Polityka prywatności

Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych przez TUUL UG (haftungsbeschränkt) w związku z korzystaniem z serwisów internetowych oraz aplikacji rozwijanych przez TUUL, w tym platformy Lexedit (aplikacji internetowej, aplikacji mobilnej, dodatku dla programu Microsoft Word i rozszerzenia przeglądarki). Niniejsza wersja polityki obowiązuje od dnia 26 października 2026 r.

Administratorem danych osobowych jest:

TUUL UG (haftungsbeschränkt) Marlene-Dietrich-Allee 15 14482 Potsdam Germany HRB 172267 B, Amtsgericht Berlin-Charlottenburg

E-mail kontaktowy, również w sprawach ochrony danych osobowych: info@lexedit.ai

Niniejsza polityka prywatności ma zastosowanie również do aplikacji Lexedit, będącej produktem rozwijanym i udostępnianym przez TUUL.

TUUL jest administratorem danych dotyczących kont, logowania, rozliczeń, komunikacji z użytkownikami oraz danych technicznych i diagnostycznych.

W zakresie danych osobowych zawartych w dokumentach, plikach i zapytaniach wprowadzanych do Lexedit przez użytkowników wykonujących zawód lub działalność (np. dane klientów kancelarii i uczestników postępowań) administratorem jest użytkownik lub podmiot, w imieniu którego działa, a TUUL przetwarza te dane jako podmiot przetwarzający na podstawie umowy powierzenia zawartej w pkt 10 Regulaminu (wobec użytkowników, którzy założyli konto przed dniem 22 października 2026 r. — od dnia 15 listopada 2026 r.) lub odrębnej umowy powierzenia. Osoby, których dane znajdują się w takich dokumentach, powinny kierować żądania przede wszystkim do tego administratora; TUUL pomaga mu w ich realizacji.

Gdy z Lexedit korzysta konsument we własnej sprawie, administratorem danych zawartych we wprowadzanych przez niego treściach jest TUUL, na zasadach opisanych w niniejszej polityce.

W zależności od sposobu korzystania z serwisów i aplikacji TUUL, przetwarzane mogą być następujące dane:

3.1. Dane techniczne, sesji i bezpieczeństwa • adres IP, • data i godzina dostępu, • informacje o przeglądarce, urządzeniu i systemie operacyjnym, • identyfikator urządzenia i sesji logowania, historia logowań, • logi serwera i dane niezbędne do zapewnienia bezpieczeństwa systemów, w tym do wykrywania współdzielenia kont i innych nadużyć.

3.2. Dane kontaktowe • adres e-mail, • treść korespondencji, zgłoszeń, reklamacji i opinii kierowanych do TUUL.

3.3. Dane konta i uwierzytelniania Logowanie do aplikacji Lexedit odbywa się za pomocą adresu e-mail i hasła albo za pośrednictwem usług zewnętrznych (Google Sign-In, Sign in with Apple — o ile dana metoda jest dostępna). W ramach tego procesu przetwarzane są: • adres e-mail, • hasło w postaci nieodwracalnego skrótu (hash) — wyłącznie przy logowaniu e-mailem, • imię i nazwisko (nazwa profilu) oraz zdjęcie profilowe — wyłącznie przy logowaniu przez usługę zewnętrzną, w zakresie udostępnionym przez jej dostawcę, • numer telefonu — jeżeli wymagamy jego weryfikacji kodem SMS w celu ochrony przed nadużyciami, • informacje o zaakceptowanych wersjach Regulaminu i udzielonych zgodach.

3.4. Dane profilu i ankiety Informacje podane dobrowolnie podczas rejestracji lub w ankiecie powitalnej, np. wykonywany zawód, obszar praktyki, sposób, w jaki użytkownik dowiedział się o Lexedit, oraz informacje o potrzebach przekazane w opisie.

