Polityka prywatności

1. Kim jesteśmy

QA Spider („my”) świadczy usługi automatycznego testowania oprogramowania dla aplikacji internetowych. Ta polityka obejmuje stronę QA Spider i panel QA Spider. W każdej sprawie dotyczącej prywatności lub aby skorzystać z opisanych poniżej praw, napisz na [email protected].

2. Co zbieramy

Zbieramy tylko to, czego usługa potrzebuje do działania. Konkretnie:

• Dane konta — Twoje imię i nazwisko, adres e-mail oraz zahaszowane hasło (nigdy nie przechowujemy hasła w czytelnej postaci). Jeśli logujesz się przez Google lub GitHub, otrzymujemy od tego dostawcy Twoje imię i nazwisko, e-mail i awatar.
• Dane przestrzeni roboczej — nazwa Twojej organizacji, członkowie zespołu i ich role oraz wysyłane przez Ciebie zaproszenia.
• Konfiguracja projektu — adresy URL aplikacji, które prosisz nas przetestować, zdefiniowane przez Ciebie środowiska oraz dane logowania kont testowych, które zdecydujesz się zapisać, aby nasze testy mogły się zalogować.
• Dane uwierzytelniające integracji — tokeny API lub adresy webhooków, które podajesz, aby połączyć system śledzenia błędów lub narzędzie czatu.
• Dostęp do Google Search Console — tylko jeśli zdecydujesz się go połączyć: token dostępu tylko do odczytu do Twojego konta Google (przechowywany w formie zaszyfrowanej), adres e-mail tego konta i wybrana przez Ciebie usługa w Search Console. Następnie odczytujemy skuteczność tej usługi w wyszukiwarce (zapytania, strony, kliknięcia, wyświetlenia i średnią pozycję), informację, które jej strony Google zaindeksował, oraz które mapy witryny zostały dla niej zgłoszone, aby pokazać to w Twoim panelu. Odczytujemy też tytuły, nagłówki, tekst i linki do 30 Twoich publicznych stron, aby proponować ulepszenia i linki wewnętrzne. W sekcji Boost SEO „Dlaczego strony nie są indeksowane” sprawdzamy ponadto do około 100 adresów z Twojej mapy witryny i linków wewnętrznych (ich status HTTP, przekierowania, znaczniki noindex i znacznik canonical) oraz odczytujemy Twój plik robots.txt; są to publiczne pliki i strony w Twojej własnej witrynie. Gdy klikniesz „Sprawdź w Google”, pytamy narzędzie Google do inspekcji adresów URL o maksymalnie 25 z tych adresów naraz i pokazujemy Ci jego odpowiedzi. Nie przechowujemy kopii żadnych z tych danych: są pobierane, gdy otwierasz stronę lub klikasz przycisk, i przechowywane wyłącznie w pamięci (przez kilka minut, do godziny w przypadku sprawdzenia Twoich własnych stron i do 24 godzin w przypadku stanu indeksowania zgłaszanego przez Google), a restart serwera je czyści. Wyniki nie są przekazywane żadnej innej usłudze. Jedynym wyjątkiem jest Boost SEO: gdy klikniesz „Zrobiłem to” przy sugestii, zapisujemy kliknięcia, wyświetlenia i średnią pozycję tej strony (oraz zapytanie, jeśli sugestia go dotyczy) wraz z datami, których dotyczą, abyśmy mogli później pokazać Ci zmianę.
