Polityka prywatności — QA10 sp. z o.o.

Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych użytkowników serwisu qa10.io przez QA10 sp. z o.o. Opisuje dane, które podajesz nam w serwisie, e-mailem oraz w formularzu w reklamie QA10 na TikToku, i przekazuje informacje wymagane przez art. 13 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO").

1. Administrator danych

Administratorem Twoich danych osobowych jest:

QA10 sp. z o.o. — siedziba i adres: ul. Mariacka 37, 40-014 Katowice, Polska.

Sąd rejestrowy: Sąd Rejonowy Katowice-Wschód w Katowicach, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego.

KRS 0001232199 · NIP 9542906279 · REGON 544435060.

Kapitał zakładowy: 5 000,00 zł.

Kontakt: hello@qa10.io, telefon +48 880 839 850.

2. Inspektor Ochrony Danych

Administrator nie wyznaczył Inspektora Ochrony Danych — przetwarzanie nie spełnia przesłanek art. 37 ust. 1 RODO (brak przetwarzania na dużą skalę szczególnych kategorii danych, brak regularnego i systematycznego monitorowania osób na dużą skalę). We wszelkich sprawach dotyczących przetwarzania danych osobowych prosimy o kontakt bezpośrednio z Administratorem pod adresem hello@qa10.io.

3. Zakres i źródła danych

Dane otrzymujemy bezpośrednio od Ciebie, gdy wysyłasz formularz kontaktowy, brief Q-Dev, zapytanie o Q-Journey lub piszesz do nas e-mailem.

Formularz obejmuje:

imię i nazwisko, nazwę firmy, adres e-mail oraz opis sprawy;
wybrany rodzaj zapytania i język formularza, a opcjonalnie kraj;
w briefie Q-Dev: wybraną linię i opcję, informację o istniejącej stronie i zasobach danych, preferowaną walutę wyceny oraz opcjonalnie liczbę godzin poświęcanych na proces;
inne informacje, które dobrowolnie umieścisz w treści korespondencji.

Obsługa żądań internetowych wiąże się również z przetwarzaniem danych technicznych, w tym adresu IP. Adres jest wykorzystywany do ograniczania powtarzających się wysyłek formularza. Witryna nie wymaga założenia konta.

Cloudflare Turnstile przetwarza sygnały techniczne, takie jak Twój adres IP, odcisk TLS, nagłówek User-Agent, klucz witryny (sitekey) oraz powiązane źródło (origin). Formularz wysyła token weryfikacyjny do naszego serwera; przed obsługą zapytania serwer przesyła ten token oraz Twój adres IP (remoteip) do Cloudflare Siteverify.

Jeśli wyrazisz zgodę na statystyki odwiedzin, przy każdym wyświetleniu strony Vercel Web Analytics zbiera czas zdarzenia, adres strony bez parametrów zapytania, adres strony, z której przyszedłeś, typ urządzenia, system i przeglądarkę oraz kraj, region i miasto ustalone na podstawie żądania. Odwiedzającego rozpoznaje przez 24 godziny po skrócie (hash) obliczonym z danych żądania. Szczegóły opisuje Polityka cookies.

Formularz w reklamie QA10 na TikToku

Dane otrzymujemy także wtedy, gdy wyślesz formularz w reklamie QA10 w aplikacji TikTok (formularz natychmiastowy TikTok Lead Generation). Otrzymujemy dane wpisane w polach tego formularza, np. imię i nazwisko, adres e-mail, numer telefonu i nazwę firmy, oraz odpowiedzi na pytania zadane w formularzu. Zakres pól widzisz w formularzu przed jego wysłaniem. Jeśli na to pozwolisz, TikTok może wstępnie wypełnić część pól danymi z Twojego konta TikTok.

W tym formularzu nie pytamy o dane szczególnych kategorii (np. o zdrowie), dane finansowe (np. o dochody lub numery kont), numery dokumentów ani datę urodzenia.

