Polityka prywatności

Administratorem Twoich danych osobowych jest:

Nie wyznaczyliśmy Inspektora Ochrony Danych - kontakt we wszystkich sprawach dotyczących danych osobowych odbywa się bezpośrednio z administratorem na powyższy adres email.

W zależności od sposobu korzystania z serwisu, możemy przetwarzać:

• Lista oczekujących (waitlista): adres email
• Konto użytkownika: adres email, hasło (zaszyfrowane), nazwa firmy (opcjonalnie), NIP (opcjonalnie do faktur)
• Konta email do wysyłki: adres email, dane SMTP/IMAP lub tokeny OAuth (zaszyfrowane przed zapisem w bazie)
• Bazy leadów importowane lub wyszukiwane na Twoje żądanie: dane firm B2B i osób kontaktowych (nazwa firmy, NIP, REGON, email, telefon, adres, strona www, statusy kampanii, treść korespondencji) - przetwarzamy je w Twoim imieniu jako podmiot przetwarzający (patrz pkt 10 oraz osobny dokument DPA)
• Wtyczka Chrome (opcjonalna): dane firm odczytane ze strony, którą otworzysz i zatwierdzisz w oknie wtyczki, adres tej strony i czas odczytu oraz klucz API wtyczki (patrz pkt 11)
• Dane techniczne: adres IP, typ przeglądarki, język, znaczniki czasu logowań - wyłącznie do bezpieczeństwa i diagnostyki
• Dane płatnicze: obsługujemy je przez Stripe - nie przechowujemy danych kart płatniczych w naszej infrastrukturze
• Dane analityczne (po wyrażeniu zgody): Google Analytics 4 zbiera dane o ruchu na stronie publicznej (odwiedzone strony, zdarzenia, identyfikator przeglądarki). Skrypt Google nie jest pobierany, dopóki nie wyrazisz zgody w bannerze cookies. Przy rejestracji kontem Google, po zgodzie, zdarzenie rejestracji może zostać wysłane do Google także z naszego serwera
• Wspólna lista wykluczeń: adres email, powód wpisu (wypis, sprzeciw lub żądanie usunięcia, twarde odbicie), data oraz identyfikator konta, które ostatnio dodało wpis - patrz pkt 10
• Pamięć podręczna weryfikacji adresów email: adres email, wynik sprawdzenia (poprawny, ryzykowny, niepoprawny, nieustalony) i data sprawdzenia - patrz pkt 10
• Narzędzie „Sprawdź NIP” (bez konta): wpisany NIP oraz odczytane dla niego dane z publicznych rejestrów: wykazu podatników VAT Ministerstwa Finansów (art. 96b ustawy o VAT) i KRS. Dla spółek z KRS pokazujemy dane rejestrowe spółki i przechowujemy je w pamięci podręcznej do 24 godzin. Dla NIP-u spoza KRS (np. jednoosobowej działalności) pokazujemy wyłącznie status VAT i datę jego odczytu, bez nazwy, adresu i rachunków; tego wyniku nie zapisujemy w bazie, trzyma go tylko pamięć serwera do 24 godzin. Wynik widzi wyłącznie osoba, która wpisała NIP, i nie jest publikowany ani indeksowany
• Dane przekazywane do funkcji AI: to, co wpisujesz w funkcjach AI, oraz - zależnie od funkcji - dane leadów i treść korespondencji; zakres opisujemy w pkt 6

• Konto użytkownika i dane operacyjne: przez czas trwania umowy oraz do momentu jego usunięcia przez użytkownika
• Dane do rozliczeń (rachunki, KPiR, JPK): 5 lat licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy (art. 86 § 1 Ordynacji podatkowej)
• Lista oczekujących / newsletter: do momentu wycofania zgody
• Logi techniczne i bezpieczeństwa: 90 dni
• Dane analityczne (GA4): 14 miesięcy (zgodnie z domyślną konfiguracją Google)
• Dane leadów B2B: przetwarzane w imieniu użytkownika przez czas korzystania z usługi; usuwane po usunięciu konta albo na żądanie użytkownika. W aplikacji nie ma automatycznego archiwizowania ani ustawienia czasu retencji, więc terminy usuwania leadów ustala i wykonuje użytkownik (leady można usuwać pojedynczo lub zbiorczo)
• Wspólna lista wykluczeń: tak długo, jak jest potrzebna do respektowania wypisu lub sprzeciwu; wpisy z wypisu i sprzeciwu nie mają ustalonego terminu końcowego
• Pamięć podręczna weryfikacji adresów email: wynik jest używany ponownie przez 90 dni od sprawdzenia, starszy jest odświeżany przy następnej weryfikacji

