Polityka prywatności — weakestlink
Ostatnia aktualizacja: 29 września 2026 r.
Niniejsza polityka opisuje, w jaki sposób weakestlink przetwarza dane osobowe, za które sami jesteśmy administratorem danych. Jeśli Twój pracodawca korzysta z weakestlink do szkoleń z zakresu bezpieczeństwa, to pracodawca jest administratorem danych pracowników, a weakestlink pełni rolę podmiotu przetwarzającego — zobacz Załącznik A.
1. Administrator danych osobowych
WEAKESTLINK ApS (CVR 46614011) jest administratorem danych osobowych przetwarzanych na weakestlink.io. Kontakt: info@weakestlink.io.
2. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie prawnej
| Dane | Cel | Podstawa prawna (art. 6 RODO) | Usuwane |
|---|---|---|---|
| Osoba kontaktowa u klienta (imię i nazwisko, e-mail, stanowisko) | Utworzenie i administrowanie kontem organizacji | Umowa (art. 6 ust. 1 lit. b) | Po zakończeniu współpracy z klientem |
| Dane rozliczeniowe | Fakturowanie i księgowość | Obowiązek prawny (art. 6 ust. 1 lit. c) | 5 lat, zgodnie z duńską ustawą o rachunkowości (bogføringsloven) |
| Logi serwera (adres IP, znacznik czasu) | Działanie i bezpieczeństwo systemu | Uzasadniony interes (art. 6 ust. 1 lit. f) | 90 dni |
| Adres e-mail, gdy samodzielnie zapisujesz się, aby otrzymać informację o nadchodzącym module (AI-Klar, deepfake) | Powiadomienie Cię, gdy moduł będzie gotowy | Zgoda (art. 6 ust. 1 lit. a RODO) — możesz ją wycofać, pisząc do nas | Najpóźniej 12 miesięcy od zapisu |
| Identyfikator kliknięcia Google (klik-id), gdy trafiacie do nas z reklamy Google, czas kliknięcia oraz informacja, czy konto zostało założone lub czy rozpoczęto płatności | Pomiar skuteczności reklam: sprawdzenie, czy reklama w Google doprowadziła do założenia konta | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — możecie wnieść sprzeciw, zob. sekcję 7 | 90 dni od kliknięcia. Jeśli konwersja została zgłoszona do Google, usuwamy ją 90 dni po zgłoszeniu |
| Statystyki odwiedzin: wyświetlenia stron i kliknięcia przycisków wraz z typem przeglądarki, urządzeniem i krajem. Bez plików cookie, a adres IP nie jest zapisywany | Sprawdzanie, które strony są odwiedzane, abyśmy mogli je ulepszać. Statystyki działają na naszym własnym serwerze (Umami) i nie są udostępniane żadnym podmiotom trzecim | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) | Przechowywane jako zbiorcze statystyki bez imienia i nazwiska, adresu e-mail ani adresu IP |
Nie przetwarzamy numerów PESEL ani żadnych danych wrażliwych (art. 9 RODO).
3. Przetwarzanie z użyciem AI
Korzystamy z AI (Claude od Anthropic) do tworzenia treści szkoleniowych i szablonów symulacji — lekcji, quizów i wiadomości-przynęt — wewnętrznie, przed ich publikacją. Do usług AI nie są przesyłane żadne dane klientów ani dane osobowe Waszych pracowników, a w trakcie działania usługi AI nie przetwarza Waszych danych.
4. Podmioty przetwarzające i dalsze podmioty przetwarzające
Korzystamy z następujących podmiotów przetwarzających. W przypadku dostawców z siedzibą poza UE/EOG przekazywanie danych odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim poziomie ochrony (EU-U.S. Data Privacy Framework) i/lub standardowych klauzul umownych (SCC):
| Dostawca | Usługa | Kraj | Podstawa przekazania danych |
|---|---|---|---|
| Anthropic PBC | Generowanie treści szkoleniowych przy użyciu AI (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Wychodząca korespondencja e-mail transakcyjna i powiadomienia (np. potwierdzenie adresu e-mail) | Frankrig | — |
| Cloudflare, Inc. | Sieć, TLS i ochrona przed atakami DDoS | USA | DPF/SCC |
Hosting odbywa się na własnej infrastrukturze w Danii.
Jeśli płacicie kartą, dane karty i płatności są przetwarzane przez naszą bramkę płatniczą QuickPay (QuickPay ApS, Dania) oraz agenta rozliczeniowego Clearhaus (Clearhaus A/S, Dania) jako samodzielnych administratorów danych zgodnie z przepisami o usługach płatniczych — nie jako naszych podmiotów przetwarzających. Nigdy nie otrzymujemy pełnego numeru Waszej karty. Do tego przetwarzania zastosowanie mają własne polityki prywatności QuickPay i Clearhaus.
