Polityka prywatności

Katla Privacy AB („Katla”, „my”, „nas”, „nasz”), organisationsnummer 559603-7134, z siedzibą pod adresem Tulpanvägen 3a, 125 53 Älvsjö, Szwecja, jest podmiotem prawnym stojącym za tą usługą. Prowadzi stronę katla.app, konsolę Katla oraz powiązane z nimi API, SDK, widget, CLI i serwer MCP. Niniejsza polityka wyjaśnia, jakie dane osobowe zbieramy, dlaczego je zbieramy, komu je udostępniamy i czego możesz od nas w związku z nimi żądać.

W odniesieniu do Twojego konta i danych, które przekazujesz nam o swoich stronach, jesteśmy administratorem danych. W odniesieniu do zapisów zgód, które odwiedzający Twoje strony pozostawiają za pośrednictwem Katli, to Ty jesteś administratorem, a my Twoim podmiotem przetwarzającym: przetwarzamy te dane na Twoje polecenie, zgodnie z Regulaminem i w żadnym własnym celu.

Zbieramy następujące kategorie danych osobowych:

• Dane konta: Twoje imię i nazwisko, adres e-mail oraz adres URL zdjęcia profilowego, które otrzymujemy od naszego dostawcy tożsamości, gdy się logujesz. Jeśli logujesz się kontem Google, to imię i nazwisko, adres e-mail i zdjęcie profilowe pochodzą od Google.
• Dane zespołu: zespoły, do których należysz, Twoja rola w nich oraz wysyłane lub przyjmowane przez Ciebie zaproszenia.
• Dane stron i skanowań: dodawane przez Ciebie domeny, umieszczane przez Ciebie rekordy weryfikacji własności oraz wszystko, co skanowanie na nich znajdzie: pliki cookie, trackery, tagi i metadane stron.
• Zapisy zgód: wybory dokonywane przez odwiedzających Twoje strony wraz ze znacznikiem czasu i danymi potrzebnymi do udokumentowania wyboru. Zbierane w Twoim imieniu, jako Twój podmiot przetwarzający.
• Dane rozliczeniowe: Twój plan, status subskrypcji i faktury. Dane karty są wprowadzane u naszego operatora płatności i nigdy nie trafiają na nasze serwery.
• Dane ze zgłoszeń do wsparcia i kontaktu: to, co piszesz do nas przez formularz kontaktowy lub e-mailem, abyśmy mogli odpowiedzieć.
• Logi techniczne: adres IP, user agent i metadane żądań, przechowywane przez 30 dni w celu utrzymania działania usługi oraz badania nadużyć i błędów.
• Dane z integracji: to, co udostępnia nam połączone konto zewnętrzne; w przypadku Google opisujemy to w sekcjach od 05 do 08 poniżej.

Wykorzystujemy dane osobowe wyłącznie po to, aby:

• Świadczyć usługę: przeprowadzać skanowania, klasyfikować ich wyniki, generować polityki, rejestrować zgody i pokazywać Ci to wszystko.
• Uwierzytelniać Cię i chronić Twoje konto oraz członkostwo w zespołach.
• Wystawiać Ci rachunki, jeśli korzystasz z płatnego planu, i wysyłać związane z tym potwierdzenia płatności oraz wezwania do zapłaty.
• Wysyłać e-maile serwisowe, z których rezygnacja nie byłaby rozsądna, np. powiadomienia o bezpieczeństwie, oraz e-maile wdrożeniowe, z których możesz się w każdej chwili wypisać.
• Odpowiadać na zgłoszenia do wsparcia i na to, co do nas wysyłasz.
• Utrzymywać dostępność i bezpieczeństwo usługi: ograniczanie liczby żądań, zapobieganie nadużyciom i oszustwom, debugowanie i planowanie zasobów.
• Wypełniać obowiązki prawne, księgowe i audytowe.

