Polityka prywatności (RODO)

Ostatnia aktualizacja: 21 października 2026 r.

1. Administrator danych

Administratorem opisanych poniżej czynności przetwarzania (dane konta, dane pozyskiwania klientów oraz dane nawigacji) jest:

Spółka

VIGILAE, jednoosobowa uproszczona spółka akcyjna (SASU), 4 ZA Les Grands Prés, 01170 Chevry — R.C.S. Bourg-en-Bresse, SIREN 108 950 528

Kontakt w sprawie ochrony danych

rgpd@vigilae.org — Alexandre PEREIRA, osoba odpowiedzialna za ochronę danych

2. Szczególna rola w zakresie danych AML/CFT (administrator / podmiot przetwarzający)

Następujące rozróżnienie ma zasadnicze znaczenie:

• Dane dokumentacji należytej staranności (tożsamość klientów podmiotu zobowiązanego, beneficjenci rzeczywiści, dokumenty, wyniki weryfikacji na listach, elementy zgłoszenia podejrzenia): podmiot zobowiązany będący użytkownikiem jest administratorem danych; Vigilae działa jako podmiot przetwarzający w rozumieniu art. 28 RODO, na udokumentowane polecenie użytkownika oraz w ramach umowy powierzenia przetwarzania (DPA).
• Dane konta, rozliczeniowe, dane pozyskiwania klientów oraz dane nawigacji: Vigilae jest administratorem danych.

Czynności przetwarzania w zakresie AML/CFT opierają się na obowiązku prawnym ciążącym na danym podmiocie (kodeks pieniężny i finansowy, art. L.561-1 i następne); niektóre okresy przechowywania oraz ograniczenia praw wynikają z niego bezpośrednio.

3. Przetwarzane dane i cele

Konto i korzystanie z usługi

Tożsamość zawodowa, adres e-mail, dane logowania, dzienniki techniczne — w celu świadczenia, zabezpieczenia i ulepszania usługi.

Rejestrowanie dostępów

Nasze serwery rejestrują każde żądanie — pełny adres IP, datę i godzinę, metodę, żądaną ścieżkę, kod odpowiedzi i przeglądarkę (user-agent) — do celów bezpieczeństwa i diagnostyki błędów: wykrywania nadużyć i prowadzenia dochodzeń po incydencie. Dzienniki te, przechowywane przez 6 miesięcy, nie zawierają plików cookie, nagłówków uwierzytelniania ani parametrów adresu URL, a adresy e-mail występujące w ścieżce są w nich maskowane.

Dane należytej staranności (jako podmiot przetwarzający)

Dane niezbędne do czynności należytej staranności AML/CFT wprowadzone przez użytkownika — w celu umożliwienia ekstrakcji, identyfikacji beneficjentów rzeczywistych, oceny ryzyka, weryfikacji na listach oraz utworzenia dokumentacji dowodowej, zgodnie z poleceniami użytkownika.

Bezpłatna autodiagnoza

Odpowiedzi na kwestionariusz oraz kontaktowy adres e-mail — w celu udostępnienia wyniku, rekomendacji oraz, w stosownych przypadkach, ponownego kontaktu z Państwem.

Pozyskiwanie klientów i relacje handlowe

Zawodowe dane kontaktowe — na potrzeby komunikacji handlowej, na podstawie prawnie uzasadnionego interesu i/lub zgody, z prawem do wniesienia sprzeciwu w dowolnym momencie.

Kod partnera

Jeżeli trafiają Państwo na witrynę przez link partnera Vigilae, kod tego partnera i data jego pojawienia się są przechowywane w Państwa przeglądarce. Najwyżej przez trzydzieści dni towarzyszą one prośbie, którą Państwo składają, o bezpłatną autodiagnozę, wycenę, prezentację lub oddzwonienie, albo Państwa abonamentowi, aby przypisać je partnerowi, który Państwa do nas skierował. Kod zostaje wtedy zapisany wraz z Państwa prośbą i usunięty razem z nią. W przypadku abonamentu jest on też przekazywany naszemu dostawcy usług płatniczych i przechowywany wraz z wyliczeniem prowizji należnych partnerowi. Partner widzi, ile próśb i abonamentów zostało mu przypisanych, bez Państwa nazwiska i danych kontaktowych. Kod służy również do ograniczania nadużyć w postaci próśb składanych pod tym samym kodem. Nowszy link innego partnera go zastępuje. Po trzydziestu dniach kod nie jest już używany, a witryna usuwa go przy Państwa następnej wizycie. Mogą go Państwo usunąć w każdej chwili, usuwając dane witryny w swojej przeglądarce.

