Ten dokument zawiera pola, które przed publikacją należy uzupełnić danymi operatora. Skonfiguruj produkcyjny build zmiennymi VITE_LEGAL_*.Widoczne tylko do skonfigurowania tożsamości prawnej.

Polityka Prywatności i Ochrony Danych Osobowych Platformy Struvo (RODO / GDPR)

Wersja: 1.0
Data wejścia w życie: [UZUPEŁNIJ DATĘ, NP. 1 PAŹDZIERNIKA 2026 R.]
Ostatnia aktualizacja: [UZUPEŁNIJ DATĘ]

1. Informacje Ogólne i Tożsamość Administratora

1.1. Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych osób korzystających z platformy Struvo (serwisu internetowego, aplikacji webowej oraz aplikacji mobilnych na systemy iOS i Android), w zgodzie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: „RODO”).

1.2. Administratorem danych osobowych w odniesieniu do danych Użytkowników, reprezentantów Klientów, osób kontaktowych oraz danych przetwarzanych w celach bilingowych, bezpieczeństwa i marketingowych jest:
[NAZWA SPÓŁKI / IMIĘ I NAZWISKO] z siedzibą w: [ADRES SIEDZIBY: KOD POCZTOWY, MIASTO, ULICA I NUMER], NIP: [NUMER NIP], REGON: [NUMER REGON], KRS: [NUMER KRS] (dalej: „Administrator” lub „Usługodawca”).

1.3. W sprawach związanych z ochroną danych osobowych, realizacją praw przysługujących na mocy RODO oraz pytaniami dotyczącymi niniejszego dokumentu, można kontaktować się z Administratorem:

Dedykowany adres e-mail ds. prywatności / IOD: privacy@struvo.pl
Adres pocztowy do korespondencji: [ADRES SIEDZIBY Z DOPISKIEM „OCHRONA DANYCH OSOBOWYCH”]
Kontakt ogólny: kontakt@struvo.pl

2. Podwójna Rola Administratora (Administrator a Podmiot Przetwarzający)

2.1. W strukturze funkcjonowania platformy Struvo występują dwie odrębne relacje prawne dotyczące danych:

Struvo jako Administrator Danych Osobowych (Controller):
- Dotyczy danych Użytkowników rejestrujących Konto, danych do faktur i rozliczeń, logów dostępowych, danych telemetrycznych i zgód prawnych. W tym zakresie Usługodawca samodzielnie decyduje o celach i sposobach przetwarzania danych.
Struvo jako Podmiot Przetwarzający (Processor):
- Dotyczy danych wprowadzanych przez Klienta w ramach realizacji projektów budowlanych (np. wizerunki pracowników lub podwykonawców uchwycone na zdjęciach z placu budowy, dane personalne w rejestrach prac worker_logs, geolokalizacja terenu inwestycji).
- W odniesieniu do tych danych Klient jest Administratorem, a Usługodawca przetwarza je wyłącznie na udokumentowane polecenie Klienta na podstawie odrębnej Umowy Powierzenia Przetwarzania Danych Osobowych (DPA) zawartej w ramach Regulaminu.

3. Kategorie Przetwarzanych Danych Osobowych

W zależności od sposobu korzystania z platformy przetwarzamy następujące kategorie danych:

3.1. Dane rejestracyjne i konta:

Imię i nazwisko, adres e-mail, numer telefonu, nazwa użytkownika (login), zaszyfrowany identyfikator konta w usłudze Keycloak (keycloak_user_id), przypisana rola w organizacji (global_admin, company_admin, role projektowe).

3.2. Dane organizacji / firmy:

Nazwa firmy, numer NIP, REGON, KRS, numer licencji / uprawnień zawodowych, adres siedziby (ulica, numer budynku/lokalu, kod pocztowy, miasto), adresy e-mail do powiadomień i rozliczeń.

3.3. Dane eksploatacyjne, logi i telemetria:

Adres IP, identyfikator żądania HTTP (X-Request-ID), data i godzina logowania, typ i wersja przeglądarki, model urządzenia mobilnego, wersja systemu operacyjnego (iOS/Android), liczba nieudanych prób logowania, status blokady konta.

