Bezpieczeństwo i prywatność

Sprawdź, gdzie są twoje dane

Cztery pytania, które każdy przegląd bezpieczeństwa zadaje najpierw.

Gdzie są treści?
W regionach europejskich, aplikacja we Frankfurcie.
Kto przetwarza poza UE?
Cztery usługi: Clerk, Stripe, Resend, Voyage AI.
Czy AI trenuje na tym?
Nie. My nie, dostawcy umownie też nie.
Czy jest certyfikat?
ISO 27001 i SOC 2 w trakcie certyfikacji, testy penetracyjne w toku.

Droga wiadomości

  1. Widget

    Opuszcza przeglądarkę przez TLS. Bez obcych czcionek, bez obcych skryptów.

  2. Aplikacja

    fra1

    Sprawdza przynależność do obszaru roboczego.

  3. Baza danych

    europe-west3

    Rozmowy, wiedza, konta. Kopia wiodąca.

  4. Agent AI

    Vertex eu

    Formułuje odpowiedź i wskazuje źródło.

  5. Wyszukiwanie semantyczne

    USA

    Tylko jeśli jest skonfigurowane. Otrzymuje same treści wiedzy.

  6. Powiadomienie

    USA

    Zawiera dosłowne fragmenty rozmowy.

Załączniki znajdują się w pamięci tego samego regionu europejskiego, aktualizacja na żywo działa w europe-west1.

Gdzie są dane

Dziewięciu dostawców usług. Pięciu w UE, czterech w USA.

Unia Europejska

5

Rozmowy, wiedza, pliki i odpowiedź AI.

  • Google Cloud SQL (PostgreSQL)

    Baza danych

  • Google Cloud Storage

    Załączniki i logo

  • Google Firebase Realtime Database

    Aktualizacja otwartych rozmów na żywo

  • Anthropic (Claude) über Google Vertex AI

    Generowanie odpowiedzi AI

  • Vercel

    Prowadzenie i dostarczanie aplikacji

USA

4

Logowanie, płatność, wysyłka e-maili, wyszukiwanie semantyczne.

  • Clerk

    Logowanie i konta

  • Stripe

    Płatności i subskrypcje

  • Voyage AI

    Embeddingi do wyszukiwania wiedzy, tylko jeśli skonfigurowano

  • Resend

    Wysyłka e-maili transakcyjnych do zespołu

Brzmienie, które podają także umowa powierzenia przetwarzania danych i Polityka prywatności

Treści pozostają w UE. Rozmowy, baza wiedzy i konta znajdują się w regionie bazy danych europe-west3 (Frankfurt), załączniki i logo w magazynie plików tego samego regionu, aktualizacja otwartych rozmów na żywo działa w europe-west1, a agent AI odpowiada z multiregionu Vertex eu; modele pomocnicze do tematów wiadomości i analizy dokumentów działają w europe-west1. Region magazynu plików sprawdzono 7 sierpnia 2026 na używanych bucketach; wszystkie pozostałe są zapisane w konfiguracji wdrożenia.

Cztery usługi przetwarzają dane poza UE, a mianowicie w USA: Clerk do logowania, kont i sesji, Stripe do obsługi płatności, Resend do wysyłki powiadomień dla zespołu — zawierają one dosłowne fragmenty rozmów — oraz Voyage AI do embeddingów wyszukiwania semantycznego, które otrzymuje w tym celu treści wiedzy. Przekazania te opierają się na standardowych klauzulach umownych Komisji Europejskiej; która wersja i która ocena skutków obowiązuje dla danego dostawcy, określa umowa powierzenia przetwarzania danych. Prowadzenie samej aplikacji spoczywa na Vercel, koncernie ze Stanów Zjednoczonych; region dostarczania tego wdrożenia nie został zmierzony i jest tam również oznaczony jako miejsce otwarte.

Wszystkie dziewięć z celem i regionem przetwarzania
  • ClerkPaństwo trzecie

    Logowanie i konta

    USA — przekazanie do państwa trzeciego na podstawie standardowych klauzul umownych. Przekazywane są imię i nazwisko, adres e-mail oraz dane sesji członków zespołu.

  • StripePaństwo trzecie

    Płatności i subskrypcje

    USA — przekazanie do państwa trzeciego na podstawie standardowych klauzul umownych. Przekazywane są dane rozliczeniowe i płatnicze Klienta.

  • Google Cloud SQL (PostgreSQL)

    Baza danych

    europe-west3 (Frankfurt) zgodnie z zastosowaną konfiguracją instancji; sprawdzone w środowisku deweloperskim.

