Polityka prywatności

1. Krótka wersja

Zbieramy minimalne dane niezbędne do rozliczeń i wsparcia. Nie prosimy o pełne imię i nazwisko, adres, telefon ani dokument tożsamości wydany przez rząd. Używamy samodzielnie hostowanego narzędzia analitycznego, które nie przechowuje plików cookie ani osobistych identyfikatorów. Nie sprzedajemy, nie udostępniamy ani nie przekazujemy Twoich danych sieciom reklamowym ani partnerom marketingowym. Nie przechowujemy danych znajdujących się na serwerze — zawartość Twojego VPS należy do Ciebie i nie przeglądamy jej.

Ta sekcja jest podsumowaniem w prostym języku. Szczegółowe postanowienia znajdują się poniżej.

2. Kim jesteśmy

Administratorem danych dla niniejszej Polityki prywatności jest MurmurHost LLC, spółka z ograniczoną odpowiedzialnością zorganizowana zgodnie z prawem Republiki Seszeli. Jesteśmy dostępni pod adresem [email protected] w całej korespondencji związanej z prywatnością.

W sprawach podlegających ogólnemu rozporządzeniu o ochronie danych (RODO) UE, w których nie utrzymujemy przedstawiciela w Unii Europejskiej zgodnie z art. 27, odpowiemy na zapytania bezpośrednio za pośrednictwem tego samego adresu e-mail.

3. Co zbieramy

3.1 Podczas rejestracji

Jedynymi danymi, których wymagamy podczas rejestracji, jest działający adres e-mail. Używamy go do dostarczania faktur, powiadomień o usłudze i korespondencji wsparcia. Możesz opcjonalnie podać nazwę wyświetlaną, nazwę organizacji, jurysdykcję rozliczeniową lub identyfikator VAT; nie są one wymagane i są przechowywane tylko wtedy, gdy je podasz.

3.2 Przy płatności

W przypadku płatności kryptowalutą rejestrujemy hash transakcji i sieć kryptowaluty, abyśmy mogli uzgodnić płatność z fakturą. Nie kojarzymy adresu Twojego portfela z Twoim kontem poza czasem rozliczenia faktury; po rozliczeniu faktury adres odbiorcy jest rotowany i nie jest przechowywany w rejestrze klienta.

W przypadku płatności kartą, tam gdzie są dostępne (obecnie ograniczone do jednostek SKU nie-offshore), otrzymujemy tylko ostatnie cztery cyfry karty i tokenizowane odniesienie od dostawcy płatności. Nie przechowujemy pełnych numerów kart. Pełny zakres metod płatności i relacje z procesorami są udokumentowane na stronie /payment-methods.

3.3 Dane operacyjne

Przechowujemy adres IP, z którego panel klienta był ostatnio odwiedzany, przez dziewięćdziesiąt (90) dni, po czym jest on usuwany. Przechowujemy hash ziarna jednorazowego hasła opartego na czasie (TOTP), jeśli włączyłeś uwierzytelnianie dwuskładnikowe. Przechowujemy znaczniki czasu udanych i nieudanych logowań przez dziewięćdziesiąt (90) dni w celu wykrywania oszustw.

3.4 Treść zgłoszeń i biletów wsparcia

Gdy otworzysz bilet wsparcia, treść Twojego biletu — w tym wszelkie udostępnione załączniki — jest przechowywana na naszej infrastrukturze przez okres określony w sekcji 8. Treść biletów jest traktowana jako poufna i dostępna tylko dla personelu wsparcia i inżynierii działającego w ramach biletu.

3.5 Dane znajdujące się na serwerze

Dane przechowywane na Twoim prywatnym serwerze wirtualnym, dedykowanym serwerze, skrzynce pocztowej lub innej usłudze są dla nas operacyjnie niewidoczne. Nie przeglądamy, nie rejestrujemy, nie skanujemy ani nie kopiujemy zawartości infrastruktury kontrolowanej przez klienta jako rutynowej czynności. W przypadkach, w których jesteśmy zobowiązani do działania na danych — na przykład w celu wykonania prawidłowo doręczonego lokalnego nakazu sądowego — działamy zgodnie z procedurą w sekcji 7 i tylko w zakresie prawnie wymaganym.