5. Udostępnianie danych
Przekazujemy dane wyłącznie wtedy, gdy jest to niezbędne do świadczenia usługi, gdy wymaga tego prawo lub za zgodą. Jeden wyjątek: jeśli trafiasz do nas z reklamy Google, przekazujemy identyfikator kliknięcia reklamy, czas oraz informację, czy konto zostało założone lub opłacone, do Google Ireland Ltd. (Google Ads), abyśmy mogli sprawdzić, które reklamy działają. Nie przesyłamy imienia i nazwiska, adresu e-mail ani adresu IP. Google może przekazywać te dane do Google LLC w USA. Według Google odbywa się to na podstawie EU-U.S. Data Privacy Framework, w ramach którego Google LLC posiada certyfikację, a w pozostałych przypadkach na podstawie standardowych klauzul umownych (SCC). Nigdy nie sprzedajemy danych.
6. Przechowywanie i usuwanie danych
Szczegółowe okresy przechowywania znajdują się w tabeli w sekcji 2. Dokumentacja księgowa jest przechowywana przez 5 lat od zakończenia roku obrotowego, zgodnie z duńską ustawą o rachunkowości. Po tym okresie dane są usuwane lub anonimizowane.
7. Twoje prawa
Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz prawo sprzeciwu (art. 15–21 RODO). Jeśli wyrazisz zgodę, możesz ją w każdej chwili wycofać ze skutkiem na przyszłość. Napisz na info@weakestlink.io — odpowiemy najpóźniej w ciągu miesiąca od otrzymania wiadomości. Jeśli nie chcesz, abyśmy wykorzystywali identyfikator kliknięcia reklamy (sekcje 2 i 5), możesz wnieść sprzeciw (art. 21 RODO), pisząc na ten sam adres — wtedy usuniemy identyfikator kliknięcia i nie przekażemy Google żadnych informacji o Twoim koncie. Jeśli pracujesz u jednego z naszych klientów, możesz też zwrócić się do swojego pracodawcy, który jest administratorem danych (zob. Załącznik A).
8. Skarga
Możesz złożyć skargę na nasze przetwarzanie danych do duńskiego Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk. Możesz również złożyć skargę do Urzędu Ochrony Danych Osobowych (UODO), www.uodo.gov.pl.
9. Pliki cookie
Ustawiamy dwa pliki cookie: sesyjny plik cookie używany do logowania i zapewnienia bezpieczeństwa oraz — jeśli samodzielnie wybierzesz język w przełączniku języków — plik cookie zapamiętujący Twój wybór. Jeśli trafiasz do nas z reklamy Google, zapisujemy identyfikator kliknięcia reklamy w sesji na naszym serwerze, aby móc poinformować Google, czy kliknięcie doprowadziło do założenia konta (zob. sekcja 5). Sam plik cookie zawiera jedynie losowy identyfikator sesji. Nie używamy żadnych innych śledzących plików cookie ani plików cookie podmiotów trzecich, a statystyki odwiedzin (Umami) w ogóle nie korzystają z plików cookie.
10. Zmiany
O istotnych zmianach w niniejszej polityce poinformujemy na stronie weakestlink.io i/lub e-mailem.
Załącznik A — podział ról w szkoleniu pracowników
Kiedy firma (Twój pracodawca) korzysta z weakestlink w celu szkoleń z zakresu bezpieczeństwa i symulacji phishing, firma jest administratorem danych dotyczących pracowników, a weakestlink jest podmiotem przetwarzającym. Przetwarzanie odbywa się na podstawie instrukcji zawartych w umowie powierzenia przetwarzania danych, którą podpisuje się przy rejestracji. Niniejsza polityka dotyczy zatem tylko danych, których administratorem jesteśmy sami (dane kontaktowe i rozliczeniowe klienta oraz dane operacyjne).
Symulacje phishing są przeprowadzane wyłącznie na udokumentowanej podstawie prawnej (zgoda organizacji oraz zatwierdzona ocena prawnie uzasadnionego interesu). Raporty są zbiorcze i pokazują dane tylko dla grup liczących co najmniej pięć osób. Wyniki pojedynczego pracownika (wskaźnik ryzyka, postępy w kursach i zdarzenia symulacji) widzi tylko administrator organizacji — oraz kierownicy, jeśli organizacja sama to włączy. Celem jest ukierunkowane dodatkowe szkolenie, nigdy wystawianie na widok ani sankcje. Wyniki są przechowywane przez czas trwania współpracy i usuwane po jej zakończeniu, zgodnie z umową powierzenia przetwarzania danych. Nigdy nie zapisujemy, co pracownik wpisał w symulacji — jedynie fakt, że doszło do zdarzenia.