Polityka prywatności

1. Kto jest administratorem danych

Administratorem Twoich danych osobowych jest Jonasz Jankowski, który prowadzi działalność pod firmą JFlow Labs Jonasz Jankowski, ul. Krakowska 16, 43-190 Mikołów, NIP 6351877080, REGON 542700210. Administrator to osoba, która decyduje, po co i jak dane są przetwarzane.

W sprawach danych pisz na kontakt@jflowlabs.pl albo dzwoń pod numer +48 780 632 008. Nie wyznaczyłem inspektora ochrony danych, więc na wszystkie pytania odpowiadam osobiście.

2. Najważniejsze w skrócie

Skan nie wymaga konta, imienia ani adresu e-mail. Wystarczy adres strony.
Nie zapisuję Twojego adresu IP. Do limitów używam skrótu, który zmienia się każdego dnia.
Każda osoba dostaje własny raport pod prywatnym linkiem. Każdy, kto ma link, może raport zobaczyć i usunąć. Bezpłatny raport znika po 24 godzinach.
Dane z formularza zamówienia dostaję tylko wtedy, gdy go wyślesz.
Statystyki odwiedzin działają tylko po Twojej zgodzie. Serwis nie ustawia cookies. Jedyny wyjątek to cookies bezpieczeństwa Cloudflare, opisane w polityce cookies.
Serwis nie zapisuje dziennika zapytań. Zostają tylko krótkie wpisy o błędach, bez adresów IP i bez adresów stron.
Baza narzędzia, czyli raporty, zamówienia, liczniki dobowe i lista stron wyłączonych ze skanu, przechowuje dane tylko w Unii Europejskiej. W drodze do bazy i z powrotem dane przechodzą przez centrum danych Cloudflare najbliższe Tobie. Wyjątki opisuję w punkcie 10.
Nie sprzedaję danych, nie pokazuję reklam i nie profiluję Cię.

3. Cele, podstawy prawne i czas przechowywania

Przetwarzam dane tylko w celach z tabeli. Każdy cel opisuję dokładniej w kolejnych punktach.

Cel	Dane	Podstawa prawna (RODO)	Jak długo
Wyświetlenie serwisu i ochrona przed atakami	adres IP, dane przeglądarki, adres otwieranej strony, czas zapytania	art. 6 ust. 1 lit. f: mój uzasadniony interes, czyli dostarczenie strony i jej bezpieczeństwo	adres IP tylko na czas obsługi zapytania; serwis nie zapisuje dziennika zapytań
Limity i ochrona przed nadużyciami	jednodniowy skrót adresu IP (przy IPv6: jego pierwszej połowy), przy IPv6 także jednodniowy skrót prefiksu sieci /48, liczniki skanów i wiadomości	art. 6 ust. 1 lit. f: ochrona bezpłatnego narzędzia i sprawdzanych stron	do końca doby; sprzątanie, które działa co godzinę, usuwa go kilka minut później
Wykonanie skanu i udostępnienie raportu	adres sprawdzanej strony, wynik skanu, data, identyfikator raportu	art. 6 ust. 1 lit. b: wykonanie usługi, o którą prosisz	bezpłatny raport 24 godziny, pełny raport zwykle 7 dni (najwyżej 30) albo do usunięcia; wynik skanu do ponownego użycia 1 godzinę
Przygotowanie oferty po zamówieniu	raport, do którego odnosi się zamówienie wysłane z jego strony	art. 6 ust. 1 lit. b: działania na Twoje żądanie przed zawarciem umowy	30 dni od wysłania zamówienia albo do usunięcia raportu
Treści ze sprawdzanych stron w raporcie	to, co strona publicznie pokazuje: tytuły, nagłówki, fragmenty tekstu, dane firmy	art. 6 ust. 1 lit. f: automatyczne sprawdzenie publicznej strony na prośbę osoby, która zleciła skan	tak długo jak raport
Obsługa zamówienia płatnego audytu	imię, e-mail, telefon i firma (jeśli je podasz), zakres, wiadomość, link do raportu i adres sprawdzanej strony, data, wynik wysyłki maila	art. 6 ust. 1 lit. b: działania na Twoje żądanie przed zawarciem umowy; gdy piszesz w imieniu firmy: art. 6 ust. 1 lit. f	w bazie serwisu do 365 dni; w skrzynce e-mail na czas rozmów o współpracy
Korespondencja i reklamacje	dane, które podasz w wiadomości albo w rozmowie	art. 6 ust. 1 lit. b (umowa, reklamacja) albo lit. f (pozostała korespondencja)	na czas sprawy, potem tak jak przy roszczeniach
Wyłączenie skanera dla strony na prośbę	adres (domena) strony i data wyłączenia	art. 6 ust. 1 lit. c w związku z art. 21 RODO (wykonanie sprzeciwu) albo lit. f (prośba właściciela strony)	do odwołania; na prośbę zdejmuję wyłączenie
Statystyki odwiedzin (Cloudflare Web Analytics)	adres strony, strona, z której przyszła wizyta, przeglądarka, system, rodzaj urządzenia, kraj, czasy ładowania	art. 6 ust. 1 lit. a: Twoja zgoda	pełne dane 7 dni, potem tylko zbiorczo; panel pokazuje ostatnie 6 miesięcy
Roszczenia i obowiązki prawne	dane potrzebne jako dowód, np. korespondencja i umowa; dokumenty księgowe po płatnym audycie	art. 6 ust. 1 lit. f; dla dokumentów księgowych art. 6 ust. 1 lit. c	roszczenia: do ich przedawnienia; dokumenty księgowe: 5 lat od końca roku, w którym minął termin zapłaty podatku (art. 70 § 1 i art. 86 § 1 Ordynacji podatkowej)

