Wersja: 2.2 Data wejścia w życie: 2026-04-11 Ostatnia aktualizacja: 2026-05-21
Co nowego w wersji 2.2 (2026-05-21): dodano rozdział 17. Newsletter SubiektMCP. Szczegółowe zasady przetwarzania danych w ramach subskrypcji newslettera (Brevo + Vercel + Plausible jako procesorzy w EOG, retencja 3 lata po unsubscribe, podstawa Art. 6 ust. 1 lit. a/f RODO + Art. 10 ust. 2 UŚUDE).
Co nowego w wersji 2.1 (2026-05-20): wymiana stosu analitycznego na Plausible (cookieless, serwer w Niemczech) zamiast PostHog. Dodanie OpenAI (ChatGPT / Codex) jako alternatywnego dostawcy AI obok Anthropic. Dodanie sekcji o zabezpieczeniach e-mail (SPF / DKIM / DMARC). Dodanie inFakt jako processora faktur VAT. Dodanie Sentry (region UE / Niemcy) do monitoringu błędów technicznych. Pełna lista zmian: commit history.
Niniejsza Polityka Prywatności opisuje zasady, na jakich SubiektMCP zbiera, wykorzystuje, udostępnia i chroni dane osobowe osób korzystających z aplikacji SubiektMCP oraz powiązanych usług (dalej łącznie: "Usługa").
Dokument został przygotowany zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (dalej: "RODO") oraz polską ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.
SubiektMCP jest aplikacją B2B, kierowaną do firm handlowych. Niniejsza polityka opisuje dane osobowe przedsiębiorców i osób działających w ich imieniu (właściciele JDG, pracownicy, osoby kontaktowe).
Administratorem Twoich danych osobowych jest:
Nikodem Rudziński jednoosobowa działalność gospodarcza (JDG) Adres siedziby: ul. Gustawa Morcinka 16b/5, 67-200 Głogów NIP: 6932197547 REGON: 529808221 Adres e-mail kontaktowy: kontakt@subiektgt.chat Adres e-mail wsparcia: pomoc@subiektgt.chat
(dalej: "SubiektMCP", "my", "nas")
Nie wyznaczyliśmy Inspektora Ochrony Danych (IOD), ponieważ nie przetwarzamy danych w zakresie obligującym nas do jego powołania zgodnie z art. 37 RODO. Wszystkie sprawy związane z ochroną danych osobowych możesz kierować na adres: kontakt@subiektgt.chat.
Nie widzimy Twoich danych biznesowych. Nigdy.
SubiektMCP jest lokalną aplikacją-mostem instalowaną na komputerze Użytkownika (Windows). Aplikacja służy wyłącznie do technicznego pośredniczenia między bazą danych Użytkownika (np. Subiekt GT) a modelem językowym AI dostarczanym przez firmę Anthropic PBC (Claude).
Co to oznacza w praktyce:
- ❌ NIE pobieramy i NIE kopiujemy na nasze serwery żadnych danych z bazy Użytkownika — ani faktur, ani kontrahentów, ani asortymentu, ani kwot, ani stanów magazynowych, ani historii sprzedaży, ani jakichkolwiek innych informacji handlowych.
- ❌ NIE widzimy treści zapytań, które Użytkownik kieruje do modelu AI z poziomu swojej aplikacji Claude Desktop.
- ❌ NIE widzimy odpowiedzi, które model AI generuje dla Użytkownika.
- ❌ NIE logujemy szczegółowych treści komunikacji między komputerem Użytkownika a serwerami Anthropic.
- ❌ NIE mamy dostępu do bazy MS SQL Server, na której pracuje Subiekt GT Użytkownika — nasza aplikacja łączy się z tą bazą wyłącznie lokalnie, w ramach komputera Użytkownika (localhost / sieć lokalna firmy).
Jak to działa technicznie:
- Użytkownik instaluje lokalną aplikację SubiektMCP na własnym komputerze z systemem Windows.
