Bezpieczeństwo i prywatność
Sprawdź, gdzie są twoje dane
Cztery pytania, które każdy przegląd bezpieczeństwa zadaje najpierw.
- Gdzie są treści?
- W regionach europejskich, aplikacja we Frankfurcie.
- Kto przetwarza poza UE?
- Cztery usługi: Clerk, Stripe, Resend, Voyage AI.
- Czy AI trenuje na tym?
- Nie. My nie, dostawcy umownie też nie.
- Czy jest certyfikat?
- ISO 27001 i SOC 2 w trakcie certyfikacji, testy penetracyjne w toku.
Droga wiadomości
Widget
Opuszcza przeglądarkę przez TLS. Bez obcych czcionek, bez obcych skryptów.
Aplikacja
fra1
Sprawdza przynależność do obszaru roboczego.
Baza danych
europe-west3
Rozmowy, wiedza, konta. Kopia wiodąca.
Agent AI
Vertex eu
Formułuje odpowiedź i wskazuje źródło.
Wyszukiwanie semantyczne
USA
Tylko jeśli jest skonfigurowane. Otrzymuje same treści wiedzy.
Powiadomienie
USA
Zawiera dosłowne fragmenty rozmowy.
Załączniki znajdują się w pamięci tego samego regionu europejskiego, aktualizacja na żywo działa w europe-west1.
Gdzie są dane
Dziewięciu dostawców usług. Pięciu w UE, czterech w USA.
Unia Europejska
5Rozmowy, wiedza, pliki i odpowiedź AI.
Google Cloud SQL (PostgreSQL)
Baza danych
Google Cloud Storage
Załączniki i logo
Google Firebase Realtime Database
Aktualizacja otwartych rozmów na żywo
Anthropic (Claude) über Google Vertex AI
Generowanie odpowiedzi AI
Vercel
Prowadzenie i dostarczanie aplikacji
USA
4Logowanie, płatność, wysyłka e-maili, wyszukiwanie semantyczne.
Clerk
Logowanie i konta
Stripe
Płatności i subskrypcje
Voyage AI
Embeddingi do wyszukiwania wiedzy, tylko jeśli skonfigurowano
Resend
Wysyłka e-maili transakcyjnych do zespołu
Brzmienie, które podają także umowa powierzenia przetwarzania danych i Polityka prywatności
Treści pozostają w UE. Rozmowy, baza wiedzy i konta znajdują się w regionie bazy danych europe-west3 (Frankfurt), załączniki i logo w magazynie plików tego samego regionu, aktualizacja otwartych rozmów na żywo działa w europe-west1, a agent AI odpowiada z multiregionu Vertex eu; modele pomocnicze do tematów wiadomości i analizy dokumentów działają w europe-west1. Region magazynu plików sprawdzono 7 sierpnia 2026 na używanych bucketach; wszystkie pozostałe są zapisane w konfiguracji wdrożenia.
Cztery usługi przetwarzają dane poza UE, a mianowicie w USA: Clerk do logowania, kont i sesji, Stripe do obsługi płatności, Resend do wysyłki powiadomień dla zespołu — zawierają one dosłowne fragmenty rozmów — oraz Voyage AI do embeddingów wyszukiwania semantycznego, które otrzymuje w tym celu treści wiedzy. Przekazania te opierają się na standardowych klauzulach umownych Komisji Europejskiej; która wersja i która ocena skutków obowiązuje dla danego dostawcy, określa umowa powierzenia przetwarzania danych. Prowadzenie samej aplikacji spoczywa na Vercel, koncernie ze Stanów Zjednoczonych; region dostarczania tego wdrożenia nie został zmierzony i jest tam również oznaczony jako miejsce otwarte.
Wszystkie dziewięć z celem i regionem przetwarzania
Dostawca usług
Do czego
Region przetwarzania
- ClerkPaństwo trzecie
Logowanie i konta
USA — przekazanie do państwa trzeciego na podstawie standardowych klauzul umownych. Przekazywane są imię i nazwisko, adres e-mail oraz dane sesji członków zespołu.
- StripePaństwo trzecie
Płatności i subskrypcje
USA — przekazanie do państwa trzeciego na podstawie standardowych klauzul umownych. Przekazywane są dane rozliczeniowe i płatnicze Klienta.
- Google Cloud SQL (PostgreSQL)
Baza danych
europe-west3 (Frankfurt) zgodnie z zastosowaną konfiguracją instancji; sprawdzone w środowisku deweloperskim.