Zgłoszenie odbieramy w panelu reklamowym TikTok, w którym jest ono dla nas dostępne przez 90 dni od wysłania. W sprawie zgłoszenia kontaktujemy się z Tobą e-mailem lub telefonicznie, a dalszą korespondencję prowadzimy tak samo jak przy zapytaniu wysłanym przez stronę. Wysłanie formularza nie zapisuje Cię do listy marketingowej.

4. Cele i podstawy prawne przetwarzania

Każda operacja przetwarzania posiada określoną podstawę prawną wynikającą z art. 6 ust. 1 RODO. Zestawienie celów, podstaw prawnych i okresów retencji przedstawia poniższa tabela.

Przewiń tabelę w poziomie, aby przeczytać wszystkie kolumny.

Cel przetwarzania	Podstawa prawna	Okres przechowywania
Obsługa zapytań przesłanych za pośrednictwem formularza kontaktowego, formularza w reklamie QA10 na TikToku lub e-maila.	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na prowadzeniu korespondencji biznesowej.	Do 3 lat od ostatniego kontaktu lub do wniesienia skutecznego sprzeciwu.
Działania na Twoje żądanie przed zawarciem umowy Q-Dev lub Q-Journey oraz jej wykonanie, gdy sam jesteś stroną umowy.	Art. 6 ust. 1 lit. b RODO — działania przedumowne na żądanie osoby, której dane dotyczą, lub wykonanie umowy z tą osobą.	Przez okres niezbędny do tych działań i wykonania umowy; następnie tylko w zakresie niezbędnym do odrębnych celów wskazanych poniżej, jeżeli rzeczywiście występują.
Kontakt i współpraca z przedstawicielem spółki lub innej organizacji, która jest lub ma być stroną umowy.	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora i reprezentowanej organizacji w prowadzeniu kontaktów i realizacji współpracy.	Przez okres niezbędny do kontaktu i współpracy; dla zwykłego zapytania stosujemy okres wskazany w pierwszym wierszu, a dla konkretnych roszczeń — kryteria poniżej.
Obowiązki podatkowe dotyczące właściwych dokumentów (np. faktur i ewidencji).	Art. 6 ust. 1 lit. c RODO — obowiązek prawny, w szczególności art. 70 i 86 Ordynacji podatkowej oraz właściwe przepisy podatkowe.	Do przedawnienia zobowiązania podatkowego: co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Uwzględniamy zawieszenie lub przerwanie biegu przedawnienia oraz wyjątki i okresy wynikające z przepisów szczególnych.
Obowiązki księgowe dotyczące dokumentacji objętej ustawą o rachunkowości.	Art. 6 ust. 1 lit. c RODO — obowiązek prawny wynikający z ustawy o rachunkowości.	Według kategorii dokumentacji i okresów z art. 74 ustawy o rachunkowości. Okresy z ust. 2 tego artykułu liczy się od początku roku następującego po roku obrotowym, którego zbiory dotyczą, z uwzględnieniem właściwych reguł szczególnych.
Ustalenie, dochodzenie lub obrona przed roszczeniami.	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora.	Tylko przez okres i w zakresie niezbędnym do ochrony konkretnych roszczeń, według właściwego terminu przedawnienia. Uwzględniamy wymagalność, regułę końca roku oraz zawieszenia i przerwania biegu przedawnienia; nie zachowujemy w tym celu wszystkich danych automatycznie.
Kopie techniczne na serwerze wysyłkowym i jego lokalne kopie zapasowe.	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes w niezawodnej wysyłce wiadomości oraz utrzymaniu dostępności i bezpieczeństwa korespondencji.	Kopie techniczne wiadomości na serwerze wysyłkowym Administratora (Postal) w Warszawie, w Polsce są przechowywane do 30 dni. Szyfrowane lokalne kopie zapasowe tego serwera pocztowego podlegają rotacji po wykonaniu 14 kopii dziennych; kopia zapasowa jest przechowywana do około 14 dni od jej utworzenia.
Bezpieczeństwo serwisu, ograniczanie powtarzających się wysyłek formularza i ochrona formularza przed spamem i automatycznymi nadużyciami z użyciem Cloudflare Turnstile.	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes w zabezpieczeniu serwisu.	Licznik prób działa w oknie 10 minut. Wygasłe wpisy są usuwane przy kolejnym żądaniu lub restarcie serwera.
Statystyki odwiedzin witryny (Vercel Web Analytics): zbiorcze dane o ruchu, z których korzystamy, aby ulepszać witrynę.	Art. 6 ust. 1 lit. a RODO — Twoja zgoda wyrażona w banerze, w związku z art. 399 ust. 1 Prawa komunikacji elektronicznej.	Zestawienia statystyczne są dla nas dostępne przez 12 miesięcy. Skrót identyfikujący odwiedzającego Vercel usuwa po 24 godzinach. Po zakończeniu umowy Vercel usuwa dane w rozsądnym terminie, chyba że przepisy wymagają ich zachowania. Dane, które Vercel przetwarza jako odrębny administrator, przechowuje na zasadach opisanych w sekcji 6.

