Polityka prywatności

Ta polityka opisuje, jakie dane przetwarzamy na stronie serwer-side.pl, w korespondencji z Tobą i w narzędziu Integrator danych reklamowych, po co to robimy i jakie masz prawa.

1. Administrator danych

Administratorem danych jest Mateusz Ławiak, ul. Święty Marcin 29 lok. 8, 61-806 Poznań, NIP 7872153451 (dalej: „my”).

We wszystkich sprawach dotyczących danych osobowych pisz na kontakt@serwer-side.pl. Nie wyznaczyliśmy inspektora ochrony danych, bo przepisy tego od nas nie wymagają.

2. Formularz kontaktowy i korespondencja

Gdy wysyłasz formularz na stronie Kontakt albo piszesz do nas e-mail, przetwarzamy imię, adres e-mail, adres Twojej strony, deklarowany budżet reklamowy i treść wiadomości.

Robimy to, żeby odpowiedzieć na zapytanie i przygotować ofertę na Twoją prośbę (art. 6 ust. 1 lit. b RODO), a dalszą korespondencję prowadzimy w naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO). Podanie danych jest dobrowolne, ale bez adresu e-mail nie mamy jak odpowiedzieć.

Korespondencję przechowujemy przez 12 miesięcy od ostatniego kontaktu. Jeśli zawrzemy umowę, dane przechowujemy przez czas jej trwania i do upływu terminów przedawnienia roszczeń oraz obowiązków podatkowych.

3. Pliki cookies i statystyki odwiedzin

Strona korzysta z plików cookies w dwóch celach.

Niezbędne. Platforma CookieYes zapisuje w pliku cookie Twoją decyzję o zgodach, żeby baner nie pojawiał się przy każdej wizycie. Bez tego pliku strona nie zapamięta wyboru.

Statystyki (wyłącznie za zgodą). Używamy Google Analytics 4, żeby wiedzieć, które treści są czytane i skąd przychodzą odwiedzający. Do czasu Twojej zgody narzędzie działa w trybie zgody Google (Consent Mode v2) z odmową, czyli nie zapisuje plików cookies analitycznych. Dane statystyczne przechodzą przez nasz serwer pod adresem serwer-side.pl/metrics, a stamtąd trafiają do Google. Google Analytics nie zapisuje w Unii Europejskiej adresów IP, a dane przechowujemy nie dłużej niż 14 miesięcy.

Podstawą jest Twoja zgoda (art. 6 ust. 1 lit. a RODO). Możesz ją w każdej chwili zmienić albo wycofać przyciskiem Ustawienia cookies w stopce strony. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Nie używamy na tej stronie pikseli reklamowych Meta ani tagów remarketingowych Google Ads.

4. Integrator danych reklamowych

Integrator (integrator.serwer-side.pl) to narzędzie dla firm, głównie agencji marketingowych, które łączy dane z kont reklamowych Meta (Facebook, Instagram) i Google Ads z oceną leadów przez handlowca i pokazuje, ile kosztuje zakwalifikowany klient z każdej reklamy.

4.1 Dane konta użytkownika

Przy zakładaniu konta przetwarzamy adres e-mail, imię i nazwisko (jeśli je podasz), przypisanie do przestrzeni roboczej i role, a także dane techniczne logowania. Jesteśmy ich administratorem. Osobie, która zawiera z nami umowę, świadczymy usługę na podstawie umowy (art. 6 ust. 1 lit. b RODO). Użytkownika zaproszonego przez klienta (na przykład pracownika agencji) nie łączy z nami umowa: jego adres e-mail i rolę dostajemy od Administratora przestrzeni, który go zaprasza, a przetwarzamy je w naszym i klienta prawnie uzasadnionym interesie, czyli żeby świadczyć usługę i zarządzać dostępem (art. 6 ust. 1 lit. f RODO).

Logowanie przez Google. Jeśli zakładasz konto albo logujesz się kontem Google, dostajemy od Google adres e-mail, imię i nazwisko oraz zdjęcie profilowe. Nie dostajemy dostępu do innych danych konta Google. To logowanie jest oddzielone od połączenia z Google Ads opisanego w punkcie 4.2.

Akceptacja dokumentów i zgody. Zapisujemy, kiedy i którą wersję Regulaminu zaakceptowałeś, oświadczenie o zapoznaniu się z tą polityką, oświadczenie, że konto zakłada firma, oraz decyzję o zgodzie marketingowej, razem z adresem IP i nazwą przeglądarki. Robimy to, żeby móc wykazać zawarcie umowy i treść zgód oraz bronić się przed roszczeniami (art. 6 ust. 1 lit. f RODO).

