Sprawdź za darmo

Polityka prywatności

Wersja z 28 września 2026 r.

Tu wyjaśniamy prostym językiem, jakie dane osobowe zbieramy w serwisie tropai.pl i przy realizacji usług TropAI, po co, na jakiej podstawie, komu je przekazujemy, jak długo je trzymamy i jakie masz prawa. Informacje te podajemy zgodnie z art. 13 i 14 RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679).

1. Kto jest administratorem danych

Administratorem danych osobowych jest BOTX Sp. z o.o. z siedzibą w Tczewie, ul. Jagiellońska 55U, 83-110 Tczew, KRS 0000932261, NIP 5932630340, REGON 520450551 — właściciel serwisu i usług TropAI. We wszystkich sprawach dotyczących danych osobowych pisz na kontakt@tropai.pl albo listownie na adres siedziby.

2. Najważniejsze w skrócie

3. Formularz kontaktowy i e-mail

Jakie dane: imię, adres e-mail, opcjonalnie adres strony firmy oraz treść wiadomości; jeśli piszesz e-mailem — adres nadawcy, podpis i treść.

Po co i na jakiej podstawie: żeby odpowiedzieć na pytanie i — jeśli o to prosisz — przygotować ofertę lub zamówienie. Podstawą jest nasz prawnie uzasadniony interes w odpowiadaniu na korespondencję (art. 6 ust. 1 lit. f RODO), a gdy pytanie dotyczy zawarcia umowy — działania na Twoje żądanie przed jej zawarciem (art. 6 ust. 1 lit. b RODO).

Jak to działa i jak długo: zgłoszenie z formularza zapisujemy na naszym serwerze, a powiadomienie wysyłamy na skrzynkę kontakt@tropai.pl. Kopię zgłoszenia na serwerze usuwamy automatycznie po 90 dniach. Aby chronić formularz przed spamem, ograniczamy liczbę zgłoszeń z jednego adresu; w tym celu zapisujemy przy zgłoszeniu skrót kryptograficzny adresu IP połączonego z datą (nie sam adres IP). Korespondencję w skrzynce e-mail przechowujemy przez czas potrzebny do załatwienia sprawy, a jeśli dotyczy zamówienia lub umowy — tak długo jak dane zamówienia (pkt 4). Wysłanie formularza nie zapisuje Cię do żadnego newslettera.

4. Zamówienia, umowa, płatności i faktury

Jakie dane: dane podane w formularzu zamówienia albo w e-mailu — nazwa, NIP i adres firmy, adres strony (albo profilu firmy), obszar działania i adres e-mail, a opcjonalnie branża, usługi, firmy konkurencyjne, imię i nazwisko osoby kontaktowej i telefon; wybrany pakiet, sposób płatności i kod rabatowy, jeśli go podasz; informacja o zaakceptowaniu regulaminu (wersja i czas) i o żądaniu rozpoczęcia usługi przed upływem 14 dni; skrócony adres IP (bez ostatniego segmentu) służący do ograniczenia liczby zamówień z jednej sieci; status płatności.

Po co i na jakiej podstawie:

Czy musisz podać dane: podanie danych jest dobrowolne, ale jest warunkiem zawarcia umowy (wymóg umowny); NIP i dane firmy są też potrzebne do wystawienia faktury (wymóg ustawowy). Bez danych oznaczonych w formularzu jako wymagane nie przyjmiemy zamówienia. Branża, usługi, konkurenci, imię i nazwisko oraz telefon są opcjonalne.

Jak długo: dane zamówienia i umowy — przez czas jej wykonywania, a potem do upływu terminu przedawnienia roszczeń (co do zasady 3 lata dla roszczeń związanych z działalnością gospodarczą, liczone do końca roku kalendarzowego — art. 118 Kodeksu cywilnego); faktury i dokumenty rozliczeniowe — 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 86 Ordynacji podatkowej, art. 112 ustawy o VAT).

Płatności online: jeśli wybierzesz płatność online, przekazujemy operatorowi systemu Paynow — mBank S.A. z siedzibą w Warszawie — kwotę, opis zamówienia i adres e-mail. Dane potrzebne do wykonania płatności (np. dane karty lub rachunku, BLIK) podajesz bezpośrednio operatorowi; my ich nie otrzymujemy. mBank S.A. przetwarza te dane na własnych zasadach, opisanych w informacjach udostępnianych w trakcie płatności.

