Privacy Policy · GDPR + CCPA/CPRA + UK GDPR + FADP
Polityka Prywatności
Administrator danych / Data Controller
Współadministratorzy / Joint Controllers w rozumieniu Art. 26 RODO:
- Aidvocates, Inc. (USA) — 136 Madison Avenue, New York, NY 10016, Delaware File No: 10564433 | EIN: 36-5174390
- Aidvocates Group sp. z o.o. (UE) — ul. Hutnicza 6, 40-241 Katowice, KRS 0001219549, NIP 9542903306
W zakresie przetwarzania danych osobowych Klientów z Europejskiego Obszaru Gospodarczego ("EOG") głównym punktem kontaktowym jest Aidvocates Group sp. z o.o., który działa jako podmiot kierujący działaniami przetwarzania.
Kontakt prawny: legal@legaion.com
Wsparcie: support@aidvocates.com
Zakres polityki / Scope
Polityka opisuje, jak LEGAION przetwarza dane osobowe użytkowników strony legaion.com, użytkowników Platformy oraz osób, których dane są przetwarzane w ramach świadczenia usługi na rzecz Klientów-administratorów (kancelarii, działów prawnych, korporacji).
Polityka jest skierowana do osób fizycznych z EOG (RODO), Wielkiej Brytanii (UK GDPR + DPA 2018), USA (CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA i inne stanowe) oraz Szwajcarii (FADP). Postanowienia szczególne dla każdej jurysdykcji znajdują się w sekcjach 12–14.
Jakie dane przetwarzamy / Categories of data
3.1Dane konta użytkownika
imię i nazwisko, adres e-mail, numer telefonu, stanowisko, organizacja, identyfikator zawodowy (np. nr wpisu na listę adwokatów/radców prawnych), hash hasła, ustawienia konta, preferencje językowe, MFA tokeny.
3.2Dane rozliczeniowe
karty płatnicze (Stripe), historia transakcji, faktury.
3.3Dane techniczne i logi
adres IP, identyfikator urządzenia, typ przeglądarki, system operacyjny, identyfikatory sesji, znacznik czasu, ścieżki nawigacji, identyfikator zaufanego urządzenia (Trusted Device).
3.4Treści wprowadzane do Platformy (Customer Data)
dokumenty prawne, kontrakty, pisma procesowe, opisy spraw, dane klientów Klienta. Mogą zawierać dane osobowe osób trzecich, w tym dane szczególnych kategorii (Art. 9 RODO). Klient pełni rolę administratora; LEGAION działa jako podmiot przetwarzający — szczegóły w DPA.
3.5Dane komunikacji
treść wiadomości w module Messenger (zaszyfrowana E2E), zgłoszenia do supportu, ankiety satysfakcji.
3.6Dane analityczne (cookies)
identyfikatory cookies, stron docelowych, źródeł ruchu — szczegóły w Polityce Cookies.
3.7Dane biometryczne
Nie przetwarzamy danych biometrycznych ani genetycznych w rozumieniu Art. 9 RODO.
Cele i podstawy prawne / Purposes & legal bases
| Cel przetwarzania | Podstawa prawna | Okres przechowywania |
|---|---|---|
| Świadczenie usługi platformy | Art. 6(1)(b) — wykonanie umowy | Czas obowiązywania umowy + 30 dni okno eksportu |
| Rozliczenia, faktury | Art. 6(1)(c) — obowiązek prawny (ust. o rachunkowości) | 5 lat od końca roku obrachunkowego |
| Wsparcie techniczne | Art. 6(1)(b), 6(1)(f) | 3 lata od ostatniego kontaktu |
| Bezpieczeństwo, wykrywanie oszustw | Art. 6(1)(f) | 12 miesięcy logów dostępu |
| Marketing własnych usług do klientów | Art. 6(1)(f) | Do wycofania zgody/sprzeciwu |
| Newsletter, marketing nowych klientów | Art. 6(1)(a) — zgoda | Do wycofania zgody |
| Cookies analityczne i marketingowe | Art. 6(1)(a) — zgoda | 12 miesięcy |
| Spełnienie obowiązków prawnych (sankcje, OFAC, KYC) | Art. 6(1)(c) | 5–10 lat |
| Dochodzenie i obrona roszczeń | Art. 6(1)(f) | 6 lat (PL k.c.) |
| Trening modeli AI na danych Klienta | NIE — bez wyraźnej zgody w Order Form | n/d |
Customer Data wprowadzane do Platformy przetwarzamy wyłącznie na polecenie Klienta-administratora (Art. 28 RODO) — szczegóły w DPA.
Odbiorcy danych / Recipients
5.1Personel
upoważnieni pracownicy i współpracownicy Aidvocates, Inc. oraz Aidvocates Group sp. z o.o., zobowiązani umownie do poufności i przeszkoleni z RODO.
