1. Jak czytać ten rejestr
Jest to rejestr czynności przetwarzania zgodnie z art. 30 RODO dla Answely. Nie jest to polityka prywatności. Jego zadaniem jest pokazanie organowi nadzorczemu, klientowi, który musi stworzyć własną dokumentację, lub kolejnej osobie, która musi odpowiedzieć na pytanie, co faktycznie jest przetwarzane, gdzie się znajduje, kto to otrzymuje i jak długo pozostaje. Publikujemy go, ponieważ nasi klienci są sami administratorami w zakresie przetwarzania w okienku odpowiedzi i potrzebują tych informacji do własnego rejestru i własnej oceny skutków.
Przy redagowaniu kierowano się trzema zasadami.
- Stwierdzenie pojawia się tylko tam, gdzie potwierdza je kod, schemat bazy danych, konfiguracja lub udokumentowany pomiar. Tam, gdzie coś nie jest udokumentowane, zamiast wiarygodnie brzmiącego zdania znajduje się widoczny symbol zastępczy.
- Okres przechowywania jest podawany dwukrotnie: raz dla tego, co faktycznie usuwa proces porządkujący, i raz dla tego, czego żaden proces nie obejmuje (punkt 6). Termin, który obowiązuje tylko dla połowy tabel, jest gorszy niż nazwana luka.
- Funkcje przygotowane w kodzie, ale niewłączone, są określane jako przygotowane i nie są opisywane jako działające. Dotyczy to w szczególności zapasowego dostawcy modelu językowego w UE oraz chronionych obszarów wiedzy.
Podstawa pomiaru: podstawą jest stan kodu środowiska deweloperskiego z 11.10.2026; tabele, pola, przebiegi porządkowe, ustawione terminy i niepoufna konfiguracja zostały 12.10.2026 porównane z działającym środowiskiem deweloperskim. Answely nie działa jeszcze produkcyjnie; liczby wierszy i ilości danych nie zostały zmierzone na potrzeby tej wersji. Liczby wierszy w poszczególnych tabelach oraz liczba klientów i stron w systemie produkcyjnym zostaną uzupełnione po uruchomieniu wraz z datą pomiaru.
Celowo pominięto: wewnętrzne adresy sieciowe, nazwy komputerów poza publicznymi domenami, dane dostępowe, klucze i identyfikatory poszczególnych klientów. Opublikowany rejestr nie może sam stać się planem ataku.
Terminy konfigurowalne: sześć terminów operator ustawia w panelu administracyjnym. Pojawiają się one tutaj jako symbole zastępcze, które przy wyświetlaniu są zastępowane aktualnie ustawioną wartością: 60 (statystyka stron), 365 (dziennik audytu), 90 (dziennik błędów), 30 (skrzynka nadawcza), 1095 (zgłoszenia do wsparcia) i 30 (kopie zapasowe baz danych na serwerze).
2. Podmiot i dlaczego ten rejestr ma dwie części
| Pole | Wpis |
|---|
| Podmiot | LW IT Solutions Company Lukas Wójcik, jednoosobowa działalność gospodarcza, wpisana do CEIDG |
| Adres | al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polska |
| Identyfikator podatkowy | numer VAT UE PL7252266190 |
| Kontakt w sprawach ochrony danych | support@answely.com (sprawy ogólne, ochrona danych, organy, wsparcie) |
| Produkt | Answely – okienko odpowiedzi AI dla wyszukiwania na stronach internetowych (answely.com, usługa odpowiedzi api.answely.com, skrypt answely.js) |
| Przedstawiciel zgodnie z art. 27 | Nie dotyczy. Podmiot ma siedzibę w Unii (Polska). |
| Inspektor ochrony danych | Niewyznaczony. Ocena zgodnie z art. 37 w punkcie 9. |
| Właściwy organ nadzorczy | Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa |
Ten sam podmiot prowadzi także reactive.chat, MousePlayer, consented.eu i Stats4U. Produkty te mają własne rejestry; tutaj opisano wyłącznie to, co dotyczy Answely, łącznie z miejscami, w których Answely współpracuje z reactive.chat i consented.eu.
Answely pełni wobec dwóch grup osób dwie różne role.
- Część A (punkty 3 i 4) – art. 30 ust. 2. W zakresie wszystkiego, co odwiedzający wpisują w okienko odpowiedzi na stronie internetowej klienta, oraz indeksu stron klientów Answely jest podmiotem przetwarzającym (art. 28 RODO). Administratorem jest klient, do którego należy strona internetowa. Podstawą jest umowa powierzenia przetwarzania danych.
- Część B (punkt 5) – art. 30 ust. 1. W zakresie strony answely.com, konta klienta, rozliczeń, wsparcia, publicznego szybkiego testu, własnego demo, dzienników i kopii zapasowych Answely sam jest administratorem.
- Punkty 6 do 8 dotyczą obu części: przechowywanie, zautomatyzowane decyzje i ogólny opis środków technicznych i organizacyjnych.
- Punkt 10 wymienia luki, których istnienie zostało udokumentowane. Rejestr jest narzędziem pracy, a nie zaświadczeniem.
Podział jest wdrożony w kodzie i ma skutki techniczne: klienci (aplikacja kont) i odwiedzający (usługa odpowiedzi) znajdują się w dwóch oddzielnych bazach danych (odpowiednio answely_konto i answely), okienko odpowiedzi nie ustawia plików cookie i nie nadaje identyfikatora odwiedzającego, a dane odwiedzających nigdy nie trafiają do Stripe ani do rozliczeń.
3. Część A – art. 30 ust. 2: przetwarzanie w imieniu klientów
A.0 Uczestnicy
| Pole | Wpis |
|---|
| Podmiot przetwarzający | LW IT Solutions Company Lukas Wójcik, adres jak wyżej, support@answely.com |
| Administratorzy | Klienci, którzy osadzają na swojej stronie internetowej skrypt answely.js lub udostępniają treści przez interfejs push, wtyczkę WordPress lub dostęp MCP. Każdy administrator jest oznaczony w systemie przez swoją przestrzeń roboczą (workspace) i klucze swoich stron internetowych; dane kontaktowe znajdują się w aplikacji kont. |
| Lista administratorów | Jest prowadzona w systemie i nie jest tutaj przepisywana: właściciele poszczególnych przestrzeni roboczych wraz z firmą, adresem i domenami znajdują się w aplikacji konta. Odrębnej funkcji pobierania tej listy w panelu administracyjnym nie ma (sekcja 10, L11). |
| Klienci reactive.chat | W przypadku stron z reactive.chat (najemca rc:) administratorem jest dany klient reactive.chat; przetwarzanie odbywa się w ramach umów reactive.chat tego samego podmiotu (A.20). Polityka prywatności i umowa powierzenia reactive.chat wyraźnie wskazują te odpowiedzi („Smart Answer”) jako usługę Answely. |
| Przedstawiciel | Nie dotyczy (siedziba w Polsce). |
| Inspektor ochrony danych | Niewyznaczony – punkt 9. |
| Środki techniczne i organizacyjne | Punkt 8 i środki techniczne i organizacyjne. Obowiązują dla każdego przetwarzania w części A i nie są powtarzane dla każdej czynności. |
| Polecenia | Ustawienia każdej strony internetowej w aplikacji kont stanowią udokumentowane polecenia klienta: opcja „Zezwól na pamięć odpowiedzi” włączona lub wyłączona, analiza pytań, tryb zgody, rozszerzenia, ścieżki wykluczone. Dla nowych stron internetowych opcja „Zezwól na pamięć odpowiedzi” jest wyłączona, wszystkie rozszerzenia są wyłączone. |
A.1 Odpowiadanie na pytania w okienku odpowiedzi
| Pole | Wpis |
|---|
| Cel | Krótka, udokumentowana odpowiedź na pytanie odwiedzającego na podstawie publicznych treści strony internetowej klienta, z linkami do źródeł. |
| Osoby, których dane dotyczą | Odwiedzający strony internetowe klientów, którzy wpisują pytanie w wyszukiwarkę lub okienko odpowiedzi. |
| Dane opuszczające przeglądarkę | Pytanie (najwyżej 300 znaków), język, adres bieżącej i odsyłającej strony, każdy bez parametrów i kotwic, w przypadku obszarów identyfikator wybranego obszaru, w przypadku pytań uzupełniających dotychczasowy przebieg rozmowy w otwartym okienku (przechowywany wyłącznie w pamięci operacyjnej przeglądarki). Technicznie nieuniknione: adres IP przeglądarki i User-Agent przy nawiązywaniu połączenia. |
| Co robi z nimi serwer | Pytanie jest porównywane z indeksem strony internetowej (osadzanie za pomocą własnego, również hostowanego samodzielnie modelu osadzeń i wyszukiwanie pełnotekstowe). Jeżeli źródło jest wystarczająco mocne, model językowy formułuje na jego podstawie odpowiedź – nasza własna AI, hostowana samodzielnie na dwóch własnych komputerach, które zastępują się wzajemnie w razie obciążenia lub awarii; w przeciwnym razie bez wywołania modelu pojawia się stały tekst „brak udokumentowanej odpowiedzi”. Odpowiedź jest przesyłana strumieniowo. |
| Gdzie przetwarzane | Pamięć operacyjna usługi odpowiedzi na własnym serwerze w Łodzi. Na potrzeby osadzania i odpowiedzi usługa umieszcza zadanie w swojej giełdzie zadań w pamięci operacyjnej; worker na jednym z własnych serwerów AI w sieci wewnętrznej w Łodzi pobiera je podpisanym wywołaniem (HMAC) przez TLS, wykonuje obliczenia i odsyła wynik. Serwer nigdy sam nie łączy się z serwerami AI. |
| Zapisywane | Przy wyłączonej opcji „Zezwól na pamięć odpowiedzi” (ustawienie domyślne nowych stron internetowych): pytanie i odpowiedź nie są zapisywane. Nie pojawiają się w żadnym dzienniku usługi odpowiedzi, indeksatora, workera ani serwera WWW. Przy włączonej opcji „Zezwól na pamięć odpowiedzi”: zob. A.2 i A.7. |
| Odbiorcy | Brak podmiotów trzecich. Serwery AI to własny sprzęt, a nie dalsze podmioty przetwarzające (punkt 4). |
| Państwo trzecie | Brak. |
| Termin usunięcia | Brak przechowywania poza czasem trwania zapytania. Zadanie w giełdzie wygasa, gdy tylko zostanie wykonane, przerwane lub nie zostanie pobrane. |
| Oznaczenie AI | Każda odpowiedź zawiera niewyłączalną informację zgodnie z art. 50 rozporządzenia w sprawie sztucznej inteligencji; od planu Pro z własną treścią klienta. |
| Brak trenowania | Ani treści stron, ani pytania, ani odpowiedzi nie są wykorzystywane do trenowania ani dostrajania modeli; w kodzie nie ma do tego żadnej drogi. |
| Tryb zgody | Przy data-consent="required" przeglądarka przed wyrażeniem zgody przez odwiedzającego nie wysyła do Answely ani jednego zapytania; rozpoznawany jest baner zgody consented.eu i banery TCF. Jeżeli tryb zgody jest włączony tylko w koncie, a kod osadzenia nie ma tego atrybutu, okienko najpierw pobiera swoje ustawienia (przy włączonej opcji „Zezwól na pamięć odpowiedzi” także do sessionStorage) i do wyrażenia zgody nie wysyła żadnego pytania. O tym, czy klient tego wymaga, decyduje on jako administrator. |
