Polityka prywatności

POLITYKA PRYWATNOŚCI SERWISU EXIO.PL
Wersja z dnia 28 września 2026 r.

1. Administrator danych
Administratorem danych osobowych jest Kamil Miłkowski, prowadzący działalność gospodarczą pod firmą EXIO Kamil Miłkowski, Piotroniowice 37A, 56-100 Wołów, NIP 9880293736, REGON 022323743 (dalej: „Administrator”, „my”).
Kontakt we wszystkich sprawach dotyczących danych osobowych: biuro@exio.pl lub listownie na adres siedziby. Administrator nie wyznaczył inspektora ochrony danych.

2. Zakres polityki
Polityka dotyczy serwisu exio.pl, w tym: formularzy kontaktowych i briefów, oferty audytu bezpieczeństwa (formularz zamówienia, bezpłatny mikroskaner, formularz przekazania dostępów), panelu klienta (exio.pl/klient) oraz korespondencji e-mail. Opisuje, jakie dane zbieramy, w jakim celu, na jakiej podstawie prawnej i jak długo je przechowujemy. Stosujemy ją zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).

3. Cele, podstawy prawne i okresy przechowywania

a) Kontakt i zapytania ofertowe (formularze kontaktowe, briefy, e-mail): imię i nazwisko, nazwa firmy, e-mail, telefon, adres strony, treść wiadomości, adres IP i czas wysłania.
Podstawa: art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — odpowiedź na wiadomość).
Okres: do zakończenia korespondencji, a jeżeli nie dojdzie do zawarcia umowy — do 12 miesięcy od ostatniego kontaktu.

b) Zamówienie i realizacja usług, w tym audytu bezpieczeństwa: imię i nazwisko, nazwa firmy, NIP, adres, e-mail, telefon, adresy stron objętych zamówieniem, informacje o systemie strony, uwagi, adres IP i czas złożenia zamówienia oraz dowód akceptacji regulaminu.
Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy), a w przypadku osób reprezentujących klienta lub wskazanych przez niego do kontaktu (np. „kontakt techniczny”) — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: realizacja umowy z klientem). Dane takich osób (imię, nazwisko, e-mail, telefon, stanowisko) otrzymujemy od klienta.
Okres: przez czas realizacji umowy, a następnie do upływu terminu przedawnienia roszczeń.

b1) Program poleceń (dla klientów, którzy zgłosili się do programu): nazwa firmy, NIP, adres e-mail, kod polecający, data zgłoszenia i akceptacji regulaminu programu, informacje o zakwalifikowanych poleceniach i wypłaconych nagrodach. Danych poleconych firm nie przekazujemy polecającemu bez ich zgody.
Podstawa: art. 6 ust. 1 lit. b RODO (udział w programie na podstawie regulaminu).
Okres: przez czas uczestnictwa w programie, a następnie do upływu terminu przedawnienia roszczeń i obowiązków księgowych.

c) Rozliczenia i obowiązki księgowe: dane z faktur i potwierdzeń płatności.
Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny wynikający z przepisów podatkowych i rachunkowych).
Okres: 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

d) Panel klienta: adres e-mail, jednorazowe kody logowania (przechowywane wyłącznie jako skrót kryptograficzny, ważne 10 minut), dane sesji i ciasteczko „zapamiętaj mnie” (do 7 dni), historia zleceń.
Podstawa: art. 6 ust. 1 lit. b RODO.
Okres: przez czas korzystania z panelu i realizacji zleceń; raport z audytu udostępniamy co najmniej 12 miesięcy od jego przekazania.

e) Dane dostępowe do strony klienta (loginy, hasła, klucze) przekazane przez formularz dostępów w ramach audytu: są szyfrowane w chwili zapisu i przechowywane w postaci zaszyfrowanej poza serwerem WWW.
Podstawa: art. 6 ust. 1 lit. b RODO.
Okres: do zakończenia audytu — usuwamy je razem z kopią roboczą strony, nie później niż 30 dni od przekazania raportu (w pakiecie z testami — od przekazania wyników testów), chyba że klient zleci naprawy i zgodzi się na dłuższe przechowywanie.