Opieramy się na wykonaniu umowy (art. 6 ust. 1 lit. b RODO), aby prowadzić Twoje konto i świadczyć usługę; na naszych prawnie uzasadnionych interesach (art. 6 ust. 1 lit. f RODO), aby zapewniać bezpieczeństwo usługi i ją ulepszać; na Twojej zgodzie (art. 6 ust. 1 lit. a RODO) w przypadku plików cookie innych niż niezbędne oraz połączenia konta zewnętrznego, takiego jak Google Tag Manager; oraz na obowiązku prawnym (art. 6 ust. 1 lit. c RODO) tam, gdzie prawo wymaga od nas przechowywania dokumentacji.

Gdy działamy jako Twój podmiot przetwarzający w odniesieniu do zapisów zgód odwiedzających, podstawę prawną tego przetwarzania określasz Ty jako administrator.

Katla uzyskuje dostęp do danych użytkownika Google tylko w jednym miejscu: przy opcjonalnej instalacji przez Google Tag Manager, którą uruchamiasz samodzielnie na stronie Install danej witryny i która nic nie robi, dopóki nie przejdziesz przez ekran zgody Google. Jeśli nigdy nie połączysz Google Tag Manager, Katla nie uzyskuje dostępu do żadnych danych użytkownika Google.

Gdy go połączysz, prosimy o poniższe zakresy OAuth i uzyskujemy dostęp dokładnie do tych danych, które obejmuje każdy z nich:

Dane użytkownika Google są wykorzystywane wyłącznie do przeprowadzenia zleconej przez Ciebie instalacji i do niczego innego. W szczególności:

• Listy Twoich kont, kontenerów i obszarów roboczych służą do wyświetlenia w kreatorze instalacji listy wyboru, w której wskazujesz, gdzie ma trafić tag.
• Identyfikatory wybranego konta, kontenera i obszaru roboczego służą do zapisania jednego tagu Custom HTML o nazwie „Katla consent”, uruchamianego przez wbudowaną regułę Tag Managera „Consent Initialization - All Pages”, tak aby domyślne ustawienia zgody zostały ustawione, zanim uruchomi się jakikolwiek tag analityczny lub reklamowy. Nic innego w Twoim kontenerze nie jest odczytywane, zmieniane ani usuwane.
• Identyfikatory tagu, reguły i wersji zwracane przez Google są przechowywane, aby późniejsza aktualizacja lub odłączenie zmieniały dokładnie to, co utworzyła Katla, a reszta Twojego kontenera pozostała nietknięta.
• Wersja kontenera jest tworzona i publikowana tylko wtedy, gdy zdecydujesz się na publikację w kreatorze.
• Adres e-mail konta Google jest przechowywany i wyświetlany w konsoli jako etykieta, aby było widać, do którego konta Google należy dane połączenie. Nigdy nie jest używany do uwierzytelniania Cię ani do autoryzowania czegokolwiek.
• Token odświeżania wydany przez Google jest przechowywany w postaci zaszyfrowanej algorytmem AES-256-GCM i używany wyłącznie do uzyskania krótkotrwałego tokena dostępu, gdy wymaga go jedna z powyższych czynności. Sam token dostępu nigdy nie jest przechowywany.

Nie sprzedajemy danych użytkownika Google, nie udostępniamy ich ani nie przekazujemy żadnej stronie trzeciej w celach reklamowych, analitycznych, profilowania, oceny zdolności kredytowej ani udzielania pożyczek i nie wykorzystujemy ich do trenowania, ponownego trenowania ani ulepszania jakiegokolwiek modelu sztucznej inteligencji lub uczenia maszynowego, ani naszego, ani czyjegokolwiek innego.

Dane użytkownika Google są przesyłane z powrotem do API Tag Managera należącego do Google w celu wykonania czynności, o które prosisz, a poza tym są ujawniane wyłącznie:

• Naszemu dostawcy hostingu i bazy danych, który przechowuje zaszyfrowany rekord połączenia w naszym imieniu jako podmiot podprzetwarzający i nie wykorzystuje go w żaden inny sposób.
• Personelowi Katli, i to tylko wtedy, gdy jest to niezbędne do prowadzenia usługi, zbadania problemu z bezpieczeństwem lub obsługi zgłoszonej przez Ciebie prośby o wsparcie, i tylko tak długo, jak wymaga tego to zadanie.
• Właściwemu organowi, gdy ujawnienie jest wymagane przez prawo, a żądanie jest ważne; poinformujemy Cię o tym, chyba że prawo nam tego zabrania.