Na mocy RODO przysługuje Ci prawo do:

• Dostępu do swoich danych (art. 15)
• Sprostowania danych (art. 16)
• Usunięcia danych - „prawo do bycia zapomnianym” (art. 17)
• Ograniczenia przetwarzania (art. 18)
• Przenoszenia danych - eksport w formacie maszynowym (art. 20)
• Sprzeciwu wobec przetwarzania (art. 21)
• Wycofania zgody w dowolnym momencie (art. 7 ust. 3)
• Wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl)

W celu realizacji swoich praw skontaktuj się z nami: kontakt@outreachpilot.pl. Większość praw (eksport, usunięcie konta) możesz zrealizować samodzielnie z poziomu Ustawień konta. Odpowiadamy w terminie 30 dni.

Korzystamy z dostawców infrastruktury, którzy w zależności od usługi działają jako podmioty przetwarzające, odrębni administratorzy albo współadministratorzy w zakresie wymaganym przez własne regulaminy i przepisy. Dane przekazujemy tylko w zakresie potrzebnym do działania OutreachPilot. Lista obowiązuje od daty ostatniej aktualizacji tego dokumentu; ta sama lista podprocesorów jest w umowie powierzenia (DPA).

Dostawca AI (DeepSeek). Dostawca deklaruje, że dane są zbierane, przetwarzane i przechowywane w Chińskiej Republice Ludowej. Dla tego państwa nie ma decyzji Komisji Europejskiej o odpowiednim stopniu ochrony, a warunki API dostawcy nie przewidują umowy powierzenia ani standardowych klauzul umownych. Zakres danych zależy od funkcji. Tylko pisarz sekwencji, zdanie otwierające oparte na faktach o firmie i skracanie wiadomości nie wysyłają nazw firm, imion i nazwisk ani adresów email (dostają ofertę użytkownika i fakty nieosobowe). Pozostałe funkcje AI mogą przekazać dostawcy dane osobowe albo dane firm z leadów i korespondencji, m.in.: czat AI (to, co wpiszesz, i dane konta pobierane narzędziami czatu); szkic odpowiedzi w skrzynce i klasyfikacja odpowiedzi (treść wysłanego maila i odpowiedź odbiorcy, czyli osoby trzeciej); ocena leada (nazwa firmy, miasto, branża, PKD); starszy tryb zdania otwierającego ze znacznikiem ai_hook w szablonie (nazwa firmy, branża, miasto, ocena Google, opis firmy); podgląd strony dla firmy (nazwa firmy, branża, PKD, miasto, adres, telefon, adres strony, imię i nazwisko osoby kontaktowej, wynik audytu strony); generowanie i poprawianie treści maila przez AI, gdy przekazano dane leada (imię, nazwisko, firma, stanowisko, branża, miasto, ocena, opis działalności); obserwacja strony firmy ze zrzutu ekranu jej publicznej strony. Lista jest przykładowa, nie wyczerpuje wszystkich funkcji AI. Część funkcji uruchamiasz wprost (czat, szkic odpowiedzi, ocena leada, podgląd strony), a część działa w tle po włączeniu danej funkcji albo użyciu znacznika w szablonie (np. ai_hook, klasyfikacja odpowiedzi, wzbogacanie leadów).

Część dostawców przetwarza dane poza EOG. Dla Vercel, Stripe, Resend, Sentry i Google, jeżeli dane trafiają poza EOG, transfer opiera się na mechanizmach przewidzianych przez dostawcę, np. certyfikacji w EU-US Data Privacy Framework (DPF) albo standardowych klauzulach umownych (SCC) z jego umowy. Dla DeepSeek, Hatchet Cloud i Webshare nie wskazujemy w tym dokumencie mechanizmu transferu (SCC ani DPF), ponieważ go nie potwierdzono; ograniczamy zakres przekazywanych danych, jak opisano wyżej i w tabeli.

Wykorzystujemy następujące kategorie plików cookies:

• Niezbędne - wymagane do działania serwisu (logowanie, sesja, CSRF, preferencje banneru cookies). Nie wymagają zgody.
• Analityczne - Google Analytics 4. Skrypt jest pobierany wyłącznie po wyrażeniu zgody w bannerze cookies; przed zgodą nie trafia do przeglądarki. Możesz w każdej chwili wycofać zgodę, usuwając plik cookie op-cookie-consent w przeglądarce (baner pojawi się ponownie).

