Polityka prywatności
Obowiązuje od: 2026-11-05
Ta Polityka prywatności wyjaśnia, jakie dane osobowe przetwarzamy w serwisie Grantly (grantly.pl), w jakim celu, na jakiej podstawie, komu je przekazujemy i jakie prawa przysługują osobom, których dane dotyczą. Realizuje obowiązki informacyjne z art. 13 i 14 RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679).
Serwis jest przeznaczony dla firm i organizacji. Dane osobowe, które przetwarzamy, dotyczą głównie osób działających w ich imieniu: właścicieli, pracowników i współpracowników.
1. Administrator danych
Administratorem danych osobowych jest RSC Radosław Szymkiewicz, ul. Lipowa 43, 55-010 Biestrzyków, NIP 6121821319, REGON 523099539, wpisany do Centralna Ewidencja i Informacja o Działalności Gospodarczej (CEIDG) („Administrator”, „my”).
Kontakt w sprawach danych osobowych: kontakt@grantly.pl lub pisemnie na adres Administratora. Administrator nie wyznaczył inspektora ochrony danych, ponieważ nie ma takiego obowiązku.
2. Jakie dane przetwarzamy
- Dane konta: imię i nazwisko, adres e-mail, hasło (w postaci zaszyfrowanego skrótu), a przy logowaniu przez Google także identyfikator konta Google, imię, nazwisko, adres e-mail i zdjęcie profilowe przekazane przez Google.
- Dane organizacji i profilu: nazwa, NIP, typ organizacji, kody PKD, wielkość, rok założenia, lokalizacja, opis działalności i planowanych projektów oraz inne informacje wpisane w profil. Są to głównie dane firmy, ale mogą zawierać dane osobowe (np. przy jednoosobowej działalności gospodarczej).
- Dane członków zespołu: adres e-mail i rola osoby zaproszonej do organizacji przez innego użytkownika.
- Dane klientów doradców: nazwy i dane organizacji klientów, które użytkownik prowadzi w serwisie w ramach planów dla doradców.
- Dane rozliczeniowe: nazwa firmy lub imię i nazwisko, adres, NIP, plan, okres i historia płatności, faktury. Danych karty płatniczej nie przetwarzamy — obsługuje je Stripe.
- Dane korzystania z serwisu: zapisane granty, etapy pracy nad wnioskami, ustawienia powiadomień, wyniki dopasowań, analizy, data ostatniej wizyty, zdarzenia w serwisie (np. rejestracja, wybór planu), a przy rejestracji także źródło pierwszego wejścia: domena strony, z której trafiłeś do serwisu, pierwsza odwiedzona strona i parametry UTM linku.
- Dane z formularza kontaktowego: imię i nazwisko, e-mail, opcjonalnie telefon, temat i treść wiadomości.
- Dane techniczne: adres IP, informacje o przeglądarce i urządzeniu, data i godzina żądań, logi serwera i błędów, pliki cookies.
Podanie danych jest dobrowolne, ale bez danych konta nie da się założyć konta, a bez danych rozliczeniowych — wykupić planu płatnego. Bez danych profilu serwis nie przygotuje dopasowań.
3. Cele i podstawy prawne
| Cel | Podstawa prawna (RODO) | Jak długo |
|---|---|---|
| Założenie i prowadzenie konta, świadczenie usług serwisu: katalog grantów, dopasowania, powiadomienia e-mail o nowych grantach, analizy, raporty, praca zespołowa | art. 6 ust. 1 lit. b — wykonanie umowy; wobec osób działających w imieniu klienta: art. 6 ust. 1 lit. f — nasz interes w wykonaniu umowy z ich organizacją | Do usunięcia konta, następnie do upływu terminu przedawnienia roszczeń |
| Rozliczenia, wystawianie faktur, księgowość | art. 6 ust. 1 lit. c — obowiązki z przepisów podatkowych i o rachunkowości | 5 lat od końca roku, w którym upłynął termin płatności podatku |
| Obsługa zgłoszeń, reklamacji i wiadomości z formularza kontaktowego | art. 6 ust. 1 lit. b lub f — odpowiedź na zapytanie | Do zakończenia sprawy, następnie do upływu terminu przedawnienia roszczeń |
| Bezpieczeństwo serwisu, zapobieganie nadużyciom (np. limity, blokada adresów jednorazowych, wykrywanie wielu kont) | art. 6 ust. 1 lit. f — prawnie uzasadniony interes | Logi: do 90 dni; dane o naruszeniach: do upływu terminu przedawnienia roszczeń |
| Własne statystyki korzystania z serwisu i jego rozwój | art. 6 ust. 1 lit. f — prawnie uzasadniony interes | Do usunięcia konta lub do 2 lat |
| Statystyki odwiedzin bez cookies (Vercel Web Analytics) | art. 6 ust. 1 lit. f — prawnie uzasadniony interes w mierzeniu ruchu na stronie | Dane zagregowane, bez identyfikacji osób |
| Analityka Google Analytics | art. 6 ust. 1 lit. a — zgoda wyrażona w banerze cookies | Do wycofania zgody; dane w Google Analytics — 2 miesiące |
| Ustalenie, dochodzenie lub obrona roszczeń | art. 6 ust. 1 lit. f — prawnie uzasadniony interes | Do upływu terminu przedawnienia roszczeń |
Informacje o nowych funkcjach i ofertach wysyłamy e-mailem tylko za uprzednią zgodą, zgodnie z art. 398 ustawy Prawo komunikacji elektronicznej. Powiadomienia o grantach i wiadomości dotyczące konta oraz płatności są częścią usługi. Powiadomienia o grantach można wyłączyć w ustawieniach lub linkiem w każdej wiadomości.
