Polityka prywatności

Ochronę Państwa danych osobowych traktujemy poważnie – właśnie dlatego, że nasza usługa sama pracuje z wrażliwymi znaleziskami i informacjami o wyciekach. Niniejsza polityka informuje, jakie dane przetwarzamy, w jakim celu, na jakiej podstawie prawnej i jak długo.

1. Administrator danych

Ayzix IT Solution, Sebastian Scherf
Weyroth 96, 55543 Bad Kreuznach, Deutschland
E-mail: kontakt@zentrale-datenschutzstelle.de

„Zentrale Datenschutzstelle” jest usługą prywatną, nie jest organem publicznym ani instytucją publiczną.

2. Hosting i lokalizacja serwerów

Nasze systemy działają na serwerach Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, w Niemczech. Przetwarzanie poza Unią Europejską nie ma miejsca, o ile nie zostało wyraźnie wskazane w niniejszej polityce (obsługa płatności, baza danych o wyciekach). Z dostawcą hostingu zawarta jest umowa powierzenia przetwarzania zgodnie z art. 28 RODO. Podstawą prawną jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w bezpiecznym i wydajnym działaniu) oraz art. 6 ust. 1 lit. b RODO wobec klientów.

3. Logi serwera

Przy wejściu na naszą stronę serwer WWW automatycznie przetwarza: adres IP, datę i godzinę, wywołany adres URL, stronę odsyłającą, typ przeglądarki i system operacyjny, ilość przesłanych danych oraz kod statusu. Logi te służą bezpieczeństwu, analizie błędów i obronie przed atakami (art. 6 ust. 1 lit. f RODO) i są usuwane najpóźniej po 14 dniach, o ile nie są potrzebne do wyjaśnienia incydentu bezpieczeństwa. Logi aplikacji nie zawierają haseł, treści dokumentów ani wyników kontroli wycieków.

4. Pliki cookie i statystyki odwiedzin

Technicznie niezbędne pliki cookie stosujemy bez zgody, ponieważ Panel klienta bez nich nie działa (§ 25 ust. 2 pkt 2 TDDDG, art. 6 ust. 1 lit. b i f RODO). Wszystko inne – opisane poniżej statystyki odwiedzin – wykorzystujemy tylko wtedy, gdy przy pierwszej wizycie wyraźnie wyrażą Państwo zgodę.

Wybór języka i kraju

Przy pierwszym wejściu ustalamy Państwa kraj na podstawie adresu IP, aby wyświetlić stronę w odpowiednim języku. Przypisanie odbywa się wyłącznie na naszym serwerze na podstawie lokalnie przechowywanej bazy krajów (DB-IP.com, licencja CC BY 4.0); adres IP nie jest w tym celu zapisywany ani przekazywany osobom trzecim. Państwa wybór w menu języka przechowujemy przez rok w plikach cookie zds_lang i zds_land (technicznie niezbędne, zgoda nie jest wymagana). Podstawą prawną jest art. 6 ust. 1 lit. f RODO.

Statystyki odwiedzin z Microsoft Clarity (tylko za zgodą)

Aby zrozumieć, jak korzysta się z naszej strony, i uczynić ją bardziej zrozumiałą, za Państwa zgodą stosujemy usługę Microsoft Clarity firmy Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlandia. Clarity rejestruje, jak wchodzą Państwo w interakcję z naszymi stronami publicznymi: odwiedzane strony i ich adresy, czas przebywania, kliknięcia, ruchy myszy i przewijanie, typ urządzenia, przeglądarkę, system operacyjny, rozmiar ekranu, przybliżoną lokalizację (wyprowadzoną z adresu IP) oraz pseudonimowy identyfikator. Z tych danych tworzone są statystyki użytkowania, mapy cieplne i nagrania sesji. Dane wpisywane w pola formularzy są maskowane przed przesłaniem.

