O NAS – FILOZOFIA I KIERUNEK AURA ASTRIX

Wersja 1.8 · Obowiązuje od dnia: 18 października 2026 r.

Rozdział I: Postanowienia Ogólne, Prawa Autorskie i Architektura SaaS

Twórca, Właściciele Praw i Operator: Autorem (twórcą) oraz wyłącznym właścicielem autorskich praw majątkowych do oprogramowania chmurowego Aura Astrix oraz do oprogramowania i aplikacji Aura Protex™ (zwanych dalej łącznie „Systemem”) jest Wojciech Kawalec. Prawa do wynalazku leżącego u podstaw technologii Aura Protex™, objętego zgłoszeniem patentowym nr P.455482, przysługują Astrix Sp. z o.o. Operatorem Systemu oraz podmiotem uprawnionym do świadczenia usług drogą elektroniczną i udzielania dalszych subskrypcji (sublicencji) jest Astrix Sp. z o.o. (zwana dalej „Dostawcą”), działająca na podstawie pisemnej licencji udzielonej przez autora, obejmującej prawo do udzielania sublicencji.

Wyłączny obrót B2B i oświadczenie o charakterze zawodowym: Niniejszy Regulamin określa zasady świadczenia usług wyłącznie w relacjach B2B (Business-to-Business). Użytkownikiem Systemu może być wyłącznie przedsiębiorca, spółka prawa handlowego lub jednostka organizacyjna posiadająca zdolność prawną. Zakładając konto w Systemie i akceptując niniejszy Regulamin, Użytkownik oświadcza, że działa wyłącznie w celach zawodowych, a zawierana umowa o korzystanie z Systemu ma dla niego charakter zawodowy, bezpośrednio związany z przedmiotem wykonywanej przez niego działalności gospodarczej (w tym określonym w CEIDG lub KRS). Przepisy dotyczące ochrony konsumentów oraz przepisy o ochronie osób fizycznych zawierających umowę niezwiązaną z charakterem zawodowym działalności nie mają zastosowania.

Usługa świadczona jest w modelu SaaS (Software as a Service) w architekturze modułowej (umożliwiającej dobór poszczególnych modułów funkcjonalnych). Dostawca udostępnia infrastrukturę technologiczną oraz interfejs, jednak w żadnym stopniu nie ingeruje w procesy biznesowe Użytkownika, nie jest stroną umów zawieranych przez Użytkownika z podmiotami trzecimi i nie ponosi za nie odpowiedzialności prawnej, finansowej ani podatkowej.

Oprogramowanie Aura Astrix dostarczane jest w stanie, w jakim się znajduje („as is”). Dostawca dąży do zapewnienia najwyższej dostępności usług, jednak zastrzega sobie prawo do przerw technicznych, aktualizacji oraz koniecznego czasu na zdiagnozowanie i usunięcie ewentualnych błędów.

Rozdział II: Moduł Magazynowo-Logistyczny (WMS) i Kurierski

Moduł logistyczny automatyzuje proces wydawania i pakowania towarów, obsługuje odczyt z urządzeń peryferyjnych (w tym wag magazynowych i czytników kodów) oraz wydruk dokumentów handlowych, fiskalnych i etykiet przewozowych (w tym w ramach integracji z operatorami kurierskimi, takimi jak Grupa InPost).

Komunikacja modułu ze sprzętem lokalnym Użytkownika realizowana jest w całości przez zintegrowane z aplikacją API (Agent Aura). Dostęp do API jest dostarczany zgodnie z umową i obowiązującym cennikiem, bez naliczania ukrytych opłat jednostkowych ze strony Dostawcy za samo wygenerowanie etykiety.

Dostawca odpowiada wyłącznie za prawidłowe działanie i dostępność API po stronie aplikacji.

Dostawca kategorycznie wyłącza swoją odpowiedzialność za błędy komunikacji wynikające z fizycznych awarii sprzętu Użytkownika (np. uszkodzenia wag, drukarek etykiet, drukarek fiskalnych) oraz za braki w łączności z siecią Internet po jego stronie.

Rozdział III: Asystent Pakowania i Moduł Aura Protex™

Proces pakowania i weryfikacji przesyłek jest operacyjnie wspierany przez zintegrowanego Asystenta Pakowania. Wykorzystuje on autorskie algorytmy analizy wizyjnej i przestrzennej w celu inteligentnego zarządzania procesem (m.in. dynamiczna detekcja, automatyczna analiza gabarytów i weryfikacja zawartości).

