← Wróć do aplikacji

Polityka Prywatności i Cookies

AdRiser | workinflows.pl | obowiązuje od 19 marca 2026 r., zaktualizowano 21 lipca 2026 r.

1. Administrator danych

Administratorem danych osobowych jest Workin'Flows Adrian Krawczyk, ul. A. Szamarzewskiego 21/2, 60-514 Poznań, NIP: 9721365392, świadcząca usługę AdRiser dostępną pod adresem adriser.pl.

Kontakt w sprawach ochrony danych: [email protected]

2. Zakres zbieranych danych

W trakcie korzystania z aplikacji zbieramy następujące dane:

• Dane konta: adres e-mail, hasło (przechowywane w formie skrótu kryptograficznego Argon2id).
• Dane sprzedażowe Allegro: oferty, zamówienia, rozliczenia i prowizje, zwroty, oceny oraz sprawy. Dane te pobieramy za Twoją zgodą przez publiczne API Allegro na podstawie autoryzacji OAuth2.
• Dane kampanii reklamowych Allegro: usunięte 21 lipca 2026 r. Nie zbieramy ich i nie przechowujemy. Dane zebrane wcześniej przez wycofane Rozszerzenie Chrome (sekcja 8a) zostały trwale skasowane wraz z zakończeniem obsługi Allegro Ads.
• Tokeny OAuth2 Allegro: access token i refresh token do API Allegro, przechowywane w bazie danych z szyfrowaniem AES-256-GCM w celu pobierania danych sprzedażowych.
• Dane rozliczeniowe: historia płatności, plan subskrypcji.
• Dane techniczne: adresy IP (logi serwera), dane przeglądarki (User-Agent).
• Subskrypcje push: klucze Web Push do wysyłki powiadomień.

3. Cel i podstawa prawna przetwarzania

Cel	Podstawa prawna (RODO)
Świadczenie usługi analityki sprzedaży i optymalizacji ofert	Art. 6 ust. 1 lit. b. wykonanie umowy
Uwierzytelnianie użytkownika (JWT)	Art. 6 ust. 1 lit. b. wykonanie umowy
Wysyłka powiadomień push	Art. 6 ust. 1 lit. a. zgoda
Analiza AI danych sprzedażowych i ofert	Art. 6 ust. 1 lit. b. wykonanie umowy
Fakturowanie i rozliczenia	Art. 6 ust. 1 lit. c. obowiązek prawny
Bezpieczeństwo i zapobieganie nadużyciom	Art. 6 ust. 1 lit. f. prawnie uzasadniony interes

4. Przetwarzanie danych przez AI

Aplikacja oferuje funkcje analizy danych sprzedażowych i ofert oparte na modelu językowym AI uruchamianym w infrastrukturze Google Vertex AI. W ramach tych funkcji:

• Dane statystyczne Twojej sprzedaży i treści ofert są przekazywane do Google Vertex AI (region europe-west1) w celu generowania odpowiedzi.
• Nie przesyłamy danych osobowych (e-mail, dane rozliczeniowe) do modeli AI.
• Google przetwarza dane zgodnie z Data Processing Addendum Google Cloud.
• Możesz zrezygnować z funkcji AI w dowolnym momencie. nie wpłynie to na pozostałe funkcje aplikacji.

5. Udostępnianie danych podmiotom trzecim

Twoje dane nie są sprzedawane. Korzystamy z następujących podwykonawców:

• Google Cloud (Vertex AI, CloudSQL). hosting bazy danych i przetwarzanie AI.
• Stripe. obsługa płatności i wystawianie faktur VAT (dane karty płatniczej NIE trafiają do naszych serwerów).
• Allegro. OAuth2 API do pobierania danych sprzedażowych (za Twoją zgodą).
• Resend (Resend Inc., USA). wysyłka e-maili transakcyjnych (link logowania, reset hasła, potwierdzenie usunięcia konta).

5a. Transfer danych poza Europejski Obszar Gospodarczy (EOG)

Część podwykonawców ma siedzibę poza EOG (Stripe Inc., Resend Inc., Google LLC. USA). Transfer danych odbywa się na podstawie standardowych klauzul umownych (SCC) lub decyzji o adekwatności (EU-US Data Privacy Framework), zawartych w umowach powierzenia przetwarzania (DPA). Dane przetwarzane przez Vertex AI oraz CloudSQL są hostowane w regionie Unii Europejskiej (europe-west1).

6. Okres przechowywania danych

• Dane konta. przez cały czas trwania umowy + 30 dni po rozwiązaniu.
• Statystyki sprzedaży i ofert. do 90 dni (agregaty roczne przechowywane do 3 lat).
• Logi AI. do 30 dni.
• Tokeny Allegro. do momentu odłączenia konta lub wygaśnięcia.
• Dane rozliczeniowe (faktury, historia płatności). 6 lat (obowiązek prawny, Ordynacja podatkowa art. 112).

7. Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

• Dostęp do Twoich danych osobowych.
• Sprostowanie danych nieprawidłowych lub niekompletnych.
• Usunięcie danych („prawo do bycia zapomnianym").
• Ograniczenie przetwarzania.
• Przenoszenie danych w formacie JSON.
• Sprzeciw wobec przetwarzania na podstawie prawnie uzasadnionego interesu.
• Wycofanie zgody w dowolnym momencie (dotyczy powiadomień push, funkcji AI).

Aby skorzystać z praw, skontaktuj się: [email protected] lub pisemnie na adres: Workin'Flows Adrian Krawczyk, ul. A. Szamarzewskiego 21/2, 60-514 Poznań. Odpowiemy na Twoje żądanie (DSAR) w ciągu 30 dni od jego otrzymania (RODO art. 12 ust. 3). Masz też prawo złożyć skargę do Prezesa UODO (uodo.gov.pl).