| Podstawa prawna (określona przez administratora) | Zazwyczaj art. 6 ust. 1 lit. f RODO (odpowiedź na samodzielnie zadane pytanie) lub zgoda; w odniesieniu do dostępu do urządzenia końcowego (sessionStorage, A.5) krajowa implementacja art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej. |
A.2 Pamięć podręczna odpowiedzi (tylko przy włączonej opcji „Zezwól na pamięć odpowiedzi”)
| Pole | Wpis |
|---|
| Cel | Nieprzeliczanie od nowa powtórzonego identycznego pytania (obciążenie, czas odpowiedzi). |
| Warunek | Klient włączył opcję „Zezwól na pamięć odpowiedzi” dla strony internetowej. |
| Dane | Tekst odpowiedzi i źródła; kluczem jest skrót (hash) ze strony internetowej, obszaru, języka i pytania – samo pytanie nie występuje w kluczu. |
| Gdzie | Redis na własnym serwerze, własny użytkownik dostępowy i prefiks dla każdego środowiska. |
| Termin usunięcia | Pamięć podręczna odpowiedzi: 24 godziny; gdy zmieni się indeks strony internetowej (nowa wersja indeksu), starsze wpisy nie są już używane i wygasają w tym terminie |
| Odbiorcy, państwo trzecie | Brak. |
| Nieprzechowywane w pamięci podręcznej | Odpowiedzi z chronionych obszarów wiedzy (A.18), odpowiedzi przy uruchomionej diagnostyce (A.19), wyszukiwania MCP (A.17), szybki test (B.13). |
A.3 Liczniki bez treści
| Pole | Wpis |
|---|
| Cel | Działanie usługi, wyszukiwanie błędów, limit i liczby dzienne dla klienta, bez zapisywania treści. |
| Dane | Czas, skrócony adres IP (IPv4 bez ostatniego oktetu, IPv6 do /48), identyfikator strony internetowej, długość pytania, wynik (odpowiedź, brak odpowiedzi, błąd), czas trwania. Nigdy pytanie, odpowiedź ani adres strony. |
| Gdzie | Tabela sa_zaehler w bazie danych usługi odpowiedzi. |
| Termin usunięcia | Liczniki bez treści: 7 dni, cogodzinny proces porządkujący w usłudze odpowiedzi |
| Klient widzi | Wyłącznie liczby dzienne dla każdej strony internetowej, bez pojedynczych wierszy. |
| Odbiorcy, państwo trzecie | Brak. |
A.4 Ochrona przed nadużyciami, dławienie i ochrona przed przeciążeniem
| Pole | Wpis |
|---|
| Cel | Ograniczanie liczby zapytań od jednego nadawcy, odpieranie ataków, ochrona własnej mocy obliczeniowej AI przed przeciążeniem. |
| Dane | Skrót (hash) z adresu IP i codziennie zmienianej wartości losowej; sam adres IP nie jest w tym celu zapisywany. |
| Gdzie | Redis (bez Redis wyłącznie w pamięci operacyjnej procesu). |
| Termin usunięcia | Skrót ochrony przed nadużyciami: najwyżej 2 minuty. Wartość losowa (sól dzienna): najwyżej 2 dni. |
| Limity | Dławienie: najwyżej 60 wywołań na minutę z jednego IP dla wszystkich publicznych punktów końcowych. Niezależnie od tego usługa dopuszcza tylko ograniczoną liczbę równoczesnych odpowiedzi (domyślnie sześć łącznie, trzy na stronę internetową); powyżej tej liczby odpowiada kodem HTTP 429; okienko wyświetla wtedy informację, aby chwilę poczekać, i przyjmuje kolejne pytanie dopiero po wskazanym czasie oczekiwania (Retry-After, najwyżej 300 sekund, wyłącznie w pamięci operacyjnej strony), wyszukiwarka klienta pozostaje. |
| Odbiorcy, państwo trzecie | Brak. |
A.5 Pamięć w przeglądarce odwiedzającego
| Pole | Wpis |
|---|
| Cel | Nieładowanie ustawień okienka przy każdym wyświetleniu strony oraz ponowne pokazanie właśnie udzielonej odpowiedzi przy cofaniu się – oba wyłącznie przy włączonej opcji „Zezwól na pamięć odpowiedzi”. |
| Dane | Tylko przy włączonej opcji „Zezwól na pamięć odpowiedzi”: publiczne ustawienia okienka; tylko w przypadku stron podłączonych przez reactive.chat dodatkowo odpowiedzi wraz ze źródłami (klucz wpisu odpowiedzi zawiera zadane pytanie). Przy wyłączonej opcji „Zezwól na pamięć odpowiedzi” (ustawienie domyślne) i w chronionych obszarach wiedzy okienko niczego nie zapisuje w przeglądarce. Brak plików cookie, brak identyfikatora odwiedzającego, brak wywołań u podmiotów trzecich. |
| Gdzie | sessionStorage przeglądarki – na urządzeniu końcowym odwiedzającego, nie w Answely. |
| Termin usunięcia | Ustawienia okienka na 5 minut; odpowiedzi (tylko przez reactive.chat) na 10 minut; najpóźniej z chwilą zamknięcia karty |
| Przebieg rozmowy | Wyłącznie w pamięci operacyjnej otwartej strony; znika po ponownym załadowaniu lub zmianie obszaru. |
| Odbiorcy | Brak. |
A.6 Liczby miesięczne dla każdej strony internetowej
| Pole | Wpis |
|---|
| Cel | Limit i rozliczanie odpowiedzi w miesiącu, ostrzeżenie przy 80 % i przy 100 %. |
| Dane | Identyfikator strony internetowej, miesiąc, liczba odpowiedzi. Brak odniesienia do odwiedzających jako osób. |
| Gdzie | Tabela sa_kontingent. |
| Termin usunięcia | Liczby miesięczne dla każdej strony internetowej: 400 dni od ostatniej zmiany; natychmiast wraz ze stroną internetową |
A.7 Analiza pytań i ocena
| Pole | Wpis |
|---|
| Cel | Pokazanie klientowi, jakie pytania są zadawane i które pozostają bez udokumentowanej odpowiedzi, aby mógł ulepszać swoje treści. |
| Warunek | Wyraźne włączenie (opt-in) przez klienta dla każdej strony internetowej, plan od Pro i włączona opcja „Zezwól na pamięć odpowiedzi”. Domyślnie: wyłączone. |
| Dane | Pytanie zamaskowane (adresy e-mail także w zapisie zaciemnionym, numery telefonów, ciągi cyfr podobne do IBAN, linki, liczby od sześciu cyfr są maskowane przed zapisaniem), dzień kalendarzowy bez godziny, język, wynik, adresy cytowanych źródeł, czas trwania, losowy identyfikator odpowiedzi, skrót (hash) ujednoliconego zamaskowanego pytania jako klucz grupowania oraz – dobrowolnie – ocena „pomocne” lub „niepomocne”. Na potrzeby oceny przeglądarka wysyła wyłącznie losowy identyfikator odpowiedzi i dokonany wybór. |
| Niezapisywane | Adres IP, identyfikatory przeglądarki, tekst odpowiedzi, adres strony, na której zadano pytanie, przebieg rozmowy. |
| Grupowanie | Nocą od 02:00 UTC indeksator tworzy grupy podobnych pytań. W tym celu zamaskowane pytania są osadzane na własnych serwerach AI; wektory istnieją wyłącznie w pamięci operacyjnej. Zapisywane są grupy (ae_fragen_gruppen) i przyporządkowania (ae_fragen_zuordnung). |
| Klient widzi | Wyłącznie grupy liczące co najmniej 2 pytania; nigdy pojedyncze pytanie. |
| Gdzie | Tabele ae_fragen, ae_fragen_gruppen, ae_fragen_zuordnung. |
| Termin usunięcia | Wpisy analizy pytań: 90 dni od dnia kalendarzowego, cogodzinny proces porządkujący; natychmiast wraz ze stroną internetową lub po naciśnięciu przycisku przez klienta |
| Grupy jednego przebiegu | są zastępowane, gdy tylko dostępny jest nowszy przebieg, i znikają najpóźniej po tygodniu. |
| Odbiorcy, państwo trzecie | Brak; tylko jeżeli klient włączy raport luk w wiedzy, teksty grup są wysyłane e-mailem do USA (A.8). |
| Podstawa prawna (określona przez administratora) | Zazwyczaj art. 6 ust. 1 lit. f RODO (ulepszanie własnych treści); wzór klauzuli do polityki prywatności klienta: wzór klauzuli. |
A.8 Raport luk w wiedzy wysyłany e-mailem
| Pole | Wpis |
|---|
| Cel | Comiesięczne przesyłanie klientowi najczęstszych otwartych pytań z poprzedniego miesiąca. |
| Warunek | Opt-in dla każdej strony internetowej w zakładce „Pytania”, wyłącznie przy działającej analizie pytań (A.7). Możliwość rezygnacji za pomocą podpisanego linku w każdej wiadomości bez logowania. |
| Dane | Nazwa lub domena strony internetowej, suma miesięczna, dla każdej z maksymalnie dziesięciu grup tekst grupy (jedno zamaskowane pytanie jako reprezentant), liczba i odsetek. Wyłącznie grupy liczące co najmniej 2 pytania. W nagłówku logo firmy odbiorcy, pobierane za pomocą podpisanego linku z answely.com. |
| Odbiorcy, państwo trzecie | Właściciel przestrzeni roboczej, w jego języku. Wysyłka przez skrzynkę nadawczą (B.9) i dostawcę poczty e-mail Namecheap Private Email (Namecheap, Inc., USA) jako dalszy podmiot przetwarzający. Państwo trzecie: USA, podstawa: standardowe klauzule umowne UE w Data Processing Addendum Namecheap (art. 46 ust. 2 lit. c RODO). |
| Częstotliwość | Najwyżej jedna wiadomość na stronę internetową i miesiąc, przebieg od 1. do 3. dnia miesiąca o 06:00 UTC; miesiąc bez pytań nie powoduje wysyłki. |
| Termin usunięcia | Kopia w skrzynce nadawczej: 30 dni |
| Uwaga | Zamaskowane teksty grup opuszczają tym samym bazę danych i trafiają do skrzynki pocztowej klienta. Maskowanie nie obejmuje imion i nazwisk ani opisów zapisanych słowami (DPIA, R2). |
A.9 Indeks publicznych stron klienta
| Pole | Wpis |
|---|
| Cel | Podstawa, z której powstają odpowiedzi. |
| Osoby, których dane dotyczą | Osoby wymienione na publicznych stronach klienta (np. osoby kontaktowe, autorzy, członkowie zespołu). |
| Warunek | Potwierdzenie domeny przez klienta (strona główna, rekord DNS lub plik /.well-known/answely.txt). Jeżeli potwierdzenie nie powiedzie się przez 14 dni, okienko zostaje wyłączone. |
| Pobieranie | Wyłącznie publicznie dostępne strony potwierdzonych hostów, wyłącznie metodą GET, bez plików cookie i danych dostępowych, z uwzględnieniem robots.txt, noindex, ścieżek wykluczonych i data-answely-ignore; bez sieci wewnętrznych lub zarezerwowanych, również po przekierowaniu. Identyfikator pobierającego: AnswelyBot. |
| PDF i OCR | Pliki PDF są lokalnie przekształcane w tekst. Jeżeli PDF nie zawiera tekstu możliwego do wyodrębnienia, a klient włączył OCR, jest on rozpoznawany lokalnie za pomocą Poppler i Tesseract – w prywatnym folderze tymczasowym, który jest następnie usuwany, z limitami czasu, stron i zasobów. Brak zewnętrznego interfejsu OCR. |
| Dane | Adres, tytuł, tekst, fragmenty i obliczone z nich wektory (za pomocą własnego, również hostowanego samodzielnie modelu osadzeń), czas pobrania, cechy techniczne (ETag, suma kontrolna), rodzaj źródła (pobranie, push). |