4. Dopasowania, AI i profilowanie
- Na podstawie profilu organizacji serwis automatycznie ocenia, które granty mogą do niej pasować, i nadaje im wynik dopasowania. To profilowanie w rozumieniu art. 4 pkt 4 RODO.
- Wynik ma charakter pomocniczy. Nie podejmujemy na jego podstawie decyzji wywołujących wobec kogokolwiek skutki prawne ani podobnie istotne skutki (art. 22 RODO). O złożeniu wniosku decyduje użytkownik, a o przyznaniu finansowania — organizator naboru.
- Do opracowania opisów grantów, dopasowań, analiz i odpowiedzi czatu używamy modeli Google Gemini przez płatne API Google. Przekazujemy do nich dane profilu organizacji i treści grantów w zakresie potrzebnym do wykonania usługi. Według warunków Google dane przesyłane przez płatne API nie są używane do trenowania modeli.
- Treści wygenerowane przez AI są oznaczone w serwisie.
5. Skąd mamy dane
Większość danych podajesz sam. Wyjątki: dane z konta Google (przy logowaniu przez Google), dane osób zaproszonych do organizacji (podaje je zapraszający), dane klientów doradców (podaje je doradca) oraz dane płatności (od Stripe).
6. Odbiorcy danych
Dane przekazujemy tylko tym podmiotom, które są potrzebne do świadczenia usług. Z dostawcami przetwarzającymi dane w naszym imieniu mamy umowy powierzenia (art. 28 RODO).
| Odbiorca | Zakres |
|---|---|
| Supabase Inc. | Baza danych, uwierzytelnianie i logowanie |
| Vercel Inc. | Hosting aplikacji i API, logi, statystyki odwiedzin bez cookies (Vercel Web Analytics) |
| Hetzner Online GmbH | Serwer do pobierania publicznych danych o grantach (Niemcy) |
| Stripe Payments Europe Ltd. | Płatności, subskrypcje i faktury; Stripe jest też samodzielnym administratorem danych płatniczych |
| Resend Inc. | Wysyłka e-maili: potwierdzenia, powiadomienia, wiadomości z formularza |
| Google Ireland Ltd. / Google LLC | Logowanie przez Google, modele Gemini, Google Analytics (po zgodzie) |
| Biuro rachunkowe, kancelaria prawna | Księgowość i obsługa prawna, w niezbędnym zakresie |
| Organy publiczne | Gdy wymagają tego przepisy prawa |
Członkowie tej samej organizacji w serwisie widzą dane organizacji, jej profile, zapisane granty oraz imiona, nazwiska i adresy e-mail innych członków.
7. Przekazywanie danych poza EOG
Część dostawców (Vercel, Resend, Google, Stripe) ma siedzibę lub infrastrukturę w Stanach Zjednoczonych. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony dla podmiotów certyfikowanych w ramach EU-U.S. Data Privacy Framework albo na podstawie standardowych klauzul umownych przyjętych przez Komisję (art. 45 i 46 RODO). Kopię zabezpieczeń można otrzymać, pisząc na kontakt@grantly.pl.
9. Twoje prawa
- dostęp do danych i otrzymanie ich kopii (art. 15 RODO),
- sprostowanie danych (art. 16),
- usunięcie danych (art. 17) — konto możesz usunąć samodzielnie w ustawieniach,
- ograniczenie przetwarzania (art. 18),
- przeniesienie danych, gdy przetwarzamy je na podstawie umowy lub zgody (art. 20),
- sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym profilowania (art. 21),
- wycofanie zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania,
- skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Żądania wyślij na kontakt@grantly.pl. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca.
10. Bezpieczeństwo
Stosujemy szyfrowane połączenia (HTTPS), kontrolę dostępu do danych na poziomie bazy, ograniczony dostęp personelu i dostawców oraz kopie zapasowe. Hasła przechowujemy wyłącznie w postaci skrótu.
11. Zmiany Polityki prywatności
Politykę aktualizujemy, gdy zmieniają się funkcje serwisu, dostawcy lub przepisy. O istotnych zmianach informujemy zalogowanych użytkowników e-mailem lub w serwisie przed ich wejściem w życie. Aktualna wersja jest zawsze dostępna na tej stronie, a zasady korzystania z serwisu opisuje Regulamin.