8. Polityka Cookies i lokalne przechowywanie danych

AdRiser to aplikacja PWA (Progressive Web App). Nie używamy tradycyjnych plików cookie śledzących. Stosujemy wyłącznie technologie lokalne wymienione poniżej.

Używamy wyłącznie pliku cookie sesji (ads_token), który jest niezbędny do działania usługi uwierzytelniania. Cookie to nie wymaga zgody użytkownika w rozumieniu art. 173 ust. 3 ustawy Prawo telekomunikacyjne (cel wyłącznie techniczny, niezbędny do świadczenia usługi). Nie stosujemy cookies analitycznych, reklamowych ani śledzących.

Aplikacja PWA (przeglądarka / telefon):

Mechanizm	Cel	Czas życia
cookie httpOnly. ads_token (JWT)	Utrzymanie sesji użytkownika (cookie httpOnly, Secure, SameSite=Strict)	15 minut (odnawiany automatycznie przez refresh token)
pamięć RAM. refresh token	Odnawianie sesji JWT (przechowywany wyłącznie w pamięci modułu JS, nie zapisywany na dysku; rotowany przy każdym użyciu, hash SHA-256 w bazie)	Do zamknięcia karty / wylogowania
localStorage. extension-setup-done	Flaga historyczna po wycofanym rozszerzeniu Chrome (sekcja 8a). Usuwana przy wylogowaniu	Stały (do wylogowania)
localStorage. user-demo-mode	Flaga trybu demo	Do wylogowania
localStorage. plan-seen-done	Flaga jednorazowego wyświetlenia ekranu wyboru planu	Stały
IndexedDB. cache offline	Przechowywanie danych sprzedażowych, alertów i P&L do użytku offline (6 object stores: dashboard, campaigns, alerts, pl, meta, promos)	Do wylogowania / wyczyszczenia cache
Service Worker Cache	Cache zasobów PWA (pliki JS, CSS, obrazy). precache Workbox	Do aktualizacji aplikacji

8a. Rozszerzenie Chrome. wycofane

Z dniem 21 lipca 2026 r. Rozszerzenie Chrome „AdRiser by workinflows.pl" zostało wycofane i nie jest już elementem usługi. Nie pobiera danych, nie synchronizuje kampanii i nie wykonuje żadnych zmian na koncie Allegro. Jeśli masz je nadal zainstalowane, możesz je odinstalować.

Do 21 lipca 2026 r. rozszerzenie odczytywało dane kampanii reklamowych z panelu Allegro Ads (Sales Center) w Twojej zalogowanej sesji oraz zapisywało zmiany budżetu dziennego i stawki CPC na Twoje wyraźne żądanie. Zrezygnowaliśmy z tej metody, ponieważ Allegro nie udostępnia publicznego API dla kampanii reklamowych, a odczyt panelu nie ma oparcia w regulaminie Allegro. Nie chcemy narażać kont sprzedażowych naszych użytkowników.

Dane kampanii reklamowych zebrane tą drogą przed 21 lipca 2026 r. zostały trwale usunięte 21 lipca 2026 r. Nie przechowujemy ich w żadnej formie. Zachowane pozostały wyłącznie wpisy w rejestrze zdarzeń (audit log), którego nie możemy modyfikować ani skracać ze względu na obowiązek przechowywania dokumentacji przez 6 lat (Ordynacja podatkowa art. 86); nie zawierają one statystyk kampanii.

Obecnie AdRiser pobiera dane wyłącznie przez publiczne API Allegro na podstawie autoryzacji OAuth2 (oferty, zamówienia, rozliczenia, zwroty, oceny, sprawy). Nie korzystamy z wewnętrznych interfejsów panelu sprzedawcy ani z żadnych innych źródeł nieudostępnionych publicznie przez Allegro.

Nie używamy cookies reklamowych, analitycznych ani śledzących osób trzecich (brak Google Analytics, brak pikseli Meta, brak innych trackerów). Dane sprzedażowe nie są sprzedawane ani wykorzystywane do profilowania reklamowego.

9. Bezpieczeństwo

• Hasła są przechowywane jako skrót Argon2id (pamięcioodporny algorytm hashujący, salt 16 bajtów). Starsze hashe (scrypt, bcrypt) są automatycznie migrowane do Argon2id przy logowaniu.
• Tokeny OAuth2 Allegro szyfrowane algorytmem AES-256-GCM z dodatkowym pepperem.
• Komunikacja wyłącznie przez HTTPS/TLS.
• Tokeny JWT (access token) z czasem wygaśnięcia 15 minut, przechowywane w cookie httpOnly, Secure, SameSite=Strict.
• Refresh tokeny z rotacją przy każdym użyciu. w bazie przechowywany wyłącznie hash SHA-256 tokena.
• Ochrona przed atakami brute-force: rate limiting logowania (maksymalnie 5 prób na 15 minut z jednego adresu IP).
• Wszystkie endpointy danych (dashboard, kampanie, alerty, P&L) wymagają uwierzytelnienia JWT.
• Baza danych dostępna tylko z sieci wewnętrznej (CloudSQL, VPC).
• Content Security Policy i nagłówki bezpieczeństwa na serwerze Caddy.

10. Zmiany polityki

O istotnych zmianach w polityce prywatności poinformujemy e-mailem lub powiadomieniem push z wyprzedzeniem minimum 14 dni. Aktualna wersja jest zawsze dostępna pod adresem adriser.pl/privacy.html.