Clarity jest ładowany wyłącznie na stronach publicznych. Nie są rejestrowane: Panel klienta, Administracja, Sprawdzanie hasła, strony z linkami potwierdzającymi, zaproszeniami lub resetującymi, logowanie dwuskładnikowe oraz strony wyników Sprawdzania numeru telefonu. Clarity ustawia w tym celu pliki cookie _clck (identyfikator, do 1 roku) oraz _clsk (łączenie odsłon w ramach jednej sesji, 1 dzień); Microsoft może dodatkowo ustawiać pliki cookie CLID, MUID, ANONCHK, MR i SM użyć.

Podstawą prawną jest Państwa zgoda (§ 25 ust. 1 TDDDG, art. 6 ust. 1 lit. a RODO). Microsoft może przekazywać dane do USA; Microsoft Corporation posiada certyfikację EU-US Data Privacy Framework (decyzja o adekwatności, art. 45 RODO), dodatkowo obowiązują standardowe klauzule umowne UE. Microsoft przetwarza dane także do własnych celów, np. w celu ulepszania swoich usług; więcej informacji: privacy.microsoft.com i Lista plików cookie Clarity. Dane w Clarity są usuwane najpóźniej po 13 miesiącach.

Odwołanie: Mogą Państwo w każdej chwili odwołać swoją zgodę ze skutkiem na przyszłość, klikając w stopce strony „Ustawienia plików cookie” i wybrać „Tylko niezbędne”. Clarity nie będzie wówczas ładowany, a jego pliki cookie zostaną usunięte. Odmowa nie wiąże się z żadnymi utrudnieniami w korzystaniu z naszej strony.

5. Rejestracja i konto klienta

Do korzystania z Panelu klienta wymagane jest konto. Przetwarzamy typ konta (osoba prywatna/firma), imię i nazwisko, adres e-mail, hasło (wyłącznie jako hash Argon2id, nigdy w postaci jawnej), w przypadku firm dodatkowo nazwę firmy, domenę, rolę i opcjonalnie numer identyfikacyjny VAT oraz czas i adres IP akceptacji OWU i polityki prywatności. Adres e-mail jest potwierdzany za pomocą jednorazowego, ograniczonego czasowo linku. Opcjonalnie mogą Państwo aktywować uwierzytelnianie dwuskładnikowe (TOTP); powiązany sekret jest przechowywany w formie zaszyfrowanej. Podstawa prawna: art. 6 ust. 1 lit. b RODO (umowa lub działania przedumowne). Nieudane próby logowania są logowane przez 30 dni w celu ochrony przed nadużyciami (art. 6 ust. 1 lit. f RODO).

6. Dane zleceń: znaleziska, sprawy, obiekty monitorowane

W celu wykonania naszej usługi przetwarzamy dane, które przekazują nam Państwo w ramach zlecenia lub które rejestrujemy w ramach wyszukiwania: nazwiska, adresy e-mail, domeny, numery telefonów i faksów, adresy, znaleziska (źródło, URL, kategorie danych, klasyfikacja ryzyka, status), sprawy (typ, druga strona, korespondencja, terminy, historia zdarzeń) oraz dowody. Obowiązuje zasada minimalizacji danych: gromadzimy tylko to, co jest niezbędne do danego zlecenia. Podstawa prawna: art. 6 ust. 1 lit. b RODO. Jeżeli wprowadzają Państwo dane osób trzecich (np. nadawców faksów reklamowych), przetwarzamy je na podstawie art. 6 ust. 1 lit. f RODO w celu ochrony Państwa prawnie uzasadnionych interesów w dochodzeniu swoich praw.

7. Kontrola wycieków (Have I Been Pwned)

Do sprawdzania adresów e-mail i zweryfikowanych domen pod kątem znanych wycieków danych korzystamy z API usługi „Have I Been Pwned” (Superlative Enterprises Pty Ltd, Australia). Zapytanie odbywa się wyłącznie po stronie serwera z użyciem własnego klucza API; do usługi przekazywany jest sprawdzany adres e-mail lub domena. Wyniki (nazwa wycieku, data, kategorie danych) przechowujemy w formie zaszyfrowanej i pokazujemy je tylko uprawnionemu użytkownikowi oraz właściwej osobie prowadzącej. Odpowiedzi w pamięci podręcznej są usuwane najpóźniej po 7 dniach. Kontrole domen wymagają wykazania posiadania domeny. Podstawa prawna: art. 6 ust. 1 lit. b RODO; w przypadku przekazywania do państw trzecich opieramy się na standardowych klauzulach umownych dostawcy (art. 46 ust. 2 lit. c RODO).

