Polityka prywatności

Administrator danych

Administratorem danych jest wydawca One For All, osoba fizyczna działająca w celach niezawodowych (szczegóły: Nota prawna).

W sprawie wszelkich pytań lub żądań dotyczących twoich danych napisz na adres contact@oneforall-tools.com.

Narzędzia działające w przeglądarce

Większość narzędzi (PDF, obrazy, wideo i audio, tekst, narzędzia dla programistów, projektowanie, kalkulatory, bezpieczeństwo) przetwarza twoje pliki i teksty bezpośrednio w przeglądarce, za pomocą WebAssembly i Web Workers. Twoje pliki nie są przesyłane: nigdy nie trafiają na nasz serwer, więc nie możemy ich zobaczyć, przechowywać ani udostępniać.

Do działania narzędzia te pobierają z naszego własnego serwera swój kod, a niektóre także model (rozpoznawanie tekstu, transkrypcja, usuwanie tła). Te pobrane pliki nie zawierają żadnych informacji o tobie. Kilka ustawień jest zapamiętywanych wyłącznie w twojej przeglądarce; ich listę zawiera dokument Polityka cookies.

Narzędzia korzystające z naszego serwera

Kilka narzędzi nie może działać w całości w przeglądarce. Każde z nich informuje o tym w swoim obszarze roboczym. Oto dokładnie, co wysyłają i co przechowują:

• Podgląd Open Graph, analiza SEO i sprawdzanie niedziałających linków: wpisany przez ciebie adres internetowy jest wysyłany na nasz serwer, który sam pobiera tę stronę we własnym imieniu (a także, w przypadku podglądu, jej obraz do udostępniania, a w przypadku sprawdzania linków – każdy link znaleziony na stronie). Sprawdzane strony widzą nasz serwer, a nie ciebie. Nie przechowujemy adresu, strony ani wyników.
• Przelicznik walut: nasz serwer pobiera referencyjne kursy walut publikowane przez Europejski Bank Centralny i przechowuje je przez 6 godz. Twoje kwoty są przeliczane w przeglądarce i nigdy nie są wysyłane.
• Jakie mam IP: wyświetlany adres to ten, który nasz serwer widzi dla twojego połączenia. Pojawia się tylko na stronie, narzędzie nigdy go nie przechowuje ani nie zapisuje w logach, a jego przybliżony kraj i operator sieci są ustalane na naszym własnym serwerze na podstawie wolnych baz danych DB-IP, bez odpytywania jakichkolwiek podmiotów trzecich.
• Test prędkości internetu: twoja przeglądarka wymienia losowe dane z naszym serwerem, aby zmierzyć twoje połączenie. Nic nie jest przechowywane poza zwykłym licznikiem chroniącym przed nadużyciami, opartym na skrócie twojego adresu IP (zob. niżej), który ogranicza liczbę testów na godzinę.

Jak każde żądanie, mogą one zostać zapisane w logach technicznych opisanych poniżej.

Twoje konto

Konto jest potrzebne tylko do funkcji, które przechowują dane: krótkich linków, dynamicznych kodów QR, stron z linkami, stron internetowych i statystyk kliknięć. W związku z twoim kontem przechowujemy:

• twój adres e-mail;
• twoje hasło, wyłącznie w postaci skrótu Argon2id: nigdy nie znamy ani nie przechowujemy samego hasła;
• preferowany język, abyśmy mogli pisać do ciebie w tym języku;
• daty utworzenia konta, ostatniej zmiany i potwierdzenia adresu e-mail.

Nic więcej: żadnego imienia i nazwiska, adresu IP ani informacji o urządzeniu. Gdy zmieniasz adres e-mail, nowy adres jest przechowywany wraz z linkiem potwierdzającym do czasu, aż go potwierdzisz lub link wygaśnie.

Przy rejestracji lub zmianie adresu e-mail sprawdzamy, czy adres nie pochodzi z usługi jednorazowych adresów e-mail (na podstawie listy przechowywanej na naszym serwerze) i czy jego domena może odbierać pocztę. W tym celu nasz serwer odpytuje DNS wyłącznie o serwery poczty domeny (część po znaku @), a jeśli ich nie ma, o adres samej domeny, nigdy o pełny adres e-mail. Z tej weryfikacji nic nie jest przechowywane.

Linki wysyłane e-mailem są jednorazowe, a z każdego z nich przechowujemy tylko skrót (SHA-256). Link potwierdzający (nowe konto lub nowy adres) jest ważny przez 24 godziny, a link do resetowania hasła – przez 1 godzinę.

Konto, którego adres e-mail nigdy nie został potwierdzony, jest usuwane automatycznie, gdy jest starsze niż 7 dni.