Dane do faktury i płatności. Gdy zamawiasz Plan, przetwarzamy nazwę firmy, NIP, adres, e-mail do faktur i status nabywcy, a także historię płatności. Dane karty i rachunku bankowego obsługują wyłącznie operatorzy płatności (Stripe, Przelewy24); my ich nie widzimy. Fakturę wystawiamy w systemie inFakt i, gdy przepisy tego wymagają, w Krajowym Systemie e-Faktur. Podstawą jest umowa i obowiązki podatkowe (art. 6 ust. 1 lit. b i c RODO).

Informacje marketingowe. Wiadomości o nowościach i ofertach wysyłamy wyłącznie za Twoją zgodą (art. 6 ust. 1 lit. a RODO i art. 398 ustawy Prawo komunikacji elektronicznej). Zgodę wycofasz w panelu (System → Dane i konto) albo linkiem w wiadomości.

4.2 Dane pobierane z Meta i Google

Pobieramy wyłącznie dane z kont reklamowych, stron i kont menedżera, które użytkownik sam wskaże po zalogowaniu przez Facebook albo Google:

• dane o kampaniach: nazwy i identyfikatory kampanii, zestawów reklam i reklam, budżety, statusy, koszty, wyświetlenia, kliknięcia, konwersje, słowa kluczowe i treść reklam (nagłówki, teksty, obrazy);
• leady z formularzy reklamowych (formularze błyskawiczne Meta, formularze Google) oraz ze strony internetowej klienta, w tym dane kontaktowe osób, które je wypełniły, jeśli użytkownik włączy pobieranie leadów;
• tokeny dostępu wydane przez Meta i Google, przechowywane w postaci zaszyfrowanej i używane wyłącznie przez serwer Integratora.

Nie pobieramy danych spoza wskazanych kont ani danych osobowych, które nie są potrzebne do raportowania.

4.3 Po co przetwarzamy te dane

Dane z kont reklamowych służą do tego, żeby:

• pokazać użytkownikowi raporty kosztów i wyników kampanii jego klientów;
• porównać wyniki kampanii z oceną leadów przez handlowca (koszt zakwalifikowanego leada);
• wysyłać codzienny skrót kampanii e-mailem i, jeśli użytkownik go włączy, na wskazany kanał Slack;
• wykonać w koncie reklamowym ograniczone działania, wyłącznie na wyraźne polecenie użytkownika (w rozmowie z asystentem AI albo kliknięciem w panelu): zmienić budżet dzienny kampanii (wzrost najwyżej o 20% w ciągu 24 godzin), wstrzymać kampanię, zestaw reklam albo reklamę, utworzyć nową kampanię jako wstrzymany szkic, a w Meta zmienić teksty reklamy, która się nie wyświetla. Pełny katalog i ograniczenia opisuje Regulamin, § 7. Integrator nie uruchamia, nie wznawia i nie usuwa kampanii. Każde takie działanie trafia do dziennika dostępnego dla użytkownika;
• pokazywać alerty ochrony budżetu: codziennie porównujemy wydatki zestawów reklam i kampanii z regułą ustawioną przez użytkownika. Alert jest tylko propozycją, a wstrzymanie wymaga kliknięcia człowieka.

4.4 Kto jest administratorem danych z leadów

Za dane osobowe z leadów i dane klientów agencji odpowiada agencja albo reklamodawca, który korzysta z Integratora. My przetwarzamy je w jego imieniu, jako podmiot przetwarzający, na zasadach powierzenia opisanych w Regulaminie. Jeśli zostawiłeś dane w formularzu reklamowym i chcesz z nich skorzystać (np. usunąć je), najszybciej zrobisz to u firmy, której reklamę widziałeś. Możesz też napisać do nas, a przekażemy wniosek dalej.

4.5 Czego nie robimy z danymi

• Nie sprzedajemy danych ani nie przekazujemy ich innym firmom do celów reklamowych, marketingowych ani do budowania profili.
• Nie używamy danych z Meta ani Google do trenowania modeli sztucznej inteligencji, ani własnych, ani cudzych.
• Nie łączymy danych jednego klienta z danymi innych klientów.

Dane trafiają do modelu językowego tylko w dwóch sytuacjach:

1. Codzienny skrót kampanii. Wyniki kampanii (nazwy kampanii i reklam, koszty, wskaźniki i ich odchylenia) przekazujemy usłudze Gemini API firmy Google, która pisze z nich opis słowny. W skrócie oznaczamy go jako wygenerowany przez AI. Nie przekazujemy danych osobowych z leadów. Korzystamy z płatnej wersji usługi, w której Google nie używa treści zapytań do trenowania ani ulepszania swoich modeli. Skrót można wyłączyć w panelu (System → Powiadomienia).
2. Asystent AI wybrany przez użytkownika. Gdy użytkownik sam podłączy model językowy do Integratora przez protokół MCP, model dostaje dane, o które zapyta w imieniu użytkownika. Dostawca modelu przetwarza je wtedy na warunkach umowy zawartej przez użytkownika.

