Polityka prywatności

Jakie dane o Tobie zbieramy, po co, jak długo je trzymamy, komu je powierzamy i z jakich praw możesz wobec nas skorzystać.

Polityka prywatności

Wersja dokumentu: 2.2 Obowiązuje od: 1 września 2026 roku Poprzednia wersja: 1.0 z 11 czerwca 2026 roku Zakres: serwis https://guardiso.com wraz ze wszystkimi jego podstronami oraz platforma Guardiso dostępna po zalogowaniu

§ 1. Kto odpowiada za dane i jak się z nami skontaktować

Podmiotem prowadzącym serwis i platformę Guardiso jest Guardiso Michał Lewandowski, ulica Święty Marcin 29/8, 61-806 Poznań, numer identyfikacji podatkowej (NIP) 6060011996, REGON 381263810, działający pod marką Guardiso. W dalszej części dokumentu podmiot ten nazywany jest Guardiso.
Adres poczty elektronicznej do wszystkich spraw dotyczących ochrony danych osobowych: kontakt@guardiso.com. Zgłoszenia dotyczące podatności i incydentów bezpieczeństwa przyjmujemy pod adresem security@guardiso.com. Adres do korespondencji papierowej jest tożsamy z adresem podanym w ustępie 1.
Guardiso nie wyznaczyło inspektora ochrony danych, ponieważ w ocenie Guardiso nie zachodzi żaden z przypadków wymienionych w artykule 37 ustęp 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: RODO). Wszystkie sprawy dotyczące ochrony danych prowadzi bezpośrednio właściciel, pod adresem wskazanym w ustępie 2.
W całym dokumencie używamy następujących nazw:
- Guardiso — podmiot wskazany w ustępie 1;
- Klient — przedsiębiorca, który zawarł z Guardiso umowę o korzystanie z platformy, w tym korzystający z bezpłatnego okresu próbnego;
- Użytkownik — osoba fizyczna, która loguje się do platformy w ramach konta Klienta, w tym osoba, która to konto założyła;
- Osoba, której dane dotyczą — każda osoba fizyczna, której dane są przetwarzane, w tym Użytkownik oraz osoba, której dane wprowadził do platformy Klient.
Guardiso świadczy usługę w modelu abonamentowym, przez przeglądarkę internetową. Odbiorcami usługi są przedsiębiorcy. Część Klientów prowadzi jednoosobową działalność gospodarczą i w określonych sytuacjach korzysta z ochrony przewidzianej dla konsumentów — kwestie te reguluje regulamin świadczenia usługi, a niniejszy dokument dotyczy wyłącznie ochrony danych osobowych.

§ 2. Dwie role Guardiso — to najważniejsza część tego dokumentu

Guardiso występuje wobec danych osobowych w dwóch różnych rolach, w zależności od tego, o które dane chodzi. Rozróżnienie to decyduje o tym, kto ustala cele przetwarzania, do kogo Osoba, której dane dotyczą, kieruje swoje żądania, i kto odpowiada za zgodność przetwarzania z prawem.
Guardiso jako administrator (artykuł 4 punkt 7 RODO). Dotyczy danych osoby zakładającej konto i pozostałych Użytkowników, danych rozliczeniowych Klienta, danych o korzystaniu z serwisu i platformy oraz korespondencji kierowanej do Guardiso. W tym zakresie to Guardiso decyduje o celach i sposobach przetwarzania i to Guardiso odpowiada za realizację praw Osoby, której dane dotyczą.
Guardiso jako podmiot przetwarzający (artykuł 4 punkt 8 RODO). Dotyczy wszystkich danych osobowych, które Klient sam wprowadza lub wgrywa do platformy — danych jego pracowników i współpracowników, osób pełniących role w systemie zarządzania bezpieczeństwem informacji, osób zgłaszających incydenty, przedstawicieli jego dostawców i kontrahentów oraz audytorów, którym udzielił dostępu. Administratorem tych danych jest Klient, a Guardiso przetwarza je wyłącznie na jego udokumentowane polecenie, w zakresie i celu określonym umową powierzenia przetwarzania danych osobowych zawartą z Klientem. Guardiso nie przetwarza tych danych we własnych celach, w szczególności nie wykorzystuje ich do celów marketingowych, do budowania profili ani do trenowania modeli sztucznej inteligencji.
Podział ról w ujęciu tabelarycznym:

Kategoria danych	Kto jest administratorem	Podstawa prawna przetwarzania	Jak długo przechowujemy
Dane konta Użytkownika: imię i nazwisko, adres poczty elektronicznej, zdjęcie profilowe pobrane z konta Google, rola w organizacji, data i wynik logowania	Guardiso	Artykuł 6 ustęp 1 litera b RODO dla osoby, która sama zawarła umowę. Artykuł 6 ustęp 1 litera f RODO dla Użytkownika zaproszonego przez Klienta — prawnie uzasadnionym interesem jest umożliwienie wykonania umowy zawartej z jego pracodawcą i zabezpieczenie dostępu do konta	Przez czas trwania konta. Po usunięciu konta usuwamy dane nie później niż w ciągu 30 dni
Dane rozliczeniowe: nazwa firmy, adres, numer identyfikacji podatkowej, adres poczty do faktur, historia płatności i wystawionych faktur	Guardiso	Artykuł 6 ustęp 1 litera b RODO w zakresie rozliczenia umowy oraz artykuł 6 ustęp 1 litera c RODO w zakresie obowiązków rachunkowych i podatkowych	Pięć lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Obowiązek wynika z artykułu 74 ustawy z dnia 29 września 1994 roku o rachunkowości oraz artykułu 86 § 1 ustawy z dnia 29 sierpnia 1997 roku — Ordynacja podatkowa
Dane o korzystaniu z serwisu i platformy: adres protokołu internetowego (IP), rodzaj i wersja przeglądarki, znacznik czasu, adres odwiedzanej podstrony, wynik uwierzytelnienia, zapisy o błędach	Guardiso	Artykuł 6 ustęp 1 litera f RODO — prawnie uzasadnionym interesem jest zapewnienie bezpieczeństwa platformy, wykrywanie nadużyć i utrzymanie usługi w działaniu	Przez czas trwania konta. Usuwamy je razem z kontem. Nie deklarujemy krótszego terminu, dopóki nie wdrożymy automatycznego kasowania — zobowiązanie, którego nie potrafimy dziś wyegzekwować, byłoby pozorne
Korespondencja kierowana do Guardiso: treść wiadomości, adres nadawcy, załączniki	Guardiso	Artykuł 6 ustęp 1 litera b RODO, gdy sprawa dotyczy umowy, albo artykuł 6 ustęp 1 litera f RODO — prawnie uzasadnionym interesem jest obsługa zapytania i obrona przed roszczeniami	Przez czas prowadzenia sprawy, a następnie do upływu terminu przedawnienia roszczeń związanych z działalnością gospodarczą, zgodnie z artykułem 118 ustawy z dnia 23 kwietnia 1964 roku — Kodeks cywilny
Dane osób wprowadzone do platformy przez Klienta: pracownicy, współpracownicy, osoby odpowiedzialne za role, zgłaszający incydenty, osoby kontaktowe u dostawców, audytorzy	Klient. Guardiso jest podmiotem przetwarzającym	Podstawę ustala Klient jako administrator. Guardiso przetwarza te dane wyłącznie na jego polecenie, na podstawie artykułu 28 RODO i zawartej umowy powierzenia	Przez czas trwania konta Klienta. Po zakończeniu usługi Klient ma 30 dni na samodzielne pobranie danych, po czym je usuwamy
Dziennik działań w platformie: kto zatwierdził dokument, kto zapoznał się z polityką, kto zmienił ocenę ryzyka, kto pobrał dowód	Klient. Guardiso jest podmiotem przetwarzającym. Ten sam zapis służy również Guardiso do celów bezpieczeństwa i w tym zakresie administratorem jest Guardiso	Po stronie Klienta — podstawę ustala Klient, dla którego dziennik jest dowodem audytowym. Po stronie Guardiso — artykuł 6 ustęp 1 litera f RODO	Przez czas trwania konta Klienta
Treść zapytań kierowanych do funkcji sztucznej inteligencji oraz treść wygenerowanych odpowiedzi	Klient, w zakresie treści pochodzącej z jego dokumentacji. Guardiso jest podmiotem przetwarzającym. Administratorem danych o samym fakcie i koszcie użycia funkcji jest Guardiso	Po stronie Klienta — podstawę ustala Klient. Po stronie Guardiso — artykuł 6 ustęp 1 litera b RODO w zakresie rozliczenia limitów wynikających z planu	Treść zapytania i odpowiedzi — przez czas trwania konta Klienta. Zapis o zużyciu — przez czas trwania konta oraz przez okres rozliczeniowy
Dane osób odwiedzających strony publiczne oraz przesyłających formularze dostępne bez logowania	Guardiso	Artykuł 6 ustęp 1 litera a RODO, gdy przetwarzanie opiera się na zgodzie wyrażonej przy wysłaniu formularza, albo artykuł 6 ustęp 1 litera f RODO — prawnie uzasadnionym interesem jest odpowiedź na zapytanie i bezpieczeństwo serwisu	Do czasu załatwienia sprawy albo do wycofania zgody, a następnie do upływu terminu przedawnienia roszczeń

Jeżeli jesteś pracownikiem, współpracownikiem albo osobą kontaktową firmy, która korzysta z Guardiso, i chcesz skorzystać ze swoich praw wobec danych wymienionych w wierszu piątym i szóstym tabeli — kieruj żądanie do swojego pracodawcy albo do firmy, która wprowadziła Twoje dane, ponieważ to ona jest administratorem. Zasady postępowania z żądaniem, które trafi do nas, opisuje § 11 ustęp 5.