Faktury: faktury pro forma i faktury VAT wystawiamy w systemie Fakturownia (Fakturownia sp. z o.o., Warszawa). Fakturownia przesyła e-mailem faktury VAT; fakturę pro forma wysyłamy przez Resend (pkt 9) z linkiem do pliku w Fakturowni. Wiadomości trafiają na adres podany w zamówieniu. Faktury VAT trafiają do Krajowego Systemu e-Faktur (KSeF) prowadzonego przez Ministra Finansów — to obowiązek ustawowy.

5. Dane firmy pobierane po NIP (GUS i Biała lista VAT)

Gdy w formularzu zamówienia wpiszesz NIP, możemy podpowiedzieć nazwę i adres firmy. Pobieramy je z publicznych rejestrów: z bazy REGON Głównego Urzędu Statystycznego (usługa BIR), a gdy jest niedostępna — z wykazu podatników VAT Ministra Finansów („Biała lista”). Kategorie danych: nazwa firmy (przy jednoosobowej działalności zawiera imię i nazwisko) i adres. Cel i podstawa: ułatwienie złożenia zamówienia i poprawne dane do faktury (art. 6 ust. 1 lit. b RODO). Podpowiedź możesz poprawić przed wysłaniem — do zamówienia i faktury trafia to, co wyślesz w formularzu. Wynik zapytania trzymamy w pamięci serwera najwyżej 24 godziny i nie zapisujemy go, jeśli nie złożysz zamówienia. Podpowiedź działa tylko przy włączonym JavaScript.

6. Pomiar, raport i dostawcy AI

Wykonując usługę, zadajemy asystentom AI i wyszukiwarkom pytania dotyczące branży, usług i miejscowości klienta; pytania mogą zawierać nazwę firmy klienta i nazwy firm konkurencyjnych. Korzystamy w tym celu z interfejsów programistycznych dostawców: OpenAI, Google, Anthropic i Perplexity, a do wyników wyszukiwarek z AI (Google AI Mode, AI Overviews, Copilot) — z usług DataForSEO i SearchApi. Nie przekazujemy im danych osoby kontaktowej (imienia i nazwiska, e-maila, telefonu). Pobieramy też publicznie dostępne strony internetowe firmy, aby ocenić, czy są czytelne dla AI. Dostawcy ci mają siedziby głównie w USA.

Odpowiedzi asystentów zapisujemy w całości, bo każda liczba w raporcie musi mieć dowód. Odpowiedzi mogą zawierać nazwy innych firm, a przy jednoosobowych działalnościach, gabinetach czy kancelariach — także imiona i nazwiska osób, które je prowadzą (dane pozyskane nie od tych osób — art. 14 RODO). Przetwarzamy je wyłącznie jako materiał dowodowy pomiaru, w ramach naszego prawnie uzasadnionego interesu w rzetelnym wykonaniu usługi (art. 6 ust. 1 lit. f RODO); nie tworzymy na ich podstawie profili osób. Jeśli Twoje dane pojawiły się w takim materiale, możesz skorzystać z praw opisanych w pkt 11, w tym z prawa sprzeciwu.

Raporty udostępniamy pod nieindeksowanymi adresami zawierającymi losowy identyfikator. Każda osoba, która ma link, może otworzyć raport — udostępniaj go tylko uprawnionym osobom; na prośbę wyłączymy link. Raport i dane pomiaru przechowujemy co najmniej 12 miesięcy od przekazania (regulamin § 8), a dłużej — w czasie współpracy, aby kolejne pomiary można było porównać, i do upływu terminu przedawnienia roszczeń. Publiczne przykłady raportów zawierają wyłącznie dane fikcyjne.

6a. Darmowy mini-pomiar

Jakie dane: nazwa firmy, adres strony, fraza, której szukają klienci, adres e-mail, informacja o zgodach (wymaganej i opcjonalnej zgodzie marketingowej, z datą i wersją jej treści) oraz parametry kampanii z adresu strony (np. utm_source). Aby ograniczyć liczbę zgłoszeń, przez 24 godziny zapisujemy skrócony adres IP (bez ostatniego segmentu) i skrót kryptograficzny adresu e-mail — wyłącznie w osobnym rejestrze limitów, nie w zgłoszeniu.