Google: Korzystanie przez Integrator z informacji otrzymanych z interfejsów API Google i przekazywanie ich do innych aplikacji jest zgodne z Zasadami dotyczącymi danych użytkownika w usługach API Google, w tym z wymogami ograniczonego użytkowania (Limited Use).

Meta: Dane z platformy Meta przetwarzamy zgodnie z Warunkami platformy Meta (Meta Platform Terms) i wyłącznie w celach opisanych w punkcie 4.3.

4.6 Jak chronimy dane

Tokeny dostępu i dane kontaktowe z leadów szyfrujemy kopertowo, a klucze główne leżą w usłudze Google Cloud KMS w Warszawie. Dane każdej firmy są odizolowane w bazie danych regułami bezpieczeństwa na poziomie wierszy (Row-Level Security), więc jedna agencja nie zobaczy danych drugiej nawet przy błędzie w aplikacji. Dostęp modelu językowego wymaga osobnego klucza, który użytkownik może w każdej chwili odwołać, a prawo zmian w kontach reklamowych nadaje się osobnym połączeniem.

Baza danych działa w Irlandii (Unia Europejska), a serwer aplikacji w Niemczech. Infrastruktura Integratora podlega prawu Unii Europejskiej. Nie udostępniamy danych organom państw spoza EOG, chyba że wymaga tego prawo Unii lub państwa członkowskiego; tokeny i dane kontaktowe są szyfrowane w spoczynku, a klucze przechowujemy w Google Cloud KMS w Warszawie.

4.7 Jak długo przechowujemy dane Integratora

• dane o kosztach i wynikach kampanii oraz kopie surowych odpowiedzi API (bez danych kontaktowych): do 400 dni;
• dane kontaktowe z leadów: do 180 dni, potem usuwamy je automatycznie;
• dziennik działań w kontach reklamowych i zapis akceptacji dokumentów: przez czas korzystania z usługi, a po jej zakończeniu 3 lata od końca roku, w którym umowa wygasła (obrona przed roszczeniami); z dziennika usuwamy wtedy adresy e-mail osób;
• tokeny dostępu: do odłączenia konta albo usunięcia danych;
• faktury i dane płatności: do upływu okresu przedawnienia zobowiązania podatkowego, co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku;
• dane konta użytkownika: przez czas trwania umowy i do upływu terminów przedawnienia roszczeń;
• logi techniczne i bezpieczeństwa (adres IP, czas logowania, działania w panelu): do 12 miesięcy, w naszym prawnie uzasadnionym interesie, czyli dla bezpieczeństwa usługi (art. 6 ust. 1 lit. f RODO);
• po wniosku o usunięcie przestrzeni: 30 dni na pobranie eksportu, potem usuwamy dane przestrzeni, z wyjątkiem danych wymienionych wyżej, które przepisy każą przechowywać dłużej.

4.8 Google user data: sharing, transfer and disclosure (English)

This section describes how Integrator handles data received from Google APIs (Google user data).

Data we access. With the scope https://www.googleapis.com/auth/adwords Integrator accesses only the Google Ads accounts that the user selects after signing in with Google: account and campaign names, ad groups, ads and asset groups (ad texts and image addresses), keywords, daily performance metrics (impressions, clicks, cost, conversions), conversion action names, and campaign budgets and statuses.

How we use it. To show reports to the user and, only at the user’s explicit request, to change a campaign’s daily budget (at most +20% within 24 hours), pause a campaign or create a new campaign as a paused draft. Integrator never enables campaigns. If the user sets a budget protection rule, Integrator compares daily campaign costs with that rule and shows an alert in the dashboard; a campaign is paused only when the user clicks the button in the alert.

With whom we share, transfer or disclose Google user data. We do not sell Google user data and we do not share it with anyone for advertising, marketing or profiling. Google user data is disclosed only to:

• the user who connected the Google Ads account and the members of the same workspace in Integrator whom that user invited;
• our service providers, who process it on our behalf and only to run Integrator, under data processing agreements: Hetzner Online GmbH (application server, Germany), Supabase (database, Ireland), Cloudflare (secure connection to our server and storage of raw API responses), Google Cloud (encryption keys in Cloud KMS; the Gemini API receives campaign names and metrics to write the text of the daily summary, on a paid tier that does not use the data to train models), Resend (sending the daily summary e-mail) and Slack (only if the user connects their own Slack channel);
• the AI assistant that the user chooses to connect to Integrator through MCP (for example Claude by Anthropic): only the data the assistant requests on the user’s behalf, processed under the user’s own agreement with that provider;
• public authorities, when we are required to do so by law.

None of these recipients may use Google user data for advertising or to train artificial intelligence models.

