wiadomości wysłane przez samą firmę w serwisie Rankora. Nie pozyskujemy danych z Google Maps, LinkedIn, Facebooka ani innych serwisów, których regulaminy tego zakazują.
2. Kategorie danych: nazwa firmy, nazwa urzędowa, NIP, REGON, adres, miejscowość, kategoria działalności, adres strony, publiczny firmowy numer telefonu i adres e-mail, wynik oceny strony. W przypadku firm osób fizycznych (JDG) i spółek osobowych dane te mogą stanowić dane osobowe przedsiębiorcy.
3. Profilowanie. Oceniamy automatycznie stronę internetową firmy (m.in. HTTPS, wersja mobilna, metadane, mapa witryny, dane strukturalne) i jej dopasowanie do naszej oferty, nadając wynik punktowy (score). W przypadku JDG jest to profilowanie w rozumieniu art. 4 pkt 4 RODO. Wynik nie wywołuje wobec Ciebie skutków prawnych ani podobnie istotnych: służy wyłącznie ustaleniu kolejności, w jakiej rozważamy kontakt. O kontakcie zawsze decyduje człowiek. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu w rozumieniu art. 22 RODO.
4. Kontakt. Nie wysyłamy niezamówionych ofert e-mailem ani nie dzwonimy w celach marketingowych bez zgody. Pierwszy kontakt może nastąpić przez formularz kontaktowy na stronie firmy z prośbą o zgodę na przedstawienie oferty albo w odpowiedzi na zapytanie firmy. Przy pierwszym kontakcie przekazujemy informację o źródle danych i link do tej Polityki (art. 14 ust. 3 lit. b RODO).
5. Nasłuch. Na potrzeby własne i naszych klientów wyszukujemy publicznie opublikowane wpisy (fora, strony internetowe, wyniki wyszukiwarek dostępne przez oficjalne API — Brave Search, Google Programmable Search, Perplexity), w których ktoś opisuje potrzebę związaną z usługami. Zapisujemy adres wpisu, tytuł i fragment (do 1500 znaków), które mogą zawierać pseudonim lub imię autora. Nie tworzymy profili autorów, nie łączymy wpisów z innymi danymi i nie kontaktujemy się z autorami poza publiczną odpowiedzią w tym samym miejscu, ujawniającą jej nadawcę.
6. Prawo sprzeciwu. Możesz w każdej chwili wnieść sprzeciw wobec przetwarzania Twoich danych w celach opisanych w tym paragrafie (art. 21 ust. 2 RODO) — wystarczy wiadomość na biuro@samael.pl. Po sprzeciwie zaprzestajemy przetwarzania w tym celu i zachowujemy jedynie dane niezbędne, by nie kontaktować się z Tobą ponownie.

§ 5. Odbiorcy danych

1. Dane przekazujemy wyłącznie w niezbędnym zakresie:
   1. podmiotom przetwarzającym na nasze zlecenie, na podstawie umów powierzenia (art. 28 RODO): dostawcy infrastruktury serwerowej (OVH — centrum danych w Polsce), dostawcom modeli AI, dostawcom wyszukiwarek wykorzystywanych w nasłuchu, dostawcom usług IT i wsparcia oraz podmiotowi świadczącemu na naszą rzecz usługi księgowe i rachunkowe;
   2. odrębnym administratorom: operatorowi płatności Tpay (Krajowy Integrator Płatności S.A. z siedzibą w Poznaniu) — w zakresie płatności online; Google — w zakresie logowania kontem Google; bankom; doradcom prawnym i podatkowym związanym tajemnicą zawodową; operatorom pocztowym i kurierskim;
   3. organom publicznym — gdy wymaga tego prawo (np. organy podatkowe, sądy, prokuratura, Prezes UODO).
2. Aktualną listę dostawców, z ich funkcją, lokalizacją i mechanizmem transferu, zawiera Załącznik — Wykaz odbiorców i podmiotów przetwarzających.
3. Systemy wewnętrzne Administratora (w tym system zarządczy, w którym działają agenci AI Rankory, oraz usługa CallFlowDesk) działają na infrastrukturze Administratora — serwerach OVH w Polsce i we własnej serwerowni Administratora w Tarnowie — i nie stanowią odrębnych odbiorców. Dane przechowujemy w Polsce; poza EOG trafiają wyłącznie w zakresie opisanym w § 6 i § 7.