f) Bezpłatny mikroskaner: adres IP użytkownika, sprawdzany adres strony, data i godzina testu, status i skrócony wynik (liczba ustaleń).
Podstawa: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na egzekwowaniu limitów, ochronie narzędzia przed nadużyciami i automatycznym wykorzystaniem, zapewnieniu bezpieczeństwa oraz prowadzeniu statystyki korzystania z narzędzia.
Okres: dziennik testów — 12 miesięcy; liczniki limitów (przechowywane jako skrót adresu IP lub adresu strony) — wpisy starsze niż doba są usuwane przy kolejnym zapisie.
Danych z mikroskanera nie wykorzystujemy do wysyłania informacji handlowych. Do przygotowania jednozdaniowej oceny AI przekazujemy dostawcy modelu (Anthropic) wyłącznie zebrane informacje techniczne o sprawdzanej stronie (adres, rozpoznany system, nagłówki serwera, ustalenia) — bez adresu IP użytkownika.

g) Ochrona formularzy przed spamem: adres IP, identyfikator przeglądarki (User-Agent), czas i treść zgłoszeń odrzuconych jako automatyczne.
Podstawa: art. 6 ust. 1 lit. f RODO (bezpieczeństwo serwisu, ochrona przed nadużyciami).
Okres: do 90 dni.

h) Dochodzenie i obrona roszczeń: dane niezbędne do wykazania przebiegu umowy i korespondencji.
Podstawa: art. 6 ust. 1 lit. f RODO.
Okres: do upływu terminu przedawnienia roszczeń.

i) Statystyka i marketing w serwisie (pliki cookie i podobne technologie narzędzi Google): dane o korzystaniu z serwisu, identyfikatory plików cookie, przybliżona lokalizacja na podstawie IP.
Podstawa: art. 6 ust. 1 lit. a RODO (zgoda) w związku z przepisami Prawa komunikacji elektronicznej.
Okres: do cofnięcia zgody lub wygaśnięcia pliku cookie.

j) Obsługa wiadomości e-mail: w wiadomościach związanych z obsługą usług możemy stosować znacznik potwierdzający otwarcie wiadomości, abyśmy wiedzieli, czy ważna informacja dotarła.
Podstawa: art. 6 ust. 1 lit. f RODO.
Okres: przez czas realizacji usługi.

4. Dane klientów naszych klientów (powierzenie)
Podczas audytu bezpieczeństwa, napraw lub utrzymania stron możemy mieć dostęp do danych osobowych przechowywanych w stronie lub sklepie klienta (np. danych jego klientów). W takim przypadku administratorem tych danych jest nasz klient, a my przetwarzamy je wyłącznie w jego imieniu i na jego polecenie, na podstawie umowy powierzenia (art. 28 RODO) zawartej w regulaminie danej usługi — w przypadku audytu: § 18 Regulaminu usługi audytu bezpieczeństwa. Usuwamy je z materiału przekazywanego do narzędzi sztucznej inteligencji i nie udostępniamy ich podmiotom innym niż dalsze podmioty przetwarzające wskazane w umowie powierzenia. W sprawach tych danych należy kontaktować się z administratorem, czyli właścicielem danej strony.

5. Odbiorcy danych
Dane mogą być przekazywane wyłącznie podmiotom, z których usług korzystamy przy prowadzeniu działalności, w niezbędnym zakresie:

• dostawcy hostingu, serwerów i poczty e-mail oraz infrastruktury serwerowej wykorzystywanej do audytów — dhosting.pl Sp. z o.o.;
• operatorowi płatności PayU S.A. z siedzibą w Poznaniu — w zakresie niezbędnym do obsługi płatności; PayU działa jako odrębny administrator danych płatniczych;
• biuru rachunkowemu i dostawcom oprogramowania księgowego, a także Krajowemu Systemowi e-Faktur;
• dostawcom narzędzi analitycznych i reklamowych (Google Ireland Limited) — wyłącznie w zakresie danych ze statystyk serwisu, na podstawie zgody;
• dostawcom narzędzi sztucznej inteligencji (m.in. Anthropic, OpenAI, Google, xAI) — przekazujemy im wyłącznie kod źródłowy i konfigurację stron klientów po usunięciu haseł, kluczy i danych osobowych; nie przekazujemy im danych, których administratorem jesteśmy (danych naszych klientów i użytkowników serwisu);
• organom publicznym — wyłącznie gdy obowiązek wynika z przepisów prawa.

