Polityka prywatności

Wersja z 23 października 2026 r.

1. Kto jest administratorem danych

Administratorem Twoich danych osobowych jest Radosław Fedorczuk, prowadzący działalność gospodarczą pod firmą ENSOMEDIA Radosław Fedorczuk, ul. Chorwacka 33/42, 51-107 Wrocław, NIP 8952195742, numer VAT UE PL8952195742, REGON 381626230, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG). Dalej piszemy o sobie „ENSOMEDIA” albo „my”.

Ta polityka dotyczy usługi ShieldWave pod adresem shieldwave.io (strona, aplikacja w przeglądarce, darmowe narzędzia i API) oraz połączeń wtyczki WordPress „Ensomedia Security powered by shieldwave.io” z ShieldWave. Dane przetwarzamy zgodnie z rozporządzeniem (UE) 2016/679 (RODO) i prawem polskim.

Kontakt w sprawach danych osobowych:

• E-mail: support@shieldwave.io

Nie wyznaczyliśmy inspektora ochrony danych. RODO tego od nas nie wymaga: naszą główną działalnością jest sprawdzanie stron internetowych, a nie regularne obserwowanie osób ani przetwarzanie na dużą skalę danych szczególnych kategorii.

2. W skrócie

Podstawy w tabeli: umowa to art. 6 ust. 1 lit. b RODO, obowiązek prawny to lit. c, prawnie uzasadniony interes („uzasadniony interes”) to lit. f, zgoda to lit. a.

3. Klienci i użytkownicy konta

3.1 Jakie dane zapisujemy

• nazwę użytkownika i skrót hasła bcrypt (samego hasła nie znamy);
• adres e-mail, obowiązkowy przy rejestracji: wysyłamy na niego powiadomienia, wiadomości o umowie i linki do zmiany hasła;
• imię i nazwisko, jeśli je dodasz, oraz język, plan i ustawienia;
• sesje logowania (24 godziny) i linki do zmiany hasła (1 godzina);
• klucze API, tylko jako skrót, z początkiem klucza, nazwą i datą ostatniego użycia;
• strony, harmonogramy, reguły powiadomień oraz adresy i sekrety webhooków;
• do raportów z Twoim logo: nazwę agencji, logo i e-mail kontaktowy;
• zaproszenia do zespołu (zespoły do 10 osób): e-mail zaproszonej osoby, przez 7 dni;
• zdarzenia użycia: rodzaj zdarzenia (np. rejestracja, sprawdzenie, zakup), identyfikator konta, domenę, adres IP i identyfikację przeglądarki; zdarzenie rejestracji zawiera też nazwę użytkownika i e-mail.

W naszych systemach nie zapisujemy nazwy firmy, strefy czasowej, identyfikatorów urządzenia, danych karty ani danych z rejestrów domen (WHOIS).

3.2 Po co i na jakiej podstawie

Konto, sprawdzenia, raporty, monitoring, zespół, API i webhooki to wykonanie naszej umowy z Tobą (art. 6 ust. 1 lit. b RODO). Zdarzenia użycia służą naszemu prawnie uzasadnionemu interesowi: chcemy widzieć, z których funkcji korzystają klienci i co nie działa, żeby poprawiać usługę (lit. f). Bezpieczeństwo i dowody: sekcja 13. Obowiązkowe są nazwa użytkownika, hasło i adres e-mail; bez nich nie założysz konta.

3.3 Osoby zaproszone do zespołu

Jeśli klient zaprosił Cię do swojego zespołu, Twój adres e-mail mamy od niego. Używamy go tylko do zaproszenia i Twojego dostępu do konta tego klienta. Podstawą jest prawnie uzasadniony interes nasz i klienta, który Cię zaprasza: praca zespołu na jego koncie (art. 6 ust. 1 lit. f RODO).

3.4 Jak długo

Dane konta przechowujemy, dopóki nie usuniesz konta w profilu. Usunięcie następuje od razu; kopie zapasowe i dzienniki naszych dostawców znikają w ciągu 30 dni. Zostają tylko dane rozliczeniowe (sekcja 4), zapis o usunięciu konta (sekcja 13) i dowody (sekcja 16). Zdarzenia użycia usuwamy po 12 miesiącach albo razem z kontem.

4. Płatności i faktury

Płatności obsługuje Stripe na swoich stronach; nie widzimy i nie przechowujemy numerów kart. Stripe zbiera dane płatności i dane do faktury, np. adres i numer VAT. Przekazujemy Stripe Twój e-mail, nazwę użytkownika i identyfikator konta, żeby powiązać płatność z kontem.

Przechowujemy identyfikatory klienta i subskrypcji w Stripe, plan, daty końca okresu rozliczeniowego i okresu próbnego, a przy zakupach jednorazowych identyfikatory sesji i płatności, kwotę, walutę i informację, do których raportów masz dostęp, oraz zdarzenia płatności, np. odnowienia i anulowania.

Stripe Payments Europe, Limited obsługuje płatności dla nas, a w zakresie zapobiegania oszustwom i własnych obowiązków prawnych działa jako odrębny administrator, co opisuje w swojej polityce prywatności.

Faktury wystawiamy firmom, a konsumentom na prośbę. Otrzymuje je nasze biuro rachunkowe, a gdy przepisy tego wymagają, trafiają do Krajowego Systemu e-Faktur (KSeF).

Podstawą jest umowa (lit. b) oraz obowiązki podatkowe i rachunkowe (lit. c) wynikające z Ordynacji podatkowej i ustawy o VAT. Okresy przechowywania podaje sekcja 16.

