Polityka prywatności

Wersja z 23 października 2026 r. · dotyczy aplikacji Open Smart One

Ten dokument wyjaśnia, jak przetwarzamy dane przy korzystaniu z Open Smart One, w tym z konta użytkownika, CRM, poczty, Studio, Asystenta 24 i modułu Komunikatory. Nie każda integracja jest dostępna lub włączona dla każdej firmy. Opis integracji odnosi się do sytuacji, w której została ona udostępniona i podłączona przez uprawnioną osobę.

1. Administrator i kontakt

Jesteśmy operatorem Open Smart One i administratorem danych potrzebnych do prowadzenia kont użytkowników, kontaktu z nami, rozliczania usługi i zapewnienia bezpieczeństwa platformy. Nie wyznaczyliśmy inspektora ochrony danych. Sprawy ochrony danych obsługujemy pod powyższym adresem.

Firma korzystająca z Open Smart One decyduje o celach przetwarzania danych swoich klientów, pracowników i korespondentów w CRM, poczcie, formularzach, kalendarzach i komunikatorach. W tym zakresie co do zasady jest administratorem, a my przetwarzamy dane na jej rzecz i według jej udokumentowanych instrukcji, w ramach usługi i warunków powierzenia. Ta polityka nie zastępuje informacji, które taka firma powinna przekazać swoim kontaktom.

2. Jakie dane przetwarzamy i po co

• Konto i dostęp: imię i nazwisko, adres e-mail, identyfikator konta, dane firmy, role i uprawnienia, zdjęcie profilu, jeżeli je dodasz, oraz skrót hasła. Służą do udostępnienia konta, uwierzytelniania i oddzielenia danych poszczególnych firm.
• Praca w aplikacji: kontakty, dane ofert i produktów, notatki, dokumenty, pliki, dane tożsamości firmy i treści stron, które użytkownicy zapisują lub zlecają opracować. Przetwarzamy je w celu wykonania wybranych funkcji i działań, zgodnie z uprawnieniami użytkownika.
• Podłączone kanały: identyfikatory kont i kanałów, dane kontaktów, treść wiadomości, załączniki, daty, statusy doręczenia i odczytu, a przy podłączonym kalendarzu — dane wydarzeń. Zakres zależy od wybranej integracji, przyznanych uprawnień i ustawień firmy.
• AI i głos: polecenia, wybrane materiały źródłowe, odpowiedzi oraz nagranie, jeśli uruchomisz dyktowanie lub inną funkcję głosową. Dane te są potrzebne do wykonania zleconego zadania, transkrypcji lub odczytania odpowiedzi.
• Obsługa i rozliczenia: treść zgłoszeń, dane kontaktowe, dane rozliczeniowe oraz informacje o planie i wykorzystaniu usług. Służą do kontaktu, obsługi umowy, rozliczeń i wyjaśniania zgłoszeń.
• Bezpieczeństwo: adres IP, informacje o przeglądarce i urządzeniu, czas i identyfikatory żądań, zdarzenia logowania, zmian uprawnień i wykonanych operacji oraz błędy techniczne. Służą do zapewnienia działania usługi, wykrywania nadużyć i ustalania przyczyn awarii.

Dane otrzymujemy bezpośrednio od użytkownika, od firmy zapraszającej go do konta, od osób kontaktujących się z taką firmą oraz z podłączonych usług, w zakresie udzielonego dostępu. Jeżeli firma zleca wyszukanie danych firmowych, źródłem mogą być także wskazane, publicznie dostępne witryny i katalogi.

3. Podstawy prawne

Gdy jesteśmy administratorem, przetwarzamy dane w celu zawarcia lub wykonania umowy (art. 6 ust. 1 lit. b RODO), wykonania obowiązków prawnych, w szczególności dotyczących rozliczeń (lit. c), oraz realizacji uzasadnionego interesu polegającego na zapewnieniu bezpieczeństwa, obsłudze kontaktu służbowego i zgłoszeń oraz ustalaniu, dochodzeniu i obronie roszczeń (lit. f). Jeśli określone przetwarzanie wymaga zgody, podstawą jest zgoda (lit. a), którą można wycofać bez wpływu na wcześniejszą zgodność przetwarzania z prawem.

Przy danych przetwarzanych na rzecz firmy korzystającej z aplikacji to ta firma ustala odpowiednią podstawę prawną. Techniczne zatwierdzenie uprawnień u dostawcy integracji nie zastępuje podstawy prawnej przetwarzania danych korespondentów. Podanie danych konta i uwierzytelnienia jest potrzebne do korzystania z usługi; niepodanie danych dodatkowej integracji uniemożliwia korzystanie z tej integracji.

4. Logowanie i podłączone usługi

Google i poczta

Logowanie przez Google, jeśli jest udostępnione, pozwala otrzymać identyfikator, adres e-mail i podstawowe dane profilu. Jest odrębne od podłączenia skrzynki lub kalendarza. Podłączenie poczty lub kalendarza wymaga osobnego dostępu; służy wyłącznie obsłudze wybranych funkcji. Dane dostępu do skrzynek i tokeny integracji są przechowywane po stronie serwera w chronionej postaci.

