Polityka Prywatności
Ostatnia aktualizacja: 2026-09-30 - Wersja 1.2
Krótkie podsumowanie
ISO Forge zbiera minimum danych niezbędnych do świadczenia usług: adres e-mail i hasło do konta, dane wpisane przy generowaniu dokumentów, logi serwera. Nie sprzedajemy danych. Wgrany plik i wynik analizy są przechowywane co najmniej 7 dni (dłużej w wybranych planach) - usuwasz je w dowolnym momencie w Historii lub pisząc na kontakt@isoforge.pl. Serwer hostowany jest w UE (Niemcy). Dane możesz usunąć w dowolnym momencie - wystarczy wiadomość na kontakt@isoforge.pl.
1. Administrator danych osobowych
Administratorem danych osobowych użytkowników serwisu ISOForge (dostępnego pod adresem isoforge.pl) jest:
MQS MARCIN RABIASZ
NIP: 8971742369
ul. Hiacyntów 5, 41-600 Świętochłowice (woj. śląskie)
Kontakt: kontakt@isoforge.pl
W sprawach dotyczących przetwarzania danych osobowych i realizacji praw przysługujących na podstawie RODO prosimy o kontakt pod powyższy adres e-mail.
2. Jakie dane zbieramy i skąd pochodzą
W zależności od sposobu korzystania z serwisu przetwarzamy następujące kategorie danych:
2.1 Dane konta użytkownika
- Adres e-mail (podawany przy rejestracji lub logowaniu)
- Zaszyfrowane hasło (przechowywane jako hash - nigdy w postaci plaintext)
- Data i godzina rejestracji
- Data ostatniego logowania
2.2 Dane generowanych dokumentów
Podczas korzystania z generatora dokumentów ISO użytkownik podaje:
- Nazwę firmy / organizacji
- Branżę / profil działalności
- Dodatkowe wytyczne i kontekst organizacyjny
Dane te są przekazywane do API sztucznej inteligencji w celu wygenerowania dokumentu i mogą być przechowywane w historii dokumentów użytkownika.
Podczas edycji już zapisanego dokumentu (np. uzupełnianie wartości oznaczonych nawiasami, poprawki treści) system może zachowywać również wcześniejsze wersje tego dokumentu, aby umożliwić ich podgląd i przywrócenie. Wcześniejsze wersje podlegają dokładnie tym samym zasadom przechowywania i usuwania co sam dokument (patrz sekcja 4) i są usuwane razem z nim.
2.3 Pliki wgrane do Gap Audit
Treść dokumentów DOCX/PDF/XLSX wgranych do analizy Gap Audit (w formie tekstowej, wyekstrahowanej z pliku) jest zapisywana razem z wynikiem analizy i podlega tym samym zasadom przechowywania i usuwania, co sam wynik Gap Audit (patrz sekcja 4) - nie jest usuwana natychmiast po zakończeniu sesji. Jeśli użytkownik włączył opcję anonimizacji, do zapisu i do API AI trafia tekst z zanonimizowaną nazwą firmy.
2.4 Pliki wgrane w module "Rozszerz na nową normę" (HLS Builder)
Pliki zewnętrzne (DOCX/PDF/XLSX/TXT) wgrywane jako materiał źródłowy przy dobudowywaniu dokumentacji nowej normy na bazie istniejącej są przechowywane na serwerze przez maksymalnie 24 godziny od wgrania, niezależnie od planu użytkownika. Po upływie 24 godzin treść pliku jest trwale usuwana (redagowana), a w historii dokumentów pozostaje wyłącznie nazwa pliku (wyszarzona, bez możliwości podglądu ani pobrania) - jako ślad tego, jaki materiał źródłowy został użyty do wygenerowania dokumentacji. Jeśli użytkownik włączył opcję anonimizacji, do przetwarzania i do API AI trafia tekst z zanonimizowaną nazwą firmy.
2.5 Dane techniczne i logi serwera
- Adres IP
- Typ i wersja przeglądarki (User-Agent)
- Data i godzina żądania HTTP
- Adres URL wywołania
- Kod odpowiedzi HTTP
2.6 Pliki cookies
Szczegóły opisane w sekcji 6 niniejszej polityki.
2.7 Dane z formularzy kontaktowych (np. program partnerski)
Formularze dostępne na stronach publicznych serwisu (np. zgłoszenie do programu partnerskiego na isoforge.pl/partner) zbierają:
- Imię i nazwisko
- Nazwę firmy
- Adres e-mail
- Treść wiadomości (opcjonalnie)
Wypełnienie takiego formularza nie wymaga posiadania konta w serwisie. Dane służą wyłącznie do kontaktu w sprawie zgłoszenia.