Wskazane powyżej 10 minut dotyczy wyłącznie licznika prób QA10; retencja sygnałów Turnstile w Cloudflare wymaga potwierdzenia.

Okresy dotyczące dokumentów podatkowych i księgowych nie obejmują automatycznie korespondencji zapytaniowej. Samo zapytanie nie oznacza powstania obowiązku wystawienia faktury.

Okresy dotyczące kopii technicznych i kopii zapasowych serwera pocztowego nie zmieniają okresów przechowywania korespondencji w skrzynce ani okresów dla pozostałych celów opisanych w tabeli.

5. Dobrowolność podania danych

Podanie danych jest dobrowolne. Pola oznaczone jako wymagane są potrzebne do obsługi zapytania przez formularz. Możesz także skontaktować się z nami e-mailem. W przypadku danych wymaganych do zawarcia umowy ich podanie stanowi warunek jej zawarcia w rozumieniu art. 13 ust. 2 lit. e RODO.

Wysłanie zapytania nie zapisuje Cię do listy marketingowej i nie stanowi zamówienia ani płatności.

Nie wymagamy zgody na przetwarzanie danych w celu obsługi zwykłego zapytania. Podstawą jest prawnie uzasadniony interes wskazany w tabeli; przy spełnieniu ustawowych przesłanek przysługuje Ci prawo sprzeciwu.

Zgoda na statystyki odwiedzin jest dobrowolna. Jej brak nie ogranicza korzystania z witryny.

6. Odbiorcy i inne podmioty, którym ujawniamy dane

Podmioty przetwarzające. W zakresie, w jakim dostawcy przetwarzają dane w imieniu Administratora, zastosowanie mają zasady powierzenia z art. 28 RODO. Funkcje technicznych dostawców obejmują:

Hosting, obsługa formularza i statystyki odwiedzin: Vercel Inc. (USA) — udostępnianie witryny, obsługa żądań kierowanych do serwera oraz, po Twojej zgodzie, statystyki odwiedzin (Vercel Web Analytics), na podstawie umowy powierzenia Vercel (Data Processing Addendum), stanowiącej część warunków usługi dla planu, z którego korzysta QA10. Funkcja serwerowa formularza działa w regionie fra1 (Frankfurt nad Menem, Niemcy, EOG) w infrastrukturze Amazon Web Services, która jest dalszym podmiotem przetwarzającym Vercel. Treści statyczne mogą być dostarczane przez globalną sieć brzegową Vercel. Aktualna lista dalszych podmiotów przetwarzających Vercel wraz z ich funkcjami i lokalizacjami: security.vercel.com/subprocessors.
Ochrona przed spamem i automatycznymi nadużyciami: Cloudflare, Inc. (USA) — weryfikacja Cloudflare Turnstile.
Infrastruktura serwera wysyłkowego: dostawca infrastruktury serwerowej/centrum danych w Polsce — infrastruktura, na której działa własny serwer pocztowy Administratora (oprogramowanie Postal), prowadzony przez Administratora w centrum danych w Warszawie, w Polsce (EOG).
Skrzynka odbiorcza i korespondencja: Google Workspace (Google) — dostawca skrzynki hello@qa10.io, odbieranie i przechowywanie zgłoszeń oraz prowadzenie korespondencji, na podstawie warunków Google Workspace i umowy powierzenia Google (Cloud Data Processing Addendum). Stroną umowy Google Workspace z QA10 jest Google Cloud Poland sp. z o.o. (Warszawa), a za pośrednictwem Google dane mogą być przetwarzane przez Google LLC i inne spółki grupy Google jako dalsze podmioty przetwarzające. Lista dalszych podmiotów przetwarzających Google Workspace: workspace.google.com/terms/subprocessors.