3.4. Dane geolokalizacyjne:

Dokładne współrzędne geograficzne (GPS – szerokość i długość geograficzna) pobierane z urządzenia mobilnego za uprzednią, wyraźną zgodą Użytkownika, wykorzystywane wyłącznie w celu przypisania znacznika lokalizacji do tworzonego projektu budowlanego.

3.5. Zdjęcia i materiały multimedialne (UGC):

Zdjęcia z terenu budowy przesyłane do magazynu obiektowego (Cloudflare R2). Zdjęcia te mogą potencjalnie zawierać wizerunki osób (np. pracowników budowlanych) lub numery rejestracyjne pojazdów.
Ważna uwaga: Algorytmy AI przetwarzają zdjęcia wyłącznie w celu rozpoznawania elementów techniczno-budowlanych, konstrukcji i postępu prac. Administrator nie stosuje systemów zdalnej identyfikacji biometrycznej ani rozpoznawania twarzy w celu ustalenia tożsamości osób fizycznych.

3.6. Rejestr zgód prawnych (legal_acceptances):

Wersja zaakceptowanego Regulaminu (terms_version), wersja Polityki Prywatności (privacy_version), data i godzina akceptacji (accepted_at), identyfikator Użytkownika i firmy oraz źródło rejestracji (web_registration / mobile).

4. Cele i Podstawy Prawne Przetwarzania Danych

Cel przetwarzania	Kategorie danych	Podstawa prawna RODO
Zawarcie i realizacja Umowy o świadczenie usług drogą elektroniczną (SaaS), w tym utworzenie i obsługa Konta, separacja baz tenantowych, obsługa projektów i wsparcie techniczne	Dane rejestracyjne, dane firmy, dane eksploatacyjne	Art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy)
Wypełnienie obowiązków prawnych ciążących na Administratorze, w tym wystawianie faktur, prowadzenie ksiąg rachunkowych, realizacja obowiązków podatkowych i archiwizacyjnych	Dane firmy, NIP, dane rozliczeniowe, imię i nazwisko	Art. 6 ust. 1 lit. c RODO (obowiązek prawny, m.in. ustawa o rachunkowości, ordynacja podatkowa)
Zapewnienie bezpieczeństwa teleinformatycznego, przeciwdziałanie nadużyciom, autoryzacja sesji w Keycloak, diagnostyka błędów serwera oraz obrona przed roszczeniami lub dochodzenie roszczeń	Logi serwera, adres IP, `X-Request-ID`, historia logowań, status blokady	Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora)
Obsługa modułów sztucznej inteligencji (AI) – wstępna analiza techniczna zdjęć i przygotowanie szkicu wpisów w dzienniku budowy	Zdjęcia przesłane przez Użytkownika do analizy	Art. 6 ust. 1 lit. b RODO (realizacja funkcji zamówionej przez Klienta)
Geokodowanie lokalizacji projektu w aplikacji mobilnej	Współrzędne GPS z urządzenia mobilnego	Art. 6 ust. 1 lit. a RODO (wyraźna zgoda Użytkownika wyrażona w systemie uprawnień urządzenia mobilnego)
Komunikacja marketingowa i informacyjna (np. newsletter, powiadomienia o nowych funkcjach platformy)	Imię, adres e-mail	Art. 6 ust. 1 lit. a RODO (dobrowolna zgoda) lub Art. 6 ust. 1 lit. f RODO (marketing bezpośredni własnych usług)

5. Odbiorcy Danych i Podmioty Trzecie (Podprocesorzy)

Dane osobowe mogą być przekazywane wyłącznie zaufanym podmiotom trzecim wspierającym działanie infrastruktury technicznej platformy Struvo, z którymi Administrator zawarł stosowne umowy powierzenia przetwarzania danych (DPA):