4. Adres IP i limity

Każde połączenie z internetem ujawnia adres IP. Cloudflare, który utrzymuje serwis, musi go znać, żeby dostarczyć stronę i odeprzeć ataki.

Sam nie zapisuję Twojego adresu IP. Gdy uruchamiasz skan, otwierasz raport albo wysyłasz formularz, serwer liczy z niego skrót. To ciąg 24 znaków, który funkcja SHA-256 tworzy z tajnego klucza, daty dnia i adresu. Przy adresie IPv6 bierze tylko jego pierwszą połowę (prefiks /64), bo urządzenia w jednej sieci często zmieniają drugą połowę. Przy IPv6 serwer tak samo liczy też skrót prefiksu /48, czyli początku adresu wspólnego dla całej sieci, np. firmy, tylko do łącznych limitów tej sieci i tylko do końca doby. Bez tajnego klucza ze skrótu nie da się odczytać adresu. Klucz znam tylko ja i nie używam go do odtwarzania adresów. Następnego dnia ten sam adres daje inny skrót, a ja nie łączę skrótów z różnych dni.

Skrót służy tylko do liczenia limitów z regulaminu. Nie zapisuję go przy raporcie ani przy zamówieniu. W rozumieniu RODO to nadal dane osobowe, tylko pseudonimizowane (bez bezpośredniego związku z osobą), dlatego trzymam go najkrócej, jak się da: do końca doby.

Limity minutowe, na przykład 6 skanów na minutę, liczy Cloudflare w centrum danych, które obsługuje Twoje zapytanie. Taki licznik dostaje tylko skrót, nie adres IP, i liczy zapytania w oknie 60 sekund. Gdy skan zleca asystent AI, skrót powstaje z adresu serwera dostawcy asystenta, a nie z Twojego.

Serwis nie prowadzi dziennika zapytań: nie zapisuje, kto i kiedy otworzył stronę albo raport. Gdy wystąpi błąd, serwis zapisuje krótki wpis o nim, bez adresu IP, bez adresów stron i bez danych z formularzy. Takie wpisy przechowuje Cloudflare i usuwa je automatycznie po 7 dniach.

5. Skan i raport

Do skanu wystarczy adres strony. Nie pytam, kim jesteś. Raportu nie łączę z Twoją osobą: nie zapisuję przy nim adresu IP, jego skrótu, danych przeglądarki ani danych kontaktowych. Wyjątek: gdy ze strony raportu wyślesz zamówienie, zamówienie zawiera link do tego raportu.