5. Sprawdzenia zlecane z konta

5.1 Co robi sprawdzenie

Sprawdzenie zlecone z konta czyta to, co zwraca serwer strony, i pyta o adresy, pod którymi zwykle leżą zapomniane pliki. Dopiero gdy potwierdzisz kontrolę nad domeną (rekord DNS, plik, znacznik meta albo połączona wtyczka), wysyła też do formularzy i adresów strony dane testowe, żeby zobaczyć, czy strona odrzuca to, co powinna odrzucić. Pytamy też publiczne usługi o sprawdzaną domenę (rejestry certyfikatów, publiczny DNS, listy niebezpiecznych stron, a po potwierdzeniu domeny także publiczne usługi przechowywania plików w chmurze), przekazując im tylko nazwę domeny albo nazwy z niej utworzone.

5.2 Co zapisujemy

Zapisujemy wynik: domenę, ustalenia z dowodami i do 5000 znaków tekstu strony głównej. Może on zawierać dane osób opublikowane na stronie (sekcja 7). Dane logowania, które podasz do sprawdzenia strony po zalogowaniu, wykorzystujemy tylko do tego sprawdzenia. Raporty PDF tworzymy na Twoją prośbę i ich nie przechowujemy.

Gdy kontrola nad domeną jest potwierdzona, zapisujemy też zrzut ekranu strony głównej i pokazujemy go w raporcie. Widać na nim to, co strona główna pokazuje każdemu odwiedzającemu.

Jeśli utworzysz odznakę statusu, jej publiczna strona pokazuje domenę, ocenę, wynik i datę sprawdzenia. Webhooki i integracje, które ustawisz (Slack, Microsoft Teams, Discord, własny adres), dostają domenę, wynik, wagę i liczbę problemów.

5.3 Kto jest administratorem

Jeśli zlecasz sprawdzenia w związku ze swoją działalnością (jako firma, agencja albo osoba prowadząca działalność), to Ty decydujesz, które strony sprawdzamy, i jesteś administratorem danych osób trzecich w wynikach albo podmiotem przetwarzającym dla swojego klienta. My przetwarzamy te dane w Twoim imieniu, tylko żeby wykonać usługę, na zasadach Umowy powierzenia przetwarzania danych, która jest częścią Regulaminu. Odpowiadasz za to, że masz prawo sprawdzić stronę, i za poinformowanie osób, jeśli to Twój obowiązek.

Jeśli korzystasz z ShieldWave jako konsument, jesteśmy administratorem danych osób trzecich w wynikach i używamy ich tylko do wykonania zamówionego sprawdzenia (prawnie uzasadniony interes, lit. f).

5.4 Jak długo

W planie Free wynik widzisz przez 7 dni, a usuwamy go najpóźniej 90 dni po sprawdzeniu. W planach Pro i Enterprise przechowujemy go 12 miesięcy. Sprawdzenie, do którego kupiono jednorazowy raport, przechowujemy 90 dni. Usunięcie konta usuwa też wyniki.

6. Sprawdzenie demonstracyjne i darmowe narzędzia

Na stronie głównej każdy może bez konta uruchomić sprawdzenie demonstracyjne wpisanej domeny. Cztery darmowe narzędzia sprawdzają certyfikat, rekordy poczty (SPF, DKIM, DMARC), nagłówki bezpieczeństwa i cookies zapisywane przed zgodą. Te sprawdzenia są krótsze: odczytują to, co zwraca serwer, a sprawdzenie demonstracyjne pyta też o listę adresów, pod którymi zwykle leżą zapomniane pliki. Nie wysyłają danych testowych do formularzy i nie używają AI.

Wynik widzisz tylko Ty i nie zapisujemy go jako sprawdzenia w żadnym koncie. Zapisujemy:

• przy sprawdzeniu demonstracyjnym zdarzenie z domeną, adresem IP i identyfikacją przeglądarki, przez 12 miesięcy;
• przy darmowym narzędziu zdarzenie z nazwą narzędzia i domeną, bez adresu IP, przez 12 miesięcy;
• liczniki limitów na adres IP (np. 3 sprawdzenia demonstracyjne na godzinę), zapisane jako skrót adresu IP liczony z tajnym kluczem, nie sam adres, w bazie danych, do 2 godzin;
• wyniki darmowych narzędzi, w pamięci serwera, przez 10 minut, żeby nie sprawdzać tej samej domeny raz za razem;
• wpis w dzienniku zapytań u dostawcy hostingu, z adresem zapytania zawierającym domenę, przez 30 dni.

Podstawą jest nasz prawnie uzasadniony interes w tym, żeby pokazać, jak działa ShieldWave, odpowiedzieć bez zakładania konta i chronić usługę przed nadużyciami (lit. f).

Wynik e-mailem i cotygodniowe sprawdzanie

Pod wynikiem możesz wpisać adres e-mail. W tym celu przez 24 godziny przechowujemy kopię wyniku (domenę, ocenę i pokazane problemy) pod losowym numerem. Na ten adres wysyłamy jeden e-mail z wynikiem, a adres zapisujemy razem z domeną, oceną, rodzajami znalezionych problemów i skrótem Twojego adresu IP obliczonym z tajnym kluczem (najwyżej 5 e-maili na godzinę z jednego połączenia). W e-mailu jest przycisk, który włącza cotygodniowe sprawdzanie: raz w tygodniu wykonujemy to samo sprawdzenie demonstracyjne tej domeny i piszemy tylko wtedy, gdy ocena spadnie albo pojawi się nowy problem. Każdy taki e-mail ma link, który od razu je wyłącza.