3.5. Treści przetwarzane w aplikacji Lexedit W ramach korzystania z aplikacji Lexedit przetwarzane są dane zawarte w dokumentach, plikach, nagraniach i zapytaniach przesyłanych, wgrywanych lub wprowadzanych przez użytkownika — również przekazanych pocztą elektroniczną na indywidualny adres sprawy lub zaimportowanych z Google Drive — w tym dane osobowe, jeżeli takie dane znajdują się w ich treści, a także wygenerowane odpowiedzi, przebieg pracy asystenta i notatki zapisane w sprawie. Zakres i charakter tych danych zależy wyłącznie od treści dostarczonych przez użytkownika.

3.6. Dane rozliczeniowe Przy zakupie planu lub doładowania przetwarzane są: imię i nazwisko lub nazwa, adres rozliczeniowy, numer identyfikacji podatkowej (jeżeli został podany), historia płatności i faktur. Dane karty płatniczej przetwarza operator płatności (Stripe); TUUL nie ma dostępu do pełnego numeru karty.

3.7. Programy edukacyjne W przypadku zgłoszenia do programu dla studentów lub uczelni przetwarzane są: imię i nazwisko, nazwa uczelni i kierunku, adres e-mail w domenie uczelni, dokument potwierdzający status (np. legitymacja) oraz — jeżeli zostanie podany — adres profilu zawodowego.

3.8. Dane z urządzenia mobilnego Aplikacja mobilna Lexedit może żądać dostępu do następujących funkcji urządzenia: • Mikrofon – wyłącznie w celu transkrypcji mowy na tekst (dyktowanie zapytań). Nagrania audio są przetwarzane w celu uzyskania transkrypcji i nie są trwale przechowywane. • Biblioteka zdjęć / pliki – wyłącznie w celu umożliwienia użytkownikowi załączenia dokumentów lub obrazów do zapytań. • Powiadomienia – w celu informowania o zakończeniu analizy; w tym celu identyfikator konta jest powiązany z identyfikatorem urządzenia u dostawcy powiadomień. Treść powiadomień nie zawiera treści spraw. Dostęp do tych funkcji wymaga wyraźnej zgody użytkownika i może być w dowolnym momencie cofnięty w ustawieniach urządzenia. Aplikacja mobilna zbiera również sygnały statystyczne o korzystaniu z aplikacji (np. otwarcie ekranu, długość sesji, rodzaj planu), które nie są powiązane z kontem użytkownika i nie zawierają treści zapytań ani dokumentów.

3.9. Dane przechowywane lokalnie na urządzeniu Aplikacja mobilna przechowuje na urządzeniu użytkownika historię wątków rozmów oraz powiązane dane w lokalnej bazie danych. Dane te nie są przesyłane na serwery TUUL, chyba że jest to konieczne do realizacji funkcji aplikacji (np. wysłania zapytania do serwera).

3.10. Dane diagnostyczne W celu zapewnienia stabilności i jakości aplikacji internetowej, serwera i aplikacji mobilnej wykorzystywane jest narzędzie Sentry (Functional Software, Inc.) do monitorowania błędów. W przypadku wystąpienia błędu mogą być automatycznie zbierane: • informacje o urządzeniu i przeglądarce (model, wersja systemu operacyjnego), • ślad stosu błędu (stack trace) i komunikaty techniczne, • wersja aplikacji, adres IP i identyfikator konta. Dane diagnostyczne nie służą do zbierania treści dokumentów ani zapytań użytkownika, jednak komunikat techniczny błędu może w wyjątkowych przypadkach zawierać ich fragment.

3.11. Dodatek Lexedit dla Microsoft Word Niniejsza polityka obejmuje również dodatek (add-in) Lexedit dla programu Microsoft Word. W ramach korzystania z dodatku przetwarzane są: • adres e-mail oraz dane logowania do konta Lexedit, • treść aktywnego dokumentu programu Word — w zakresie, w jakim użytkownik korzysta z funkcji analizy, tworzenia lub edycji pisma, • treść zapytań kierowanych do asystenta. Dane te są przetwarzane na serwerach Lexedit na zasadach opisanych w niniejszej polityce, analogicznie do pozostałych aplikacji Lexedit. Tokeny sesji przechowywane są lokalnie w środowisku dodatku i można je usunąć, wylogowując się z panelu.