2.8 Newsletter i kod rabatowy
Przy pobieraniu bezpłatnych przykładowych dokumentów (demo) możesz dobrowolnie zostawić swój adres e-mail, aby otrzymać jednorazowy kod rabatowy oraz okazjonalne informacje o nowościach w ISO Forge i tematyce ISO/AI Governance. Podanie adresu e-mail jest w pełni dobrowolne i nie jest wymagane do pobrania pliku demo. Adres e-mail jest przechowywany do momentu wypisania się z listy (odpowiedź na dowolną wiadomość z prośbą o wypisanie lub kontakt na kontakt@isoforge.pl).
2.9 Dane dotyczące subskrypcji i płatności
Płatności online obsługiwane są przez zewnętrznego dostawcę usług płatniczych Stripe (Stripe Payments Europe, Limited). Dane karty płatniczej nigdy nie są przekazywane ani przechowywane bezpośrednio przez ISO Forge - są wprowadzane wyłącznie na stronie płatności obsługiwanej przez Stripe, zgodnie z polityką prywatności Stripe: stripe.com/privacy. W systemie ISO Forge przechowywane są wyłącznie: nieprzezroczysty identyfikator klienta i subskrypcji nadany przez Stripe, status planu/subskrypcji oraz - w przypadku nieudanej płatności odnowienia subskrypcji - status tymczasowego zawieszenia dostępu do funkcji płatnych wraz z datą jego wystąpienia i ewentualnego przywrócenia (patrz Regulamin, pkt 6.7). Powiadomienia o statusie płatności (w tym o zawieszeniu i przywróceniu dostępu) wysyłane są jako wiadomości transakcyjne za pośrednictwem dostawcy usług e-mail Resend - treść tych wiadomości nie zawiera danych karty płatniczej ani szczegółowych kodów odrzucenia transakcji.
2.10 Dane zamówienia przez proformę
Formularz zamówienia przez proformę (dostępny wyłącznie dla podmiotów wpisanych do KRS - patrz Regulamin, pkt 6.8) zbiera: nazwę podmiotu, NIP, numer KRS, adres, imię i nazwisko osoby kontaktowej, adres e-mail, opcjonalnie numer telefonu oraz opcjonalne uwagi do zamówienia. Dane te są przechowywane w postaci zaszyfrowanej (nie jako jawny tekst) - odczyt pełnej treści wymaga jawnej, uwierzytelnionej akcji personelu Operatora i jest rejestrowany. Adres e-mail jest dodatkowo przechowywany osobno w postaci nieodwracalnego, kryptograficznego skrótu, używanego wyłącznie do technicznego dopasowania zamówienia do istniejącego konta - sam skrót nie pozwala na odtworzenie adresu e-mail. Listy i podglądy zamówień w panelu Operatora pokazują dane w formie zredagowanej (częściowo zamaskowanej). Dane zamówienia nie są wykorzystywane do celów marketingowych bez odrębnej, wyraźnej zgody. Zasady przechowywania opisane są w sekcji 4 poniżej.
2.11 Zdarzenia wykorzystania produktu (dobrowolna gwarancja zwrotu)
Aby ustalić, czy dobrowolna 3-dniowa gwarancja zwrotu (Regulamin, pkt 6.5) nadal obowiązuje dla danego zamówienia, Serwis rejestruje - wyłącznie dla kont powiązanych z zamówieniem przez proformę i wyłącznie w oknie 3 dni od aktywacji - fakt i typ zdarzenia świadczącego o realnym wykorzystaniu produktu (skuteczne wygenerowanie dokumentu, pobranie/eksport dokumentu, wykorzystanie płatnego modułu) wraz ze znacznikiem czasu. Rejestr nie zawiera treści dokumentów ani żadnych dodatkowych danych osobowych poza identyfikatorem konta. Dane te są wykorzystywane wyłącznie do decyzji o zwrocie i są dostępne wyłącznie personelowi Operatora obsługującemu zgłoszenie zwrotu. Zasady przechowywania opisane są w sekcji 4 poniżej.
