1. Administrator danych osobowych
Administratorem Twoich danych osobowych jest Semper Paratus Legal House LLP, spółka osobowa z ograniczoną odpowiedzialnością (limited liability partnership) zarejestrowana w Anglii i Walii pod numerem OC417715, z siedzibą pod adresem 42-44 Bishopsgate, London EC2N 4AH, Wielka Brytania (dalej: „Administrator").
Administrator prowadzi pod marką „Libacjusz Marszałkowski" serwis internetowy dostępny pod adresem libacjusz.pl (dalej: „Serwis").
Kontakt z Administratorem: [email protected]
Inspektor ochrony danych nie został powołany — w sprawach RODO prosimy o kontakt pod powyższym adresem.
2. Podstawa prawna i cel przetwarzania danych
Twoje dane osobowe przetwarzamy na podstawie:
- Art. 6 ust. 1 lit. b RODO – wykonanie umowy o świadczenie usług (rejestracja konta, korzystanie z serwisu, zakup planu abonamentowego);
- Art. 6 ust. 1 lit. c RODO – wypełnienie obowiązku prawnego (np. wystawianie faktur, przechowywanie dokumentacji);
- Art. 6 ust. 1 lit. f RODO – uzasadniony interes Administratora (bezpieczeństwo systemu, statystyki użytkowania, dochodzenie roszczeń);
- Art. 6 ust. 1 lit. a RODO – Twoja zgoda (marketing, newsletter, statystyki odwiedzin i pomiar skuteczności reklam na stronie libacjusz.pl – jeśli wyrażono, patrz sekcja 8).
Dane przetwarzamy w następujących celach:
- Prowadzenie konta użytkownika i świadczenie usług Serwisu;
- Obsługa płatności za plan abonamentowy;
- Generowanie spersonalizowanych dokumentów prawnych przy użyciu AI;
- Udzielanie odpowiedzi na pytania prawne za pośrednictwem czatu;
- Kontakt z użytkownikiem w sprawach związanych z usługą;
- Realizacja obowiązków podatkowych i rachunkowych;
- Zapewnienie bezpieczeństwa Serwisu.
2a. Newsletter i informacja handlowa
W ramach prowadzenia konta w Serwisie wysyłamy newsletter zawierający informacje o nowościach w serwisie oraz istotnych zmianach prawnych. Newsletter stanowi informację handlową w rozumieniu art. 10 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz komunikację marketingową w rozumieniu art. 172 ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne.
Newsletter jest domyślnie włączony dla posiadaczy kont (jako usługa powiązana z prowadzeniem konta); podczas rejestracji wyraźnie o tym informujemy i umożliwiamy natychmiastową rezygnację (odznaczenie zgody). Podstawą przetwarzania danych w tym celu jest art. 6 ust. 1 lit. a RODO (zgoda) lub art. 6 ust. 1 lit. f RODO (uzasadniony interes – marketing własnych, podobnych usług kierowany do dotychczasowych klientów).
Rezygnacja: z newslettera można zrezygnować w dowolnym momencie, bez podania przyczyny i bez żadnych kosztów – w ustawieniach konta (zakładka „Profil") lub korzystając z odnośnika umieszczonego w każdej wiadomości. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
3. Zakres przetwarzanych danych
W zależności od sposobu korzystania z Serwisu przetwarzamy następujące kategorie danych:
- Dane rejestracyjne: imię i nazwisko, adres e-mail, hasło (przechowywane w formie zaszyfrowanej);
- Dane podawane w formularzach pism: imię i nazwisko, adres zamieszkania, PESEL, opis sprawy (podawane dobrowolnie wyłącznie do generowania dokumentu);
- Dane czatu: treść wiadomości kierowanych do asystenta AI Libacjusza;
- Dane płatnicze: obsługiwane przez zewnętrznego dostawcę płatności (Stripe) – Administrator nie przechowuje danych karty;
- Dane techniczne: adres IP, typ przeglądarki, pliki cookie sesji, logi dostępu.
Uwaga: Treści wpisywane w formularzach pism (PESEL, adres, dane sprawy) są przetwarzane wyłącznie do wygenerowania dokumentu i nie są trwale przechowywane po dostarczeniu dokumentu użytkownikowi.