3.12. Rozszerzenie przeglądarki Rozszerzenie Lexedit do pseudonimizacji działa lokalnie w przeglądarce: wykrywanie danych osobowych odbywa się na urządzeniu użytkownika, a z serwerów TUUL pobierany jest wyłącznie model wykrywania. Treść przetwarzana w rozszerzeniu nie jest przesyłana do TUUL.

3.13. OneDrive w rozmowach i sprawach W rozmowie bez sprawy użytkownik może dodać wybrane pliki albo udostępnić asystentowi folder z podfolderami lub cały OneDrive. Asystent odczytuje aktualne dane przez Microsoft Graph; przeczytane dokumenty są zachowywane jako kopie w rozmowie do cytowania. Samo połączenie konta nie udostępnia dysku każdej rozmowie. Po połączeniu konta Microsoft i wskazaniu folderu sprawy Lexedit odczytuje pliki z tego folderu i podfolderów oraz kopiuje obsługiwane dokumenty do Akt sprawy. Połączenie ma dostęp tylko do odczytu; Lexedit nie zmienia plików w OneDrive. Kopie dokumentów pozostają w Aktach po usunięciu pliku z OneDrive lub odłączeniu konta, dopóki użytkownik nie usunie ich ze sprawy. Identyfikator konta, nazwa konta i zaszyfrowany token odświeżania są przechowywane na serwerze w celu utrzymania połączenia. Integracja jest wyłączona dla spraw wymagających pseudonimizacji dokumentów.

Dane osobowe przetwarzane są w następujących celach:

• zawarcia i wykonania umowy — prowadzenia konta, świadczenia usług i udostępniania funkcjonalności aplikacji Lexedit, w tym przekazywania treści do dostawców usług AI w zakresie potrzebnym do wykonania zadania (art. 6 ust. 1 lit. b RODO),

• obsługi płatności, wystawiania faktur i prowadzenia rozliczeń, w tym wykonania obowiązków podatkowych i rachunkowych (art. 6 ust. 1 lit. b i c RODO),

• zapewnienia bezpieczeństwa systemów informatycznych i przeciwdziałania nadużyciom, w tym weryfikacji numeru telefonu, wykrywania współdzielenia kont i obchodzenia limitów (art. 6 ust. 1 lit. f RODO — uzasadnionym interesem jest ochrona usługi, jej użytkowników i TUUL),

• diagnozowania błędów, kontroli jakości działania usługi i jej rozwoju, w tym analizy statystycznej korzystania z usługi oraz analizy treści wątków przez wąski zespół i narzędzia działające na zlecenie TUUL — bez trenowania modeli AI i bez wykorzystywania treści poza usługą (art. 6 ust. 1 lit. f RODO — uzasadnionym interesem jest zapewnienie poprawnego i wiarygodnego działania usługi),

• prowadzenia korespondencji, obsługi zgłoszeń, reklamacji i żądań (art. 6 ust. 1 lit. b, c lub f RODO),

• przesyłania wiadomości związanych z korzystaniem z usługi, w tym powiadomień o zmianach Regulaminu i wskazówek dotyczących korzystania z usługi w okresie próbnym (art. 6 ust. 1 lit. b i f RODO),

• przesyłania informacji marketingowych drogą elektroniczną — wyłącznie na podstawie zgody, którą można w każdej chwili cofnąć, np. za pomocą linku w wiadomości (art. 6 ust. 1 lit. a RODO),

• przeprowadzenia programów edukacyjnych i weryfikacji uprawnień do nich (art. 6 ust. 1 lit. b RODO),

• w zakresie danych szczególnych kategorii zawartych w treściach wprowadzanych przez konsumenta we własnej sprawie — art. 9 ust. 2 lit. f RODO (ustalenie, dochodzenie lub obrona roszczeń),

• ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO),

• realizacji obowiązków prawnych ciążących na administratorze, w tym rozpatrywania zgłoszeń treści niezgodnych z prawem (art. 6 ust. 1 lit. c RODO).

Podanie danych jest dobrowolne, ale niezbędne do założenia konta i korzystania z usługi; podanie danych w ankiecie powitalnej jest w pełni dobrowolne.

