Polityka prywatności HUBAL

1. Administrator danych

Administratorem Twoich danych osobowych jest ANTONI SUROWIAK EMA STUDIO (jednoosobowa działalność gospodarcza), ul. Westerplatte 6, 38-200 Jasło, NIP 6852286869, REGON 383714040 (dalej: „HUBAL", „my").

Kontakt w sprawach danych osobowych: privacy@hubal-project.com. Nie wyznaczyliśmy Inspektora Ochrony Danych — we wszystkich sprawach dotyczących danych możesz pisać na powyższy adres.

2. Czego dotyczy ta Polityka i w jakiej roli działamy

HUBAL to platforma SaaS do zarządzania projektami (web + aplikacja mobilna Android). W zależności od danych występujemy w dwóch rolach:

• Jako administrator — dla danych, którymi zarządzamy we własnym celu: konto i logowanie, rozliczenia, kontakt, bezpieczeństwo i rozwój usługi, dane osób odwiedzających naszą stronę. Tej części dotyczy niniejsza Polityka.
• Jako podmiot przetwarzający (procesor) — dla treści, które Twoja organizacja wprowadza do platformy (projekty, dokumenty, dane finansowe, dane pracowników, korespondencja, czaty). Wtedy administratorem jest Twoja organizacja, a my przetwarzamy te dane na jej polecenie, na zasadach umowy powierzenia (DPA). Jeśli Twoje dane trafiły do HUBAL przez organizację (np. pracodawcę/zleceniodawcę), w sprawie tych danych zwróć się najpierw do tej organizacji.

3. Jakie dane przetwarzamy

• Dane konta i logowania: imię/nazwa, adres e-mail, nazwa organizacji, hash hasła, zdjęcie profilowe; przy logowaniu przez Google/Microsoft — podstawowe dane profilu (e-mail, imię).
• Dane rozliczeniowe: NIP, adres, plan i historia subskrypcji, dane płatności obsługiwane przez operatora płatności (nie przechowujemy pełnych danych karty).
• Dane techniczne: adres IP, typ urządzenia i przeglądarki, logi aktywności i bezpieczeństwa, identyfikatory urządzenia, tokeny powiadomień push (FCM).
• Treści projektowe: projekty, zadania, harmonogramy, dokumenty (m.in. PDF, DXF, DOCX), pliki, komentarze, notatki, baza wiedzy.
• Dane finansowe projektów: budżety, faktury, stawki, marże, wskaźniki rentowności.
• Dane kadrowe i czasu pracy: profile pracowników, ewidencja i obłożenie czasu pracy, alerty wydajności, wnioski urlopowe — najczęściej dotyczą pracowników naszych klientów (organizacja jest administratorem).
• Poczta (funkcja skrzynki): dane logowania do Twoich skrzynek IMAP/SMTP oraz tokeny OAuth (Microsoft/Google), treść i metadane e-maili, załączniki, kontakty.
• Komunikacja: wiadomości w czacie zespołowym, zgłoszenia do wsparcia.
• Pamięć asystenta AI: zapamiętane zobowiązania, terminy i streszczenia (m.in. wyciągane z korespondencji).
• Dane głosowe: strumień audio z mikrofonu, gdy korzystasz z asystenta głosowego.
• Zdjęcia: obrazy z aparatu/galerii, gdy dodasz je w aplikacji.
• Kalendarz: wydarzenia tworzone/odczytywane przy integracji z Google Calendar.

4. Cele i podstawy prawne (art. 6 RODO)

Tam, gdzie opieramy się na uzasadnionym interesie, przeprowadziliśmy ocenę równowagi interesów (możesz poprosić o jej podsumowanie).

5. Okresy przechowywania

6. Odbiorcy i podmioty przetwarzające (podprocesorzy)

Korzystamy z zaufanych dostawców działających na nasze polecenie (umowy powierzenia, art. 28) lub jako odrębni administratorzy w swoim zakresie. Aktualną listę podprocesorów udostępniamy na żądanie.

Danych nie sprzedajemy ani nie udostępniamy w celach reklamy międzywitrynowej.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Twoje dane są przechowywane w Unii Europejskiej (Google Cloud, region europe-central2 w Warszawie). Niektóre operacje wiążą się jednak z transferem do USA:

• funkcja asystenta głosowego — strumień audio przetwarzany przez Google (Gemini Live) w regionie us-central1 (USA);
• funkcje analityczne AI i „Multi-AI" — Anthropic (USA), gdy korzystają z modeli Anthropic;
• wysyłka e-maili platformy (powiadomienia, weryfikacje) — Resend (USA);
• wyszukiwanie internetowe asystenta AI — Brave Search (USA);
• obsługa płatności i faktur — Paddle (Wielka Brytania);
• Google LLC jako podmiot z grupy w USA.

Transfery te opieramy na: decyzji Komisji Europejskiej o adekwatności — dla USA w ramach EU-US Data Privacy Framework (dostawcy certyfikowani, m.in. Google), a dla Wielkiej Brytanii na podstawie decyzji adekwatności KE dla UK (2021) (Paddle) — oraz na standardowych klauzulach umownych (SCC) wraz z dodatkowymi zabezpieczeniami. Kopię zabezpieczeń możesz uzyskać, pisząc na adres z pkt 1. Nie opieramy transferów na nieważnym mechanizmie „Privacy Shield".