4. Przetwarzanie danych przez system AI
Serwis korzysta z dwóch warstw modeli sztucznej inteligencji:
4.1. Warstwa lokalna (zawsze aktywna)
- Hybrydowy silnik wyszukiwania semantycznego (RAG) wraz z modelami językowymi (rodzina qwen3) działa wyłącznie na serwerach Administratora w Polsce;
- Cały korpus prawny (akty, orzeczenia, RSS, baza obwieszczeń) przeszukiwany jest lokalnie, nie opuszcza infrastruktury Administratora;
- Model lokalny generuje odpowiedź, gdy warstwa chmurowa jest niedostępna (awaria, przekroczony limit) albo gdy nie zadziałała pseudonimizacja (sekcja 4.2) – wtedy treść zapytania nie opuszcza serwera Administratora.
4.2. Warstwa chmurowa (wszystkie plany: Start, Firma, Kancelaria)
We wszystkich planach, także w bezpłatnym planie Start, odpowiedzi generują modele językowe Anthropic PBC (rodzina Claude). Plan nie zmienia tej ścieżki – wpływa na pulę tokenów, nie na wybór dostawcy. Zapytanie trafia kolejno na jedną z trzech dróg – każda następna tylko wtedy, gdy poprzednia nie odpowiedziała:
- API Anthropic – na warunkach opisanych niżej (Zero Data Retention, umowa powierzenia);
- konto abonamentowe Claude (Anthropic), z którego korzysta wewnętrzny pośrednik serwisu – ta sama, pseudonimizowana treść zapytania. Na tej drodze dane podlegają warunkom Anthropic dla tego konta; nie obejmuje jej konfiguracja Zero Data Retention opisana niżej dla API;
- model lokalny na serwerze Administratora (sekcja 4.1) – bez przekazywania treści na zewnątrz.
Przy drogach 1 i 2:
- Pseudonimizacja danych osobowych – we wszystkich funkcjach korzystających z AI (z wyjątkiem przepisywania zapytań do wyszukiwarki, które pseudonimizuje identyfikatory, nie nazwiska – opis niżej) – przed wysłaniem treści do modelu chmurowego Administrator automatycznie zamienia wszystkie wykryte dane osobowe (imiona, nazwiska, PESEL, NIP, KRS, REGON, IBAN, adresy, telefony, adresy e-mail) na pseudonimy (np. „OSOBA_1", „PESEL_1"). Anthropic otrzymuje treść bez prawdziwych danych osobowych. Gdy mechanizm pseudonimizacji jest niedostępny albo zgłosi błąd, treść nie jest przekazywana do Anthropic – w czacie odpowiada model lokalny, a analiza umowy nie startuje;
- Słownik pseudonimów przechowywany jest wyłącznie w pamięci serwerów Administratora i nie jest przekazywany podmiotom trzecim. Po odebraniu odpowiedzi pseudonimy są zamieniane z powrotem na oryginały i prezentowane Użytkownikowi;
- Zlecenia „Jednego wejścia” – zlecenia przyjmowane przez „Jedno wejście” (formularz w panelu albo e-mail): klasyfikacja zgłoszenia, szacunek kosztu i wykonanie zlecenia – opinii prawnej, dokumentu na zamówienie albo analizy – idą przez API Anthropic (Zero Data Retention, umowa powierzenia) po pseudonimizacji; gdy pseudonimizacja nie zadziała, treść nie jest przekazywana do Anthropic, a zlecenie obsługuje model lokalny;
- Przepisanie zapytań do wyszukiwarki – przepisanie pytania na terminy prawne przed wyszukiwaniem w bazie wiedzy: przed wysłaniem do Anthropic (przez API Anthropic) treść przechodzi przebieg regułowy, który usuwa identyfikatory – PESEL, NIP, REGON, KRS, IBAN, numery dowodów, telefony, e-maile, kod pocztowy z miejscowością oraz imiona i nazwiska poprzedzone tytułem (Pan/Pani, adwokat, radca prawny…); pozostałe nazwy własne i nazwiska nie są zastępowane. Gdy przebieg regułowy nie zadziała, przepisanie jest pomijane i pytanie trafia do wyszukiwarki bez niego;
- Zero Data Retention (ZDR) – dotyczy wyłącznie drogi 1 (API Anthropic): konfiguracja, w której treści zapytań i odpowiedzi nie są używane do trenowania modeli i są usuwane z systemów Anthropic w terminie ≤ 30 dni;
- Umowa powierzenia (DPA) – w zakresie API Anthropic (droga 1) Administrator zawarł z Anthropic umowę powierzenia przetwarzania danych osobowych zgodną z art. 28 RODO wraz ze Standardowymi Klauzulami Umownymi (Moduł 2, kontroler → procesor) jako podstawą przekazywania danych do USA na podstawie art. 46 ust. 2 lit. c RODO;
4.3. Postanowienia wspólne
- Odpowiedzi generowane przez AI mają charakter informacyjny i nie stanowią porady prawnej w rozumieniu prawa o świadczeniu pomocy prawnej;
- Rozmowy czatu mogą być przeglądane przez Administratora wyłącznie w celach jakościowych i bezpieczeństwa (m.in. wykrywanie nadużyć i prób manipulacji modelem);
- Wewnętrzny dziennik audytowy działań AI (ai_action_log) nie zawiera treści pytań ani odpowiedzi modelu; zawiera metadane operacji: rodzaj czynności, czas, identyfikator konta, nazwę pliku przesłanego do analizy lub transkrypcji, sygnaturę sprawy i adres odbiorcy wiadomości oraz parametry czynności (np. kategoria sprawy, wartość przedmiotu sporu); przechowywany jest 90 dni (sekcja 6);
- Analiza umów (DOCX, a także PDF i zdjęcia stron – ich tekst najpierw odczytuje OCR opisany niżej): klauzule trafiają do Anthropic po pseudonimizacji, przez API Anthropic (droga 1, sekcja 4.2); bez pseudonimizacji analiza nie startuje.