Sprawdzanie hasła: Sprawdzenie hasła w bazie „Pwned Passwords” odbywa się w całości w Państwa przeglądarce. Do api.pwnedpasswords.com wysyłany jest tylko pięcioznakowy prefiks hasha SHA-1 (k-anonimowość); porównanie odbywa się lokalnie. Ani hasło, ani pełny hash, prefiks, wynik czy Państwa adres IP nie są przez nas zapisywane ani logowane.

8. Obsługa płatności (Stripe)

Płatne pakiety są rozliczane przez Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlandia. Przy zamówieniu zostaną Państwo przekierowani do Stripe Checkout; tam wprowadzają Państwo dane płatnicze bezpośrednio w Stripe. Nie przechowujemy danych kart kredytowych ani rachunków bankowych. Do Stripe przekazujemy adres e-mail, imię i nazwisko lub nazwę firmy, wewnętrzne identyfikatory klienta, organizacji i pakietu oraz adres rozliczeniowy i ewentualnie numer identyfikacyjny VAT. Od Stripe otrzymujemy dane o statusie i fakturach (status subskrypcji, numer faktury, kwota, status płatności). Fakturami, danymi płatniczymi, zmianą pakietu i wypowiedzeniem zarządzają Państwo w Stripe Customer Portal. Podstawa prawna: art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. c RODO (przechowywanie wymagane prawem podatkowym i handlowym). Stripe może przekazywać dane do państw trzecich i opiera się przy tym na standardowych klauzulach umownych UE. Więcej informacji: stripe.com/de/privacy.

9. Przesyłanie dokumentów, skanowanie antywirusowe i rozpoznawanie tekstu

Mogą Państwo przesyłać dowody (PDF, PNG, JPG, EML). Każdy plik jest po stronie serwera sprawdzany pod kątem rzeczywistego typu pliku, przed udostępnieniem lokalnie badany programem ClamAV pod kątem złośliwego oprogramowania i przechowywany w prywatnym archiwum poza katalogiem WWW. Pobranie jest możliwe wyłącznie po sprawdzeniu uprawnień przez krótkotrwałe, podpisane linki. Faksy reklamowe są lokalnie analizowane programem Tesseract (rozpoznawanie tekstu) w celu rejestracji nadawcy, numeru faksu, daty i numeru referencyjnego; rozpoznany tekst jest przechowywany w formie zaszyfrowanej. Nie są wykorzystywane zewnętrzne usługi OCR ani chmurowe. Podstawa prawna: art. 6 ust. 1 lit. b RODO.

10. Wniosek o dostęp do danych z pełnomocnictwem: dowód tożsamości i dowód umocowania

Na Państwa życzenie dochodzimy Państwa praw nie tylko jako posłaniec, lecz na podstawie udzielonego przez Państwa pełnomocnictwa sami występujemy wobec biur informacji kredytowej, handlarzy adresami i baz danych firm. W tym celu przetwarzamy dodatkowo:

• Pełnomocnictwo: Państwa oświadczenie, imię i nazwisko, miejscowość i data, podpis złożony w przeglądarce oraz – jako dowód podpisania – czas, adres IP i identyfikator przeglądarki. Na tej podstawie tworzymy dokument w formacie PDF i zapisujemy jego sumę kontrolną.
• Dowód tożsamości: przesłaną przez Państwa kopię dokumentu tożsamości. Podmioty, do których kierowane są pisma, mogą w razie uzasadnionych wątpliwości co do Państwa tożsamości zażądać dowodu (art. 12 ust. 6 RODO). Wyraźnie prosimy o zaczernienie wszystkich niepotrzebnych danych; wymagane są tylko imię i nazwisko, data urodzenia, adres i data ważności.
• W przypadku firm dodatkowo: dowód Państwa umocowania do reprezentacji (np. odpis z rejestru handlowego) oraz Państwa funkcję w firmie.