Integralność, Kryptografia i Status Patent Pending: Moduł Aura Protex™ zabezpiecza integralność dowodów z procesu pakowania poprzez generowanie kryptograficznych sum kontrolnych w oparciu o algorytm BLAKE3. Do usługi znakowania czasem – systemowej lub, w przypadku aktywacji odpowiedniej usługi zaufania, kwalifikowanej i synchronizowanej z wzorcem zegara atomowego zewnętrznego dostawcy usług zaufania – przekazywany jest skrót SHA-256. Algorytm BLAKE3 stosowany jest w modułach Aura Astrix oraz Aura Protex™ do pieczętowania zdarzeń; w pozostałych funkcjach, w szczególności przy autoryzacji i weryfikacji dokumentów oraz w znacznikach czasu wystawianych przez podmioty zewnętrzne, stosowane są standardy rynkowe, w szczególności SHA-256. Pozwala to wykazać, że materiał nie został zmieniony po jego zarejestrowaniu. Wynalazek leżący u podstaw technologii Aura Protex™ jest przedmiotem zgłoszenia patentowego nr P.455482, dokonanego w Urzędzie Patentowym RP w dniu 20 kwietnia 2026 r. przez Astrix Sp. z o.o. (Patent Pending), a jego architektura jest chroniona przed kopiowaniem i nieuprawnionym wykorzystaniem przez podmioty trzecie na gruncie prawa autorskiego, tajemnicy przedsiębiorstwa oraz przepisów o zwalczaniu nieuczciwej konkurencji.

Architektura Zero-Knowledge (Hash-Only): Przez zasadę Zero-Knowledge w rozumieniu niniejszego Regulaminu rozumie się architekturę typu Hash-Only (brak dostępu do treści źródłowej): infrastruktura Dostawcy nie archiwizuje, nie przetwarza ani nie przesyła rzeczywistych plików źródłowych (nagrań wideo), a jedynie ich jednokierunkowe sumy kontrolne, znaczniki czasu oraz powiązane metadane zdarzenia (mogące obejmować m.in. numer zamówienia oraz identyfikator stanowiska lub operatora). Pełna kontrola nad fizycznymi dowodami nagrań, obowiązek ich bezpiecznego przechowywania oraz spełnienia obowiązków informacyjnych wobec personelu magazynowego leży wyłącznie po stronie Użytkownika.

Wymagania Sprzętowe: Do pełnego wykorzystania funkcji inteligentnej analizy i haszowania w czasie rzeczywistym wymagane jest użycie kompatybilnych kamer wizyjnych lub autoryzowanej aplikacji mobilnej Aura Protex, udostępnianej w usłudze Google Play zgodnie z jej bieżącą dostępnością.

Faza testowa: Asystent Pakowania znajduje się w fazie ciągłego rozwoju. Użytkownik akceptuje, że z racji uczenia się systemu, funkcja ta udostępniana jest jako narzędzie wspierające, a ostateczna weryfikacja poprawności skompletowania paczki spoczywa na Użytkowniku.

Rozdział IV: Asystent AI (Aura / Ala) i Ciągłe Doskonalenie Systemu

W ramach Systemu udostępniany jest inteligentny asystent operacyjny (Aura / Ala), którego zadaniem jest automatyzacja pracy, generowanie i tłumaczenie ofert, asystowanie w procesach operacyjnych oraz wsparcie techniczne Użytkownika.

Technologia i Odpowiedzialność: Silnik poznawczy Asystenta oparty jest na integracji z zewnętrznymi modelami sztucznej inteligencji o wysokiej wydajności. Dostawca odpowiada za architekturę integracyjną oraz warstwę logiczną przesyłanych instrukcji, natomiast nie ponosi odpowiedzialności za dostępność infrastruktury operatorów zewnętrznych ani za błędy predykcyjne samego modelu. Wskazania generowane przez AI pełnią funkcję pomocniczą i wymagają ostatecznej akceptacji Użytkownika.

Rozdzielenie Danych Treści od Danych Eksploatacyjnych:

Dane merytoryczne i treści wprowadzane przez Użytkownika (w tym dane osobowe kupujących, dokumenty handlowe oraz dokumentacja wewnętrzna spółki) są przetwarzane przez Dostawcę wyłącznie na udokumentowane polecenie Użytkownika w celu świadczenia usługi i nie są wykorzystywane do trenowania jakichkolwiek modeli AI.

W celu ciągłego doskonalenia jakości Systemu, diagnostyki błędów oraz optymalizacji algorytmów, Dostawca przetwarza własne dane eksploatacyjne: logi techniczne i bezpieczeństwa (które mogą zawierać adresy IP oraz identyfikatory użytkowników/sesji) oraz zagregowane wskaźniki telemetryczne i statystyczne pozbawione treści dokumentów oraz tajemnicy przedsiębiorstwa Użytkownika.

