Polityka prywatności

O ile nie zaznaczono inaczej, administratorem danych dla Usługi GetUp jest:

• Nazwa: AUTH LIMITED (AUTH LTD)
• Adres: Suite A, 82 James Carter Road, Mildenhall, England, IP28 7DE, United Kingdom
• Companies House: 17296846
• E-mail (DPO / ochrona danych): privacy@getup.dev
• Kontakt ogólny: support@getup.dev

Uwaga: w odniesieniu do danych dotyczących pracowników lub klientów firmy będącej klientem GetUp, to firma klienta jest administratorem danych; GetUp działa jako podmiot przetwarzający.

• Dane aktywnego konta: do usunięcia konta.
• Faktury i dokumentacja księgowa: 6 lat zgodnie z prawem podatkowym Zjednoczonego Królestwa.
• Logi logowania, zdarzenia bezpieczeństwa: 12 miesięcy.
• Korespondencja wsparcia: 24 miesiące.
• Podłączone aplikacje: klucze dostępu usuwamy 7 dni po ich wygaśnięciu lub wymianie, a zapis o odłączonej aplikacji 90 dni po odłączeniu. Propozycja zmiany, w sprawie której nikt nie podjął decyzji, wygasa po 7 dniach; propozycje usuwamy 90 dni po decyzji, wygaśnięciu lub wycofaniu. Zapis odczytów, propozycji i zmian aplikacji pozostaje w dzienniku aktywności przez 12 miesięcy.
• Po usunięciu konta: dane osobowe usuwane w ciągu 30 dni; dane objęte obowiązkiem ustawowym w zaszyfrowanym archiwum.

Korzystamy z następujących podmiotów przetwarzających. Z każdym obowiązuje lub zostanie zawarta umowa powierzenia zgodna z art. 28 RODO.

Transfer danych do dostawców w USA odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską i/lub EU-US Data Privacy Framework.

Aplikacje podłączone przez firmę. Firma może podłączyć do swojego konta GetUp asystenta AI, np. Claude (Anthropic, PBC), za pomocą konektora GetUp. Dopóki połączenie trwa, GetUp na każde żądanie aplikacji udostępnia jej do odczytu dane firmy przechowywane w GetUp, w tym zawarte w nich dane osobowe pracowników i klientów firmy. W zależności od poziomu wybranego przez firmę przy podłączaniu aplikacja może też proponować zmiany (zaproponowana zmiana zostaje wprowadzona dopiero wtedy, gdy zatwierdzi ją w GetUp osoba zalogowana na konto firmy) albo wprowadzać zmiany bezpośrednio (GetUp wprowadza je od razu na żądanie aplikacji). Usunięcie danych osobowych pracownika zawsze wymaga zatwierdzenia przez firmę w GetUp. GetUp robi to na polecenie firmy. Dostawca aplikacji nie jest naszym podmiotem przetwarzającym: otrzymuje dane jako odbiorca wybrany przez firmę i przetwarza je na podstawie własnej umowy z firmą.

Dla każdego połączenia przechowujemy nazwę i adres aplikacji, wybrany przez firmę poziom dostępu, datę połączenia i ostatniego użycia oraz wyłącznie skróty (hash) jej kluczy dostępu. Każdą zaproponowaną zmianę przechowujemy wraz z jej szczegółami (np. imieniem, nazwiskiem i danymi kontaktowymi nowego pracownika) oraz decyzją firmy. Każdy odczyt, każda propozycja, każda zmiana i każda decyzja są zapisywane w dzienniku aktywności firmy. Firma może w każdej chwili odłączyć aplikację na stronie Integracje; zmiana hasła firmy odłącza wszystkie aplikacje. Po odłączeniu aplikacji jej oczekujące propozycje zostają wycofane.

Zgodnie z RODO przysługują Ci następujące prawa:

• Dostęp (art. 15): kopia przetwarzanych danych.
• Sprostowanie (art. 16): poprawa niepoprawnych/niekompletnych danych.
• Usunięcie (art. 17): usunięcie danych w określonych przypadkach.
• Ograniczenie (art. 18): ograniczenie przetwarzania.
• Przenoszenie (art. 20): dane w ustrukturyzowanym, maszynowo czytelnym formacie.
• Sprzeciw (art. 21): sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu.
• Cofnięcie zgody: zatrzymanie przetwarzania opartego na zgodzie.
• Zautomatyzowane decyzje (art. 22): prawo niepodlegania wyłącznie zautomatyzowanym decyzjom.
• Skarga do UODO: uodo.gov.pl.

Aby skorzystać z praw, napisz na privacy@getup.dev. Odpowiadamy w ciągu 30 dni (do 60 dla złożonych wniosków, z powiadomieniem).

• Wszystkie dane w transmisji szyfrowane przez TLS (HTTPS).
• Dane w spoczynku (Supabase, Frankfurt) są domyślnie szyfrowane.
• Hasła hashowane bcrypt i szyfrowane sekretem serwera.
• Logowanie administratora wymaga 2FA (TOTP).
• Kontrola dostępu oparta na rolach; tokeny sesji podpisane HMAC-SHA256.
• Aplikacje podłączone do GetUp (np. Claude) są autoryzowane przez OAuth 2.1 z PKCE. W zależności od poziomu wybranego przez firmę mogą tylko odczytywać dane, także proponować zmiany zatwierdzane przez firmę w GetUp albo także wprowadzać zmiany bezpośrednio; usunięcie danych osobowych zawsze wymaga zatwierdzenia przez firmę w GetUp. Ich klucze dostępu przechowujemy wyłącznie jako skróty SHA-256.
• Regularne aktualizacje bezpieczeństwa i skany podatności zależności (CVE).
• Rejestrowane logi dostępu i aktywności.

Zgodnie z art. 33 RODO naruszenia zgłaszane są do UODO w ciągu 72 godzin od wykrycia. W przypadku wysokiego ryzyka dla użytkowników informujemy ich bezpośrednio (art. 34).

GetUp wykorzystuje technicznie niezbędne pliki cookie do obsługi sesji, bezpieczeństwa i preferencji (np. getup_session). Nie wymagają one zgody. Statystyki odsłon i wydajności pochodzą z Cloudflare Web Analytics, które nie używa plików cookie i nie śledzi pojedynczych odwiedzających. Można wyłączyć cookies w ustawieniach przeglądarki, ale Usługa nie działa bez niezbędnych plików cookie.

Usługa nie jest przeznaczona dla osób poniżej 16 roku życia. Nie zbieramy świadomie danych od osób poniżej 16 lat; takie dane są niezwłocznie usuwane po wykryciu.

Podmioty przetwarzające (Supabase, Cloudflare, Anthropic, OpenAI, Upstash, Stripe, Resend, Google) mają siedzibę w USA. Transfery opierają się na Standardowych Klauzulach Umownych (SCC). Baza danych i przesłane pliki są przechowywane w UE, we Frankfurcie.

Od czasu do czasu możemy aktualizować tę politykę. Istotne zmiany są ogłaszane e-mailem, a data „Ostatniej aktualizacji” na górze tej strony jest zmieniana.

Ochrona danych: privacy@getup.dev
Wsparcie ogólne: support@getup.dev