§ 3. Skąd mamy dane, jeżeli nie otrzymaliśmy ich od Ciebie

Obowiązek poinformowania o źródle danych wynika z artykułu 14 RODO i dotyczy sytuacji, w których dane nie zostały zebrane od Osoby, której dane dotyczą. W Guardiso takich sytuacji jest kilka i wymieniamy je wprost.
Zaproszenie do platformy przez Klienta. Jeżeli Twój pracodawca albo zleceniodawca założył konto w Guardiso i zaprosił Cię do zespołu, otrzymaliśmy od niego Twój adres poczty elektronicznej, a często również imię, nazwisko i rolę w organizacji. Źródłem danych jest wtedy Klient, który je wprowadził. W zakresie danych Twojego konta i uwierzytelnienia administratorem jest Guardiso, a niniejszy dokument stanowi wykonanie obowiązku informacyjnego wobec Ciebie.
Dane wprowadzone przez Klienta do rejestrów prowadzonych w platformie. Klient wprowadza do platformy dane osób odpowiedzialnych za zadania i kontrole, osób zgłaszających incydenty, osób kontaktowych u swoich dostawców oraz audytorów. Źródłem tych danych jest wyłącznie Klient. Guardiso nie pozyskuje ich samodzielnie, nie uzupełnia z innych źródeł i nie weryfikuje ich prawdziwości. Administratorem jest Klient i to on wykonuje wobec tych osób obowiązek informacyjny.
Logowanie kontem Google. Jeżeli wybierasz logowanie kontem Google, otrzymujemy od Google adres poczty elektronicznej, imię i nazwisko oraz zdjęcie profilowe przypisane do tego konta. Nie otrzymujemy hasła i nie mamy do niego dostępu.
Sprawdzenie adresu poczty w bazie znanych wycieków. Na polecenie Klienta platforma sprawdza, czy adresy poczty w jego domenie wystąpiły w publicznie znanych wyciekach danych. Sprawdzenie realizuje serwis Have I Been Pwned, do którego przekazywany jest wyłącznie adres poczty. Nigdy nie przekazujemy i nie przechowujemy haseł. Wynik sprawdzenia trafia do rejestru Klienta i to Klient jest jego administratorem.
Zakres danych pozyskiwanych z tych źródeł ogranicza się do kategorii wymienionych w § 2 ustęp 4. Nie pozyskujemy danych z serwisów społecznościowych, nie kupujemy baz danych i nie łączymy danych Klienta z danymi z innych źródeł.

§ 4. Profilowanie i zautomatyzowane podejmowanie decyzji

Nie prowadzimy profilowania osób fizycznych w rozumieniu artykułu 4 punkt 4 RODO. Nie tworzymy profili zainteresowań, nie oceniamy w sposób zautomatyzowany cech osobowych, sytuacji ekonomicznej, zdrowia, wiarygodności ani zachowania Użytkowników.
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały, w rozumieniu artykułu 22 ustęp 1 RODO. Nie prowadzimy zautomatyzowanej oceny wniosków, nie odmawiamy dostępu do usługi na podstawie samej analizy maszynowej i nie ustalamy ceny w oparciu o zachowanie Użytkownika.
Wskaźniki liczbowe, które platforma wylicza — poziom zgodności ze standardem, poziom ryzyka, stopień realizacji zadań, terminowość dowodów — dotyczą organizacji Klienta, a nie osoby fizycznej. Są to wyniki obliczeń na danych wprowadzonych przez Klienta i służą jako materiał do jego własnej decyzji.
Platforma odnotowuje, czy dana osoba zapoznała się z polityką, zaakceptowała dokument albo ukończyła szkolenie. Są to zapisy faktów, a nie oceny osoby. Jeżeli Klient wykorzysta te zapisy do własnej oceny pracownika, robi to jako administrator, we własnym imieniu i na własną odpowiedzialność. Guardiso takich ocen nie formułuje ani nie sugeruje.
Zasady dotyczące funkcji sztucznej inteligencji, w tym charakteru generowanych przez nią propozycji, opisuje § 7.

§ 5. Komu przekazujemy dane — pełna lista podwykonawców

Poniższa lista jest kompletna na dzień wskazany w nagłówku i obejmuje wszystkie podmioty, którym powierzamy przetwarzanie danych osobowych w związku ze świadczeniem usługi. Ta sama lista dziewięciu podmiotów stanowi Załącznik numer 2 do umowy powierzenia przetwarzania danych osobowych oraz Załącznik numer 2 do regulaminu. Jeżeli wykaz opublikowany pod adresem https://guardiso.com/subprocessors różni się od poniższej tabeli, rozstrzyga tabela w niniejszym dokumencie i w umowie powierzenia, a Guardiso niezwłocznie usuwa rozbieżność.