- Aplikacja łączy się lokalnie (bez Internetu) z bazą Subiekt GT Użytkownika, aby odczytać dane potrzebne do udzielenia odpowiedzi na konkretne pytanie.
- Użytkownik zadaje pytanie w aplikacji Claude Desktop (produkt firmy Anthropic, zainstalowany osobno).
- Pytanie Użytkownika oraz niezbędne dane z jego bazy są przesyłane bezpośrednio z komputera Użytkownika do serwerów firmy Anthropic PBC (USA), z pominięciem jakichkolwiek serwerów SubiektMCP.
- Odpowiedź modelu AI wraca bezpośrednio do aplikacji Claude Desktop Użytkownika, również z pominięciem naszych serwerów.
Rola SubiektMCP w tym przepływie danych jest ograniczona do dostarczenia oprogramowania, które Użytkownik instaluje i uruchamia samodzielnie we własnym środowisku IT. Względem danych biznesowych znajdujących się w bazie Użytkownika nie jesteśmy administratorem, nie jesteśmy podmiotem przetwarzającym, nie jesteśmy odbiorcą i nie jesteśmy w żaden inny sposób zaangażowani w ich przetwarzanie w rozumieniu RODO.
Użytkownik pozostaje wyłącznym administratorem danych zawartych w swojej bazie Subiekt GT. Użytkownik samodzielnie decyduje, jakie dane i w jakim zakresie są przesyłane do modelu AI Anthropic, i to on jest odpowiedzialny za zgodność takiego przesyłania z RODO wobec osób, których dane dotyczą (np. kontrahentów, pracowników).
Na naszych serwerach przetwarzamy wyłącznie dane techniczne i billingowe niezbędne do świadczenia Usługi:
/api/installer-debug)Nie przetwarzamy danych szczególnych kategorii (tzw. "wrażliwych") w rozumieniu art. 9 RODO (dane o zdrowiu, poglądach politycznych, przekonaniach religijnych itp.).
| Cel | Rodzaj danych | Podstawa prawna RODO |
|---|---|---|
| Zawarcie i wykonanie umowy (świadczenie Usługi, wydanie klucza licencyjnego) | Dane konta, billing, licencja | Art. 6 ust. 1 lit. b RODO |
| Obsługa reklamacji i wsparcia technicznego | Dane zgłoszenia | Art. 6 ust. 1 lit. b RODO |
| Wystawianie faktur VAT i prowadzenie księgowości | Dane billingowe | Art. 6 ust. 1 lit. c RODO (obowiązek prawny — ustawa o VAT, ustawa o rachunkowości) |
| Zabezpieczenie Usługi przed nadużyciami (rate limiting, wykrywanie anomalii) | Adres IP, logi | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) |
| Dochodzenie i obrona roszczeń | Pełny zakres danych transakcyjnych | Art. 6 ust. 1 lit. f RODO |
| Marketing bezpośredni własnych usług (cold mailing B2B do firm) | Dane kontaktowe firm | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes, zgodnie z art. 10 ustawy o świadczeniu usług drogą elektroniczną) |
| Newsletter, lista oczekujących | Adres e-mail | Art. 6 ust. 1 lit. a RODO (zgoda) |
| Analityka strony internetowej (Plausible, cookieless) | Adres IP (hashowany, niezachowywany), URL, referrer, kraj (z GeoIP), typ przeglądarki | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — pomiar użyteczności strony bez identyfikacji osób; Plausible nie używa cookies ani fingerprintingu) |
| Monitorowanie błędów technicznych aplikacji (Sentry) | Stack trace błędu, wersja aplikacji, kontekst techniczny (BEZ treści Twoich zapytań do Subiekt GT) | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — zapewnienie ciągłości i bezpieczeństwa Usługi) |
| Program Partnerski (wypłaty prowizji) | Dane partnera, historia transakcji | Art. 6 ust. 1 lit. b RODO |
W modelu biznesowym SubiektMCP występuje kilka niezależnych podmiotów, z których każdy ma inną rolę prawną w rozumieniu RODO. Bardzo uważnie je rozróżniamy.