8. Bezpieczeństwo danych

• Szyfrowanie w tranzycie: TLS 1.3 dla całej komunikacji.
• Szyfrowanie w spoczynku (at-rest) — dwie warstwy: (1) cała baza danych i magazyn plików są szyfrowane AES-256 po stronie infrastruktury Google Cloud, kluczami zarządzanymi przez Google; (2) dodatkowo wybrane dane wrażliwe szyfrujemy w warstwie aplikacji (AES-256-GCM) kluczem Twojej organizacji, chronionym naszym kluczem głównym w Google Cloud KMS — obejmuje to treść wiadomości e-mail wraz z ich streszczeniami AI, nazwy projektów, treść notatek, profil finansowy, dane z faktur oraz fragmenty dokumentów wykorzystywane przez AI. Część pól szyfrujemy bezpośrednio przy zapisie, a pozostałe w ułamku sekundy po zapisie (serwerowy mechanizm doszyfrowywania). Dane logowania do Twoich skrzynek pocztowych są szyfrowane odrębnym kluczem po stronie usługi pocztowej.
• Kontrola dostępu: ograniczenia uprawnień, uwierzytelnianie dwuskładnikowe dla personelu administracyjnego platformy, monitoring.
• Dostęp personelu: w uzasadnionych przypadkach (wsparcie techniczne, bezpieczeństwo, diagnostyka) uprawniony personel HUBAL może uzyskać dostęp do treści — w minimalnym niezbędnym zakresie, na zasadach umowy powierzenia i z zapisem takiego dostępu (kto, kiedy, w jakim celu).
• Uczciwie: HUBAL nie stosuje szyfrowania „end-to-end / zero-knowledge" — przy modelu z kluczami po naszej stronie posiadamy techniczną możliwość odszyfrowania danych w powyższych, kontrolowanych przypadkach. Nie twierdzimy inaczej.

9. Integracje

• Logowanie Google / Microsoft: zakres podstawowy (e-mail, profil) do utworzenia/uwierzytelnienia konta.
• Google Calendar: za Twoją zgodą tworzymy/odczytujemy wydarzenia odpowiadające zadaniom; nie czytamy treści prywatnych wydarzeń poza tytułem/czasem; nie przechowujemy kopii kalendarza. Korzystanie z danych Google odbywa się zgodnie z Google API Services User Data Policy, w tym wymogami Limited Use.
• Poczta (IMAP/SMTP + Microsoft 365): aby obsłużyć Twoją skrzynkę, przechowujemy — w postaci zaszyfrowanej — dane logowania lub tokeny OAuth oraz treść/metadane e-maili. Dostęp do skrzynki możesz w każdej chwili odłączyć.
• Zewnętrzni asystenci AI (MCP): jeśli podłączysz do HUBAL-a własnego asystenta (np. Claude, ChatGPT, Cursor), to na Twoje polecenie pobiera on z Platformy dane, o które pyta, i przekazuje je swojemu dostawcy na podstawie Twojej umowy z tym dostawcą — HUBAL nie jest stroną tej umowy i nie kontroluje dalszego przetwarzania. Połączenie wymaga Twojej zgody w Platformie; listę połączeń i przycisk odłączenia znajdziesz w Ustawienia → Integracje. O każdym połączeniu zapisujemy identyfikator klienta, czas i statystyki liczby wywołań (bez treści zapytań).
• Asystent AI: patrz pkt 10.

10. Sztuczna inteligencja (AI)

• Co wysyłamy i do kogo: aby zrealizować Twoje zapytanie, przekazujemy do dostawcy AI niezbędny kontekst — tekst zapytania, fragmenty treści projektu/dokumentów, a przy asystencie głosowym strumień audio, przy funkcjach pocztowych treść e-maili. Głównym dostawcą jest Google (Gemini przez Vertex AI); przy wybranych funkcjach analitycznych (m.in. audyt projektu, retrospektywa, szacowanie czasu zadań) oraz weryfikacji „Multi-AI" może to być Anthropic (Claude) — gdy te funkcje korzystają z modeli Anthropic.
• Lokalizacja: większość przetwarzania Gemini odbywa się w UE; asystent głosowy oraz Multi-AI — w USA (transfer jak w pkt 7).
• Brak trenowania: korzystamy z komercyjnych wariantów API, w których dostawcy nie wykorzystują Twoich danych do trenowania swoich modeli.
• Ulepszanie szacunków (dane zanonimizowane): aby poprawiać szacowanie czasu zadań, tworzymy z danych o ich realizacji dane zanonimizowane — zagregowane statystyki oraz przekształcone (parafrazowane) opisy zadań, pozbawione nazwisk, danych identyfikujących, nazwy organizacji i oryginalnej treści. Tak zanonimizowane dane nie pozwalają zidentyfikować osoby ani firmy, a oryginalna treść zadań nie jest udostępniana innym organizacjom. Udział swojej organizacji w tworzeniu tych danych możesz wyłączyć w ustawieniach.
• Charakter pomocniczy: wyniki AI mają charakter wspomagający i mogą zawierać nieścisłości — weryfikuj je przed wykorzystaniem. Nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne (art. 22 RODO).

