Polityka prywatności
W skrócie
- Aplikacje przechowują dane na Twoim komputerze. Nie otrzymujemy Twoich zgłoszeń, komentarzy, notatek ani innych treści, które wpisujesz.
- Aplikacje nie mają kont użytkowników, analityki ani telemetrii. Strona turndesk.app liczy odwiedziny i pobrania bez ciasteczek, narzędziem działającym na naszym serwerze.
- Aplikacje łączą się z naszym serwerem tylko po aktualizacje i klucze licencji. Serwer nie zapisuje tych zapytań w dzienniku.
- Jeśli kupujesz licencję albo do nas piszesz, przetwarzamy Twoje dane kontaktowe i dane do faktury, żeby odpowiedzieć, wykonać umowę i prowadzić wymaganą prawem dokumentację księgową.
Administrator danych
Administratorem danych osobowych opisanych w tej polityce jest CODCUBE Krzysztof Krupski, ul. Dunikowskiego 22, 56-200 Góra, NIP 5010073322, REGON 361126767. W sprawach dotyczących danych osobowych pisz na kontakt@codcube.pl albo na adres pocztowy podany wyżej. Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie wymaga tego art. 37 RODO.
Dane na Twoim komputerze
Turndesk i Turndesk Tray działają na Twoim komputerze i łączą się bezpośrednio z Twoim serwerem Easy8 lub Redmine. Na Twoim komputerze aplikacje przechowują i przetwarzają:
- zgłoszenia, komentarze, załączniki, wpisy czasu pracy i inne dane z Easy8 lub Redmine,
- Twoje notatki, przypomnienia, zapisane zgłoszenia i propozycje agentów,
- informacje o Twoich nawykach, z których aplikacje układają plan dnia,
- spotkania z Twojego kalendarza i godziny rozmów w Microsoft Teams, z których Turndesk podpowiada czas pracy,
- Twoje rozmowy z modelem AI,
- klucz API do Easy8 lub Redmine i klucze dostawców AI.
Nie otrzymujemy żadnych z tych danych. Klucze API aplikacje przechowują w systemowym magazynie haseł (Pęk kluczy w macOS, Menedżer poświadczeń w Windows, Secret Service w Linuksie), a pozostałe dane w folderze danych aplikacji. Usunięcie aplikacji razem z tym folderem i ich wpisami w magazynie haseł usuwa te dane w całości; nie mamy ich kopii. Co aplikacje wysyłają innym odbiorcom, na przykład dostawcy AI, opisuje część „Połączenia, które nawiązują aplikacje”.
Połączenia, które nawiązują aplikacje
Twój serwer Easy8 lub Redmine
Aplikacje odczytują i zmieniają zgłoszenia przez API Easy8 lub Redmine, pod adresem i z kluczem, które podasz. Zmianę wysyłają dopiero po Twoim kliknięciu. Zmianę zrobioną bez połączenia z serwerem wysyłają, gdy połączenie wróci. Administratorem tych danych jest Twoja firma. Nie jesteśmy ani administratorem tych danych, ani podmiotem przetwarzającym, ponieważ ich nie otrzymujemy.
Sprawdzanie aktualizacji (updates.turndesk.app)
Przy uruchomieniu, a potem co 6 godzin, aplikacje pytają nasz serwer o numer najnowszej wersji. Gdy jest nowa wersja, pobierają instalator. Serwer otrzymuje przy tym Twój adres IP. Serwer nie zapisuje zapytań w dzienniku (nie prowadzi logów dostępu). Adres IP może zostać zapisany w dzienniku systemowym serwera tylko przy zdarzeniu technicznym, na przykład błędzie połączenia. Wpisy w tym dzienniku są usuwane automatycznie po 14 dniach. Podstawą prawną przetwarzania adresu IP jest nasz prawnie uzasadniony interes w dostarczaniu aktualizacji i poprawek bezpieczeństwa (art. 6 ust. 1 lit. f RODO). Starsze wersje aplikacji łączą się z tym samym serwerem pod adresem e8.codcube.pl, na tych samych zasadach.
Klucz licencji (updates.turndesk.app)
Klucz licencji jest sprawdzany na Twoim komputerze; aplikacje nie wysyłają nam liczby osób ani daty końca licencji. Przy każdym sprawdzaniu aktualizacji aplikacje pytają też nasz serwer, czy jest nowszy klucz dla Twojej licencji. To zapytanie zawiera tylko identyfikator licencji, czyli losowy ciąg znaków nadany licencji Twojej firmy.
