Polityka prywatności VelorisLex
Wersja 1.0 · Tekst przygotowany 30 września 2026 r.
1. Kto odpowiada za dane
Administratorem danych użytkowników serwisu, osób kontaktujących się z nami oraz osób reprezentujących naszych klientów jest CELENISS spółka z ograniczoną odpowiedzialnością z siedzibą we Wrocławiu, ul. Romana Dmowskiego 19E/10, 50-203 Wrocław, wpisana do Krajowego Rejestru Sądowego pod numerem KRS 0001264583, NIP 8982337968, REGON 545638798. Możesz skontaktować się z nami pod adresem hello@velorislex.com lub listownie na adres spółki. Nie wyznaczyliśmy inspektora ochrony danych.
W przypadku danych klientów kancelarii i innych osób, które użytkownik wprowadza do formularzy, czatu lub dokumentów, działamy na polecenie administratora tych danych jako podmiot przetwarzający. Zasady tego przetwarzania określa umowa powierzenia danych — DPA. To kancelaria lub inny właściwy administrator ustala podstawę prawną wykorzystania danych osób trzecich, w tym danych szczególnych kategorii oraz danych dotyczących wyroków skazujących. Niniejsza polityka nie zastępuje obowiązków informacyjnych tego administratora.
2. Jakie dane otrzymujemy
Od użytkownika otrzymujemy dane niezbędne do założenia konta, kontaktu i obsługi umowy: adres e-mail, hasło przekazywane do systemu uwierzytelniania, nazwę kancelarii lub firmy, NIP oraz dane podawane w ustawieniach i zgłoszeniach. System uwierzytelniania przechowuje skrót hasła, a nie jego jawną postać. Rejestrujemy daty potwierdzenia adresu, akceptacji warunków i umowy powierzenia oraz adres IP towarzyszący potwierdzeniu.
Przetwarzamy także:
- dane dotyczące dostępu do usługi: plan, terminy dostępu, wykorzystanie limitów, przynależność do zespołu i zaproszenia;
- dane dotyczące płatności: identyfikatory klienta, subskrypcji i zdarzeń Stripe, statusy rozliczeń, kwoty oraz dane do faktury;
- dane kodów prezentowych: adres e-mail osoby, dla której przygotowano kod, jego skrót kryptograficzny oraz daty wydania, wykorzystania, cofnięcia i zakończenia dostępu;
- dane zgłoszeń i opinii: imię i nazwisko, nazwę kancelarii, adres e-mail, opcjonalny numer telefonu, informacje o potrzebach kancelarii, treść korespondencji i przesłanych ocen;
- dane techniczne: identyfikatory konta, sesji i żądań, adresy IP, odwiedzane adresy, informacje o przeglądarce i urządzeniu, komunikaty błędów, czasy wykonania, liczniki tokenów i kosztów oraz zdarzenia dotyczące bezpieczeństwa;
- treści formularzy, rozmowy i załączników, potrzebne do przygotowania dokumentu na polecenie użytkownika.
Dane mogą pochodzić również od właściciela zespołu zapraszającego użytkownika, osoby organizującej prezent oraz od operatora płatności. Dane podmiotów i ich reprezentantów mogą pochodzić z publicznego Krajowego Rejestru Sądowego. W pamięci podręcznej danych z KRS zapisujemy dane podmiotu oraz imiona, nazwiska i funkcje reprezentantów; nie zapisujemy tam ich numerów PESEL ani adresów zamieszkania.