• Pomysły na tematy, briefy oraz aktualizacje dla Binga i Yandexa w Boost SEO — tylko jeśli z nich korzystasz. Przechowujemy pomysły na słowa kluczowe zwrócone dla Twojej strony, moment każdego wyszukiwania (który wlicza się też do miesięcznego limitu) oraz briefy treści, o które prosisz, dopóki nie poprosisz o ich usunięcie lub nie zamkniesz konta. Nic z tego nie pochodzi z Search Console: słowa kluczowe pochodzą ze słów na Twoich publicznych stronach i z usługi danych o słowach kluczowych. Klucz do aktualizacji dla Binga i Yandexa nie jest przechowywany; jest wyliczany z adresu Twojej strony za każdym razem, gdy jest potrzebny.
• Cotygodniowy audyt i codzienny nadzór nad stroną — tylko w planach, które je zawierają, i tylko jeśli je włączysz (codzienny nadzór dotyczy strony z cotygodniowego audytu lub Twojego ostatniego audytu). Przechowujemy adres strony, czas ostatniego sprawdzenia i wynik ostatniego sprawdzenia (czy strona główna odpowiedziała, czy jest zamknięta dla Google, kiedy wygasa jej certyfikat), abyśmy mogli wysłać Ci e-mail, gdy coś się zmieni. Każde codzienne sprawdzenie to kilka żądań do Twojej publicznej strony głównej i pliku robots.txt.
• Wyniki testów — wyniki uruchomień, czasy, wyniki poszczególnych kroków, komunikaty błędów i zrzuty ekranu przetestowanych stron oraz wygenerowane na ich podstawie zgłoszenia błędów.
• Dane o użyciu i rozliczeniach — Twój plan, saldo tokenów i rejestr zdarzeń zużycia (co zużyło które uruchomienie lub generowanie). Jeśli płacisz za Solo lub Pro, przechowujemy też identyfikatory klienta i subskrypcji Stripe dla Twojej przestrzeni oraz status subskrypcji (aktywna, zaległa lub anulowana z określoną datą). Nigdy nie widzimy ani nie przechowujemy numeru Twojej karty: wpisujesz go na stronie płatności Stripe.
• Wiadomości kontaktowe — imię i nazwisko, e-mail oraz treść wiadomości wysłanej przez nasz formularz kontaktowy.
• Prośby o skanowanie — jeśli prosisz nas o przeskanowanie własnej strony z naszej strony głównej, podany adres i strona, o którą pytasz, abyśmy mogli wysłać raport i odpowiedzieć, gdy odpiszesz. Zobacz sekcję 6.
• Darmowe narzędzia — adres, który wpisujesz w jednym z darmowych sprawdzeń pod /tools. Aby odpowiedzieć, odczytujemy publiczne strony, robots.txt, sitemap, llms.txt lub rekordy DNS tej strony i pokazujemy Ci wynik. Niczego nie zachowujemy: adres i wynik nie są przechowywane, a Twój adres IP jest trzymany wyłącznie w pamięci, do godziny, aby ograniczyć liczbę sprawdzeń z jednego połączenia. Sprawdzenie danych strukturalnych przekazuje adres strony do publicznego walidatora Schema.org (validator.schema.org), który sam odczytuje stronę.
• Logi serwera — standardowe logi techniczne, w tym adres IP i user agent, przechowywane ze względów bezpieczeństwa i diagnostyki.
• Analityka strony — które strony są wyświetlane i które linki klikane, abyśmy wiedzieli, co ludzie uznają za przydatne. Tam, gdzie obowiązuje prawo wymagające zgody, pomiar odbywa się bez plików cookie i bez żadnego identyfikatora, więc każda wizyta jest liczona osobno; gdzie indziej ustawiany jest plik cookie, aby rozpoznać powracającą wizytę. Tam, po zalogowaniu, PostHog łączy te zdarzenia również z wewnętrznym identyfikatorem Twojego konta (nigdy z e-mailem ani imieniem i nazwiskiem), abyśmy widzieli, z których kroków produktu się korzysta. Zobacz sekcję 11.

