Polityka Prywatnosci

ShieldWave Pro — Skaner Bezpieczenstwa Stron WWW Ensomedia

---

1. Wprowadzenie

Niniejsza Polityka Prywatnosci („Polityka") wyjasnia, w jaki sposob Ensomedia, ul. Chorwacka 33/42, 51-107 Wroclaw, Polska („Ensomedia", „my", „nas" lub „nasz"), zbiera, wykorzystuje, przechowuje, udostepnia i chroni dane osobowe w zwiazku z platforma do skanowania bezpieczenstwa stron internetowych ShieldWave Pro dostepna pod adresem shieldwave.io („Usluga").

ShieldWave Pro to platforma SaaS do automatycznego skanowania bezpieczenstwa stron internetowych, obejmujaca wykrywanie podatnosci z listy OWASP Top 10, XSS, SQLi, SSRF, bledow konfiguracji, bezpieczenstwa API, WordPressa oraz aplikacji SPA. Zobowiazujemy sie do ochrony prywatnosci i bezpieczenstwa wszystkich danych przetwarzanych za posrednictwem naszej Uslugi, w pelnej zgodnosci z Rozporzadzeniem Ogolnym o Ochronie Danych (UE) 2016/679 („RODO"), polska Ustawa o ochronie danych osobowych z dnia 10 maja 2018 r. oraz wszystkimi obowiazujacymi przepisami o ochronie danych.

Tworzac konto lub korzystajac z Uslugi, potwierdzasz, ze zapoznales/as sie z niniejsza Polityka i ja rozumiesz.

---

2. Administrator Danych

Administratorem danych osobowych przetwarzanych za posrednictwem Uslugi jest:

Ensomedia ul. Chorwacka 33/42 51-107 Wroclaw, Polska E-mail: contact@ensomedia.pl

W sprawach dotyczacych prywatnosci prosimy o kontakt pod adresem contact@ensomedia.pl.

---

3. Kategorie Zbieranych Danych Osobowych

3.1 Dane Konta

Podczas rejestracji w ShieldWave Pro zbieramy:

Imie i nazwisko
Adres e-mail
Nazwe firmy (opcjonalnie)
Haslo (przechowywane wylacznie w postaci zahaszowanej)
Role i uprawnienia konta
Preferencje jezyka i strefy czasowej

3.2 Dane Rozliczeniowe i Platnosci

W przypadku subskrypcji planu platnego (Pro lub Enterprise) platnosci sa przetwarzane wylacznie przez Stripe, Inc. Nie przechowujemy pelnych numerow kart kredytowych, kodow CVV ani danych kont bankowych na naszych serwerach. Od Stripe otrzymujemy i przechowujemy:

Ostatnie cztery cyfry karty platniczej
Marke karty i date waznosci
Adres rozliczeniowy
Stripe Customer ID i Subscription ID
Historie faktur i transakcji

3.3 Dane Konfiguracji Skanow

Podczas konfiguracji skanow bezpieczenstwa przetwarzamy:

Docelowe adresy URL i domeny przeslane do skanowania
Profile skanow, harmonogramy i ustawienia czestotliwosci
Preferencje modulow skanera (Nuclei, ZAP, moduly wlasne)
Preferencje powiadomien (e-mail, Slack, Microsoft Teams webhooks)

3.4 Dane Wynikow Skanow

Po kazdym skanie przechowujemy:

Zidentyfikowane podatnosci (typ, waznosc, wynik CVSS, lokalizacja)
Dane proof-of-concept dla kazdego znaleziska
Sugestie naprawy wygenerowane przez AI
Wyniki mapowania zgodnosci (PCI-DSS, RODO, ISO 27001, SOC 2, HIPAA)
Metadane uruchomienia skanu (znacznik czasu, czas trwania, uzywany skaner, status)
Wygenerowane raporty PDF

Wazne: ShieldWave Pro nie przechowuje pelnej tresci skanowanych stron internetowych. Zachowujemy jedynie metadane podatnosci, fragmenty proof-of-concept i wyniki skanow.

