Prywatność
Czytanie aktów prawnych w serwisie nie wymaga podawania żadnych danych. Dane osobowe przetwarzamy tylko wtedy, gdy ktoś prosi o klucz do API, i zbieramy od niego jedynie adres e-mail, oraz gdy ktoś wyszukuje przepisy i sam wpisze takie dane w zapytanie. Ta strona wyjaśnia, co się z nimi dzieje. RODO oznacza na niej rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych).
Administrator danych
Administratorem danych jest Marek Jagielski, który prowadzi serwis Otwarte Prawo. We wszystkich sprawach dotyczących danych osobowych prosimy pisać na adres kontakt@otwarteprawo.pl — to jedyny kanał kontaktu w tych sprawach. Nie wyznaczyliśmy inspektora ochrony danych, ponieważ art. 37 RODO nas do tego nie zobowiązuje.
Jakie dane przechowujemy
O osobie, która poprosiła o klucz, przechowujemy:
- adres e-mail — zaszyfrowany; baza danych, jej kopie zapasowe i każdy zrzut zawierają wyłącznie szyfrogram;
- datę potwierdzenia adresu oraz, dla każdego klucza, jego początkowe znaki, datę utworzenia, datę unieważnienia i to, kto go unieważnił;
- liczniki wywołań API: czas, usługę, narzędzie, rodzaj parametrów, wynik, liczbę bajtów i czas odpowiedzi — bez treści zapytania i odpowiedzi.
Nie przechowujemy imienia ani nazwiska, nazwy organizacji, adresu pocztowego, hasła, treści zapytań ani adresu IP. Samego klucza nie przechowujemy i nie wysyłamy pocztą — zapisujemy tylko jego skrót. Podanie adresu jest dobrowolne, ale bez niego nie możemy wydać klucza. Nie podejmujemy wobec nikogo decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu i nikogo nie profilujemy.
Cele i podstawy prawne
| Cel | Podstawa prawna (RODO) |
|---|---|
| Wydanie, potwierdzenie, obsługa i unieważnienie klucza; wiadomość z potwierdzeniem; informacja o wykorzystaniu limitu | art. 6 ust. 1 lit. b — usługa, o którą prosi posiadacz klucza |
| Utrzymanie usługi dla wszystkich: ograniczenie częstotliwości wywołań, limit liczby ważnych kluczy, unieważnienie klucza przez administratora | art. 6 ust. 1 lit. f — prawnie uzasadniony interes: integralność usługi |
| Ocena zapotrzebowania, by zdecydować, co i za jaką cenę oferować — na podstawie liczników wywołań klucza, nigdy treści zapytań | art. 6 ust. 1 lit. f — prawnie uzasadniony interes: rozwój usługi |
| Wiadomości dotyczące posiadanego klucza: potwierdzenie, zmiana warunków lub ceny, ostrzeżenie o bezpieczeństwie | art. 6 ust. 1 lit. b dla potwierdzenia, lit. f dla pozostałych; nie wysyłamy informacji handlowych |
| Nocna kopia zapasowa i jej kopie | art. 6 ust. 1 lit. f — prawnie uzasadniony interes: trwałość danych |
| Odpowiedź na żądanie osoby, której dane dotyczą | art. 6 ust. 1 lit. c — obowiązek prawny |
Jak długo przechowujemy dane
- Adres, którego nikt nie potwierdził, usuwamy 24 godziny po prośbie o klucz.
- Zapis pojedynczego wywołania API przechowujemy przez 30 dni.
- Klucz, którego nikt nie użył przez 365 dni, unieważniamy.
- Posiadacza, który od 90 dni nie ma żadnego ważnego klucza, usuwamy wraz z jego kluczami. Dzienne liczniki wywołań zostają, ale nie da się ich już z nikim powiązać.
- Zaszyfrowany adres pozostaje w kopiach zapasowych: do 30 dni w naszym magazynie kopii i do 7 dni w kopiach dostawcy. Najpóźniej 60 dni po usunięciu adresu nie ma go już w żadnej kopii, także w tej na własnym sprzęcie administratora.
- Adres IP w dziennikach dostępu dostawcy hostingu jest przechowywany przez 7 dni.
Adres przetrwa więc ostatni ważny klucz posiadacza najwyżej o 150 dni.
Komu powierzamy dane
- Scaleway SAS — baza danych, wysyłka poczty, kopie zapasowe, dzienniki dostępu i zamiana zapytań wyszukiwania na wektory; centra danych w Unii Europejskiej, na podstawie umowy powierzenia. Wiadomość z potwierdzeniem wysyłamy z centrum danych w Paryżu (region fr-par), więc adres trafia tam z Warszawy.
- OVHcloud — skrzynka, na którą przychodzą żądania, oraz rejestracja domeny; Unia Europejska.
- Backblaze — zaszyfrowana kopia zapasowa poza kontem dostawcy hostingu, zawierająca wyłącznie szyfrogram; centrum danych w Amsterdamie, Unia Europejska. Druga taka kopia znajduje się na własnym sprzęcie administratora.
- Bunny.net — strefa DNS domeny; nie przechowuje żadnych danych posiadaczy kluczy.
Nie przekazujemy danych nikomu innemu, nie sprzedajemy ich i nie udostępniamy. Dane nie opuszczają Europejskiego Obszaru Gospodarczego.
Twoje prawa i jak z nich skorzystać
Żądanie wyślij na adres kontakt@otwarteprawo.pl z adresu, którego dotyczy. Adres nadawcy jest jedynym potwierdzeniem tożsamości: odpowiadamy wyłącznie na ten adres, a żądanie dotyczące innego adresu odrzucamy, podając powód. Odpowiadamy w ciągu miesiąca.
- Dostęp i przenoszenie danych: w odpowiedzi dostaniesz, jako tekst, wszystko, co o Tobie przechowujemy — adres, datę jego potwierdzenia, początkowe znaki i daty każdego klucza wraz z informacją, kto go unieważnił, oraz dzienne liczniki wywołań.
- Usunięcie danych: usuwamy Twoje dane wraz z kluczami. Najpóźniej 60 dni później adresu nie ma także w kopiach zapasowych.
- Sprostowanie: adresu nie zmieniamy — usuń go i poproś o klucz ponownie, podając właściwy adres.
- Sprzeciw: jedynym przetwarzaniem opartym na prawnie uzasadnionym interesie, które dotyczy konkretnego posiadacza, jest liczenie wywołań jego klucza; kończy je usunięcie danych.
- Unieważnienie klucza: możesz to zrobić sam, w każdej chwili, podając klucz — bez wysyłania żądania.
Skarga do organu nadzorczego
Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Strona internetowa
Serwis nie ustawia plików cookie, nie korzysta z narzędzi analitycznych i nie prowadzi kont użytkowników. Dostawca hostingu zapisuje w dziennikach dostępu adres IP, ścieżkę i czas każdego żądania i przechowuje je przez 7 dni, na podstawie art. 6 ust. 1 lit. f RODO — prawnie uzasadnionego interesu w działaniu serwisu. Nasz własny kod nie zapisuje w dziennikach adresów IP, kluczy ani adresów e-mail.
Gdy szukasz przepisu po treści, słowa zapytania wysyłamy do usługi Scaleway Generative APIs (region fr-par, Paryż), która zamienia je na wektor. Nie zapisujemy zapytań i nie łączymy ich z kluczem ani z adresem IP. Podstawą jest art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes w odpowiedzi na wyszukiwanie, o które prosisz.