Polityka prywatności usługi Ustawnik

Wersja 0.2, obowiązuje od 13.11.2026

1. Kto odpowiada za Twoje dane

Administratorem danych jest SS Design Radosław Raszewski (dalej: SS Design).

Adres: ul. Andromedy 2, 41-818 Zabrze.
NIP: 6332221160
Adres e-mail do spraw danych osobowych: info@ustawnik.com

2. Czego dotyczy ta polityka

Polityka dotyczy serwera publicznego pod adresem https://mcp.ustawnik.com/mcp. Serwer daje agentom AI (na przykład Claude albo ChatGPT) dostęp do polskich przepisów podatkowych i dokumentacji KSeF.

Polityka nie dotyczy:

Serwera uruchomionego na własnym komputerze. Taki serwer nie ma kont i nie zapisuje wywołań (Podłączenie).
Twojego klienta AI. Rozmowę z asystentem prowadzi dostawca klienta (na przykład Anthropic albo OpenAI). Ten dostawca sam decyduje, co zapisuje i jak długo. Jest osobnym administratorem Twoich danych i ma własną politykę prywatności. Do naszego serwera trafia tylko to, co asystent wpisze w wywołanie narzędzia.

3. Jakie dane przetwarzamy

3.1. Konto

Logujesz się kontem Google. Logowanie prowadzi zewnętrzny serwis Auth0 (firma Okta), w naszym imieniu.

Dane	Gdzie są
Adres e-mail, imię i nazwisko oraz inne dane profilu z konta Google, identyfikator konta	W Auth0, w regionie Unii Europejskiej. Logowanie kontem Google zapisuje w profilu: identyfikator konta (`user_id`), adres e-mail i informację, czy jest potwierdzony (`email`, `email_verified`), imię i nazwisko (`name`, `given_name`, `family_name`), pseudonim (`nickname`), adres zdjęcia profilowego (`picture`), język (`locale`), dane dostawcy tożsamości (`identities`) oraz daty utworzenia i zmiany profilu (`created_at`, `updated_at`).
Historia logowań (czas, adres IP, klient)	W Auth0. W profilu konta: czas i adres IP ostatniego logowania oraz liczba logowań (`last_login`, `last_ip`, `logins_count`). W logach zdarzeń Auth0: każde logowanie, przez 1 dzień (okres przechowywania logów w planie Auth0, z którego korzystamy).
Identyfikator konta i identyfikator klienta AI	W tokenie dostępu, który klient wysyła z każdym żądaniem. Serwer sprawdza token i go nie zapisuje.

Serwer Ustawnika nie dostaje Twojego adresu e-mail ani imienia i nazwiska. Nie ma własnej bazy kont i nie widzi Twojego hasła.

3.2. Treść wywołań

Asystent wysyła do serwera argumenty narzędzia: pytanie, numer przepisu, datę, okres albo pola faktury. Może dodać jedno zdanie o celu wywołania (pole intent). Serwer używa tych danych, żeby przygotować odpowiedź.

Nie wpisuj w pytania danych osobowych swoich klientów (imion, nazwisk, adresów, numerów PESEL). Serwer ich nie potrzebuje. Do kontroli faktury wystarczą kwoty, daty i stawki.

3.3. Log diagnostyczny wywołań

Log działa tylko wtedy, gdy operator go włączy. Stan na serwerze publicznym: wyłączony (13.11.2026).

