Polityka prywatności netroas

Administrator i kontakt

Administrator: [NAZWA FIRMY / COMPANY NAME], [ADRES], [NIP/KRS]. Kontakt w sprawach danych: [E-MAIL KONTAKTOWY]. Inspektor ochrony danych: [IOD/DPO — jeśli wyznaczony].

Podział ról [DO WERYFIKACJI PRAWNEJ]: dane z Google Ads, GA4, Search Console i Merchant Center netroas przetwarza w imieniu klienta, więc wobec nich najpewniej jest podmiotem przetwarzającym (umowa powierzenia — DPA). Dla danych konta i kontaktu (e-mail, zgoda, dziennik techniczny) netroas jest administratorem.

Jakie dane zbieramy

• E-mail wpisany w formularzu (adres kontaktowy, nie weryfikujemy go), wersja i czas zgody.
• Przy logowaniu Google netroas otrzymuje identyfikator Twojego konta Google (sub) i zweryfikowany adres e-mail (zakresy openid, email). Używamy ich, żeby ustalić właściciela konta netroas i egzekwować limity planu (liczba kont Google Ads, miesięczny limit zmian Free); zapisujemy je w rekordzie konta (tabela tenants: właściciel „google:<sub>” i e-mail właściciela). Konta założone wcześniej mają jako właściciela skrót e-maila z formularza (SHA-256, 32 znaki) — przy logowaniu Google tym samym zweryfikowanym adresem przechodzą na identyfikator Google.
• Token odświeżania Google (dostęp offline) i lista faktycznie przyznanych zakresów.
• Identyfikator i nazwa konta Google Ads, identyfikator konta menedżera, waluta i strefa czasowa konta, wybrana usługa Search Console, usługa GA4 i konto Merchant Center.
• Wyniki audytów (dane z Google Ads: kampanie, hasła, wyszukiwane frazy, koszty, konwersje) — zapisane w bazie netroas.
• Ustawienia, które podajesz: cel, budżety, granice strategii, opis strategii, tryb pracy i ich historia.
• Propozycje zmian i kampanii: stan „przed”, prośba, podgląd; dla nowej kampanii także nazwa firmy, adres strony, kategorie, produkty, fakty, konkurenci, teksty reklam i wgrane obrazy (do 3 plików PNG/JPG, do 5 MB każdy).
• Dziennik zmian: co, kiedy, kto (klient, autopilot, strażnik, rozkład tygodnia), wartości przed i po. Dziennika nie da się edytować ani usuwać wierszami.
• Dane połączenia asystenta (MCP OAuth): rejestracja aplikacji klienckiej (nazwa, adresy powrotu), kody autoryzacji, tokeny dostępu i odświeżania powiązane z Twoim kontem.
• Zdarzenia techniczne: rodzaj zdarzenia, czas i odnośnik (identyfikator konta, identyfikator aplikacji MCP albo nazwa konta). Wejście na stronę główną liczymy jako zdarzenie bez adresu IP.
• Kolejka e-maili: adresat, temat, treść, stan wysyłki.
• Logi serwera dla adresów OAuth i MCP: metoda, ścieżka (z ukrytym sekretem konta), status, czas odpowiedzi, rodzina klienta (np. claude, chatgpt-openai), czy był nagłówek Origin i host Origin z listy dozwolonych. Bez adresu IP i bez argumentów narzędzi.

Cele i podstawy prawne [DO WERYFIKACJI PRAWNEJ]

• Świadczenie usługi: audyty, raporty, propozycje i zmiany, o które prosisz — art. 6 ust. 1 lit. b RODO.
• Zgoda z formularza — art. 6 ust. 1 lit. a RODO (możesz ją wycofać; nie wpływa to na wcześniejsze przetwarzanie).
• Bezpieczeństwo, zapobieganie nadużyciom, dziennik zmian, logi i statystyka lejka — prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.
• E-maile serwisowe (raport tygodniowy, alert strażnika wydatków, powiadomienie o usunięciu danych) — art. 6 ust. 1 lit. b albo f RODO.
• Obowiązki prawne, np. rozliczenia planów płatnych — art. 6 ust. 1 lit. c RODO.

Dane z Google

netroas prosi Google o te zakresy (z dostępem offline, żeby zadania w tle działały bez Twojej obecności):

• Tożsamość (openid, email) — identyfikator konta Google (sub) i zweryfikowany adres e-mail, wyłącznie do ustalenia właściciela konta netroas i limitów planu; netroas nie czyta innych danych profilu.
• Google Ads (https://www.googleapis.com/auth/adwords) — odczyt raportów konta (kampanie, grupy, reklamy, hasła, wyszukiwane frazy, budżety, strategie, koszty, konwersje) i podpowiedzi Planera słów kluczowych; zapis wyłącznie operacji opisanych niżej.
• Search Console (webmasters.readonly) — tylko odczyt: zapytania, kliknięcia, wyświetlenia i pozycje wybranej usługi, do oceny popytu.
• Google Analytics 4 (analytics.readonly) — tylko odczyt raportów, m.in. zakupów z ruchu płatnego, do porównania z konwersjami Google Ads.
• Merchant Center (content) — Google udostępnia ten zakres jako odczyt i zapis. Kod netroas wywołuje wyłącznie listę produktów i zapytanie raportowe (reports:search): stan produktów, odrzucenia i ich powody. Niczego w Merchant Center nie zapisuje.