Rozdział V: Moduły Księgowe, ERP, Sklepowe oraz Korporacyjne (Wersja Beta / Sandbox / Roadmap)

System Aura Astrix obejmuje moduły integrujące się z zewnętrznymi systemami finansowo-księgowymi i ERP (m.in. Comarch, KSeF) oraz platformami e-commerce i marketplace (dostępnymi produkcyjnie, takimi jak Allegro, oraz wdrażanymi etapowo zgodnie z mapą drogową rozwoju Systemu, takimi jak Amazon, Erli, Empik, WooCommerce, Shoper, Shopify, PrestaShop, Magento) w celu centralnego zarządzania ofertami, stanami magazynowymi i dokumentacją. Dostępność poszczególnych konektorów w danym momencie określona jest w panelu konfiguracyjnym Systemu.

Moduł Corporate Governance oraz Kanał Doradczy: System obejmuje dedykowane środowisko do obsługi procesów korporacyjnych i dokumentacji wewnętrznej podmiotów gospodarczych (udostępniane na odrębnych warunkach i wspierające opcjonalną architekturę BYOC / BYOK – Bring Your Own Cloud / Key), a także opcjonalny kanał przekazywania zapytań online do niezależnego Partnera Merytorycznego (doradczo-księgowego).

Moduły opisane w niniejszym rozdziale znajdują się obecnie w fazie rozbudowy i testów przedwdrożeniowych (Beta / Sandbox). Użytkownik korzysta z nich na własne ryzyko. Wyłączny obowiązek weryfikacji poprawności stawek podatkowych, przeliczeń walutowych oraz zgodności dokumentów z obowiązującym prawem przed ich zatwierdzeniem lub wysłaniem do urzędów spoczywa na Użytkowniku.

Rozdział VI: Integracje z Podmiotami Trzecimi (API) oraz Powierzenie Przetwarzania Danych

Wymiana danych między Systemem a platformami zewnętrznymi ma charakter asynchroniczny. Dostawca nie gwarantuje natychmiastowej synchronizacji ofert, cen czy stanów magazynowych, ze względu na limity (rate limits) narzucane przez operatorów zewnętrznych.

Korzystanie z integracji wymaga bezwzględnego przestrzegania regulaminów platform docelowych. Dostawca kategorycznie wyłącza swoją odpowiedzialność za zablokowanie kont sprzedażowych Użytkownika.

Umowa Powierzenia (DPA): Akceptacja niniejszego Regulaminu przez Użytkownika oznacza jednoczesne zawarcie z Dostawcą umowy powierzenia przetwarzania danych osobowych (w rozumieniu art. 28 RODO) w zakresie danych wprowadzanych przez Użytkownika do modułów Systemu, na warunkach szczegółowo określonych w Rozdziale II oraz Załączniku nr 1 Polityki Prywatności, stanowiącej integralną część niniejszego Regulaminu.

Rozdział VII: Bezpieczeństwo Chmurowe i Ochrona Własności Intelektualnej

Infrastruktura i Szyfrowanie: Dane spoczywające na dyskach w infrastrukturze chmurowej Google Cloud (w centrach danych na terenie Europejskiego Obszaru Gospodarczego – region Belgia, europe-west1) są chronione szyfrowaniem AES-256, transmisja sieciowa zabezpieczona jest protokołem TLS (w tym TLS 1.3), natomiast klucze API i poświadczenia integracji przechowywane w bazie danych szyfrowane są symetrycznym algorytmem kryptograficznym Fernet (AES-128-CBC z uwierzytelnianiem HMAC-SHA256). W przypadku dedykowanych wdrożeń korporacyjnych (Enterprise), na odrębne zamówienie udostępniana jest opcja przetwarzania w izolowanych maszynach wirtualnych Confidential Computing.

Własność Intelektualna i Tajemnica Przedsiębiorstwa: Kod źródłowy, architektura Systemu, algorytmy AI, unikalne rozwiązania w modułach specjalistycznych oraz mechanizmy kryptograficzne (haszowanie BLAKE3 w modułach Aura Astrix i Aura Protex™ oraz wykorzystanie skrótu SHA-256 w znakowaniu czasem) stanowią własność intelektualną ich twórcy – Wojciecha Kawalec (w zakresie praw autorskich), z której Dostawca (Astrix Sp. z o.o.) korzysta na podstawie pisemnej licencji obejmującej prawo do udzielania sublicencji. Wynalazek leżący u podstaw modułu Aura Protex™ objęty jest zgłoszeniem patentowym nr P.455482 (Patent Pending), dokonanym przez Astrix Sp. z o.o. Całość powyższych rozwiązań oraz logika biznesowa modułów podlegają ochronie jako tajemnica przedsiębiorstwa. Użytkownik w ramach opłaconej subskrypcji uzyskuje wyłącznie niewyłączne, nieprzenoszalne prawo dostępu do funkcjonalności Systemu w modelu SaaS, bez nabywania jakichkolwiek praw do kodu źródłowego.