3. Cele i podstawy prawne przetwarzania
| Cel przetwarzania | Podstawa prawna (RODO) |
|---|---|
| Świadczenie usług serwisu (konto, generowanie dokumentów) | Art. 6 ust. 1 lit. b - wykonanie umowy |
| Obsługa płatności i subskrypcji, w tym za pośrednictwem Stripe (aktywacja, odnowienie, zawieszenie i przywrócenie dostępu przy nieudanej płatności) | Art. 6 ust. 1 lit. b - wykonanie umowy |
| Realizacja zamówienia przez proformę (wystawienie i przekazanie proformy, zaksięgowanie wpłaty, wystawienie faktury, aktywacja dostępu, ewentualna obsługa dobrowolnego zwrotu) | Art. 6 ust. 1 lit. b - działania na żądanie osoby, której dane dotyczą, przed zawarciem umowy, oraz wykonanie umowy |
| Wystawienie faktury i obowiązki księgowo-podatkowe | Art. 6 ust. 1 lit. c - obowiązek prawny |
| Obsługa zgłoszeń do programu partnerskiego i zapytań biznesowych | Art. 6 ust. 1 lit. b - działania na żądanie osoby, której dane dotyczą, przed zawarciem umowy |
| Wysyłka kodu rabatowego i newslettera (nowości ISO/AI Governance) | Art. 6 ust. 1 lit. a - zgoda użytkownika |
| Zapewnienie bezpieczeństwa serwisu i wykrywanie nadużyć | Art. 6 ust. 1 lit. f - prawnie uzasadniony interes |
| Prowadzenie statystyk i analiz ruchu (za zgodą) | Art. 6 ust. 1 lit. a - zgoda użytkownika |
| Wypełnianie obowiązków prawnych (np. księgowość) | Art. 6 ust. 1 lit. c - obowiązek prawny |
| Dochodzenie roszczeń lub obrona przed roszczeniami | Art. 6 ust. 1 lit. f - prawnie uzasadniony interes |
Prawnie uzasadniony interes administratora polega na zapewnieniu bezpieczeństwa i stabilności serwisu oraz możliwości dochodzenia roszczeń wynikających ze świadczonych usług.
4. Czas przechowywania danych
| Kategoria danych | Czas przechowywania |
|---|---|
| Dane konta użytkownika | Do usunięcia konta lub przez 3 lata od ostatniej aktywności |
| Dane subskrypcji i płatności (identyfikatory Stripe, status planu, status zawieszenia dostępu przy nieudanej płatności) | Do usunięcia konta - jak dane konta użytkownika powyżej |
| Wygenerowane dokumenty ISO (historia) | 7 dni od daty wygenerowania, po czym automatycznie usuwane - chyba że obowiązuje bezterminowe przechowywanie (zasady różne w zależności od modułu, patrz wyjaśnienie poniżej tabeli) |
| Wyniki Gap Audit | 7 dni od daty wygenerowania, po czym automatycznie usuwane - chyba że obowiązuje bezterminowe przechowywanie (zasady różne w zależności od modułu, patrz wyjaśnienie poniżej tabeli) |
| Treść plików wgranych do Gap Audit (.docx/.pdf/.xlsx) | Przechowywana razem z wynikiem analizy - 7 dni, chyba że obowiązuje bezterminowe przechowywanie (jak wyżej) |
| Pliki wgrane w module "Rozszerz na nową normę" (HLS Builder) | 24 godziny od wgrania, zawsze, niezależnie od planu - po tym czasie treść jest trwale usuwana, nazwa pliku zostaje jako ślad w historii |
| Adres e-mail zapisany na newsletter/kod rabatowy | Do momentu wypisania się z listy |
| Logi serwera | 30 dni, po czym automatycznie usuwane |
| Dane analityczne (Google Analytics) | Zgodnie z polityką Google - domyślnie 14 miesięcy |
| Dane dotyczące zgody na cookies | 12 miesięcy |
| Dane zamówienia przez proformę - nieopłacone lub anulowane | 12 miesięcy od utworzenia zamówienia, po czym dane kupującego są anonimizowane |
| Dane zamówienia przez proformę - opłacone, aktywowane lub zwrócone | 6 lat od końca roku kalendarzowego, w którym otrzymano płatność, po czym dane kupującego są anonimizowane |
| Zdarzenia wykorzystania produktu (dobrowolna gwarancja zwrotu) | Nie dłużej niż powiązane z nimi zamówienie (patrz wiersze wyżej) |
Zasady bezterminowego przechowywania różnią się w zależności od modułu Serwisu: w Generatorze dokumentów i HLS Builderze plan Business ma je włączone automatycznie, a Professional może włączyć je ręcznie w ustawieniach konta; w Module Audytowym oraz w Gap Audit (w ramach limitu z planu) oba plany, Professional i Business, mają bezterminowe przechowywanie włączone automatycznie. We wszystkich przypadkach obowiązuje do limitu liczby dokumentów przypisanego do planu (Professional: 150, Business: 400). O każdym włączeniu lub wyłączeniu opcji ręcznej w Generatorze/HLS Builderze informujemy użytkownika wiadomością e-mail. Użytkownik może w dowolnym momencie samodzielnie usunąć swoje dokumenty w zakładce Historia.