Możesz w każdej chwili usunąć konto w jego ustawieniach. Usunięcie jest natychmiastowe i ostateczne: konto, sesje, linki, kody QR, strona z linkami, awatar, strona internetowa (wraz ze zdjęciami i wiadomościami) i statystyki zostają skasowane.

Sesje logowania

Gdy korzystasz ze stron logowania lub rejestracji, plik cookie sesji podtrzymuje twoją sesję logowania i chroni formularze (szczegóły: Polityka cookies). Na naszym serwerze przechowujemy tylko skrót (SHA-256) identyfikatora sesji, numer twojego konta, token bezpieczeństwa formularzy oraz daty sesji. Żadnego adresu IP ani informacji o przeglądarce.

Sesja wygasa, jeśli przez 2 godziny nie będzie żadnej aktywności, i trwa najwyżej 30 dni. Jeśli wybierzesz zapamiętanie logowania, trwa 30 dni. Wylogowanie natychmiast ją kończy.

Krótkie linki, kody QR i strony z linkami

Dla każdego krótkiego linku, dynamicznego kodu QR lub linku na twojej stronie z linkami przechowujemy adres docelowy, nadany przez ciebie tytuł, krótki kod i wybrane opcje (hasło, przechowywane wyłącznie w postaci skrótu Argon2id; data wygaśnięcia; limit kliknięć; włączony lub wyłączony) wraz z datami utworzenia i modyfikacji.

Dla twojej strony z linkami: jej adres, wyświetlaną nazwę, krótki opis, awatar, motyw oraz informację, czy wyszukiwarki mogą ją indeksować. Awatar jest ponownie kodowany na naszym serwerze jako obraz 256 × 256, co usuwa jego metadane (lokalizację, model aparatu…).

Strona z linkami i jej linki są z natury publiczne: każdy, kto zna adres, może je zobaczyć. Prosimy wyszukiwarki, aby nie indeksowały twojej strony, chyba że zdecydujesz inaczej. Obrazy kodów QR są generowane w twojej przeglądarce i nie są przechowywane.

Strony internetowe

W przypadku twojej strony internetowej przechowujemy jej treść (teksty, dane kontaktowe, godziny otwarcia, linki i przesłane przez ciebie zdjęcia), ustawienia, opublikowaną wersję oraz, przez 90 dni, poprzednie opublikowane wersje. Zdjęcia są zmniejszane w twojej przeglądarce, a następnie konwertowane na naszym serwerze, co usuwa ich metadane (miejsce, urządzenie).

Strona internetowa jest z natury publiczna: dane firmy, które na niej publikujesz (nazwa, adres, numer telefonu, informacje prawne), może zobaczyć każdy, a wyszukiwarki mogą ją indeksować, jeśli na to pozwolisz i jeśli spełnia ona nasze warunki.

Gdy odwiedzający pisze do ciebie przez formularz kontaktowy, przechowujemy jego wiadomość, imię i nazwisko oraz podane przez niego dane kontaktowe – w postaci zaszyfrowanej, maksymalnie przez 90 dni – aby udostępnić ci je na twoim koncie. Nie czytamy ich, chyba że zgłosisz nam wiadomość. Wykryte numery kart płatniczych, numery IBAN i kody jednorazowe są maskowane przed zapisaniem wiadomości. Aby umożliwić ci zablokowanie nadawcy, przechowujemy również nieodwracalny skrót identyfikujący nadawcę.

Statystyki twojej strony internetowej (wizyty, kliknięcia przycisków, otrzymane wiadomości) to sumy dzienne, bez plików cookie i adresów IP. Są przechowywane przez 13 miesięcy.

Zgodnie z wymogami, jakie francuska ustawa o zaufaniu do gospodarki cyfrowej (LCEN) nakłada na dostawców hostingu, przy każdym utworzeniu, zmianie, publikacji lub usunięciu twojej strony internetowej przechowujemy przez rok datę i użyty adres IP, a także port źródłowy, jeśli dociera on do naszego serwera. Dane te są szyfrowane kluczem publicznym od chwili zapisania: klucz, który pozwala je odczytać, nie znajduje się na naszym serwerze, a dane są odszyfrowywane wyłącznie na żądanie organu sądowego.

Jeśli twoja strona internetowa zostanie zgłoszona lub stanie się przedmiotem decyzji moderacyjnej, przechowujemy jej zamrożoną kopię (treść i zdjęcia) do czasu decyzji, a następnie przez 12 miesięcy lub dłużej, jeśli zwróci się o to właściwy organ.