Jeden wpis na jedno wywołanie narzędzia. Wpis zawiera:

Pseudonim konta. To skrót kryptograficzny (HMAC-SHA256) identyfikatora konta, liczony z tajnym kluczem operatora. Identyfikator konta i token nie są zapisywane.
Identyfikator klienta AI i nazwę programu klienta (nagłówek User-Agent, do 200 znaków).
Nazwę narzędzia, czas, czas trwania i wynik (ok albo kod błędu).
Argumenty po redakcji i pole intent po redakcji (do 500 znaków).
Identyfikatory zwróconych przepisów i typy not z odpowiedzi (notices). Z not wyszukiwania typu citation_hint także ich tekst, po redakcji, bo może powtórzyć fragment pytania. Bez tekstu przepisów, interpretacji i pozostałych not.
Dane techniczne serwera: tryb logowania, kształt narzędzi, tryb wyszukiwania, numer indeksu i stan licznika limitu.
Z faktury: kwoty, daty, stawki, walutę, rodzaj faktury i nazwy pól. Zamiast numeru NIP: valid, invalid albo absent. Zamiast nazw, adresów, numeru faktury i nazw towarów: present albo absent.

Redakcja zamienia na znaczniki: PESEL i NIP (z poprawną sumą kontrolną), numer rachunku, adres e-mail i numer telefonu. Redakcja nie rozpoznaje imion, nazwisk, nazw firm ani adresów. Jeśli asystent wpisze je w pytanie, trafią do logu. Numer telefonu bez prefiksu +48 redakcja rozpoznaje tylko w zapisie trzech grup po trzy cyfry (na przykład 601 234 567). Dokładny opis: Podłączenie, sekcja „Log diagnostyczny wywołań”.

3.4. Licznik limitu dziennego

Licznik działa tylko wtedy, gdy operator włączy limit. Zapisuje trzy pola: pseudonim konta, dzień i liczbę wywołań. Nie zapisuje treści wywołań. Swój licznik widzisz narzędziem get_account_status.

3.5. Logi techniczne serwera

Serwer pośredniczący (Traefik) zapisuje każde żądanie HTTP w formacie domyślnym (Common Log Format): adres IP klienta, nazwę użytkownika HTTP (pustą, gdy żądanie jej nie podaje), czas, metodę, adres i protokół żądania, kod odpowiedzi, rozmiar odpowiedzi, adres strony odsyłającej (Referer), nazwę programu klienta (User-Agent), numer kolejny żądania, nazwę reguły routingu, adres usługi docelowej i czas obsługi żądania. Treści wywołania tam nie ma.
Serwer Ustawnika zapisuje linię przy błędzie wewnętrznym (INTERNAL): nazwę narzędzia, identyfikator błędu, pełny opis błędu (komunikat i stos wywołań), identyfikator klienta AI i pseudonim konta. Gdy log diagnostyczny i limit są wyłączone, zamiast pseudonimu jest identyfikator konta. Token nigdy nie trafia do logu.
Baza danych (Postgres) zapisuje w swoim logu polecenia SQL, które trwają dłużej niż 1 sekundę, zwykle z ich parametrami. Gdy zapis logu diagnostycznego albo licznika potrwa tak długo, w tej linii mogą być wpisy z punktów 3.3 i 3.4.

Serwer Ustawnika sam nie czyta Twojego adresu IP i nie ustawia plików cookies.

3.6. Kontakt

Gdy do nas napiszesz, przetwarzamy Twój adres e-mail i treść wiadomości.

4. Dane innych osób w pytaniach

Jeśli w pytaniu albo w fakturze znajdą się dane Twojego klienta, serwer je przetworzy, żeby odpowiedzieć. Mogą też trafić do logu (punkt 3.3) i do dostawcy wyszukiwania (punkt 6).

SS Design jest administratorem także tych danych. Dotyczy to danych, które wpiszesz w pytanie albo w fakturę, w tym danych klientów biura rachunkowego. SS Design nie przetwarza ich na Twoje zlecenie jako podmiot przetwarzający. Nie zawieramy więc z Tobą umowy powierzenia.

Serwer nie potrzebuje tych danych, żeby odpowiedzieć. Dlatego prosimy, żebyś ich nie wpisywał (punkt 3.2).

5. Po co i na jakiej podstawie

Podstawy prawne w tej tabeli to propozycja do oceny przez prawnika.

