Szablon do uzupełnienia i weryfikacji przez prawnika lub inspektora ochrony danych — ten tekst nie jest poradą prawną.

Polityka prywatności

Administrator i podmiot przetwarzający

W modelu SaaS dostawca Nexusa jest podmiotem przetwarzającym dane w imieniu agencji lub freelancera (administratora), na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO).

Jakie dane przetwarzamy

• Dane konta: imię i nazwisko, adres e-mail, skróty haseł konta (Argon2/scrypt w Better Auth), dane 2FA.
• Dane CRM: klienci, osoby kontaktowe (imię, nazwisko, rola, e-mail, telefon), domeny, notatki ogólne — szyfrowane w spoczynku, dostępne dla serwera.
• Dane sejfu: wyłącznie szyfrogramy tworzone w przeglądarce (end-to-end). Dostawca nie ma technicznej możliwości ich odczytania.
• Dziennik zdarzeń: kto, co, kiedy, adres IP i urządzenie — w celu rozliczalności i bezpieczeństwa.

Czas przechowywania

• Dziennik zdarzeń: domyślnie 12 miesięcy (konfigurowalne przez właściciela przestrzeni), potem automatycznie usuwany.
• Klienci zakończeni: przypomnienie o usunięciu dostępów po ustalonym czasie (domyślnie 90 dni).
• Wygasłe linki jednorazowe: szyfrogram usuwany po wykorzystaniu lub wygaśnięciu.
• Kopie zapasowe: codzienne, szyfrowane, zawierają wyłącznie szyfrogramy danych sejfu.

Prawa osób, których dane dotyczą

Eksport danych przestrzeni i usunięcie konta lub przestrzeni są dostępne w Ustawieniach → Import i eksport oraz Ustawienia → Przestrzeń.

Narzędzia firm trzecich

Po zalogowaniu nie używamy narzędzi analitycznych, czatów ani pikseli firm trzecich. Jedynym zapytaniem z przeglądarki do usługi zewnętrznej jest opcjonalne sprawdzanie wycieków haseł (Pwned Passwords) metodą k-anonimowości — wysyłane jest 5 znaków skrótu SHA-1, nigdy hasło.

Naruszenia ochrony danych

Dane sejfu są niezrozumiałe dla osób nieuprawnionych (szyfrowanie end-to-end), co ma znaczenie przy ocenie obowiązku zawiadamiania osób (art. 34 ust. 3 lit. a RODO).