Jesteśmy Administratorem danych wymienionych w § 4 (dane konta, billing, licencje, logi techniczne). Oznacza to, że decydujemy o celach i sposobach ich przetwarzania i ponosimy za to pełną odpowiedzialność zgodnie z RODO.
SubiektMCP jest warstwą-mostem łączącą lokalną bazę Subiekt GT z modelem AI wybranym przez Użytkownika. Użytkownik sam decyduje, którego dostawcy AI używa. Wspierane są dwa niezależne ekosystemy:
Anthropic PBC (548 Market Street PMB 90375, San Francisco, CA 94104, USA) jest producentem modelu Claude oraz aplikacji Claude Desktop. W zakresie zapytań, które Użytkownik wysyła ze swojej Claude Desktop do API Anthropic (w tym danych pobranych przez SubiektMCP z lokalnej bazy Subiekt GT), Anthropic działa jako niezależny administrator.
Klucz dla retencji danych: w planach Claude Team i Claude Enterprise Anthropic nie używa zapytań do trenowania modeli (zero data retention dla treningu) — zalecamy te plany dla zastosowań biznesowych. Plan darmowy i Claude Pro mogą używać zapytań do trenowania (zgodnie z polityką Anthropic na dzień podpisania umowy).
OpenAI, L.L.C. (3180 18th Street, San Francisco, CA 94110, USA) jest producentem modeli GPT, aplikacji ChatGPT oraz CLI Codex. W zakresie zapytań, które Użytkownik wysyła do API OpenAI / przez ChatGPT z konektorem MCP (z danymi pobranymi przez SubiektMCP), OpenAI działa jako niezależny administrator.
Klucz dla retencji danych: w planach ChatGPT Team, ChatGPT Enterprise oraz API z włączonym zero data retention OpenAI nie używa zapytań do trenowania modeli. Plan darmowy i ChatGPT Plus mogą używać zapytań do trenowania, chyba że Użytkownik wyłączył tę opcję w ustawieniach.
SubiektMCP nie ponosi odpowiedzialności za praktyki prywatności stosowane przez Anthropic ani OpenAI w zakresie wykraczającym poza naszą rolę dostawcy lokalnej aplikacji-mostu. Użytkownik jest zobowiązany zapoznać się z polityką prywatności wybranego dostawcy AI przed rozpoczęciem korzystania z Usługi.
Transfer do USA: dane przesyłane przez Użytkownika do Anthropic lub OpenAI są przesyłane poza Europejski Obszar Gospodarczy, do Stanów Zjednoczonych. Podstawą prawną transferu są Standardowe Klauzule Umowne (SCC) w wersji decyzji KE 2021/914 oraz — w zakresie objętym certyfikacją — EU-U.S. Data Privacy Framework (DPF). Oba podmioty publikują własne raporty z analizy skutków transferu (TIA) dostępne na żądanie.
Rekomendacja prawna SubiektMCP dla klientów B2B: używać planu z zero data retention (Anthropic Team/Enterprise lub ChatGPT Team/Enterprise) — chroni to przed transferem zapytań biznesowych do zbiorów treningowych dostawcy modelu.