Podmiot	Rola	Jakie dane do niego trafiają	Gdzie przetwarza dane	Podstawa przekazania poza EOG
Scaleway, S.A.S.	Infrastruktura: serwery aplikacji, baza danych, przechowywanie plików	Wszystkie dane przechowywane w platformie, w tym dane kont, dokumenty, dowody i rejestry	Polska, region Warszawa	Nie dotyczy — dane nie opuszczają Europejskiego Obszaru Gospodarczego
Fakturownia sp. z o.o.	Wystawianie faktur	Dane nabywcy do faktury: nazwa, adres, numer identyfikacji podatkowej	Polska	Nie dotyczy — dane nie opuszczają Europejskiego Obszaru Gospodarczego
Stripe Payments Europe, Limited	Obsługa płatności i subskrypcji	Dane rozliczeniowe: nazwa firmy, adres, numer identyfikacji podatkowej, adres poczty. Danych karty płatniczej nie widzimy ani nie przechowujemy — trafiają one bezpośrednio do Stripe	Irlandia, z przekazaniem w ramach grupy do Stanów Zjednoczonych	Standardowe klauzule umowne — decyzja wykonawcza Komisji (UE) 2021/914
Google Ireland Ltd. oraz Google LLC	Logowanie kontem Google, czyli dostawca tożsamości	Adres poczty elektronicznej i imię z konta Google osoby logującej się, wyłącznie gdy wybierze ten sposób logowania. Hasła nie otrzymujemy	Irlandia, z przekazaniem w ramach grupy do Stanów Zjednoczonych	Decyzja wykonawcza Komisji (UE) 2023/1795 — Ramy ochrony danych Unia Europejska–Stany Zjednoczone
Cloudflare, Inc.	Serwer nazw, ochrona przed atakami odmowy usługi, zapora aplikacyjna	Adresy protokołu internetowego i nagłówki żądań przechodzących przez sieć brzegową. Treść żądań nie jest przechowywana	Stany Zjednoczone, z węzłami sieci brzegowej także w Unii Europejskiej	Decyzja wykonawcza Komisji (UE) 2023/1795 — Ramy ochrony danych Unia Europejska–Stany Zjednoczone
Plus Five Five, Inc. (usługa Resend)	Poczta systemowa: linki do logowania, zaproszenia, powiadomienia	Adres poczty odbiorcy, imię i nazwisko, treść wiadomości systemowej	Stany Zjednoczone: tam dostawca przechowuje dane. Wybrany region eu-west-1 decyduje wyłącznie o miejscu, z którego wychodzi poczta	Standardowe klauzule umowne (decyzja wykonawcza Komisji (UE) 2021/914), moduł drugi, włączone do umowy powierzenia dostawcy. Dostawca oświadcza dodatkowo zgodność z Ramami ochrony danych Unia Europejska–Stany Zjednoczone
Anthropic Ireland, Limited	Model językowy: Asystent Guardiso, generowanie szkiców dokumentów i analiz	Treść polecenia Użytkownika oraz kontekst przekazany do analizy. Zakres opisuje § 7	Stany Zjednoczone: serwery dostawcy. Stroną umowy jest spółka z siedzibą w Dublinie w Irlandii	Standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914, moduł drugi i trzeci
OpenAI Ireland Ltd.	Zamiana tekstu na wektory na potrzeby wyszukiwania w bazie wiedzy	Fragmenty tekstu dokumentów i pytań zamieniane na wektory liczbowe	Stany Zjednoczone: przetwarzanie poza Europejskim Obszarem Gospodarczym. Stroną umowy jest spółka irlandzka	Standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914
Superlative Enterprises Pty Ltd (usługa Have I Been Pwned)	Sprawdzenie, czy adres poczty wystąpił w znanym wycieku danych	Adres poczty elektronicznej przekazany do sprawdzenia. Haseł nie przekazujemy	Stany Zjednoczone: centrum danych Microsoft Azure w zachodniej części kraju. Siedziba podmiotu znajduje się w stanie Queensland w Australii	Standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914, włączone przez odesłanie do umowy powierzenia zawartej z tym podmiotem

Poza podmiotami z tabeli dane mogą zostać udostępnione podmiotom uprawnionym na podstawie przepisów prawa, w szczególności sądom, prokuraturze i organom nadzoru, wyłącznie w zakresie wynikającym z wiążącego nas żądania. Każde takie żądanie oceniamy pod kątem podstawy prawnej i zakresu, a jeżeli przepisy tego nie zakazują — informujemy o nim Klienta.
Dane mogą zostać udostępnione doradcom Guardiso, w szczególności obsłudze księgowej i prawnej, w zakresie niezbędnym do wykonania ich zadania i pod warunkiem zachowania poufności.
Nie sprzedajemy danych osobowych. Podmiotom trzecim nie udostępniamy ich w celach marketingowych. Jedyny wyjątek opisuje § 13 ustęp 1: za Twoją zgodą Google otrzymuje informację, że konto próbne założyła osoba, która przyszła z naszej reklamy.
O zamiarze dodania nowego podwykonawcy albo zastąpienia dotychczasowego informujemy Klienta z wyprzedzeniem co najmniej 30 dni. W tym terminie Klient może wnieść uzasadniony sprzeciw na zasadach opisanych w umowie powierzenia przetwarzania danych osobowych. Podstawą tego obowiązku jest artykuł 28 ustęp 2 RODO.