Cloudflare, Inc. (USA / globalna sieć CDN i data center):
- Zakres: Przechowywanie zdjęć w usłudze Cloudflare R2 (prywatny bucket zoptymalizowany dla regionu Europy Środkowo-Wschodniej), środowisko bezserwerowe Cloudflare Workers (scaffo-photo-analysis), kolejki przetwarzania oraz Cloudflare AI Gateway.
- Podstawa transferu: Certyfikacja w ramach Data Privacy Framework (DPF) oraz Standardowe Klauzule Umowne (SCC).
Railway Corp. (USA / data center w regionie Europa Zachodnia):
- Zakres: Hosting produkcyjny API backendu (Go) oraz baz danych PostgreSQL (baza główna i bazy tenantów).
- Podstawa transferu: Standardowe Klauzule Umowne UE (SCC) zintegrowane w DPA dostawcy.
Google LLC / Google Ireland Limited:
- Zakres: Wywołanie modeli wizyjno-językowych Gemini (gemini-3.5-flash-lite, gemini-3.6-flash) za pośrednictwem API w celu generowania szkiców dokumentacji technicznej ze zdjęć.
- Zasady retencji: Zapytania przesyłane przez oficjalne API biznesowe nie są wykorzystywane do trenowania publicznych modeli bazowych Google.
Alibaba Cloud (Singapore) Private Limited / Alibaba Cloud Europe:
- Zakres: Obsługa modeli wizyjnych Qwen (qwen3.7-flash, qwen3.8-flash) w ramach usługi Model Studio / DashScope.
- Deklaracja: Dane przesyłane do analizy nie są wykorzystywane przez dostawcę do trenowania modeli sztucznej inteligencji.
Dostawcy tożsamości i oprogramowania serwerowego:
- Keycloak (oprogramowanie open-source hostowane we własnej infrastrukturze Administratora na serwerach Railway w UE).
Doradcy prawni, biura rachunkowe i firmy audytorskie:
- Wyłącznie w zakresie niezbędnym do realizacji obowiązków prawno-podatkowych i ochrony prawnej.

6. Przekazywanie Danych poza Europejski Obszar Gospodarczy (EOG)

6.1. Ze względu na korzystanie z globalnych dostawców chmurowych (Cloudflare, Railway, Google, Alibaba Cloud), część operacji przetwarzania może wiązać się z transferem danych osobowych do państw trzecich (w szczególności do Stanów Zjednoczonych Ameryki).
6.2. W takich przypadkach Administrator zapewnia, że transfer odbywa się zgodnie z Rozdziałem V RODO, w oparciu o:

Decyzję stwierdzającą odpowiedni stopień ochrony w ramach porozumienia Unia Europejska – USA (EU-U.S. Data Privacy Framework) dla podmiotów certyfikowanych w programie DPF.
Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską (Decyzja Wykonawcza 2021/914) wraz z wdrożeniem dodatkowych środków bezpieczeństwa technicznego (szyfrowanie end-to-end podczas transmisji TLS 1.3, krótkoterminowe tokeny presigned URL, brak publicznego dostępu do bucketów R2).

7. Okres Przechowywania Danych (Retencja)

7.1. Dane osobowe przechowywane są przez okres nie dłuższy, niż jest to konieczne do realizacji celów, dla których zostały zebrane:

Dane Konta i Umowy: Przez cały czas trwania Umowy subskrypcyjnej, a po jej zakończeniu przez okres 30 dni w stanie uśpienia (umożliwiający pobranie eksportu danych).
Dane rozliczeniowe i księgowe: Przez okres 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (zgodnie z przepisami prawa podatkowego).
Logi serwerowe, techniczne identyfikatory żądań i telemetria: Przez okres do 90 dni, po czym ulegają automatycznemu usunięciu lub agregacji/anonimizacji.
Szkice dokumentacji AI (documentation_ai_drafts): Wersje robocze odrzucone lub niezaakceptowane są usuwane w ramach automatycznych procesów czyszczenia (background cleanup interval) po upływie 14 dni.
Prawa i roszczenia cywilne: Dane niezbędne do obrony przed roszczeniami lub ich dochodzenia – do upływu okresu przedawnienia roszczeń wynikającego z Kodeksu cywilnego (co do zasady 3 lata dla roszczeń związanych z prowadzeniem działalności gospodarczej).

