Polityka prywatności

Spis treści

1. Administrator danych
2. Definicje
3. Zakres zbieranych danych
4. Cele i podstawy prawne przetwarzania
5. Odbiorcy danych i podmioty przetwarzające
6. Okresy przechowywania danych
7. Twoje prawa
8. Bezpieczeństwo danych
9. Dane dzieci
10. Pliki cookie i podobne technologie
11. Profilowanie i zautomatyzowane decyzje
12. Naruszenia ochrony danych
13. Zmiany polityki
14. Kontakt

1. Administrator danych

Administratorem danych osobowych przetwarzanych w ramach platformy lucyboard (dalej „Serwis”) jest:

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD), ponieważ zgodnie z art. 37 RODO obowiązek taki nie znajduje do niego zastosowania. We wszystkich sprawach dotyczących przetwarzania danych osobowych można kontaktować się bezpośrednio z Administratorem pod wskazanym wyżej adresem e‑mail.

2. Definicje

• Użytkownik — osoba fizyczna posiadająca konto w Serwisie lub korzystająca z funkcji Serwisu na podstawie linku udostępnienia.
• Konto — zbiór danych identyfikujących Użytkownika w Serwisie, umożliwiający uwierzytelnienie i korzystanie z funkcji wymagających zalogowania.
• Tablica — cyfrowa przestrzeń robocza Użytkownika, na której tworzy on elementy (notatki, rysunki, kształty, teksty) samodzielnie lub wspólnie z innymi Użytkownikami.
• Załącznik — plik graficzny lub PDF przesłany przez Użytkownika i osadzony na tablicy.
• Treść — dowolne dane wprowadzone przez Użytkownika do Serwisu (elementy tablicy, komentarze, nazwy, opisy).
• Operator — osoba upoważniona przez Administratora do czynności administracyjnych i moderacyjnych w Serwisie (administrator firmy, superadministrator).
• Spotkanie — sesja audio/wideo prowadzona za pośrednictwem technologii WebRTC (LiveKit) w ramach Serwisu.

3. Zakres zbieranych danych

Serwis zbiera wyłącznie dane niezbędne do realizacji celów opisanych w punkcie 4. W szczególności przetwarzamy:

3.1. Dane konta

• Rejestracja przez formularz: imię, adres e‑mail, hasło (przechowywane wyłącznie w postaci skrótu utworzonego algorytmem bcrypt — nigdy w postaci jawnej).
• Logowanie przez Google (OAuth 2.0): identyfikator Google, adres e‑mail, imię, URL zdjęcia profilowego. Dane te są pobierane wyłącznie jeśli samodzielnie wybierzesz logowanie przez Google.
• Profil: opcjonalnie — awatar, preferencje interfejsu (tryb ciemny/jasny, język).

3.2. Treści tworzone przez Użytkownika

• Tablice, strony, elementy (kształty, teksty, notatki, rysunki odręczne, linki, osadzone treści).
• Załączniki — pliki graficzne i PDF wraz z metadanymi (nazwa oryginalna, typ MIME, rozmiar, suma kontrolna).
• Historia zmian na tablicy (do odtwarzania stanu i cofania operacji).
• Zaproszenia i członkostwa w tablicach, linki udostępnienia.

3.3. Dane spotkań (LiveKit)

• Transmisje audio/wideo uczestników spotkania są przekazywane w czasie rzeczywistym przez infrastrukturę LiveKit. Transmisje nie są rejestrowane ani utrwalane przez Serwis, chyba że użytkownik samodzielnie uruchomi nagrywanie — wówczas nagranie jest zapisywane zgodnie z ustawieniami tej funkcji i informacja o tym jest wyraźnie komunikowana wszystkim uczestnikom.
• Metadane spotkania: identyfikator pokoju, lista uczestników, znaczniki czasu dołączenia i opuszczenia, tryb transmisji (audio/wideo/ekran).