3. Czego nie robimy

• Nie sprzedajemy Twoich danych osobowych i nigdy tego nie robiliśmy.
• Nie budujemy Twoich profili reklamowych i nie stosujemy spersonalizowanych reklam ani remarketingu. Tam, gdzie prawo dotyczące zgody nie stanowi inaczej, mierzymy, czy kliknięcie reklamy doprowadziło do rejestracji, abyśmy wiedzieli, za jakie reklamy warto płacić.
• Nie umieszczamy żadnego skryptu analitycznego ani śledzącego w raportach z audytu, które wysyłamy firmom.
• Nie używamy danych Twojej aplikacji ani wyników testów do trenowania modeli uczenia maszynowego.
• Nie sprzedajemy, nie udostępniamy ani nie wykorzystujemy do celów reklamowych danych z Google Search Console, które połączysz, i nie wysyłamy ich do żadnego modelu AI, usługi danych o słowach kluczowych, wyszukiwarki ani innej strony trzeciej, ani nie używamy ich do trenowania takiego modelu. Są pokazywane tylko Tobie i Twojemu zespołowi w Waszym panelu. Wyszukiwania słów kluczowych, briefy treści oraz aktualizacje dla Binga i Yandexa opisane w sekcji 7 korzystają wyłącznie z publicznego tekstu Twojej strony, wybranego przez Ciebie słowa kluczowego i adresów stron z Twojej mapy witryny lub wpisanych przez Ciebie; nic z tego nie pochodzi z Search Console. Wykorzystanie i przekazywanie przez QA Spider informacji uzyskanych z interfejsów API Google jest zgodne z Polityką danych użytkownika usług API Google, w tym z jej wymogami ograniczonego użycia.
• Nie czytamy Twojego kodu źródłowego, chyba że sam połączysz repozytorium. Jeśli to zrobisz, dostęp jest tylko do odczytu, ograniczony do wybranych przez Ciebie repozytoriów, możesz go w każdej chwili cofnąć na GitHubie, a my nigdy nie przechowujemy Twojego kodu — pliki są czytane na czas pytania i odrzucane.

4. Po co je przetwarzamy

Aby świadczyć usługę, do której się zapisałeś (uruchamianie testów, raportowanie wyników, zgłaszanie błędów do Twojego trackera, wysyłanie alertów) — to wykonanie umowy. Aby zabezpieczać konta, zapobiegać nadużyciom i diagnozować awarie — nasz prawnie uzasadniony interes. Aby wysyłać e-maile transakcyjne, od których zależy usługa, takie jak kody logowania i powiadomienia o uruchomieniach — wykonanie umowy. Tam, gdzie kiedykolwiek opieramy się na zgodzie, na przykład przy opcjonalnych e-mailach marketingowych, możesz ją wycofać w dowolnym momencie.

5. Dane logowania kont testowych — prosimy o uwagę

Jeśli zapisujesz dane logowania, aby nasze testy mogły się zalogować do Twojej aplikacji, użyj dedykowanego konta testowego z minimalnymi niezbędnymi uprawnieniami, w miarę możliwości w środowisku innym niż produkcyjne. Nigdy nie zapisuj prawdziwego konta klienta ani administratora.

Tokeny integracji i dane logowania kont testowych są szyfrowane w spoczynku algorytmem AES-256-GCM. Jeśli nasz serwer nie może ich zaszyfrować, odmawia ich zapisania zamiast przechowywać je w czytelnej postaci. Mimo to traktuj każde dane uwierzytelniające, które nam przekazujesz, jak takie, które bez obaw możesz zmienić, i zmień je, jeśli przestaniesz korzystać z QA Spider.

6. Raporty z audytu — te, o które prosisz, i te, które wysyłamy bez prośby

Nasz raport może powstać na dwa sposoby i nie jest to to samo.

Jeśli o niego prosiłeś: podałeś nam adres URL i adres e-mail na naszej stronie głównej, przeczytaliśmy tę stronę i wysłaliśmy Ci raport. Przechowujemy Twój adres, aby go wysłać, aby umożliwić Ci zadawanie nam pytań o raport oraz aby usunąć go na żądanie. Nie dodajemy Cię do listy mailingowej i nie wysyłamy nic więcej, dopóki sam nie napiszesz. Raporty zamówione w ten sposób są domyślnie czytane płytko; głębsze sprawdzenie uruchamia się tylko wtedy, gdy klikniesz w raporcie przycisk, który o nie prosi.

