OrettaPL / ENZacznij za darmo

Polityka prywatności Oretta by HEHE.studio

Ostatnia aktualizacja: 29 października 2026

1. Kto jest kim

Oretta to program do rejestrowania czasu pracy dla małych studiów. Są tu dwie role i warto je rozróżnić.

  • Studio (Twój pracodawca lub zleceniodawca) jest administratorem danych, które wpisujesz do Oretty: wpisów czasu, projektów, klientów, stawek, kosztów osób. Oretta przetwarza je w imieniu studia jako podmiot przetwarzający, na podstawie umowy powierzenia danych. Z pytaniami o te dane, w tym o prawa z pkt 8, zwróć się najpierw do swojego studia. Oretta nie może odpowiedzieć na żądania dotyczące danych studia bez jego polecenia.
  • HEHE.studio jest administratorem danych potrzebnych do prowadzenia konta i rozliczeń: adres e-mail i imię osoby, która zakłada lub administruje studiem, dane do faktur, korespondencja, logi bezpieczeństwa oraz dane odwiedzających stronę oretta.app.

Administrator: Oretta by HEHE.studio, prowadzone przez HEHE.studio Marcin Michalak, jednoosobowa działalność gospodarcza wpisana do CEIDG, ul. Na Miasteczku 12C/255, 61-144 Poznań, Polska, NIP PL7773193269 (7773193269). Kontakt w sprawach danych: contact@oretta.app. Inspektor ochrony danych: nie wyznaczono.

2. Jakie dane i po co

Dane Po co Podstawa prawna (RODO)
E-mail, imię, rola, stan konta; skrót hasła (hasło przechowuje i haszuje usługa logowania Supabase) Konto i logowanie Dla HEHE.studio jako administratora (konto administratora studia): art. 6 ust. 1 lit. b (umowa). Dla osób dodanych przez studio: administratorem jest studio i to ono określa podstawę prawną
Wpisy czasu (projekt, zadanie, tagi, opis, początek i koniec), klienci, projekty, budżety, stawki godzinowe Działanie programu: raporty, budżety, eksport Jak wyżej; po stronie studia
Koszty osób (koszt godzinowy albo, opcjonalnie, miesięczna pensja), wpisywane tylko, jeśli studio zechce, i widoczne tylko dla administratorów studia Liczenie marży w raportach Jak wyżej. To dane o wynagrodzeniu: nie szczególna kategoria z art. 9, ale wrażliwe w praktyce
Tokeny API (osobiste, do Claude i rozszerzenia) Uwierzytelnianie klienta API Jak wyżej
Logo studia, ustawienia, token Slacka studia (gdy admin podłączy Slacka) Raporty PDF z logo, dzienny raport w Slacku Jak wyżej
Adres IP, nagłówki żądań, logi funkcji i błędów Działanie, bezpieczeństwo, diagnostyka Art. 6 ust. 1 lit. f (nasz interes: bezpieczeństwo i stabilność usługi)
Sygnały przeglądarki na stronie rejestracji (Vercel BotID) Ochrona formularza rejestracji przed botami Art. 6 ust. 1 lit. f RODO (bezpieczeństwo usługi)
Dane do faktur (w tym NIP lub numer VAT UE), historia płatności Rozliczenia, rachunkowość Art. 6 ust. 1 lit. b i c (obowiązki podatkowe i księgowe)
Korespondencja (e-mail do nas) Odpowiedź, wsparcie Art. 6 ust. 1 lit. f
Statystyki odwiedzin stron publicznych (DataFast, patrz niżej) Wiedza, które strony i źródła ruchu działają Art. 6 ust. 1 lit. f (nasz interes: rozwój strony)

Czego nie zbieramy: zrzutów ekranu, nagrań, śledzenia aktywności, lokalizacji, wykrywania bezczynności. Oretta liczy godziny, nie obserwuje ludzi. W aplikacji studia nie działa żadna analityka ani skrypty reklamowe; na stronach publicznych działa wyłącznie analityka bez cookies opisana niżej.