| Gdzie | Tabele ae_dokumente, ae_abschnitte, ae_indexstand, ae_indexlauf; wektory dodatkowo jako pamięć podręczna w pamięci operacyjnej usługi odpowiedzi. |
| Osadzanie | Fragmenty są osadzane na własnych serwerach AI (giełda zadań jak w A.1). |
| Termin usunięcia | Strony, które znikają lub przechodzą na noindex, wypadają przy następnym przebiegu. Wraz z usunięciem strony internetowej lub konta indeks jest usuwany w ciągu 24 godzin; kolejka (ae_loeschungen) nadrabia zaległości i po dwunastu godzinach zgłasza błąd. Kopie zob. A.11 i B.16. |
| Odbiorcy, państwo trzecie | Brak. |
A.10 Interfejs push i synchronizacja WordPress
| Pole | Wpis |
|---|
| Cel | Wprowadzanie treści do indeksu lub ich usuwanie bez pobierania (od planu Pro). |
| Dane | Teksty przesłane przez klienta z adresem na potwierdzonym hoście, tytuł, zlecenia usunięcia. |
| Droga | Token dla każdej strony internetowej, przechowywany wyłącznie jako skrót SHA-256; dławienie dla każdej strony internetowej; wejście do ae_push_eingang, przetwarzanie przez indeksator, następnie jak A.9. |
| Wtyczka WordPress | Wyraźny opt-in we wtyczce; przesyła wyłącznie opublikowane, publiczne wpisy i strony, zmiany, zmiany permalinków i wycofania; bez wykonywania shortcode'ów; token znajduje się wyłącznie w pliku wp-config.php instalacji WordPress, nigdy w opcjach, interfejsie ani przeglądarce. Answely widzi treści i techniczne wywołanie serwera WordPress, nie widzi adresu IP odwiedzających. |
| Obowiązek klienta | Wprowadza wyłącznie treści, na które wolno udzielać publicznych odpowiedzi, i żadnych szczególnych kategorii danych osobowych (regulamin i umowa powierzenia; DPIA R6). Treści niepubliczne należą wyłącznie do chronionych obszarów wiedzy (A.18), gdy tylko zostaną one udostępnione. |
| Termin usunięcia | Wejście: usuwane po przetworzeniu, w przeciwnym razie wraz ze stroną internetową. Treści: jak A.9. |
A.11 Zatwierdzanie indeksu: kandydat i poprzedni indeks
| Pole | Wpis |
|---|
| Cel | Publikowanie nowego indeksu dopiero wtedy, gdy jest kompletny i przeszedł testy odpowiedzi (A.12); umożliwienie powrotu do poprzedniego stanu. |
| Warunek | Rozszerzenie „Zatwierdzanie indeksu” włączone dla danej strony internetowej, co najmniej jedno pozytywne pytanie kontrolne. |
| Dane | Do dwóch dodatkowych kopii publicznych stron, fragmentów i wektorów strony internetowej: kandydat i poprzedni stan. Znajdują się pod wewnętrznymi kluczami wyprowadzonymi z klucza strony w tych samych tabelach co A.9 i nie są publicznie dostępne do odpytywania. |
| Termin usunięcia | Kandydat: do następnego przebiegu. Poprzedni stan: do następnego udanego zatwierdzenia lub do usunięcia strony internetowej – brak odrębnego terminu czasowego. Usunięte strony, strony z noindex i usunięcia przez push są przenoszone do obu kopii i nie czekają na testy. |
| Raporty zatwierdzenia | Status techniczny w Redis bez tekstów pytań i odpowiedzi, najwyżej 30 dni. |
| Odbiorcy, państwo trzecie | Brak. |
A.12 Testy odpowiedzi
| Pole | Wpis |
|---|
| Cel | Rozpoznawanie za pomocą maksymalnie dziesięciu pytań kontrolnych klienta, czy nowy indeks lub nowe ustawienie pogarsza odpowiedzi. |
| Dane | Pytania kontrolne z oczekiwanymi słowami kluczowymi, źródłami lub oczekiwaną odmową (część konfiguracji strony internetowej i eksportu konta). Podczas przebiegu w pamięci operacyjnej powstają rzeczywiste odpowiedzi. |
| Raport | Numery przypadków, wyniki kontroli, czasy wykonania, wersja indeksu i sumy kontrolne, bez tekstów pytań i odpowiedzi; aktualny raport i jeden poprzedni. |
| Termin usunięcia | Pytania kontrolne do zmiany lub usunięcia strony internetowej. Raporty najwyżej 30 dni od ostatniego przebiegu, natychmiast wraz ze stroną internetową. |
| Wskazówka dla klientów | Używać publicznych przypadków testowych bez danych osobowych lub poufnych. |
A.13 Obszary, pytania doprecyzowujące, doradca reguł, linki do akcji i wsparcia
| Pole | Wpis |
|---|
| Cel | Ograniczanie wyszukiwania do obszarów produktów lub dokumentacji (do dziesięciu), wyjaśnianie niejednoznacznych pytań za pomocą stałego pytania doprecyzowującego, prowadzenie za pomocą zdefiniowanych pytań wyboru do zatwierdzonej rekomendacji, pokazywanie po udokumentowanej odpowiedzi do trzech zatwierdzonych linków, odsyłanie do wsparcia w przypadku braku odpowiedzi. |
| Dane | Konfiguracja klienta (publiczna). U odwiedzającego: wybrany obszar i wybór, wyłącznie w pamięci operacyjnej okienka i bieżącego zapytania. |
| Funkcja kopiowania | Na wyraźne kliknięcie przeglądarka kopiuje pytanie, przebieg rozmowy i źródła do schowka odwiedzającego. Brak przesyłania do Answely lub do celu wsparcia; Answely niczego nie dołącza do adresów docelowych. |
| Ograniczenie | Obszary nie stanowią kontroli dostępu do treści poufnych. Pytanie doprecyzowujące i doradca reguł nie wywołują modelu i nie obciążają limitu. |
| Odbiorcy | Dopiero kliknięcie odwiedzającego otwiera cel klienta; za przetwarzanie tam odpowiada jego operator. |
| Termin usunięcia | Brak przechowywania u odwiedzającego poza stroną. |
A.14 Podgląd źródeł i wyszukiwanie pogłębione
| Pole | Wpis |
|---|
| Cel | Pokazywanie fragmentów, na których opiera się odpowiedź; dokładniejsze wyszukiwanie na wyraźne życzenie odwiedzającego. |
| Dane | Publiczne treści indeksu i czas pobrania. Wyszukiwanie pogłębione: najwyżej osiem wyciągów, każdy do 4 000 i łącznie do 16 000 znaków, ta sama strona internetowa i ten sam obszar, najwyżej jedno dodatkowe wywołanie modelu. |
| Zapisywane | Nic dodatkowego. |
A.15 Skuteczność i porównanie A/B
| Pole | Wpis |
|---|
| Cel | Mierzenie, czy odpowiedzi pomagają („rozwiązano” lub „nie rozwiązano”, wyświetlone odpowiedzi, cele zgłoszone przez klienta) i porównywanie dwóch wariantów prezentacji (A: linki do źródeł, B: podgląd źródeł). |
| Warunek | Opt-in klienta dla każdej strony internetowej; zasady zgody okienka obowiązują także dla tych zgłoszeń, wycofanie zgody uniemożliwia kolejne. |
| Dane | Podpisane potwierdzenie dla każdej odpowiedzi z losowym identyfikatorem odpowiedzi, grupą porównawczą, stroną internetową, czasem wygaśnięcia i odciskiem konfiguracji. Przeglądarka przechowuje je wyłącznie w pamięci operacyjnej. Brak pytań, odpowiedzi, adresów stron, brak identyfikatora odwiedzającego, brak plików cookie. |
| Gdzie | Redis: identyfikatory do wykluczania podwójnych zgłoszeń i sumy dzienne dla każdej grupy. |
| Termin usunięcia | Potwierdzenie ważne najwyżej 24 godziny. Wpisy w Redis wygasają po 30 dniach. |
| Klient widzi | Wyłącznie sumy grup z ostatnich 30 dni kalendarzowych. |
A.16 Dane z API na żywo
| Pole | Wpis |
|---|
| Cel | Uwzględnianie w odpowiedzi aktualnej wartości (np. godzin otwarcia, stanu magazynowego, statusu) z publicznego interfejsu klienta. |
| Dane w wywołaniu | Brak danych odwiedzających: Answely wywołuje na stałe skonfigurowany publiczny punkt końcowy HTTPS-JSON na potwierdzonym hoście – bez pytania, bez adresu IP ani identyfikatora odwiedzającego, bez danych dostępowych i parametrów. Najwyżej dwa źródła, na każde wywołanie najwyżej dwie sekundy i 64 KiB, wyłącznie publiczne adresy docelowe. |
| Odbiorcy | Operator punktu końcowego (z reguły sam klient) widzi techniczne wywołanie serwera Answely. |
| Zapisywane | Brak własnej pamięci podręcznej; wartość, jednostka, źródło i czas pobrania trafiają wyłącznie do bieżącej odpowiedzi. |
A.17 Publiczny dostęp wyszukiwania MCP
| Pole | Wpis |
|---|
| Cel | Oferowanie klientom AI (np. środowiskom programistycznym) wyłącznie wyszukiwania tekstowego w publicznej dokumentacji klienta. |
| Warunek | Wyraźnie włączony dla każdej potwierdzonej strony internetowej; domyślnie wyłączony. Wyłączany, gdy tylko aktywne są chronione obszary wiedzy. |
| Dane | Wyszukiwane hasło (najwyżej 300 znaków) i opcjonalnie obszar; odpowiedź: najwyżej pięć wyciągów z publicznego indeksu. Brak obliczeń AI, brak operacji zapisu. |
| Zapisywane | Nie jako analiza pytań, nie w pamięci podręcznej odpowiedzi. Do ograniczania stosuje się ochronę przed nadużyciami z A.4; dziennik serwera WWW pozostaje (B.1). |
| Odbiorcy | Każdy, kto zna dostęp; jest on publiczny. Przetwarzanie w kliencie AI należy do zakresu jego odpowiedzialności. |
A.18 Chronione obszary wiedzy (przygotowane, nieudostępnione)
| Pole | Wpis |
|---|
| Stan | Przygotowane i sprawdzone w kodzie; nie podłączono jeszcze żadnego dostawcy tożsamości, nie aktywowano żadnych poufnych dokumentów klientów. Przewidziane do późniejszego udostępnienia. |
| Cel | Odpowiedzi z dokumentów, które mogą widzieć wyłącznie określone grupy użytkowników klienta. |
| Dane | Token dostępu aplikacji hosta klienta (JWT RS256 zgodnie z RFC 9068) z identyfikatorem użytkownika, klientem, identyfikatorem tokena i grupami. |
| Przetwarzanie | Wyłącznie lokalna weryfikacja podpisu, czasu, wystawcy i odbiorcy za pomocą na stałe zapisanych kluczy publicznych; brak pobierania kluczy lub danych użytkowników od podmiotów trzecich. Zawartość tokena nie jest zapisywana ani przekazywana modelowi językowemu; model otrzymuje wyłącznie pytanie i dozwolone fragmenty. |
| Brak pamięci podręcznej | Odpowiedzi z obszarów chronionych nie są przechowywane w pamięci podręcznej ani na serwerze, ani w przeglądarce. |
| Ograniczenie | Chronionego zasobu nie można ponownie przełączyć na publiczny; w tym celu przewidziano nową stronę internetową. Same chronione dokumenty znajdują się w indeksie (A.9, A.11) z tymi samymi terminami i bez dodatkowego szyfrowania. |
A.19 Narzędzia klienta wykorzystujące treści klienta
| Pole | Wpis |
|---|
| Diagnostyka odpowiedzi | Prywatne zlecenia z konta pokazują pobieranie, wybór, źródła i przyczyny odmowy dla pytania klienta. Wyniki wyłącznie w pamięci operacyjnej usługi odpowiedzi, najwyżej dwa uruchomione i 32 przechowywane zlecenia, przerwanie po 15 minutach działania i usunięcie 15 minut po zakończeniu; brak zapisu w bazie danych, Redis lub dziennikach; usunięcie strony internetowej kończy uruchomione zlecenia. |