Jeśli o niego nie prosiłeś: czasem czytamy publicznie dostępne strony firmy, z którą chcielibyśmy współpracować, i wysyłamy jej raport z tego, co znaleźliśmy. Robimy to, zanim nawiążemy jakąkolwiek relację, więc warto jasno napisać, co to oznacza.

Czytamy to, co może przeczytać każdy z przeglądarką: strony linkowane z Twojej mapy witryny, pobierane po jednym razie, z poszanowaniem robots.txt i bez obciążania Twoich systemów. Nie logujemy się, chyba że podasz nam konto testowe, a jeśli to zrobisz, przebieg czyta strony i nie wysyła żadnego formularza poza logowaniem. Raport jest udostępniany pod niepublicznym linkiem, jest wykluczony z wyszukiwarek i może zostać wycofany na żądanie.

Każdy link do raportu zapisuje moment otwarcia wraz z adresem IP, wyliczonym z niego miastem i krajem oraz przeglądarką. W przypadku raportu wysłanego bez prośby wykorzystujemy to, aby ocenić, czy został przeczytany i czy został przekazany dalej, co jest jedynym sposobem, by wiedzieć, czy kolejny kontakt jest mile widziany; to przetwarzanie opiera się na naszym prawnie uzasadnionym interesie w kontaktach biznesowych B2B. W przypadku raportu, o który prosiłeś, ten sam zapis istnieje, ale nie służy nam w ten sposób — istnieje, ponieważ link jest publiczny dla każdego, kto go ma, i chcemy wiedzieć, gdyby był przekazywany dalej. Adresy i dane o przeglądarce są usuwane po 90 dniach, po czym pozostaje tylko liczba otwarć.

Jeśli wolisz, abyśmy nie przechowywali żadnych z tych danych, napisz na [email protected], a usuniemy raport, link i zapisy jego otwarć. Przestaniemy też się z Tobą kontaktować i nie potrzebujemy do tego powodu.

7. Gdzie przechowywane są Twoje dane i kto jeszcze ich dotyka

Aplikacja i jej baza danych są hostowane w Render, w regionie UE (Frankfurt), na zaszyfrowanym dysku trwałym. Korzystamy z niewielkiej grupy podprocesorów, każdego do jednego jasno określonego celu:

• Render — hosting aplikacji i przechowywanie bazy danych (UE).
• Anthropic — model AI, który przygotowuje przypadki testowe, dokumenty QA i zgłoszenia błędów. Otrzymuje polecenie i kontekst produktu potrzebny do danego materiału. W Boost SEO, gdy klikniesz „Napisz brief”, otrzymuje wybrane przez Ciebie słowo kluczowe, jego dane wyszukiwania oraz tytuły, nagłówki i opisy do dwunastu Twoich publicznych stron, i nic z Search Console.
• OpenAI — alternatywny dostawca modelu AI, używany zamiast Anthropic, gdy nasz serwer jest tak skonfigurowany dla danej funkcji. Otrzymuje taki sam rodzaj polecenia, jaki otrzymałby Anthropic dla tej funkcji (dla briefu Boost SEO tylko to, co opisano powyżej), i nigdy danych z Search Console.
• DataForSEO — usługa danych o słowach kluczowych, używana tylko wtedy, gdy klikniesz „Znajdź tematy” w Boost SEO. Otrzymuje do dziesięciu krótkich fraz wziętych z tytułów, nagłówków i opisów Twoich publicznych stron, kod kraju i języka oraz dane uwierzytelniające naszego konta. Nie otrzymuje żadnych danych osobowych ani niczego z Search Console.
• IndexNow (Bing, Yandex, Naver, Seznam, Yep i inne uczestniczące wyszukiwarki) — tylko gdy klikniesz przycisk wysyłania w sekcji Boost SEO „Bing i Yandex”. Wysyłamy nazwę hosta Twojej strony, Twój klucz IndexNow, adres pliku z kluczem i do 100 adresów stron z Twojej publicznej mapy witryny lub wpisanych przez Ciebie. Uczestniczące wyszukiwarki dzielą się otrzymanymi danymi między sobą. Google nie bierze w tym udziału. Nie są wysyłane żadne dane osobowe ani nic z Search Console.
• Stripe — obsługa płatności za plany Solo i Pro. Zbiera dane Twojej karty na własnej stronie płatności i je przechowuje; my nigdy nie otrzymujemy ani nie przechowujemy numerów kart. Przekazujemy mu Twój adres e-mail (do wstępnego wypełnienia płatności i potwierdzeń), identyfikator Twojej przestrzeni roboczej i wybrany plan, a przechowujemy tylko identyfikatory klienta i subskrypcji Stripe oraz zwracany przez niego status subskrypcji.
• Resend — dostarczanie e-maili transakcyjnych (kody logowania, powiadomienia, odpowiedzi na wiadomości kontaktowe).
• GitHub Actions — wykonuje Twoje uruchomienia testów i odsyła nam wynik.
• Firecrawl — pobiera i mapuje publiczne strony witryny, którą prosisz nas przeanalizować.
• Browserbase — udostępnia hostowaną przeglądarkę używaną do opcjonalnego nagrywania testów na żywo. Używany tylko wtedy, gdy ta funkcja jest włączona dla Twojej przestrzeni roboczej.
• Umami — liczy odwiedziny na naszej stronie. Nie ustawia plików cookie i niczego nie zapisuje na Twoim urządzeniu; unikalność wynika z skrótu liczonego na jego serwerach z soli zmienianej codziennie.
• Google Analytics — mierzy odwiedziny na naszej stronie i w panelu. Adresy IP są skracane. Zapis danych na urządzeniu jest wyłączony tam, gdzie obowiązuje prawo wymagające zgody, i włączony gdzie indziej.
• PostHog — analityka produktu i, tylko za Twoją zgodą, nagrywanie sesji na naszej własnej stronie. Działa bez zapisu danych na urządzeniu, dopóki się nie zgodzisz.
• GitHub — jeśli połączysz repozytorium, odczytujemy pliki potrzebne do odpowiedzi na pytanie o nieudany test. Tylko do odczytu, my niczego nie przechowujemy.
• Google i GitHub — dostawcy tożsamości, tylko jeśli zdecydujesz się logować przez nich.
• Google Search Console — tylko jeśli ją połączysz: wywołujemy API Search Console z Twoim uprawnieniem tylko do odczytu, aby odczytać skuteczność w wyszukiwarce, stan indeksowania i zgłoszone mapy witryny wybranej przez Ciebie usługi. Nic odczytanego z Search Console nie jest przekazywane żadnemu innemu podprocesorowi z tej listy. Możesz w każdej chwili cofnąć dostęp (zobacz sekcję 8).

8. Jak długo je przechowujemy

Dane konta i przestrzeni roboczej są przechowywane, dopóki istnieje Twoje konto. Wyniki testów, zrzuty ekranu i wygenerowane zgłoszenia błędów są przechowywane, aby Twoja historia i metryki zachowały sens; możesz w każdej chwili usuwać pojedyncze uruchomienia, błędy i projekty, a usunięcie jest natychmiastowe. Wiadomości z formularza kontaktowego są przechowywane, dopóki są nam potrzebne do odpowiedzi. Logi serwera są przechowywane przez krótki okres operacyjny. Gdy zamkniesz konto, usuwamy dane Twojej przestrzeni roboczej, zachowując tylko to, co musimy ze względów prawnych lub księgowych. Jeśli połączyłeś Google Search Console, przechowujemy zaszyfrowany token dostępu, adres e-mail Twojego konta Google, wybraną usługę i zapisane rekordy „przed i po” z Boost SEO, dopóki nie klikniesz Rozłącz na karcie Google w Boost SEO (co natychmiast usuwa je wszystkie) lub nie zamkniesz konta. Pomysły na słowa kluczowe, zapisy wyszukiwań i briefy treści utworzone w Boost SEO są przechowywane, dopóki nie poprosisz o ich usunięcie lub nie zamkniesz konta. Dostęp możesz też w każdej chwili cofnąć na swoim koncie Google w sekcji Bezpieczeństwo, następnie Dostęp aplikacji innych firm, a każdy token, który nadal mamy, przestanie działać.