§ 6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Zasada podstawowa: dane platformy pozostają w Polsce. Baza danych, pliki, dokumenty, dowody, rejestry i konfiguracja organizacji przechowywane są w centrum danych w Warszawie i nie opuszczają Europejskiego Obszaru Gospodarczego.
Wyjątkiem są sytuacje, w których do wykonania konkretnej funkcji potrzebny jest podwykonawca działający poza tym obszarem. Wszystkie takie przypadki wymienia tabela w § 5, wraz ze wskazaniem kraju przetwarzania i podstawy przekazania. Innych przekazań poza Europejski Obszar Gospodarczy nie dokonujemy.
Podstawy przekazania, którymi się posługujemy, pochodzą z rozdziału V RODO:
- decyzja o odpowiednim stopniu ochrony wydana przez Komisję Europejską na podstawie artykułu 45 RODO. Posługujemy się nią wobec podmiotów wpisanych na listę uczestników Ram ochrony danych Unia Europejska–Stany Zjednoczone, ustanowionych decyzją wykonawczą Komisji (UE) 2023/1795 z dnia 10 lipca 2023 roku;
- standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 roku, na podstawie artykułu 46 ustęp 2 litera c RODO.
Dla każdego podwykonawcy spoza Europejskiego Obszaru Gospodarczego weryfikujemy przed rozpoczęciem współpracy, czy wskazana podstawa jest aktualna, w szczególności czy podmiot figuruje na liście uczestników Ram ochrony danych Unia Europejska–Stany Zjednoczone. Jeżeli podstawa przestanie obowiązywać, przekazywanie wstrzymujemy albo zastępujemy podstawę inną, dopuszczalną przez rozdział V RODO.
Kopię zastosowanych zabezpieczeń przekazania udostępniamy na żądanie, zgodnie z artykułem 46 ustęp 1 RODO. Żądanie prosimy kierować na adres wskazany w § 1 ustęp 2.

§ 7. Sztuczna inteligencja

Wybrane funkcje platformy korzystają ze sztucznej inteligencji. Są to: Asystent Guardiso odpowiadający na pytania, generowanie szkiców polityk i innych dokumentów, propozycje odpowiedzi na kwestionariusze bezpieczeństwa, wstępna ocena kontroli oraz wyszukiwanie w bazie wiedzy. Dostawcami modeli są Anthropic Ireland, Limited i OpenAI Ireland Ltd.
Co wysyłamy do dostawcy modelu. Przekazujemy wyłącznie to, co jest potrzebne do wykonania konkretnego polecenia:
- treść pytania albo polecenia, które Użytkownik wpisał;
- fragment dokumentacji, rejestru albo kontroli, których dotyczy uruchomiona funkcja;
- nazwę standardu, którego dotyczy zadanie, oraz podstawowe informacje o organizacji potrzebne do dostosowania treści, takie jak nazwa i branża;
- w przypadku wyszukiwania w bazie wiedzy — fragmenty tekstu zamieniane na wektory liczbowe, z których nie da się odtworzyć oryginalnego dokumentu.
Czego nie wysyłamy. Do dostawcy modelu nie trafiają: hasła i dane uwierzytelniające, klucze szyfrujące, dane kart płatniczych, pliki i załączniki wgrane jako dowody, pełna zawartość rejestrów ani jakiekolwiek dane innych Klientów.
Zastrzeżenie, o którym musimy powiedzieć wprost. Nie filtrujemy automatycznie treści, którą Użytkownik sam wpisze w polu pytania. Jeżeli Użytkownik wpisze tam dane osobowe, zostaną one przekazane dostawcy modelu razem z pytaniem. Zalecamy, aby w treści pytań nie umieszczać danych osobowych, jeżeli nie są one niezbędne do uzyskania odpowiedzi.
Uczenie modeli. Zgodnie z warunkami świadczenia usług dla dostępu programistycznego oraz zawartymi umowami powierzenia, dostawcy modeli nie wykorzystują przekazanych treści do trenowania ani douczania modeli. Przekazane treści są u dostawcy przechowywane wyłącznie przez czas niezbędny do obsługi zapytania oraz do wykrywania nadużyć, po czym są usuwane.
Kto odpowiada za treść wygenerowaną przez model. Treści generowane przez sztuczną inteligencję mają charakter propozycji i szkiców. Nie są poradą prawną ani opinią eksperta. Wymagają przeczytania, poprawienia i zatwierdzenia przez człowieka, zanim staną się częścią dokumentacji Klienta. Do momentu zatwierdzenia platforma oznacza je w interfejsie jako wygenerowane przez sztuczną inteligencję.
Kto odpowiada za decyzje podjęte na podstawie tych treści. Decyzję o przyjęciu, zmianie albo odrzuceniu propozycji podejmuje zawsze człowiek po stronie Klienta. Klient odpowiada za treść własnej dokumentacji oraz za skutki podjętych na jej podstawie decyzji, w tym za wynik postępowania kontrolnego, audytu i certyfikacji. Guardiso nie świadczy pomocy prawnej ani doradztwa w rozumieniu przepisów o zawodach prawniczych.
Przejrzystość. Oznaczanie interakcji ze sztuczną inteligencją oraz treści przez nią wygenerowanych realizuje obowiązki przejrzystości z artykułu 50 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 roku w sprawie sztucznej inteligencji.
Kiedy funkcje się uruchamiają. Funkcje sztucznej inteligencji działają na polecenie Użytkownika, a nie w tle na całej dokumentacji. Jedynym wyjątkiem jest przygotowanie bazy wiedzy do wyszukiwania: dokumenty i pytania dodane do bazy wiedzy są automatycznie zamieniane na wektory, ponieważ bez tego wyszukiwanie nie działa.
Postanowienia niniejszego paragrafu nie zmieniają zasady z § 4 ustęp 2: platforma nie podejmuje wobec Osoby, której dane dotyczą, decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu.