- Google Cloud Storage
Załączniki i logo
EUROPE-WEST3; sprawdzone 7 sierpnia 2026 na używanych bucketach. Inaczej niż pozostałe regiony wartość ta nie występuje w żadnej konfiguracji w kodzie źródłowym — GCS_UPLOAD_BUCKET podaje wyłącznie nazwę bucketa.
- Google Firebase Realtime Database
Aktualizacja otwartych rozmów na żywo
europe-west1 zgodnie z zastosowanym adresem URL bazy danych; sprawdzone w środowisku deweloperskim.
- Anthropic (Claude) über Google Vertex AI
Generowanie odpowiedzi AI
Agent wsparcia działa w multiregionie Vertex eu, a modele pomocnicze w europe-west1; obie wartości są zapisane w konfiguracji wdrożenia (CLOUD_ML_REGION i CLOUD_ML_REGION_UTILITY).
- Voyage AIPaństwo trzecie
Embeddingi do wyszukiwania wiedzy, tylko jeśli skonfigurowano
USA — przekazanie do państwa trzeciego na podstawie standardowych klauzul umownych. Przekazywane są same treści wiedzy, a nie tylko ich fragment.
- ResendPaństwo trzecie
Wysyłka e-maili transakcyjnych do zespołu
USA — przekazanie do państwa trzeciego na podstawie standardowych klauzul umownych. Przekazywane są powiadomienia wraz z zawartymi w nich fragmentami rozmów.
- Vercel
Prowadzenie i dostarczanie aplikacji
Frankfurt nad Menem (fra1). Dostawca jest koncernem ze Stanów Zjednoczonych, wykonanie tego wdrożenia odbywa się w UE.
Podstawa umowna dla każdego dostawcy: w umowie powierzenia przetwarzania danych.
Szyfrowanie, separacja, dostęp
- W tranzycie
- Wszystkie połączenia przebiegają przez TLS.
- W spoczynku
- Standardowe szyfrowanie usług Google Cloud. Nie zarządzamy własnymi kluczami.
- Separacja danych klientów
- Każdy dostęp jest sprawdzany po stronie serwera pod kątem członkostwa w zespole.
- Dostęp z naszej strony
- Tylko według zasady dwóch par oczu, rejestrowany, logi 30 dni.
Co AI robi z twoimi treściami
Nie analizujemy twoich treści, aby trenować własne modele. Obaj zaangażowani dostawcy zobowiązali się umownie do tego samego wykluczenia: dostawca modelu przez warunki przetwarzania danych Google Cloud, dostawca embeddingów przez warunki korzystania z Voyage AI.
Agent odpowiada z twojej bazy wiedzy i wskazuje źródło. Jeśli nic nie znajdzie, przekazuje rozmowę człowiekowi. Konto Anthropic nie istnieje; modele działają w środowisku Google Cloud.
Usuwanie danych i terminy
- 30 dni
- Okres karencji po usunięciu obszaru roboczego, odwoływalny do ostatniego dnia.
- 7 dni
- Przechowywanie kopii zapasowych. Potem usunięta rozmowa znika także stamtąd.
- 1 rok
- Przechowywanie logów operacyjnych, zaszyfrowanych w naszej wewnętrznej chmurze.
- Ustawowo
- Dane rozliczeniowe zgodnie z § 147 AO i § 257 HGB, ograniczone zamiast usunięte.
Pojedyncze rozmowy i artykuły pomocy można w każdej chwili usunąć w produkcie.
Zgłoszenie podatności
Napisz do nas, co udało ci się znaleźć i jak to odtworzyć, zanim to opublikujesz.
info@comlayer.app- Potwierdzenie odbioru w ciągu 2 dni roboczych, potem ocena.
- Żadnych kroków prawnych wobec zgłoszenia w dobrej wierze, które nie pobiera cudzych danych.
- Na życzenie wymienimy cię z nazwiska, gdy podatność zostanie zamknięta.
Umowy i informacje
W sprawie umowy powierzenia przetwarzania danych, wypełnionego kwestionariusza bezpieczeństwa lub informacji zgodnie z art. 15 RODO wystarczy e-mail na adres info@comlayer.app. Inspektor ochrony danych nie został wyznaczony, ponieważ nie osiągamy progów z § 38 BDSG.
Ta strona podsumowuje nasze środki i nie jest prawnie ostatecznym zapewnieniem. Konkretne zobowiązania podejmujemy w umowie. Przeczytaj Regulamin.