Bez kliknięcia przycisku nie wysyłamy nic więcej, a adres usuwamy po 30 dniach. Po kliknięciu przechowujemy dane do wyłączenia cotygodniowego sprawdzania i 30 dni później. Podstawą pierwszego e-maila jest nasz prawnie uzasadniony interes w odpowiedzi na Twoją prośbę (lit. f), a cotygodniowego sprawdzania Twoja zgoda wyrażona przyciskiem (lit. a), którą wycofasz linkiem w każdym e-mailu.

7. Osoby, których dane są na sprawdzanych stronach

Jeśli Twoje imię i nazwisko, adres e-mail, nazwa autora WordPress albo inne dane są opublikowane na stronie, którą ktoś sprawdza w ShieldWave, mogą trafić do wyniku sprawdzenia. Źródłem tych danych jest ta publiczna strona.

Nie szukamy tych danych celowo, nie tworzymy z nich profili i nie kontaktujemy się z Tobą. Są częścią raportu, a przy sprawdzeniach z konta także fragmentu wysyłanego do analizy AI (sekcja 10). Przechowujemy je tak długo jak wynik (sekcja 5.4); sprawdzenie demonstracyjne i darmowe narzędzia ich nie zapisują.

Gdy sprawdzenie zleca klient w związku ze swoją działalnością, administratorem jest on (sekcja 5.3). W pozostałych przypadkach jesteśmy nim my, a podstawą jest nasz prawnie uzasadniony interes w wykonaniu sprawdzenia, o które ktoś prosi, i w poprawie bezpieczeństwa stron (lit. f). Zwykle nie mamy Twoich danych kontaktowych, a ich szukanie wymagałoby niewspółmiernego wysiłku i zbierania kolejnych danych, dlatego zamiast informować każdą osobę osobno publikujemy tę informację (art. 14 ust. 5 lit. b RODO).

Masz prawa opisane w sekcji 17. Jeśli strona jest Twoja, możesz też poprosić o wyłączenie jej domeny ze wszystkich sprawdzeń: napisz na support@shieldwave.io z adresu w tej domenie albo pokaż w inny sposób, że nią zarządzasz. Wyłączamy domenę w ciągu 2 dni roboczych i trzymamy ją na liście wyłączeń. Więcej: Skaner ShieldWave i wyłączenie domeny.

8. Połączenia wtyczki WordPress

Wtyczka „Ensomedia Security powered by shieldwave.io” to osobne oprogramowanie na licencji GPL, które działa na Twojej stronie. Dane, które zapisuje w bazie Twojego WordPressa, zostają na Twoim serwerze, a cookie, które ustawia, zostaje w przeglądarkach użytkowników Twojej strony. To Ty jesteś administratorem tych danych. Gdy wtyczka wstrzymuje logowanie, jej dziennik zdarzeń zapisuje adres IP, czas i wpisaną nazwę użytkownika (nazwę tylko wtedy, gdy takie konto istnieje) i przechowuje je przez okres ustawiony we wtyczce, domyślnie 90 dni. Po udanym logowaniu wtyczka zapisuje cookie o nazwie zaczynającej się od shieldwave_kd_ (więcej w Polityce cookies). Wtyczka obsługuje narzędzia WordPressa do eksportu i usuwania danych osobowych.

8.1 Bez dodatkowych funkcji

Przy każdym skanie wtyczka pobiera z WordPress.org sumy kontrolne i informacje o wtyczkach i motywach, wysyłając wersję WordPressa, język, nazwy folderów i wersje; WordPress dołącza adres Twojej strony. Te zapytania idą do WordPress.org, nie do nas.

8.2 Ochrona na żywo

Gdy administrator strony włączy ochronę na żywo, wtyczka wysyła nam wersję WordPressa oraz nazwy folderów i wersje wtyczek i motywów, żeby porównać je ze znanymi podatnościami, mniej więcej raz na godzinę pobiera od nas podpisany zestaw reguł (wysyłając tylko wersję wtyczki), a w sprawie plików, których skaner nie rozstrzygnął, prosi o drugą opinię AI (sekcja 10.2).

8.3 Połączenie z kontem ShieldWave

Administrator strony może połączyć ją z kontem na dwa sposoby. Przycisk „Połącz z shieldwave.io” otwiera shieldwave.io/connect z adresem strony i adresem na tej stronie, na który trzeba wrócić. Gdy zalogujesz się i potwierdzisz, wydajemy jednorazowy kod, ważny 5 minut i tylko dla hosta tej strony, i przechowujemy wyłącznie jego skrót, razem z kontem i hostem. Przeglądarka zanosi kod z powrotem na stronę, a wtyczka wymienia go, bezpośrednio między serwerami, na klucz, który działa tylko dla połączenia tej strony. Wysyłamy wtyczce klucz, plan i adres e-mail albo nazwę użytkownika konta; wtyczka przechowuje je w bazie WordPressa i pokazuje, z którym kontem strona jest połączona. Drugi sposób to wklejenie klucza API z Twojego konta.