W zakresie danych, dla których jesteśmy Administratorem, korzystamy z następujących podmiotów przetwarzających. Z każdym z nich mamy zawartą umowę powierzenia przetwarzania danych (DPA) zgodną z art. 28 RODO:
| Podmiot | Rola | Jakie dane przetwarza | Lokalizacja | Link do ich polityki / DPA |
|---|---|---|---|---|
| Stripe Payments Europe Ltd. (Irlandia) | Procesor płatności | E-mail, dane rozliczeniowe, numery kart (bezpośrednio, z pominięciem naszego serwera) | Irlandia, USA | https://stripe.com/legal/privacy ; https://stripe.com/legal/dpa |
| Supabase Inc. (USA) | Hosting bazy danych (PostgreSQL) dla panelu klienta i partnera | Wszystkie dane konta, billing, licencje | USA, UE | https://supabase.com/privacy ; https://supabase.com/legal/dpa |
| Vercel Inc. (USA) | Hosting aplikacji frontendowej i API (serverless) | Logi dostępu, adresy IP | USA (z opcją routingu UE) | https://vercel.com/legal/privacy-policy ; https://vercel.com/legal/dpa |
| Keygen LLC (USA) | Zarządzanie licencjami (wydawanie, walidacja, suspendowanie kluczy) | Adres e-mail, klucz licencyjny, fingerprint maszyny | USA | https://keygen.sh/privacy/ |
| Resend, Inc. (USA) | Wysyłka wiadomości transakcyjnych (klucze licencyjne, faktury, potwierdzenia, powiadomienia o zgłoszeniach) | Adres e-mail, treść wiadomości, podstawowe metadane (nadawca, odbiorca, timestamp, status dostarczenia) | USA (z routingiem przez infrastrukturę globalną AWS) | resend.com/legal/privacy-policy · resend.com/legal/dpa |
| inFakt sp. z o.o. (Polska, Kraków) | Wystawianie faktur VAT (FV) i faktur korygujących (KOR) na podstawie zdarzeń płatności ze Stripe | Imię i nazwisko (lub nazwa firmy) płatnika, NIP, adres siedziby, adres e-mail, dane transakcji (kwota, data, opis) | Polska (serwery w UE) | infakt.pl/polityka-prywatnosci |
| Plausible Insights OÜ (Estonia) | Anonimowa analityka ruchu na stronie internetowej (pageviews, źródła ruchu, kraje, urządzenia). Cookieless — nie używa plików cookies ani fingerprintingu. Dane są agregowane i nie pozwalają na identyfikację osoby. | Adres IP (hashowany na 24h, niezachowywany), URL strony, referrer, kraj (z GeoIP), typ przeglądarki/urządzenia | UE (Frankfurt, Niemcy) | plausible.io/privacy · plausible.io/data-policy |
| Google Ireland Ltd. (Google Tag Manager) | Wyłącznie kontener tagów (loader) dla Plausible. GTM sam w sobie nie zbiera danych analitycznych — jest neutralnym mechanizmem dostarczania skryptu analytics. Konfiguracja: zero tagów Google Analytics / Facebook Pixel / żadnych innych marketingowych. | Adres IP (do dostarczenia kontenera), User-Agent | UE (serwery Google w EOG dla domeny googletagmanager.com) |
policies.google.com/privacy |
| Functional Software, Inc. (Sentry) (USA) | Monitorowanie błędów technicznych aplikacji backendowej (api.subiektgt.chat). Konfiguracja minimalna — przesyłany jest wyłącznie stack trace błędu, wersja aplikacji i kontekst techniczny. NIE przesyłane są treści zapytań Użytkownika do Subiekta GT ani dane biznesowe. | Stack trace błędu, ścieżka wykonania kodu, wersja aplikacji, anonimowy identyfikator instancji serwera | Niemcy (region de.sentry.io — EOG) |
sentry.io/privacy · sentry.io/legal/dpa |
Ważne: Żaden z powyższych podmiotów nie ma i nie może mieć dostępu do danych biznesowych z bazy Subiekt GT Użytkownika — te dane nigdy nie trafiają na nasze serwery, w związku z czym nie są udostępniane żadnym processorom.
Niektóre z wymienionych wyżej podmiotów mają siedziby w państwach trzecich (głównie USA). Transfer danych do tych państw odbywa się na podstawie: - Standardowych Klauzul Umownych (SCC) w wersji przyjętej decyzją Komisji Europejskiej 2021/914 z dnia 4 czerwca 2021 r., - oraz — w stosownych przypadkach — EU-U.S. Data Privacy Framework (DPF), do którego przystąpiły m.in. Stripe, Vercel i Anthropic.