9. Twoje prawa

Możesz uzyskać dostęp do swoich danych, poprawić je, wyeksportować lub usunąć. Wiele z tego możesz zrobić samodzielnie w panelu: możesz eksportować wygenerowane dokumenty, usuwać błędy, uruchomienia i projekty oraz zarządzać członkami zespołu. W pozostałych sprawach — pełnego eksportu, usunięcia konta, sprzeciwu wobec przetwarzania lub skargi — napisz na [email protected], a odpowiemy w ciągu 30 dni. Jeśli przebywasz w EOG lub Wielkiej Brytanii, masz także prawo wnieść skargę do lokalnego organu ochrony danych.

10. Bezpieczeństwo

Dostęp do środowiska produkcyjnego mają tylko osoby, które nim zarządzają. Ruch jest obsługiwany przez HTTPS. Tokeny integracji są szyfrowane w spoczynku. Działania skierowane na zewnątrz — zgłoszenie zadania w Twoim trackerze, wpis na czacie, uruchomienie na środowisku wyglądającym na produkcyjne — wymagają wyraźnej zgody w produkcie i nie dzieją się po cichu. Żaden system nie jest doskonale bezpieczny; jeśli dowiemy się o naruszeniu dotyczącym Twoich danych, powiadomimy Cię bez zbędnej zwłoki.

11. Pliki cookie

Jedyny ustawiany przez nas plik cookie jest ściśle niezbędny i istnieje, bo strona nie może działać bez niego: to sesyjny plik cookie, który utrzymuje Cię zalogowanym. Preferencja jasnego lub ciemnego motywu jest zapisywana w pamięci lokalnej przeglądarki, a nie w pliku cookie, więc nigdy do nas nie trafia.

To, co zapisuje nasza analityka, zależy od tego, gdzie jesteś. Tam, gdzie obowiązuje prawo wymagające zgody — w UE, EOG, Wielkiej Brytanii i Szwajcarii — Google Analytics i PostHog działają z wyłączonym zapisem: liczymy, że wizyta miała miejsce i które strony przeczytano, nic nie jest zapisywane na Twoim urządzeniu i nic nie łączy tej wizyty z następną. Gdzie indziej ustawiają plik cookie, który pozwala rozpoznać powracającą wizytę i stwierdzić, czy kliknięcie reklamy doprowadziło do rejestracji.

Umami, nasz główny licznik, nigdzie nie ustawia pliku cookie i nie wymaga zgody. Dlatego strona nie stawia przed Tobą ściany cookie.

Nagrywanie sesji na naszej stronie — zapis tego, jak strona zachowywała się u Ciebie — jest włączane tylko wtedy, gdy się na to zgodzisz na prośbę, a odmowa nic Cię nie kosztuje: nadal jesteś liczony.

Nie stosujemy spersonalizowanych reklam ani remarketingu i nie budujemy profili odwiedzających.

12. Dzieci

QA Spider jest narzędziem biznesowym i nie jest kierowany do osób poniżej 16. roku życia. Świadomie nie zbieramy ich danych.

13. Zmiany

Jeśli istotnie zmienimy tę politykę, zaktualizujemy datę powyżej, a o zmianach wpływających na sposób postępowania z Twoimi danymi powiadomimy właścicieli kont e-mailem przed wejściem zmiany w życie.