Aplikacja Lexedit została zaprojektowana w sposób umożliwiający lokalne przetwarzanie danych na urządzeniu użytkownika, w szczególności w zakresie pseudonimizacji dokumentów przed ich dalszą analizą.

W przypadku przetwarzania lokalnego dane nie są przesyłane do infrastruktury TUUL ani do podmiotów trzecich na etapie pseudonimizacji.

Stosowany mechanizm stanowi pseudonimizację w rozumieniu art. 4 pkt 5 RODO, a nie anonimizację: dane osobowe są zastępowane oznaczeniami zastępczymi, natomiast powiązanie oznaczeń z danymi pierwotnymi jest zachowywane w postaci zaszyfrowanej po stronie użytkownika. Dokument poddany temu przetwarzaniu nadal zawiera dane osobowe i podlega przepisom RODO.

Pseudonimizacja może nie wykryć wszystkich danych osobowych. Nie obejmuje nagrań głosowych przed ich transkrypcją, treści przekazanych pocztą elektroniczną na adres sprawy ani dokumentów wgranych przy wyłączonej ochronie w danej sprawie — takie treści są przetwarzane w postaci oryginalnej.

W ramach aplikacji Lexedit wykorzystywane są narzędzia oparte na sztucznej inteligencji w celu wyszukiwania i analizy orzecznictwa i przepisów, analizy, porównywania i odczytywania dokumentów oraz przygotowywania odpowiedzi i projektów pism.

Zapytania, potrzebne fragmenty dokumentów i wyniki wyszukiwania przekazujemy do modeli językowych za pośrednictwem OpenRouter, Inc. (USA), który kieruje je do dostawcy obsługującego dany model (m.in. Anthropic, Google, OpenAI oraz inni dostawcy infrastruktury modeli). Transkrypcję mowy na tekst (dyktowanie) oraz obliczanie reprezentacji wektorowych (embeddingów) na potrzeby wyszukiwania semantycznego realizuje OpenAI, L.L.C. (USA); TUUL nie przechowuje nagrań po wykonaniu transkrypcji, a dostawca może je przechowywać krótkoterminowo wyłącznie w celu wykrywania nadużyć. Przy wyszukiwaniu w internecie zapytania wyszukiwawcze, które mogą zawierać elementy pytania użytkownika, przekazywane są do Tavily (USA). Dane przekazywane są wyłącznie w zakresie niezbędnym do realizacji danej funkcji.

W aplikacji mobilnej przed pierwszym przekazaniem danych do dostawców AI wyświetlany jest ekran informujący o zakresie przekazywanych danych i ich odbiorcach, z prośbą o potwierdzenie.

Dane użytkowników nie są wykorzystywane do trenowania modeli sztucznej inteligencji — ani przez TUUL, ani przez dostawców modeli. Korzystamy wyłącznie z dostawców, którzy nie wykorzystują przekazanych im danych do trenowania ani doskonalenia modeli.

Zakres danych przekazywanych do narzędzi AI oraz sposób ich przetwarzania zależy od wybranej konfiguracji aplikacji oraz trybu pracy, w tym trybu offline i pseudonimizacji.

Dane osobowe mogą być przetwarzane przez podmioty działające na zlecenie TUUL, w szczególności:

• hosting i infrastruktura w Unii Europejskiej: Vercel Inc. (aplikacja internetowa, region Frankfurt), Hetzner Online GmbH (serwery aplikacji, Niemcy), Neon, LLC (baza danych, region AWS Frankfurt), Backblaze, Inc. (kopie zapasowe szyfrowane po stronie TUUL, region UE — Amsterdam), • usługi AI: OpenRouter, Inc. i dostawcy modeli, do których kieruje zapytania; OpenAI, L.L.C.; Tavily — zgodnie z pkt 6, • wysyłka poczty elektronicznej i odbiór wiadomości przekazywanych do spraw: Plus Five Five, Inc. (Resend), USA, • wysyłka kodów SMS: LINK Mobility Poland sp. z o.o. (SMSAPI), Polska, • powiadomienia w aplikacji mobilnej: OneSignal, Inc., USA, • statystyki aplikacji mobilnej: TelemetryDeck GmbH, Niemcy, • monitorowanie błędów: Functional Software, Inc. (Sentry), USA, • ochrona formularzy przed botami: Cloudflare, Inc., USA.