| Porównanie odpowiedzi | Aktywny i nowy indeks lub dwie konfiguracje są porównywane na podstawie rzeczywistych odpowiedzi; treści, jak przy diagnostyce, wyłącznie w pamięci operacyjnej. |
| Szablony agencyjne | Udostępnione pola wyglądu i odpowiedzi oraz glosariusz wyszukiwania można przenosić na inne strony internetowe tej samej przestrzeni roboczej; podgląd najwyżej 25 minut w sesji aplikacji kont, podpisane potwierdzenie zatwierdzenia dziesięć minut. Brak przejmowania uprawnień, tokenów lub połączeń. |
| Copilot dokumentacji | Z luki w treściach powstaje projekt z maksymalnie pięciu istniejących fragmentów wraz ze źródłami; projekt istnieje wyłącznie w odpowiedzi i w przeglądarce, bez zapisywania po stronie serwera, i nigdy nie jest publikowany automatycznie. |
| Glosariusz wyszukiwania, ważność i priorytet źródeł | Konfiguracja strony internetowej; brak odniesienia do odwiedzających jako osób. |
| Osoby, których dane dotyczą | Pośrednio osoby występujące w treściach klienta. |
A.20 Strony z reactive.chat (silnik reactivechat)
| Pole | Wpis |
|---|
| Cel | Każdy klient reactive.chat otrzymuje dodatkowo Smart Answers (Answely); odpowiedzi pochodzą z bazy wiedzy reactive.chat. |
| Dane | Pytanie, adres odwiedzającego (wyłącznie z kluczem proxy serwera czatu) i identyfikator odwiedzającego widżetu reactive.chat na potrzeby przekazania do czatu. Przy wyłączonej opcji „Zezwól na pamięć odpowiedzi” dodatkowo podpisana historia (pytanie najwyżej 300 znaków, odpowiedź, maksymalnie trzy źródła, strona internetowa, identyfikator odwiedzającego), ważna 24 godziny, przechowywana wyłącznie w pamięci operacyjnej przeglądarki. |
| Odbiorcy | reactive.chat, ten sam podmiot, z jego własną infrastrukturą AI. Silnik jest dopuszczony wyłącznie dla tych stron, nigdy dla klientów Answely. |
| Przechowywanie | Zgodnie z zasadami reactive.chat; tryb ulotny działa aż do serwera czatu, dopóki odwiedzający nie wyśle w czacie pytania uzupełniającego: wtedy reactive.chat jednorazowo przejmuje pytanie, odpowiedź i źródła z podpisanej historii do zapisanej historii czatu jako początek rozmowy; okienko informuje o tym wcześniej. Jeżeli odwiedzający usunął swoje dane w reactive.chat lub historii nie można już wykorzystać, pytanie uzupełniające rozpoczyna nową rozmowę bez tej historii. Gdy opcja „Zezwól na pamięć odpowiedzi” jest włączona, nie ma podpisanej historii: reactive.chat prowadzi już pytanie wyszukiwania i odpowiedź jako rozmowę według swoich zasad, a pytanie uzupełniające ją kontynuuje. |
| Podstawa prawna | Umowy między reactive.chat a jego klientem; polityka prywatności i umowa powierzenia reactive.chat wyraźnie wskazują to przetwarzanie (Smart Answer). |
4. Część A – odbiorcy, dalsze podmioty przetwarzające i przekazywanie do państw trzecich
4.1 Infrastruktura: brak dostawcy hostingu
Answely działa na własnym sprzęcie podmiotu w Łodzi w Polsce. Serwer WWW (nginx jako przełącznik przed Apache z PHP-FPM), aplikacja kont, usługa odpowiedzi, indeksator, MariaDB i Redis działają na własnym serwerze za własnym routerem; Answely łączy się z bazą danych i Redis wyłącznie przez lokalną pętlę zwrotną; użytkownicy baz danych Answely są dopuszczeni wyłącznie lokalnie. Serwer baz danych i Redis nasłuchują dodatkowo na adresie serwera w sieci wewnętrznej, ponieważ korzystają z nich inne usługi tego samego operatora; zapora serwera przepuszcza tam do bazy danych wyłącznie jeden z komputerów AI, a do Redis nikogo. Modele językowe to nasza własna AI, hostowana samodzielnie na własnym sprzęcie; działają na dwóch własnych serwerach w sieci wewnętrznej w Łodzi, ze zmniejszonym modelem językowym przygotowanym przez podmiot trzeci, w ustalonej rewizji; jeżeli jeden z nich jest obciążony lub ulegnie awarii, przejmuje drugi. Trzeci własny komputer nie formułuje odpowiedzi; wykonuje prace w tle, takie jak osadzenia podczas przebiegów indeksowania i nocne grupowanie. Osadzanie działa z własnym, również hostowanym samodzielnie modelem osadzeń na własnych komputerach w tej sieci. Z serwerów korzystają także inne własne produkty operatora; część obrazowa oprogramowania modeli jest włączona, ale Answely wysyła wyłącznie tekst. Te komputery nie przyjmują połączeń: działające na nich workery pobierają zadania za pomocą podpisanego long-pollingu i odsyłają wyniki. Reranker jest obecnie wyłączony. W związku z tym do eksploatacji nie korzystamy z żadnego dostawcy hostingu ani dostawcy AI jako dalszego podmiotu przetwarzającego.
4.2 Dalsze podmioty przetwarzające, które mogą otrzymywać dane z części A
| Dalszy podmiot przetwarzający | Cel | Lokalizacja | Gwarancja | Dane z części A |
|---|
| Google Ireland Ltd. (Google Cloud Storage) | Zewnętrzna kopia zapasowa wszystkich baz danych i katalogów WWW serwera, szyfrowana na własnym serwerze przed przesłaniem | Bucket w europe-central2 (Warszawa), klasa pamięci Standard, niepubliczny | Warunki przetwarzania danych Google Cloud, zaakceptowane dla projektu w chmurze (konto firmowe) | Wszystko, co znajduje się w bazach danych: indeks, analiza pytań, liczniki, liczby miesięczne, wejście push, konfiguracja – wyłącznie jako zaszyfrowane bloki; nazwy plików i katalogów również zaszyfrowane; klucz wyłącznie u operatora |
| Namecheap, Inc., Phoenix, Arizona, USA (Namecheap Private Email) | Wysyłka wiadomości do klientów, odbiór przychodzących wiadomości na adresy @answely.com | USA | Data Processing Addendum Namecheap ze standardowymi klauzulami umownymi UE (art. 46 ust. 2 lit. c RODO), zaakceptowane w dniu 01.08.2026 | Przede wszystkim raport luk w wiedzy (A.8): zamaskowane teksty grup i logo firmy; ponadto wiadomości związane ze stroną oraz wiadomości do wsparcia, do których klient sam wprowadza treści |
Stripe nigdy nie otrzymuje danych z części A (zob. B.7).
4.3 Podmioty niebędące dalszymi podmiotami przetwarzającymi – z uzasadnieniem
- Własne serwery AI: własny sprzęt tego samego podmiotu, nie podmiot trzeci.
- reactive.chat: ten sam podmiot; wyłącznie dla stron z reactive.chat (A.20).
- consented.eu: własny produkt tego samego podmiotu; okienko odpowiedzi jedynie go rozpoznaje, nie wywołuje go. Jeżeli klient sam stosuje consented.eu na swojej stronie internetowej, opiera się to na jego umowie z consented.eu; Answely odczytuje wówczas wyłącznie sygnał w przeglądarce i niczego nie wysyła do consented.eu.
- Let's Encrypt: wystawia certyfikaty TLS i widzi wyłącznie nazwy domen.
- Namecheap jako rejestrator: rejestracja answely.com i autorytatywny DNS; wyłącznie dane domeny operatora. (Namecheap Private Email figuruje w punkcie 4.2 ze względu na e-maile.)
- GeoIP: kraj jest ustalany na podstawie lokalnego pliku bazy danych, bez usługi geolokalizacji.
- Telegram: tylko jeżeli skonfigurowano; wewnętrzny sygnał o stałej treści bez danych osobowych (np. „komponent nie odpowiada”).
4.4 Przygotowany, nieaktywny: zapasowy dostawca modelu językowego w UE
Na wypadek szczytów obciążenia i awarii technicznie przygotowany jest worker dla Scaleway Generative APIs (Paryż). Jest on nieaktywny (przełącznik eu_freigegeben ustawiony na fałsz), nie ma dostępu ani umowy. Osadzanie pozostałoby nawet wtedy na własnym serwerze. Usługa odpowiedzi uruchamia się wyłącznie z punktami końcowymi AI, które znajdują się na liście zatwierdzonych punktów końcowych w UE. Kolejny dostawca AI zostanie użyty wyłącznie wtedy, gdy przetwarza dane w UE, ma umowę powierzenia przetwarzania danych z zobowiązaniami „brak trenowania” i „brak przechowywania poza zakresem przetwarzania”, figuruje na liście dalszych podmiotów przetwarzających, a klienci zostali poinformowani z 30-dniowym wyprzedzeniem, z prawem sprzeciwu. Dostawcy spoza UE są wykluczeni. Uwaga z weryfikacji z 09.10.2026: informacje Scaleway dotyczące ochrony danych przewidują na potrzeby analizy błędów i nadużyć przechowywanie pełnych treści HTTP przez okres do dwóch tygodni; w obecnej formie nie spełnia to zobowiązania „brak przechowywania poza zakresem przetwarzania” i wymaga wyjaśnienia w umowie przed każdą aktywacją.
4.5 Odbiorcy włączani przez samego klienta
- Cel API na żywo (A.16): widzi techniczne wywołanie serwera Answely, bez danych odwiedzających.
- Cele akcji i wsparcia (A.13): otrzymują wyłącznie to, co odwiedzający sam tam wprowadzi po swoim kliknięciu.
- Klienci AI korzystający z dostępu MCP (A.17): otrzymują wyciągi z publicznego indeksu.
- Dostawca tożsamości klienta (A.18): Answely się z nim nie łączy.
4.6 Przekazywanie do państw trzecich w części A
Jedno: e-maile do klientów przechodzą przez Namecheap Private Email (Namecheap, Inc., USA), podstawa: standardowe klauzule umowne UE w Data Processing Addendum Namecheap (art. 46 ust. 2 lit. c RODO). Danymi z części A są przy tym przede wszystkim zamaskowane teksty grup raportu luk w wiedzy (A.8), wyłącznie jeżeli klient go włączy. Poza tym pytania i odpowiedzi z okienka odpowiedzi (A.1 do A.7) nie opuszczają UE; przetwarzanie AI odbywa się wyłącznie na serwerach w UE. Serwery AI znajdują się w Polsce, zewnętrzna kopia zapasowa jest przechowywana w postaci zaszyfrowanej w Warszawie. Google Ireland Ltd. jest spółką zależną koncernu amerykańskiego; dostęp z tamtej strony dotyczyłby wyłącznie zaszyfrowanych bloków, do których Google nie ma klucza.
5. Część B – art. 30 ust. 1: przetwarzanie na własną odpowiedzialność
Administratorem jest we wszystkich przypadkach LW IT Solutions Company Lukas Wójcik. Miejscem przechowywania jest, o ile nie wskazano inaczej, własny serwer w Łodzi; każda baza danych znajduje się dodatkowo w kopiach zapasowych (B.16).