Zgodnie z Turnstile Privacy Addendum Cloudflare działa jako podmiot przetwarzający w imieniu QA10 przy ochronie witryny oraz jako odrębny administrator przy ulepszaniu wykrywania botów. Według dokumentacji Cloudflare Turnstile nie uzyskuje dostępu do treści formularzy, nie przechowuje ich ani nie przesyła.

Vercel jako odrębny administrator. Zgodnie z umową powierzenia Vercel (Data Processing Addendum) dane o korzystaniu z usług i metadane powstające przy ich działaniu (Service-Generated Data), w zakresie, w jakim są danymi osobowymi, Vercel przetwarza jako odrębny administrator na zasadach własnej polityki prywatności, m.in. w celu utrzymania, ulepszania i wsparcia swoich usług. Vercel przechowuje te dane, dopóki są mu potrzebne do tych celów, a następnie je anonimizuje lub usuwa.

Doradcy i odrębni administratorzy. Dane mogą być ujawniane biuru rachunkowemu, doradcom podatkowym lub prawnym, gdy jest to niezbędne do obsługi sprawy lub obowiązków prawnych. Rola doradcy zależy od rzeczywistej usługi i właściwego prawa: może on działać jako odrębny administrator dla własnych obowiązków zawodowych albo jako podmiot przetwarzający w imieniu QA10. Nie przypisujemy jednej roli wszystkim doradcom.

Organy uprawnione z mocy prawa. Ujawnienie następuje wyłącznie na właściwej podstawie prawnej i w wymaganym zakresie. Organy wykonujące własne ustawowe zadania nie działają wówczas jako podmioty przetwarzające QA10; organy otrzymujące dane w ramach konkretnego postępowania nie są odbiorcami w rozumieniu art. 4 pkt 9 RODO.

TikTok. Formularz w reklamie działa w aplikacji TikTok. Dane, które w nim wpiszesz, operator TikToka przetwarza także jako odrębny administrator, na zasadach własnej polityki prywatności i warunków usługi Lead Generation, a nie w imieniu QA10. Dla użytkowników z EOG są to, jako współadministratorzy, TikTok Technology Limited (Dublin, Irlandia) i TikTok Information Technologies UK Limited (Wielka Brytania). TikTok podaje, że może wykorzystać te dane m.in. do wstępnego wypełniania kolejnych formularzy, ale nie wykorzystuje odpowiedzi na pytania dodane przez reklamodawcę. Zasady TikToka opisuje Polityka prywatności TikTok.

Formularz przekazuje dane do serwera witryny, który wysyła powiadomienie e-mail. Treść zgłoszenia nie jest zapisywana przez formularz w osobnej bazie danych ani w jego logach. Trafia jednak do własnego serwera wysyłkowego Administratora (Postal), a następnie do skrzynki Google Workspace, dlatego nie oznacza to braku przechowywania danych. Dane dostępowe do serwera wysyłkowego pozostają na serwerze i nie są udostępniane przeglądarce. Nie stosujemy śledzenia otwarć ani kliknięć w wiadomościach.