5.2Subprocesorzy / Sub-processors
aktualna lista pod adresem /subprocessors. Każdy subprocesor związany jest analogicznymi obowiązkami ochrony danych (Art. 28 ust. 4 RODO).
5.3Organy publiczne
w zakresie wymaganym prawem — wyłącznie po weryfikacji podstawy prawnej żądania.
Transfery międzynarodowe / International transfers
6.1Lokalizacja danych — EU-only by default
Hosted entirely in the EU. Dane Klienta — w tym dokumenty, prompts, outputy AI, logi audytowe oraz kopie zapasowe — są przechowywane i przetwarzane wyłącznie w Europejskim Obszarze Gospodarczym (EOG). Żadne dane Klienta nie opuszczają EOG.
Stos infrastrukturalny EU-only:
- OVHcloud SAS (Roubaix / Gravelines / Strasbourg, Francja) — primary sovereign hosting (compute, storage, bazy danych)
- Microsoft Azure OpenAI Service — EU Data Boundary (Frankfurt, Madryt, Paryż) — inferencja modeli językowych w regionach EU
- AWS Bedrock — Anthropic Claude (regiony EU) (eu-central-1 Frankfurt, eu-west-3 Paryż, eu-west-1 Irlandia) — inferencja modeli reasoning
- Google Gemini API — europe-west endpoints — inferencja w regionach EU
Dane konta administracyjnego (billing, fakturowanie) mogą być przetwarzane przez Aidvocates, Inc. (Delaware, USA) jako współadministratora wyłącznie w zakresie niezbędnym do rozliczenia subskrypcji — bez dostępu do treści Klienta (zero-knowledge architecture).
6.2Mechanizmy transferu (wyjątki ograniczone do billingu)
Dla danych treściowych (dokumenty, AI outputs, audit logs) nie występują transfery poza EOG. Dla ograniczonego zakresu danych billingowych przekazywanych do Aidvocates, Inc. (USA) i procesora płatności Stripe, Inc. (USA) stosujemy:
- Standardowe Klauzule Umowne (SCC) Komisji Europejskiej (Decyzja 2021/914) wraz z Transfer Impact Assessment (TIA) zgodnie z wytycznymi EROD 01/2020
- EU-U.S. Data Privacy Framework (DPF) dla certyfikowanych odbiorców (Stripe, Inc.; Aidvocates, Inc. — w trakcie certyfikacji)
- DPA z Microsoft Corporation oraz Amazon Web Services EMEA SARL z gwarancją EU Data Boundary i zerowej retencji danych Klienta dla celów trenowania modeli
- środki uzupełniające (E2EE AES-256-GCM, TLS 1.3, zero-retention API, kontrola dostępu, klucze szyfrujące w EU)
6.3Kopia zabezpieczeń transferu
Kopia SCC oraz aktualna lista subprocessorów dostępne na żądanie pod dpo@aidvocates.com oraz na stronie /subprocessors.
Prawa osób, których dane dotyczą / Data Subject Rights
Zgodnie z Art. 15-22 RODO, Klient z EOG ma prawo do:
- dostępu (Art. 15) — uzyskania kopii swoich danych
- sprostowania (Art. 16)
- usunięcia / "prawo do bycia zapomnianym" (Art. 17)
- ograniczenia przetwarzania (Art. 18)
- przenoszenia danych (Art. 20)
- sprzeciwu (Art. 21)
- niepodlegania zautomatyzowanym decyzjom (Art. 22)
- wycofania zgody (Art. 7 ust. 3) — bez wpływu na wcześniejsze przetwarzanie
- skargi do organu nadzorczego (Art. 77)
Okresy przechowywania / Retention periods
| Kategoria danych | Okres retencji |
|---|---|
| Dane konta aktywnego użytkownika | Do zamknięcia konta |
| Dane konta po zamknięciu | 30 dni okno eksportu, następnie usunięcie |
| Dane rozliczeniowe (faktury) | 5 lat (PL ustawa o rachunkowości) |
| Logi inferencji AI | Zero-retention (usuwane natychmiast) |
| Logi bezpieczeństwa | 12 miesięcy |
| Dane wsparcia technicznego | 3 lata od ostatniego kontaktu |
| Dane marketingowe | Do wycofania zgody / sprzeciwu |
| Newsletter | Do wycofania zgody |
| Dane do dochodzenia roszczeń | 6 lat od końca roku, w którym roszczenie powstało |
Po upływie terminu retencji dane są nieodwracalnie usuwane lub poddawane anonimizacji.