Meta: WhatsApp Business, Messenger i Instagram

Uprawniona osoba podłącza własne konto lub zasoby firmy przez oficjalny proces dostawcy. Nie przypisujemy wszystkich firm do jednego konta WhatsApp operatora. Otrzymujemy identyfikatory wskazanych zasobów, uprawnienia dostępu oraz dane rozmów i zdarzeń potrzebne do ich obsługi. Nie otrzymujemy hasła do Facebooka ani WhatsAppa w formularzu Open Smart One.

Wariant WhatsApp Coexistence, gdy jest dostępny dla danego konta i kraju, pozwala zachować aplikację WhatsApp Business na telefonie. Za zgodą udzieloną w procesie Meta może zostać przekazana dostępna historia rozmów z maksymalnie ostatnich 180 dni i dane kontaktów. Odmowa udostępnienia historii nie jest zgodą na jej import. Bieżące wiadomości, kopie wiadomości wysłanych z telefonu i statusy mogą być synchronizowane w celu prowadzenia rozmów w obu miejscach. Zakres i ograniczenia zależą od Meta; nie jest to dostęp do wszystkich prywatnych rozmów ani grup na telefonie.

Dane uzyskane przez integracje Meta wykorzystujemy do świadczenia zleconej usługi dla firmy, która je podłączyła. Nie sprzedajemy ich i nie wykorzystujemy do budowania baz reklamowych innych firm. Cofnięcie dostępu zatrzymuje dalszą obsługę integracji po otrzymaniu i przetworzeniu informacji o odłączeniu; nie jest samo w sobie poleceniem usunięcia całej wcześniej zapisanej korespondencji. Sposób żądania usunięcia opisano poniżej.

Telegram i pozostałe kanały

Jeśli podłączysz udostępnioną integrację Telegrama, przetwarzamy identyfikatory połączenia i użytkowników, dostępne dane profilu, wiadomości, załączniki i statusy w zakresie funkcji dopuszczonych przez Telegram. Samo korzystanie z Open Smart One nie daje dostępu do wszystkich aplikacji, SMS-ów ani połączeń na telefonie. Funkcje niedostępne w aplikacji nie są uruchamiane przez tę politykę.

5. AI, odbiorcy danych i przekazywanie poza EOG

Dostęp do danych mają uprawnieni użytkownicy danej firmy oraz osoby obsługujące platformę w zakresie niezbędnym do wykonania obowiązków. Korzystamy z dostawców infrastruktury serwerowej, kopii zapasowych, poczty i wsparcia technicznego. Dostawcy podłączonych usług, m.in. Meta, Google, Microsoft i Telegram, otrzymują dane potrzebne do wykonania działań w tych usługach. W zakresie swoich usług mogą również działać jako odrębni administratorzy, na zasadach opisanych w ich politykach.

Jeżeli uruchomiona funkcja korzysta z zewnętrznego modelu AI lub głosu, potrzebne do zadania polecenia i materiały mogą być przekazane skonfigurowanemu dostawcy. Obsługiwani dostawcy obejmują OpenAI, Google, Anthropic, Qwen/Alibaba i ElevenLabs; nie oznacza to, że wszyscy otrzymują dane z każdego zadania. Dostawca i zakres zależą od funkcji, konfiguracji i ograniczeń dostępu do rzeczywistych danych firmy. Nie należy umieszczać w poleceniu haseł, kluczy ani danych, których przekazanie nie jest potrzebne do zadania. Dane z integracji Meta nie mogą być używane niezgodnie z zakresem udzielonego dostępu i warunkami Meta.

Niektóre usługi lub ich wsparcie mogą wiązać się z przetwarzaniem poza Europejskim Obszarem Gospodarczym. Nie oznacza to, że całość danych jest przechowywana wyłącznie w Polsce lub UE. Taki transfer wymaga właściwej podstawy z rozdziału V RODO, np. odpowiedniej decyzji Komisji Europejskiej albo standardowych klauzul umownych wraz z wymaganymi zabezpieczeniami. Informację o odbiorcach właściwych dla konkretnej integracji i stosowanych zabezpieczeniach można uzyskać pod adresem kontaktowym powyżej.

Asystent pomaga przygotowywać treści i propozycje działań. Jego wyniki mogą być błędne i wymagają oceny użytkownika. Nie podejmujemy wobec użytkownika wyłącznie automatycznych decyzji wywołujących skutki prawne lub podobnie istotnie na niego wpływających w rozumieniu art. 22 RODO.