Po połączeniu wtyczka wysyła identyfikator strony, domenę, adres strony, wersje wtyczki, WordPressa i PHP oraz informację o sieci multisite, a potem co godzinę sygnał, że działa, z wynikiem i liczbą otwartych problemów. Po każdym skanie, o ile administrator nie wyłączył tego we wtyczce, wysyła dane skanu: wynik, aktywny motyw, język, wtyczki i motywy z wersjami oraz znalezione problemy (tytuł, opis, sposób naprawy, ścieżka, adres, linia, numer CVE), także te zignorowane w WordPressie, oznaczone jako zignorowane. Dotyczy to każdego planu. W planie Free dotyczy to każdej strony, którą konto połączy. Od wersji 1.1.0 wtyczka wysyła problemy dotyczące kont administratorów tylko z tytułem i sposobem naprawy. Od wersji 1.1.10 dotyczy to każdego problemu, który wymienia konta użytkowników, na przykład publicznie dostępnej listy użytkowników, a identyfikator takiego problemu to skrót liczony z tajnym kluczem Twojej strony, więc żadna nazwa logowania nie opuszcza strony. Starsze wersje mogą podawać nazwę logowania w opisie.

Dopóki strona jest połączona, wtyczka dodaje do strony głównej znacznik meta shieldwave-verify z kodem potwierdzenia Twojego konta dla tej domeny. shieldwave.io odczytuje stronę główną, nie zachowując jej, i gdy znajdzie kod, potwierdza, że konto kontroluje domenę (sekcja 5.1). Wtyczka prosi o to po połączeniu, a dopóki domena nie jest potwierdzona, najwyżej co 6 godzin. Kopia strony pod innym adresem nie pokazuje znacznika.

Widzimy też adres IP serwera Twojej strony (dziennik zapytań, 30 dni).

8.4 Podstawa i czas przechowywania

Dane strony połączonej z kontem przetwarzamy w imieniu klienta, który korzysta z nich w swojej działalności (sekcja 5.3), albo dla konsumenta w ramach umowy (lit. b). Zapytania bez konta (baza podatności, reguły, druga opinia AI) obsługujemy jako administrator, w naszym prawnie uzasadnionym interesie w odpowiedzi dla administratora strony i w ochronie usługi (lit. f).

Dane połączonej strony przechowujemy do jej odłączenia. Gdy odłączysz stronę we wtyczce albo usuniesz ją z Witryn WordPress w swoim koncie, usuwamy stronę, jej wyniki i klucz, który utworzyło dla niej połączenie jednym kliknięciem, a późniejsze wiadomości wtyczki o tej stronie odrzucamy. W tym celu przechowujemy tylko identyfikator strony i datę usunięcia, do ponownego połączenia strony albo usunięcia konta. Wklejony klucz API zostaje w Twoim koncie, dopóki nie usuniesz go na stronie Klucze API. Potwierdzenie domeny (sekcja 5.1) zostaje przy koncie, tak jak potwierdzenie uzyskane w inny sposób. Usunięcie konta usuwa to wszystko. Od wersji 1.1.10 usunięcie wtyczki w WordPressie wysyła też do nas prośbę o odłączenie strony, a my usuwamy wtedy jej dane tak, jak opisujemy wyżej. Wtyczka wysyła tę prośbę tylko wtedy, gdy strona jest połączona ważnym kluczem. Czeka najwyżej 5 sekund, a usunięcie wtyczki następuje także wtedy, gdy prośba się nie powiedzie. Przy starszej wersji odłącz stronę przed usunięciem wtyczki. Jeśli prośba do nas nie dotrze, usuń stronę w koncie albo napisz do nas.

8.5 Pułapki i powiadomienia o nowych podatnościach

Od wersji 1.1.21 administrator strony może włączyć we wtyczce pułapki: nazwy logowania, których nie ma żadne konto, oraz ścieżkę w robots.txt, do której nic nie prowadzi. Obie są domyślnie wyłączone. Gdy strona jest połączona, a pułapka włączona, wtyczka wysyła nam, które pułapki są włączone, oraz zapis każdego jej użycia: rodzaj (logowanie albo ścieżka), czas, drogę próby (formularz logowania, hasło aplikacji, XML-RPC albo robots.txt), informację, czy adres został zablokowany, a jeśli nie, to dlaczego. Zamiast adresu IP odwiedzającego zapis zawiera 16-znakowy kod, który wtyczka oblicza z adresu tajnym kluczem; ten klucz nigdy nie opuszcza Twojej strony. Z kodu nie odtworzymy adresu IP: kod pozwala tylko odróżnić próby z tego samego adresu na tej stronie, a panel pokazuje te adresy jako litery. Nigdy nie dostajemy adresu IP, wpisanej nazwy logowania, identyfikacji przeglądarki ani żądanego adresu. Przy wyłączonych pułapkach wtyczka nie wysyła żadnych zapisów. Próba z ostatnich 24 godzin tworzy też powiadomienie w aplikacji. Zapisy przechowujemy 90 dni i nie przyjmujemy zapisów starszych niż 30 dni; odłączenie lub usunięcie strony albo usunięcie konta usuwa je wcześniej. Przy tych zapisach działamy tak, jak opisuje sekcja 8.4.

Gdy nowo opublikowana podatność dotyczy wersji wtyczki, motywu albo WordPressa, którą zgłosiła połączona strona, informujemy konto zgodnie z jego ustawieniami powiadomień i zapisujemy, której strony, podatności, składnika i wersji dotyczyło powiadomienie, żeby nie wysłać go drugi raz. Zapis usuwamy razem ze stroną.