3. Cele i podstawy przetwarzania
| Cel | Podstawa prawna |
|---|---|
| Założenie i prowadzenie konta, udostępnienie wybranego planu, rozliczenie płatności, realizacja kodu prezentowego i obsługa żądań związanych z umową | Art. 6 ust. 1 lit. b RODO, gdy użytkownik jest stroną umowy. W przypadku osób działających w imieniu klienta — art. 6 ust. 1 lit. f RODO: kontakt i wykonanie umowy z reprezentowanym podmiotem. |
| Odpowiedź na zapytanie i przygotowanie oferty na żądanie zainteresowanej osoby | Art. 6 ust. 1 lit. b RODO — działania przed zawarciem umowy; dla innych pytań i kontaktu z przedstawicielem klienta art. 6 ust. 1 lit. f RODO — prowadzenie korespondencji i obsługa kontaktu. |
| Przygotowanie zaproszenia do zespołu lub przypisanie prezentu do adresu odbiorcy przed jego rejestracją | Art. 6 ust. 1 lit. f RODO — umożliwienie skorzystania z zaproszenia lub indywidualnie przyznanego dostępu oraz zapobieganie nieuprawnionemu wykorzystaniu kodów. |
| Wystawianie i przechowywanie dokumentów księgowych oraz wykonanie obowiązków podatkowych | Art. 6 ust. 1 lit. c RODO w związku z właściwymi przepisami podatkowymi i rachunkowymi. Faktury wystawiamy w systemie księgowym, odrębnie od obsługi płatności w Stripe. |
| Ochrona kont i infrastruktury, rozliczalność operacji, wykrywanie nadużyć, diagnostyka błędów oraz obsługa zgłoszonych problemów | Art. 6 ust. 1 lit. f RODO — zapewnienie bezpieczeństwa i sprawności usługi; w zakresie obowiązków ochrony danych również art. 6 ust. 1 lit. c RODO. |
| Ustalenie, dochodzenie lub obrona roszczeń | Art. 6 ust. 1 lit. f RODO — ochrona praw spółki i osób korzystających z usługi. |
| Obsługa żądań dotyczących danych osobowych | Art. 6 ust. 1 lit. c RODO — wykonanie obowiązków wynikających z RODO. |
Akceptacja Regulaminu i zapoznanie się z polityką prywatności nie stanowią ogólnej zgody na dowolne przetwarzanie danych. Dane niezbędne do wykonania umowy przetwarzamy na wskazanej wyżej podstawie umownej. Jeżeli odrębna operacja opiera się na zgodzie, można ją wycofać bez wpływu na zgodność z prawem wcześniejszego przetwarzania.
Podanie danych jest dobrowolne, jednak bez adresu e-mail i danych wymaganych do założenia konta nie możemy udostępnić konta. Bez danych rozliczeniowych wymaganych przepisami nie możemy prawidłowo rozliczyć usługi, a bez danych kontaktowych — odpowiedzieć na zgłoszenie. Dodatkowe pola oznaczone jako opcjonalne nie są warunkiem korzystania z podstawowych funkcji.
4. Dokumenty, sztuczna inteligencja i pseudonimizacja
VelorisLex korzysta z modeli językowych Anthropic Claude do przygotowywania projektów dokumentów i pomocniczej analizy treści. Wynik wymaga sprawdzenia przez użytkownika; nie zastępuje samodzielnej oceny prawnika. Nie podejmujemy wobec użytkowników decyzji opartych wyłącznie na profilowaniu, wywołujących skutki prawne lub podobnie istotnie na nich wpływających. Limity planu i dostęp do funkcji są ustalane na podstawie warunków usługi i stanu konta.
Narzędzia przeglądu danych pozwalają zastępować wybrane informacje identyfikujące znacznikiem, np. zamiast nazwiska. Uzupełniają je kontrole automatyczne. Jest to pseudonimizacja, a nie zapewnienie, że w każdej treści wykluczono możliwość rozpoznania osoby. Skuteczność zależy m.in. od rodzaju danych, treści sprawy i wyborów użytkownika. Informacje pozostawione w treści mogą zostać przekazane dostawcy modelu.
Odczyt tekstu ze skanu lub zdjęcia odbywa się przed przeglądem odczytanej treści przez użytkownika. W tej operacji dostawca OCR otrzymuje obraz dokumentu, który może zawierać dane osobowe. Korzystamy z Microsoft Azure AI Document Intelligence, a w obsługiwanych przypadkach niedostępności lub niepowodzenia OCR — z funkcji odczytu obrazu przez model Anthropic. Przekazanie do generowania pliku PDF, którego treści system nie zweryfikował automatycznie, wymaga odrębnego potwierdzenia w interfejsie.