4. Czego nie zbieramy

Nie zbieramy, nie żądamy ani nie przechowujemy:

• Pełnego imienia i nazwiska, z wyjątkiem dobrowolnie wprowadzonego do fakturowania
• Adresu pocztowego, z wyjątkiem dobrowolnie wprowadzonego do fakturowania
• Numeru telefonu
• Dokumentów tożsamości wydanych przez rząd
• Danych dotyczących śledzenia zachowań podczas przeglądania strony internetowej poza szanującą prywatność analityką podsumowaną w sekcji 5
• Identyfikatorów reklamowych stron trzecich (na naszej stronie marketingowej nie ma Google Ads, Meta Pixel, Twitter pixel ani porównywalnych trackerów)
• Identyfikatorów między witrynami udostępnianych brokerom danych

5. Pliki cookie i podobne technologie

5.1 Niezbędne pliki cookie sesji

Zalogowanie się do panelu klienta wymaga pliku cookie sesji. Plik cookie sesji jest niezbędny do działania Usługi i jest zwolniony z wymogu zgody ePrivacy UE zgodnie z art. 5 ust. 3 motyw 25 dyrektywy 2002/58/WE. Plik cookie jest HttpOnly, Secure, SameSite=Lax i wygasa po wylogowaniu lub po czternastu (14) dniach bezczynności, w zależności od tego, co nastąpi wcześniej.

5.2 Analityka

Używamy Plausible Analytics w samodzielnie hostowanej instancji pod naszą kontrolą. Plausible nie ustawia plików cookie w Twojej przeglądarce, nie zbiera osobistych identyfikatorów i nie śledzi użytkowników między wizytami ani domenami. Zagregowane metryki, które generuje — wyświetlenia stron, odsyłacz, kraj na poziomie kodu kraju i czas wizyty — są używane do oceny wydajności strony marketingowej i nie są powiązane z Twoim kontem.

5.3 Brak trackerów stron trzecich

Strona marketingowa nie zawiera Google Analytics, Meta Pixel, Hotjar, Mixpanel, Segment ani żadnej porównywalnej technologii śledzenia stron trzecich. Panel klienta działa na własnej poddomenie i nie zawiera żadnej analityki.

6. Jak wykorzystujemy informacje

Wykorzystujemy informacje opisane w sekcji 3 wyłącznie w następujących celach:

• Świadczenie usług: provisionowanie, obsługa, utrzymanie i wsparcie Usług
• Rozliczenia: generowanie, dostarczanie i uzgadnianie faktur
• Obsługa nadużyć: badanie zgłoszeń, komunikacja z dotkniętymi klientami i wypełnianie obowiązków prawnych
• Powiadomienia o usłudze: komunikacja o statusie usługi, planowanych pracach konserwacyjnych, aktualizacjach bezpieczeństwa i istotnych zmianach w Warunkach lub niniejszej Polityce
• Komunikacja marketingowa, tylko za wyraźną zgodą: wysyłamy wiadomości marketingowe tylko do klientów, którzy wyraźnie wyrazili zgodę. Domyślny stan konta to rezygnacja.

7. Udostępnianie i ujawnianie

7.1 Nakazy sądowe

Ujawniamy dane organom ścigania lub sądowym wyłącznie po otrzymaniu prawidłowo doręczonego nakazu z sądu właściwej jurysdykcji w jednym z krajów, w których działamy. Nie ujawniamy dobrowolnie danych klientów organom spoza naszych jurysdykcji operacyjnych. Zagraniczne nakazy sądowe nie są automatycznie honorowane; są one analizowane pod kątem opinii lokalnych doradców i ujawniane tylko w zakresie prawnie wymaganym.

7.2 Wnioski na podstawie traktatu o wzajemnej pomocy prawnej (MLAT)

Wnioski MLAT są rozpatrywane indywidualnie. W przypadku, gdy wniosek jest prawidłowo doręczony i poparty merytorycznym wykazaniem zgodnie z odpowiednim traktatem, współpracujemy w zakresie prawnie wymaganym i nie dalej. W przypadku, gdy wniosek nie jest prawidłowo doręczony lub nie spełnia odpowiedniego standardu merytorycznego, odmawiamy.

7.3 Procesory stron trzecich

Polegamy na ograniczonym zestawie procesorów stron trzecich niezbędnych do działania platformy:

• Mailgun (lub odpowiednik) do dostarczania transakcyjnych wiadomości e-mail, w tym dostarczania faktur, resetowania haseł i korespondencji dotyczącej nadużyć. Procesor otrzymuje tylko adres e-mail i treść wiadomości.
• BTCPay Server, samodzielnie hostowany na infrastrukturze, którą kontrolujemy, do przetwarzania płatności kryptowalutą. Żaden zewnętrzny procesor płatności kryptowalutowych (taki jak BitPay lub Coinbase Commerce) nie jest używany do usług offshore.
• PostgreSQL, hostowany na infrastrukturze, którą kontrolujemy, do bazy danych klientów.
• UptimeRobot lub odpowiednik monitorowania dostępności, który otrzymuje tylko publiczną nazwę hosta i status odpowiedzi HTTP.