9. Osoby, do których pisaliśmy wcześniej z domeny getshieldwave.com

Nie wysyłamy informacji handlowych e-mailem bez Twojej uprzedniej zgody. Jeśli przed 29 września 2026 r. dostałeś od nas wiadomość z adresu radek@getshieldwave.com, Twój służbowy adres e-mail, a czasem imię i nazwisko oraz nazwę firmy, wzięliśmy z publicznej strony Twojej firmy albo z publicznego rejestru (CEIDG, KRS). Przechowujemy adres, korespondencję i datę wysyłki przez 12 miesięcy od wysyłki, a jeśli się sprzeciwisz, tylko adres na liście „nie kontaktować się”, żeby nie napisać ponownie. Podstawą jest nasz prawnie uzasadniony interes w obronie przed roszczeniami i w przestrzeganiu Twojego sprzeciwu (art. 6 ust. 1 lit. f RODO). Możesz żądać usunięcia tych danych: napisz na support@shieldwave.io.

10. Przetwarzanie przez AI

10.1 Co robi AI

Przy sprawdzeniach zleconych z konta, gdy usługa AI jest dostępna, model językowy:

• objaśnia wyniki i pisze podsumowanie raportu dopasowane do tego, czym zajmuje się firma na stronie;
• przygotowuje kroki naprawy;
• przegląda wagę ustaleń i może ją podnieść lub obniżyć, a prawdopodobne fałszywe alarmy oznacza i obniża; pierwotny wynik skanera zostaje zapisany i jest widoczny;
• opisuje możliwe skutki biznesowe i prawne ustaleń; to informacja pomocnicza, a nie porada prawna (punkt 8.1 Regulaminu);
• podpowiada, które testy pasują do technologii strony;
• tłumaczy opisy znanych podatności.

Dopóki kontrola nad domeną nie jest potwierdzona, AI pisze tylko teksty raportu: nie sprawdza wagi ustaleń i nie podpowiada testów.

Drugi model sprawdza tekst AI z danymi sprawdzenia. We wtyczce, tylko gdy administrator strony to włączył, AI daje drugą opinię o pliku, którego skaner nie rozstrzygnął.

AI nie prowadzi rozmów, nie podejmuje decyzji o ludziach i niczego nie zmienia, nie przenosi do kwarantanny, nie usuwa ani nie blokuje. Sprawdzenie demonstracyjne i darmowe narzędzia nie używają AI. Tekst napisany przez AI oznaczamy etykietą „AI”.

10.2 Co wysyłamy do dostawcy AI

Ze sprawdzeń zleconych z konta: domenę, ustalenia techniczne (rodzaj, waga, adres, nagłówki, do 500 znaków dowodu na ustalenie) i fragment strony głównej (do 3000 znaków z tytułem, opisem, nagłówkami i stopką). Ten fragment może zawierać imiona, nazwiska lub dane kontaktowe opublikowane na stronie.

Z wtyczki: fragment pliku do 6000 znaków, odciski pliku (sha256, md5), rozmiar, nazwę folderu komponentu, identyfikatory reguł, ustawienie języka strony, wersję wtyczki i solony skrót identyfikatora strony. Od wersji 1.1.10 wtyczka usuwa z fragmentu adres strony, adresy e-mail, adresy IPv4 i IPv6, ścieżkę WordPressa i folderów domowych na serwerze, każdą stałą DB_ i argumenty połączeń z bazą danych, stałe i wartości o nazwach wskazujących na hasło, klucz, sól (salt), sekret albo token (jeśli mają co najmniej 6 znaków) oraz długie losowe tokeny. Inne adresy internetowe zostają. Jeśli usuwanie się nie powiedzie, wtyczka niczego nie wysyła. Starsze wersje usuwały tylko hasła, klucze, adresy e-mail i nazwę hosta strony.

Nigdy nie wysyłamy danych konta, haseł ani danych płatności. Od wersji 1.1.10 wtyczka do drugiej opinii nigdy nie czyta plików, których nazwy zaczynają się od wp-config albo .env, plików .htpasswd, .user.ini, php.ini i auth.json, kopii zapasowych, zrzutów bazy danych (.sql), plików logów ani plików .ini. Starsze wersje nie wysyłały plików wp-config.php ani .env.

10.3 Dostawca i przechowywanie

Dostawcą AI jest Groq; stroną umowy dla klientów z EOG jest Groq UK Limited, a dane są przetwarzane w USA (sekcja 15). Nasz dostawca AI ma w umowie zakaz używania tych danych do trenowania modeli. Nie przechowuje ich, z wyjątkiem okresu do 30 dni, gdy bada problem z niezawodnością albo podejrzenie nadużycia.

Nasza pamięć podręczna trzyma odpowiedzi AI do 1 godziny w pamięci serwera i 24 godziny w bazie danych. Werdykty dla plików z wtyczki przechowujemy bez limitu czasu według odcisku pliku i używamy ich ponownie dla tego samego pliku na innych stronach; zapisujemy odcisk i werdykt, bez nazwy strony. Zapisujemy też, że plik o danym odcisku pojawił się na stronie oznaczonej solonym skrótem; ten zapis usuwamy po 12 miesiącach.

Podstawą jest umowa przy sprawdzeniach z konta (lit. b) oraz nasz prawnie uzasadniony interes przy drugiej opinii dla wtyczki bez konta i przy danych osób trzecich we fragmentach (lit. f). Gdy sprawdzenie zleca klient biznesowy albo przedsiębiorca na prawach konsumenta, dane osób trzecich we fragmentach przetwarzamy w jego imieniu (sekcja 5.3). Więcej: AI w ShieldWave.