Do wyszukiwania kontekstu prawnego korzystamy z Voyage AI. Przekazywane zapytania podlegają ograniczaniu i maskowaniu wykrywanych identyfikatorów. Baza źródeł prawnych obejmuje publiczne akty prawne i orzeczenia; nie wykorzystujemy dokumentów użytkowników do tworzenia tego korpusu.
Nie prowadzimy archiwum wygenerowanych dokumentów ani historii rozmowy użytkownika w bazie aplikacji. Bieżąca treść jest utrzymywana w pamięci na czas pracy. Pobierz dokument na własne urządzenie przed zakończeniem pracy. Osobno działają tymczasowy magazyn załączników, pamięć podręczna danych rejestrowych oraz zasady retencji dostawców opisane w § 5 i w DPA. Nie wykorzystujemy treści spraw do trenowania własnych modeli AI.
5. Okresy przechowywania
| Kategoria | Okres lub zasada przechowywania |
|---|---|
| Konto, profil, dane dostępu i akceptacji warunków | Przez czas prowadzenia konta. Usunięcie konta usuwa dane profilu i związane z nim rekordy aplikacji, z wyjątkami dotyczącymi odrębnych obowiązków rozliczeniowych i ochrony roszczeń. |
| Bieżąca rozmowa i wygenerowany projekt | W pamięci na czas pracy nad dokumentem; aplikacja nie zapewnia ich odtworzenia po zakończeniu sesji. |
| Tymczasowe załączniki | Pliki wymagające przesłania przez magazyn plików — w tym pliki powyżej 3 MB, do limitu 25 MB — zapisujemy w prywatnym magazynie Supabase. Po odczycie aplikacja wywołuje ich usunięcie. Niezależne zadanie porządkowe, zaplanowane co 5 minut, usuwa również pliki pozostawione po przerwanym przetwarzaniu, gdy od ich zapisania lub ostatniej zmiany upłynęła ponad godzina. Nie wymaga to ponownego wejścia użytkownika. Awaria lub opóźnienie wykonania zadania może wydłużyć ten czas; zadanie jest objęte monitoringiem. W sprawie usunięcia pliku możesz skontaktować się z nami. |
| Szczegółowe ślady żądań w aplikacji | 30 dni, z usuwaniem w cyklicznym zadaniu porządkowym. |
| Zdarzenia bezpieczeństwa mechanizmów AI | 365 dni. |
| Metryki wykorzystania, koszty, techniczna księga rozliczenia generacji i zdarzenia administracyjne | 730 dni, z wcześniejszym usunięciem danych związanych z kontem tam, gdzie wykonujemy żądanie usunięcia konta. Nie jest to okres archiwizacji faktur. |
| Metadane sesji i etapów przygotowywania dokumentu | Nie zawierają pełnej treści dokumentu. Rekordy powiązane z sesją są usuwane razem z usuwaną sesją lub kontem. Rekordy etapów niepowiązane z sesją nie są objęte tym mechanizmem ani automatycznym terminem usuwania; ich usunięcie wymaga odrębnej obsługi. |
| Dane kodu prezentowego | Adres odbiorcy i powiązanie z jego kontem służą wydaniu oraz kontroli jednorazowego wykorzystania kodu. Przy usunięciu konta usuwamy z rekordu kodu adres odbiorcy i powiązanie z odbiorcą. Pozostają skrót kodu i informacja o jego wykorzystaniu lub cofnięciu, aby usunięcie konta nie przywracało ważności zużytego kodu. Cofnięcie niewykorzystanego kodu nie oznacza automatycznego usunięcia jego całego rekordu. |
| Potwierdzenia obsługi zdarzeń Stripe | Techniczne identyfikatory i stany operacji zachowujemy w celu zapobiegania ponownemu wykonaniu tego samego zdarzenia i wyjaśniania rozliczeń. Nie zawierają pełnej treści powiadomień Stripe ani pełnych danych karty. Nie są usuwane automatycznie przez samo usunięcie konta VelorisLex. |
| Korespondencja, zapytania, reklamacje i opinie | Przez czas potrzebny do obsługi sprawy, a następnie w zakresie potrzebnym do udokumentowania jej przebiegu i ochrony roszczeń — do upływu właściwego okresu ich przedawnienia. |
| Dane księgowe i podatkowe | Przez okres wymagany właściwymi przepisami, liczony od zdarzenia wskazanego w tych przepisach; usunięcie konta nie skraca tego obowiązku. |
