Polityka prywatności

Administratorem danych osobowych w przypadkach opisanych w niniejszej Polityce jest LAWLY spółka z ograniczoną odpowiedzialnością, ul. Michała Kajki 10-12, 10-547 Olsztyn, KRS 0001221173, NIP 7394028230, REGON 543879322 (dalej: Lawly). W sprawach dotyczących prywatności można skontaktować się z Lawly pod adresem kontakt@lawly.pl.

1. Zakres Polityki

Polityka obejmuje stronę lawly.pl, formularz zgłoszenia do Programu Beta, listę oczekujących dla klientów, kontakt z Lawly oraz funkcje Platformy uruchamiane później. Zakres faktycznie uruchomionych funkcji może być węższy niż zakres opisany w dokumentacji produktowej.

Na dzień 11.09.2026 publiczna strona marketingowa działa produkcyjnie. Produkcyjne zapisy do bety i client waitlist pozostają technicznie wyłączone do czasu zakończenia release gate. Po ich aktywacji stosuje się poniższe zasady.

2. Kategorie danych

2.1. Odwiedzający stronę

dane techniczne połączenia, w tym adres IP, timestamp, identyfikator żądania, informacje o błędach i bezpieczeństwie w zakresie generowanym przez aplikację, system operacyjny i infrastrukturę;

dane zapisane lokalnie w przeglądarce zgodnie z Polityką Cookies i podobnych technologii;

dane przekazane dobrowolnie w wiadomości do Lawly.

2.2. Zgłoszenie do Programu Beta

imię, nazwisko, adres e-mail, numer telefonu i miasto;

dane kancelarii lub praktyki, w tym nazwa, wielkość, zawód, model praktyki i specjalizacje;

informacje o wykorzystywanych narzędziach, problemach organizacyjnych, zainteresowaniu funkcjami Lawly oraz potencjalnych zastosowaniach P2P;

informacje o częstotliwości określonych czynności lub potrzeb zawodowych;

wersje i znaczniki czasu informacji prawnych i oświadczeń związanych ze zgłoszeniem;

ograniczone dane atrybucyjne, np. źródło wejścia lub dozwolone parametry UTM, jeżeli zostały pozyskane zgodnie z ustawieniami prywatności;

wewnętrzny wynik priorytetyzacji lub segment, tworzony na podstawie danych ze zgłoszenia w celu zarządzania pojemnością Programu Beta.

2.3. Client waitlist

adres e-mail;

hash lub HMAC adresu e-mail oraz HMAC identyfikatora technicznego używany do ograniczania nadużyć;

wersja informacji lub zgody, timestamp, status potwierdzenia, token versions i retencja techniczna;

informacja o spełnieniu wymogu wiekowego, jeżeli jest pobierana w danym flow.

2.4. Wiadomości e-mail

adres nadawcy i odbiorcy, nagłówki techniczne, status wysyłki i identyfikatory wiadomości;

treść wiadomości transakcyjnej niezbędnej do obsługi zgłoszenia, zaproszenia lub potwierdzenia;

Lawly nie wykorzystuje transactional mail do marketingu bez odrębnej podstawy i wymaganego uprzedniego uprawnienia.

3. Cele i podstawy prawne

Proces	Dane	Podstawa
Obsługa strony i bezpieczeństwo	dane techniczne, IP, logi, request IDs	art. 6 ust. 1 lit. f RODO - bezpieczeństwo, stabilność, zapobieganie nadużyciom
Przyjęcie i obsługa zgłoszenia Beta	dane kontaktowe i zawodowe ze zgłoszenia	art. 6 ust. 1 lit. b RODO - działania na żądanie osoby przed ewentualnym udziałem w Programie Beta
Priorytetyzacja zgłoszeń Beta	dane zawodowe, potrzeby, lead score / segment	art. 6 ust. 1 lit. f RODO - zarządzanie pojemnością testów i dobór reprezentatywnych użytkowników
Kontakt w sprawie rozmowy badawczej	dane kontaktowe i odpowiedź interview	art. 6 ust. 1 lit. a RODO, jeżeli flow opiera się na dobrowolnej zgodzie
Client waitlist i informacja o starcie	e-mail, status i dowód zgody	art. 6 ust. 1 lit. a RODO oraz właściwe przepisy dotyczące komunikacji elektronicznej, gdy są wymagane
Transactional e-mail związany ze zgłoszeniem	e-mail i dane potrzebne do wiadomości	art. 6 ust. 1 lit. b RODO
Obrona przed roszczeniami i wykazanie zgodności	dowody zgód, wersje informacji, logi	art. 6 ust. 1 lit. f RODO oraz art. 6 ust. 1 lit. c RODO, gdy istnieje obowiązek prawny