Podjęliśmy analizę skutków transferu danych (Transfer Impact Assessment) zgodnie z wytycznymi EROD po wyroku TSUE w sprawie Schrems II (C-311/18). Użytkownik może otrzymać podsumowanie tej analizy na żądanie skierowane do kontakt@subiektgt.chat.
| Kategoria danych | Okres przechowywania | Podstawa |
|---|---|---|
| Dane w bazie Użytkownika (Subiekt GT) | 0 dni — nie przechowujemy | Nie mamy dostępu (patrz § 3) |
| Dane konta aktywnego Użytkownika | Do momentu usunięcia konta lub zakończenia subskrypcji + 30 dni | Wykonanie umowy |
| Dane billingowe i faktury VAT | 5 lat od końca roku podatkowego, w którym wystawiono fakturę | Art. 86 § 1 Ordynacji podatkowej, art. 74 ustawy o rachunkowości |
| Klucze licencyjne i fingerprint | Przez okres obowiązywania subskrypcji + 90 dni | Wykonanie umowy, obsługa reklamacji |
| Logi techniczne serwera (IP, timestamp) | 30 dni | Bezpieczeństwo Usługi (prawnie uzasadniony interes) |
| Zgłoszenia wsparcia (support) | 24 miesiące od ostatniej interakcji | Prawnie uzasadniony interes (obrona roszczeń) |
| Magic tokeny (logowanie przez link e-mail) | 15 minut od wygenerowania | Bezpieczeństwo |
| Dane marketingowe (newsletter) | Do momentu cofnięcia zgody | Zgoda |
| Dane dotyczące roszczeń i sporów | Do czasu przedawnienia roszczeń (max. 6 lat) | Dochodzenie roszczeń |
Po upływie wskazanych okresów dane są trwale usuwane lub anonimizowane.
Zgodnie z RODO przysługują Ci następujące prawa:
Realizacja praw: wyślij wiadomość na kontakt@subiektgt.chat. Odpowiemy w ciągu 30 dni od otrzymania zgłoszenia (w skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne 60 dni, o czym Cię poinformujemy).
Prawo skargi do organu nadzorczego: masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych:
Urząd Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa https://uodo.gov.pl/ e-mail: kancelaria@uodo.gov.pl
Na stronie internetowej subiektgt.chat stosujemy maksymalnie ograniczone użycie plików cookies. Główne narzędzie analityki, którego używamy (Plausible), nie używa cookies w ogóle — jest to świadoma decyzja prywatnościowa. Cookies pojawiają się wyłącznie tam, gdzie są technicznie niezbędne (sesje logowania, atrybucja partnerska, zapisany wybór zgody).