| Dane rejestrowe pobrane z KRS | W pamięci podręcznej aplikacji przez 24 godziny od zapisania wyniku. |
| Wynik wyszukiwania kontekstu prawnego | W pamięci podręcznej przez godzinę. Kluczem jest skrót zapytania, a zapisywany wynik obejmuje pobrane źródła prawne. |
U dostawców mogą obowiązywać odrębne okresy przechowywania treści operacji, dzienników, kopii zapasowych i danych wymaganych prawem. Brak archiwum dokumentów w aplikacji nie oznacza zerowej retencji u wszystkich dostawców. W przypadku Microsoft Document Intelligence dane wejściowe i wynik analizy są przechowywane tymczasowo do 24 godzin po zakończeniu analizy. Zasady innych dostawców oraz transferów opisuje Załącznik B do DPA. Usunięcie danych z aktywnej bazy nie jest równoznaczne z natychmiastowym usunięciem wszystkich kopii zapasowych dostawcy.
6. Odbiorcy danych i przekazania poza EOG
Udostępniamy dane upoważnionym osobom obsługującym usługę oraz dostawcom w zakresie potrzebnym do wykonania ich zadań:
| Dostawca | Rola w usłudze i zakres danych |
|---|---|
| Supabase Pte. Ltd. | Baza, uwierzytelnianie i magazyn plików: dane kont i zespołów, metadane użycia, rozliczeń i kodów oraz tymczasowe załączniki. Projekt wykorzystuje region Frankfurt. |
| Vercel, Inc. | Hosting, wykonanie żądań aplikacji i dostarczanie strony: dane przekazywane podczas korzystania z serwisu oraz dane techniczne połączeń. Funkcje aplikacji wykorzystują region Frankfurt; pozostała infrastruktura i dostęp dostawcy mogą obejmować kraje poza EOG. |
| Anthropic Ireland, Limited oraz Anthropic, PBC | Modele AI: treści poleceń i dokumentów w zakresie przekazanym przez aplikację, a w opisanych wyżej ścieżkach także obrazy i pliki PDF. Przetwarzanie może odbywać się poza EOG, w tym w USA. |
| Microsoft Ireland Operations Limited | Azure AI Document Intelligence: obrazy i pliki kierowane do OCR oraz wyniki ich odczytu. Dostawca przetwarza dane analizy w regionie, w którym utworzono zasób usługi OCR. |
| Voyage AI Innovations Inc. | Tworzenie reprezentacji zapytań i porządkowanie wyników wyszukiwania prawnego: ograniczone i poddane kontroli zapytania oraz publiczne teksty prawne. Dostawca działa w USA. |
| Upstash, Inc. | Pamięć podręczna i ograniczanie żądań: identyfikatory techniczne, liczniki, szablony, wyniki wyszukiwania oraz dane rejestrowe podmiotów i reprezentantów. |
| Plus Five Five, Inc. — Resend | Poczta transakcyjna aplikacji i wiadomości uwierzytelniające: adres odbiorcy, temat i treść wiadomości, w tym dane kontaktowe ze zgłoszeń, plan, kwoty i terminy oraz odnośniki aktywacji lub resetu hasła. Podstawowe przetwarzanie odbywa się w USA. |
| Functional Software, Inc. — Sentry | Diagnostyka błędów i wydajności: dane techniczne i pseudonimowe identyfikatory opisane w § 7. Nagrywanie sesji jest wyłączone. Zdarzenia wysyłane są do punktu przyjmowania w Niemczech; nie oznacza to wyłącznego przetwarzania wszystkich danych usługi w Niemczech. |
| Google Cloud Poland sp. z o.o. — Google Workspace, z udziałem Google LLC | Skrzynka hello@velorislex.com: korespondencja, zgłoszenia i powiadomienia administracyjne. Przetwarzanie korzysta z globalnej infrastruktury Google. |
| Stripe Payments Europe, Limited, z udziałem Stripe, LLC | Obsługa płatności i portalu rozliczeniowego: dane klienta i subskrypcji, dane rozliczeniowe oraz informacje o metodzie płatności. Dane karty podajesz operatorowi płatności; nie zapisujemy pełnego numeru karty ani kodu zabezpieczającego w bazie VelorisLex. |
Notion wykorzystujemy do utrzymywania własnych szablonów usługi. Aplikacja nie przekazuje tam treści spraw, dokumentów użytkownika ani danych jego konta.