Skan rusza, gdy zaznaczysz pole „Akceptuję regulamin i znam politykę prywatności”. Tym zaznaczeniem akceptujesz regulamin i potwierdzasz, że wiesz, jak przetwarzam dane. Polityki prywatności nie akceptujesz, tylko ją poznajesz. Zaznaczenie nie jest zgodą na przetwarzanie danych w rozumieniu RODO: dane do skanu przetwarzam, bo wykonuję usługę, o którą prosisz (art. 6 ust. 1 lit. b RODO).

Każda osoba dostaje własny raport pod własnym linkiem. Jeśli ktoś sprawdził ten sam adres w ciągu ostatniej godziny, serwis użyje gotowego wyniku skanu i zapisze go jako Twój osobny raport, z nowym linkiem. Sprawdzana strona nie dostaje wtedy nowych zapytań, a nikt nie zobaczy ani nie usunie cudzego raportu. Wynik skanu do ponownego użycia serwis pamięta przez 1 godzinę.

Raport jest zapisany w bazie w Unii Europejskiej, w postaci skompresowanej. Otworzy go każdy, kto ma link, i każdy, kto ma link, może go usunąć. Strona raportu nie ma statystyk odwiedzin i nie trafia do wyszukiwarek. Gdy klikniesz w raporcie link do innej strony, ta strona nie dowie się, z jakiego raportu przyszła wizyta.

Bezpłatny raport przestaje działać po 24 godzinach. Jeśli ze strony raportu wyślesz formularz zamówienia (zapytanie o płatny audyt), raport działa 30 dni od jego wysłania, żebym mógł go obejrzeć i przygotować ofertę. Pełny raport z płatnego audytu działa zwykle 7 dni, najwyżej 30 dni. Po tym czasie serwis usuwa raport z bazy w ciągu godziny, bo sprzątanie bazy działa co godzinę. Możesz usunąć go wcześniej przyciskiem na stronie raportu. Usunięcie dotyczy tylko Twojego raportu.

Baza Cloudflare trzyma techniczną historię zmian z ostatnich 30 dni, żeby dało się ją odtworzyć po awarii. Usunięte dane znikają z tej historii po 30 dniach. Nie używam jej do niczego innego.

Jeśli skan zleca asystent AI (przez MCP), serwis dostaje adres strony i dane połączenia serwera dostawcy asystenta, a nie Twoje. Odsyła wynik skanu, link do raportu i linki do regulaminu i tej polityki. Ten wynik dostaje dostawca asystenta, na przykład OpenAI (ChatGPT) albo Anthropic (Claude), który często działa poza Europejskim Obszarem Gospodarczym, na przykład w USA. Asystenta wybierasz Ty, a jego dostawca przetwarza dane według własnych zasad. Wynik dla asystenta nie zawiera dłuższych cytatów ani danych firmy, na przykład NIP-u i adresu. Może zawierać pojedyncze słowa i krótkie zwroty ze strony, na przykład wykryty szablonowy zwrot.

6. Dane osobowe na sprawdzanych stronach

Robot AudytowniaBot czyta tylko to, co strona pokazuje każdemu odwiedzającemu. Na publicznych stronach bywają dane osób, na przykład imię i nazwisko właściciela firmy, adres e-mail albo numer telefonu.

Gdy raport cytuje fragment strony jako przykład do poprawy (zdanie, tytuł, opis, pierwszy akapit albo pytanie), adresy e-mail są w nim automatycznie zamienione na [e-mail], a numery telefonów na [telefon]. Raport może pokazać tytuły i nagłówki stron. Pisze, czy strona podaje NIP, adres i dane kontaktowe, ale nie przepisuje tych danych do części „Co działa dobrze”. Fragment, w którym skaner szukał danych, może pojawić się jako krótki cytat przy uwadze do poprawy.

Raport z tymi danymi widzi osoba, która zleciła skan, i każdy, komu ona przekaże link. Gdy skan zleca asystent AI, wynik dostaje też dostawca tego asystenta, ale bez dłuższych cytatów i bez danych firmy. Raport istnieje tak długo, jak opisuje punkt 5, a potem znika.