Zapisy w Google Ads: zmiany, które potwierdzisz w asystencie (podgląd → Twoje „tak” → wykonanie): wykluczające słowa kluczowe, budżet dzienny, cel tROAS/tCPA, wstrzymanie i wznowienie kampanii, grup i reklam, wykluczenie i przywrócenie produktu, utworzenie nowej kampanii (startuje wstrzymana) oraz cofnięcie zmiany. Autopilot wykonuje część tych operacji sam tylko wtedy, gdy włączysz go osobno na stronie netroas, najwcześniej po 14 dniach w trybie potwierdzania (plan Free nie ma autopilota). W autopilocie strażnik wydatków może wstrzymać kampanię, która przekroczyła sufit dzienny, i wznowić własną pauzę; w trybie potwierdzania tylko proponuje i wysyła alert. Rozkład budżetu na dni tygodnia działa tylko po zatwierdzeniu przez właściciela.

Podgląd propozycji sprawdzamy w Google trybem validateOnly — Google waliduje zmianę i niczego nie zapisuje.

Zobowiązanie Limited Use (w brzmieniu wymaganym przez Google):

netroas's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Google API Services User Data Policy — https://developers.google.com/terms/api-services-user-data-policy

• Nie sprzedajemy danych z Google.
• Nie używamy ich do reklamy, retargetingu ani profilowania w celach reklamowych.
• Nie używamy ich do trenowania ogólnych modeli AI/ML.
• Ludzie nie czytają tych danych, chyba że wyrazisz na to zgodę, jest to potrzebne dla bezpieczeństwa lub wykrycia nadużyć, wymaga tego prawo albo dane są zagregowane i zanonimizowane na potrzeby wewnętrznego działania usługi.
• Dane przekazujemy dalej tylko po to, by świadczyć funkcje, o które prosisz — m.in. do asystenta AI, którego sam podłączyłeś (niżej).

Asystenci AI

Wyniki narzędzi (liczby z Twoich kont, propozycje, raporty) trafiają do asystenta, którego podłączyłeś: np. Claude (Anthropic), ChatGPT lub Codex (OpenAI), Cursor, VS Code. Dostawca asystenta przetwarza je na podstawie Twojej własnej umowy z nim.

netroas nie dostaje historii rozmowy — tylko wywołania narzędzi i argumenty, które asystent wysyła.

Serwer nie zapisuje osobnego dziennika wywołań narzędzi ani ich argumentów. Log żądania /mcp zawiera tylko pola z sekcji „Jakie dane zbieramy”. Argumenty zostają w bazie tylko wtedy, gdy narzędzie z natury coś zapisuje: propozycja (prośba i uzasadnienie), cel i granice strategii, dane nowej kampanii i teksty reklam, dziennik zmian. Liczymy też dzienną liczbę wywołań narzędzi z regułami i liczbę operacji API na konto.

Asystent może się pomylić. Dlatego zmiany na koncie wymagają podglądu i Twojego potwierdzenia, a serwer sam pilnuje limitów.

Odbiorcy i podprzetwarzający

• Google — interfejsy Google Ads, GA4, Search Console i Merchant Center; Gmail API (zakres gmail.send z konta nadawcy netroas) do wysyłki e-maili serwisowych, więc adres odbiorcy, temat i treść przechodzą przez Google.
• Dostawca hostingu: [DOSTAWCA HOSTINGU, LOKALIZACJA].
• Google Fonts — publiczne strony netroas ładują kroje z fonts.googleapis.com i fonts.gstatic.com; Twoja przeglądarka wysyła wtedy do Google m.in. adres IP i nagłówek User-Agent. Strony prywatne i ekran zgody nie ładują Google Fonts.
• Narodowy Bank Polski (api.nbp.pl) — serwer pobiera tabelę kursów walut do wyświetlania cen; nie wysyła żadnych Twoich danych.
• Dokument metadanych aplikacji MCP (CIMD) — serwer pobiera go z adresu podanego przez aplikację kliencką (np. dostawcę asystenta); nie wysyła żadnych Twoich danych.
• Dostawca asystenta AI, którego wybierasz — przetwarza dane na podstawie Twojej umowy z nim [DO WERYFIKACJI PRAWNEJ: rola].
• Przekazanie poza EOG: [DO WERYFIKACJI — np. Google LLC (USA), podstawa: EU-US Data Privacy Framework / standardowe klauzule umowne; lokalizacja hostingu].