| Kategoria | Czy wymaga zgody? | Przykłady | Cel | Okres przechowywania |
|---|---|---|---|---|
| Niezbędne (essential) | Nie (zgodnie z art. 173 ust. 2 Prawa telekomunikacyjnego) | cookie_consent (Twój wybór), __stripe_* (Stripe Checkout — fraud detection), tokeny sesji magic link |
Funkcjonowanie Usługi — bez nich strona nie działa (logowanie, płatność) | 12 miesięcy (consent) / sesja (sesja logowania) / 1 godzina (magic link token) |
| Atrybucja partnerska | Nie (cookie funkcjonalne, niezbędne do prawidłowego przypisania prowizji partnerowi po kliknięciu linku ?ref=...) |
ref_partner |
Przypisanie zakupu do partnera po kliknięciu linku partnerskiego (program partnerski) | 60 dni od kliknięcia (tzw. cookie window) |
| Analityka strony (Plausible) | Nie (Plausible jest cookieless — nie używa cookies, nie zbiera danych osobowych w sensie RODO) | Brak cookies. Pageviews są agregowane po stronie serwera Plausible (Frankfurt) z anonimizacją adresów IP. | Pomiar ruchu na stronie, źródeł odwiedzin, popularnych podstron — wyłącznie zagregowane statystyki bez identyfikacji osób | Nie dotyczy (brak cookies). Dane na serwerze Plausible: agregaty przez 60 miesięcy. |
| Google Tag Manager | Nie (GTM sam w sobie jest neutralnym kontenerem tagów. W naszej konfiguracji GTM ładuje wyłącznie Plausible — żadnych tagów Google Analytics, Facebook Pixel, ani innych marketingowych.) | GTM nie ustawia własnych cookies. Zapisuje wyłącznie obiekt dataLayer w pamięci przeglądarki na czas sesji. |
Dostarczenie skryptu Plausible. Konfigurowanie eventów konwersji dla Plausible (trial_signup_click, demo_request, subscription_cancelled). |
Sesja przeglądarki (dataLayer nie jest persystowany) |
Plausible to europejska alternatywa dla Google Analytics założona w 2018 r. w Estonii. Działa inaczej niż większość narzędzi analitycznych:
Z tego powodu nasz baner cookies nie wymaga zgody na Plausible — jest to świadoma decyzja prywatnościowa idąca dalej niż standardowy opt-in.
cookie_consent.Dla domeny subiektgt.chat wdrożyliśmy pełen stack zabezpieczeń przeciw fałszowaniu adresów nadawcy (email spoofing / phishing):
mx.ovh.com) jako uprawnione do wysyłki w naszym imieniuresend._domainkey)p=quarantine; pct=25 oznacza, że e-maile rzekomo z @subiektgt.chat, które nie przechodzą weryfikacji SPF + DKIM, są traktowane przez Gmail/Outlook/Yahoo jako podejrzane (spam folder) z 25% próbkowaniem. Aggregate reports trafiają do administratora.Oznacza to, że jeśli otrzymasz e-mail rzekomo z domeny @subiektgt.chat, który wygląda podejrzanie (prośba o przelew, weryfikację hasła, dane karty itp.) — najprawdopodobniej jest to próba phishingu. Skontaktuj się z nami pod kontakt@subiektgt.chat w celu weryfikacji.
Stosujemy techniczne i organizacyjne środki bezpieczeństwa adekwatne do ryzyka:
secrets.token_urlsafe(32) dla tokenów jednorazowychW razie naruszenia ochrony danych osobowych, zgodnie z art. 33 RODO, zgłosimy ten fakt Prezesowi UODO w ciągu 72 godzin od momentu stwierdzenia naruszenia. Jeżeli naruszenie może powodować wysokie ryzyko dla praw i wolności osób, poinformujemy o tym również osoby, których dane dotyczą.
SubiektMCP jest niezależnym oprogramowaniem firmy Nikodem Rudziński, NIP 6932197547. Nie jesteśmy powiązani, afiliowani ani sponsorowani przez InsERT S.A. — producenta systemu Subiekt GT.
Nazwy "Subiekt", "Subiekt GT", "Sfera dla Subiekta GT" oraz "InsERT" są zarejestrowanymi znakami towarowymi InsERT S.A. z siedzibą we Wrocławiu i pozostają własnością InsERT S.A. Używamy ich w niniejszym dokumencie oraz w materiałach informacyjnych SubiektMCP wyłącznie w celach opisowych, dla wskazania kompatybilności naszego produktu z systemem Subiekt GT, zgodnie z doktryną tzw. nominative fair use (art. 156 ust. 1 pkt 1 ustawy Prawo własności przemysłowej).
Warunki korzystania z SubiektMCP: - Przed użyciem SubiektMCP Użytkownik musi posiadać osobną, ważną licencję na Subiekt GT oraz moduł Sfera dla Subiekta GT, zakupione bezpośrednio u InsERT S.A. lub u autoryzowanego partnera InsERT. - SubiektMCP nie dostarcza, nie odsprzedaje ani nie udziela jakichkolwiek praw do Subiekt GT, Sfera GT ani innych produktów InsERT S.A. - Wszystkie dane osobowe przetwarzane w ramach Subiekt GT podlegają odrębnej polityce prywatności producenta Subiekta — InsERT S.A. (https://www.insert.com.pl/).