- Odczyt skanów (OCR) i konwersja dokumentów – rozpoznawanie tekstu skanów i zdjęć (załączników do pozwu bez warstwy tekstowej, dokumentów sprawy oraz umów przesłanych do analizy jako PDF lub zdjęcia), a także konwersję formatów dokumentów i usuwanie metadanych zdjęć na żądanie Użytkownika (zapis jako PDF, PDF z warstwą tekstową, tekst do edycji, tabele do arkusza, zdjęcie bez metadanych, m.in. lokalizacji GPS) wykonuje własna usługa Administratora (oprogramowanie Docling i Tesseract) uruchomiona na serwerze Administratora w jego prywatnej sieci, bez udziału zewnętrznego dostawcy usług OCR i bez przekazywania podmiotom trzecim; gdy usługa jest niedostępna, odczyt wykonuje zapasowo silnik lokalny na serwerze aplikacji. Plik jest tam przetwarzany w podanej postaci, bez pseudonimizacji i bez modelu AI, wyłącznie na czas odczytu lub konwersji i nie jest tam przechowywany po jej zakończeniu. Wynik konwersji zapisuje się jako nowy dokument w sprawie Użytkownika i jest usuwany razem z nią.
5. Udostępnianie danych osobowych
Twoje dane mogą być przekazywane następującym kategoriom odbiorców (pełna lista podmiotów przetwarzających – patrz sekcja 11):
- Dostawcom usług płatniczych (Stripe Payments Europe Ltd., Irlandia) – w zakresie niezbędnym do realizacji płatności;
- Dostawcom modeli językowych AI (Anthropic PBC, USA) – w zakresie pseudonimizowanej treści kierowanej do warstwy chmurowej (patrz sekcja 4.2). Przekazywanie do USA na podstawie Standardowych Klauzul Umownych UE (Moduł 2) zgodnie z art. 46 ust. 2 lit. c RODO;
- Dostawcom usługi poczty elektronicznej (Stalwart Mail, serwer w UE) – w zakresie obsługi komunikacji e-mail (newsletter, powiadomienia);
- Dostawcom infrastruktury IT – hostingu serwerowego w Polsce, na podstawie umów powierzenia przetwarzania danych;
- Organom publicznym – wyłącznie na podstawie przepisów prawa (np. na żądanie sądu lub prokuratury).
Administrator nie sprzedaje danych osobowych podmiotom trzecim. Pomiar skuteczności reklam (piksel Meta) działa wyłącznie za Twoją zgodą, opisaną w sekcji 8.
5a. Wywiad gospodarczy — skan infrastruktury cyfrowej firmy
W sprawie wywiadu gospodarczego o firmę (plany Firma i Kancelaria) możesz zlecić skan infrastruktury cyfrowej. Skan wykonuje serwer Administratora w jego wewnętrznej sieci, przy użyciu wyłącznie modułów pasywnych: nie skanuje portów, nie przegląda stron firmy i nie łączy się z jej serwerami WWW ani pocztowymi.
