# Polityka prywatności WM Administrator

**Usługodawca / Operator:** Brillnet Piotr Adamski, ul. Henryka Sienkiewicza 73/6, 90-057 Łódź, Polska, NIP 7321779060, REGON 101551294
**Kontakt usługowy:** [kontakt@wm-admin.pl](mailto:kontakt@wm-admin.pl)
**Kontakt w sprawach prywatności i naruszeń:** [privacy@brillnet-app.com](mailto:privacy@brillnet-app.com)
**Serwis:** [https://wm-admin.pl/](https://wm-admin.pl/)
**Wersja:** `2026-10-12-beta.2`


## 1. Dwie role Brillnet

1. Brillnet jest **administratorem** danych dotyczących osób reprezentujących Klienta, Użytkowników konta, rozliczeń, bezpieczeństwa, kontaktu, strony marketingowej oraz własnych obowiązków prawnych.
2. Brillnet jest **podmiotem przetwarzającym**, gdy obsługuje w imieniu Klienta dane mieszkańców, właścicieli, najemców, dostawców, pełnomocników i innych osób zapisanych w Wspólnocie. Te operacje reguluje [DPA](/umowa-powierzenia); cele i podstawy prawne określa Klient.
3. Stripe, bank, organ publiczny lub Google mogą działać jako niezależny administrator albo procesor Klienta zależnie od danej operacji i umowy. Aktualna klasyfikacja jest w dokumencie [Podprocesorzy i odbiorcy](/podprocesorzy).

## 2. Dane przetwarzane przez Brillnet jako administratora

| Cel | Kategorie danych | Podstawa | Okres |
|---|---|---|---|
| zawarcie i wykonanie Umowy | dane identyfikacyjne i kontaktowe przedstawiciela, organizacja, rola, dowód umocowania, zdarzenia akceptacji | art. 6 ust. 1 lit. b RODO, a dla reprezentantów – lit. f: wykonanie relacji z Klientem | Umowa + okres dochodzenia roszczeń |
| konto i uwierzytelnianie | e-mail, identyfikator, hash hasła, sesje, konfiguracja MFA, role | art. 6 ust. 1 lit. b lub f RODO | przez konto; dane bezpieczeństwa zgodnie z retencją |
| płatności, podatki i rachunkowość | dane organizacji i płatnika, identyfikatory klienta/subskrypcji/transakcji Stripe, faktury; Brillnet nie przechowuje pełnego numeru karty | art. 6 ust. 1 lit. b i c RODO | okres wymagany przepisami podatkowymi i rachunkowymi |
| bezpieczeństwo, audyt i przeciwdziałanie nadużyciom | logowania, identyfikatory urządzenia/sesji, IP lub jego ograniczona/hashowana postać, log audytowy, korelacja | art. 6 ust. 1 lit. f RODO: ochrona Usługi, Klientów i dowodowość | logi bezpieczeństwa co najmniej 12 miesięcy; operacyjne co do zasady 90 dni |
| wsparcie i reklamacje | treść zgłoszenia, kontakt, metadane techniczne, załączniki przekazane przez zgłaszającego | art. 6 ust. 1 lit. b lub f RODO | co do zasady 3 lata po zamknięciu, dłużej przy sporze |
| komunikacja o Usłudze | adres, rola, informacje o awarii, bezpieczeństwie, zmianie dokumentu lub płatności | art. 6 ust. 1 lit. b, c lub f RODO | przez relację i okres dowodowy |
| marketing własny, jeśli uruchomiony | e-mail, organizacja, historia zgód i sprzeciwów | zgoda albo prawnie dopuszczalny uzasadniony interes, z uwzględnieniem PKE | do wycofania/sprzeciwu; dowód przez okres roszczeń |
| obrona roszczeń i zgodność | dane związane ze zdarzeniem lub postępowaniem | art. 6 ust. 1 lit. c lub f RODO | do końca obowiązku lub przedawnienia |

## 3. Dane ze strony i pliki cookie

1. Landing page nie używa zewnętrznej analityki, reklamowego profilowania ani nagrywania sesji.
2. Aplikacja używa plików i mechanizmów technicznie niezbędnych do sesji, bezpieczeństwa i uwierzytelniania. Dane tenantowe nie są przechowywane w `localStorage` ani `IndexedDB`.
3. Stripe i Google mogą ustawiać własne pliki po przejściu do ich usługi albo po świadomym włączeniu integracji.
4. Szczegóły są w [Polityce cookies](/cookies). Jeżeli Brillnet doda analitykę niewymaganą technicznie, przed jej aktywacją wdroży mechanizm zgody.

## 4. Źródła danych

Dane otrzymujemy od osoby, której dotyczą; od Klienta lub jego administratora; od Stripe w zakresie statusu płatności; od dostawcy logowania lub integracji wybranej przez Klienta; oraz automatycznie z bezpiecznego korzystania z Usługi. Jeżeli dane reprezentanta podała organizacja, źródłem jest ta organizacja.