Odbiorcami mogą być również podmioty świadczące obsługę księgową i prawną oraz organy uprawnione na podstawie przepisów. Dostęp ograniczamy do danych potrzebnych w danym celu. Stripe i Vercel w części operacji, np. związanych z ich własnymi obowiązkami prawnymi, bezpieczeństwem lub zarządzaniem usługą dostawcy, działają jako odrębni administratorzy na zasadach określonych w ich informacjach o prywatności.
Korzystanie z regionu serwerowego w UE nie oznacza, że każda operacja lub dostęp wszystkich dostawców odbywa się wyłącznie w EOG. Przy przekazaniu danych poza EOG stosowane są właściwe dla danego przepływu zabezpieczenia: standardowe klauzule umowne albo decyzja o odpowiednim stopniu ochrony, w tym EU–US Data Privacy Framework w zakresie objętym ważną certyfikacją odbiorcy. Szczegółowe informacje zawiera Załącznik B do DPA. Kopię właściwych zabezpieczeń lub informację o miejscu ich udostępnienia można uzyskać, pisząc na hello@velorislex.com.
7. Cookies, pamięć przeglądarki i diagnostyka
Serwis wykorzystuje pliki cookies oraz pamięć przeglądarki. Nie są one ograniczone wyłącznie do stron po zalogowaniu. Nie prowadzimy reklam behawioralnych ani nie używamy marketingowych pikseli śledzących.
| Zapis w przeglądarce | Cel i czas przechowywania |
|---|---|
| Cookies uwierzytelniania Supabase | Utrzymanie i odnowienie zalogowania. Są aktualizowane w toku sesji oraz usuwane przy wylogowaniu; ich działanie zależy także od ustawień przeglądarki i ważności sesji. |
| vl_session_token | Kontrola jednej aktywnej sesji na koncie. Ważność do 30 dni, odnawiana podczas korzystania z serwisu. |
| vl_cookie_notice_ack_v1 w localStorage | Zapamiętanie zamknięcia komunikatu informacyjnego; pozostaje do usunięcia danych witryny w przeglądarce. |
| vl_pending_plan w localStorage | Przeniesienie wyboru planu przez proces rejestracji i aktywacji. Usuwany po wykorzystaniu wyboru lub stwierdzeniu aktywnego planu; może zostać także usunięty wraz z danymi witryny. |
| vl_confirm_email w sessionStorage | Wyświetlenie adresu i ponowne wysłanie wiadomości aktywacyjnej w trakcie rejestracji; co do zasady do zamknięcia karty. |
| Preferencja widoku dokumentu w sessionStorage | Zachowanie wybranego sposobu pracy w danej karcie; co do zasady do zamknięcia karty. |
| Flagi przewodnika i wyświetlonych podpowiedzi w localStorage | Zapamiętanie wykonanych kroków i ukrycie obejrzanych wskazówek; do ponowienia przewodnika, zresetowania odpowiednich flag lub usunięcia danych witryny. |
Sentry służy diagnozowaniu błędów technicznych i pomiarowi wydajności aplikacji. Nagrywanie sesji (Session Replay) jest wyłączone. Nie tworzymy w tym narzędziu nagrań interfejsu ani przebiegu wypełniania formularzy. Zdarzenia diagnostyczne mogą zawierać techniczny identyfikator użytkownika, informacje o błędzie, odwiedzanej podstronie i czasie działania aplikacji, więc nie traktujemy ich jako danych anonimowych. Filtry ograniczają dane przekazywane w raportach błędów, w tym usuwają treści żądań, cookies i nagłówki.