B.1 Dziennik dostępu serwera WWW (answely.com, api, cdn)
| Pole | Wpis |
|---|
| Cel | Działanie usługi, wyszukiwanie błędów, bezpieczeństwo. |
| Osoby, których dane dotyczą | Odwiedzający answely.com, klienci, odwiedzający strony klientów (wywołania answely.js i API), podmioty korzystające z dostępu MCP. |
| Dane | Skrócony adres IP (IPv4 bez ostatniego oktetu, IPv6 do /48), czas, metoda, ścieżka bez parametrów, protokół, status, rozmiar, czas trwania, wywołany host. Bez przeglądarki, bez strony odsyłającej, nigdy pytanie ani odpowiedź. Dzienniki błędów serwera WWW nie zawierają adresu klienta. |
| Termin usunięcia | Dziennik dostępu: 7 dni (codzienna rotacja, starsze wpisy są usuwane) |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO. |
| Poprzedzający przełącznik nginx | Nie prowadzi dla Answely własnego dziennika dostępu (wyłączony); jego dziennik błędów obejmuje tylko błędy krytyczne i był dotąd pusty (środowisko deweloperskie, 12.10.2026). W działaniu produkcyjnym obowiązuje to samo ustawienie. |
B.2 Statystyka stron aplikacji
| Pole | Wpis |
|---|
| Cel | Ulepszanie i zabezpieczanie oferty bez plików cookie i bez usług podmiotów trzecich. |
| Osoby, których dane dotyczą | Odwiedzający answely.com, zalogowani klienci. |
| Dane | Skrócony adres IP (od 07.10.2026; dane historyczne jednorazowo skrócone), kraj (ustalony przed skróceniem), wyświetlony adres wraz z ewentualnymi parametrami, pełna strona odsyłająca, identyfikator przeglądarki (user agent) i wyprowadzone z niego przeglądarka, urządzenie, system operacyjny, język, w przypadku zalogowanych numer konta. |
| Gdzie | Tabela access_logs aplikacji kont. |
| Termin usunięcia | Statystyka stron: 60 dni, codzienny proces porządkujący |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO. |
B.3 Baner zgody na answely.com
| Pole | Wpis |
|---|
| Cel | Uzyskiwanie i dokumentowanie zgód na usługi nieniezbędne na answely.com. |
| Technika | Baner consented.eu (własny produkt tego samego podmiotu) jest ładowany wyłącznie wtedy, gdy skonfigurowany jest ważny identyfikator property; loader znajduje się przed każdym innym skryptem i może blokować wzorce do czasu wyrażenia zgody. |
| Dane, pliki cookie, termin | Plik cookie consented z decyzją w przeglądarce, 12 miesięcy; na krótko testowy plik cookie __ce_probe, natychmiast usuwany. Dowód w consented.eu: losowy identyfikator zgody, wybór, wersja banera, czas, skrót (hash) adresu IP, język, kraj i region, rodzina przeglądarki, urządzenie mobilne tak/nie, domena, skrót adresu strony, czas do podjęcia decyzji; usuwany po 36 miesiącach. W działaniu produkcyjnym property dla answely.com jest opublikowana w consented.eu, a baner jest wyświetlany. |
| Pliki cookie aplikacji | bpid (sesja) i, tylko przy „Pozostań zalogowany”, bp_remember na najwyżej 30 dni. |
| Podstawa prawna | Art. 6 ust. 1 lit. c RODO (obowiązek wykazania) lub lit. f. |
B.4 Konto klienta, przestrzenie robocze i logo firmy
| Pole | Wpis |
|---|
| Cel | Umowa: rejestracja, zarządzanie stronami internetowymi, współpraca w zespole. |
| Osoby, których dane dotyczą | Klienci (przedsiębiorcy i konsumenci), członkowie przestrzeni roboczych, osoby zaproszone. |
| Dane | Adres e-mail, imię i nazwisko, rodzaj klienta, kraj, w przypadku przedsiębiorców firma i adres, numer VAT UE, hasło wyłącznie jako skrót (hash), język, plan i zaplanowana zmiana planu, ustawienia, sekret uwierzytelniania dwuskładnikowego (jeżeli skonfigurowano), czas i adres IP (nieskrócony) ostatniego logowania, wynik weryfikacji VIES (B.8). Do potwierdzenia adresu e-mail – cel w obrębie answely.com przekazany przy rejestracji (np. kasa wybranego planu); jest usuwany wraz z potwierdzeniem lub po wygaśnięciu linku potwierdzającego. Przestrzenie robocze z członkami i rolami; zaproszenia z adresem e-mail. Logo firmy: ponownie zakodowane, przechowywane poza katalogiem aplikacji. |
| Gdzie | Tabele users, workspaces, workspace_users, workspace_invites, sites aplikacji kont; logo w katalogu danych poza drzewem aplikacji. |
| Odbiorcy | Członkowie tej samej przestrzeni roboczej; Stripe na potrzeby rozliczeń (B.7). |
| Termin usunięcia | Do usunięcia konta, następnie natychmiast; logo jest usuwane wraz z kontem lub przy zastąpieniu. Nieprzyjęte zaproszenia po ich wygaśnięciu; przyjęte pozostają do usunięcia przestrzeni roboczej (sekcja 6.5). Przestrzenie robocze z innymi członkami przechodzą przy usunięciu na innego członka – w pierwszej kolejności na administratora przestrzeni roboczej o najdłuższym stażu, w przeciwnym razie na członka o najdłuższym stażu. |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO. |
B.5 Logowanie, sesje, próby logowania, uwierzytelnianie dwuskładnikowe
| Pole | Wpis |
|---|
| Cel | Bezpieczeństwo konta, wyświetlanie i kończenie sesji. |
| Dane | Dla każdej sesji adres IP (nieskrócony), przeglądarka, system operacyjny, urządzenie, znaczniki czasu, zakończenie; znacznik „Pozostań zalogowany” (remember_tokens, wyłącznie jako skrót); próby logowania z adresem IP, wpisanym adresem e-mail i wynikiem; udane logowanie usuwa nieudane próby logowania z tego samego adresu IP. Próby rejestracji z adresem IP, bez adresu e-mail, w osobnym oknie czasowym, którego logowanie nie znosi. Ograniczanie prób logowania i uwierzytelniania dwuskładnikowego na konto i na adres IP (auth_attempt_buckets): wyłącznie klucze HMAC, stan licznika i czas wygaśnięcia, bez adresu e-mail ani adresu IP w postaci jawnej. |
| Gdzie | login_sessions, remember_tokens, login_attempts, auth_attempt_buckets. |
| Termin usunięcia | Próby logowania (również próby rejestracji): 7 dni. Wpisy ograniczające: po upływie ich okna czasowego (domyślnie 15 minut). Wygasłe znaczniki: codziennie. Sesje: zakończone po 30 dniach od zakończenia, nieużywane po 30 dniach od ostatniego użycia (punkt 6.1), poza tym do usunięcia konta. |
| Podstawa prawna | Art. 6 ust. 1 lit. b i f RODO. |
B.6 Dowody akceptacji, potwierdzenie natychmiastowego rozpoczęcia, odstąpienia od umowy
| Pole | Wpis |
|---|
| Cel | Wykazanie, która wersja regulaminu, umowy powierzenia przetwarzania danych, polityki prywatności i pouczenia o prawie odstąpienia od umowy została zaakceptowana; w przypadku konsumentów potwierdzenie natychmiastowego rozpoczęcia świadczenia, zawarcie umowy i odstąpienie od umowy za pomocą funkcji odstąpienia. |
| Dane | Dokument, wersja, okoliczność, treść, czas, adres IP, przeglądarka; przy odstąpieniu od umowy czas i subskrypcja. |
| Gdzie | legal_consents, widerrufe. |
| Termin usunięcia | Dopóki istnieje konto; po usunięciu konta, gdy dowód jest starszy niż 4 lata, czyli najpóźniej 4 lata po usunięciu konta (codzienny proces porządkujący). |
| Podstawa prawna | Art. 6 ust. 1 lit. c i f RODO. |
B.7 Rozliczenia, faktury i pakiety dodatkowe
| Pole | Wpis |
|---|
| Cel | Umowa i obowiązki podatkowe. |
| Dane | Numer klienta Stripe, plan, okres rozliczeniowy; dla każdej faktury numer, rodzaj, status, kwoty, status podatkowy według Stripe Tax, odwrotne obciążenie, numer VAT UE i kraj jak na fakturze, linki do faktury w Stripe; pakiety dodatkowe po 1 000 odpowiedzi ze statusem. Dane płatnicze (karta, rachunek) znajdują się wyłącznie w Stripe. |
| Gdzie | rechnungen, ae_pakete, stripe_events (wyłącznie identyfikator zdarzenia, rodzaj, status, tekst błędu). |
| Odbiorcy | Stripe Payments Europe, Ltd., Dublin – płatności, faktury, Stripe Tax, portal klienta. Metody płatności: karta i polecenie zapłaty SEPA, ewentualnie BLIK i Przelewy24. W zakresie wymaganym przez prawo faktury dla przedsiębiorców w Polsce: Krajowy System e-Faktur (KSeF) prowadzony przez Ministerstwo Finansów, przesyłane za pomocą rozszerzenia naszego dostawcy usług płatniczych lub ręcznie. |
| Państwo trzecie | Stripe Payments Europe może przekazywać dane do Stripe, Inc. (USA): EU-US Data Privacy Framework, pomocniczo standardowe klauzule umowne. Wyłącznie dane klientów, nigdy dane odwiedzających. |
| Termin usunięcia | Faktury: 5 lat od końca roku kalendarzowego, w którym powstały (art. 86 w związku z art. 70 Ordynacji podatkowej), następnie usuwane w codziennym procesie porządkującym, także przy istniejącym koncie; przy usunięciu konta powiązanie z kontem jest usuwane. Zdarzenia płatnicze Stripe: po 90 dniach, z wyjątkiem zdarzeń jeszcze przetwarzanych. Pakiety: do usunięcia konta; nigdy niezakończone transakcje kasowe są po dwóch dniach uznawane za przerwane i usuwane po 90 dniach. |
| Podstawa prawna | Art. 6 ust. 1 lit. b i c RODO. |
B.8 Weryfikacja numeru VAT UE przez VIES
| Pole | Wpis |
|---|
| Cel | Dowód dla faktur bez podatku w procedurze odwrotnego obciążenia. |
| Dane | Kraj i numer, własny numer VAT UE jako podmiotu pytającego; wynik, nazwa i adres według VIES, numer zapytania, czas (kolumny w users). |
| Odbiorcy | Komisja Europejska (VIES) – samodzielny administrator, nie podmiot przetwarzający. |
| Termin usunięcia | Dopóki istnieje konto. |
| Podstawa prawna | Art. 6 ust. 1 lit. c RODO. |
B.9 E-maile transakcyjne i skrzynka nadawcza
| Pole | Wpis |
|---|
| Cel | Potwierdzenie, reset hasła, zaproszenia, przebieg indeksowania, ostrzeżenia o limicie, niepowodzenie płatności, wypowiedzenie, potwierdzenie usunięcia, raport luk w wiedzy. |
| Dane | Adres odbiorcy, temat, treść (zawiera linki potwierdzające i linki do resetu z ważnymi tokenami). |
| Gdzie | Skrzynka nadawcza mail_outbox. |
| Odbiorcy | Namecheap, Inc., Phoenix, Arizona, USA (Namecheap Private Email), podmiot przetwarzający. W środowisku deweloperskim wysyłka odbywa się wyłącznie przez lokalny transport. |
| Państwo trzecie | USA (Namecheap): standardowe klauzule umowne UE w Data Processing Addendum Namecheap (art. 46 ust. 2 lit. c RODO), zaakceptowane w dniu 01.08.2026. |
| Termin usunięcia | Skrzynka nadawcza: 30 dni; przy usunięciu konta natychmiast wszystkie wiadomości na ten adres |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO; raport luk w wiedzy w imieniu klienta (A.8). |
B.10 Dziennik audytu i dziennik błędów
| Pole | Wpis |
|---|
| Cel | Rozliczalność istotnych zdarzeń, bezpieczeństwo, wyszukiwanie błędów. |
| Dane | Dziennik audytu: akcja, cel, szczegóły, adres IP (nieskrócony), kraj, konto. Dziennik błędów: komunikat, kontekst, konto. |
| Gdzie | audit_logs, error_logs. |
| Termin usunięcia | Dziennik audytu: 365 dni. Dziennik błędów: 90 dni. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO. |
B.11 Zgłoszenia do wsparcia
| Pole | Wpis |
|---|
| Cel | Odpowiadanie na zapytania klientów i zainteresowanych, także bez logowania. |
| Dane | Adres e-mail, powód kontaktu, wiadomość, adres IP (nieskrócony), kraj, przeglądarka, strona, z której napisano, język, status, numer konta, jeżeli zalogowano. |
| Gdzie | support_requests. |
| E-mail | Zapytania e-mailem na support@answely.com oraz odpowiedzi e-mailem przechodzą przez Namecheap Private Email (Namecheap, Inc., USA; standardowe klauzule umowne, zob. B.9). |
| Sygnał | Telegram otrzymuje wyłącznie stały tekst „nowe zgłoszenie do wsparcia”, bez treści ani adresu. |
| AI wsparcia | Obecna w kodzie: po naciśnięciu przycisku przez człowieka w panelu administracyjnym wiadomość może zostać przetłumaczona lub może zostać utworzony projekt odpowiedzi, na własnych serwerach AI; do modelu trafia wyłącznie tekst wiadomości, powód kontaktu i ścieżka strony, adresy e-mail i ciągi cyfr od sześciu cyfr są zaczerniane; nic nie wychodzi bez weryfikacji przez człowieka; kopia (support_ki) jest usuwana wraz ze zgłoszeniem. W środowisku deweloperskim niewłączona (brak klucza workera, stan na 12.10.2026), w działaniu produkcyjnym również nie. |