6. Czas przechowywania i bezpieczeństwo

• Dane konta przechowujemy przez czas jego obsługi i realizacji umowy. Po zakończeniu usługi dane wymagają usunięcia albo ograniczenia do zakresu potrzebnego do rozliczenia, wykonania obowiązku prawnego lub obsługi roszczeń.
• Dane robocze firmy, w tym kontakty, korespondencja i pliki, są przechowywane na jej rzecz przez czas korzystania z usługi oraz zgodnie z jej poleceniami dotyczącymi zwrotu lub usunięcia danych. Archiwizacja lub odłączenie integracji nie jest automatycznym usunięciem danych.
• Zgłoszenia i korespondencję z operatorem przechowujemy przez czas rozpatrywania sprawy, a następnie w zakresie niezbędnym do udokumentowania jej przebiegu i obsługi ewentualnych roszczeń do upływu właściwego terminu przedawnienia. Dokumenty rozliczeniowe podlegają właściwym obowiązkom rachunkowym i podatkowym.
• Logi techniczne są rotowane lub usuwane zgodnie z konfiguracją danego systemu. Zdarzenia potrzebne do wyjaśnienia incydentu lub udokumentowania wykonanych działań mogą być zachowane do zakończenia postępowania lub rozpatrzenia roszczeń.
• Kopie zapasowe mają odrębny cykl rotacji: zachowywane są kopie dzienne, tygodniowe i miesięczne, w tym do 12 kopii miesięcznych. Dlatego usunięte dane mogą pozostawać w ograniczonych kopiach do ich zastąpienia w tym cyklu. Kopie służą odtworzeniu po awarii, a nie bieżącej pracy lub marketingowi. Żądanie usunięcia obejmuje ustalenie sposobu postępowania z kopiami i ewentualnym odtworzeniem.

Stosujemy m.in. połączenia HTTPS, kontrolę dostępu, oddzielenie danych firm, ochronę sekretów integracji i ograniczenie dostępu administracyjnego. Dobieramy zakres dostępu do wykonywanej funkcji. Żaden system nie eliminuje wszystkich zagrożeń; zgłoszenie podejrzenia naruszenia można przesłać na adres kontaktowy z punktu 1.

7. Cookies i pamięć urządzenia

Aplikacja korzysta z mechanizmów niezbędnych do utrzymania sesji, ochrony formularzy i bezpieczeństwa oraz z lokalnej pamięci przeglądarki do zapisania ustawień, np. motywu, preferencji powiadomień i informacji związanych z instalacją aplikacji. Standardowy czas bezczynności sesji wynosi 120 minut, chyba że sesja zakończy się wcześniej. Część preferencji pozostaje do ich zmiany lub usunięcia danych witryny. Podłączane usługi mogą korzystać z własnych mechanizmów w swoich oknach logowania. W tej publicznej stronie nie osadzamy narzędzi reklamowych ani zewnętrznych skryptów analitycznych. Usunięcie danych witryny lub blokowanie niezbędnych cookies może spowodować wylogowanie lub utratę lokalnych ustawień.

8. Twoje prawa

W przypadkach przewidzianych w RODO możesz żądać dostępu i kopii danych, sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia danych, a także wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Jeśli podstawą jest zgoda, możesz ją wycofać. Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych: uodo.gov.pl.

Skontaktuj się z nami pod adresem rodo@opensmartgroup.com. Jeśli wniosek dotyczy danych, które przetwarzamy na rzecz firmy korzystającej z aplikacji, wskażemy odpowiedniego administratora i pomożemy mu obsłużyć wniosek. Weryfikacja tożsamości będzie proporcjonalna do sprawy. Co do zasady odpowiedź otrzymasz w ciągu miesiąca; w prawnie uzasadnionych przypadkach termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy wraz z przyczyną.

9. Jak zażądać usunięcia danych, także z integracji Meta

1. Napisz na rodo@opensmartgroup.com, w tytule wpisując „Open Smart One — usunięcie danych”. Nie musisz logować się do aplikacji.
2. Wskaż adres swojego konta lub dane pozwalające odnaleźć sprawę, nazwę firmy oraz zakres żądania, np. konto użytkownika, dane z Facebooka, Instagrama, WhatsAppa lub konkretna rozmowa. Nie przesyłaj haseł, tokenów, kluczy API ani niepotrzebnej kopii dokumentu tożsamości.
3. Potwierdzimy otrzymanie wniosku, w razie potrzeby poprosimy o niezbędne wyjaśnienie lub potwierdzenie tożsamości i poinformujemy o wykonaniu, ograniczeniu albo podstawie odmowy. Jeśli działamy na rzecz innego administratora, przekażemy mu sprawę w odpowiednim zakresie.

Dostęp integracji można również cofnąć w ustawieniach dostawcy. W WhatsApp Business dotyczy to połączenia z platformą dla firm. Cofnięcie dostępu i usunięcie danych w Open Smart One są odrębnymi czynnościami. Nie usuwamy w ten sposób danych z telefonu, konta Meta lub usług innych administratorów. Wyjątki od usunięcia mogą dotyczyć obowiązku prawnego, ochrony praw innych osób albo ustalania, dochodzenia lub obrony roszczeń; wówczas wyjaśnimy zakres dalszego przechowywania.

10. Zmiany dokumentu

Aktualna wersja jest dostępna pod tym samym publicznym adresem. Przy istotnej zmianie zakresu lub celów przetwarzania odpowiednio uzupełnimy informacje i, gdy jest to wymagane, uzyskamy właściwe uprawnienia lub zgodę przed rozpoczęciem nowego przetwarzania.