Na niektórych artykułach sponsorowanych publikowanych w serwisie mogą działać skrypty statystyczne wydawców lub reklamodawców tych treści, mierzące liczbę wyświetleń — na zasadach opisanych w pkt 11 (pliki analityczne).

6. Przekazywanie danych poza Europejski Obszar Gospodarczy
Niektórzy dostawcy (np. Google, dostawcy narzędzi AI) mogą przetwarzać dane lub materiały poza EOG, w szczególności w USA. Odbywa się to na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) albo standardowych klauzul umownych przyjętych przez Komisję Europejską. Kopię zabezpieczeń można uzyskać, kontaktując się z nami.

7. Twoje prawa
Masz prawo do: dostępu do swoich danych i otrzymania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (gdy przetwarzanie odbywa się na podstawie umowy lub zgody), wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, a także do cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.
Aby skorzystać z praw, napisz na biuro@exio.pl. Odpowiadamy w ciągu miesiąca.
Przysługuje Ci także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

8. Dobrowolność podania danych
Podanie danych jest dobrowolne, ale niezbędne do odpowiedzi na wiadomość, zawarcia i wykonania umowy oraz wystawienia faktury. Bez nich nie możemy zrealizować zamówienia.

9. Zautomatyzowane decyzje
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Automatyczne filtry antyspamowe i limity mikroskanera służą wyłącznie ochronie serwisu.

10. Bezpieczeństwo
Stosujemy szyfrowane połączenie (HTTPS), szyfrowanie danych dostępowych, przechowywanie danych zamówień poza katalogiem publicznym serwera, ograniczenie dostępu do osób upoważnionych, logowanie do panelu klienta jednorazowymi kodami oraz terminowe usuwanie danych.

11. Pliki cookie
Serwis używa plików cookie (małych plików tekstowych zapisywanych na urządzeniu) oraz podobnych technologii:

• niezbędne — utrzymanie sesji i logowania w panelu klienta, zapamiętanie urządzenia (opcja „zapamiętaj mnie”), zabezpieczenia i ochrona formularzy; nie wymagają zgody, bo bez nich serwis nie działa poprawnie;
• analityczne — statystyki odwiedzin (Google Analytics);
• marketingowe — pomiar skuteczności i dopasowanie reklam (Google Ads).

Pliki analityczne i marketingowe stosujemy na podstawie zgody. Możesz ją w każdej chwili wycofać, usuwając pliki cookie i blokując je w ustawieniach przeglądarki. Ograniczenie plików niezbędnych może uniemożliwić korzystanie z panelu klienta. Informacje o przetwarzaniu danych przez Google: policies.google.com/privacy; ustawienia reklam: adssettings.google.com.

12. Logi serwera
Serwer automatycznie zapisuje dane techniczne zapytań: adres IP, datę i godzinę, adres żądanego zasobu, adres strony odsyłającej, informacje o przeglądarce i systemie oraz kody błędów. Wykorzystujemy je do utrzymania i zabezpieczenia serwisu oraz zbiorczych statystyk (art. 6 ust. 1 lit. f RODO). Logi są przechowywane przez okres wynikający z ustawień dostawcy hostingu, co do zasady nie dłużej niż 12 miesięcy.

13. Zmiany polityki
Politykę aktualizujemy, gdy zmieniają się przepisy, usługi lub narzędzia, z których korzystamy. Aktualna wersja jest zawsze dostępna na tej stronie wraz z datą.