| Termin usunięcia | 1095 dni od ostatniej odpowiedzi, bez odpowiedzi – od wpływu, w codziennym procesie porządkującym (konfigurowalny, punkt 6.1); projekty odpowiedzi AI (support_ki) są usuwane wraz ze zgłoszeniem. Również po usunięciu konta zgłoszenia pozostają do upływu tego terminu. |
| Podstawa prawna | Art. 6 ust. 1 lit. b i f RODO. |
B.12 Strony internetowe, potwierdzenie domeny i ostrzeżenia o limicie
| Pole | Wpis |
|---|
| Cel | Zarządzanie stronami internetowymi klienta jako przedmiotem umowy. |
| Dane | Domena, dodatkowe hosty, nazwa, wygląd, ustawienia, rozszerzenia, status potwierdzenia, opt-iny. |
| Gdzie | sites aplikacji kont i konfiguracja w usłudze odpowiedzi (sa_sites). |
| Potwierdzenie | Codziennie o 04:00 UTC sprawdzane ponownie; jeżeli nie powiedzie się przez 14 dni, okienko zostaje wyłączone. |
| Ostrzeżenia | Limit przy 80 % i przy 100 %, sprawdzany co godzinę, e-mailem. |
| Termin usunięcia | Wraz ze stroną internetową lub kontem natychmiast; w usłudze odpowiedzi w ciągu 24 godzin; dowód dokonanego usunięcia (ae_loeschungen: klucz strony, przestrzeń robocza, znaczniki czasu) pozostaje następnie jeszcze przez miesiąc. |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO. |
B.13 Publiczny szybki test strony („Sprawdź stronę”)
| Pole | Wpis |
|---|
| Cel | Pokazanie zainteresowanym bez konta, jak dobrze ich strona internetowa jest czytelna dla Answely. |
| Osoby, których dane dotyczą | Użytkownicy formularza; osoby na pobranych stronach publicznych. |
| Dane | Wpisany adres HTTPS, opcjonalnie przykładowe pytanie; identyfikator HMAC z adresu IP na potrzeby ograniczania. Pobranie najwyżej trzech publicznych stron HTML, po cztery fragmenty, z uwzględnieniem robots.txt i noindex, bez danych dostępowych, bez sieci wewnętrznych. |
| Zapisywane | Nic trwale: próbka istnieje wyłącznie w pamięci operacyjnej, brak zapisu jako indeks, analiza pytań lub pamięć podręczna. Wynik (sprawdzone adresy, przykładowa odpowiedź, źródła) usługa odpowiedzi przechowuje po zakończeniu najwyżej 2 minuty w pamięci operacyjnej; można go pobrać wyłącznie z identyfikatorem HMAC z wartości losowej w sesji (bpid) przeglądarki, która rozpoczęła sprawdzenie. Dane służące ograniczaniu najwyżej 2 minuty (jedno sprawdzenie na nadawcę i minutę, łącznie trzy na minutę). Dziennik dostępu i statystyka stron (B.1, B.2) pozostają. |
| Luka | Brak otwartej. Wcześniejszy stały klucz zastępczy dla identyfikatora HMAC został usunięty; jeżeli brak sekretu aplikacji lub ma on mniej niż 16 znaków, aplikacja konta odmawia szybkiego testu (stan na 16.10.2026). |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO (zapytanie przed zawarciem umowy) lub lit. f. |
B.14 Demo na żywo w dokumentacji dla deweloperów
| Pole | Wpis |
|---|
| Cel | Prezentacja Answely na własnej dokumentacji (/docs). Demo na stronie głównej jest atrapą bez zapytania do usługi odpowiedzi. |
| Dane | Jak A.1, ale we własnym imieniu dla własnej strony internetowej. |
| Ustawienie domyślne | Strona demonstracyjna z wyłączoną opcją „Zezwól na pamięć odpowiedzi” i bez analizy pytań. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO. |
B.15 Eksport danych i usunięcie konta
| Pole | Wpis |
|---|
| Cel | Prawa osób, których dane dotyczą (art. 15, 17, 20), w trybie samoobsługowym. |
| Eksport | Wszystkie dane konta jako JSON lub CSV, na podstawie białej listy tabel i pól, łącznie ze stronami internetowymi, konfiguracją, pytaniami kontrolnymi i analizą pytań; liczba eksportów na godzinę jest ograniczona. |
| Usunięcie | Natychmiast: konto, sesje, znaczniki, pakiety, wiadomości na ten adres, przestrzenie robocze bez innych członków wraz ze stronami internetowymi; faktury tracą powiązanie z kontem. W usłudze odpowiedzi w ciągu 24 godzin: indeks wraz z kopiami, analiza pytań, liczby miesięczne, wejście push, raporty. |
| Pozostaje | Liczniki bez treści stron internetowych, które nie są usuwane przedwcześnie, lecz wygasają po 7 dniach (A.3); faktury, dowody akceptacji i odstąpienia od umowy (B.6, B.7); kopie zapasowe do ich wygaśnięcia (B.16). |
B.16 Kopie zapasowe baz danych i zewnętrzne zaszyfrowane kopie
| Pole | Wpis |
|---|
| Cel | Dostępność i odtworzenie po awarii lub błędzie (art. 32 ust. 1 lit. c). Brak innego wykorzystania. |
| Dane | Wszystkie bazy danych (aplikacja kont i usługa odpowiedzi) i pliki, czyli wszystko z części A i części B, łącznie z logo firm. |
| Poziom 1 – na serwerze | Co noc o 03:00 UTC zweryfikowany zrzut każdej bazy danych Answely; w niedziele test odtworzenia do jednorazowej bazy danych. Bez szyfrowania, na tym samym serwerze. |
| Termin poziomu 1 | Kopie zapasowe baz danych na serwerze: 30 dni, usuwane dopiero po wykonaniu nowej poprawnej kopii |
| Poziom 2 – zewnętrzny | Co noc kopia wszystkich baz danych serwera i całego katalogu WWW, szyfrowana przed przesłaniem (rclone crypt, również nazwy plików i katalogów), do niepublicznego bucketu w Google Cloud Storage w Warszawie. Klucz wyłącznie u operatora. |
| Termin poziomu 2 | Kopie zewnętrzne: kopie dzienne 7 dni, kopie tygodniowe 364 dni. |
| Etap poprzedzający przesłanie | Przed zaszyfrowaniem co noc powstaje niezaszyfrowana kopia dzienna złożona ze zrzutów wszystkich baz danych serwera i kopii plików /var/www wraz z plikami konfiguracyjnymi na lokalnym dysku USB przy serwerze w Łodzi; pozostaje tam najwyżej 8 dni, po czym jest usuwana. |
| Skutek | Usunięte dane znikają z działającego systemu natychmiast lub w ciągu 24 godzin, z kopii dopiero z ich wygaśnięciem. Przy odtworzeniu dane usunięte w międzyczasie są usuwane ponownie; aplikacja kont w tym celu codziennie porównuje strony internetowe w usłudze odpowiedzi, których już nie zna. Dla kont i analizy pytań nie ma do tego odrębnej procedury technicznej; są one usuwane ponownie, o ile da się je ustalić. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO; w odniesieniu do danych z części A w ramach umowy powierzenia (art. 28 ust. 3 lit. c, art. 32). |
B.17 Monitorowanie i alarmy
| Pole | Wpis |
|---|
| Cel | Wykrywanie awarii. |
| Dane | Stan komponentów, czasy odpowiedzi, status dzienny (system_status_logs, system_components); bez treści, bez danych odwiedzających. |
| Odbiorcy | Wpis w Urgent Logs panelu administracyjnego, otwarty do czasu odhaczenia; Telegram wyłącznie ze stałym tekstem bez szczegółów. |
| Termin usunięcia | Wiersze statusu 400 dni. |
| Ograniczenia | Usunięcie oczekujące, które po 12 godzinach nie zostało wykonane, tworzy jedynie wpis w dzienniku błędów operatora, a nie aktywny alarm. Sygnał życia (heartbeat) do zewnętrznej usługi nie jest skonfigurowany; monitorowanie nie może samo zgłosić całkowitej awarii serwera. Komponenty „strona internetowa” i „indeksator” są włączone w środowisku produkcyjnym, w środowisku deweloperskim nie. |
B.18 Ochrona formularzy formconfirmed (formularze publiczne answely.com)
| Pole | Wpis |
|---|
| Cel | Ochrona logowania, rejestracji, „Nie pamiętasz hasła?”, „Wybierz nowe hasło”, formularza wsparcia i szybkiego testu przed zautomatyzowanymi zgłoszeniami. |
| Technika | Produkt formexposed należący do tego samego podmiotu, na tym samym serwerze w Łodzi. Skrypt z formconfirmed.com ładuje się tylko na stronach z jednym z tych formularzy (wsparcie: przy otwarciu); przeglądarka rozwiązuje podpisane zadanie (dowód wykonania obliczeń); answely.com przekazuje do weryfikacji znacznik wraz z adresem IP, polem-pułapką, adresem e-mail (tylko przy rejestracji, „Nie pamiętasz hasła?” i wsparciu), przy rejestracji z imieniem i nazwiskiem (w formconfirmed tylko w pamięci operacyjnej), a przy wsparciu z treścią wiadomości (cfg/formconfirmed_lib.php). Zadanie powiązane z celem formularza (expected_purpose). Limit czasu 5 s; zasada na wypadek awarii z 02.11.2026: niedostępność, niejasna odpowiedź lub niepotwierdzony znacznik = odrzucenie z prośbą o ponowną próbę, bez cichego przyjęcia; „oznacz” nie jest zgodą. |
| Dane | Znacznik (zadanie, wynik obliczeń, momenty, pułapka, sygnały przeglądarki webdriver i prawdziwe działania), adres IP, adres strony, identyfikator przeglądarki, adres e-mail, treść wiadomości; nigdy hasło. |
| Odbiorcy | Brak poza podmiotem. Odrzucone lub oznaczone zgłoszenia są odnotowywane w dzienniku błędów (B.10) bez znacznika i bez adresu IP. |
| Termin usunięcia | W formconfirmed: skrót skróconego zakresu adresów z kluczem dziennym przy wyniku weryfikacji najwyżej 1 godzina, przy wykorzystanym znaczniku około 11 minut, w liczniku zadań około 1 godziny; wyniki weryfikacji bez skrótu 30 dni; wynik dla domeny adresu e-mail najwyżej 7 dni, sam adres nigdy w postaci jawnej; treść tylko w pamięci operacyjnej (model językowy na własnych komputerach AI w UE, bez zapisywania i trenowania); odciski wykrywania kampanii (treść, adres e-mail, domeny linków; HMAC, nieodwracalne) 30 dni, porównywane między stronami na własną odpowiedzialność operatora formconfirmed (ten sam podmiot prawny, art. 6 ust. 1 lit. f RODO); dziennik serwera WWW formconfirmed.com 14 dni. |
| Potwierdzenia i informacje o stanie | Limit „Nie pamiętasz hasła?” 3 na godzinę i 10 na dzień na adres (auth_attempt_buckets, HMAC, do końca okna). Potwierdzenie na każde wysłanie (fc_handler_receipts: skrót z celu, cechy sesji, losowego numeru operacji i adresu e-mail, stan, czas) 7 dni. Identyfikator weryfikacji formconfirmed ze stanem i powiązaniem z e-mailem (fc_ops_queue, fc_ops_mail) 30 dni; do formconfirmed można zgłosić tylko identyfikator i stan, z podpisem (cfg/fc_ops_client.php, proces zgłaszania obecnie tylko na dev). Identyfikator weryfikacji przy rejestracji i zgłoszeniu do wsparcia (fc_rueckmeldungen) 30 dni; informacja zwrotna do /v1/feedback tylko z identyfikatorem i „spam”/„nie spam”: e-mail potwierdzony = nie spam (automatycznie), zgłoszenie z odpowiedzią = nie spam, zgłoszenie usunięte jako spam = spam (ręcznie). |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO (ochrona kont, kanału wsparcia i szybkiego testu); w przeglądarce niezbędne technicznie (§ 25 ust. 2 pkt 2 TDDDG), dlatego bez banera zgody. |
| Ograniczenia | Odrzucane są zgłoszenia z wynikiem „zablokuj”. Przy wyniku „oznacz” formularz żąda drugiego kroku formconfirmed (przycisk potwierdzenia, nowe, bardziej wymagające zadanie); zgłoszenie jest przyjmowane tylko wtedy, gdy ponowna weryfikacja da wynik „dopuść”, a ponowne „oznacz” jest odrzucane. reCAPTCHA nie jest drugą weryfikacją przy podejrzeniu; wyłącznie podczas awarii formconfirmed (niedostępny, własna konfiguracja, service_unavailable) ścisła weryfikacja Google reCAPTCHA v3 (ocena co najmniej 0,7) dopuszcza kolejne wysłanie – reCAPTCHA jest ładowana tylko wtedy (polityka prywatności 3.8); mogą przy tym zostać odrzucone także osoby, np. korzystające z VPN lub sieci centrów danych. W panelu administracyjnym można przełączyć na „tylko blokuj”. |
6. Przechowywanie – co obejmują procesy porządkujące, a czego nie
Terminy powstają w Answely na cztery sposoby: przez codzienny proces porządkujący aplikacji kont, przez cogodzinny proces porządkujący usługi odpowiedzi, przez datę wygaśnięcia wpisów w Redis lub w pamięci operacyjnej oraz przez usunięcie strony internetowej lub konta. To, czego nie obejmuje żaden z tych sposobów, pozostaje – opisano to w punkcie 6.5.