3.4. Dane techniczne i audytowe

• Adres IP oraz wersja przeglądarki (User‑Agent) zapisywane w chwili udzielenia zgody, logowania oraz istotnych działań bezpieczeństwa.
• Znaczniki czasu logowania, wylogowania, odświeżenia sesji.
• Logi zdarzeń bezpieczeństwa (nieudane próby logowania, próby dostępu bez uprawnień, zdarzenia rate‑limitingu).
• Logi działań moderacyjnych wykonanych przez Operatorów (identyfikator Operatora, przyczyna, notatka, znacznik czasu).

3.5. Historia zgód prawnych

• Wersja dokumentu (polityka prywatności, regulamin, polityka treści), data i źródło udzielenia zgody, IP oraz User‑Agent w chwili akceptacji.
• Każde ponowne udzielenie lub wycofanie zgody zapisywane jest jako nowy, niemodyfikowalny rekord audytowy.

Nie przetwarzamy świadomie danych szczególnej kategorii w rozumieniu art. 9 RODO (m.in. dane o pochodzeniu etnicznym, poglądach politycznych, przekonaniach religijnych, zdrowiu, orientacji seksualnej). Jeśli zamieścisz takie dane w treści tablicy z własnej inicjatywy, odbywa się to na Twoją odpowiedzialność i nie stanowi zlecenia przetwarzania danych szczególnych przez Administratora.

4. Cele i podstawy prawne przetwarzania

Test równowagi (dla przetwarzania opartego o art. 6 ust. 1 lit. f RODO): uzasadniony interes Administratora i innych Użytkowników (bezpieczeństwo, zgodność z prawem, ochrona przed nadużyciami) został przeważony nad prawami i wolnościami osób, których dane dotyczą, przy zastosowaniu środków minimalizacji (ograniczony zakres danych, krótkie okresy retencji, dostęp rolowy, rejestracja każdego działania moderacyjnego).

Podanie danych jest dobrowolne, jednak brak podania danych wymaganych przy rejestracji uniemożliwia zawarcie umowy o świadczenie usługi i korzystanie z funkcji wymagających zalogowania.

5. Odbiorcy danych i podmioty przetwarzające

Administrator nie sprzedaje danych osobowych i nie przekazuje ich podmiotom trzecim w celach marketingowych. Dane są powierzane wyłącznie podmiotom niezbędnym do świadczenia Serwisu, na podstawie umów powierzenia przetwarzania (art. 28 RODO):

• Dostawca hostingu / infrastruktury serwerowej — utrzymanie środowiska aplikacji, bazy danych PostgreSQL, Redis oraz serwera plików.
• Dostawca reverse proxy / CDN (np. Cloudflare) — terminacja TLS, ochrona przed atakami DDoS, przyspieszenie dostarczania zasobów statycznych.
• Google Ireland Ltd. / Google LLC — wyłącznie jeśli zdecydujesz się logować przez Google (OAuth). Zakres danych: identyfikator Google, e‑mail, imię, zdjęcie profilowe.
• Dostawca poczty transakcyjnej (SMTP/ESP) — wysyłka e‑maili operacyjnych (weryfikacja konta, reset hasła, powiadomienia systemowe).
• Dostawca infrastruktury WebRTC (LiveKit) — przekazywanie transmisji audio/wideo w czasie rzeczywistym w ramach funkcji spotkań. Transmisje nie są utrwalane przez dostawcę.
• Biuro rachunkowe / doradca prawny — wyłącznie w zakresie niezbędnym do realizacji obowiązków księgowych i prawnych ciążących na Administratorze.

Przekazywanie poza EOG: jeśli wybrany podmiot przetwarzający znajduje się poza Europejskim Obszarem Gospodarczym (np. część infrastruktury Google), przekazanie odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską lub na podstawie decyzji stwierdzającej odpowiedni stopień ochrony. Szczegóły dostępne są u Administratora na żądanie.

Dane mogą być także ujawnione organom państwowym (m.in. Policja, prokuratura, sądy) w zakresie i na podstawie uprawnień wynikających z obowiązujących przepisów.