  • Google Cloud Storage

    Załączniki i logo

    EUROPE-WEST3; sprawdzone 7 sierpnia 2026 na używanych bucketach. Inaczej niż pozostałe regiony wartość ta nie występuje w żadnej konfiguracji w kodzie źródłowym — GCS_UPLOAD_BUCKET podaje wyłącznie nazwę bucketa.

  • Google Firebase Realtime Database

    Aktualizacja otwartych rozmów na żywo

    europe-west1 zgodnie z zastosowanym adresem URL bazy danych; sprawdzone w środowisku deweloperskim.

  • Anthropic (Claude) über Google Vertex AI

    Generowanie odpowiedzi AI

    Agent wsparcia działa w multiregionie Vertex eu, a modele pomocnicze w europe-west1; obie wartości są zapisane w konfiguracji wdrożenia (CLOUD_ML_REGION i CLOUD_ML_REGION_UTILITY).

  • Voyage AIPaństwo trzecie

    Embeddingi do wyszukiwania wiedzy, tylko jeśli skonfigurowano

    USA — przekazanie do państwa trzeciego na podstawie standardowych klauzul umownych. Przekazywane są same treści wiedzy, a nie tylko ich fragment.

  • ResendPaństwo trzecie

    Wysyłka e-maili transakcyjnych do zespołu

    USA — przekazanie do państwa trzeciego na podstawie standardowych klauzul umownych. Przekazywane są powiadomienia wraz z zawartymi w nich fragmentami rozmów.

  • Vercel

    Prowadzenie i dostarczanie aplikacji

    Frankfurt nad Menem (fra1). Dostawca jest koncernem ze Stanów Zjednoczonych, wykonanie tego wdrożenia odbywa się w UE.

Podstawa umowna dla każdego dostawcy: w umowie powierzenia przetwarzania danych.

Szyfrowanie, separacja, dostęp

W tranzycie
Wszystkie połączenia przebiegają przez TLS.
W spoczynku
Standardowe szyfrowanie usług Google Cloud. Nie zarządzamy własnymi kluczami.
Separacja danych klientów
Każdy dostęp jest sprawdzany po stronie serwera pod kątem członkostwa w zespole.
Dostęp z naszej strony
Tylko według zasady dwóch par oczu, rejestrowany, logi 30 dni.

Co AI robi z twoimi treściami

Nie analizujemy twoich treści, aby trenować własne modele. Obaj zaangażowani dostawcy zobowiązali się umownie do tego samego wykluczenia: dostawca modelu przez warunki przetwarzania danych Google Cloud, dostawca embeddingów przez warunki korzystania z Voyage AI.

Agent odpowiada z twojej bazy wiedzy i wskazuje źródło. Jeśli nic nie znajdzie, przekazuje rozmowę człowiekowi. Konto Anthropic nie istnieje; modele działają w środowisku Google Cloud.

Usuwanie danych i terminy

30 dni
Okres karencji po usunięciu obszaru roboczego, odwoływalny do ostatniego dnia.
7 dni
Przechowywanie kopii zapasowych. Potem usunięta rozmowa znika także stamtąd.
1 rok
Przechowywanie logów operacyjnych, zaszyfrowanych w naszej wewnętrznej chmurze.
Ustawowo
Dane rozliczeniowe zgodnie z § 147 AO i § 257 HGB, ograniczone zamiast usunięte.

Pojedyncze rozmowy i artykuły pomocy można w każdej chwili usunąć w produkcie.

Zgłoszenie podatności

Napisz do nas, co udało ci się znaleźć i jak to odtworzyć, zanim to opublikujesz.

info@comlayer.app
  • Potwierdzenie odbioru w ciągu 2 dni roboczych, potem ocena.
  • Żadnych kroków prawnych wobec zgłoszenia w dobrej wierze, które nie pobiera cudzych danych.
  • Na życzenie wymienimy cię z nazwiska, gdy podatność zostanie zamknięta.

Umowy i informacje

W sprawie umowy powierzenia przetwarzania danych, wypełnionego kwestionariusza bezpieczeństwa lub informacji zgodnie z art. 15 RODO wystarczy e-mail na adres info@comlayer.app. Inspektor ochrony danych nie został wyznaczony, ponieważ nie osiągamy progów z § 38 BDSG.

Ta strona podsumowuje nasze środki i nie jest prawnie ostatecznym zapewnieniem. Konkretne zobowiązania podejmujemy w umowie. Przeczytaj Regulamin.