Wynik priorytetyzacji zgłoszenia Beta służy organizacji procesu naboru. Nie powinien być wykorzystywany jako jedyna podstawa decyzji wywołującej skutki prawne lub podobnie istotnie wpływającej na osobę w rozumieniu art. 22 RODO. Lawly może dokonać ręcznego przeglądu zgłoszenia.

4. Dobrowolność podania danych

Podanie danych oznaczonych jako wymagane jest potrzebne do rozpatrzenia zgłoszenia lub obsługi właściwego flow. Pola opcjonalne są dobrowolne. Brak zgody marketingowej nie wpływa na rozpatrzenie zgłoszenia do bety.

5. Odbiorcy i dostawcy

Lawly korzysta z dostawców infrastruktury i poczty w zakresie niezbędnym do działania serwisu. Na dzień 11.09.2026 kluczowym dostawcą jest OVHcloud.

OVH Sp. z o.o., ul. Powstańców Śląskich 9, 53-332 Wrocław, KRS 0000220286 - kontraktowy dostawca usług OVHcloud w polskim modelu umownym; w zakresie Treści Klienta działa jako podmiot przetwarzający na zasadach DPA;

OVHcloud VPS w Beauharnois (BHS), Kanada - hosting aplikacji, PostgreSQL, logów, secrets i lokalnych kopii zapasowych;

OVHcloud Standard automated VPS backup - backup dysku systemowego; dokładna lokalizacja konkretnej kopii wymaga potwierdzenia w zakresie produktu;

OVHcloud MX Plan / SMTP - obsługa skrzynki i wiadomości e-mail; dokładna technologia i lokalizacja konkretnej usługi są zależne od konfiguracji konta;

Internet Security Research Group / Let's Encrypt - wystawianie i odnawianie publicznych certyfikatów TLS; nie otrzymuje treści formularzy ani bazy danych Lawly.

PostgreSQL, Caddy, Astro/Node i pozostałe komponenty uruchomione na VPS są self-hosted i nie stanowią odrębnych zewnętrznych podmiotów przetwarzających.

6. Transfery poza EOG

Produkcja strony Lawly jest obecnie hostowana w centrum danych OVHcloud w Beauharnois, Kanada. Kanada posiada decyzję Komisji Europejskiej o odpowiednim stopniu ochrony w odniesieniu do komercyjnych organizacji podlegających kanadyjskiej ustawie PIPEDA. W zakresie, w jakim właściwy kanadyjski odbiorca podlega PIPEDA, transfer może korzystać z art. 45 RODO.

Umowa powierzenia OVHcloud przewiduje również model dalszego przetwarzania i standardowe klauzule umowne 2021/914 dla przekazań do spółek zależnych w państwach, wobec których nie obowiązuje decyzja adekwatności. Dostęp z państwa trzeciego jest kwalifikowany oddzielnie zgodnie z rzeczywistym flow, rolą odbiorcy i obowiązującym mechanizmem transferowym.

Lawly nie opiera publicznej informacji na założeniu, że wszystkie podmioty grupy OVHcloud przetwarzają dane Lawly. Faktyczny zakres podmiotów uczestniczących w konkretnej usłudze podlega vendor review.

7. Hosting, bezpieczeństwo i dostęp

konto OVHcloud posiada MFA;

SSH do VPS jest key-only; logowanie root przez SSH i logowanie hasłem są wyłączone;

UFW domyślnie blokuje ruch przychodzący, a publicznie dopuszczone są wyłącznie porty 22, 80 i 443;

PostgreSQL nie ma publicznie wystawionego portu, a połączenie aplikacja-DB korzysta z TLS w prywatnej sieci kontenerowej;

SMTP korzysta z STARTTLS;

sekrety produkcyjne nie są publikowane w repozytorium i są przechowywane w plikach o ograniczonych uprawnieniach na serwerze;

Lawly stosuje ograniczoną retencję logów i backupów zgodnie z wewnętrzną dokumentacją.