Cel	Dane	Proponowana podstawa
Logowanie i dostęp do serwera	dane konta (3.1)	art. 6 ust. 1 lit. b RODO — wykonanie umowy
Odpowiedź na wywołanie narzędzia	treść wywołań (3.2)	art. 6 ust. 1 lit. b RODO
Diagnostyka i analiza tego, jak agenci używają narzędzi	log diagnostyczny (3.3)	art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes (poprawa jakości wyszukiwania)
Ochrona kosztu serwera	licznik (3.4)	art. 6 ust. 1 lit. f RODO albo lit. b
Bezpieczeństwo i usuwanie awarii	logi techniczne (3.5)	art. 6 ust. 1 lit. f RODO
Odpowiedź na wiadomości, reklamacje i żądania	dane z korespondencji (3.6)	art. 6 ust. 1 lit. b, c albo f RODO
Obrona przed roszczeniami	dane niezbędne w sprawie	art. 6 ust. 1 lit. f RODO

Podanie danych jest dobrowolne. Bez konta Google nie zalogujesz się do serwera publicznego.

Nie używamy Twoich danych do reklam. Nie sprzedajemy danych. Nie trenujemy na nich modeli AI.

6. Komu przekazujemy dane

Odbiorca	Co dostaje	Gdzie	Rola
OVH (hosting serwera)	wszystko, co leży na serwerze: bazę z logiem i licznikiem, logi techniczne	Unia Europejska	podmiot przetwarzający
Auth0 (Okta)	dane konta i historię logowań (3.1)	region UE; firma z USA	podmiot przetwarzający
Google	obsługuje logowanie kontem Google; dowiaduje się, że logujesz się do tej usługi	zgodnie z polityką Google	osobny administrator
Voyage AI (wyszukiwanie po znaczeniu)	treść pytania z narzędzi wyszukiwania (`search_regulation`, a gdy serwer je udostępnia, także `search_interpretations`), bez redakcji. Cel: obliczenie embeddingu pytania (wektora liczb), którym serwer szuka przepisów podobnych znaczeniowo. Nie dostaje identyfikatora konta, pola `intent` ani danych z faktury	USA (adres `api.voyageai.com`)	podmiot przetwarzający; pełna nazwa spółki: Voyage AI Innovations, Inc.
Cloudflare, Inc. (DNS domeny ustawnik.com i przekazywanie poczty)	e-maile wysłane na adres info@ustawnik.com: adres nadawcy, temat i treść. Cloudflare przekazuje je do skrzynki usługodawcy	firma z USA	podmiot przetwarzający

Narzędzia get_provision, deadline_for i check_invoice_against_ksef_rules niczego nie wysyłają do Voyage AI.
Log diagnostyczny i licznik nie są wysyłane do żadnej usługi zewnętrznej. Leżą w bazie na tym samym serwerze.
Usługa, która nie dostaje danych użytkowników: GitHub (kod i obraz serwera).
Dane możemy przekazać organom państwa, gdy wymaga tego przepis.

Stan umów powierzenia z OVH, Auth0 i Voyage AI: (w przygotowaniu).

7. Przekazanie danych poza Europejski Obszar Gospodarczy

Voyage AI: treść pytań wyszukiwania trafia do USA. Serwer publiczny wysyła ją przy każdym wyszukiwaniu, żeby obliczyć embedding pytania (punkt 6).
Auth0 (Okta): dane kont leżą w regionie UE. Dostawca jest firmą z USA, więc dostęp spoza EOG jest możliwy.
OVH: serwer jest w Unii Europejskiej.
Cloudflare: e-maile wysłane na adres info@ustawnik.com przechodzą przez serwery Cloudflare. Dostawca jest firmą z USA, więc dostęp spoza EOG jest możliwy.

Kopię zabezpieczeń dostaniesz po kontakcie z nami (punkt 1).