§ 6. Sztuczna inteligencja i dane osobowe

1. Usługi Rankory wykorzystują modele AI dostawców zewnętrznych do analizy stron, przygotowania raportów, treści i odpowiedzi Asystenta AI. Rozmawiając z Asystentem AI w panelu, rozmawiasz z systemem AI, a nie z człowiekiem.
2. Stosujemy zasadę minimalizacji danych przekazywanych do modeli:
   1. do modeli trafiają przede wszystkim treści publicznych stron internetowych i dane firmowe;
   2. dane osobowe (np. treść rozmowy z Asystentem AI, treść wiadomości z formularzy i komunikatorów, dane osób kontaktowych, fragmenty publicznych wpisów) przekazujemy wyłącznie dostawcom z Unii Europejskiej lub Stanów Zjednoczonych, z którymi łączy nas umowa powierzenia i wobec których zastosowano mechanizm z rozdziału V RODO (EU–US Data Privacy Framework dla certyfikowanych podmiotów lub standardowe klauzule umowne z oceną transferu), a których warunki wykluczają wykorzystanie danych do trenowania modeli — według stanu z Załącznika: OpenAI, Anthropic, Google (wyłącznie płatny poziom Gemini API / Vertex AI) oraz OpenRouter z ograniczeniem opisanym w pkt 4;
   3. do dostawców z siedzibą lub przetwarzaniem w Chińskiej Republice Ludowej (DeepSeek, Moonshot AI / Kimi, Alibaba / Qwen, Zhipu / Z.AI, Xiaomi, MiniMax i inne modele chińskich twórców — także udostępniane przez OpenRouter) oraz innych państw spoza UE / USA nie przekazujemy danych osobowych — wyłącznie treści publicznie dostępne i dane firmowe niestanowiące danych osobowych;
   4. zapytania zawierające dane osobowe kierowane przez pośrednika OpenRouter wysyłamy z ustawieniami data_collection: "deny" (wyłącznie dostawcy, którzy nie zapisują danych i nie trenują na nich modeli) oraz listą dozwolonych dostawców (only: OpenAI, Microsoft Azure, Anthropic, Amazon Bedrock, Google Vertex AI / płatne Gemini API, Mistral AI) — OpenRouter nie przekaże takiego zapytania innemu dostawcy; zapytania z danymi klientów niezawierające danych osobowych wysyłamy z data_collection: "deny";
   5. przed wysłaniem każdego zapytania system automatycznie wykrywa dane osobowe (adres e-mail, numer telefonu, PESEL, NIP jednoosobowej działalności lub firmy o nieustalonej formie, numer rachunku, adres z kodem pocztowym, imię i nazwisko), a zadania, które z natury dotyczą osób (rozmowa z Asystentem AI, kontakt z klientem lub potencjalnym klientem, wiadomości z komunikatorów, wpisy z nasłuchu), są oznaczone jako zawierające dane osobowe niezależnie od wyniku wykrywania. Zadanie, dla którego nie ma dopuszczonego modelu, nie zostaje wykonane;
   6. pseudonimizacja: w zadaniach, które nie wymagają treści danych osobowych (np. analiza strony, ocena trafności wpisu, przygotowanie raportu lub tekstu), przed przekazaniem treści dostawcy spoza pkt 2 zastępujemy wykryte dane znacznikami (np. [EMAIL_1], [TELEFON_1]); oryginalne wartości nie opuszczają naszych systemów i są wstawiane z powrotem dopiero w naszej infrastrukturze. Pseudonimizacja automatyczna może nie rozpoznać każdej danej osobowej — dlatego zadania z natury dotyczące osób nie korzystają z niej i trafiają wyłącznie do dostawców z pkt 2;
   7. z darmowego poziomu Gemini (Google AI Studio) — którego warunki pozwalają Google wykorzystywać dane — oraz z darmowych wariantów modeli w OpenRouter korzystamy wyłącznie przy treściach publicznych i danych naszych marek własnych, nigdy przy danych klientów i danych osobowych.
3. Nie trenujemy własnych modeli na Twoich danych i nie włączamy u dostawców opcji udostępniania danych do trenowania. W rejestrze wywołań modeli zapisujemy, czy zapytanie zawierało dane osobowe (rodzaj, bez treści) i jaką ochronę zastosowano.
4. Wyniki analiz AI dotyczą stron i firm. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Profilowanie przy ocenie kontaktów biznesowych opisuje § 4 ust. 3.