SubiektMCP współpracuje z aplikacją Claude Desktop (produkt firmy Anthropic PBC) za pośrednictwem otwartego protokołu Model Context Protocol (MCP). SubiektMCP nie jest powiązany z Anthropic PBC stosunkiem zależności kapitałowej ani umowną afiliacją marketingową.
Nie podejmujemy wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych (w tym profilowaniu), które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały, w rozumieniu art. 22 RODO.
SubiektMCP nie wykorzystuje danych Użytkowników do trenowania modeli AI. Model językowy, z którego korzysta Użytkownik, jest dostarczany przez Anthropic PBC na warunkach Anthropic.
Zastrzegamy sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności. O istotnych zmianach powiadomimy:
Każda wersja dokumentu ma własny numer i datę wejścia w życie. Historia wersji dostępna jest pod adresem: https://subiektgt.chat/polityka-prywatnosci/archiwum (do uruchomienia).
W sprawach związanych z ochroną danych osobowych możesz kontaktować się z nami:
Odpowiemy na wszystkie zgłoszenia w terminie nie dłuższym niż 30 dni od ich otrzymania.
Niniejszy rozdział doprecyzowuje zasady przetwarzania danych w ramach subskrypcji newslettera SubiektMCP (formularz zapisu na subiektgt.chat oraz wiadomości wysyłane przez platformę Brevo). W sprawach nieuregulowanych w tym rozdziale obowiązują zasady ogólne z rozdziałów 1-16 niniejszej Polityki.
Newsletter SubiektMCP to osobna od samego produktu usługa świadczona przez Administratora drogą elektroniczną. Subskrypcja jest w pełni dobrowolna, niezależna od korzystania z aplikacji SubiektMCP i może zostać cofnięta w dowolnym momencie jednym kliknięciem.
| Cel | Podstawa prawna |
|---|---|
| Wysyłka wiadomości newslettera (welcome drip 14 dni + cykliczne wydania edukacyjne) | Art. 6 ust. 1 lit. a RODO (Twoja zgoda) oraz art. 10 ust. 2 ustawy o świadczeniu usług drogą elektroniczną (UŚUDE) |
| Marketing własnych produktów Administratora (SubiektMCP, wdrożenia Asystowane, Custom Deployments) | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w marketingu własnych usług) |
Segmentacja per persona (jedna z 11 grup ICP opisanych w subiektgt.chat/landings/*) dla lepszego dopasowania treści do branży subskrybenta | Art. 6 ust. 1 lit. f RODO |
| Pomiary statystyczne (open rate, click rate przez Brevo; anonimowy ruch przez Plausible) | Art. 6 ust. 1 lit. f RODO |
| Dowody udzielenia zgody (RODO accountability), ustalenie, dochodzenie i obrona ewentualnych roszczeń | Art. 6 ust. 1 lit. f RODO |
W ramach newslettera zbieramy:
open events), kliknięcia w linki (click events)Dane subskrybenta są powierzane następującym podmiotom przetwarzającym, z którymi Administrator ma zawarte umowy powierzenia (DPA) zgodne z art. 28 RODO:
| Procesor | Funkcja | Lokalizacja serwerów | Podstawa DPA |
|---|---|---|---|
| Brevo (Sendinblue SAS) | wysyłka maili, automation drip campaigns, hosting listy subskrybentów, statystyki open/click | Paryż, Francja (EOG) | DPA wbudowane w Terms of Service Brevo, akceptacja 2026-05-21 |
| Vercel Inc. | hosting strony subiektgt.chat oraz formularzy zapisu (HTTP API) | EOG (region Frankfurt) | DPA z Vercel TOS |
| Plausible Analytics | anonimowa analityka ruchu na stronie (cookieless, anonimizacja IP, brak fingerprinting) | Niemcy (EOG) | DPA z Plausible Standard Plan |
Dane subskrybenta newslettera nie są przekazywane poza Europejski Obszar Gospodarczy. Wszyscy trzej procesorzy operują wyłącznie na infrastrukturze w EOG.