Gdy wpisujesz adres w edytorze, nasz serwer przekazuje go, bez Twojego adresu IP, do francuskiej krajowej bazy adresów (Base Adresse Nationale, IGN) lub, poza Francją, do usługi Photon (komoot, dane OpenStreetMap), aby podpowiadać adresy. Mapa wyświetlana na Twojej stronie to obraz tworzony przez nasz serwer z danych OpenStreetMap: odwiedzający nie łączą się z żadną usługą zewnętrzną.

Statystyki kliknięć

Gdy ktoś otwiera jeden z twoich krótkich linków, kodów QR lub przycisków strony z linkami, liczymy wizytę bez identyfikowania odwiedzającego. Przechowujemy tylko dzienne sumy dla każdego linku:

• liczbę kliknięć dziennie, przy czym roboty i podglądy linków są liczone osobno;
• stronę odsyłającą, wyłącznie jako nazwę domeny (na przykład example.com), nigdy pełny adres;
• rodzaj urządzenia (telefon, tablet lub komputer) i rodzinę przeglądarki (Chrome, Safari, Firefox…);
• kraj, jako kod dwuliterowy, tylko jeśli dostarcza go zaufana sieć dostarczania treści umieszczona przed naszym serwerem; sami nigdy nie ustalamy kraju na podstawie adresu IP. W przeciwnym razie kraj jest zapisywany jako „nieznany”.

Nigdy nie przechowujemy adresu IP odwiedzającego, pełnego identyfikatora jego przeglądarki ani pełnego adresu strony odsyłającej, a nic nie pozwala powiązać dwóch kliknięć z tą samą osobą. Aby zapobiec sztucznemu zawyżaniu liczb, odwiedzający jest liczony tylko ograniczoną liczbę razy na minutę dla tego samego linku: służy do tego tymczasowy licznik oparty na skrócie z tajnym kluczem (HMAC) adresu IP, przy czym adresy IPv6 są grupowane według sieci /64. Licznik nie zawiera żadnego adresu IP i wygasa po minucie.

Statystyki są przechowywane, dopóki istnieje link, i usuwane razem z nim lub z twoim kontem.

Pomiar ruchu na stronie

Aby wiedzieć, z których narzędzi korzystają użytkownicy, i dbać o szybkie działanie strony, liczymy odsłony: dla każdego dnia liczbę wizyt w podziale na podstrony i języki, liczbę odpowiedzi zakończonych błędem oraz czas odpowiedzi naszego serwera. Wizyty automatyczne (roboty, podglądy linków) są liczone osobno na podstawie identyfikatora przeglądarki, który nie jest przechowywany.

Ten pomiar nie korzysta z plików cookie, identyfikatorów ani adresów IP i nigdy nie zapisuje pełnego adresu odwiedzanej podstrony ani strony, z której przychodzisz: nie da się rozpoznać żadnego odwiedzającego ani śledzić go między stronami. Surowe liczniki z bieżącej godziny są łączone w sumy dzienne, a następnie usuwane; sumy te są przechowywane przez 25 miesięcy.

Zgłoszenia

Gdy zgłaszasz link, stronę z linkami lub stronę internetową przez nasz formularz zgłoszeniowy, przechowujemy twoje zgłoszenie (adres, którego dotyczy, rodzaj problemu i twoje wyjaśnienie), a jeśli je podasz, także twoje imię i nazwisko oraz adres e-mail. Służą nam one do rozpatrzenia zgłoszenia i poinformowania cię o naszej decyzji. Nigdy nie przekazujemy tych danych osobie, która utworzyła treść, chyba że wymaga tego prawo. Zgłoszenia są usuwane 12 miesięcy po ich rozpatrzeniu.

Zapobieganie nadużyciom i bezpieczeństwo

Aby chronić stronę przed atakami siłowymi (brute force) i nadużyciami (próby logowania, rejestracje, tworzenie linków, narzędzia serwerowe), liczymy żądania w krótkich przedziałach czasu. Odwiedzający jest identyfikowany wyłącznie za pomocą skrótu z tajnym kluczem (HMAC-SHA-256) jego adresu IP, przy czym adresy IPv6 są grupowane według sieci /64; sam adres IP nigdy nie jest przechowywany. W zależności od czynności liczniki te istnieją od minuty do 24 godzin.

Aby blokować phishing i złośliwe oprogramowanie, nasz serwer regularnie pobiera publiczne listy niebezpiecznych stron (URLhaus od abuse.ch oraz OpenPhish) i porównuje z nimi adresy docelowe linków na naszym własnym serwerze. Do tych usług nie są wysyłane żadne informacje o tobie ani o twoich linkach.