Po co i na jakiej podstawie: wykonanie mini-pomiaru i wysłanie wyniku na Twoje żądanie (art. 6 ust. 1 lit. b RODO); ochrona formularza przed nadużyciami (art. 6 ust. 1 lit. f RODO). Jeśli zaznaczysz zgodę marketingową, razem z wynikiem wyślemy Ci osobisty kod rabatowy i ofertę, jedno przypomnienie o kończącym się kodzie, a od czasu do czasu e-maile z ofertą TropAI (art. 6 ust. 1 lit. a RODO w związku z art. 398 Prawa komunikacji elektronicznej). Bez tej zgody wynik zawiera opis i ceny płatnych pakietów (część wyniku), ale bez kodu rabatowego, i nie wysyłamy Ci dalszych ofert. Zgodę wycofasz jednym kliknięciem w linku „Wypisz się” w każdej takiej wiadomości albo pisząc na kontakt@tropai.pl, bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Po wypisaniu zapisujemy adres na liście wykluczeń (pkt 6c), żeby nie wysyłać Ci więcej ofert. Podanie danych jest dobrowolne, ale bez nazwy firmy, adresu strony, frazy i e-maila nie wykonamy pomiaru. Adres strony pozwala nam wykonać jeden darmowy mini-pomiar na stronę.

Jak to działa: na podany adres wysyłamy link; pomiar rusza dopiero po potwierdzeniu. Jeśli nie potwierdzisz zgłoszenia w ciągu doby, wyślemy jedno przypomnienie z nowym linkiem. Asystentom AI (OpenAI, Google, Anthropic, Perplexity) wysyłamy wyłącznie 5 pytań z Twoją frazą — pytania nie zawierają nazwy firmy ani adresu e-mail. Odpowiedzi zapisujemy w całości jako dowód wyniku (pkt 6). Aby przygotować propozycję komentarza i listy wymienianych firm, przekazujemy nazwę firmy, adres strony, frazę i odpowiedzi asystentów do Anthropic PBC (Claude API), który przetwarza je jako podmiot przetwarzający w naszym imieniu — bez adresu e-mail. Propozycję zawsze czyta i poprawia nasz zespół przed wysłaniem wyniku. Zespół dostaje na komunikator Telegram krótką wiadomość z wynikiem, nazwą firmy, adresem strony, frazą i informację o zgodzie marketingowej, bez adresu e-mail.

Jak długo: niepotwierdzone zgłoszenie usuwamy po 30 dniach, a zgłoszenie z wynikiem i odpowiedziami — po 12 miesiącach. Zgoda marketingowa działa do jej wycofania, a e-mail do tego celu trzymamy najdłużej przez te 12 miesięcy.

6b. Wycena wdrożenia i pomiar kontrolny

Jakie dane: w prośbie o wycenę wdrożenia (formularz tropai.pl/wdrozenie/) — nazwa firmy, adres strony, adres e-mail, wybrany wariant (jednorazowo albo stała opieka), system, na którym działa strona, opcjonalnie opis tego, co najbardziej przeszkadza, oraz informacja o akceptacji regulaminu i polityki; w zgłoszeniu pomiaru kontrolnego (formularz „Wdrożyłem zalecenia” z linku w raporcie) — adres e-mail, raport, którego dotyczy, i opcjonalnie opis wprowadzonych zmian. Haseł ani danych dostępowych w formularzu nie zbieramy. Aby ograniczyć liczbę zgłoszeń, przez 24 godziny zapisujemy skrócony adres IP (bez ostatniego segmentu) w osobnym rejestrze limitów.

Po co i na jakiej podstawie: przygotowanie wyceny na Twoje żądanie, przed zawarciem umowy o wdrożenie (art. 6 ust. 1 lit. b RODO), oraz wykonanie pomiaru kontrolnego i wysłanie jego wyniku w ramach umowy o Szybki test albo Audyt (art. 6 ust. 1 lit. b RODO); ochrona formularzy przed nadużyciami (art. 6 ust. 1 lit. f RODO). Pomiar kontrolny przebiega jak pomiar opisany w pkt 6: asystentom AI wysyłamy te same pytania co w raporcie, bez Twojego adresu e-mail.