## 5. Odbiorcy, podprocesorzy i transfery

1. Dane mogą otrzymać upoważnione osoby Brillnet, dostawcy infrastruktury i komunikacji, Stripe, doradcy związani poufnością oraz organy, gdy wymaga tego prawo.
2. Podstawowa infrastruktura korzysta z Cloudflare. Dane trwałe D1, R2 i Durable Objects są konfigurowane w jurysdykcji UE, ale bezstanowa część Workers może wykonywać kod poza EOG. Nie deklarujemy, że każde przetwarzanie odbywa się wyłącznie w EOG.
3. Dla transferów poza EOG stosowane są odpowiednie mechanizmy, w szczególności decyzja o adekwatności (np. EU–US Data Privacy Framework, jeśli podmiot jest certyfikowany) lub standardowe klauzule umowne, wraz z oceną środków uzupełniających.
4. Aktualna lista i zakres są w [/podprocesorzy](/podprocesorzy).

## 6. Analityka produktu i diagnostyka

1. Brillnet może obliczać zagregowane lub pseudonimizowane miary działania produktu we własnej infrastrukturze.
2. Do analityki nie są wysyłane treści dokumentów, wiadomości, formularzy ani danych finansowych; nie używamy nagrywania ekranu ani sesji.
3. Śledzenie produkcyjne jest domyślnie wyłączone. Może zostać czasowo włączone diagnostycznie albo próbkowane maksymalnie do 1%, z minimalizacją treści i kontrolą dostępu.

## 7. Zautomatyzowane decyzje

Brillnet nie podejmuje wobec osób decyzji wywołujących skutki prawne wyłącznie automatycznie i nie profiluje ich marketingowo. OCR proponuje odczyt danych; zatwierdza go człowiek. Reguły biznesowe skonfigurowane przez Klienta pozostają pod jego kontrolą.

## 8. Prawa osób

1. Wobec danych, dla których Brillnet jest administratorem, osoba może żądać dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia – gdy ma zastosowanie – oraz wnieść sprzeciw. Zgodę można wycofać bez wpływu na wcześniejsze przetwarzanie.
2. W sprawie Danych Klienta należy w pierwszej kolejności skontaktować się z właściwą wspólnotą lub firmą zarządzającą. Brillnet przekaże żądanie Klientowi i pomoże mu zgodnie z DPA.
3. Żądanie można wysłać na `privacy@brillnet-app.com`. Możemy poprosić o rozsądne potwierdzenie tożsamości.
4. Osobie przysługuje skarga do Prezesa Urzędu Ochrony Danych Osobowych: [uodo.gov.pl](https://uodo.gov.pl/).

## 9. Bezpieczeństwo

Stosujemy rozdzielenie tenantów, szyfrowanie transmisji, szyfrowanie danych trwałych przez dostawcę, kontrolę ról, obowiązkowe MFA dla ról uprzywilejowanych, dziennik audytowy, krótkotrwały kontrolowany dostęp wsparcia, kopie i procedurę incydentową. Pełny opis środków znajduje się w załączniku TOM do DPA.

## 10. Dzieci i dane szczególnych kategorii

Usługa nie jest kierowana do dzieci. Klient powinien wprowadzać dane dzieci i dane szczególnych kategorii tylko wtedy, gdy jest to konieczne, ma podstawę prawną i skonfigurował odpowiednio ograniczony dostęp. Brillnet nie wykorzystuje takich danych do własnych celów.

## 11. Zmiany i kontakt

Zmiany istotne są komunikowane zgodnie z [/zmiany-dokumentow](/zmiany-dokumentow). Pytania i żądania: `privacy@brillnet-app.com`. Inspektor ochrony danych nie został wyznaczony; kontakt obsługuje właściciel procesu prywatności Brillnet.

## Kontakt, zgłoszenia treści i decyzje dotyczące treści

Dla zgłoszeń bezprawnych treści, decyzji i skarg Operator jest administratorem danych zgłaszającego, odbiorcy decyzji oraz niezbędnych danych treści. Przetwarza je do obsługi obowiązków DSA (art. 6 ust. 1 lit. c RODO) oraz, w zakresie niewynikającym z obowiązku prawnego, ochrony usługi i praw oraz rozpatrywania dobrowolnych skarg (lit. f). Dane pochodzą od zgłaszającego, odbiorcy i z treści objętej sprawą. Otrzymują je upoważnione osoby, dostawca poczty i właściwe organy, gdy wymaga tego prawo. Przechowujemy je przez czas obsługi sprawy i potrzebnej weryfikacji lub ochrony roszczeń, z przeglądem potrzeby dalszego przechowywania. Nie publikujemy danych zgłaszającego ani nie przekazujemy ich odbiorcy bez potrzeby i podstawy. Nie żądamy zbędnych danych; wyjątek identyfikacyjny z DSA pozostaje dostępny. Zasady odbiorców, transferów i praw z tej Polityki stosuje się również do tych danych.


> Dane kontaktowe i domeny w tej prezentacji zaktualizowano 2026-09-08. Oryginał dokumentu i wcześniejsze akceptacje pozostają niezmienione.