§ 8. Jak długo przechowujemy dane

Okresy przechowywania dla poszczególnych kategorii danych wskazuje tabela w § 2 ustęp 4. Poniższe ustępy opisują to, co dzieje się z danymi po zakończeniu korzystania z usługi.
Po usunięciu konta dane usuwamy niezwłocznie, nie później niż w ciągu 30 dni od zgłoszenia. Przed usunięciem Klient ma możliwość samodzielnego pobrania swoich danych z platformy.
Kopie zapasowe bazy danych wykonywane są raz na dobę i przechowywane przez siedem dni. Oznacza to, że dane usunięte z bazy znikają z kopii zapasowych najpóźniej po siedmiu dniach od usunięcia. Do tego czasu kopie objęte są tymi samymi zabezpieczeniami co dane produkcyjne.
Dłużej niż wskazano w tabeli przechowujemy wyłącznie te dane, których przechowywania wymaga od nas przepis prawa, przede wszystkim dokumenty księgowe i podatkowe, oraz dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń — do upływu terminu przedawnienia.
Klucz szyfrujący dane osobowe przypisany do organizacji Klienta jest przechowywany w wydzielonym sejfie i podlega usunięciu razem z danymi. Usunięcie klucza powoduje, że zaszyfrowane nim dane stają się nieczytelne również w kopiach, w których jeszcze technicznie występują.

§ 9. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiadające ryzyku, zgodnie z artykułem 32 RODO. Do najważniejszych należą:
- szyfrowanie — połączenia wyłącznie szyfrowane, dane osobowe szyfrowane w spoczynku algorytmem AES-256-GCM;
- osobny klucz dla każdej organizacji — kompromitacja klucza jednego Klienta nie odsłania danych innego Klienta;
- rozdzielenie danych Klientów — każdy odczyt i zapis filtrowany po identyfikatorze organizacji ustalanym po stronie serwera, nigdy na podstawie danych przesłanych przez przeglądarkę;
- ograniczony dostęp personelu — właściciel Guardiso nie ma stałego dostępu do danych Klienta; każdy dostęp wymaga wniosku z uzasadnieniem, zatwierdzenia przez Klienta, jest ograniczony w czasie i w całości rejestrowany, a Klient może go cofnąć w każdej chwili;
- sieć — baza danych dostępna wyłącznie z sieci prywatnej, z listą dozwolonych adresów;
- rozdzielenie środowisk — środowisko produkcyjne, testowe i przeznaczone do testów bezpieczeństwa mają osobne bazy, osobne klucze i osobne sekrety; w środowiskach nieprodukcyjnych nie ma prawdziwych danych Klientów;
- certyfikacja — system zarządzania bezpieczeństwem informacji Guardiso jest certyfikowany na zgodność z normą ISO/IEC 27001 przez TÜV NORD, certyfikat ważny od 17 lipca 2026 roku do 16 lipca 2029 roku.
Nie prowadzimy całodobowego dyżuru. Zgłoszenia, alarmy i korespondencję obsługujemy w dni robocze, w godzinach od 9:00 do 17:00 czasu polskiego. Mówimy o tym wprost, ponieważ ma to znaczenie dla momentu, w którym dowiadujemy się o zdarzeniu, i dla biegu terminów opisanych w § 10.
Żadne zabezpieczenie nie daje pewności absolutnej. Jeżeli zauważysz podatność albo nieprawidłowość, prosimy o zgłoszenie na adres security@guardiso.com.