Źródłem tych danych jest publicznie dostępna strona internetowa. Podstawą jest uzasadniony interes, mój i osoby, która zleciła skan: automatyczne sprawdzenie publicznej strony (art. 6 ust. 1 lit. f RODO). Raport powstaje w około minutę i od razu trafia do osoby, która zleciła skan. Nie da się wcześniej powiadomić osób, których dane są na stronie, a szukanie ich wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Do raportu nie muszę wiedzieć, kim są te osoby, więc nie zbieram o nich nic więcej (art. 11 RODO). Dlatego opisuję to publicznie tutaj i na stronie robota, do której link robot wysyła w każdym zapytaniu.

Jeśli Twoje dane są na stronie, o której powstał raport, możesz wnieść sprzeciw albo poprosić o usunięcie raportów o tej stronie. Napisz na kontakt@jflowlabs.pl i podaj adres strony. Usunę wszystkie raporty o niej. Na Twoją prośbę wyłączę też skaner dla tej strony, także gdy nie masz dostępu do jej pliku robots.txt. Jeśli raport podaje o stronie coś nieprawdziwego, napisz: usunę raport albo sprawdzę stronę jeszcze raz. Właściciel strony może też sam zablokować robota w pliku robots.txt (opis: https://audyt.jflowlabs.pl/bot/).

7. Formularz zamówienia

Formularz wysyłasz dobrowolnie, nie wymaga tego żaden przepis. Wymagane są imię, adres e-mail, wybór zakresu i zaznaczenie pola pod formularzem. Telefon, nazwa firmy i wiadomość są opcjonalne. Bez wymaganych pól nie mogę odpowiedzieć na zamówienie. Zamiast formularza możesz też napisać na kontakt@jflowlabs.pl albo zadzwonić.

Zaznaczenie pola potwierdza, że wiesz, po co używam danych z formularza. To nie jest zgoda w rozumieniu RODO: odpowiadam na zamówienie, bo o to prosisz (art. 6 ust. 1 lit. b RODO). Nie jest też zgodą na marketing i nie zapisuje Cię na newsletter.

Po wysłaniu serwis zapisuje zamówienie w bazie w Unii Europejskiej i wysyła mi je e-mailem przez firmę Resend. Jeśli wysyłasz formularz ze strony raportu, mail zawiera link do tego raportu, a raport działa 30 dni od wysłania zamówienia. Nie wysyłam Ci automatycznego potwierdzenia, bo potwierdzenie widzisz na stronie. Dzięki temu nikt nie użyje formularza do wysyłania maili na cudzy adres.

Zamówienie trzymam w bazie serwisu do 365 dni od wysłania, a na Twoją prośbę usuwam je wcześniej. Korespondencję w skrzynce e-mail przechowuję przez czas rozmów o współpracy. Jeśli powstanie umowa albo spór, potrzebne dane przechowuję przez czas wykonania umowy, tak długo, jak wymagają przepisy, albo do przedawnienia roszczeń.

Nie wpisuj w wiadomości haseł, danych kart ani informacji o zdrowiu i innych danych szczególnie chronionych.

8. Statystyki odwiedzin

Po Twojej zgodzie na statystyki strony publiczne serwisu wczytują Cloudflare Web Analytics. Strony raportów i strona postępu skanu nigdy go nie wczytują.

Cloudflare dostaje wtedy adres oglądanej strony, adres strony, z której przyszła wizyta, dane o przeglądarce, systemie i rodzaju urządzenia, kraj oraz czasy ładowania strony. Według Cloudflare skrypt nie zapisuje niczego w przeglądarce, a część adresu po znaku zapytania nie jest zapisywana. Adres IP Cloudflare odrzuca w najbliższym centrum danych, więc nie trafia on do baz ani dzienników. Ja widzę tylko liczby zbiorcze.