Podmioty te przetwarzają dane wyłącznie na podstawie umów powierzenia przetwarzania danych i zgodnie z poleceniami administratora. O planowanych zmianach dalszych podmiotów przetwarzających dane zawarte w treściach użytkowników informujemy z wyprzedzeniem określonym w pkt 10 Regulaminu.

Odrębnymi administratorami danych są: operator płatności Stripe Payments Europe, Limited (Irlandia) — w zakresie obsługi płatności, przeciwdziałania oszustwom i jego obowiązków prawnych; Google Ireland Limited (logowanie, import plików z Google Drive), Microsoft Ireland Operations Limited (dostęp do OneDrive) i Apple Distribution International Ltd. (logowanie); operatorzy sklepów z aplikacjami.

Dane mogą zostać przekazane także organom publicznym, jeżeli obowiązek taki wynika z przepisów prawa, a w przypadku przekształcenia lub sprzedaży działalności — następcy prawnemu, na zasadach niniejszej polityki.

Serwery i bazy danych wykorzystywane przez TUUL w ramach aplikacji Lexedit znajdują się na terenie Unii Europejskiej (głównie w Niemczech).

Część wskazanych w pkt 7 podmiotów ma siedzibę poza Europejskim Obszarem Gospodarczym, w szczególności w USA. W takich przypadkach dane przekazywane są na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–US Data Privacy Framework — w odniesieniu do podmiotów nim objętych) lub standardowych klauzul umownych (SCC) przyjętych przez Komisję Europejską, zgodnie z rozdziałem V RODO. Kopię stosowanych zabezpieczeń można uzyskać, pisząc na adres info@lexedit.ai.

Dane osobowe są przechowywane przez okres niezbędny do realizacji celów, dla których zostały zebrane, w szczególności:

• dane konta użytkownika – przez czas istnienia konta; po usunięciu konta są usuwane w ciągu 30 dni od potwierdzenia prośby, z wyjątkiem danych, których dalsze przechowywanie jest wymagane przepisami lub niezbędne do obrony roszczeń,

• treści przetwarzane w aplikacji Lexedit – sprawy i dokumenty do czasu ich usunięcia przez użytkownika lub usunięcia konta; wątki wraz z przebiegiem pracy asystenta do czasu usunięcia konta, także po usunięciu wątku przez użytkownika (usunięty wątek przestaje być widoczny w aplikacji); albo przez okres retencji uzgodniony z organizacją,

• dane techniczne, sesji i bezpieczeństwa – przez czas istnienia konta, chyba że wcześniej przestaną być potrzebne; w razie incydentu bezpieczeństwa – do czasu jego wyjaśnienia,

• dane rozliczeniowe i faktury – przez okres wymagany przepisami podatkowymi i rachunkowymi (co do zasady od 8 do 10 lat),

• kopie zapasowe bazy danych – w cyklu ich rotacji, co do zasady do 14 dni,

• nagrania z dyktowania – nie są przechowywane przez TUUL po wykonaniu transkrypcji; u dostawców modeli AI treści są przetwarzane na czas obsługi żądania, a ewentualne krótkoterminowe logi dostawcy służą wyłącznie wykrywaniu nadużyć,

• dane przetwarzane na podstawie zgody – do czasu jej cofnięcia,

• dane kontaktowe i korespondencja – przez czas prowadzenia korespondencji oraz okres przedawnienia ewentualnych roszczeń.

Osobom, których dane dotyczą, przysługuje prawo do:

• dostępu do danych, • ich sprostowania, • usunięcia, • ograniczenia przetwarzania, • przenoszenia danych, • wniesienia sprzeciwu wobec przetwarzania, • cofnięcia zgody w dowolnym momencie (jeżeli przetwarzanie odbywa się na podstawie zgody), bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Prawo sprzeciwu: w każdej chwili można wnieść sprzeciw wobec przetwarzania danych na podstawie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) z przyczyn związanych ze szczególną sytuacją, a wobec przetwarzania w celach marketingowych — bez podawania przyczyn.