Analityka strony. Na stronach publicznych (strona główna, blog, changelog, logowanie, rejestracja, strony prawne) liczymy odwiedziny narzędziem DataFast w trybie bez cookies. Nie dotyczy to aplikacji studia (adresy /<studio>/…) ani linku z maila (/auth/confirm): zdarzenia przechodzą przez nasz serwer (/api/events), który przekazuje do DataFast tylko te ze stron publicznych i usuwa odnośnik (referrer) z aplikacji. DataFast otrzymuje adres strony, odnośnik, przeglądarkę, system, rozmiar ekranu, język, strefę czasową oraz adres IP, z którego wylicza kraj i pseudonimowy identyfikator odwiedzającego (skrót IP, przeglądarki, domeny i soli zmienianej co około 24 godziny, więc wizyt z różnych dni nie da się połączyć). Skrypt nie ustawia cookies ani nie zapisuje niczego w localStorage; w sessionStorage karty trzyma identyfikator bieżącej sesji, który znika po zamknięciu karty. Retencja: 24 miesiące, potem usuwamy starsze dane; wcześniej na żądanie. Podstawa: art. 6 ust. 1 lit. f RODO.

Ochrona rejestracji (Vercel BotID). Tylko na stronie rejestracji (/signup) skrypt Vercel BotID sprawdza w przeglądarce, czy formularz wysyła człowiek: zbiera techniczne sygnały przeglądarki i urządzenia i przekazuje je z wysłanym formularzem do Vercel, który ocenia, czy to bot. Wynik służy wyłącznie do przyjęcia albo odrzucenia rejestracji. Podstawa: art. 6 ust. 1 lit. f RODO (nasz interes: ochrona usługi przed automatycznym zakładaniem kont).

Rozszerzenie Chrome komunikuje się tylko z adresem Oretty studia (domyślnie oretta.app; inny adres tylko, gdy sam na niego zezwolisz). Przycisk w kartach Trello jest domyślnie wyłączony. Po włączeniu i po kliknięciu czyta z otwartej karty tytuł, nazwę tablicy i link; do Oretty trafia wyłącznie tytuł, jako opis wpisu. Nazwa tablicy i link zostają w przeglądarce.

Claude (MCP). Oretta niczego nie wysyła do Anthropic. Jeśli sam podłączysz swojego klienta Claude do Oretty osobistym tokenem, dane, o które zapytasz, trafiają do Twojego klienta Claude na Twoje żądanie i podlegają zasadom Anthropic wobec Ciebie. Token daje dostęp w granicach Twojej roli.

3. Komu przekazujemy dane

Podmioty przetwarzające wymieniamy na liście podmiotów przetwarzających: Vercel (w tym BotID na stronie rejestracji), Supabase, Cloudflare R2, GitHub Actions, DataFast tylko dla stron publicznych; Slack tylko po podłączeniu przez studio. Nie sprzedajemy danych i nie używamy ich do reklam ani do trenowania modeli. Dane możemy ujawnić organom, gdy wymaga tego prawo.

4. Gdzie są dane

Baza danych: Supabase, Irlandia (eu-west-1). Funkcje aplikacji: Vercel, Dublin (dub1). Kopie zapasowe: Cloudflare R2, zaszyfrowane przed wysłaniem. Baza danych studia jest przechowywana w UE. Poza EOG dane mogą trafić w tych miejscach: sieć dostarczania treści i logi Vercel działają globalnie, więc adres IP i nagłówki mogą przejść przez serwery poza UE; statystyki odwiedzin stron publicznych przetwarza DataFast (Singapur, infrastruktura głównie w USA); zadanie kopii zapasowej działa na maszynach GitHub (Actions) bez przypiętego regionu, a zrzut bazy jest tam w pamięci, zanim zostanie zaszyfrowany; Slack, jeśli studio go podłączy, działa na umowie studia.