11. E-maile

11.1 E-maile, które wysyłamy

Z adresu noreply@shieldwave.io wysyłamy na e-mail konta: powitanie po rejestracji, informację o zakończeniu sprawdzenia i znalezionych podatnościach, alerty monitoringu i dostępności strony, potwierdzenia zakupu, raporty, o które prosisz, i linki do zmiany hasła. Podstawą jest umowa (lit. b). Wiadomości wysyła nasz dostawca poczty, Hostido.pl Gałązka Spółka jawna (sekcja 14). Na adres wpisany pod wynikiem sprawdzenia demonstracyjnego wysyłamy ten wynik, a dopiero po kliknięciu przycisku w tym e-mailu cotygodniową informację, gdy wynik strony się pogorszy (sekcja 6).

Nie prowadzimy newslettera, a zanim wyślemy Ci jakiekolwiek informacje handlowe, poprosimy o zgodę. Nasze e-maile nie zawierają pikseli ani linków do mierzenia otwarć i kliknięć.

11.2 Gdy piszesz do nas

Gdy piszesz na support@shieldwave.io, przetwarzamy Twój adres i treść wiadomości, żeby odpowiedzieć. Podstawą jest umowa (lit. b), przy reklamacjach także obowiązek prawny (lit. c), a w innych sprawach nasz prawnie uzasadniony interes w odpowiedzi i zachowaniu dowodów (lit. f).

Tak samo jest, gdy formularzem pod wynikiem sprawdzenia demonstracyjnego prosisz nas o naprawę znalezionych problemów. Zgłoszenie trafia na support@shieldwave.io jako e-mail z adresem, imieniem i wiadomością, które podajesz, oraz wynikiem tego sprawdzenia (domena, wynik, znalezione problemy). Używamy go tylko do odpowiedzi na to zgłoszenie. Podstawą jest Twoja zgoda wyrażona zaznaczeniem pola w formularzu (lit. a) i działania na Twoje żądanie przed zawarciem umowy (lit. b). Przechowujemy je jak inną korespondencję (sekcja 16); zgodę wycofasz, pisząc na support@shieldwave.io.

11.3 Zamówienie czyszczenia strony

Gdy w panelu zamawiasz czyszczenie zhakowanej strony, zapisujemy domenę, opis problemu, który podajesz, e-mail konta i Twoją zgodę na dostęp do strony, żeby przygotować wycenę i wykonać usługę. Podstawą jest umowa i działania przed jej zawarciem (lit. b). Zgłoszenie przechowujemy do usunięcia konta. Jeśli usługa została wykonana, dokumenty umowy i rozliczeń przechowujemy jak dowody umowy i faktury (sekcja 16).

12. Strona internetowa, cookies i analityka

Zapytania do serwisu trafiają bezpośrednio do naszego dostawcy hostingu, Google Cloud. Cloudflare tylko odpowiada na zapytania DNS o naszą domenę i nie widzi zapytań do serwisu; zanim skierujemy ruch przez Cloudflare, żeby chronił serwis, przez co widziałby każde zapytanie wraz z adresem IP, zmienimy tę politykę. Dziennik zapytań u dostawcy hostingu zapisuje adres IP, czas, adres strony, identyfikację przeglądarki i adres strony, z której przyszło zapytanie; przechowujemy go 30 dni. Podstawą jest nasz prawnie uzasadniony interes w działaniu i ochronie serwisu (lit. f).

Za Twoją zgodą funkcje reklamowe Google i piksel Meta mierzą nasze reklamy, odsłony i zakupy. Meta otrzymuje identyfikatory przeglądarki i kliknięć, adresy stron oraz kwotę i walutę zakupu; nie otrzymuje sprawdzanych domen ani wyników skanów. Zgodę wycofasz w Ustawieniach cookies. Google Tag Manager i Google Analytics 4 wymagają zgody na analitykę; piksel Meta wymaga zgody na analitykę i marketing. Niezbędne cookies działają niezależnie od tych opcjonalnych zgód.

Meta Platforms Ireland Limited: Polityka prywatności Meta, Cookies Meta. Cookies _fbp i _fbc: do 90 dni. Zaawansowane dopasowywanie i API konwersji są wyłączone. Piksel wymaga także zgody na analitykę, ponieważ dopiero ta zgoda ładuje kontener. Wycofanie zgody marketingowej zatrzymuje piksel i usuwa jego cookies.

Liczymy też odsłony stron, bez cookies. Przy każdej odsłonie tego serwisu przeglądarka wysyła nam krótką wiadomość: adres strony (bez części po „?”), adres strony, z której przyszedł odwiedzający, wartości utm_source, utm_medium i utm_campaign z adresu strony oraz informację, czy w adresie był identyfikator kliknięcia z Google Ads (sam identyfikator nie jest wysyłany). Z identyfikacji przeglądarki ustalamy tylko rodzaj urządzenia (telefon, tablet albo komputer), a kraj z nagłówka dostawcy hostingu, jeśli go podaje; identyfikację przeglądarki następnie odrzucamy. Wynik dodajemy do sumy dziennej. Nie zapisujemy adresu IP, identyfikacji przeglądarki ani żadnego identyfikatora osoby, nie ustawiamy cookies i nie zapisujemy niczego w Twojej przeglądarce, więc nie odróżnimy wizyt jednej osoby ani nie rozpoznamy wracającego odwiedzającego. Odsłony wykonane przez programy automatyczne nie są liczone, a odsłony samego operatora liczymy osobno. Wiadomość dociera do nas jak każde zapytanie, więc dziennik zapytań u dostawcy hostingu (wyżej) zawiera też jej adres IP przez 30 dni. Sumy dzienne przechowujemy 13 miesięcy. Podstawą jest nasz prawnie uzasadniony interes w wiedzy, które strony i kampanie są odwiedzane (lit. f). Możesz wnieść sprzeciw (sekcja 17.3), a zablokowanie tego zapytania w przeglądarce kończy liczenie.