3.5 Dane Uzytkowania i Dane Techniczne

Automatycznie zbieramy:

Adres IP
Typ i wersje przegladarki
System operacyjny
Odwiedzane strony w ShieldWave Pro i wzorce uzytkowania funkcji
Adresy URL odsylajace
Czas trwania sesji i znaczniki czasu
Identyfikatory urzadzenia

3.6 Dane Komunikacji

Gdy kontaktujesz sie z naszym wsparciem lub wchodzisz z nami w interakcje:

Korespondencja e-mail
Tresc zgloszen serwisowych
Opinie i prosby o funkcje

3.7 Dane z Plikow Cookie i Sledzenia

Szczegolowe informacje na temat plikow cookie i podobnych technologii sledzenia znajduja sie w naszej oddzielnej [Polityce Cookie](/cookie-policy).

---

4. Cele i Podstawy Prawne Przetwarzania

| Cel | Podstawa prawna (RODO) | |---|---| | Swiadczenie i utrzymanie Uslugi (zarzadzanie kontem, wykonywanie skanow, generowanie raportow) | Wykonanie umowy (art. 6 ust. 1 lit. b) | | Przetwarzanie platnosci i zarzadzanie subskrypcjami | Wykonanie umowy (art. 6 ust. 1 lit. b) | | Wysylanie wiadomosci transakcyjnych (zakonczenie skanu, alerty bezpieczenstwa, potwierdzenia platnosci) | Wykonanie umowy (art. 6 ust. 1 lit. b) | | Analiza podatnosci oparta na AI i sugestie naprawy | Wykonanie umowy (art. 6 ust. 1 lit. b) i prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | | Ulepszanie Uslugi, analityka i rozwoj funkcji | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | | Zapobieganie naduzyciom, wykrywanie oszustw i egzekwowanie Regulaminu | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | | Komunikacja marketingowa i newslettery (tylko za zgoda) | Zgoda (art. 6 ust. 1 lit. a) | | Analityka oparta na plikach cookie i monitorowanie wydajnosci | Zgoda (art. 6 ust. 1 lit. a) dla nieistotnych plikow cookie | | Spelnienie obowiazkow prawnych (dokumentacja podatkowa, wnioski organow scigania) | Obowiazek prawny (art. 6 ust. 1 lit. c) |

---

5. Przetwarzanie z Wykorzystaniem AI

ShieldWave Pro wykorzystuje sztuczna inteligencje (za posrednictwem zewnetrznych dostawcow duzych modeli jezykowych) do:

Analizy wynikow skanow i klasyfikacji podatnosci
Generowania sugestii kodu naprawczego i rekomendacji poprawek bezpieczenstwa
Dostarczania kontekstowych wyjasnien zidentyfikowanych problemow bezpieczenstwa
Mapowania podatnosci na ramy zgodnosci

Dane przesylane do dostawcow AI: Po uruchomieniu analizy AI przesylamy metadane podatnosci, dane proof-of-concept i kontekst skanu do naszego podwykonawcy AI. Nie przesylamy Twoich danych osobowych konta, danych platniczych ani pelnej tresci skanowanych stron internetowych do dostawcow AI.

Dostawcy AI przetwarzaja te dane na podstawie scislych umow powierzenia przetwarzania danych i nie wykorzystuja Twoich danych do trenowania swoich modeli. Aktualny wykaz dostawcow AI znajduje sie na naszej [Liscie Podwykonawcow](/subprocessors).

5.1 Wtyczka ShieldWave Security dla WordPressa

Opcjonalna wtyczka ShieldWave Security dla WordPressa dziala wewnatrz Twojej wlasnej witryny i domyslnie nie wysyla niczego na zewnatrz. Po wlaczeniu jej funkcji wywiadowczych moga wystapic trzy przeplywy danych:

Sprawdzanie znanych podatnosci. Wtyczka wysyla do ShieldWave nazwy, foldery i numery wersji zainstalowanych wtyczek i motywow, aby porownac je z baza znanych podatnosci. Nie sa wysylane zadne tresci witryny, dane uzytkownikow ani dane uwierzytelniajace.
Kanal zagrozen na zywo. Wtyczka co kilka godzin pobiera z ShieldWave podpisany kanal wywiadu o zagrozeniach (reguly wykrywania i sumy kontrolne znanych plikow). To pobieranie nie przesyla o Twojej witrynie nic poza wersja wtyczki.
Druga opinia AI (Groq). W przypadku plikow, ktorych skaner nie potrafi pewnie zaklasyfikowac, wtyczka moze wyslac do ShieldWave zredagowany fragment pliku, ktory jest przekazywany do Groq, Inc. w celu uzyskania werdyktu AI w prostym jezyku. Przed wyslaniem wtyczka usuwa sekrety, klucze, hasla, adresy e-mail i nazwy hostow witryny. Werdykty sa buforowane per plik, wiec ten sam plik nie jest wysylany dwukrotnie w sieci. Pliki `wp-config.php`, `.env` oraz jakikolwiek plik poza instalacja WordPressa nigdy nie sa wysylane.