Retencja danych zamówień przez proformę (decyzja Operatora, ostateczna): dane zamówień nieopłaconych lub anulowanych są anonimizowane po 12 miesiącach od utworzenia zamówienia; dane zamówień opłaconych, aktywowanych lub zwróconych są anonimizowane po 6 latach od końca roku kalendarzowego, w którym otrzymano płatność. Techniczny log audytowy bezpieczeństwa (kto/kiedy wykonał daną operację) może zostać zachowany dłużej niż dane samego zamówienia, wyłącznie po usunięciu z niego danych identyfikujących klienta. Faktury i inne dokumenty księgowe w formacie PDF nie są dziś przechowywane w Serwisie - Operator przechowuje je poza platformą; ewentualne przyszłe przechowywanie plików faktur w panelu Serwisu będzie przedmiotem odrębnej, przyszłej zmiany i odrębnej informacji.
Po upływie wskazanych terminów dane są trwale usuwane lub anonimizowane w sposób uniemożliwiający identyfikację osoby.
5. Prawa przysługujące użytkownikowi
Na podstawie RODO (Rozp. 2016/679) przysługują Ci następujące prawa:
Prawo dostępu (art. 15) - możesz zażądać informacji o tym, jakie Twoje dane przetwarzamy, w jakim celu i na jakiej podstawie.
Prawo do sprostowania (art. 16) - możesz zażądać poprawienia nieprawdziwych lub uzupełnienia niekompletnych danych.
Prawo do usunięcia (art. 17) - możesz zażądać usunięcia danych ("prawo do bycia zapomnianym") w przypadkach przewidzianych przez prawo.
Prawo do ograniczenia przetwarzania (art. 18) - możesz zażądać czasowego wstrzymania przetwarzania Twoich danych w określonych sytuacjach.
Prawo do przenoszenia danych (art. 20) - możesz otrzymać Twoje dane w formacie nadającym się do odczytu maszynowego.
Prawo sprzeciwu (art. 21) - możesz sprzeciwić się przetwarzaniu danych opartemu na prawnie uzasadnionym interesie.
Prawo cofnięcia zgody - w każdej chwili możesz cofnąć zgodę na przetwarzanie danych opartym na zgodzie (np. cookies analityczne). Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania przed cofnięciem.
Prawo do skargi - masz prawo wnieść skargę do organu nadzorczego: Urząd Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.
Aby skorzystać z powyższych praw, skontaktuj się z nami pod adresem: kontakt@isoforge.pl. Odpowiemy w ciągu 30 dni od otrzymania wniosku.
7. Odbiorcy danych - podmioty trzecie
Twoje dane mogą być przekazywane następującym kategoriom podmiotów:
7.1 Dostawcy infrastruktury IT
- Hostinger International Ltd. - hosting serwera VPS (serwery w Niemczech / UE). Dane są przetwarzane na terytorium Unii Europejskiej.
7.2 Dostawcy AI (sztucznej inteligencji)
Do generowania dokumentów i analiz (Gap Audit, Radar, moduł "Rozszerz na nową normę") system korzysta z jednego z kilku dostawców modeli językowych, w zależności od dostępności - dane wpisane lub wgrane przez użytkownika (nazwa firmy, branża, kontekst, treść wgranych plików) są przekazywane do aktualnie używanego dostawcy w celu realizacji usługi:
- Mistral AI (Francja, UE) - podstawowy dostawca. Polityka prywatności: mistral.ai/terms/.
- DeepSeek (Chiny) - dostawca zapasowy. Polityka prywatności: deepseek.com/privacy-policy.
- Groq, Inc. (USA) - dostawca zapasowy (infrastruktura inferencji, w tym modele DeepSeek/Llama). Polityka prywatności: groq.com/privacy-policy/.
W przypadku dostawców spoza UE (DeepSeek, Groq) stosowane są odpowiednie zabezpieczenia zgodne z SCCs (Standardowe Klauzule Umowne) wg art. 46 RODO, w zakresie w jakim dany dostawca je oferuje.
