Polityka prywatności
Administratorem danych osobowych w przypadkach opisanych w niniejszej Polityce jest LAWLY spółka z ograniczoną odpowiedzialnością, ul. Michała Kajki 10-12, 10-547 Olsztyn, KRS 0001221173, NIP 7394028230, REGON 543879322 (dalej: Lawly). W sprawach dotyczących prywatności można skontaktować się z Lawly pod adresem kontakt@lawly.pl.
1. Zakres Polityki
Polityka obejmuje stronę lawly.pl, formularz zgłoszenia do Programu Beta, listę oczekujących dla klientów, kontakt z Lawly oraz funkcje Platformy uruchamiane później. Zakres faktycznie uruchomionych funkcji może być węższy niż zakres opisany w dokumentacji produktowej.
Na dzień 11.09.2026 publiczna strona marketingowa działa produkcyjnie. Produkcyjne zapisy do bety i client waitlist pozostają technicznie wyłączone do czasu zakończenia release gate. Po ich aktywacji stosuje się poniższe zasady.
2. Kategorie danych
2.1. Odwiedzający stronę
- dane techniczne połączenia, w tym adres IP, timestamp, identyfikator żądania, informacje o błędach i bezpieczeństwie w zakresie generowanym przez aplikację, system operacyjny i infrastrukturę;
- dane zapisane lokalnie w przeglądarce zgodnie z Polityką Cookies i podobnych technologii;
- dane przekazane dobrowolnie w wiadomości do Lawly.
2.2. Zgłoszenie do Programu Beta
- imię, nazwisko, adres e-mail, numer telefonu i miasto;
- dane kancelarii lub praktyki, w tym nazwa, wielkość, zawód, model praktyki i specjalizacje;
- informacje o wykorzystywanych narzędziach, problemach organizacyjnych, zainteresowaniu funkcjami Lawly oraz potencjalnych zastosowaniach P2P;
- informacje o częstotliwości określonych czynności lub potrzeb zawodowych;
- wersje i znaczniki czasu informacji prawnych i oświadczeń związanych ze zgłoszeniem;
- ograniczone dane atrybucyjne, np. źródło wejścia lub dozwolone parametry UTM, jeżeli zostały pozyskane zgodnie z ustawieniami prywatności;
- wewnętrzny wynik priorytetyzacji lub segment, tworzony na podstawie danych ze zgłoszenia w celu zarządzania pojemnością Programu Beta.
2.3. Client waitlist
- adres e-mail;
- hash lub HMAC adresu e-mail oraz HMAC identyfikatora technicznego używany do ograniczania nadużyć;
- wersja informacji lub zgody, timestamp, status potwierdzenia, token versions i retencja techniczna;
- informacja o spełnieniu wymogu wiekowego, jeżeli jest pobierana w danym flow.
2.4. Wiadomości e-mail
- adres nadawcy i odbiorcy, nagłówki techniczne, status wysyłki i identyfikatory wiadomości;
- treść wiadomości transakcyjnej niezbędnej do obsługi zgłoszenia, zaproszenia lub potwierdzenia;
- Lawly nie wykorzystuje transactional mail do marketingu bez odrębnej podstawy i wymaganego uprzedniego uprawnienia.
3. Cele i podstawy prawne
| Proces | Dane | Podstawa |
|---|---|---|
| Obsługa strony i bezpieczeństwo | dane techniczne, IP, logi, request IDs | art. 6 ust. 1 lit. f RODO - bezpieczeństwo, stabilność, zapobieganie nadużyciom |
| Przyjęcie i obsługa zgłoszenia Beta | dane kontaktowe i zawodowe ze zgłoszenia | art. 6 ust. 1 lit. b RODO - działania na żądanie osoby przed ewentualnym udziałem w Programie Beta |
| Priorytetyzacja zgłoszeń Beta | dane zawodowe, potrzeby, lead score / segment | art. 6 ust. 1 lit. f RODO - zarządzanie pojemnością testów i dobór reprezentatywnych użytkowników |
| Kontakt w sprawie rozmowy badawczej | dane kontaktowe i odpowiedź interview | art. 6 ust. 1 lit. a RODO, jeżeli flow opiera się na dobrowolnej zgodzie |
| Client waitlist i informacja o starcie | e-mail, status i dowód zgody | art. 6 ust. 1 lit. a RODO oraz właściwe przepisy dotyczące komunikacji elektronicznej, gdy są wymagane |
| Transactional e-mail związany ze zgłoszeniem | e-mail i dane potrzebne do wiadomości | art. 6 ust. 1 lit. b RODO |
| Obrona przed roszczeniami i wykazanie zgodności | dowody zgód, wersje informacji, logi | art. 6 ust. 1 lit. f RODO oraz art. 6 ust. 1 lit. c RODO, gdy istnieje obowiązek prawny |
Wynik priorytetyzacji zgłoszenia Beta służy organizacji procesu naboru. Nie powinien być wykorzystywany jako jedyna podstawa decyzji wywołującej skutki prawne lub podobnie istotnie wpływającej na osobę w rozumieniu art. 22 RODO. Lawly może dokonać ręcznego przeglądu zgłoszenia.