Jeśli zespół ustawiony w Turndesku ma więcej niż pięć osób, a Turndesk nie ma ważnego klucza licencji, pyta nasz serwer, czy jest klucz dla Twojego serwera Easy8 lub Redmine. Pyta przy każdym sprawdzaniu aktualizacji i przy każdym zapisaniu zespołu. To zapytanie zawiera tylko nazwę hosta tego serwera, na przykład easy.firma.pl.
Do obu zapytań stosujemy zasady zapisu w dziennikach opisane przy sprawdzaniu aktualizacji. Podstawą prawną jest wykonanie umowy licencyjnej (art. 6 ust. 1 lit. b RODO). Dane wystawionych licencji (nazwę klienta, liczbę osób i okres licencji) przechowujemy jako dokumentację umowy, przez okres podany w tabeli w części „Gdy kupujesz licencję albo do nas piszesz”.
Dni ustawowo wolne od pracy (date.nager.at)
Turndesk Tray bierze dni wolne od pracy najpierw z kalendarza pracy w Easy8. Jeśli ten kalendarz nie ma dni wolnych, Tray pyta usługę Nager.Date, prowadzoną przez Tino Hagera z Austrii, o listę krajów i o święta w wybranym kraju w poprzednim, bieżącym i następnym roku. Zapytania zawierają tylko rok i kod kraju; Tray wysyła je mniej więcej raz na 30 dni. Nager.Date otrzymuje przy tym Twój adres IP i przetwarza go według własnej polityki prywatności; my tych zapytań nie otrzymujemy. Zamiast tej usługi możesz podać link do własnego kalendarza dni wolnych, który Tray pobiera bezpośrednio z tego adresu mniej więcej raz w tygodniu, albo ustawić, że dniami wolnymi są tylko weekendy.
Kalendarz spotkań (opcjonalnie)
Turndesk może podpowiadać czas pracy na podstawie spotkań z Twojego kalendarza. W macOS odczytuje wydarzenia z aplikacji Kalendarz, jeśli zezwolisz na to w oknie systemowym. Możesz też podać link do kalendarza w formacie .ics; Turndesk pobiera go bezpośrednio z tego adresu, gdy przygotowuje podpowiedzi, a sam link przechowuje w systemowym magazynie haseł. W macOS Turndesk odczytuje też z dziennika zasilania systemu godziny rozmów w Microsoft Teams. Te dane zostają na Twoim komputerze.
Dostawcy AI (opcjonalnie)
Funkcje AI są wyłączone, dopóki nie podasz własnego klucza API Anthropic lub OpenAI. Potem aplikacja łączy się z dostawcą, gdy zadasz pytanie albo uruchomisz funkcję AI. Gdy zapiszesz klucz albo otworzysz ustawienia AI, aplikacja pobiera od dostawcy listę modeli. Zapytanie trafia z Twojego komputera bezpośrednio do wybranego dostawcy i zawiera Twoje pytanie oraz dane ze zgłoszeń potrzebne do odpowiedzi.
Zanim aplikacja wyśle zapytanie, usuwa z niego sekrety, takie jak hasła i klucze, oraz numery kart, IBAN, telefonów, PESEL i NIP. Przy domyślnym poziomie dostępu zamienia też imiona i nazwiska osób znanych z Easy8 lub Redmine oraz adresy e-mail na oznaczenia w rodzaju Person-1 (pseudonimizacja). Poziom „Wszystko” wyłącza tę zamianę. Aplikacja rozpoznaje te dane automatycznie i może nie wychwycić wszystkich przypadków, a treść zgłoszeń może zawierać też inne dane osobowe. Przed włączeniem funkcji AI sprawdź, czy Twój pracodawca zezwala na przekazywanie takich danych dostawcy AI.
Dostawca przetwarza zapytanie na podstawie umowy zawartej z nim przez Ciebie albo Twoją firmę i według własnych zasad (Anthropic, OpenAI). Nie uczestniczymy w tej wymianie danych i nie mamy do niej wglądu.