Podstawą jest Twoja zgoda (art. 6 ust. 1 lit. a RODO). Możesz ją wycofać w każdej chwili przyciskiem „Ustawienia prywatności” w stopce. Wycofanie nie zmienia zgodności z prawem tego, co działo się wcześniej (art. 7 ust. 3 RODO). Szczegóły są w polityce cookies: https://audyt.jflowlabs.pl/polityka-cookies/.

9. Kto pomaga mi przetwarzać dane

Dane przekazuję tylko w potrzebnym zakresie. Cloudflare (jako dostawca serwisu), Resend i Zoho przetwarzają je na moje polecenie, na podstawie umów powierzenia. Odrębnymi administratorami są: Cloudflare przy własnych danych o zagrożeniach, publiczny serwer DNS 1.1.1.1, organy państwa, gdy wymaga tego prawo, i dostawca asystenta AI, którego wybierasz (punkt 5). Nie sprzedaję danych i nie przekazuję ich reklamodawcom. Skaner i formularz nie wysyłają danych do modeli AI. Wynik skanu dostaje tylko asystent AI, któremu zlecisz skan.

Cloudflare, Inc. (101 Townsend St, San Francisco, USA): utrzymuje serwis i jego bazę, chroni go przed atakami DDoS (zalewem sztucznego ruchu), przechowuje wpisy o błędach, a po Twojej zgodzie także statystyki odwiedzin. Umowa powierzenia: https://www.cloudflare.com/cloudflare-customer-dpa/.
Cloudflare na podstawie ruchu w swojej sieci tworzy też własne zbiorcze dane o zagrożeniach, na przykład ocenę, czy dany adres IP wysyła złośliwy ruch. Robi to jako odrębny administrator, według swojej polityki prywatności: https://www.cloudflare.com/privacypolicy/.
Resend (Plus Five Five, Inc., USA): doręcza mi e-mail z zamówieniem. Przechowuje maile i dane doręczenia przez 30 dni, a kopie zapasowe przez 7 dni.
Zoho: obsługuje moją skrzynkę kontakt@jflowlabs.pl w europejskim centrum danych Zoho.
Publiczny serwer DNS Cloudflare (1.1.1.1): dostaje nazwę sprawdzanej domeny, gdy robot sprawdza jej rekordy DNS, na przykład ustawienia poczty. Nie dostaje Twojego adresu IP.
Organy państwa: tylko wtedy, gdy wymaga tego prawo.

10. Gdzie są dane i przekazywanie poza Europę

Baza serwisu, czyli raporty, zamówienia, liczniki dobowe i lista stron wyłączonych ze skanu, działa w usłudze Cloudflare Durable Objects z ograniczeniem do Unii Europejskiej. Tam te dane są zapisywane i tam działa skaner.

Zapytanie z Twojej przeglądarki najpierw obsługuje najbliższe centrum danych Cloudflare. Dla odwiedzających z Polski to zwykle centrum w Europie, ale Cloudflare kieruje ruch według stanu swojej sieci. To centrum przekazuje dane do bazy, odsyła Ci odpowiedź i liczy limity minutowe. Wpisy o błędach, dane statystyk i dane cookies bezpieczeństwa Cloudflare może przetwarzać także w USA.

Cloudflare przekazuje dane do USA na podstawie ram ochrony danych UE–USA (EU-U.S. Data Privacy Framework). Komisja Europejska uznała, że zapewniają one odpowiedni stopień ochrony (decyzja wykonawcza Komisji (UE) 2023/1795). Gdyby ta podstawa przestała działać, Cloudflare stosuje standardowe klauzule umowne zatwierdzone przez Komisję.

Resend przechowuje treść maili i dane doręczenia w USA. Opiera to na standardowych klauzulach umownych (decyzja wykonawcza Komisji (UE) 2021/914), które są częścią umowy powierzenia. Resend uczestniczy też w ramach ochrony danych UE–USA, a klauzule działają niezależnie od tego udziału. Szczegóły: https://resend.com/security/gdpr i https://resend.com/legal/dpa.

Na prośbę napiszę, jakie zabezpieczenia stosuję przy przekazywaniu danych, i prześlę ich kopię albo wskażę, gdzie je znaleźć.