Ustawienia przeglądarki pozwalają usuwać i blokować cookies oraz pamięć witryny. Usunięcie danych uwierzytelniania powoduje utratę zalogowania; usunięcie preferencji przywraca ustawienia domyślne. Samo zamknięcie komunikatu informacyjnego nie jest zgodą na dodatkowe cele przetwarzania. Podstawę ochrony informacji w urządzeniu określa art. 399 Prawa komunikacji elektronicznej; ustawienia urządzenia nie zastępują obowiązków dostawcy serwisu wynikających z tego przepisu.
8. Bezpieczeństwo
Stosujemy szyfrowanie transmisji, mechanizmy ochrony danych w spoczynku dostawców, uwierzytelnianie i kontrolę dostępu, ograniczenia liczby żądań, rejestrowanie zdarzeń oraz środki ograniczające przekazywanie danych osobowych do modeli. Dostęp do danych mają osoby i systemy wykonujące określone zadania. Narzędzia automatyczne mogą nie rozpoznać wszystkich danych osobowych; korzystając z dokumentów zawierających tajemnicę zawodową lub dane wrażliwe, uwzględnij rzeczywisty zakres przetwarzania opisany w tej polityce i DPA.
9. Twoje prawa
Na zasadach określonych w RODO możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia oraz ograniczenia przetwarzania. W zakresie danych dostarczonych przez Ciebie i przetwarzanych automatycznie na podstawie umowy lub zgody masz prawo do ich przenoszenia. Jeżeli przetwarzanie opiera się na prawnie uzasadnionym interesie, możesz wnieść sprzeciw z przyczyn związanych ze swoją szczególną sytuacją. Jeżeli podstawą przetwarzania jest zgoda, możesz ją w każdej chwili wycofać.
W ustawieniach konta dostępny jest eksport danych konta oraz funkcja usunięcia konta. Wygaśnięcie lub anulowanie planu nie jest tym samym co usunięcie konta. Żądanie dotyczące danych możesz przesłać również na hello@velorislex.com. Możemy poprosić o informacje potrzebne do potwierdzenia tożsamości; ograniczymy je do niezbędnego zakresu.
Odpowiemy bez zbędnej zwłoki, zasadniczo w ciągu miesiąca od otrzymania żądania. Jeśli ze względu na złożoność sprawy lub liczbę żądań będzie konieczne przedłużenie tego terminu, poinformujemy Cię w ciągu pierwszego miesiąca o przyczynach i nowym terminie, nie dłuższym niż kolejne dwa miesiące. Usunięcie może nie obejmować danych nadal potrzebnych do wykonania obowiązku prawnego lub ustalenia, dochodzenia albo obrony roszczeń.
Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa. Aktualne informacje o sposobach wniesienia skargi znajdują się na stronie UODO.
W sprawie danych zawartych w dokumentach kancelarii właściwym adresatem żądania jest administrator, na którego polecenie dokument przetwarzamy. Jeżeli otrzymamy takie żądanie, pomożemy właściwemu administratorowi w jego obsłudze zgodnie z DPA; nie wykorzystamy danych sprawy do własnych, niezwiązanych celów.
10. Zmiany polityki
Aktualną wersję publikujemy pod adresem www.velorislex.com/legal/privacy. O istotnych zmianach poinformujemy w aplikacji lub pocztą elektroniczną z co najmniej 14-dniowym wyprzedzeniem. W przypadku zmian podprocesorów zachowujemy szczególny, co najmniej 30-dniowy termin powiadomienia oraz uprawnienia Administratora określone w DPA. Nie ogranicza to wymaganych prawem obowiązków informacyjnych przed rozpoczęciem nowego sposobu przetwarzania ani obowiązku uzyskania zgody, gdy jest wymagana.