Groq przetwarza te fragmenty na podstawie umowy powierzenia przetwarzania danych i nie wykorzystuje ich do trenowania swoich modeli. Zobacz nasza [Liste Podwykonawcow](/subprocessors).

---

6. Udostepnianie Danych i Odbiorcy

Udostepniamy dane osobowe wylacznie nastepujacym kategoriom odbiorcow, z ktorymi kazdy jest zwiazany odpowiednimi umowami powierzenia przetwarzania danych:

6.1 Podwykonawcy (Subprocessors)

Korzystamy z uslug zewnetrznych dostawcow w celu obslugi Uslugi. Aktualna lista jest utrzymywana na naszej [Liscie Podwykonawcow](/subprocessors), obejmujac:

Dostawce infrastruktury chmurowej — hosting i przechowywanie danych
Stripe, Inc. — przetwarzanie platnosci
Groq, Inc. — analiza podatnosci z wykorzystaniem AI oraz druga opinia AI wtyczki WordPress
Dostawce dostarczania e-mail — wiadomosci transakcyjne i powiadomienia
Dostawce analityki — zanonimizowana analityka uzytkowania

6.2 Twoje Integracje

Jesli skonfigurujesz integracje (Slack, Microsoft Teams, webhooks), wyniki skanow i dane powiadomien sa przesylane do tych uslug zewnetrznych na Twoje polecenie.

6.3 Wymogi Prawne i Regulacyjne

Mozemy ujawnic dane osobowe, jesli jest to wymagane przez prawo, przepisy, proces prawny lub egzekwowalny wniosek organu panstwowego, lub w celu ochrony praw, wlasnosci lub bezpieczenstwa Ensomedia, naszych uzytkownikow lub publicznosci.

6.4 Transfery Biznesowe

W przypadku fuzji, przejecia lub sprzedazy aktywow dane osobowe moga zostac przekazane podmiotowi nastepczemu. Powiadomimy dotknietych uzytkownikow przed przekazaniem ich danych i objecia ich inna polityka prywatnosci.

Nie sprzedajemy danych osobowych podmiotom trzecim. Nie udostepniamy danych osobowych w celach reklamowych.

---

7. Miedzynarodowe Przekazywanie Danych

Ensomedia ma siedzibe w Europejskim Obszarze Gospodarczym (EOG). W przypadku przekazywania danych osobowych poza EOG (na przyklad do podwykonawcow w Stanach Zjednoczonych) zapewniamy odpowiednie zabezpieczenia, w tym:

Standardowe Klauzule Umowne (SKU) UE zatwierdzone przez Komisje Europejska
Certyfikat EU-U.S. Data Privacy Framework odbiorcy (jezeli dotyczy)
Decyzje o adekwatnosci Komisji Europejskiej dla panstwa odbiorcy

Mozesz poprosic o kopie obowiazujacych zabezpieczen transferu, kontaktujac sie z nami pod adresem contact@ensomedia.pl.

---

8. Okres Przechowywania Danych

Przechowujemy dane osobowe tylko tak dlugo, jak jest to konieczne do realizacji celow opisanych w niniejszej Polityce:

| Kategoria danych | Okres przechowywania | |---|---| | Dane konta | Czas trwania konta + 30 dni po zadaniu usuniecia | | Dane rozliczeniowe i platnosci | Czas trwania konta + 5 lat (obowiazki podatkowe/prawne) | | Wyniki skanow i raporty | Czas trwania konta; usuwane w ciagu 30 dni od usuniecia konta. Plan Free: wyniki przechowywane przez 90 dni. | | Dane konfiguracji skanow | Czas trwania konta | | Dane uzytkowania i dane techniczne | 26 miesiecy od zebrania | | Dane komunikacji (wsparcie) | 3 lata od ostatniej interakcji | | Rejestry zgod marketingowych | Do wycofania zgody + 3 lata na dowod |

Po usunieciu konta usuniemy lub zanonimizujemy wszystkie dane osobowe w ciagu 30 dni, z wyjatkiem przypadkow, gdy dluzsze przechowywanie jest wymagane przez prawo (np. dokumentacja podatkowa i ksiegowa).