7.4 Brak marketingu i reklamy

Nie udostępniamy, nie sprzedajemy, nie licencjonujemy ani w inny sposób nie przekazujemy danych klientów sieciom reklamowym, brokerom danych ani partnerom marketingowym. Nie prowadzimy reklam w Usługach i nie monetyzujemy danych klientów.

8. Przechowywanie danych

8.1 Aktywne konto

Dane osobowe związane z aktywnym kontem są przechowywane przez czas trwania konta.

8.2 Anulowane konto

Po anulowaniu dane osobowe są przechowywane przez dziewięćdziesiąt (90) dni, aby umożliwić odzyskanie w przypadku przypadkowego anulowania, a następnie usuwane.

8.3 Rekordy rozliczeniowe

Rekordy rozliczeniowe — numer faktury, kwota, waluta, jurysdykcja rejestracji, jeśli podano, i identyfikator podatkowy, jeśli podano — są przechowywane przez siedem (7) lat w celu wypełnienia obowiązków przechowywania dokumentacji podatkowej w naszych jurysdykcjach operacyjnych.

8.4 Bilety wsparcia

Treść biletów wsparcia jest przechowywana przez dwanaście (12) miesięcy od zamknięcia biletu, a następnie usuwana.

8.5 Dzienniki operacyjne

Nie przechowujemy dzienników serwerowych aktywności klienta. W szczególności: nie zapisujemy w trwałej pamięci żadnych z następujących danych — dzienników dostępu per klient, znaczników czasu IP dla ruchu przychodzącego, dzienników historii poleceń, nagrań sesji konsoli, kodów wyjścia zadań cron przypisanych do tożsamości klienta, dzienników zapytań DNS.

Zagregowane rekordy przepływu ruchu brzegowego (NetFlow / IPFIX) są przechowywane w pamięci ulotnej na brzegu przez maksymalnie jedną (1) godzinę w celu podejmowania decyzji dotyczących aktywnej ochrony przed DDoS, nigdy nie są zapisywane w trwałej pamięci i nigdy nie są korelowane z klientem.

Próby logowania do panelu klienta są śledzone tylko w pamięci ulotnej, wyłącznie w celu ograniczania szybkości ataków polegających na podstawianiu danych uwierzytelniających. Udane sesje nie są rejestrowane na dysku.

Wynik jest odzwierciedlony w naszym publicznym Raporcie przejrzystości (https://murmurhost.com/transparency): gdy nadchodzą wnioski sądowe o rekordy aktywności klienta, wyprodukowane rekordy są strukturalnie zerowe, ponieważ takie rekordy nie są zbierane.

9. Transfery międzynarodowe

Dane osobowe są przechowywane na infrastrukturze w jurysdykcji, w której wdrożona jest usługa klienta. Sam panel klienta działa na infrastrukturze w Holandii, z replikacją bazy danych do jednej lokalizacji poza siedzibą na Islandii w celu odzyskiwania po awarii.

Dla klientów będących rezydentami UE oznacza to, że dane panelu klienta przekraczają wewnętrzną granicę między Holandią (w EOG) a Islandią (poza EOG, ale w Europejskim Obszarze Gospodarczym do celów ochrony danych). Islandia jest uznawana przez Komisję Europejską za zapewniającą odpowiedni poziom ochrony danych.

10. Twoje prawa

Jeśli jesteś osobą fizyczną w zakresie RODO UE, RODO Wielkiej Brytanii, kalifornijskiej ustawy o ochronie prywatności konsumentów (CCPA) lub porównywalnych ram prywatności, przysługują Ci prawa określone w odpowiednich przepisach. Najczęściej wykonywane prawa to:

10.1 Prawo dostępu

Możesz zażądać kopii danych osobowych, które przechowujemy na Twój temat. Odpowiadamy w ciągu trzydziestu (30) dni.

10.2 Prawo do sprostowania

Możesz poprawić nieprawidłowe dane osobowe, które przechowujemy na Twój temat. Większość pól można edytować bezpośrednio w panelu klienta; w przypadku pól, których nie można, skontaktuj się z [email protected].

10.3 Prawo do usunięcia („prawo do bycia zapomnianym")

Możesz zażądać usunięcia danych osobowych, które przechowujemy na Twój temat. Usuniemy je, chyba że mamy prawny obowiązek ich przechowywania (w szczególności siedmioletnie przechowywanie rekordów rozliczeniowych w sekcji 8.3, w którym to przypadku dane osobowe poza tym zakresem są usuwane, a rekord rozliczeniowy jest anonimizowany w możliwym zakresie).

10.4 Prawo do przenoszenia danych

Możesz zażądać eksportu danych osobowych, które przechowujemy na Twój temat, w formacie nadającym się do odczytu maszynowego. Eksport jest dostarczany jako JSON, zaszyfrowany hasłem, które podasz.