Jak długo przechowujemy dane i jak je usunąć

• Konto połączone logowaniem Google, na którym od 30 dni nie było aktywności (konto starsze niż 30 dni, ostatnie użycie i ostatni audyt starsze niż 30 dni): codzienny przegląd (03:15 UTC) usuwa token Google i wyłącza konto, kasuje audyty, propozycje (z obrazami), cel i granice strategii z historią, tryb pracy, ustawienia, wyniki optymalizacji, linki do raportów i liczniki; usuwa zgodę z e-mailem i zweryfikowany e-mail właściciela, a identyfikator konta w dzienniku zmian, licznikach planu i zdarzeniach zastępuje znacznikiem „(usunięty)”. O usunięciu wysyłamy e-mail.
• Ważne: aktywność to każde użycie konta — połączenie asystenta, strona instalacji, logowanie, a także zadania netroas w tle (m.in. cogodzinny strażnik wydatków i e-mail tygodniowy). Dopóki konto jest włączone, te zadania je używają i okres 30 dni nie biegnie. Jeśli chcesz usunąć dane od razu, napisz na [E-MAIL KONTAKTOWY].
• Po usunięciu zostają: techniczny rekord konta (identyfikator i nazwa konta Google Ads, właściciel — identyfikator Google (sub) albo skrót e-maila — plan, daty; właściciela zachowujemy, żeby ponowne założenie konta nie obchodziło limitów planu [DO WERYFIKACJI PRAWNEJ: podstawa i okres przechowywania]), dziennik zmian z nazwami obiektów i wartościami przed/po (bez powiązania z sekretem konta), liczniki planu, zanonimizowane zdarzenia, rejestracje aplikacji MCP (nazwa i adresy powrotu aplikacji) oraz niewysłane e-maile w kolejce.
• Zgoda z e-mailem, po której nie powstało konto: usuwana po 30 dniach. Wysłane e-maile: usuwane 30 dni po wysyłce.
• Połączenie asystenta: sesje i kody autoryzacji usuwamy po 1 godzinie, tokeny dostępu (ważne 1 godzinę) po 2 godzinach, tokeny odświeżania (ważne 90 dni, wymieniane przy użyciu) po 90 dniach.
• Propozycja jest ważna 24 godziny; potem wygasa, ale zapis zostaje do usunięcia konta. Obrazy z propozycji kampanii PMax zostają razem z propozycją.
• Link do raportu (/view/…) jest ważny 1 godzinę.
• Logi serwera: dziennik systemowy (journald) z domyślną rotacją systemu [DO WERYFIKACJI: okres przechowywania u dostawcy].
• Konta pilotażowe skonfigurowane ręcznie przez operatora nie podlegają automatycznemu usuwaniu — usuwamy je na prośbę.
• Usunięcie lub kopia danych: napisz na [E-MAIL KONTAKTOWY]; serwis nie ma jeszcze przycisku do samodzielnego eksportu ani usunięcia.
• Odebranie dostępu Google: https://myaccount.google.com/permissions — netroas traci dostęp od razu; zapisane dane zostają do usunięcia jak wyżej.
• Odłączenie konektora: w Claude — Ustawienia → Konektory → netroas → Odłącz; w ChatGPT — Ustawienia → Aplikacje i konektory. To kończy dostęp asystenta, nie usuwa danych w netroas.

Bezpieczeństwo

• Połączenia szyfrowane HTTPS (przekierowanie z HTTP, certyfikat Let's Encrypt).
• Logi żądań ukrywają sekret konta w ścieżce i nie zawierają adresu IP; logi dostępu serwera WWW i aplikacji są wyłączone.
• Tokeny linków do raportów są losowe, ważne 1 godzinę i przechowywane tylko jako skrót SHA-256.
• Zmiany na koncie przechodzą przez zamknięty rejestr operacji, politykę i limity sprawdzane po stronie serwera; dziennika zmian nie da się edytować.
• Ochrona przed DNS rebinding i lista dozwolonych źródeł (Origin) dla serwera MCP; pobieranie dokumentów CIMD z ochroną przed SSRF.
• Tokeny Google i MCP oraz sekret konta są przechowywane w bazie danych na serwerze i nie są dodatkowo szyfrowane przez aplikację [DO WERYFIKACJI: szyfrowanie w spoczynku przed publikacją].

Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia, sprzeciwu oraz wycofania zgody. Napisz na [E-MAIL KONTAKTOWY]. Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl.

Pliki cookie i pamięć przeglądarki

netroas nie ustawia plików cookie i nie używa narzędzi analitycznych ani śledzących. Strona główna zapamiętuje w pamięci przeglądarki (localStorage) wybraną walutę cen, a kreator konfiguracji (sessionStorage) wybranego asystenta. Te wartości nie są wysyłane na serwer. O Google Fonts — sekcja „Odbiorcy”.

Zmiany polityki

O istotnych zmianach poinformujemy na tej stronie i e-mailem, jeśli go podałeś. Data obowiązywania jest u góry strony. Zmiana treści zgody wymaga nowej wersji zgody.

Kontakt

[NAZWA FIRMY / COMPANY NAME], [ADRES], e-mail: [E-MAIL KONTAKTOWY].

• Regulamin
• Dokumentacja