Żądania można kierować na adres info@lexedit.ai. Kopię danych można wyeksportować w aplikacji mobilnej lub uzyskać na żądanie, a usunięcie konta zlecić na stronie usuwania konta w serwisie. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Możemy poprosić o informacje pozwalające potwierdzić tożsamość osoby składającej żądanie.

Przysługuje również prawo wniesienia skargi do organu nadzorczego. Organem właściwym dla TUUL jest Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (Stahnsdorfer Damm 77, 14532 Kleinmachnow, Niemcy). Skargę można wnieść również do organu nadzorczego w państwie zwykłego pobytu, miejsca pracy lub miejsca naruszenia — w Polsce do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Dane osób wymienionych w dokumentach i zapytaniach użytkowników (np. klientów, stron i uczestników postępowań) pochodzą od użytkowników. TUUL przetwarza je jako podmiot przetwarzający, a gdy z Lexedit korzysta konsument we własnej sprawie — jako administrator, na zasadach opisanych w pkt 2.

TUUL może przetwarzać służbowe dane kontaktowe osób wykonujących zawody prawnicze i przedstawicieli kancelarii, przedsiębiorstw oraz instytucji publicznych (imię i nazwisko, stanowisko lub tytuł zawodowy, nazwa i adres podmiotu, służbowy adres e-mail lub telefon), pozyskane z publicznie dostępnych źródeł, takich jak rejestry publiczne, wykazy samorządów zawodowych i strony internetowe. Celem jest przekazywanie informacji o usłudze Lexedit, w tym w formie korespondencji tradycyjnej, a drogą elektroniczną — w zakresie dopuszczalnym przez przepisy o komunikacji elektronicznej (art. 6 ust. 1 lit. f RODO — uzasadnionym interesem jest informowanie o własnej usłudze). Dane te przechowujemy do czasu wniesienia sprzeciwu, nie dłużej niż 2 lata od ostatniego kontaktu. Sprzeciw można wnieść w każdej chwili za pomocą strony wypisu wskazanej w korespondencji lub e-mailem na adres info@lexedit.ai; po sprzeciwie przechowujemy jedynie informacje niezbędne do tego, aby nie kontaktować się ponownie.

Serwisy TUUL wykorzystują pliki cookies niezbędne do prawidłowego działania strony oraz zapewnienia bezpieczeństwa. Szczegółowe informacje znajdują się w Polityce cookies.

Lexedit nie podejmuje decyzji wywołujących skutki prawne wobec użytkownika wyłącznie w sposób zautomatyzowany w rozumieniu art. 22 RODO.

Stosujemy automatyczne mechanizmy bezpieczeństwa, takie jak limity użycia i wykrywanie nadużyć. Jeżeli w ich wyniku dostęp do konta zostanie ograniczony, można zwrócić się o ponowną weryfikację przez człowieka.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym szyfrowanie połączeń i danych w spoczynku, ograniczenie dostępu do danych produkcyjnych do wąskiego zespołu i przechowywanie danych w infrastrukturze w Unii Europejskiej. Opis znajduje się na stronie „Bezpieczeństwo” w serwisie.

W przypadku naruszenia ochrony danych osobowych powodującego wysokie ryzyko dla praw lub wolności osób fizycznych zawiadamiamy o nim osoby, których dane dotyczą, bez zbędnej zwłoki.

Usługi Lexedit nie są przeznaczone dla osób poniżej 18. roku życia. Nie przetwarzamy świadomie danych takich osób jako użytkowników.

W sprawach związanych z ochroną danych osobowych można kontaktować się pod adresem: info@lexedit.ai.

Polityka prywatności może być aktualizowana, w szczególności w razie zmiany przepisów, funkcji usługi lub podmiotów przetwarzających. O istotnych zmianach informujemy użytkowników e-mailem lub w serwisie. Aktualna wersja obowiązuje od daty wskazanej na początku dokumentu.