Pliki cookie i pomiar ruchu

Zobacz sekcję „Pliki cookie” poniżej.

4. Podstawy prawne

• Wykonanie umowy (świadczenie usługi na rzecz użytkownika).
• Obowiązek prawny użytkownika (system AML/CFT), w odniesieniu do danych należytej staranności przetwarzanych w ramach powierzenia.
• Prawnie uzasadniony interes (bezpieczeństwo, ulepszanie usługi, umiarkowane pozyskiwanie klientów B2B).
• Zgoda (nieistotne pliki cookie, niektóre formy komunikacji).

5. Odbiorcy i podmioty przetwarzające

Dane są dostępne dla upoważnionego personelu wydawcy oraz, w stosownych przypadkach, dla podmiotów przetwarzających o charakterze technicznym, objętych ramami umownymi, w szczególności:

• dostawcy hostingu (OVH SAS : hosting, Francja — Unia Europejska; OVH SAS : kopie zapasowe, Francja — Unia Europejska; Hetzner Online GmbH : kopie zapasowe, Niemcy — Unia Europejska);
• narzędzia do zarządzania relacjami z klientami (HubSpot Ireland Ltd — dane hostowane w Unii Europejskiej), służącego do rejestrowania i obsługi zapytań przesyłanych za pośrednictwem publicznych formularzy witryny (autodiagnoza online, prośba o wycenę, prezentacja, oddzwonienie) — nigdy danych z dokumentacji klientów;
• dostawcy usługi doręczania wiadomości e-mail (Brevo — Sendinblue SAS, Francja — Unia Europejska), w zakresie wysyłki wiadomości transakcyjnych: prośba o dokumenty kierowana do klienta kancelarii, raport z autodiagnozy, podsumowanie i przypomnienia. Dostawca ten otrzymuje adres i nazwisko odbiorcy, temat i treść wiadomości oraz załączniki;
• żadnego dostawcy weryfikacji na listach: oficjalne listy (Unia Europejska, Organizacja Narodów Zjednoczonych; we Francji: Direction générale du Trésor) są pobierane na nasze serwery, a porównanie odbywa się lokalnie. Żadne nazwisko klienta nie jest przekazywane osobom trzecim w celu weryfikacji;
• dostawcy usług płatniczych (Stripe Payments Europe, Ltd., Irlandia — Unia Europejska), w zakresie pobierania opłat abonamentowych oraz obsługi metod płatności. Otrzymuje on adres rozliczeniowy i dane identyfikacyjne płatności; dane karty przetwarza wyłącznie on sam, a Vigilae nie przechowuje żadnego numeru karty;
• przechowywania dokumentów dowodowych (OVH SAS, Francja — Unia Europejska), gdzie przez ustawowy okres pięciu lat przechowywane są dokumenty złożone przez podmiot zobowiązany lub jego klienta: tożsamość, adres zamieszkania, dowody pochodzenia środków. Są one szyfrowane przed złożeniem;
• wsparcia opartego na sztucznej inteligencji (ekstrakcja danych z dokumentów, copilot): jest ono włączone od 5 września 2026 r. Modelem jest Claude firmy Anthropic, uruchamiany w infrastrukturze Google Cloud (Vertex AI) w regionie europe-west1, na terytorium Unii Europejskiej. Przekazywane są mu treść dokumentów poddanych ekstrakcji oraz tekst pytań zadawanych copilotowi. Dane te nie służą do trenowania modeli; zapytania i odpowiedzi są przechowywane nie dłużej niż sześćdziesiąt dni wyłącznie w celu wykrywania nadużyć, a następnie usuwane. Weryfikacja na listach, ocena ryzyka i rejestr nadal działają bez niego, na silnikach deterministycznych: sztuczna inteligencja postrzega, silnik oblicza, a decyzja pozostaje decyzją podmiotu zobowiązanego;
• pomiaru odwiedzin stron publicznych (Google Ireland Ltd — Google Analytics 4), objętego Państwa uprzednią zgodą: nic nie jest mierzone, dopóki baner nie zostanie zaakceptowany, a odmowa jest stanem domyślnym. Dotyczy on wyłącznie witryny wizerunkowej, nigdy aplikacji ani jakichkolwiek danych z dokumentacji klientów.