Pełnomocnictwo i dowód tożsamości przekazujemy wyłącznie wybranym przez Państwa podmiotom i wyłącznie razem z danym wnioskiem o dostęp do danych. Każda przekazana kopia opatrzona jest widocznym nadrukiem z celem i odbiorcą i tym samym oznaczona jako kopia (§ 20 ust. 2 niemieckiej ustawy o dowodach osobistych). Wykorzystanie do innych celów nie ma miejsca.

Usunięcie: Dowody tożsamości i dowody umocowania usuwamy, gdy tylko wszystkie podmioty, do których wysłano pisma, odpowiedzą, najpóźniej 90 dni po rozpoczęciu rundy, a w razie odwołania natychmiast – plik jest następnie w ciągu 7 dni ostatecznie usuwany. Dokument pełnomocnictwa przechowujemy jako dowód udzielonego nam zlecenia.

Odwołanie: Mogą Państwo w każdej chwili odwołać pełnomocnictwo bez podania przyczyn w Panelu klienta lub nieformalnie e-mailem (§ 168 BGB). Pisma jeszcze niewysłane natychmiast wówczas zatrzymujemy.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie zawartej z Państwem umowy) oraz art. 6 ust. 1 lit. c RODO, o ile podmiot, do którego kierowane jest pismo, żąda dowodu tożsamości. Przedłożenie dokumentu tożsamości jest dobrowolne; bez niego nie możemy jednak przejąć wysyłki w Państwa imieniu – w takim przypadku mogą Państwo wysłać pisma samodzielnie.

11. Wysyłka e-maili

E-maile transakcyjne (linki potwierdzające, reset hasła, przypomnienia o terminach, powiadomienia o sprawach, informacje o fakturach) oraz wychodzące wnioski do drugiej strony wysyłamy przez serwer SMTP niemieckiego dostawcy hostingu, z którym zawarta jest umowa powierzenia przetwarzania. Logujemy odbiorcę, temat, czas i status doręczenia, nie treść. Podstawa prawna: art. 6 ust. 1 lit. b RODO.

12. Powiadomienia wewnętrzne

Aby szybko reagować na nowe rejestracje, płatności lub zapytania kontaktowe, nasz zespół otrzymuje wewnętrzne powiadomienia przez komunikator Telegram. Powiadomienia te zawierają wyłącznie typy zdarzeń i ewentualnie nazwę organizacji, bez znalezisk, wyników kontroli wycieków, dokumentów ani danych kontaktowych osób prywatnych.

13. Formularz kontaktowy i kontakt e-mailowy

Jeżeli piszą Państwo do nas przez formularz kontaktowy lub e-mailem, przetwarzamy Państwa dane (imię i nazwisko, adres e-mail, temat, wiadomość, adres IP, czas) w celu obsługi zapytania. Podstawa prawna: art. 6 ust. 1 lit. b RODO lub art. 6 ust. 1 lit. f RODO. Zapytania są usuwane po ostatecznym załatwieniu, najpóźniej po 12 miesiącach, o ile nie stoją temu na przeszkodzie ustawowe obowiązki przechowywania.

14. Historia zdarzeń i dziennik audytu

Działania istotne dla bezpieczeństwa (logowania, zmiany statusu, zmiany uprawnień, pobrania, eksporty, czynności administracyjne) są zapisywane w zabezpieczonym przed manipulacją, niezmiennym dzienniku z czasem, osobą działającą, rekordem, którego dotyczą, oraz adresem IP. Służy to przejrzystości Państwa spraw, bezpieczeństwu i wypełnieniu naszego obowiązku rozliczalności (art. 5 ust. 2, art. 32 RODO; art. 6 ust. 1 lit. c i f RODO).