Bezpieczeństwo / Security
Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka (Art. 32 RODO):
- szyfrowanie w spoczynku AES-256-GCM, w tranzycie TLS 1.3
- end-to-end encryption dla modułu Messenger
- MFA dla wszystkich kont (TOTP/WebAuthn) + Trusted Devices
- zero-trust architecture, segmentacja sieci, IDS/IPS, 24/7 SOC
- vulnerability management — łatanie krytycznych CVSS w 24h
- coroczne testy penetracyjne (raport pod NDA)
- RPO ≤ 1h, RTO ≤ 4h, backup 3-2-1 w EOG
- framework kontroli wewnętrznych zgodny z SOC 2 Type II i ISO/IEC 27001:2022 (formalna certyfikacja zaplanowana 2026); NIS2 — w trakcie oceny
Cookies
Stosujemy cookies w 4 kategoriach: Strictly Necessary, Functional, Analytics i Marketing. Pełne informacje: /cookies.
- Strictly Necessary — bez zgody (Art. 5 ust. 3 zd. 2 ePrivacy)
- Functional — preferencje, layout, jasny/ciemny tryb
- Analytics — Plausible/Matomo (EU-hosted, privacy-friendly)
- Marketing — za zgodą, jeśli włączone (LinkedIn Insight, Meta Pixel)
Zautomatyzowane decyzje i AI / Automated decisions & AI
11.1Brak decyzji prawnych w pełni zautomatyzowanych
LEGAION nie podejmuje decyzji wywołujących skutki prawne dla podmiotów danych w rozumieniu Art. 22 RODO. Wyniki AI (Predict, Verifier Engine, Sentinel, Cross-Border Shield) są wsparciem decyzyjnym dla licencjonowanego prawnika — ostateczna decyzja należy do człowieka.
11.2Notyfikacja AI Act (Art. 50)
Korzystając z Platformy, użytkownik wchodzi w interakcję z systemami AI. Otrzymuje pełną dokumentację techniczną, audit trail i mechanizmy nadzoru ludzkiego (Art. 14 EU AI Act). Szczegóły: AI Transparency Notice.
11.3Brak treningu na danych Klienta
Nie wykorzystujemy danych Klienta do trenowania modeli AI bez wyraźnej, odrębnej zgody w Order Form. API zewnętrzne (OpenAI, Google) wywoływane są w trybie zero-retention.
Postanowienia szczegółowe — USA (CCPA / CPRA)
12.1Status
W zakresie Personal Information mieszkańców Kalifornii LEGAION działa jako Service Provider (CCPA §1798.140(ag)) na rzecz Klienta-Business.
12.2Prawa konsumenta
- Right to know (§§1798.100, .110, .115)
- Right to delete (§1798.105)
- Right to correct (§1798.106)
- Right to non-discrimination (§1798.125)
- Right to opt-out from Sale/Share (§§1798.120, .135)
- Right to limit Sensitive Personal Information (§1798.121)
- Right to portability (§1798.100(d))
Wniosek: dpo@legaion.com lub /dsar. Czas odpowiedzi: 45 dni (możliwe przedłużenie o 45 dni).
12.3Authorized Agent
Mieszkaniec Kalifornii może wyznaczyć pełnomocnika (authorized agent) zgodnie z §1798.140(b).
Postanowienia szczegółowe — Wielka Brytania (UK GDPR)
W zakresie przetwarzania danych mieszkańców UK stosujemy UK GDPR oraz Data Protection Act 2018. Organ nadzorczy: Information Commissioner's Office (ICO) — ico.org.uk. Transfery do EOG i USA odbywają się na podstawie UK IDTA lub UK Addendum do SCC.
Postanowienia szczegółowe — Szwajcaria (FADP)
W zakresie mieszkańców Szwajcarii stosujemy revised Federal Act on Data Protection (FADP) — w mocy od 1 września 2023. Organ nadzorczy: Federal Data Protection and Information Commissioner (FDPIC). Transfery do USA — na podstawie Swiss-US DPF lub SCC.
Naruszenia danych / Data breaches
W razie naruszenia ochrony danych powiadamiamy organ nadzorczy w ciągu 72 godzin (Art. 33 RODO). Klientów-Administratorów powiadamiamy w terminie 48 godzin od stwierdzenia naruszenia, by umożliwić im spełnienie własnych obowiązków notyfikacyjnych.
Zmiany polityki / Changes
Politykę aktualizujemy w razie potrzeby. Istotne zmiany komunikujemy na 30 dni przed wejściem w życie:
- e-mailem do zarejestrowanych użytkowników
- bannerem na stronie internetowej
- wpisem w panelu użytkownika
Kontynuacja korzystania z Platformy po wejściu w życie zmian oznacza akceptację zaktualizowanej Polityki.
Kontakt / Contact
Organ nadzorczy (PL): Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, kancelaria@uodo.gov.pl, tel. +48 22 531 03 00.
Aidvocates, Inc. (Delaware, USA) · Aidvocates Group sp. z o.o. (Katowice, PL) · Confidential