Serwer MCP dla agentów AI
Turndesk może działać jako serwer MCP dla klienta AI uruchomionego na Twoim komputerze, na przykład Claude Code albo Codex. Serwer udostępnia klientowi kopię danych, którą Turndesk przechowuje na Twoim komputerze: zgłoszenia z komentarzami i załącznikami, Twoje notatki i przypomnienia, wpisany czas oraz obciążenie i historię zespołu. Zgłoszenie, którego w tej kopii jeszcze nie ma, Turndesk pobiera z Easy8 lub Redmine. Klient nie dostaje klucza API. Co klient AI robi z tymi danymi, w tym czy przesyła je swojemu dostawcy, określają jego własne warunki. Propozycje klienta niczego nie zmieniają w Easy8 ani Redmine, dopóki nie zaakceptujesz ich w Turndesku.
Strony internetowe
Strony codcube.pl, turndesk.pl, turndesk.eu i turndesk.app są statyczne i działają na naszym serwerze. Nie używają ciasteczek i nie wczytują fontów ani skryptów z innych serwerów. Serwer WWW nie zapisuje odwiedzin w dzienniku (nie prowadzi logów dostępu). Adres IP jest przetwarzany na czas wysłania strony oraz na zasadach zapisu w dzienniku systemowym opisanych przy sprawdzaniu aktualizacji. Podstawą jest nasz prawnie uzasadniony interes w udostępnianiu stron (art. 6 ust. 1 lit. f RODO). Serwery DNS tych domen prowadzi Cloudflare; ruch do stron nie przechodzi przez Cloudflare.
Jeśli włączysz tryb ciemny, przeglądarka zapisze ten wybór w swojej pamięci (localStorage) i nie wysyła go do nas. Ten zapis jest niezbędny do działania funkcji, którą wybierasz, więc nie wymaga zgody (art. 399 ust. 3 pkt 2 ustawy Prawo komunikacji elektronicznej).
Na stronach w domenie turndesk.app zbieramy statystyki narzędziem Umami o otwartym kodzie, które działa na naszym serwerze. Statystyki pokazują nam, ile osób odwiedza stronę i pobiera aplikacje oraz skąd przychodzą. Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
Po otwarciu strony skrypt z turndesk.app wysyła nam adres i tytuł strony, adres strony, z której przychodzisz, rozmiar ekranu i język przeglądarki. Gdy klikniesz przycisk pobierania, link do strony pobierania, prośbę o klucz licencji albo nasz adres e-mail, skrypt wysyła też nazwę tego elementu i część strony, w której się znajduje. Z adresu IP i identyfikatora przeglądarki (User-Agent) serwer ustala kraj, region i miasto, przeglądarkę, system operacyjny i rodzaj urządzenia. Ustala też identyfikator odwiedzającego, który zmienia się codziennie, więc odwiedzin z różnych dni nie da się ze sobą powiązać. Adresu IP ani identyfikatora przeglądarki serwer nie zapisuje. Statystyki usuwamy po 13 miesiącach. Skrypt nie ustawia ciasteczek i niczego nie zapisuje w przeglądarce. Jeśli przeglądarka wysyła sygnał Do Not Track, skrypt niczego nie wysyła.
Gdy kupujesz licencję albo do nas piszesz
Przetwarzamy dane, które nam podajesz: imię i nazwisko, nazwę firmy, adres e-mail, numer telefonu, jeśli go podasz, dane do faktury i treść korespondencji. Jeśli Twoje dane przekazała nam Twoja firma, na przykład wskazując Cię jako osobę do kontaktu w sprawie licencji, pochodzą one od niej i obejmują imię i nazwisko, służbowy adres e-mail, numer telefonu i stanowisko.
| Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|
| Odpowiedź na pytania, przygotowanie oferty, udostępnienie wersji próbnej | Działania podejmowane na Twoje żądanie przed zawarciem umowy (art. 6 ust. 1 lit. b RODO) albo nasz prawnie uzasadniony interes w udzieleniu odpowiedzi (art. 6 ust. 1 lit. f RODO) | Do 12 miesięcy od ostatniej wiadomości, jeśli nie dojdzie do zawarcia umowy |
| Zawarcie i wykonanie umowy: klucz licencji, wersje aplikacji, pomoc techniczna | Wykonanie umowy (art. 6 ust. 1 lit. b RODO); dla danych osoby do kontaktu wskazanej przez firmę: nasz prawnie uzasadniony interes w wykonaniu umowy z tą firmą (art. 6 ust. 1 lit. f RODO) | Przez czas trwania umowy, a potem do upływu terminu przedawnienia roszczeń |
| Faktury i dokumentacja księgowa | Obowiązek prawny wynikający z przepisów podatkowych (art. 6 ust. 1 lit. c RODO) | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 86 § 1 w związku z art. 70 § 1 Ordynacji podatkowej) |
| Ustalenie, dochodzenie i obrona roszczeń | Nasz prawnie uzasadniony interes w ochronie naszych praw (art. 6 ust. 1 lit. f RODO) | Do upływu terminu przedawnienia roszczeń; dla roszczeń związanych z działalnością gospodarczą co do zasady 3 lata, przy czym termin kończy się ostatniego dnia roku kalendarzowego (art. 118 Kodeksu cywilnego) |
Podanie danych do faktury jest wymogiem ustawowym. Podanie adresu e-mail jest warunkiem zawarcia i wykonania umowy, ponieważ na ten adres wysyłamy klucz licencji. Bez tych danych nie możemy sprzedać licencji. Podanie pozostałych danych jest dobrowolne.
Odbiorcy danych
- Firma w Polsce, od której wynajmujemy serwer.
- Dostawca naszej poczty e-mail w Szwajcarii. Komisja Europejska stwierdziła, że Szwajcaria zapewnia odpowiedni stopień ochrony danych osobowych (decyzja 2000/518/WE z 26 lipca 2000 r.).
- Podmioty obsługujące naszą księgowość oraz bank, w zakresie potrzebnym do wystawiania faktur i rozliczania płatności.
- Krajowy System e-Faktur (KSeF) prowadzony przez Szefa Krajowej Administracji Skarbowej, gdy wystawiamy w nim fakturę.
- Organy publiczne, jeśli obowiązek przekazania danych wynika z przepisów prawa.
Nie sprzedajemy danych osobowych i nie udostępniamy ich do celów marketingowych innych podmiotów. Poza przekazaniem do Szwajcarii nie przekazujemy danych poza Europejski Obszar Gospodarczy.
Bezpieczeństwo
Połączenia z naszym serwerem są szyfrowane (HTTPS). Dostęp do serwera i skrzynki pocztowej mają tylko osoby, które potrzebują go do prowadzenia działalności. Aktualizacje i licencje podpisujemy kluczami przechowywanymi poza serwerem; aplikacje sprawdzają podpis aktualizacji przed jej instalacją.
Twoje prawa
Masz prawo żądać dostępu do swoich danych, ich kopii, sprostowania, usunięcia i ograniczenia przetwarzania. Dane przetwarzane na podstawie umowy możesz też otrzymać w ustrukturyzowanym formacie, który da się przekazać innemu administratorowi. Żądania wysyłaj na kontakt@codcube.pl. Odpowiemy w ciągu miesiąca od otrzymania żądania. Jeśli żądanie jest skomplikowane albo żądań jest wiele, możemy przedłużyć ten termin o dwa miesiące; poinformujemy Cię o tym przed upływem pierwszego miesiąca i podamy przyczynę. Jeśli będziemy mieć uzasadnione wątpliwości co do Twojej tożsamości, możemy poprosić o dodatkowe informacje. Faktur i innych danych, które musimy przechowywać na podstawie przepisów, nie usuniemy przed upływem wymaganego okresu.
Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołują skutki prawne albo w podobny sposób istotnie na Ciebie wpływają.
Prawo sprzeciwu
Z przyczyn związanych z Twoją szczególną sytuacją możesz w każdej chwili wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie naszego prawnie uzasadnionego interesu (art. 21 RODO). Przestaniemy wtedy przetwarzać te dane, chyba że wykażemy ważne prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów, praw i wolności albo dane są nam potrzebne do ustalenia, dochodzenia lub obrony roszczeń.
Zmiany polityki
Zmienioną politykę publikujemy na tej stronie z nowym numerem wersji i datą obowiązywania, a na początku opisujemy zakres zmian. Jeśli zmiana dotyczy danych przesyłanych przez aplikacje, publikujemy ją, zanim udostępnimy wersję aplikacji, której ta zmiana dotyczy. Wcześniejsze wersje udostępniamy na prośbę.