Szczegóły, w tym lista cookies i zapisów w przeglądarce: Polityka cookies.

13. Bezpieczeństwo i dzienniki nadużyć

13.1 Co zapisujemy

• dziennik zdarzeń konta (np. rejestracja, zmiany w koncie) z adresami IP;
• dziennik zapytań u dostawcy hostingu;
• liczniki limitów zapytań na adres IP i na konto, w pamięci serwera;
• Twoje oświadczenie, że masz prawo sprawdzić stronę: konto, domena, czas, miejsce złożenia, adres IP i identyfikacja przeglądarki;
• zapis o usunięciu konta (identyfikator i nazwa użytkownika, adres IP, data);
• listę domen wyłączonych ze sprawdzeń i prośby o wyłączenie.

Podstawą jest nasz prawnie uzasadniony interes (lit. f) w ochronie serwisu, klientów i sprawdzanych stron przed nadużyciami, takimi jak sprawdzanie cudzych stron bez zgody, obchodzenie limitów czy ataki na serwis, w wykazaniu, że działaliśmy zgodnie z prawem i umową, oraz w ustaleniu, dochodzeniu lub obronie roszczeń.

13.2 Jak chronimy dane

Połączenia są szyfrowane (TLS, HSTS); hasła przechowujemy jako skróty bcrypt, a klucze API jako skróty; cookie sesji ma atrybuty HttpOnly, Secure i SameSite=Strict. Chronimy formularze przed sfałszowanymi żądaniami, ograniczamy liczbę zapytań na adres IP i na konto i blokujemy zapytania skanera do adresów wewnętrznych. Serwis działa w UE w Google Cloud, z szyfrowaniem danych w spoczynku, kontrolą dostępu i menedżerem sekretów dostawcy; zapytania docierają do niego przez infrastrukturę brzegową Google (Google Front End), która odfiltrowuje ataki sieciowe. Prowadzimy dziennik zdarzeń konta, dane usuwamy automatycznie według okresów przechowywania, a dostęp do środowiska produkcyjnego ma tylko właściciel firmy.

14. Odbiorcy danych

Dane dostają też odbiorcy, których wybierasz Ty: Slack, Microsoft Teams, Discord i Twój własny adres webhooka (sekcja 5.2). Z WordPress.org łączy się Twoja strona z wtyczką, nie my (sekcja 8.1).

Aktualna lista ze szczegółami: Podmioty przetwarzające i odbiorcy danych. Zanim zaczniemy przekazywać dane nowemu dostawcy, dopiszemy go do tej listy.

15. Przekazywanie danych poza EOG

Cloudflare, Groq, Stripe i spółki z grupy Google mogą przetwarzać dane w USA. Przy tych przekazaniach opieramy się na:

• EU-US Data Privacy Framework (decyzja Komisji (UE) 2023/1795) w przypadku firm, które uczestniczą w tym programie; Cloudflare stosuje dodatkowo standardowe klauzule umowne;
• standardowych klauzulach umownych przyjętych decyzją Komisji (UE) 2021/914 w przypadku pozostałych firm, w tym Groq.

Kopię tych zabezpieczeń wyślemy Ci na prośbę: napisz na support@shieldwave.io.

16. Jak długo przechowujemy dane

17. Twoje prawa

17.1 Jakie masz prawa

Masz prawo dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przeniesienia danych, które nam przekazujesz na podstawie umowy lub zgody (art. 20), oraz sprzeciwu (art. 21, sekcja 17.3). Zgodę możesz wycofać w każdej chwili; nie wpływa to na przetwarzanie przed wycofaniem (art. 7 ust. 3).

17.2 Jak z nich skorzystać

W profilu możesz poprawić swoje dane, pobrać dane konta w formacie JSON (profil, sprawdzenia, monitorowane domeny, powiadomienia) i usunąć konto. W innych sprawach napisz na support@shieldwave.io. Odpowiemy w ciągu miesiąca; w złożonej sprawie możemy przedłużyć ten termin o dwa miesiące i napiszemy dlaczego. Możemy poprosić o potwierdzenie, że dane dotyczą Ciebie, np. wiadomością z adresu przypisanego do konta.

Jeśli Twoje dane są w wynikach sprawdzenia, które klient zlecił w związku ze swoją działalnością, przekażemy Twoje żądanie temu klientowi jako administratorowi i pomożemy mu je wykonać.

17.3 Prawo sprzeciwu

Możesz w każdej chwili wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), z przyczyn związanych z Twoją szczególną sytuacją. Wtedy przestaniemy je przetwarzać, chyba że wykażemy ważne prawnie uzasadnione podstawy, nadrzędne wobec Twoich interesów, praw i wolności, albo podstawy do ustalenia, dochodzenia lub obrony roszczeń.

Możesz w każdej chwili sprzeciwić się przetwarzaniu Twoich danych w celach marketingowych, bez podawania przyczyny.