6.1 Codzienny proces porządkujący aplikacji kont (03:00 UTC)
Jedna funkcja zawiera wszystkie terminy aplikacji kont; stanowisko kontrolne potwierdza każdy termin za pomocą wierszy z datą wsteczną.
| Tabela | Zawartość | Termin |
|---|
access_logs | Statystyka stron | 60 dni, konfigurowalny |
audit_logs | Dziennik audytu | 365 dni, konfigurowalny |
error_logs | Dziennik błędów | 90 dni, konfigurowalny |
mail_outbox | Skrzynka nadawcza | 30 dni, konfigurowalny |
login_attempts | Próby logowania | 7 dni, stały |
auth_attempt_buckets | Ograniczanie prób logowania i uwierzytelniania dwuskładnikowego (pseudonimizowane) | koniec okna, domyślnie 15 minut |
fc_handler_receipts, fc_ops_queue, fc_ops_mail | Potwierdzenia i informacje o stanie ochrony formularzy (B.18) | potwierdzenia 7 dni (dodatkowo co godzinę), informacje o stanie 30 dni |
remember_tokens | Znaczniki „Pozostań zalogowany” | po wygaśnięciu |
workspace_invites | nieprzyjęte zaproszenia | po wygaśnięciu |
system_status_logs | Status dzienny komponentów | 400 dni |
legal_consents, widerrufe | Dowody usuniętych kont | najpóźniej 4 lata po usunięciu |
ae_pakete | przerwane transakcje kasowe | po 90 dniach |
support_requests, support_ki | zgłoszenia do wsparcia wraz z projektami odpowiedzi AI | 1095 dni od ostatniej odpowiedzi (bez odpowiedzi – od wpływu), konfigurowalny |
login_sessions | zakończone lub nieużywane sesje | 30 dni od zakończenia lub ostatniego użycia |
rechnungen | faktury, także istniejących kont | 5 lat od końca roku kalendarzowego, w którym powstały |
stripe_events | zdarzenia płatnicze Stripe, z wyjątkiem jeszcze przetwarzanych | po 90 dniach |
Konfigurowalny oznacza: operator ustawia wartość w panelu administracyjnym; teksty prawne automatycznie pokazują ustawioną wartość. Wartość poniżej jednego wyłącza usuwanie dla danej tabeli – jest to pułapka obsługowa, przed którą dotychczas chroni jedynie staranność. Wartości domyślne w kodzie (statystyka stron 60, dziennik audytu 365, dziennik błędów 90, skrzynka nadawcza 30, zgłoszenia do wsparcia 1095, kopia zapasowa 14) obowiązują, dopóki nic nie zostało ustawione.
W tym samym przebiegu statusowym: kolejka usuwania stron internetowych (co pięć minut, błąd po dwunastu godzinach, załatwione wpisy przez miesiąc jako dowód), codzienne porównanie osieroconych stron internetowych w usłudze odpowiedzi, ponowna weryfikacja potwierdzeń domen i raport luk w wiedzy.
6.2 Cogodzinny proces porządkujący usługi odpowiedzi
| Tabela | Zawartość | Termin |
|---|
sa_zaehler | Liczniki bez treści | 7 dni |
sa_kontingent | Liczby miesięczne dla każdej strony internetowej | 400 dni od ostatniej zmiany |
ae_fragen | Wpisy analizy pytań | 90 dni od dnia kalendarzowego |
ae_fragen_gruppen, ae_fragen_zuordnung | Grupy i przyporządkowania | po tygodniu bez nowszego przebiegu |
6.3 Terminy wynikające z wygaśnięcia w Redis i w pamięci operacyjnej
| Miejsce | Zawartość | Termin |
|---|
| Redis | Pamięć podręczna odpowiedzi (tylko przy włączonej opcji „Zezwól na pamięć odpowiedzi”) | 24 godziny |
| Redis | Skrót ochrony przed nadużyciami | 2 minuty |
| Redis | Wartość losowa dławienia | 2 dni |
| Redis | Raporty zatwierdzenia indeksu | 30 dni |
| Redis | Raporty testów odpowiedzi | 30 dni |
| Redis | Skuteczność i A/B: identyfikatory i sumy dzienne | 30 dni |
| Redis | Blokady indeksatora i kolejka | do wykonania |
| Pamięć operacyjna | Giełda zadań workerów AI | do wykonania lub upływu terminu |
| Pamięć operacyjna | Diagnostyka i porównanie odpowiedzi | 15 minut po zakończeniu |
| Pamięć operacyjna | Próbka szybkiego testu; wynik szybkiego testu | koniec sprawdzania; wynik najwyżej 2 minuty po zakończeniu |
| Pamięć operacyjna | Wektory grupowania analizy pytań | koniec przebiegu |
| Przeglądarka | tylko przy włączonej opcji „Zezwól na pamięć odpowiedzi”: ustawienia okienka i odpowiedzi | odpowiednio 5 i 10 minut |
6.4 Usunięcie wraz ze stroną internetową lub kontem
Usunięcie strony internetowej w aplikacji kont wywołuje usługę odpowiedzi. Tam za jednym razem usuwane są: konfiguracja, liczby miesięczne, analiza pytań z grupami, dokumenty i fragmenty wszystkich trzech stanów indeksu (aktywny, kandydat, poprzedni), przebiegi indeksowania, wejście push, raporty testów odpowiedzi i zatwierdzenia indeksu; uruchomione diagnostyki są kończone. Jeżeli usługa nie przyjmie usunięcia natychmiast, trafia ono do kolejki; celem jest usunięcie w ciągu 24 godzin, błąd jest zgłaszany po dwunastu godzinach. Usunięcie konta wywołuje to samo dla każdej strony internetowej jego przestrzeni roboczych bez innych członków.
Liczniki bez treści (A.3) nie są usuwane razem ze stroną internetową; wygasają po 7 dniach w cogodzinnym przebiegu porządkowym.
6.5 Nieobjęte – dane bez terminu czasowego
Następujących danych nie obejmuje żaden proces porządkujący. Pozostają do usunięcia konta lub strony internetowej albo dłużej.
| Dane | Tabela | Co faktycznie się dzieje | Ocena |
|---|
| Przyjęte zaproszenia z adresem e-mail | workspace_invites | Brak przebiegu; usuwane tylko wraz z przestrzenią roboczą. | niewielkie znaczenie, uzupełnić termin |
| Ostatnie logowanie z pełnym adresem IP | users | Nadpisywane przy każdym logowaniu; pozostaje do usunięcia konta. | do przyjęcia, tylko ostatnia wartość |
| Dowody aktywnych kont | legal_consents, widerrufe | Pozostają, dopóki istnieje konto. | zamierzone |
| Wynik weryfikacji VIES | users | Pozostaje, dopóki istnieje konto. | zamierzone |
| Konfiguracja i pytania kontrolne | sites, sa_sites | Do usunięcia strony internetowej. | zamierzone |
| Indeks i kopie | ae_dokumente, ae_abschnitte, ae_indexstand, ae_indexlauf | Do usunięcia strony internetowej; poprzedni indeks do następnego zatwierdzenia. | zamierzone, ale bez górnej granicy czasowej (DPIA R13) |
| Treści tekstów prawnych, blog, CMS | cms_pages, blog_posts, legal_versions | Bezterminowo. | brak danych osobowych osób trzecich |
| Dziennik wdrożeń | deploy_runs | Bezterminowo. | wyłącznie operator |
| Pozostałości szablonu | objects, demo_rows | Nieużywane przez Answely i puste (12.10.2026); objects jest usuwane wraz z przestrzenią roboczą. | brak danych |
6.6 Kopie zapasowe – długi koniec
Terminy z punktów 6.1 do 6.4 dotyczą działającego systemu. Każda baza danych znajduje się dodatkowo w zrzutach na serwerze (30 dni, bez szyfrowania), jako niezaszyfrowany zrzut dzienny na dysku USB przy serwerze (najwyżej 8 dni) oraz w zewnętrznych, zaszyfrowanych kopiach w Warszawie (kopie dzienne 7 dni, kopie tygodniowe 364 dni). Dane usunięte z działającego systemu istnieją tam dalej do wygaśnięcia danej kopii – w najgorszym przypadku niecały rok. W tym czasie nie są wykorzystywane ani odczytywane; jedynie odtworzenie przywróciłoby je, a wówczas usunięcia dokonane w międzyczasie należy powtórzyć. Wszystkie zobowiązania dotyczące usuwania w naszych tekstach prawnych odnoszą się zatem do działającego systemu; kopie zapasowe są wyraźnie wyłączone.
7. Zautomatyzowane podejmowanie decyzji, profilowanie i ocena
Answely nie podejmuje decyzji w rozumieniu art. 22 RODO, ani wobec odwiedzających, ani wobec klientów.
- Odpowiedzi: okienko odpowiada na pytania; niczego nie rozstrzyga o odwiedzającym. To, czy odpowiedź zostanie pokazana, zależy wyłącznie od siły źródła w indeksie, a nie od osoby.
- Brak profili: brak identyfikatora odwiedzającego, brak plików cookie, brak łączenia między stronami lub dniami. Analiza pytań grupuje pytania, nie osoby. Skuteczność i A/B porównują grupy odpowiedzi; grupa porównawcza jest przydzielana losowo dla każdego okienka i istnieje wyłącznie w pamięci operacyjnej strony.
- Dławienie i przeciążenie: zbyt wiele zapytań z jednego adresu lub zbyt duże obciążenie prowadzą do HTTP 429 – okienko prosi o chwilę cierpliwości i przyjmuje pytania ponownie dopiero po czasie oczekiwania, wyszukiwarka klienta pozostaje. Jest to ograniczenie techniczne bez skutków prawnych.
- Ochrona formularzy: formconfirmed ocenia pojedyncze zgłoszenia w formularzach publicznych (B.18). Przy wyniku „zablokuj” lub „oznacz” odrzucane jest tylko to zgłoszenie; można je powtórzyć albo skierować e-mailem na support@answely.com. To techniczne zabezpieczenie bez skutków prawnych; nie powstaje profil osób, a reputacja dotyczy skróconego zakresu adresów pod dziennym pseudonimem.
- Potwierdzenie domeny i limit: jeżeli potwierdzenie nie powiedzie się przez 14 dni lub limit zostanie wyczerpany, okienko danej strony internetowej zostaje wyłączone. Dotyczy to umowy z klientem; klient jest wcześniej ostrzegany i może w każdej chwili zareagować.
- Oznaczenie: każda odpowiedź jest oznaczona jako wygenerowana przez AI (art. 50 rozporządzenia w sprawie sztucznej inteligencji). Szczegóły: Akt o sztucznej inteligencji.
8. Środki techniczne i organizacyjne (art. 32) – ogólny opis
Pełny opis znajduje się w dokumencie środki techniczne i organizacyjne. W skrócie:
- Domyślna ochrona danych: opcja „Zezwól na pamięć odpowiedzi” wyłączona, analiza pytań wyłączona, wszystkie rozszerzenia wyłączone, MCP wyłączony; brak plików cookie i identyfikatora odwiedzającego w skrypcie; skrócone adresy IP w licznikach, dzienniku serwera WWW i statystyce stron.
- Brak treści w dziennikach: pytanie, odpowiedź, kontekst i przebieg rozmowy nie pojawiają się w żadnym dzienniku usługi odpowiedzi, indeksatora, workerów AI ani serwera WWW.