Limited Use. Integrator’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Retention and deletion. Campaign data is kept for up to 400 days and access tokens until the account is disconnected. The user can revoke access at any time at myaccount.google.com/connections and can request deletion of all data by writing to kontakt@serwer-side.pl; we delete it within 30 days (see section 8).

5. Komu powierzamy dane

Odbiorców danych dzielimy na trzy grupy, bo każda przetwarza dane na innej podstawie.

a) Dalsze podmioty przetwarzające dane powierzone nam przez klientów Integratora (dane z leadów i dane klientów agencji, § 9 Regulaminu). Na te podmioty klient udziela ogólnej zgody w § 9 ust. 5 Regulaminu:

• Supabase: baza danych Integratora, region Irlandia;
• Hetzner Online GmbH: serwer aplikacji, Niemcy;
• Cloudflare: bezpieczne połączenie z serwerem Integratora oraz przechowywanie kopii surowych odpowiedzi API (kopie nie zawierają danych kontaktowych z leadów);
• Google Cloud KMS: klucze szyfrujące, region Warszawa (usługa nie przechowuje samych danych).

b) Podmioty przetwarzające dane, których jesteśmy administratorem (konta użytkowników, korespondencja, rozliczenia, strona):

• Supabase: logowanie do Integratora, region Irlandia;
• Resend: wysyłka e-maili z Integratora (zaproszenia, codzienny skrót bez danych z leadów), region Irlandia;
• Slack: wyłącznie gdy użytkownik sam wskaże swój kanał do codziennego skrótu;
• Google: Gemini API (opis codziennego skrótu, bez danych z leadów), Google Analytics (statystyki strony, za zgodą);
• Cloudflare: hosting strony serwer-side.pl;
• CookieYes: zarządzanie zgodami na pliki cookies;
• inFakt: system do wystawiania faktur i wysyłki ich do Krajowego Systemu e-Faktur;
• dostawca poczty e-mail i biuro rachunkowe, w zakresie korespondencji i rozliczeń.

c) Odrębni administratorzy:

• Stripe Payments Europe, Limited (Irlandia): płatności kartą i abonament odnawiany; administrator danych płatniczych w zakresie przepisów o usługach płatniczych i przeciwdziałaniu praniu pieniędzy;
• PayPro S.A. (Poznań), operator serwisu Przelewy24: płatności jednorazowe (BLIK, przelew); administrator w zakresie usług płatniczych.

Dane kont reklamowych wracają też do Meta i Google, gdy użytkownik zleci działanie w koncie reklamowym albo włączy przekazywanie ocen leadów do Meta (Conversions API).

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część naszych dostawców (Google, Cloudflare, Supabase, Resend, Slack, Stripe) to firmy z USA albo z nimi powiązane, więc dane mogą trafić poza EOG. Odbywa się to na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję. Kopię zabezpieczeń udostępnimy na prośbę wysłaną na kontakt@serwer-side.pl.

7. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia. Możesz wnieść sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie i w każdej chwili wycofać zgodę, jeśli to ona jest podstawą. Odpowiadamy w ciągu miesiąca.

Masz też prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne.

8. Usuwanie danych na żądanie

Ta instrukcja dotyczy danych pobranych przez Integrator z Meta i Google.

Odłączenie w Integratorze. W panelu, w zakładce Podłączone platformy, przycisk „Odłącz” przy połączeniu Meta albo Google cofa zgodę aplikacji u platformy, usuwa tokeny dostępu i kończy pobieranie danych. Możesz przy tym od razu usunąć pobrane dane tego połączenia. Zgodę cofniesz też w ustawieniach Facebooka (Ustawienia i prywatność → Ustawienia → Aplikacje i witryny) albo konta Google (Zarządzaj kontem Google → Bezpieczeństwo → Połączenia z aplikacjami i usługami innych firm).

Eksport i usunięcie w panelu. W zakładce System → Dane i konto Administrator pobierze eksport danych przestrzeni (pliki CSV), a właściciel złoży wniosek o usunięcie przestrzeni: po 30 dniach usuwamy jej dane. Tam też usuniesz własne konto.

Wniosek o usunięcie danych. Napisz na kontakt@serwer-side.pl z tematem „Usunięcie danych Integratora” i podaj adres e-mail konta w Integratorze albo identyfikator konta reklamowego. W ciągu 30 dni usuniemy tokeny dostępu, dane kampanii, leady i kopie surowe i potwierdzimy to mailowo.

Jeśli wniosek składa osoba, której dane są w leadzie, przekażemy go administratorowi (agencji albo reklamodawcy) i usuniemy dane na jego polecenie.

9. Zmiany polityki

Gdy zmienimy sposób przetwarzania danych, zaktualizujemy tę stronę i datę na górze. O istotnych zmianach dotyczących Integratora poinformujemy użytkowników e-mailem.