4. Dobrowolność podania danych
Podanie danych oznaczonych jako wymagane jest potrzebne do rozpatrzenia zgłoszenia lub obsługi właściwego flow. Pola opcjonalne są dobrowolne. Brak zgody marketingowej nie wpływa na rozpatrzenie zgłoszenia do bety.
5. Odbiorcy i dostawcy
Lawly korzysta z dostawców infrastruktury i poczty w zakresie niezbędnym do działania serwisu. Na dzień 11.09.2026 kluczowym dostawcą jest OVHcloud.
- OVH Sp. z o.o., ul. Powstańców Śląskich 9, 53-332 Wrocław, KRS 0000220286 - kontraktowy dostawca usług OVHcloud w polskim modelu umownym; w zakresie Treści Klienta działa jako podmiot przetwarzający na zasadach DPA;
- OVHcloud VPS w Beauharnois (BHS), Kanada - hosting aplikacji, PostgreSQL, logów, secrets i lokalnych kopii zapasowych;
- OVHcloud Standard automated VPS backup - backup dysku systemowego; dokładna lokalizacja konkretnej kopii wymaga potwierdzenia w zakresie produktu;
- OVHcloud MX Plan / SMTP - obsługa skrzynki i wiadomości e-mail; dokładna technologia i lokalizacja konkretnej usługi są zależne od konfiguracji konta;
- Internet Security Research Group / Let's Encrypt - wystawianie i odnawianie publicznych certyfikatów TLS; nie otrzymuje treści formularzy ani bazy danych Lawly.
PostgreSQL, Caddy, Astro/Node i pozostałe komponenty uruchomione na VPS są self-hosted i nie stanowią odrębnych zewnętrznych podmiotów przetwarzających.
6. Transfery poza EOG
Produkcja strony Lawly jest obecnie hostowana w centrum danych OVHcloud w Beauharnois, Kanada. Kanada posiada decyzję Komisji Europejskiej o odpowiednim stopniu ochrony w odniesieniu do komercyjnych organizacji podlegających kanadyjskiej ustawie PIPEDA. W zakresie, w jakim właściwy kanadyjski odbiorca podlega PIPEDA, transfer może korzystać z art. 45 RODO.
Umowa powierzenia OVHcloud przewiduje również model dalszego przetwarzania i standardowe klauzule umowne 2021/914 dla przekazań do spółek zależnych w państwach, wobec których nie obowiązuje decyzja adekwatności. Dostęp z państwa trzeciego jest kwalifikowany oddzielnie zgodnie z rzeczywistym flow, rolą odbiorcy i obowiązującym mechanizmem transferowym.
Lawly nie opiera publicznej informacji na założeniu, że wszystkie podmioty grupy OVHcloud przetwarzają dane Lawly. Faktyczny zakres podmiotów uczestniczących w konkretnej usłudze podlega vendor review.
7. Hosting, bezpieczeństwo i dostęp
- konto OVHcloud posiada MFA;
- SSH do VPS jest key-only; logowanie root przez SSH i logowanie hasłem są wyłączone;
- UFW domyślnie blokuje ruch przychodzący, a publicznie dopuszczone są wyłącznie porty 22, 80 i 443;
- PostgreSQL nie ma publicznie wystawionego portu, a połączenie aplikacja-DB korzysta z TLS w prywatnej sieci kontenerowej;
- SMTP korzysta z STARTTLS;
- sekrety produkcyjne nie są publikowane w repozytorium i są przechowywane w plikach o ograniczonych uprawnieniach na serwerze;
- Lawly stosuje ograniczoną retencję logów i backupów zgodnie z wewnętrzną dokumentacją.