7.3 Analityka (za zgodą użytkownika)
- Google LLC (USA) - Google Analytics. Dane są anonimizowane przed przekazaniem. Google stosuje SCCs. Polityka Google: policies.google.com/privacy.
7.4 Organy publiczne
Administrator może być zobowiązany do udostępnienia danych organom publicznym (np. policja, prokuratura, sądy) na podstawie przepisów prawa.
Nie sprzedajemy, nie wynajmujemy ani nie udostępniamy danych osobowych podmiotom trzecim w celach marketingowych.
7.5 Dane osób trzecich wprowadzane przez użytkownika
Serwis jest narzędziem dla konsultantów, pełnomocników i działów jakości, którzy w ramach swojej pracy mogą wprowadzać do generatora lub wgrywać do modułów (Gap Audit, "Rozszerz na nową normę") dane dotyczące WŁASNYCH klientów użytkownika - w tym nazwy firm, dane kontaktowe osób odpowiedzialnych czy treść wewnętrznych dokumentów. W takim zakresie to użytkownik jest administratorem tych danych, a Administrator serwisu (MQS Marcin Rabiasz) działa jako podmiot przetwarzający w rozumieniu art. 28 RODO. Użytkownik wprowadzający dane osób trzecich odpowiada za posiadanie własnej podstawy prawnej ich przetwarzania (np. umowa lub zgoda ze swoim klientem). Serwis oferuje opcjonalną funkcję anonimizacji nazwy firmy przed wysłaniem danych do dostawcy AI (patrz sekcje 2.3 i 2.4) - jej włączenie leży w gestii użytkownika. Umowa powierzenia przetwarzania danych (art. 28 RODO) jest dostępna na życzenie - kontakt: kontakt@isoforge.pl.
8. Bezpieczeństwo danych
Stosujemy następujące środki techniczne i organizacyjne w celu ochrony danych:
- Szyfrowanie połączeń protokołem TLS/HTTPS (certyfikat SSL)
- Hasła przechowywane wyłącznie jako hash (bcrypt)
- Dostęp do serwera ograniczony kluczami SSH
- Regularny backup danych
- Zasada minimalnych uprawnień przy dostępie do danych
- Szyfrowanie cookies sesji (httpOnly, Secure, SameSite)
Mimo stosowanych zabezpieczeń, żadna transmisja danych przez internet nie jest w 100% bezpieczna. W przypadku naruszenia ochrony danych osobowych poinformujemy użytkowników i UODO zgodnie z wymogami RODO (art. 33-34).
9. Zmiany polityki prywatności
Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności.
O istotnych zmianach będą informowani użytkownicy posiadający konto w serwisie (drogą e-mail) oraz wszyscy odwiedzający stronę (przez komunikat na stronie głównej).
Historia zmian:
- Wersja 1.0 (2026-08-04) - poprzednia publikacja Polityki Prywatności.
- Wersja 1.1 (2026-09-28) - dodano pkt 2.9 opisujący przetwarzanie danych subskrypcji i płatności (w tym rolę Stripe jako dostawcy płatności i Resend jako dostawcy poczty transakcyjnej) oraz status zawieszenia dostępu przy nieudanej płatności odnowienia subskrypcji, wraz z odpowiadającym wierszem w tabeli celów przetwarzania (pkt 3) i tabeli czasu przechowywania (pkt 4).
- Wersja 1.2 (2026-09-30) - dodano pkt 2.10 opisujący dane zamówienia przez proformę (formularz wyłącznie dla podmiotów wpisanych do KRS, szyfrowanie danych at rest) i pkt 2.11 opisujący zdarzenia wykorzystania produktu rejestrowane na potrzeby dobrowolnej gwarancji zwrotu, odpowiadające wiersze w tabeli celów przetwarzania (pkt 3) i tabeli czasu przechowywania (pkt 4) wraz z zasadą retencji funkcjonalnej (12 miesięcy dla zamówień nieopłaconych/anulowanych, kryterium księgowo-dowodowe dla opłaconych/aktywowanych/zwróconych, przegląd co najmniej raz w roku). Pozostałe postanowienia bez zmian.
Data ostatniej aktualizacji: 2026-09-30
Aktualna wersja Polityki Prywatności jest zawsze dostępna pod adresem: isoforge.pl/polityka-prywatnosci
10. Kontakt
W sprawach dotyczących ochrony danych osobowych prosimy o kontakt:
Email: kontakt@isoforge.pl
Strona: isoforge.pl
Organ nadzorczy:
Urząd Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa
Tel.: 606-950-000
www.uodo.gov.pl