8. Prawa Osoby, Której Dane Dotyczą

Każdej osobie, której dane są przetwarzane przez Administratora, przysługują następujące prawa:

8.1. Prawo dostępu do danych (art. 15 RODO) – uzyskanie potwierdzenia, czy dane są przetwarzane, oraz otrzymanie ich kopii.
8.2. Prawo do sprostowania danych (art. 16 RODO) – poprawienie danych nieprawidłowych lub uzupełnienie danych niekompletnych.
8.3. Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO) – usunięcie danych, jeżeli nie ma już podstawy prawnej do ich dalszego przetwarzania.
8.4. Prawo do ograniczenia przetwarzania (art. 18 RODO) – wstrzymanie operacji na danych w przypadkach określonych w RODO.
8.5. Prawo do przenoszenia danych (art. 20 RODO) – otrzymanie swoich danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. JSON, CSV) lub żądanie ich przesłania innemu administratorowi.
8.6. Prawo do sprzeciwu (art. 21 RODO) – wniesienie sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora (art. 6 ust. 1 lit. f RODO).
8.7. Prawo do cofnięcia zgody – w odniesieniu do danych przetwarzanych na podstawie zgody (np. uprawnienia GPS w aplikacji mobilnej), cofnięcie zgody w dowolnym momencie w ustawieniach systemu urządzenia bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia.

W celu realizacji swoich praw należy przesłać stosowne żądanie na adres e-mail: privacy@struvo.pl.
Wniosek zostanie rozpatrzony bez zbędnej zwłoki, nie później niż w terminie miesiąca od dnia jego otrzymania.

8.8. Prawo wniesienia skargi do organu nadzorczego:
Jeżeli Użytkownik uzna, że przetwarzanie jego danych narusza przepisy RODO, przysługuje mu prawo wniesienia skargi do organu nadzorczego właściwego ds. ochrony danych osobowych:
Prezes Urzędu Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa
Strona internetowa: https://uodo.gov.pl

9. Zautomatyzowane Podejmowanie Decyzji i Profilowanie

9.1. Administrator wykorzystuje technologie sztucznej inteligencji do analizy obrazu i generowania propozycji opisów technicznych.
9.2. Żadne przetwarzanie danych w ramach platformy Struvo nie stanowi zautomatyzowanego podejmowania decyzji wywołującego skutki prawne lub w podobny sposób istotnie wpływającego na osobę fizyczną w rozumieniu art. 22 RODO. Wszystkie propozycje wygenerowane przez AI wymagają ostatecznej decyzji i zatwierdzenia przez człowieka (Human-in-the-loop).

10. Bezpieczeństwo Danych

10.1. Administrator stosuje zaawansowane środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, w tym:

Szyfrowanie połączeń sieciowych protokołem TLS 1.3 / HTTPS.
Logiczna i fizyczna izolacja danych w dedykowanych bazach tenantów (tennant_<uuid>).
Zabezpieczenie dostępu do API tokenami JWT z podpisem asymetrycznym JWKS (Keycloak).
Wykorzystywanie krótkoterminowych (o ograniczonej ważności w sekundach) podpisanych adresów URL (presigned PUT/GET) do bezpośredniej komunikacji z prywatnym magazynem Cloudflare R2.
Ochrona sieciowa Cloudflare przed atakami DDoS, zaporowe reguły WAF oraz kontrola spójności danych przy użyciu sum kontrolnych i HMAC.

11. Zmiany Polityki Prywatności i Klauzula Językowa

11.1. Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki Prywatności w przypadku zmian przepisów prawa, wdrożenia nowych podprocesorów lub modyfikacji technologicznych platformy.
11.2. O wszelkich istotnych zmianach Użytkownicy zostaną powiadomieni z wyprzedzeniem za pośrednictwem poczty elektronicznej lub komunikatu w Aplikacji.
11.3. Klauzula Językowa: Niniejsza Polityka Prywatności została sporządzona w języku polskim oraz przetłumaczona na inne języki. W razie jakichkolwiek rozbieżności interpretacyjnych lub wątpliwości prawnych wersja polska jest wersją nadrzędną i rozstrzygającą.