Wykorzystywanie przez Katlę informacji otrzymanych z interfejsów API Google i ich przekazywanie do jakichkolwiek innych aplikacji jest zgodne z Google API Services User Data Policy, w tym z wymogami Limited Use.

Dane użytkownika Google są przechowywane tylko tak długo, jak istnieje połączenie. Odłączenie Google Tag Manager na stronie Install usuwa tag i regułę utworzone przez Katlę, unieważnia token odświeżania w Google i usuwa z naszej bazy danych rekord połączenia (identyfikatory konta, kontenera, obszaru roboczego, tagu i wersji oraz zapisany adres e-mail Google). Usunięcie witryny lub Twojego konta ma ten sam skutek.

Możesz też w każdej chwili cofnąć dostęp Katli na stronie uprawnień swojego konta Google pod adresem myaccount.google.com/permissions. Natychmiast wstrzymuje to wszelki dalszy dostęp; napisz do nas na privacy@katla.app, jeśli chcesz, abyśmy usunęli także rekord połączenia po naszej stronie.

Nie sprzedajemy danych osobowych. Udostępniamy je wyłącznie dostawcom usług, których potrzebujemy do prowadzenia Katli; każdy z nich jest związany umową powierzenia przetwarzania danych i przetwarza tylko to, czego wymaga jego zadanie:

• WorkOS: uwierzytelnianie i zarządzanie sesjami.
• Stripe: rozliczanie subskrypcji i przetwarzanie płatności.
• Resend: e-maile transakcyjne i wdrożeniowe.
• Anthropic: klasyfikacja przez AI plików cookie i trackerów znalezionych podczas skanowania. Przesyłane są wyniki skanowania; dane konta i zapisy zgód nie są przesyłane, a dane nie są wykorzystywane do trenowania modeli.
• Better Stack: logowanie aplikacji i monitorowanie błędów.
• Google: tylko jeśli masz połączony Google Tag Manager, i tylko w sposób opisany w sekcjach od 05 do 08.
• Nasi dostawcy hostingu, baz danych i kolejek, którzy przechowują i przesyłają dane w naszym imieniu.

Ujawnimy też dane osobowe, gdy wymaga tego prawo, oraz następcy prawnemu w przypadku fuzji lub przejęcia; w takiej sytuacji niniejsza polityka obowiązuje nadal, dopóki nie otrzymasz innej informacji. Aktualną listę podmiotów podprzetwarzających otrzymasz, pisząc na privacy@katla.app.

Twoje dane osobowe mogą być przekazywane do krajów spoza Europejskiego Obszaru Gospodarczego i tam przetwarzane. W takim przypadku opieramy się na decyzji stwierdzającej odpowiedni stopień ochrony albo na standardowych klauzulach umownych wraz z dodatkowymi zabezpieczeniami, których te klauzule wymagają.

Kopię zabezpieczeń, na których opieramy się przy danym przekazaniu, możesz uzyskać, pisząc na privacy@katla.app, a my ją prześlemy. Jeśli przekazanie opiera się natomiast na decyzji stwierdzającej odpowiedni stopień ochrony, poinformujemy Cię, która decyzja ma zastosowanie.

Przechowujemy dane osobowe tylko tak długo, jak są potrzebne do celu, w którym zostały zebrane. Dane konta, zespołu i stron są przechowywane, dopóki Twoje konto jest otwarte. Zapisy zgód są przechowywane tak długo, jak Ty je przechowujesz, ponieważ dokumentowanie zgody jest celem ich przechowywania, i są usuwane, gdy je usuniesz lub zamkniesz konto. Dokumentacja rozliczeniowa jest przechowywana tak długo, jak wymagają tego przepisy podatkowe i rachunkowe. Logi techniczne, które zawierają adresy IP, są przechowywane przez 30 dni, a następnie usuwane. Dane połączenia z Google podlegają sekcji 08.