| Status subskrypcji | Okres przechowywania | Podstawa |
|---|---|---|
| Aktywny subskrybent | Do momentu cofnięcia zgody | Zgoda |
Po wypisaniu (unsubscribe) | 3 lata od daty wypisania | Prawnie uzasadniony interes (dowody udzielenia zgody, RODO accountability, obrona przed ewentualnymi roszczeniami) |
| Po upływie 3 lat od wypisania | Trwałe usunięcie | Realizacja zasady minimalizacji danych (art. 5 ust. 1 lit. e RODO) |
Wszystkie prawa wymienione w § 8 niniejszej Polityki (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, cofnięcie zgody, skarga do PUODO) przysługują Ci również w odniesieniu do danych przetwarzanych w ramach newslettera.
Specyfika cofnięcia zgody dla newslettera:
nikodem@subiektgt.chat. Wypisanie w 1 dzień roboczy.Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.
Subskrybenci są przypisywani do jednej z 11 person (grup ICP) na podstawie:
source),Profilowanie nie prowadzi do decyzji wywołujących wobec subskrybenta skutków prawnych lub w podobny sposób istotnie na niego wpływających w rozumieniu art. 22 RODO. Profil służy wyłącznie do dobierania treści (np. case studies, prompty AI, artykuły branżowe) dopasowanych do branży subskrybenta.
Subskrybent może w każdej chwili poprosić o zmianę przypisanej persony lub o całkowite wyłączenie segmentacji wysyłając wiadomość na nikodem@subiektgt.chat.
subiektgt.chat: analityka Plausible, działa bez cookies marketingowych (cookieless), z anonimizacją IP i bez fingerprinting. Plausible nie wymaga zgody na cookies zgodnie ze stanowiskiem CNIL i ICO dla tej klasy narzędzi.| Zabezpieczenie | Realizacja |
|---|---|
| Szyfrowanie w tranzycie (subiektgt.chat → Brevo) | HTTPS / TLS 1.3 |
| Klucze API Brevo | Zmienne środowiskowe na Vercel, brak w repozytorium kodu |
| Szyfrowanie w spoczynku (Brevo) | AES-256, serwery EU, certyfikacje ISO 27001, SOC 2 Type II |
| Dostęp do listy subskrybentów | Wyłącznie Administrator (Nikodem Rudziński), uwierzytelnianie 2FA na koncie Brevo |
| SPF / DKIM / DMARC | Domain authenticated dla subiektgt.chat, sender verified w Brevo (status 2026-05-21) |
| Procedura w razie naruszenia danych | Zgodnie z art. 33 RODO: zgłoszenie do PUODO w 72h, powiadomienie subskrybenta jeśli wysokie ryzyko dla jego praw i wolności |
Istotne zmiany rozdziału 17 (np. dodanie nowego procesora, zmiana celu przetwarzania, zmiana okresu retencji) będą ogłaszane subskrybentom wiadomością e-mail co najmniej 14 dni przed wejściem w życie. Drobne korekty redakcyjne (literówki, formatowanie) publikujemy bez powiadomienia, ze wskazaniem zaktualizowanej daty u góry dokumentu. Każda wersja jest archiwizowana w historii git repozytorium produkcyjnego (github.com/dekoder12345/subiekt-mcp, ścieżka docs/legal/polityka-prywatnosci-v2.md).
Dokument obowiązuje od: 2026-04-11 Wersja dokumentu: 2.2 Sporządzono w języku polskim. W przypadku jakichkolwiek rozbieżności między wersją polską a tłumaczeniami, wersja polska jest wiążąca.