§ 10. Naruszenie ochrony danych osobowych

Kiedy administratorem jest Guardiso — to znaczy w odniesieniu do danych wymienionych w § 2 ustęp 2 — naruszenie ochrony danych zgłaszamy Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia naruszenia, zgodnie z artykułem 33 ustęp 1 RODO. Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności Osoby, której dane dotyczą, zawiadamiamy o nim również tę osobę bez zbędnej zwłoki, zgodnie z artykułem 34 RODO.
Kiedy administratorem jest Klient — to znaczy w odniesieniu do danych wymienionych w § 2 ustęp 3 — o naruszeniu zawiadamiamy Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, przekazując informacje pozwalające mu wykonać jego własny obowiązek z artykułu 33 RODO. Termin ten jest tożsamy z terminem zapisanym w § 9 ustęp 4 umowy powierzenia przetwarzania danych osobowych i wynika stąd, że nie prowadzimy dyżuru całodobowego. W sprawach ochrony danych osobowych pierwszeństwo ma umowa powierzenia. Zgłoszenia do organu nadzorczego i zawiadomienia osób dokonuje wtedy Klient jako administrator. Podstawą naszego obowiązku jest artykuł 33 ustęp 2 RODO oraz umowa powierzenia przetwarzania danych osobowych.
Bieg terminów z ustępów 1 i 2 rozpoczyna się od stwierdzenia naruszenia, czyli od chwili, w której powzięliśmy o nim wiedzę. Z uwagi na zasadę opisaną w § 9 ustęp 2 stwierdzenie następuje w godzinach pracy.
Zawiadomienie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, których naruszenie dotyczy, opis możliwych następstw, opis zastosowanych i proponowanych środków zaradczych oraz dane kontaktowe do dalszych ustaleń.
Każde naruszenie odnotowujemy w wewnętrznym rejestrze naruszeń, niezależnie od tego, czy podlegało zgłoszeniu, zgodnie z artykułem 33 ustęp 5 RODO.

§ 11. Twoje prawa i sposób ich wykonania

W zakresie danych, dla których administratorem jest Guardiso, przysługują Ci następujące prawa:

Prawo	Co oznacza	Podstawa
Dostęp do danych	Możesz uzyskać potwierdzenie, czy przetwarzamy Twoje dane, oraz otrzymać ich kopię	Artykuł 15 RODO
Sprostowanie	Możesz żądać poprawienia danych nieprawidłowych i uzupełnienia niekompletnych	Artykuł 16 RODO
Usunięcie danych	Możesz żądać usunięcia danych, jeżeli zachodzi jedna z przesłanek wskazanych w przepisie	Artykuł 17 RODO
Ograniczenie przetwarzania	Możesz żądać, abyśmy dane wyłącznie przechowywali, bez dalszych operacji	Artykuł 18 RODO
Przenoszenie danych	Możesz otrzymać dane w formacie nadającym się do odczytu maszynowego i przesłać je innemu administratorowi	Artykuł 20 RODO
Sprzeciw	Możesz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją	Artykuł 21 RODO
Wycofanie zgody	Jeżeli podstawą przetwarzania była zgoda, możesz ją wycofać w dowolnym momencie. Wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej	Artykuł 7 ustęp 3 RODO
Skarga do organu nadzorczego	Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ulica Stawki 2, 00-193 Warszawa	Artykuł 77 RODO

Jak złożyć żądanie. Wystarczy wiadomość na adres kontakt@guardiso.com. Nie wymagamy formularza ani określonej formy. W treści warto wskazać, którego prawa dotyczy żądanie i którego konta albo adresu poczty. Żądanie można złożyć również listownie, na adres wskazany w § 1 ustęp 1.
Potwierdzenie tożsamości. Jeżeli będziemy mieli uzasadnione wątpliwości co do tożsamości osoby składającej żądanie, poprosimy o dodatkowe informacje pozwalające ją potwierdzić, zgodnie z artykułem 12 ustęp 6 RODO. Prosimy o niewysyłanie skanów dokumentów tożsamości, dopóki o to wprost nie poprosimy.
W jakim terminie odpowiadamy. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. Jeżeli żądanie jest skomplikowane albo wpłynie ich wiele naraz, termin możemy przedłużyć o kolejne dwa miesiące, informując o przedłużeniu i jego przyczynach w ciągu pierwszego miesiąca. Podstawa: artykuł 12 ustęp 3 RODO. Realizacja żądania jest bezpłatna; opłatę albo odmowę dopuszcza artykuł 12 ustęp 5 RODO wyłącznie przy żądaniach ewidentnie nieuzasadnionych lub nadmiernych.
Żądanie dotyczące danych, których administratorem jest Klient. Jeżeli żądanie dotyczy danych wprowadzonych do platformy przez Klienta, nie możemy rozpatrzyć go merytorycznie, ponieważ nie jesteśmy ich administratorem i nie wolno nam działać bez polecenia Klienta. W takiej sytuacji przekazujemy żądanie Klientowi niezwłocznie, nie później niż w terminie trzech dni roboczych, i informujemy o tym osobę składającą żądanie, wskazując jej, kto jest administratorem. Termin ten jest tożsamy z terminem zapisanym w § 9 ustęp 2 umowy powierzenia przetwarzania danych osobowych. Klient dysponuje w platformie narzędziami do wyszukania, wydania, sprostowania i usunięcia danych, potrzebnymi do samodzielnej obsługi takiego żądania.
Niezależnie od skargi do organu nadzorczego przysługuje Ci prawo do skutecznego środka ochrony prawnej przed sądem, zgodnie z artykułem 79 RODO.