Na stronie działa agent AI Q. Dane przetwarzane podczas rozmowy z Q opisuje strona Agent Q. Zgłoszenia z formularza nie są przekazywane przez ten formularz do modeli AI.

Informacje o aktualnych dostawcach i przetwarzaniu danych można uzyskać pod adresem hello@qa10.io.

7. Przekazywanie danych do państw trzecich

Funkcja serwerowa obsługująca formularz w Vercel działa w regionie fra1 (Frankfurt nad Menem, Niemcy, EOG). Własny serwer wysyłkowy Administratora wykorzystujący Postal działa w Warszawie, w Polsce (EOG); przez ten serwer dane nie są przekazywane poza EOG. Treści statyczne witryny mogą być dostarczane przez globalną sieć brzegową Vercel. Zgodnie z umową powierzenia Google dane w Google Workspace mogą być przetwarzane w każdym państwie, w którym Google lub jej dalsze podmioty przetwarzające utrzymują infrastrukturę. Dokumentacja Vercel Web Analytics nie wskazuje regionu przetwarzania danych statystycznych. Zgodnie z umową powierzenia Vercel jego główne centra przetwarzania znajdują się w USA, dlatego przyjmujemy, że dane statystyczne są przetwarzane w USA.

Do przekazania danych poza EOG może dojść u dostawców usług: Vercel Inc. (USA) i jej dalszych podmiotów przetwarzających, w tym przy statystykach odwiedzin, monitorowaniu usług i obsłudze wsparcia technicznego, a także u Google LLC (USA) i spółek z grupy Google działających jako dalsze podmioty przetwarzające, w tym przy utrzymaniu centrów danych, utrzymaniu usług i wsparciu technicznym. Dostęp personelu dostawców jest ograniczony do zakresu wynikającego z ich funkcji i zasad opisanych w ich umowach powierzenia.

Podstawy prawne tych przekazań (stan na 2026-11-09):

Decyzja stwierdzająca odpowiedni stopień ochrony (art. 45 RODO). Vercel Inc. i Google LLC figurują jako aktywni uczestnicy programu EU-U.S. Data Privacy Framework w oficjalnym wykazie Departamentu Handlu USA. Przekazywanie danych do tych spółek opiera się na decyzji wykonawczej Komisji (UE) 2023/1795 z 10 lipca 2023 r. Sąd Unii Europejskiej oddalił skargę na tę decyzję 3 września 2025 r. (T-553/23); odwołanie w sprawie C-703/25 P jest rozpatrywane przez Trybunał Sprawiedliwości.
Standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO). Umowa powierzenia Vercel (Data Processing Addendum, załącznik 3) włącza standardowe klauzule umowne zatwierdzone decyzją wykonawczą Komisji (UE) 2021/914 (moduł drugi: administrator – podmiot przetwarzający, oraz moduł pierwszy: administrator – administrator, dla danych, które Vercel przetwarza jako odrębny administrator). Umowa powierzenia Google (Cloud Data Processing Addendum) przewiduje stosowanie tych klauzul przy przekazaniach do dalszych podmiotów przetwarzających, jeżeli nie ma zastosowania mechanizm oparty na decyzji stwierdzającej odpowiedni stopień ochrony. Klauzule te pozostają podstawą przekazań także wtedy, gdyby decyzja 2023/1795 przestała obowiązywać.

Turnstile przekazuje sygnały techniczne i token weryfikacyjny do Cloudflare, Inc. (USA), co może wiązać się z przetwarzaniem poza EOG, w tym w USA. Cloudflare podaje w swojej Polityce prywatności, że w odniesieniu do transferów z EOG do USA korzysta z certyfikacji w ramach EU-U.S. Data Privacy Framework. To oświadczenie nie potwierdza lokalizacji każdej operacji Turnstile ani zabezpieczenia każdego dalszego przekazania danych.