Linki, kody QR, strony z linkami, strony internetowe i konta wykryte lub zgłoszone jako stanowiące nadużycie mogą zostać zawieszone lub usunięte (szczegóły: Regulamin). Przechowujemy wtedy datę i powód decyzji, a także wyjaśniamy ci ją e-mailem. Krótki kod zawieszonego lub usuniętego linku pozostaje zarezerwowany, aby nie można go było użyć ponownie; przechowujemy tylko ten kod i datę zawieszenia. Każda decyzja jest zapisywana w wewnętrznym rejestrze moderacji (data, objęty nią element, powód, autor decyzji).

E-maile

Wysyłamy e-maile wyłącznie w sprawach twojego konta: potwierdzenie adresu, resetowanie hasła, zmiana adresu oraz powiadomienia o bezpieczeństwie (zmiana hasła lub adresu, próba rejestracji na adres, który ma już konto). Żadnego newslettera ani reklam. Są one wysyłane za pośrednictwem naszego dostawcy poczty e-mail, który przetwarza twój adres i treść wiadomości wyłącznie w celu ich doręczenia.

Jeśli napiszesz do nas na adres contact@oneforall-tools.com, twój adres i wiadomość wykorzystamy wyłącznie do tego, aby ci odpowiedzieć.

Logi techniczne

Jak każda strona internetowa, nasza działa na serwerach WWW, które prowadzą techniczny log żądań: adres IP, data i godzina, żądany adres, kod odpowiedzi, strona odsyłająca i identyfikator przeglądarki. Ten log przechowuje nasz dostawca hostingu, OVH SAS, przez okres, który sam ustala; korzystamy z niego wyłącznie do zapewnienia bezpieczeństwa strony i usuwania problemów, nigdy do statystyk ani profilowania. Tajne linki, które wysyłamy e-mailem, nigdy się w nim nie pojawiają: ich tajna część jest przesyłana wyłącznie z formularzem, który wysyłasz, nigdy w adresie strony.

Podstawy prawne

• Wykonanie zawartej z tobą umowy (Regulamin): twoje konto, sesje, linki, kody QR, strona z linkami, strona internetowa i jej wiadomości, statystyki, e-maile dotyczące konta oraz narzędzia serwerowe, z których zdecydujesz się korzystać.
• Nasz prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa strony i ochronie przed nadużyciami: liczniki żądań, kontrole antyphishingowe, moderacja i logi techniczne.
• Obowiązek prawny: przechowywanie danych identyfikacyjnych wymaganych od dostawców hostingu oraz odpowiadanie na żądania właściwych organów przy użyciu danych, którymi dysponujemy.

Nie wykorzystujemy twoich danych do celów reklamowych ani do profilowania, a kilka elementów przechowywanych w twojej przeglądarce nie wymaga twojej zgody, co wyjaśnia dokument Polityka cookies.

Jak długo przechowujemy dane

• Konto: do czasu jego usunięcia.
• Konto nigdy niepotwierdzone: 7 dni.
• Linki wysyłane e-mailem: 24 godziny (potwierdzenie), 1 godzina (resetowanie hasła) lub do czasu użycia.
• Sesje: 2 godziny bez aktywności, maksymalnie 30 dni.
• Linki, kody QR, strona z linkami, awatar i statystyki kliknięć: do czasu, aż je usuniesz lub usuniesz konto.
• Kod usuniętego krótkiego linku (końcówka jego adresu): zarezerwowany wyłącznie dla ciebie przez 30 dni (jeśli usuniesz konto, w tym czasie będzie zablokowany dla wszystkich), aby nikt inny nie mógł przejąć już udostępnionych przez ciebie linków i kodów QR. Następnie, podobnie jak w przypadku nazw stron z linkami, które nie są już używane, przechowujemy bezterminowo jedynie skrót (HMAC), z którego nie da się odtworzyć kodu: informuje nas on tylko, że kod był już używany, a jeśli ktoś zajmie go ponownie, przez 7 dni odwiedzający będą najpierw potwierdzać adres docelowy. W przypadku nazwy strony z linkami przechowujemy też skrót identyfikujący konto, które jej używało, dopóki to konto istnieje: jest on usuwany wraz z usunięciem konta.
• Strona internetowa: do czasu, aż ją usuniesz lub usuniesz konto; poprzednie opublikowane wersje: 90 dni.
• Wiadomości otrzymane przez twoją stronę internetową: 90 dni.
• Statystyki strony internetowej: 13 miesięcy.
• Dane identyfikujące utworzenie i zmiany twojej strony internetowej (adres IP i, jeśli jest znany, port): 1 rok.
• Zamrożone kopie zgłoszonej strony internetowej: do czasu decyzji, a następnie 12 miesięcy.
• Rejestr moderacji: 12 miesięcy.
• Statystyki ruchu (anonimowe sumy dzienne): 25 miesięcy.
• Zgłoszenia: 12 miesięcy od ich rozpatrzenia.
• Wiadomości wysłane na nasz adres kontaktowy: przez czas potrzebny do rozpatrzenia twojej sprawy, a następnie maksymalnie 12 miesięcy od naszej ostatniej odpowiedzi.
• Liczniki żądań: od minuty do 24 godzin.
• Logi techniczne: przechowuje je nasz dostawca hostingu, OVH SAS, przez okres, który sam ustala.
• Kopie zapasowe (baza danych i pliki, na wypadek awarii): 14 dni, potem są usuwane. Usunięte dane znikają więc także z kopii zapasowych najpóźniej po 14 dniach.