§ 7. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Część dostawców (np. Google, OpenAI, OpenRouter, xAI, Brave) ma siedzibę lub przetwarza dane w Stanach Zjednoczonych lub innych państwach trzecich. Przekazanie danych osobowych do takich państw następuje wyłącznie na podstawie:
   1. decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) — w przypadku USA: decyzji z 10 lipca 2023 r. dotyczącej EU–US Data Privacy Framework, wyłącznie wobec podmiotów wpisanych na listę certyfikowanych uczestników (https://www.dataprivacyframework.gov); albo
   2. standardowych klauzul umownych przyjętych przez Komisję Europejską (decyzja wykonawcza (UE) 2021/914, art. 46 ust. 2 lit. c RODO), wraz z oceną skutków transferu i — gdy to potrzebne — dodatkowymi środkami (szyfrowanie, minimalizacja, pseudonimizacja).
2. Mechanizm przypisany do każdego dostawcy wskazuje Załącznik. Jeżeli dostawca z USA nie jest certyfikowanym uczestnikiem DPF, przekazanie danych osobowych następuje wyłącznie na podstawie standardowych klauzul umownych. Status certyfikacji DPF i obowiązywanie klauzul sprawdzamy przed pierwszym przekazaniem danych osobowych danemu dostawcy i przy zmianie jego warunków.
3. Kopię zastosowanych zabezpieczeń możesz uzyskać, pisząc na adres z § 1 ust. 2.

§ 8. Twoje prawa

1. Przysługuje Ci prawo:
   1. dostępu do danych i otrzymania ich kopii (art. 15 RODO);
   2. sprostowania danych (art. 16);
   3. usunięcia danych (art. 17);
   4. ograniczenia przetwarzania (art. 18);
   5. przenoszenia danych — gdy przetwarzamy je na podstawie zgody lub umowy w sposób zautomatyzowany (art. 20);
   6. sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21 ust. 1), a wobec marketingu bezpośredniego, w tym profilowania w tym celu — sprzeciwu bezwarunkowego (art. 21 ust. 2);
   7. wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem (art. 7 ust. 3);
   8. wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl, jeżeli uważasz, że przetwarzamy dane z naruszeniem RODO.
2. Żądania realizujemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca (z możliwością przedłużenia o dwa miesiące w sprawach skomplikowanych — art. 12 ust. 3 RODO). Możemy poprosić o informacje potrzebne do potwierdzenia tożsamości. Realizacja żądań jest bezpłatna, z wyjątkiem żądań ewidentnie nieuzasadnionych lub nadmiernych (art. 12 ust. 5 RODO).

§ 9. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka (art. 32 RODO), w szczególności:

1. szyfrowanie transmisji (HTTPS / TLS) w serwisie i w poczcie;
2. przechowywanie haseł wyłącznie w postaci skrótów (algorytm scrypt z solą);
3. szyfrowanie przekazanych dostępów do systemów klientów, kluczy API i sekretów uwierzytelniania wieloskładnikowego (AES-256-GCM, „sejf”);
4. przechowywanie w dziennikach skrótów adresów IP zamiast pełnych adresów;
5. uwierzytelnianie wieloskładnikowe (TOTP) dla kont administracyjnych, limity prób logowania i unieważnianie sesji;
6. nieusuwalny dziennik zdarzeń bezpieczeństwa;
7. separację danych klientów (konta organizacji), bazy danych niedostępne z Internetu, kontenery z ograniczonymi uprawnieniami;
8. codzienne kopie zapasowe baz danych, przechowywane przez 14 dni na serwerze w Polsce; dodatkowa kopia przechowywana poza serwerem produkcyjnym jest w przygotowaniu;
9. upoważnienia i zobowiązania do poufności osób mających dostęp do danych.

§ 10. Pliki cookie

Zasady stosowania plików cookie i podobnych technologii opisuje Polityka cookies (https://rankora.pl/polityka-cookies.html).

§ 11. Zmiany Polityki

Politykę aktualizujemy, gdy zmieniają się przepisy, nasze usługi lub dostawcy. Każda wersja ma numer i datę; o istotnych zmianach informujemy użytkowników kont e-mailem lub w panelu. Wersje archiwalne udostępniamy na żądanie. Polityka w wersji 2.0 obowiązuje od 11.10.2026 r.

Załącznik — Wykaz odbiorców i podmiotów przetwarzających

Stan na 11.10.2026 r. Dla przejrzystości wymieniamy także dostawców usług AI i wyszukiwania, którym nie przekazujemy danych osobowych.