17.4 Decyzje zautomatyzowane

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołują skutki prawne albo w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO). AI ocenia problemy techniczne stron, a nie ludzi.

18. Skarga do organu nadzorczego

Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl, albo do organu ochrony danych w państwie UE, w którym mieszkasz, pracujesz lub w którym doszło do naruszenia. Najpierw możesz napisać do nas; postaramy się sprawę wyjaśnić.

19. Osoby spoza Unii Europejskiej

Prowadzimy działalność w Polsce i stosujemy RODO wobec wszystkich, niezależnie od miejsca zamieszkania. Nie mamy przedstawiciela poza Unią Europejską. Jeśli prawo Twojego kraju daje Ci dodatkowe prawa, napisz do nas, a odpowiemy.

20. Wiek

Konto w ShieldWave może założyć osoba, która ma co najmniej 18 lat. Nie zbieramy świadomie danych dzieci. Jeśli dowiemy się, że konto założyła osoba młodsza, usuniemy je.

21. Zmiany polityki

Politykę zmieniamy, gdy zmienia się usługa, nasi dostawcy albo prawo, i publikujemy każdą wersję na tej stronie z datą i wpisem w historii zmian. Zanim zaczną obowiązywać zmiany dotyczące tego, jak przetwarzamy dane klientów, informujemy o nich e-mailem posiadaczy kont. Poprzednią wersję wyślemy na prośbę.

Gdy wysyłamy albo pokazujemy powiadomienie o zmianie, e-mailem albo jako komunikat w aplikacji, zapisujemy dla każdego konta, kiedy je wysłaliśmy albo pierwszy raz pokazaliśmy oraz kiedy zostało zamknięte albo zaakceptowane, żeby móc wykazać, że powiadomienie zostało przekazane. Podstawą jest nasz prawnie uzasadniony interes w wykazaniu, że Cię poinformowaliśmy (lit. f). Ten zapis przechowujemy do usunięcia konta.

22. Historia zmian

• 23 października 2026 r.: wynik sprawdzenia demonstracyjnego e-mailem i cotygodniowe sprawdzanie domeny po kliknięciu w tym e-mailu (sekcje 2, 6, 11.1 i 16). Dotyczy osób bez konta, a nie przetwarzania danych klientów, więc nie wysyłamy zawiadomienia z sekcji 21.
• 24 października 2026 r., uzupełnienie bez nowej wersji: prośba o naprawę problemów ze sprawdzenia demonstracyjnego formularzem pod wynikiem (sekcja 11.2). Dotyczy osób bez konta, a nie przetwarzania danych klientów, więc nie wysyłamy zawiadomienia z sekcji 21.
• 22 października 2026 r.: w planie Free wtyczka wysyła wyniki każdej połączonej strony (sekcja 8.3); liczniki limitu sprawdzenia demonstracyjnego jako skrót adresu IP w bazie danych do 2 godzin (sekcje 6 i 16); zamówienie czyszczenia strony (sekcja 11.3).
• 19 października 2026 r.: wtyczka WordPress 1.1.21 i plan Free. Zapisy użycia pułapek i powiadomienia o nowych podatnościach na połączonych stronach (sekcje 2, 8.5 i 16); w planie Free wtyczka wysyła wyniki dla trzech stron (sekcja 8.3).
• 20 października 2026 r., uzupełnienie bez nowej wersji: anonimowe liczenie odsłon bez cookies (sekcje 12 i 16). Dotyczy odwiedzających serwis, a nie przetwarzania danych klientów, więc nie wysyłamy zawiadomienia z sekcji 21.
• 8 października 2026 r.: wtyczka WordPress 1.1.10. Dane, które wtyczka przechowuje na Twoim serwerze, i cookie, które zapisuje po zalogowaniu (sekcja 8); reguły pobierane mniej więcej raz na godzinę (sekcja 8.2); problemy wymieniające konta użytkowników są wysyłane bez nazw logowania (sekcja 8.3); usunięcie wtyczki wysyła nam prośbę o odłączenie strony (sekcja 8.4); co wtyczka usuwa z fragmentów do drugiej opinii AI i których plików nigdy nie czyta (sekcja 10.2).
• 30 września 2026 r.: połączenie wtyczki WordPress jednym kliknięciem i to, co wtyczka wysyła w każdym planie, także problemy zignorowane w WordPressie (sekcja 8.3); znacznik weryfikacyjny, który wtyczka pokazuje na stronie głównej (sekcja 8.3); odłączenie strony usuwa jej dane (sekcje 8.4 i 16); zapis powiadomień o zmianach (sekcje 16 i 21).
• 29 września 2026 r., poprawka tego samego dnia: Cloudflare odpowiada dziś tylko na zapytania DNS o naszą domenę i nie widzi zapytań do serwisu; opisujemy, co się zmieni, gdy skierujemy przez niego ruch (sekcje 12, 13.2 i 14). Do publicznych usług pytanych o sprawdzaną domenę dopisujemy publiczne przechowywanie plików w chmurze (sekcje 5.1 i 14).
• 29 września 2026 r.: ta wersja zastępuje politykę prywatności z lutego 2026 r. Poprawia dane administratora, listę dostawców, opis danych wysyłanych do AI i okresy przechowywania oraz dodaje informacje dla osób, które nie są naszymi klientami.

21 października 2026 r.: piksel Meta (odsłony i zakupy), zgoda marketingowa i ponowne pytanie o zgodę (wersja 3).