Zgłoszenia z formularza w reklamie na TikToku są przechowywane na serwerach TikTok. TikTok podaje, że jego serwery znajdują się w różnych regionach, a lokalizacja zależy od miejsca rejestracji konta użytkownika. Przekazywanie tych danych poza EOG przez TikTok opisuje jego polityka prywatności.

O aktualne informacje o miejscach przetwarzania i podstawie konkretnego transferu, a także o kopię stosowanych dla niego zabezpieczeń, można wystąpić pod adresem hello@qa10.io.

8. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie podejmuje wobec Ciebie decyzji zautomatyzowanych w rozumieniu art. 22 RODO — decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na Ciebie, podejmowanych wyłącznie automatycznie.

Formularz przekazuje zapytanie do zespołu QA10. Nie tworzy automatycznej wyceny, zamówienia ani zobowiązania do zakupu. Zakres, cenę i termin projektu ustalamy indywidualnie.

9. Twoje prawa

Przysługują Ci następujące prawa:

dostęp do swoich danych oraz uzyskanie ich kopii (art. 15 RODO);
sprostowanie danych nieprawidłowych lub uzupełnienie danych niekompletnych (art. 16 RODO);
usunięcie danych — „prawo do bycia zapomnianym" (art. 17 RODO);
ograniczenie przetwarzania (art. 18 RODO);
przenoszenie danych (art. 20 RODO) — w odniesieniu do danych przetwarzanych w sposób zautomatyzowany na podstawie zgody lub umowy;
sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, w tym wobec marketingu bezpośredniego (art. 21 RODO);
wycofanie zgody w dowolnym momencie, jeżeli przetwarzanie opiera się na zgodzie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem (art. 7 ust. 3 RODO); zgodę na statystyki odwiedzin wycofasz przez link „Ustawienia prywatności” w stopce strony;
wniesienie skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, kontakt UODO.

Odpowiadamy na żądania bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. W razie potrzeby, ze względu na skomplikowany charakter żądania lub liczbę żądań, termin można przedłużyć o kolejne dwa miesiące. Informujemy o przedłużeniu i jego przyczynach w terminie miesiąca od otrzymania żądania (art. 12 ust. 3 RODO). Żądania prosimy kierować na adres hello@qa10.io.

10. Bezpieczeństwo danych

Formularz weryfikuje wymagane pola, rozmiar przesyłanego zgłoszenia i źródło żądania oraz ogranicza powtarzające się próby wysyłki. Treść zgłoszenia jest zabezpieczana przed wykonaniem jako kod HTML w powiadomieniu e-mail. Publiczna witryna korzysta z połączenia HTTPS.

Potwierdzenie wysyłki oznacza przyjęcie wiadomości przez własny serwer wysyłkowy Administratora (Postal), a nie potwierdzenie doręczenia do skrzynki ani odczytania wiadomości. Gdy nie można potwierdzić przyjęcia, formularz zachowuje wpisane dane i umożliwia kontakt e-mailem.

11. Pliki cookies i podobne technologie

Zasady stosowania plików cookies i podobnych technologii opisane są w odrębnym dokumencie: Polityka cookies. Serwis qa10.io nie stosuje śledzących ani marketingowych plików cookies. Statystyki odwiedzin uruchamiamy wyłącznie po Twojej zgodzie; nie korzystają one z plików cookies.

12. Zmiany Polityki

Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki w przypadku zmian obowiązującego prawa, praktyk przetwarzania lub zakresu świadczonych usług. O istotnych zmianach poinformujemy poprzez opublikowanie zaktualizowanej wersji w serwisie, a w uzasadnionych przypadkach — również poprzez bezpośrednią komunikację do osób, których dane dotyczą.

13. Kontakt

We wszelkich sprawach dotyczących przetwarzania danych osobowych:

e-mail: hello@qa10.io
telefon: +48 880 839 850
adres korespondencyjny: QA10 sp. z o.o., ul. Mariacka 37, 40-014 Katowice.