15. Odbiorcy i powierzenie przetwarzania

Odbiorcami danych osobowych są wyłącznie: nasz dostawca hostingu (Hetzner), nasz dostawca poczty e-mail, Stripe (obsługa płatności), Have I Been Pwned (porównanie z wyciekami), Microsoft (statystyki odwiedzin, tylko za zgodą) oraz – w ramach zleconych przez Państwa spraw – odpowiednie drugie strony (np. handlarze danymi, operatorzy katalogów, reklamodawcy), do których w Państwa imieniu kierujemy wnioski o dostęp, sprzeciwy lub żądania usunięcia. Z usługodawcami zawarte są umowy powierzenia przetwarzania zgodnie z art. 28 RODO. Przekazywanie w celach reklamowych nie ma miejsca.

16. Okres przechowywania i usuwanie

• Dane konta: do usunięcia konta; następnie 30 dni karencji, po czym ostateczne usunięcie.
• Sprawy, znaleziska i dowody: do 3 lat po zakończeniu sprawy, następnie automatyczne usunięcie przez zaplanowane zadania usuwania; na życzenie wcześniej.
• Dane faktur i płatności: 10 lat zgodnie z § 147 AO i § 257 HGB.
• Status zgody (zds_consent): 6 miesięcy. Dane statystyczne w Microsoft Clarity: maksymalnie 13 miesięcy.
• Odpowiedzi o wyciekach w pamięci podręcznej: 7 dni. Nieudane próby logowania: 30 dni. Logi serwera: 14 dni.
• Usunięte przez Państwa dokumenty: 30 dni karencji, następnie ostateczne usunięcie.
• Dowody tożsamości i umocowania w ramach wniosku o dostęp do danych: do zakończenia rundy, maksymalnie 90 dni, następnie 7 dni karencji. Dokumenty pełnomocnictwa: 3 lata jako dowód udzielenia zlecenia.

17. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne zgodnie z art. 32 RODO: szyfrowanie transmisji (TLS, HSTS), szyfrowanie szczególnie wrażliwych pól (sekrety dwuskładnikowe, wyniki kontroli wycieków, teksty OCR) algorytmem AES-256-GCM, hashe haseł Argon2id, sesje po stronie serwera, ochronę CSRF, Content Security Policy, ograniczanie liczby żądań, utwardzone usługi systemowe, ścisłe rozdzielenie klientów, codzienne szyfrowane kopie zapasowe i regularne testy przywracania. Ze względu na szczególną wrażliwość danych o wynikach i wyciekach przed rozpoczęciem działalności przeprowadzono ocenę skutków dla ochrony danych zgodnie z art. 35 RODO.

18. Państwa prawa

Mają Państwo prawo dostępu do danych (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20) oraz sprzeciwu wobec przetwarzania na podstawie art. 6 ust. 1 lit. f RODO (art. 21). Udzielone zgody mogą Państwo w każdej chwili odwołać ze skutkiem na przyszłość. W tym celu proszę zwrócić się do kontakt@zentrale-datenschutzstelle.de. Ponadto mają Państwo prawo wniesienia skargi do organu nadzorczego ds. ochrony danych (art. 77 RODO), w szczególności do krajowego pełnomocnika ds. ochrony danych właściwego dla Państwa miejsca zamieszkania lub dla naszej siedziby.

19. Brak zautomatyzowanego podejmowania decyzji

Klasyfikacja ryzyka znalezisk i informacji o wyciekach służy wyłącznie Państwa informacji i ustaleniu priorytetów. Nie następuje zautomatyzowane podejmowanie decyzji wywołujących skutki prawne w rozumieniu art. 22 RODO.

20. Zmiany

Aktualizujemy niniejszą politykę prywatności, gdy zmieniają się nasze usługi lub stan prawny. Aktualna wersja jest dostępna pod adresem https://zentrale-datenschutzstelle.de/datenschutz.

Stan na: 12.09.2026