Przekazywanie poza EOG. Gdy dostawca przetwarza dane poza EOG, jego umowa powierzenia danych (DPA) opisuje taki mechanizm transferu:

  • Vercel: DPA włącza SCC z 2021 r. (decyzja 2021/914) dla transferów z EOG; nie powołuje się na Data Privacy Framework.
  • Supabase: DPA włącza SCC (moduł drugi, administrator – podmiot przetwarzający).
  • Cloudflare: DPA włącza SCC; Cloudflare jest też certyfikowany w EU-US Data Privacy Framework.
  • Slack (tylko gdy studio go podłączy, to umowa studia ze Slackiem): SCC i DPF według strony Slacka.
  • DataFast (tylko statystyki stron publicznych): JustShipIt Pte. Ltd., Singapur; infrastruktura „w większości poza UE, w tym w USA”. DPA nie włącza własnych SCC, powołuje się na zgodność podprocesorów, „w tym SCC tam, gdzie to właściwe”.

Źródła i daty dostępu: sekcja „Źródła”.

5. Jak długo

  • Dane studia: do końca umowy, potem zgodnie z umową powierzenia danych (eksport, usunięcie). Konto osoby można wyłączyć („aktywne” odznaczone), co zostawia jej historię w raportach. Studio lub osobę usuwamy na żądanie w ciągu 30 dni.
  • Kopie zapasowe: 8 ostatnich tygodniowych zrzutów (około 8 tygodni) w R2 i codzienne kopie Supabase przez 7 dni. Usunięte dane znikają z kopii w tym czasie.
  • Logi: do 30 dni; Vercel i Supabase mogą usuwać je wcześniej, zgodnie z ustawieniami planu.
  • Statystyki odwiedzin (DataFast): 24 miesiące.
  • Korespondencja: 3 lata od ostatniej wiadomości.
  • Dane rozliczeniowe: 5 lat od końca roku podatkowego (przepisy podatkowe i o rachunkowości).

6. Pliki cookie

Używamy wyłącznie plików niezbędnych lub funkcjonalnych, bez cookies analitycznych i reklamowych (analityka stron publicznych działa bez cookies, patrz sekcja 2):

Cookie Do czego Czas
Sesja logowania (ustawia usługa logowania Supabase; nazwa zaczyna się od sb-) Utrzymanie zalogowania wg ustawień sesji Supabase
lang Zapamiętany język (PL/EN), ustawiany po wybraniu 1 rok
theme Zapamiętany motyw jasny/ciemny, ustawiany po wybraniu 1 rok
Stan OAuth Slacka Ochrona podczas podłączania Slacka, tylko dla admina 10 minut

Na stronie rejestracji działa też skrypt Vercel BotID (sekcja 2), który odczytuje sygnały przeglądarki tylko w celu ochrony formularza.

7. Bezpieczeństwo

Dostęp do danych jest rozdzielony na poziomie bazy danych (Row Level Security): każde studio widzi tylko swoje dane, osoba widzi swoje wpisy, lider zespołu zespół, a stawki i koszty tylko administrator. Tokeny API są w bazie przechowywane jako skrót SHA-256. Kopie zapasowe są szyfrowane (age) przed wysłaniem. Połączenia idą po HTTPS. Nie mamy certyfikatu bezpieczeństwa (np. ISO 27001, SOC 2) i nie twierdzimy, że go mamy.

8. Twoje prawa

Masz prawo do dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu (art. 15–21 RODO), a tam, gdzie opieramy się na zgodzie, do jej wycofania. Prawo sprzeciwu. Możesz w każdej chwili sprzeciwić się przetwarzaniu Twoich danych na podstawie naszego prawnie uzasadnionego interesu (statystyki odwiedzin, bezpieczeństwo, korespondencja), pisząc na contact@oretta.app.

Administrator studia pobierze wszystkie dane studia jednym plikiem ZIP z plikami CSV (Eksport w panelu). Skargę możesz złożyć do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, Warszawa). Nie podejmujemy decyzji w sposób zautomatyzowany, w tym profilowania.

9. Zmiany

O istotnych zmianach powiadomimy administratorów studiów mailem. Aktualna wersja jest na oretta.app/privacy; poprzednie wersje prześlemy na prośbę wysłaną na contact@oretta.app.

Źródła (dostęp 2026-10-27)

v1.8.0