---

9. Twoje Prawa na Mocy RODO

Jako osoba, ktorej dane dotycza, przysuguja Ci nastepujace prawa:

Prawo dostepu (art. 15) — Uzyskanie potwierdzenia, czy przetwarzamy Twoje dane, i zadanie kopii.
Prawo do sprostowania (art. 16) — Poprawienie niedokladnych lub niekompletnych danych osobowych.
Prawo do usuniecia (art. 17) — Zadanie usuniecia danych osobowych („prawo do bycia zapomnianym").
Prawo do ograniczenia przetwarzania (art. 18) — Ograniczenie przetwarzania w okreslonych okolicznosciach.
Prawo do przenoszenia danych (art. 20) — Otrzymanie danych w ustrukturyzowanym, nadajacym sie do odczytu maszynowego formacie.
Prawo do sprzeciwu (art. 21) — Sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie lub marketingu bezposrednim.
Prawo do wycofania zgody (art. 7 ust. 3) — Wycofanie zgody w dowolnym momencie bez wplywu na zgodnosc z prawem wczesniejszego przetwarzania.
Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (art. 22) — ShieldWave Pro nie podejmuje w pelni zautomatyzowanych decyzji majacych skutki prawne wobec Ciebie. Sugestie naprawy generowane przez AI maja charakter informacyjny i nie stanowia zautomatyzowanego podejmowania decyzji w rozumieniu art. 22.

Jak Skorzystac z Przyslugiujacych Praw

Wyslij zadanie na adres contact@ensomedia.pl z tematem „Wniosek RODO". Odpowiemy w ciagu 30 dni. Mozemy poprosic o weryfikacje Twojej tozsamosci przed realizacja wniosku.

Przyslaguje Ci rowniez prawo do zlozenia skargi do Prezesa Urzedu Ochrony Danych Osobowych (UODO):

Prezes Urzedu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa, Polska Strona: https://uodo.gov.pl

---

10. Bezpieczenstwo Danych

Wdrazamy odpowiednie srodki techniczne i organizacyjne w celu ochrony danych osobowych, w tym:

Szyfrowanie danych w tranzycie (TLS 1.2+) i w spoczynku (AES-256)
Haszowane i solone hasla (bcrypt)
Uwierzytelnianie oparte na JWT z wygasaniem tokenow
Kontrola dostepu oparta na rolach (RBAC)
Ograniczanie liczby zapytan (rate limiting) i ochrona przed brute-force
Regularne oceny bezpieczenstwa i testy penetracyjne
Rejestrowanie dostepu i monitoring
Bezpieczne praktyki programistyczne (przeglad kodu, skanowanie zaleznosci)
Kopie zapasowe bazy danych z szyfrowaniem
Procedury reagowania na incydenty

---

11. Prywatnosc Dzieci

ShieldWave Pro nie jest przeznaczony do uzytku przez osoby ponizej 16 roku zycia. Nie zbieramy swiadomie danych osobowych od dzieci. Jezeli dowiemy sie, ze zebralismy dane od dziecka ponizej 16 lat, niezwlocznie je ususiemy. Jezeli uważasz, ze dziecko przekazalo nam dane osobowe, prosimy o kontakt pod adresem contact@ensomedia.pl.

---

12. Linki do Stron Trzecich

Usluga moze zawierac linki do stron internetowych lub uslug podmiotow trzecich. Niniejsza Polityka nie ma zastosowania do stron trzecich. Zachecamy do zapoznania sie z politykami prywatnosci wszelkich uslug zewnetrznych przed udostepnieniem im danych osobowych.

---

13. Zmiany w Niniejszej Polityce

Mozemy od czasu do czasu aktualizowac niniejsza Polityke. O istotnych zmianach powiadomimy Cie poprzez:

Zamieszczenie powiadomienia w panelu ShieldWave Pro
Wyslanie wiadomosci e-mail na adres powiazany z Twoim kontem

Zaktualizowana Polityka bedzie zawierala date „Ostatnia aktualizacja" na dole. Dalsze korzystanie z Uslugi po wprowadzeniu zmian oznacza akceptacje zmienionej Polityki.

---

14. Kontakt

W przypadku pytan, watpliwosci lub wnioskow dotyczacych niniejszej Polityki Prywatnosci lub naszych praktyk przetwarzania danych:

Ensomedia ul. Chorwacka 33/42 51-107 Wroclaw, Polska E-mail: contact@ensomedia.pl

---

Ostatnia aktualizacja: luty 2026