- Co jest przekazywane: do publicznych usług trafia wyłącznie wskazany przez Ciebie cel – domena, publiczny adres IP albo adres e-mail w domenie firmowej (adresy w darmowych skrzynkach pocztowych są odrzucane) – oraz nazwy i adresy ustalone w trakcie skanu (np. poddomeny, adresy IP serwerów). Dane Twojego konta (imię, e-mail, identyfikator, kod sprawy) nie są przekazywane;
- Dokąd: serwery DNS (w tym Quad9) i rejestry domen (WHOIS); logi certyfikatów (crt.sh); rejestry adresów IP i systemów autonomicznych (RIPE NCC, BGPView); rejestr identyfikatorów LEI (GLEIF); pasywne bazy DNS i wyszukiwarki poddomen (DNSDumpster, Sublist3r, mnemonic, Robtex, ThreatMiner, urlscan.io); listy reputacji i blokad (m.in. Spamhaus, SURBL, abuse.ch, AlienVault, Cisco Talos, SpamCop, UCEPROTECT, PhishTank, OpenPhish); serwisy zgłoszeń i wycieków dotyczących domen (HackerOne, Open Bug Bounty, Zone-H, WikiLeaks, wyszukiwarka wklejek psbdmp); dostawcy chmury (Amazon S3, Microsoft Azure, Google Cloud Storage, DigitalOcean) – przy sprawdzaniu, czy istnieją publiczne zasobniki o nazwach pochodzących od celu;
- Dane o osobach: skan nie służy do zbierania informacji o osobach. Wyniki dotyczące osób (imiona i nazwiska, numery telefonów, adresy, imienne adresy e-mail, konta w serwisach społecznościowych, surowe dane WHOIS) są odrzucane na serwerze skanującym, zanim wynik trafi do sprawy;
- Gdzie trafia wynik: do Twojej sprawy (ustalenia, graf powiązań, rejestr dowodów ze wskazaniem źródła) i jest przechowywany tak długo jak sprawa (sekcja 6). Na serwerze skanującym skan jest usuwany zaraz po odczytaniu wyniku.
6. Okres przechowywania danych
- Dane konta: przez czas aktywności konta + 3 lata po jego usunięciu (dochodzenie roszczeń);
- Dane płatności i faktury: 5 lat od końca roku kalendarzowego, w którym dokonano transakcji (obowiązek podatkowy);
- Historia czatu: 12 miesięcy od ostatniej aktywności;
- Wewnętrzny dziennik audytowy AI (ai_action_log): 90 dni; nie zawiera treści pytań ani odpowiedzi modelu; zawiera metadane operacji: rodzaj czynności, czas, identyfikator konta, nazwę pliku przesłanego do analizy lub transkrypcji, sygnaturę sprawy i adres odbiorcy wiadomości oraz parametry czynności (np. kategoria sprawy, wartość przedmiotu sporu);
- Dane przekazywane do Anthropic (warstwa chmurowa AI): droga 1 (API) – ≤ 30 dni w systemach Anthropic na podstawie konfiguracji Zero Data Retention, bez użycia do trenowania modeli; droga 2 (konto abonamentowe Claude, sekcja 4.2) – według warunków Anthropic dla tego konta;
- Logi systemowe: 90 dni;
- Sprawy wywiadu gospodarczego (w tym wyniki skanu infrastruktury cyfrowej, sekcja 5a): do daty przechowywania pokazanej w sprawie (domyślnie 12 miesięcy od jej założenia) albo do wcześniejszego usunięcia sprawy przez Ciebie;
- Dane formularzy pism: do momentu pobrania dokumentu przez użytkownika, nie dłużej niż 24 godziny.
7. Twoje prawa
Na podstawie RODO przysługują Ci następujące prawa:
- Prawo dostępu – możesz zażądać informacji, jakie Twoje dane przetwarzamy;
- Prawo do sprostowania – możesz poprawić nieprawidłowe dane;
- Prawo do usunięcia – możesz zażądać usunięcia danych (tzw. „prawo do bycia zapomnianym"), o ile nie stoi temu na przeszkodzie obowiązek prawny;
- Prawo do ograniczenia przetwarzania – możesz ograniczyć przetwarzanie danych w określonych przypadkach;
- Prawo do przenoszenia danych – możesz otrzymać swoje dane w formacie nadającym się do odczytu maszynowego;
- Prawo sprzeciwu – możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie;
- Prawo do cofnięcia zgody – jeżeli przetwarzanie opiera się na zgodzie, możesz ją cofnąć w dowolnym momencie bez wpływu na wcześniejsze przetwarzanie.
Wnioski dotyczące praw kieruj na adres: [email protected]. Administrator odpowie w ciągu 30 dni.
Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
9. Bezpieczeństwo danych
Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed nieuprawnionym dostępem, utratą lub zniszczeniem, w szczególności:
- Szyfrowanie transmisji danych (HTTPS/TLS 1.3);
- Haszowanie haseł użytkowników (bcrypt);
- Ograniczenie dostępu do danych wyłącznie dla upoważnionych osób (kontrola ról, JWT z rotacją tokenów);
- Regularne kopie zapasowe danych;
- Automatyczna pseudonimizacja PII przed każdym wywołaniem modelu Anthropic, we wszystkich funkcjach korzystających z AI, z wyjątkiem przepisywania zapytań do wyszukiwarki, które pseudonimizuje identyfikatory, nie nazwiska (sekcja 4.2);
- Sanityzacja korpusu wiedzy – treści wchodzące do bazy wiedzy (akty prawne, RSS, orzeczenia) są filtrowane przed indeksacją pod kątem prób manipulacji modelem językowym (prompt injection) zgodnie z OWASP LLM Top 10 (LLM01:2025);
- Izolacja warstw kontekstu – fragmenty pobierane z korpusu są przekazywane do modelu w jawnie oznaczonych ogranicznikach z losowym identyfikatorem, co utrudnia zewnętrzne wstrzyknięcie instrukcji;
- Dziennik audytowy działań AI – wybrane czynności AI (m.in. analiza umów, transkrypcje, pisma w postępowaniu, wysyłka wiadomości ze sprawy) są rejestrowane w tabeli ai_action_log jako metadane, bez treści pytań i odpowiedzi (sekcja 4.3), z możliwością analizy po incydencie;
- Whitelist adresów docelowych – autonomiczne działania asystenta (np. wysyłka e-mail) są ograniczone do zaufanych domen określonych w pliku konfiguracyjnym.
10. Zmiany polityki prywatności
Administrator zastrzega prawo do zmiany niniejszej Polityki Prywatności. O istotnych zmianach poinformujemy drogą e-mailową lub poprzez komunikat w Serwisie. Dalsze korzystanie z Serwisu po wejściu zmian w życie oznacza ich akceptację.
11. Rejestr podmiotów przetwarzających (sub-procesorów)
Aktualna lista podmiotów, którym Administrator powierzył przetwarzanie danych osobowych:
| Podmiot | Cel powierzenia | Lokalizacja | Podstawa transferu (jeśli poza EOG) |
|---|---|---|---|
| Anthropic PBC | Generacja odpowiedzi w warstwie chmurowej AI (wszystkie plany) – po pseudonimizacji (sekcja 4.2); droga 1: API Anthropic, droga 2: konto abonamentowe Claude używane przez pośrednika czatu jako zapas (sekcja 4.2) | USA (San Francisco) | Droga 1: SCC Moduł 2 (art. 46 ust. 2 lit. c RODO) + DPA + Zero Data Retention. Droga 2: warunki Anthropic dla konta abonamentowego Claude, bez Zero Data Retention |
| Stripe Payments Europe Ltd. | Obsługa płatności subskrypcji | Irlandia (EOG) | N/d – EOG |
| Stalwart Mail | Serwer poczty elektronicznej (JMAP) | UE | N/d – UE |
| Google Ireland Limited | Statystyki odwiedzin strony libacjusz.pl (Google Analytics 4) – tylko za zgodą, sekcja 8 | Irlandia (EOG); możliwy transfer do USA | EU-US Data Privacy Framework |
| Meta Platforms Ireland Limited | Pomiar skuteczności reklam na stronie libacjusz.pl (piksel Meta) – tylko za zgodą, sekcja 8; Meta przetwarza te dane także na własne cele | Irlandia (EOG); możliwy transfer do USA | EU-US Data Privacy Framework |
| Hetzner Online GmbH | Infrastruktura serwerowa (hosting aplikacji, bazy danych, modeli językowych lokalnych) — Falkenstein / Nuremberg, Niemcy | Niemcy (EOG) | N/d – EOG |
Odczyt skanów (OCR) i konwersja dokumentów (sekcja 4.3) odbywają się na serwerze Administratora w infrastrukturze Hetzner Online GmbH wskazanej w tabeli. Dokumenty spraw, dla których Administrator włączył pełnotekstowe wyszukiwanie w aktach, są przechowywane w archiwum na własnym serwerze Administratora w jego prywatnej sieci, bez udziału podmiotów trzecich; po zamknięciu sprawy są usuwane z wyszukiwarki.
O istotnych zmianach w rejestrze (dodaniu nowego sub-procesora) poinformujemy z 14-dniowym wyprzedzeniem. Aktualna wersja listy dostępna jest również na stronie kontaktowej Serwisu.
Kopia zawartej z Anthropic PBC umowy powierzenia (DPA) wraz ze Standardowymi Klauzulami Umownymi (SCC, Moduł 2) jest dostępna do wglądu na żądanie skierowane na adres: [email protected].