8. Jak długo przechowujemy dane

Dane	Okres
Log diagnostyczny	14 dni. Serwer sam usuwa starsze wpisy, przy starcie i co godzinę. Okresu nie da się wydłużyć ustawieniem.
Licznik limitu	14 dni, usuwany tak samo.
Nocna kopia bazy	Nie zawiera wpisów logu ani licznika.
Logi techniczne (3.5)	Według rozmiaru, nie według czasu: trzy pliki po 10 MB na usługę. Najstarsze linie znikają, gdy pliki się zapełnią. Liczba dni zależy od ruchu: im więcej żądań, tym szybciej znikają najstarsze linie.
Konto w Auth0	Do usunięcia konta. Historia logowań w logach zdarzeń Auth0: 1 dzień. Czas i adres IP ostatniego logowania oraz liczba logowań zostają w profilu do usunięcia konta.
Pytania wysłane do Voyage AI	Polityka prywatności Voyage AI nie podaje okresu przechowywania. Według niej: gdy klient wyłączy używanie danych do trenowania modeli, treść jest usuwana od razu po przetworzeniu; bez tego dostawca może jej używać do trenowania modeli.
Korespondencja	(w przygotowaniu)

Wyjątek od 14 dni: gdy serwer zostanie wyłączony na stałe, wpisy usuwa operator ręcznie.

9. Twoje prawa

Masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Żądanie wyślij na adres z punktu 1. Odpowiadamy w ciągu miesiąca. Możemy poprosić o potwierdzenie, że konto należy do Ciebie.

Usunięcie konta. Samodzielnego usunięcia konta nie ma. Konto usuwamy ręcznie, na prośbę wysłaną na adres info@ustawnik.com.

Usuwamy	Nie usuwamy
Konto w Auth0: dane profilu z konta Google i identyfikator konta. Operator usuwa je ręcznie w panelu Auth0.	Wpisów logu i licznika bez pseudonimu (zapisanych, gdy logowanie było wyłączone). Nie należą do żadnego konta. Wygasają po 14 dniach.
Wpisy logu diagnostycznego (3.3) i licznika (3.4) z pseudonimem Twojego konta. Operator usuwa je jednym poleceniem.	Wpisów zapisanych przed zmianą tajnego klucza operatora. Nie da się ich przypisać do konta. Wygasają po 14 dniach.
	Linii logów technicznych (3.5). Znikają, gdy pliki się zapełnią.
	Pytań już wysłanych do Voyage AI. Ich przechowywanie zależy od tego dostawcy (punkt 8).
	Korespondencji z prośbą o usunięcie. Okres: punkt 8.

Nocna kopia bazy nie zawiera wpisów logu ani licznika. Wydany wcześniej token dostępu działa do końca swojego czasu życia (Konto i logowanie).

Co robimy technicznie i jakie są granice:

Kopia danych. Obejmuje wpisy logu z ostatnich 14 dni i dane konta z Auth0.
Granice usunięcia i kopii opisuje tabela wyżej. Te same wpisy (bez pseudonimu, sprzed zmiany klucza, logi techniczne, dane u Voyage AI) nie trafiają też do kopii danych.
Odłączenie klienta AI. Usuń serwer z ustawień klienta albo poproś operatora o odebranie dostępu (Konto i logowanie).

10. Decyzje automatyczne

Nie profilujemy użytkowników. Jedyna automatyczna reakcja to limit dzienny: po przekroczeniu liczby wywołań serwer odmawia kolejnych do północy czasu polskiego.

11. Bezpieczeństwo

Połączenie z serwerem jest szyfrowane (TLS 1.2 lub nowszy).
Baza danych i logi nie są dostępne z internetu. Dostęp ma tylko operator, przez szyfrowany tunel SSH.
Serwer nie zapisuje tokenu dostępu. W logu diagnostycznym jest pseudonim konta, nie identyfikator.

12. Zmiany polityki

Nową wersję publikujemy pod adresem https://ustawnik.com/polityka-prywatnosci, z numerem wersji i datą. Poprzednie wersje zostają dostępne.