Jak długo: prośbę o wycenę, po której nie zawarto umowy, przechowujemy do 12 miesięcy; jeśli zaakceptujesz wycenę — tak długo jak dane zamówienia i umowy (pkt 4). Zgłoszenie i wynik pomiaru kontrolnego przechowujemy razem z danymi zamówienia, którego dotyczą (pkt 4 i 6).

6c. Informacje handlowe e-mailem

Skąd i jakie dane: BOTX Sp. z o.o., która prowadzi TropAI, świadczy firmom także inne usługi i ma bazę klientów, którzy zgodzili się na otrzymywanie od niej informacji handlowych. Do wiadomości o TropAI używamy z tej bazy: adresu e-mail, nazwy firmy, adresu strony, miasta i branży (dane pozyskane nie bezpośrednio w serwisie tropai.pl — art. 14 RODO). Zapisujemy też, kiedy wysłaliśmy wiadomość i czy wysyłka się udała.

Po co i na jakiej podstawie: wysyłka informacji handlowej o usługach TropAI, np. zaproszenia do darmowego mini-pomiaru, na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO w związku z art. 398 Prawa komunikacji elektronicznej). Branżę i miasto wykorzystujemy, by dopasować treść wiadomości, a nazwę firmy, stronę i przykładową frazę — by wypełnić za Ciebie formularz mini-pomiaru w linku; zgłoszenie powstaje dopiero, gdy sam je wyślesz i potwierdzisz. Wiadomości wysyłamy przez Resend (pkt 9); zespół dostaje na Telegram tylko liczby wysłanych wiadomości i wypisów, bez adresów.

Wypisanie: w każdej wiadomości jest link „Wypisz się jednym kliknięciem”; wystarczy też odpowiedzieć na wiadomość albo napisać na kontakt@tropai.pl. Wypisanie obejmuje wszystkie nasze wiadomości handlowe, także oferty po mini-pomiarze (pkt 6a). Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszej wysyłki.

Jak długo: dane odbiorcy wysyłki usuwamy po 12 miesiącach od przygotowania wysyłki. Adres e-mail osoby, która się wypisała, zapisujemy na liście wykluczeń (adres, data, skąd przyszło wypisanie) i przechowujemy tak długo, jak wysyłamy informacje handlowe — tylko po to, by nie napisać do niej ponownie. Podstawa: nasz prawnie uzasadniony interes w uszanowaniu Twojej decyzji i wykazaniu, że ją respektujemy (art. 6 ust. 1 lit. f RODO).

7. Rejestr otwarć raportu i logi serwera

Przy otwarciu prywatnego raportu serwer zapisuje czas, adres strony, skrócony adres IP (bez ostatniego segmentu) i typ przeglądarki. Dzięki temu możemy potwierdzić zamawiającemu doręczenie raportu i odróżnić otwarcie przez człowieka od automatycznych podglądów linków. Raporty nie zawierają skryptów śledzących. Raport może otworzyć także ktoś inny niż zamawiający, np. pracownik lub współpracownik firmy, któremu przekazano link. Podstawa: nasz prawnie uzasadniony interes w potwierdzeniu wykonania usługi (art. 6 ust. 1 lit. f RODO). Zapisy otwarć ze skróconym adresem IP przechowujemy 12 miesięcy, a dzienne pliki techniczne, z których powstają (z pełnym adresem IP), usuwamy po 90 dniach.

Jak każdy serwer WWW, nasz serwer zapisuje też standardowe logi techniczne (adres IP, czas i adres żądania, typ przeglądarki) w celu utrzymania usługi, diagnozy błędów i ochrony przed atakami (art. 6 ust. 1 lit. f RODO). Przechowujemy je nie dłużej niż 90 dni, chyba że są potrzebne do wyjaśnienia incydentu bezpieczeństwa.