§ 12. Dane dzieci

Usługa Guardiso nie jest kierowana do osób, które nie ukończyły szesnastego roku życia. Jest to narzędzie dla przedsiębiorców, a konto zakłada się na firmowy adres poczty elektronicznej.
Świadomie nie zbieramy danych osób poniżej szesnastego roku życia i nie kierujemy do nich żadnych treści ani komunikatów. Granica wieku odpowiada progowi wskazanemu w artykule 8 ustęp 1 RODO dla usług społeczeństwa informacyjnego.
Jeżeli dowiemy się, że konto zostało założone przez osobę poniżej szesnastego roku życia albo że takie dane trafiły do nas w inny sposób, usuniemy je niezwłocznie. Jeżeli jesteś rodzicem albo opiekunem i przypuszczasz, że dane dziecka trafiły do Guardiso, napisz na adres kontakt@guardiso.com.
Jeżeli dane osoby poniżej szesnastego roku życia zostały wprowadzone do platformy przez Klienta, administratorem tych danych jest Klient i to on odpowiada za podstawę ich przetwarzania. Po otrzymaniu takiej informacji zawiadamiamy Klienta.

§ 13. Pliki cookies

W serwisie i w platformie używamy plików cookies oraz podobnych technologii w zakresie niezbędnym do działania usługi, uwierzytelnienia sesji, zapamiętania wyboru języka i zapewnienia bezpieczeństwa. Na stronach publicznych, wyłącznie za Twoją zgodą na kategorię „Marketing”, używamy także znacznika Google Ads. Sprawdza on, czy konto próbne założyła osoba, która przyszła z naszej reklamy w Google. Podstawą jest zgoda, o której mowa w artykule 6 ustęp 1 litera a RODO. Możesz ją cofnąć w każdej chwili w ustawieniach plików cookie. Informację o kliknięciu reklamy i o założeniu konta otrzymuje Google Ireland Limited jako odrębny administrator.
Szczegółowy wykaz stosowanych plików, ich przeznaczenie i czas przechowywania opisuje odrębna Polityka cookies, dostępna pod adresem https://guardiso.com/cookies.

§ 14. Zmiany polityki i historia wersji

Politykę możemy zmieniać, w szczególności gdy zmienią się przepisy, zakres usługi albo lista podwykonawców. O każdej istotnej zmianie informujemy z wyprzedzeniem co najmniej 30 dni, pocztą elektroniczną albo komunikatem w platformie.
Aktualna wersja jest zawsze dostępna pod adresem https://guardiso.com/privacy. Numer wersji i datę obowiązywania podajemy w nagłówku dokumentu.
Historia wersji:

Wersja	Data	Co się zmieniło
1.0	11 czerwca 2026	Pierwsza opublikowana wersja polityki: kategorie danych, cele i podstawy prawne, okresy przechowywania, lista odbiorców, transfery międzynarodowe, sekcja o systemach sztucznej inteligencji, prawa osób, pliki cookies
2.0	1 września 2026	Rozgraniczenie ról administratora i podmiotu przetwarzającego wraz z tabelą przypisującą rolę do każdej kategorii danych. Dodano informację o źródle danych, które nie pochodzą od Osoby, której dane dotyczą. Dodano paragraf o profilowaniu i zautomatyzowanym podejmowaniu decyzji. Uzupełniono listę podwykonawców do dziewięciu podmiotów i wskazano przy każdym miejsce przetwarzania oraz podstawę przekazania poza Europejski Obszar Gospodarczy. Rozszerzono paragraf o sztucznej inteligencji o zakres przekazywanych danych, kwestię uczenia modeli i odpowiedzialność za treści oraz decyzje. Dodano sposób i termin obsługi żądań, zasady zawiadamiania o naruszeniu ochrony danych, postanowienia o danych dzieci oraz historię wersji. Doprecyzowano okres przechowywania kopii zapasowych i usunięto zobowiązania, których nie jesteśmy dziś w stanie dotrzymać
2.2	24 września 2026	Dodano informację o znaczniku Google Ads na stronach publicznych. Za zgodą odwiedzającego sprawdza on, czy konto próbne założyła osoba przychodząca z naszej reklamy