Po zamknięciu konta przechowujemy Twoje dane przez krótki czas, aby umożliwić Ci ich eksport, a następnie je usuwamy lub anonimizujemy.

Stosujemy odpowiednie środki techniczne i organizacyjne: szyfrowanie danych w tranzycie, szyfrowanie w spoczynku danych uwierzytelniających i tokenów podmiotów zewnętrznych, kontrolę dostępu o ograniczonym zakresie, dostęp personelu według zasady najmniejszych uprawnień oraz rejestrowanie działań administracyjnych w logach audytowych. Żaden system nie jest idealnie bezpieczny, ale gdy wymaga tego prawo, powiadomimy Ciebie i właściwy organ nadzorczy o naruszeniu ochrony danych osobowych.

Na mocy RODO i podobnych przepisów masz prawo dostępu do swoich danych osobowych, ich sprostowania lub usunięcia, ograniczenia ich przetwarzania lub wniesienia sprzeciwu wobec niego, otrzymania ich w formacie umożliwiającym przeniesienie oraz wycofania zgody w dowolnym momencie bez wpływu na przetwarzanie już dokonane. Na mocy CCPA/CPRA przysługuje Ci dodatkowo prawo do informacji o tym, co zbieramy, do usunięcia i sprostowania tych danych oraz do rezygnacji ze sprzedaży lub udostępniania; nie sprzedajemy ani nie udostępniamy danych osobowych w rozumieniu tych przepisów.

Aby skorzystać z któregokolwiek z tych praw, napisz na privacy@katla.app. Odpowiadamy w ciągu miesiąca. Jeśli nasza odpowiedź Cię nie zadowala, możesz złożyć skargę do lokalnego organu ochrony danych.

Katla jest narzędziem dla firm i nie jest przeznaczona dla dzieci poniżej 16 roku życia. Nie zbieramy świadomie danych osobowych dzieci. Jeśli uważasz, że dziecko przekazało nam dane, skontaktuj się z nami, a je usuniemy.

Pliki cookie, które zapisuje sama strona katla.app, cel każdego z nich i czas jego przechowywania są wymienione w naszej Polityce cookies, którą Katla generuje na podstawie własnego skanowania tej strony. Swoje wybory możesz w każdej chwili zmienić tam lub za pomocą widgetu zgody.

Nic nie trafia do naszego dostawcy analityki, zanim dokonasz wyboru. Tag w ogóle się nie ładuje, dopóki nie zezwolisz na analityczne pliki cookie, co oznacza, że podczas wizyty, w której odmówisz lub po prostu nie odpowiesz, do Google nie trafia żadne żądanie, żaden adres IP ani adres strony. To surowszy z dwóch sposobów konfiguracji Google Consent Mode; wybraliśmy go, bo sprzedajemy narzędzia do zarządzania zgodą i wolimy stracić pomiar. Przeglądarka wysyłająca sygnał Global Privacy Control jest traktowana jak odmowa i dla niej również nic się nie ładuje.

Możemy aktualizować tę politykę, aby odzwierciedlić zmiany w usłudze lub w przepisach. Istotne zmiany ogłaszamy w konsoli lub e-mailem, a data wejścia w życie na górze tej strony zawsze wskazuje, którą wersję czytasz. Poprzednie wersje są dostępne na żądanie.

Pytania dotyczące tej polityki lub przechowywanych przez nas danych osobowych: privacy@katla.app. Z naszym inspektorem ochrony danych możesz skontaktować się pod adresem dpo@katla.app. Administratorem jest Katla Privacy AB, organisationsnummer 559603-7134, Tulpanvägen 3a, 125 53 Älvsjö, Szwecja. Masz również prawo wnieść skargę do lokalnego organu nadzorczego; w Szwecji jest nim Integritetsskyddsmyndigheten (IMY).