8. Pliki cookies i analityka

Pliki cookies analityczne i reklamowe włączamy wyłącznie za Twoją zgodą (art. 6 ust. 1 lit. a RODO, art. 399 Prawa komunikacji elektronicznej), wyrażoną w banerze na stronie. Po zgodzie korzystamy z Google Analytics 4 i pomiaru konwersji Google Ads, dostarczanych przez Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia), aby wiedzieć, które strony i kampanie prowadzą do zamówień. Stosujemy tryb zgody Google (Consent Mode): skrypt Google ładujemy dopiero po zgodzie. Google zapisuje wtedy pliki cookies _ga i _ga_* (do 2 lat); nie włączamy personalizacji reklam. Dane mogą być przekazywane do Google LLC w USA na podstawie Ram ochrony danych UE–USA (Data Privacy Framework). Dane w Google Analytics przechowujemy 14 miesięcy. Twój wybór zapamiętujemy w pamięci przeglądarki (tropai_zgoda) przez 12 miesięcy; możesz go w każdej chwili zmienić lub wycofać przyciskiem „Ustawienia cookies” w stopce strony. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed wycofania. Bez zgody strony działają tak samo.

Niezbędne pliki cookie ustawia wewnętrzna strefa zespołu (/panel/) wyłącznie dla zalogowanych pracowników — nie wymagają zgody. Parametry kampanii z adresu strony (np. utm_source, gclid) dołączamy do zamówienia, aby wiedzieć, skąd przyszło (art. 6 ust. 1 lit. f RODO); nie zapisujemy ich na Twoim urządzeniu.

9. Komu przekazujemy dane

Dane przekazujemy tylko tym podmiotom, które są potrzebne do świadczenia usług, i tylko w niezbędnym zakresie:

Dostawcy, którzy przetwarzają dane w naszym imieniu (hosting, poczta, wysyłka e-maili, system fakturowy, propozycja komentarza do darmowego pomiaru), robią to na podstawie umów powierzenia przetwarzania danych i tylko według naszych poleceń.

10. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część dostawców ma siedziby w USA (Resend, Google LLC, dostawcy AI). Resend i Google deklarują udział w Ramach ochrony danych UE–USA (Data Privacy Framework), na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony; dodatkowo stosujemy standardowe klauzule umowne zatwierdzone przez Komisję Europejską — zgodnie z umowami powierzenia. Dostawcom AI i danych z wyszukiwarek nie przekazujemy danych osoby kontaktowej. Serwery komunikatora Telegram mogą znajdować się poza EOG — dlatego wysyłamy tam tylko dane firmy opisane w pkt 9. Anthropic PBC (propozycja komentarza do mini-pomiaru, pkt 6a) otrzymuje dane na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, zawartych w umowie powierzenia. Kopię stosowanych zabezpieczeń możesz otrzymać, pisząc na kontakt@tropai.pl.

Dostawcy AI: pytania z pomiaru — z frazą, branżą i miejscowością, a w płatnych usługach także z nazwą firmy klienta i nazwami konkurentów — wysyłamy przez interfejsy programistyczne (API) do OpenAI (ChatGPT), Google (Gemini), Perplexity i Anthropic (Claude), a Anthropic otrzymuje też dane opisane w pkt 6a. Są to podmioty z siedzibą lub serwerami w USA, które przetwarzają zapytania jako dostawcy usług na zasadach umów i warunków przetwarzania danych dotyczących ich API. Podstawą przekazania są standardowe klauzule umowne zatwierdzone przez Komisję Europejską, zawarte w tych warunkach, a w przypadku dostawcy uczestniczącego w Ramach ochrony danych UE–USA (Data Privacy Framework) — także decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony. Pytania nie zawierają danych osoby kontaktowej (imienia i nazwiska, e-maila, telefonu).

11. Twoje prawa

Masz prawo:

Aby skorzystać z praw, napisz na kontakt@tropai.pl. Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Możemy poprosić o informacje potwierdzające tożsamość, jeśli będzie to konieczne.

12. Bezpieczeństwo i zmiany polityki

Połączenie z serwisem jest szyfrowane (HTTPS). Dostęp do danych zamówień mają tylko zalogowani członkowie zespołu. Politykę możemy zmienić, np. gdy dodamy nowe narzędzie lub zmienią się przepisy — aktualna wersja z datą jest zawsze pod adresem tropai.pl/polityka-prywatnosci/.