8. Retencja
| Kategoria | Okres / reguła |
|---|---|
| Niezatwierdzony / niepotwierdzony wpis client waitlist | do 48 godzin, chyba że wcześniejsze usunięcie |
| Potwierdzony client waitlist | do 12 miesięcy lub do cofnięcia / realizacji celu, zależnie od tego co nastąpi wcześniej |
| Surowy e-mail po wygaśnięciu lub wycofaniu z waitlist | docelowo usunięcie do 7 dni, przy zachowaniu ograniczonego dowodu zgodności |
| Dowód zgody / oświadczenia waitlist | do 3 lat, o ile dłuższy okres nie jest potrzebny do obrony roszczeń |
| Zgłoszenie do Programu Beta osoby nieprzyjętej | do zakończenia naboru i nie dłużej niż 12 miesięcy od zgłoszenia, chyba że osoba zgodzi się na inny cel |
| Dane przyjętego uczestnika Beta | zgodnie z retencją Konta i Programu Beta |
| Attribution localStorage | do 30 dni; tylko po spełnieniu wymogów dotyczących zgody na niekonieczne storage, jeżeli ma zastosowanie |
| Docker container logs | rotacja do 10 MB x 5 plików na kontener |
| Persistent journald | maksymalnie 30 dni i limit 500 MB |
| Lokalne zaszyfrowane backupy PostgreSQL | 14 dni |
Jeżeli Legal Hold, obowiązek prawny lub konieczność ustalenia, dochodzenia albo obrony roszczeń wymaga dłuższego zachowania konkretnych danych, retencja może zostać odpowiednio przedłużona w zakresie niezbędnym.
9. Cookies i local storage
Aktualna produkcja nie korzysta z cookies aplikacyjnych ani third-party cookies. Analityka zewnętrzna nie jest aktywna. Strona może korzystać z localStorage zgodnie z odrębną Polityką Cookies i podobnych technologii.
10. Prawa osób
- dostęp do danych;
- sprostowanie danych;
- usunięcie danych, gdy zachodzą przesłanki;
- ograniczenie przetwarzania;
- sprzeciw wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO;
- przenoszenie danych, gdy zachodzą przesłanki;
- cofnięcie zgody w dowolnym momencie bez wpływu na zgodność wcześniejszego przetwarzania;
- skarga do Prezesa Urzędu Ochrony Danych Osobowych.
W celu realizacji praw można skontaktować się z Lawly: kontakt@lawly.pl. Lawly może poprosić o informacje potrzebne do potwierdzenia tożsamości i ochrony danych przed nieuprawnionym ujawnieniem.
11. Dane w przyszłych funkcjach Platformy
Po aktywacji Kont Lawly, Lawyer OS, Marketplace B2C, P2P, płatności, dokumentów, kalendarza lub innych funkcji Polityka może zostać rozszerzona. Lawly nie traktuje opisu planowanej funkcji jako podstawy do rozpoczęcia przetwarzania. Każdy nowy istotny flow podlega Legal & Privacy Release Gate.
12. Zmiany Polityki
Lawly może aktualizować Politykę w szczególności po zmianie prawa, infrastruktury, dostawców, funkcji lub modelu przetwarzania. Jeżeli zmiana jest istotna, Lawly przekaże informację w sposób odpowiedni do relacji z osobą.
Źródła i dokumenty referencyjne
- RODO, w szczególności art. 5, 6, 12-22, 24, 25, 28, 32 i 44-49.
- Komisja Europejska - adequacy decisions, w tym Canada (commercial organisations subject to PIPEDA): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
- OVHcloud - Ogólne warunki świadczenia usług, wersja 17.01.2025: https://contract.eu.ovhapis.com/1.0/pdf/contrat_genServices-pl.pdf
- OVHcloud - DPA, wersja 17.10.2025: https://contract.eu.ovhapis.com/1.0/pdf/OVH_Data_Protection_Agreement-pl.pdf
- OVHcloud - VPS Specific Conditions: https://contract.eu.ovhapis.com/1.0/pdf/Conditions_Particulieres_VPS-pl.pdf
- Lawly - Infrastructure Vendor and Compliance Inventory, snapshot 11.09.2026.