Dane, które wygasły, nie mogą być już wykorzystane. Są usuwane przez automatyczne czyszczenie uruchamiane w miarę korzystania ze strony, dlatego mogą pozostać zapisane nieco dłużej, niż wskazują powyższe okresy.

Kto otrzymuje twoje dane

Nigdy nie sprzedajemy ani nie wynajmujemy twoich danych i nie udostępniamy ich do celów reklamowych. Przetwarzają je wyłącznie ci dostawcy usług, w naszym imieniu i w powyższych celach:

• nasz dostawca hostingu (OVH SAS), który obsługuje serwer i przechowuje bazę danych;
• nasz dostawca poczty e-mail, w celu doręczania e-maili dotyczących konta;

Dane mogą być również ujawniane organom władzy publicznej, gdy wymaga tego prawo.

Przekazywanie danych poza Unię Europejską

Wybieramy dostawców hostingu i poczty e-mail, którzy przechowują dane w Unii Europejskiej. Jeśli to się zmieni, poinformujemy o tym w tej polityce i wskażemy zastosowane zabezpieczenia.

Twoje prawa

Na podstawie RODO masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii;
• ich sprostowania: w ustawieniach konta możesz zmienić adres e-mail, hasło i język, a swoje linki i stronę z linkami możesz edytować w każdej chwili;
• ich usunięcia: usunięcie konta w ustawieniach od razu kasuje wszystko, co jest z nim powiązane;
• otrzymania przekazanych nam danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego (przenoszenie danych);
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie oraz żądania ograniczenia przetwarzania;
• określenia wytycznych dotyczących losu twoich danych po twojej śmierci (prawo francuskie).

Aby skorzystać z tych praw, napisz na adres contact@oneforall-tools.com, najlepiej z adresu przypisanego do twojego konta. Odpowiadamy w ciągu miesiąca. W razie uzasadnionych wątpliwości co do twojej tożsamości możemy poprosić cię o jej potwierdzenie.

Jeśli uważasz, że twoje prawa nie są przestrzegane, możesz złożyć skargę do francuskiego organu ochrony danych, CNIL (Commission nationale de l’informatique et des libertés, www.cnil.fr), lub do organu nadzorczego w kraju, w którym mieszkasz.

Jak chronimy twoje dane

• szyfrowane połączenia (HTTPS z HSTS) i rygorystyczne nagłówki bezpieczeństwa, w tym Content Security Policy (CSP);
• hasła haszowane algorytmem Argon2id i sprawdzane z listą popularnych haseł;
• identyfikatory sesji i tajna część linków wysyłanych e-mailem przechowywane wyłącznie jako skróty SHA-256 i nigdy nieumieszczane w adresie strony; adresy IP nigdy nie są przechowywane w naszej bazie danych w postaci jawnej: występują tylko jako skróty z tajnym kluczem w licznikach żądań oraz, w przypadku stron internetowych, zapieczętowane kluczem publicznym w rejestrze danych identyfikacyjnych;
• odizolowane narzędzia serwerowe: strony internetowe są pobierane przez komponent, który odrzuca adresy prywatne i wewnętrzne, a przesłane przez ciebie zdjęcia są sprawdzane, po czym ponownie kodowane w osobnym procesie;
• minimalny zakres zbieranych danych: anonimowy pomiar ruchu bez plików cookie i adresów IP; żadnych reklam ani śledzenia.

Zmiany tej polityki

Aktualizujemy tę politykę, gdy strona się zmienia; data na górze strony wskazuje obowiązującą wersję. Jeśli zmiana istotnie wpływa na sposób wykorzystania twoich danych, poinformujemy o niej posiadaczy kont e-mailem, zanim zacznie obowiązywać.