- AI wyłącznie w UE: usługa odpowiedzi uruchamia się wyłącznie z punktami końcowymi AI z listy zatwierdzonych; obecnie jest to wyłącznie własna giełda zadań, z której pobierają zadania workery na własnych serwerach AI.
- Zasada workera: serwery AI nie przyjmują połączeń; każde pobranie i każde odesłanie jest podpisane HMAC i odbywa się przez TLS. Niezarejestrowane workery są odrzucane.
- Dostęp: dostęp do serwera przez SSH, z zewnątrz wyłącznie kluczem, hasłem tylko z sieci prywatnych (od 16.10.2026); panel administracyjny z logowaniem dwuskładnikowym; interfejs administracyjny usługi odpowiedzi wyłącznie na lokalnej pętli zwrotnej z tokenem porównywanym w stałym czasie; tokeny push wyłącznie jako skrót.
- Separacja: oddzielne bazy danych dla aplikacji kont i usługi odpowiedzi, własny użytkownik Redis z prefiksem dla każdego środowiska, indeks dla każdej strony internetowej, odpowiedzi wyłącznie z indeksu strony, na której zadano pytanie, CORS wyłącznie dla potwierdzonych hostów; środowiska deweloperskie i produkcyjne rozdzielone.
- Integralność odpowiedzi: obowiązek wskazania źródła, widoczne źródła, linki wyłącznie
https do hostów strony internetowej, wynik wyłącznie jako tekst, oznaczenie AI chronione przed ukryciem.
- Dostępność: nocne zweryfikowane zrzuty z cotygodniowym testem odtworzenia, zewnętrzna zaszyfrowana kopia, monitorowanie z alarmem (bez zewnętrznego sygnału życia; oczekujące usunięcia tylko w dzienniku błędów, zob. B.17); w razie awarii komputerów AI okienko znika, a strona internetowa klienta pozostaje użyteczna.
- Usuwanie: procesy porządkujące zgodnie z punktem 6, każdy termin potwierdzony przez stanowisko kontrolne z przestawionym do przodu zegarem; kolejne stanowisko kontrolne porównuje liczby w tekstach prawnych z kodem.
- Organizacja: działalność jednoosobowa; dostęp do danych produkcyjnych ma wyłącznie właściciel. Naruszenia są dokumentowane i zgłaszane klientom najpóźniej 48 godzin od ich stwierdzenia.
8.1 Środki, które w sposób udokumentowany NIE istnieją
Rejestr, który wymienia tylko to, co istnieje, przemilcza to, czego brakuje i co w związku z tym należałoby jeszcze sprawdzić. Obecnie nie istnieją następujące środki:
- Brak szyfrowania w stanie spoczynku na własnym serwerze: bazy danych, Redis, logo i zrzuty na serwerze znajdują się na nośniku w postaci niezaszyfrowanej. Niezaszyfrowana jest także kopia dzienna na dysku USB przy serwerze przed przesłaniem (zrzuty baz danych i kopia plików /var/www wraz z plikami konfiguracyjnymi, a więc także dane dostępowe aplikacji; najwyżej 8 dni). Zaszyfrowana jest wyłącznie kopia zewnętrzna.
- Brak TLS między aplikacją a bazą danych lub Redis: oba działają na tym samym komputerze przez lokalną pętlę zwrotną; ryzyko jest przez to ograniczone, ale nie zerowe.
- Brak centrum danych: serwery są eksploatowane we własnym zakresie w zamkniętych pomieszczeniach w Łodzi. Dostęp ma wyłącznie właściciel; pomieszczenie jest zamykane na klucz i objęte monitoringiem wizyjnym, inne osoby nie mają dostępu.
- Moc obliczeniowa AI wyłącznie na własnym sprzęcie w jednym miejscu: odpowiedzi generują dwa własne serwery AI w tej samej sieci w tym samym miejscu, współdzielone z innymi własnymi produktami operatora; rezerwy z innym modelem językowym nie ma. Jeżeli awarii ulegną oba, nie ma odpowiedzi. Zapasowy dostawca w UE jest przygotowany, ale nieaktywny. Test obciążeniowy z 09.10.2026 z 480 zapytaniami na minutę przez 300 sekund nie został zaliczony (86,3 % zapytań odrzuconych, głównie HTTP 429).
- Brak dziennika tego, kto w panelu administracyjnym przeglądał jakie dane klientów; dziennik audytu rejestruje zmiany, a nie odczyty.
- Brak górnej granicy czasowej dla poprzedniego indeksu przy zatwierdzaniu indeksu (A.11).
- Brak wyznaczenia inspektora ochrony danych (punkt 9).
- Brak sprawdzonego maskowania imion i nazwisk oraz opisów zapisanych słowami w analizie pytań; maskowane są wyłącznie wzorce (A.7).
- Brak liczby wierszy z działania produkcyjnego w tym rejestrze (punkt 1).
9. Inspektor ochrony danych – ocena zgodnie z art. 37 RODO
Inspektor ochrony danych nie został wyznaczony. Art. 37 ust. 1 wiąże w równym stopniu administratorów i podmioty przetwarzające; pytanie dotyczy więc samego Answely.
| Art. 37 ust. 1 | Kryterium | Wynik |
|---|
| lit. a | Organ lub podmiot publiczny | Nie dotyczy; prywatna jednoosobowa działalność gospodarcza. |
| lit. b | Główna działalność wymaga regularnego i systematycznego monitorowania na dużą skalę | Niespełnione. Główną działalnością jest odpowiadanie na pytania na podstawie treści publicznych. Brak identyfikatora odwiedzającego, brak plików cookie, brak łączenia zapytań między stronami lub dniami i brak profili. Analiza pytań jest opt-in i nie zapisuje adresu IP ani identyfikatora. |
| lit. c | Główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (art. 9, 10) | Niespełnione. Szczególne kategorie nie są przetwarzane celowo; mogą przypadkowo pojawić się w wolnym tekście pytania (DPIA R1), ale w trybie domyślnym nie są zapisywane. |
Wynik: według obecnego stanu nie istnieje ustawowy obowiązek wyznaczenia. Ocenę tę należy przeprowadzić ponownie, jeżeli Answely udostępni chronione obszary wiedzy, przyjmie klientów z sektora zdrowia lub prawa korzystających z analizy pytań lub liczba odwiedzających znacznie wzrośnie; poza tym jest ona weryfikowana co najmniej raz w roku. Dalej idący obowiązek na gruncie prawa polskiego (art. 37 ust. 4) według naszej oceny nie istnieje: ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych określa jedynie, które podmioty publiczne są objęte art. 37 ust. 1 lit. a. Nie zasięgano zewnętrznej porady w zakresie ochrony danych. Zatwierdzenie tej oceny odnotowano w ocenie skutków dla ochrony danych, sekcja 10.2.
10. Znane luki
| Nr | Luka | Skutek | Następny krok |
|---|
| L1 | Zgłoszenia do wsparcia bez terminu usunięcia, z pełnym adresem IP | załatwione 16.10.2026: usuwanie po 1095 dniach od ostatniej odpowiedzi wraz z projektami odpowiedzi AI (6.1) | Sprawdzić ustawioną wartość w działaniu produkcyjnym |
| L2 | Sesje bez terminu usunięcia, z pełnym adresem IP | załatwione 16.10.2026: zakończone i nieużywane sesje są usuwane po 30 dniach od zakończenia lub ostatniego użycia (6.1) | – |
| L3 | Faktury nie są usuwane po upływie obowiązku przechowywania | załatwione 16.10.2026: usuwanie po 5 latach od końca roku kalendarzowego, w którym powstały, także przy istniejącym koncie (6.1) | – |
| L4 | Usunięte dane pozostają w zaszyfrowanych kopiach tygodniowych do 364 dni | długi okres pozostały | ujawnić we wszystkich tekstach prawnych; procedura po odtworzeniu |
| L5 | Zrzuty na serwerze i kopia dzienna na dysku USB (wraz z kopią plików i plikami konfiguracyjnymi) niezaszyfrowane; brak szyfrowania w stanie spoczynku | Kradzież nośnika ujawnia wszystko | Sprawdzić szyfrowanie nośników |
| L6 | Adres kontaktowy w sprawach ochrony danych | załatwione 11.10.2026, zmienione 18.10.2026: support@answely.com | przejęte do wszystkich tekstów prawnych |
| L7 | Dostawca poczty e-mail | załatwione 11.10.2026: Namecheap Private Email (USA), Data Processing Addendum ze standardowymi klauzulami umownymi, zaakceptowane w dniu 01.08.2026 | – |
| L8 | Stan umowy z Google Cloud nieudokumentowany | załatwione: warunki przetwarzania danych Google Cloud zaakceptowane dla projektu w chmurze (4.2) | – |
| L9 | Rejestrowanie w przełączniku nginx | sprawdzone 12.10.2026: w środowisku deweloperskim brak dziennika dostępu, dziennik błędów tylko krytyczne | przenieść ustawienie do działania produkcyjnego |
| L10 | Identyfikator HMAC w szybkim teście z kluczem zastępczym, jeżeli brak sekretu | załatwione 16.10.2026: klucz zastępczy usunięty, bez sekretu aplikacja konta odmawia szybkiego testu | Ustawić sekret w działaniu produkcyjnym |
| L11 | Brak pobierania listy administratorów | Art. 30 ust. 2 lit. a spełniony jedynie pośrednio | Przycisk eksportu w panelu administracyjnym |
| L12 | Kwalifikacja stron reactive.chat nie została ostatecznie sprawdzona | załatwione: polityka prywatności i umowa powierzenia reactive.chat wskazują Smart Answer jako usługę Answely (warunek B6 DPIA) | – |
| L13 | Wydajność przy obciążeniu szczytowym nieudowodniona | Okienko przestaje działać pod obciążeniem | dodatkowa moc obliczeniowa w UE, ponowny test obciążeniowy |
| L14 | Logowanie SSH hasłem dopuszczone | załatwione 16.10.2026: z zewnątrz wyłącznie kluczem, hasłem tylko z sieci prywatnych | – |
| L15 | Monitorowanie bez zewnętrznego sygnału życia; oczekujące usunięcie bez aktywnego alarmu | awaria lub zawieszone usunięcie pozostają niezauważone | skonfigurować sygnał życia, alarm przy oczekującym usunięciu |
| L16 | Baza danych i Redis nasłuchują także w sieci wewnętrznej | większa powierzchnia ataku, ograniczona tylko zaporą | wiązać wyłącznie lokalnie, o ile pozwalają na to inne usługi |
11. Prowadzenie tego rejestru
- Odpowiedzialny za prowadzenie jest Lukas Wójcik, właściciel.
- Przegląd co najmniej raz w roku oraz przed każdą zmianą dostawców AI, zapasowych punktów końcowych, miejsc przechowywania, dalszych podmiotów przetwarzających, nowych rozszerzeń lub terminów.
- Każda nowa funkcja, która zapisuje dane lub przenosi je w nowe miejsce, wymaga przed udostępnieniem wpisu tutaj i weryfikacji w ocenie skutków dla ochrony danych.
- Terminy, które znajdują się również w polityce prywatności, są sprawdzane przez stanowisko kontrolne tekstów prawnych przy każdej zmianie pod kątem zgodności z kodem.
- Datowane wersje są przechowywane w systemie kontroli wersji projektu.
Powiązane dokumenty: Polityka prywatności, Umowa powierzenia przetwarzania danych, Środki techniczne i organizacyjne, Dalsze podmioty przetwarzające, Ocena skutków dla ochrony danych, Dostęp i usuwanie danych.
Wersja 1.6 – stan na 06.11.2026
English 
Deutsch 
Polski 
Français 
Español 
Italiano 
Nederlands 
Čeština 
Українська 
Português 
Svenska 
Türkçe 
Русский 
日本語 
한국어 
Română 
Magyar 
Ελληνικά 
Български 
Dansk 
Suomi 
Slovenčina 
Slovenščina 
Hrvatski 
Lietuvių 
Latviešu 
Eesti 
简体中文 
Bahasa Indonesia 
Norsk bokmål 
Català 
Tiếng Việt 
Bahasa Melayu 
ไทย 
हिन्दी 
বাংলা 
العربية 
Kiswahili 
Filipino 
اردو 
فارسی 
עברית 
Hausa 
Gaeilge 
Malti 
Srpski 
Shqip 
Македонски 
Íslenska 
Bosanski 
Español (México)