6. Okresy przechowywania danych

7. Twoje prawa

Przysługują Ci następujące prawa wynikające z RODO:

• Prawo dostępu (art. 15 RODO) — uzyskania informacji, czy przetwarzamy Twoje dane, oraz kopii tych danych.
• Prawo do sprostowania (art. 16 RODO) — poprawienia danych nieprawidłowych lub uzupełnienia niekompletnych.
• Prawo do usunięcia — „prawo do bycia zapomnianym” (art. 17 RODO) — z zastrzeżeniem wyjątków (np. dokumentacja zgód jako dowód zgodnie z art. 17 ust. 3 lit. b RODO).
• Prawo do ograniczenia przetwarzania (art. 18 RODO) — zawieszenia przetwarzania w przypadkach wskazanych w RODO.
• Prawo do przenoszenia danych (art. 20 RODO) — otrzymania danych w ustrukturyzowanym formacie (JSON) oraz — o ile to technicznie możliwe — przesłania ich innemu administratorowi.
• Prawo do sprzeciwu (art. 21 RODO) — wobec przetwarzania opartego o uzasadniony interes (art. 6 ust. 1 lit. f RODO), w tym profilowania.
• Prawo do wycofania zgody (art. 7 ust. 3 RODO) — w każdej chwili, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania.
• Prawo skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00‑193 Warszawa, kancelaria@uodo.gov.pl.

Procedura realizacji praw: żądanie należy wysłać na adres kontakt@lucyboard.com z adresu e‑mail powiązanego z kontem (w razie wątpliwości możemy poprosić o dodatkowe potwierdzenie tożsamości, aby uniknąć ujawnienia danych osobie nieuprawnionej).

Udzielamy odpowiedzi bez zbędnej zwłoki, nie później niż w ciągu miesiąca (art. 12 ust. 3 RODO). W przypadku skomplikowanego żądania termin może zostać przedłużony o kolejne dwa miesiące — o czym poinformujemy wraz z uzasadnieniem. Realizacja jest bezpłatna; w przypadku żądań ewidentnie nieuzasadnionych lub nadmiernych (w szczególności ze względu na powtarzalność) możemy pobrać rozsądną opłatę lub odmówić podjęcia działań.

8. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka (art. 32 RODO):

• Szyfrowanie transportu — cała komunikacja pomiędzy przeglądarką a Serwisem chroniona jest TLS 1.2+; nagłówki bezpieczeństwa (HSTS, X‑Content‑Type‑Options, Referrer‑Policy) wymuszają bezpieczną transmisję.
• Hasła — przechowywane wyłącznie w postaci jednokierunkowego skrótu bcrypt z solą; hasła niespełniające polityki siły hasła są odrzucane.
• Uwierzytelnianie — tokeny JWT o ograniczonym czasie życia, transport przez httpOnly, SameSite=Lax, w środowisku produkcyjnym Secure cookies; mechanizm rate limiting ogranicza próby logowania z pojedynczego źródła.
• Zasada minimalizacji — zbieramy wyłącznie dane niezbędne do celu, a w logach stosujemy trunkowanie (np. User‑Agent ≤ 500 znaków).
• Kontrola dostępu — uprawnienia oparte o rolę (właściciel, członek tablicy, Operator), weryfikowane zarówno w guardach, jak i w serwisach; każde żądanie niezgodne z uprawnieniami jest rejestrowane.
• Sanityzacja treści użytkownika — HTML pochodzący od Użytkownika jest oczyszczany przed zapisem (ochrona przed atakami XSS).
• Kopie zapasowe — regularne szyfrowane kopie bazy danych i plików, przechowywane w lokalizacji oddzielnej od środowiska produkcyjnego.
• Audyt działań wrażliwych — wszystkie operacje moderacyjne (ukrycie, przywrócenie, trwałe usunięcie załącznika) są logowane wraz z identyfikatorem Operatora i przyczyną.
• Ograniczona dostępność plików — załączniki są dostępne wyłącznie dla uprawnionych Użytkowników (właściciel, członkowie, osoby z aktywnym linkiem udostępnienia). Operatorzy mają dostęp wyłącznie w zakresie moderacji i audytu, a każdy taki dostęp jest rejestrowany.