Nie używamy cookies marketingowych ani profilujących na potrzeby reklamy zewnętrznej.

• Szyfrowanie połączeń TLS 1.3
• Hasła użytkowników zaszyfrowane algorytmem bcrypt (Supabase Auth - argon/bcrypt)
• Hasła SMTP/IMAP oraz tokeny OAuth do kont email szyfrowane symetrycznie (AES-256-GCM) przed zapisem w bazie
• Row-Level Security (RLS) w bazie danych - izolacja danych między kontami
• Regularne kopie zapasowe (Supabase point-in-time recovery)

Nie podejmujemy w sposób zautomatyzowany decyzji wywołujących wobec Ciebie skutki prawne ani istotnie wpływających na Ciebie w rozumieniu art. 22 RODO. Funkcje AI generują sugestie treści wiadomości i szkiców odpowiedzi, oceny leadów i klasyfikację odpowiedzi (zakres danych opisuje pkt 6). To materiał pomocniczy dla użytkownika: decyzję o wysyłce i o kontakcie z danym odbiorcą podejmuje użytkownik, a wynik oceny albo klasyfikacji nie rozstrzyga o prawach ani obowiązkach osób, których dane dotyczą.

Bazy leadów importowane, wyszukiwane lub wykorzystywane przez Ciebie w kampaniach (dane osób fizycznych prowadzących działalność gospodarczą lub osób kontaktowych w firmach) przetwarzamy w Twoim imieniu jako podmiot przetwarzający. Warunki powierzenia regulowane są przez osobny dokument: Umowa powierzenia przetwarzania danych (DPA), którą akceptujesz w momencie rejestracji konta i rozpoczęcia korzystania z funkcji wyszukiwania, importu, zapisu leadów lub wysyłki.

Jako użytkownik jesteś administratorem danych leadów i odpowiadasz za legalność źródeł danych, podstawę prawną kontaktu, obowiązek informacyjny, obsługę sprzeciwów i zgodność kampanii z RODO oraz Prawem komunikacji elektronicznej.

OutreachPilot nie decyduje o celu Twoich kampanii, doborze odbiorców, podstawie prawnej wysyłki ani dalszym wykorzystaniu danych leadów przez Ciebie. Przetwarzamy te dane technicznie na Twoje polecenie w zakresie potrzebnym do działania serwisu.

Dwa zbiory prowadzimy jako administrator. Pierwszy to wspólna lista wykluczeń: gdy odbiorca wypisze się lub zgłosi sprzeciw w jednej kampanii, jego adres email trafia na listę wspólną dla wszystkich kont i żadne konto nie wyśle do niego kolejnych wiadomości. Cel: uwzględnienie sprzeciwu (art. 21 ust. 3 RODO) i niewysyłanie ponownych wiadomości; podstawa: uzasadniony interes (art. 6 ust. 1 lit. f RODO). Drugi to pamięć podręczna weryfikacji adresów email (adres, wynik, data), wspólna dla kont, z której korzystamy, aby nie sprawdzać wielokrotnie tego samego adresu na serwerze pocztowym i chronić reputację nadawców; podstawa: uzasadniony interes. Osoba, której dane dotyczą, może żądać dostępu lub usunięcia wpisu na adres kontakt@outreachpilot.pl; usunięcie adresu z listy wykluczeń oznacza, że ponowne wiadomości do niego nie będą blokowane.

Opcjonalna wtyczka „Dodaj firmę do OutreachPilot” czyta wyłącznie kartę, której ikonę klikniesz (strona internetowa firmy albo wizytówka miejsca w Mapach Google), i nigdy nie działa na LinkedIn ani w serwisach, których regulamin zabrania pobierania danych. Po kliknięciu wysyła do OutreachPilot domenę, NIP i adres e-mail ze strony (sprawdzenie, czy firma jest już w Twoich leadach), a pełne dane z okna wtyczki dopiero po Twoim kliknięciu „Dodaj do leadów”. Dla każdego leada zapisujemy adres strony i czas pozyskania w rejestrze pochodzenia danych. Wtyczka przechowuje w przeglądarce tylko osobny klucz API, adres serwera i preferencje. Szczegóły: Prywatność wtyczki Chrome.

O istotnych zmianach polityki prywatności poinformujemy z co najmniej 14-dniowym wyprzedzeniem drogą mailową na adres przypisany do konta.

W sprawach dotyczących ochrony danych osobowych: kontakt@outreachpilot.pl