10.5 Prawo do ograniczenia przetwarzania i sprzeciwu

Możesz zażądać ograniczenia przetwarzania Twoich danych osobowych w trakcie badania skargi lub wniosku o sprostowanie, a także możesz sprzeciwić się przetwarzaniu opartemu na uzasadnionych interesach. Rezygnacja z komunikacji marketingowej jest honorowana natychmiast na żądanie.

11. Jak skorzystać ze swoich praw

Aby skorzystać z dowolnego prawa opisanego w sekcji 10, wyślij e-mail na adres [email protected]. Odpowiadamy w ciągu trzydziestu (30) dni. Jeśli przewidujemy potrzebę dodatkowego czasu (w szczególności w przypadku złożonych wniosków o usunięcie, gdzie musimy zweryfikować zakres prawnego przechowywania), powiadomimy Cię w ciągu początkowych trzydziestu (30) dni i zakończymy odpowiedź w ciągu maksymalnie sześćdziesięciu (60) kolejnych dni.

Nie pobieramy opłat za rutynowe wnioski. W przypadku, gdy wnioski są oczywiście bezzasadne, nadmierne lub powtarzające się, możemy pobrać rozsądną opłatę lub odmówić działania, zgodnie z art. 12 ust. 5 RODO.

12. Środki bezpieczeństwa

12.1 Szyfrowanie w spoczynku

Dane panelu klienta, w tym rekordy faktur i treść biletów wsparcia, są przechowywane z szyfrowaniem na poziomie dysku przy użyciu LUKS/dm-crypt z AES-XTS-256.

12.2 Szyfrowanie w tranzycie

Wszystkie połączenia między przeglądarką klienta, panelem klienta i naszymi wewnętrznymi usługami używają TLS 1.3 lub, jeśli TLS 1.3 nie jest dostępny na kliencie, TLS 1.2 z silnymi zestawami szyfrów i doskonałą tajnością przekazywania. Nie obsługujemy TLS 1.0 ani TLS 1.1.

12.3 Kontrola dostępu

Wewnętrzny dostęp do danych klientów jest ograniczony do personelu wsparcia i inżynierii działającego w ramach konkretnego biletu lub incydentu. Uwierzytelnianie dwuskładnikowe jest obowiązkowe dla całego personelu uzyskującego dostęp do interfejsu administratora panelu klienta.

12.4 Dzienniki audytu

Wewnętrzny dostęp do danych klientów jest rejestrowany z wystarczającą szczegółowością, aby zrekonstruować, kto uzyskał dostęp do czego i kiedy. Dzienniki audytu są przechowywane przez dziewięćdziesiąt (90) dni.

13. Prywatność dzieci

Nasze Usługi nie są przeznaczone dla osób poniżej szesnastego (16) roku życia. Nie zbieramy świadomie danych osobowych od małoletnich poniżej tego progu. Jeśli odkryjemy, że zebraliśmy dane osobowe od małoletniego poniżej progu, usuwamy je niezwłocznie i zwracamy wszelkie otrzymane płatności. Rodzice lub opiekunowie, którzy uważają, że ich małoletnie dziecko przekazało nam dane osobowe, powinni skontaktować się z [email protected].

14. Zmiany w niniejszej Polityce

Możemy okresowo aktualizować niniejszą Politykę prywatności. Istotne zmiany — te, które wpływają na kategorie zbieranych danych, cele, dla których wykorzystujemy dane, lub strony trzecie, z którymi udostępniamy dane — są ogłaszane za pośrednictwem wiadomości e-mail dotyczącej rozliczeń i ogłaszane za pomocą banera w panelu klienta na trzydzieści (30) dni przed ich wejściem w życie. Zmiany nieistotne (doprecyzowania, formatowanie, poprawki zepsutych linków) mogą być wprowadzane bez wcześniejszego powiadomienia; data „Ostatnia aktualizacja" na górze tego dokumentu odzwierciedla ostatnią zmianę.

15. Kontakt

W przypadku pytań, próśb lub skarg dotyczących prywatności:

• Zespół ds. prywatności: [email protected]
• Zespół prawny: [email protected]
• Adres pocztowy: MurmurHost LLC, Republika Seszeli (pełny adres podany na pisemny wniosek)

Jeśli uważasz, że nie wypełniliśmy obowiązujących przepisów o ochronie prywatności, masz prawo złożyć skargę do organu nadzorczego w swojej jurysdykcji. Dla rezydentów UE jest to organ ochrony danych Twojego państwa członkowskiego; dla rezydentów Wielkiej Brytanii — Biuro Komisarza ds. Informacji; dla rezydentów Kalifornii — Kalifornijska Agencja Ochrony Prywatności.