9. Dane dzieci

Serwis nie jest kierowany do osób poniżej 16. roku życia (art. 8 RODO). Nie zbieramy świadomie danych osobowych dzieci bez zgody opiekuna prawnego. Jeśli dowiemy się, że zebraliśmy dane dziecka bez takiej zgody, niezwłocznie je usuniemy. Opiekun prawny, który zauważył korzystanie z Serwisu przez dziecko, może zgłosić ten fakt na adres kontakt@lucyboard.com.

10. Pliki cookie i podobne technologie

Serwis wykorzystuje wyłącznie pliki cookie oraz pamięć lokalną przeglądarki niezbędne do prawidłowego funkcjonowania („cookies techniczne”):

• auth_token — httpOnly cookie zawierające token sesyjny JWT. Czas życia: do 7 dni.
• LocalStorage — preferencje interfejsu (tryb ciemny/jasny, ostatnio otwarta tablica), cache stanu aplikacji. Dane pozostają wyłącznie w Twojej przeglądarce i nie są przesyłane na serwer.
• SessionStorage — tymczasowe dane edytora tablicy (np. historia cofania), kasowane po zamknięciu karty.

Nie stosujemy plików cookie marketingowych, analitycznych stron trzecich, pikseli śledzących ani technologii fingerprintingu. Z tego powodu nie wyświetlamy oddzielnego bannera zgody na cookies — korzystanie z Serwisu w zakresie cookies technicznych odbywa się na podstawie art. 173 ust. 3 Prawa telekomunikacyjnego (cookies niezbędne do świadczenia usługi wyraźnie żądanej).

11. Profilowanie i zautomatyzowane decyzje

Nie stosujemy zautomatyzowanego podejmowania decyzji wywołujących wobec Ciebie skutki prawne ani istotnie na Ciebie wpływających w rozumieniu art. 22 RODO. Nie prowadzimy profilowania w celach marketingowych.

Automatyczne mechanizmy bezpieczeństwa (rate limiting, filtry antyspamowe, detekcja nietypowych wzorców logowania) mają charakter techniczny i obronny — ich zastosowanie nie skutkuje decyzjami dotyczącymi Twojej osoby, a wyłącznie chwilowym ograniczeniem określonych operacji. W każdym przypadku możesz zwrócić się do Administratora o weryfikację i interwencję człowieka.

12. Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych (art. 4 pkt 12 RODO) Administrator:

• w terminie 72 godzin od stwierdzenia naruszenia zgłasza je Prezesowi UODO (art. 33 RODO), o ile naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych;
• bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności (art. 34 RODO);
• prowadzi wewnętrzny rejestr naruszeń opisujący okoliczności, skutki i zastosowane środki zaradcze.

13. Zmiany polityki

Każda istotna zmiana niniejszej polityki skutkuje podniesieniem numeru wersji. Użytkownicy zalogowani zostają o niej poinformowani w interfejsie aplikacji i poproszeni o ponowne zapoznanie się z dokumentem. Dotychczasowa zgoda pozostaje w aktach audytowych — ponowna akceptacja tworzy nowy, odrębny rekord zgody.

Historia wersji:

• 2026-04-23 — bieżąca wersja: rozszerzenie o rejestr czynności przetwarzania, uszczegółowienie okresów retencji, dodanie klauzul dotyczących LiveKit, spotkań, logowania moderacji, naruszeń, dzieci oraz zautomatyzowanych decyzji.
• 2025-01-15 — wersja pierwotna.

14. Kontakt

Wszelkie pytania dotyczące ochrony danych osobowych, realizacji praw lub zgłoszenia naruszeń prosimy kierować na adres kontakt@lucyboard.com. Zgłoszenia dotyczące nadużyć treści i załączników — zgodnie z Polityką treści — mogą być kierowane na adres abuse@lucyboard.com.