11. Twoje prawa

Na zasadach z RODO masz prawo do:

dostępu do swoich danych i otrzymania ich kopii (art. 15);
sprostowania danych (art. 16);
usunięcia danych (art. 17);
ograniczenia przetwarzania (art. 18);
przenoszenia danych, które przetwarzam na podstawie umowy albo zgody (art. 20);
sprzeciwu wobec przetwarzania opartego na moim uzasadnionym interesie (art. 21), opisanego osobno w punkcie 12;
wycofania zgody na statystyki w każdej chwili, bez wpływu na to, co działo się wcześniej (art. 7 ust. 3);
niepodlegania decyzjom opartym wyłącznie na automatycznym przetwarzaniu, które wywołują wobec Ciebie skutki prawne (art. 22). Takich decyzji nie podejmuję.

12. Prawo sprzeciwu

Możesz w każdej chwili wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie mojego uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Podaj przyczynę związaną z Twoją szczególną sytuacją. Dotyczy to na przykład danych na sprawdzanych stronach, skrótu adresu IP i korespondencji.

Po sprzeciwie przestaję przetwarzać te dane. Wyjątek: gdy wykażę ważne, prawnie uzasadnione podstawy, nadrzędne wobec Twoich interesów, praw i wolności, albo gdy dane są mi potrzebne do ustalenia, dochodzenia lub obrony roszczeń (art. 21 ust. 1 RODO). Sprzeciw wyślij na kontakt@jflowlabs.pl.

13. Jak skorzystać z praw i gdzie złożyć skargę

Napisz na kontakt@jflowlabs.pl. Odpowiem bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W trudnych sprawach mogę przedłużyć ten termin o kolejne dwa miesiące, ale wtedy w ciągu miesiąca napiszę, dlaczego (art. 12 ust. 3 RODO).

Nie zapisuję adresów IP i nie łączę raportów z osobami. Dlatego często nie mam jak sprawdzić, który raport jest Twój, i wtedy Ci o tym napiszę (art. 11 ust. 2 RODO). Jeśli sprawa dotyczy raportu, podaj jego link albo adres sprawdzanej strony. Jeśli dotyczy zamówienia, podaj adres e-mail z formularza: znajdę wtedy wszystkie zamówienia z tym adresem. Jeśli nie spełnię żądania, w ciągu miesiąca napiszę, dlaczego, i przypomnę, że możesz złożyć skargę do Prezesa UODO albo pójść do sądu (art. 12 ust. 4 RODO).

Jeśli uznasz, że przetwarzam Twoje dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, https://uodo.gov.pl (art. 77 RODO).

14. Automatyczne decyzje i profilowanie

Nie profiluję Cię i nie podejmuję wobec Ciebie decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywołują skutki prawne albo w podobny sposób istotnie na Ciebie wpływają.

Limity i zabezpieczenia działają automatycznie. Na przykład od 31. skanu tego samego dnia z jednego adresu wydłużają zabezpieczenie w przeglądarce, a po 150 skanach wstrzymują kolejne do końca doby. To techniczna ochrona serwisu. Jeśli limit Ci przeszkadza, napisz do mnie. Sprawdzę, dlaczego zadziałał, i jeśli to możliwe, uruchomię skan poza limitem.

Wynik w raporcie dotyczy strony internetowej, a nie osoby.

15. Jak chronię dane

Połączenia są szyfrowane (HTTPS). Link do raportu zawiera 20 losowych znaków, czyli około 100 bitów losowości, więc nie da się go odgadnąć. Każdy raport ma własny link, także gdy ten sam adres sprawdza kilka osób. Strony raportów nie trafiają do wyszukiwarek i nie przekazują swojego adresu stronom, do których z nich przechodzisz. Do zaplecza serwisu mam dostęp tylko ja, przez tajny klucz.

16. Zmiany polityki

Gdy zmienię sposób przetwarzania danych, na przykład dodam nowe narzędzie, zaktualizuję tę politykę i datę jej aktualizacji. Jeśli zmiana będzie wymagała zgody, zapytam o nią ponownie.