Dane nie są sprzedawane ani przekazywane osobom trzecim w celach handlowych.

6. Przekazywanie poza Unię Europejską

Dane są hostowane i przetwarzane na terytorium Unii Europejskiej. W przyjętej konfiguracji nie jest dokonywane żadne przekazanie poza UE. Gdyby miał zostać wprowadzony podmiot przetwarzający wiążący się z przekazaniem poza UE, byłoby ono objęte odpowiednimi zabezpieczeniami (standardowe klauzule umowne lub decyzja stwierdzająca odpowiedni stopień ochrony), a niniejsza polityka zostałaby zaktualizowana.

7. Okresy przechowywania

• Dane konta: przez czas trwania relacji umownej, następnie archiwizacja zgodnie z obowiązującymi wymogami prawnymi.
• Dane należytej staranności: przechowywane pod kontrolą podmiotu będącego administratorem danych. Przepisy AML/CFT nakładają obowiązek przechowywania przez 5 lat od zakończenia relacji biznesowej lub wykonania transakcji (art. L.561-12 kodeksu pieniężnego i finansowego).
• Dane pozyskiwania klientów: 3 lata od Państwa zapytania lub 30 dni, jeśli Państwa adres nie został potwierdzony; o ile nie wniesiono sprzeciwu.
• Pliki cookie: okres wskazany w dedykowanej sekcji (nie dłużej niż 13 miesięcy dla znaczników wymagających zgody).

8. Bezpieczeństwo

Wdrożono środki techniczne i organizacyjne w celu ochrony danych: szyfrowanie danych wrażliwych w spoczynku (sejf AES-256-GCM), zapieczętowanie i znakowanie czasem rejestru (skrót SHA-256), kontrola dostępu, rejestrowanie zdarzeń. Poufność zgłoszenia podejrzenia jest respektowana już na etapie projektowania (art. L.561-18 CMF): jego istnienie i treść nie są ujawniane klientowi.

9. Państwa prawa

Zgodnie z RODO przysługują Państwu prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu oraz przenoszenia danych, a także prawo do określenia wytycznych dotyczących losu Państwa danych po Państwa śmierci.

W odniesieniu do danych należytej staranności wykonywanie niektórych praw (w szczególności prawa do usunięcia) może być ograniczone obowiązkami prawnymi w zakresie przechowywania i poufności właściwymi dla AML/CFT i powinno być kierowane do podmiotu będącego administratorem danych.

Aby wykonać swoje prawa w odniesieniu do czynności przetwarzania, których administratorem jest Vigilae: rgpd@vigilae.org. Mają Państwo prawo wnieść skargę do francuskiego organu ochrony danych (CNIL) (www.cnil.fr).

10. Pliki cookie

Witryna umieszcza wyłącznie elementy ściśle niezbędne do jej działania oraz do Państwa preferencji wyświetlania (motyw jasny/ciemny, język, zapamiętanie Państwa wyboru dotyczącego zgody), przechowywane lokalnie w Państwa przeglądarce. Jeżeli trafiają Państwo do nas przez link partnera, witryna przechowuje w niej również kod tego partnera, używany najwyżej przez trzydzieści dni (zob. „Kod partnera” w sekcji 3). Korzysta z pomiaru odwiedzin bez plików cookie (Umami, hostowanego we własnym zakresie), zwolnionego z obowiązku zgody. Ponadto korzysta z Google Analytics 4, będącego narzędziem śledzącym podmiotu trzeciego objętym wymogiem uprzedniej zgody: nic nie jest mierzone za pomocą tego narzędzia, dopóki nie zaakceptują Państwo banera (domyślnie odmowa, brak reklamowych plików cookie). Mogą Państwo w każdej chwili wycofać swoją zgodę, odrzucając baner lub usuwając dane witryny w swojej przeglądarce.

11. Zmiany

Niniejsza polityka może być aktualizowana. Wersją obowiązującą jest wersja opublikowana na tej stronie w dniu Państwa zapoznania się z nią.