11. Cookies i pamięć lokalna

Nasza aplikacja nie używa plików cookies do śledzenia ani reklam. Korzystamy wyłącznie z pierwszostronnej pamięci lokalnej (localStorage) w Twojej przeglądarce/urządzeniu, w celach niezbędnych do działania usługi (utrzymanie sesji logowania, preferencje, wybrana organizacja/projekt, zapis Twojej zgody). Taka pamięć jest objęta przepisami o przechowywaniu informacji w urządzeniu końcowym, ale jako niezbędna nie wymaga zgody.

Obecnie nie prowadzimy analityki internetowej ani marketingowych technologii śledzących. Jeżeli w przyszłości je włączymy (np. statystyki), poprosimy Cię najpierw o zgodę i zaktualizujemy tę Politykę oraz osobną Politykę cookies.

12. Twoje prawa

Masz prawo do: dostępu (art. 15), sprostowania (art. 16), usunięcia („prawo do bycia zapomnianym", art. 17), ograniczenia (art. 18), przenoszenia (art. 20), sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21) oraz cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania).

Aby skorzystać z praw — napisz na privacy@hubal-project.com lub użyj ustawień prywatności w aplikacji (m.in. eksport i usunięcie danych). Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Masz też prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Podanie danych niezbędnych do założenia konta i świadczenia usługi jest dobrowolne, ale konieczne do korzystania z HUBAL.

13. Aplikacja mobilna (Android)

Aplikacja mobilna HUBAL na Androida realizuje tę samą usługę co wersja webowa, korzystając z dodatkowych uprawnień systemowych — każde wymagane tylko za Twoją zgodą udzieloną w systemie (model runtime permissions Android 6.0+).

13.1. Uprawnienia i dane zbierane przez aplikację mobilną

13.2. Czego NIE zbieramy

• Lokalizacja (GPS, sieć) — nie zbieramy
• Kontakty — nie zbieramy
• Wiadomości SMS — nie zbieramy
• Aktywność w innych aplikacjach — nie zbieramy
• Identyfikatory reklamowe (Advertising ID) — nie używamy
• Czujniki ciała (BODY_SENSORS, ACTIVITY_RECOGNITION) — nie używamy

13.3. Bezpieczeństwo w aplikacji mobilnej

• Cała komunikacja z serwerami HUBAL przez HTTPS / TLS.
• Tokeny sesji (Firebase Auth) przechowywane w izolowanej pamięci aplikacji (piaskownica systemu Android — niedostępna dla innych aplikacji).
• Zewnętrzne adresy URL otwierane są w przeglądarce systemowej, poza aplikacją.

13.4. Cofnięcie uprawnień i usunięcie danych

• Każde uprawnienie możesz cofnąć w Ustawienia → Aplikacje → HUBAL → Uprawnienia.
• Aby usunąć dane lokalne — Ustawienia → Aplikacje → HUBAL → Wyczyść dane (logi/cache) lub odinstaluj aplikację.
• Aby usunąć konto i Treści Klienta z serwera — przez aplikację (Ustawienia → Prywatność → Usuń konto) lub e-mailem na support@hubal-project.com. Szczegóły w pkt 12.

13.5. Google Play Data safety

Aplikacja HUBAL jest publikowana w Google Play. Sekcja 'Data safety' (Bezpieczeństwo danych) w Play Console zawiera zwięzłe, ustandaryzowane podsumowanie zgodne z tą Polityką prywatności. Pełny dokument zawierający szczegółowe deklaracje dla Play Data safety jest dostępny w Karcie Data safety.

14. Dzieci

Usługa jest przeznaczona dla firm i profesjonalistów i nie jest kierowana do dzieci. Nie jest przeznaczona dla osób poniżej 16 roku życia i nie zbieramy świadomie danych takich osób.

15. Prawa użytkowników z USA (dodatek stanowy)

Jeśli korzystasz z HUBAL w USA: opisane wyżej kategorie danych zbieramy w celach świadczenia usługi i bezpieczeństwa; nie „sprzedajemy" ani nie „udostępniamy" danych osobowych w rozumieniu kalifornijskiej ustawy CCPA/CPRA ani innych ustaw stanowych. Masz prawo do informacji, dostępu, poprawienia i usunięcia danych — realizujemy je przez kanał z pkt 12. Obecnie nie reagujemy na sygnał „Do Not Track", ponieważ nie prowadzimy śledzenia między witrynami.

16. Zmiany Polityki

Możemy aktualizować tę Politykę. O istotnych zmianach poinformujemy z wyprzedzeniem (e-mailem lub w aplikacji). Każda wersja ma numer i datę; poprzednie wersje udostępniamy na żądanie.

17. Kontakt

W sprawach ochrony danych: privacy@hubal-project.com · ANTONI SUROWIAK EMA STUDIO, ul. Westerplatte 6, 38-200 Jasło.