8. Retencja

Kategoria	Okres / reguła
Niezatwierdzony / niepotwierdzony wpis client waitlist	do 48 godzin, chyba że wcześniejsze usunięcie
Potwierdzony client waitlist	do 12 miesięcy lub do cofnięcia / realizacji celu, zależnie od tego co nastąpi wcześniej
Surowy e-mail po wygaśnięciu lub wycofaniu z waitlist	docelowo usunięcie do 7 dni, przy zachowaniu ograniczonego dowodu zgodności
Dowód zgody / oświadczenia waitlist	do 3 lat, o ile dłuższy okres nie jest potrzebny do obrony roszczeń
Zgłoszenie do Programu Beta osoby nieprzyjętej	do zakończenia naboru i nie dłużej niż 12 miesięcy od zgłoszenia, chyba że osoba zgodzi się na inny cel
Dane przyjętego uczestnika Beta	zgodnie z retencją Konta i Programu Beta
Attribution localStorage	do 30 dni; tylko po spełnieniu wymogów dotyczących zgody na niekonieczne storage, jeżeli ma zastosowanie
Docker container logs	rotacja do 10 MB x 5 plików na kontener
Persistent journald	maksymalnie 30 dni i limit 500 MB
Lokalne zaszyfrowane backupy PostgreSQL	14 dni

Jeżeli Legal Hold, obowiązek prawny lub konieczność ustalenia, dochodzenia albo obrony roszczeń wymaga dłuższego zachowania konkretnych danych, retencja może zostać odpowiednio przedłużona w zakresie niezbędnym.

9. Cookies i local storage

Aktualna produkcja nie korzysta z cookies aplikacyjnych ani third-party cookies. Analityka zewnętrzna nie jest aktywna. Strona może korzystać z localStorage zgodnie z odrębną Polityką Cookies i podobnych technologii.

10. Prawa osób

dostęp do danych;

sprostowanie danych;

usunięcie danych, gdy zachodzą przesłanki;

ograniczenie przetwarzania;

sprzeciw wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO;

przenoszenie danych, gdy zachodzą przesłanki;

cofnięcie zgody w dowolnym momencie bez wpływu na zgodność wcześniejszego przetwarzania;

skarga do Prezesa Urzędu Ochrony Danych Osobowych.

W celu realizacji praw można skontaktować się z Lawly: kontakt@lawly.pl. Lawly może poprosić o informacje potrzebne do potwierdzenia tożsamości i ochrony danych przed nieuprawnionym ujawnieniem.

11. Dane w przyszłych funkcjach Platformy

Po aktywacji Kont Lawly, Lawyer OS, Marketplace B2C, P2P, płatności, dokumentów, kalendarza lub innych funkcji Polityka może zostać rozszerzona. Lawly nie traktuje opisu planowanej funkcji jako podstawy do rozpoczęcia przetwarzania. Każdy nowy istotny flow podlega Legal & Privacy Release Gate.

12. Zmiany Polityki

Lawly może aktualizować Politykę w szczególności po zmianie prawa, infrastruktury, dostawców, funkcji lub modelu przetwarzania. Jeżeli zmiana jest istotna, Lawly przekaże informację w sposób odpowiedni do relacji z osobą.

Źródła i dokumenty referencyjne

RODO, w szczególności art. 5, 6, 12-22, 24, 25, 28, 32 i 44-49.

Komisja Europejska - adequacy decisions, w tym Canada (commercial organisations subject to PIPEDA): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en

OVHcloud - Ogólne warunki świadczenia usług, wersja 17.01.2025: https://contract.eu.ovhapis.com/1.0/pdf/contrat_genServices-pl.pdf

OVHcloud - DPA, wersja 17.10.2025: https://contract.eu.ovhapis.com/1.0/pdf/OVH_Data_Protection_Agreement-pl.pdf

OVHcloud - VPS Specific Conditions: https://contract.eu.ovhapis.com/1.0/pdf/Conditions_Particulieres_VPS-pl.pdf

Lawly - Infrastructure Vendor and Compliance Inventory, snapshot 11.09.2026.

kontakt@lawly.pl Urząd Ochrony Danych Osobowych