Zakaz Inżynierii Wstecznej: Użytkownikowi, pod rygorem natychmiastowego rozwiązania umowy oraz odpowiedzialności odszkodowawczej względem Właściciela praw autorskich oraz Dostawcy, kategorycznie zabrania się podejmowania jakichkolwiek prób inżynierii wstecznej (reverse engineering), analizowania struktury API w celu kopiowania rozwiązań oraz tworzenia oprogramowania pochodnego w oparciu o architekturę Systemu Aura Astrix.

Rozdział VIII: Płatności, Rozliczenia, Rozwiązanie Umowy i Zwrot Danych

Dostęp do modułów komercyjnych (w tym funkcji AI Premium) realizowany jest w modelu przedpłaconej subskrypcji (pre-paid). System umożliwia elastyczny dobór modułów („klocków”) z zastosowaniem automatycznego, kaskadowego systemu rabatowego uzależnionego od liczby aktywnych modułów.

Autoryzacja i obsługa transakcji płatniczych realizowana jest za pośrednictwem zewnętrznego, certyfikowanego operatora płatności elektronicznych udostępnionego w panelu Systemu lub na podstawie faktury proforma / przelewu bankowego.

Brak Zwrotów i Wypowiedzenie przez Użytkownika: W relacjach B2B, po zaksięgowaniu wpłaty i aktywacji dostępu do modułu, wniesione opłaty nie podlegają zwrotowi. Użytkownik może w każdej chwili zrezygnować z subskrypcji na kolejny okres rozliczeniowy lub rozwiązać umowę ze skutkiem na koniec opłaconego okresu abonamentowego za pośrednictwem panelu konta.

Wypowiedzenie i Zawieszenie Konta przez Dostawcę: Dostawca jest uprawniony do zawieszenia dostępu do Konta lub wypowiedzenia umowy ze skutkiem natychmiastowym w przypadku:

• opóźnienia Użytkownika w uiszczeniu opłat abonamentowych na kolejny okres rozliczeniowy przekraczającego 7 dni,
• naruszenia przez Użytkownika postanowień Rozdziału VII (próby inżynierii wstecznej, naruszenia tajemnicy przedsiębiorstwa lub bezpieczeństwa sieci),
• wykorzystywania Systemu do działań niezgodnych z prawem lub naruszających prawa osób trzecich.

Z ważnych przyczyn organizacyjnych lub technicznych Dostawca może również wypowiedzieć umowę z zachowaniem 1-miesięcznego okresu wypowiedzenia ze skutkiem na koniec miesiąca kalendarzowego.

Pakiety AI: Pakiety Asystenta AI przyznają pulę zapytań na dany okres rozliczeniowy. Niewykorzystane zapytania nie przechodzą na kolejne okresy. Po wyczerpaniu limitu dostęp zostaje zawieszony do czasu odnowienia.

Eksport i Usunięcie Danych po Zakończeniu Umowy: Przed wygaśnięciem umowy oraz w terminie do 30 dni od dnia jej rozwiązania lub wygaśnięcia, Użytkownik ma prawo wyeksportować swoje dane i dokumenty z Systemu w ustrukturyzowanym formacie (np. CSV/JSON/PDF). Po upływie 30 dni od rozwiązania umowy Dostawca trwale usuwa powierzone dane treści Użytkownika z aktywnych baz produkcyjnych, chyba że obowiązek ich dalszego przechowywania wynika z bezwzględnie obowiązujących przepisów prawa.

Rozdział IX: Ograniczenie Odpowiedzialności (SLA i Siła Wyższa)

Odpowiedzialność Dostawcy z tytułu niewykonania lub nienależytego wykonania umowy ograniczona jest do rzeczywistej szkody poniesionej przez Użytkownika (damnum emergens), z zastrzeżeniem limitu określonego poniżej. Dostawca nie odpowiada za utracone korzyści (lucrum cessans), a także za przestoje, błędy synchronizacji skutkujące sprzedażą towarów o zerowym stanie, awarie sprzętu Użytkownika oraz przestoje spowodowane awariami globalnej infrastruktury chmurowej.

Zdarzenia losowe i naturalne: Dostawca nie ponosi odpowiedzialności za zakłócenia w działaniu Systemu lub czasowe przerwy w dostępie do danych powstałe wskutek nieprzewidywalnych zdarzeń losowych, działania czynników naturalnych (przyrodniczych) lub innych okoliczności o charakterze Siły Wyższej, pozostających poza techniczną kontrolą Dostawcy.

Maksymalna odpowiedzialność finansowa Dostawcy względem Użytkownika z tytułu niewykonania lub nienależytego wykonania umowy ogranicza się do kwoty równej abonamentowi netto faktycznie zapłaconemu przez Użytkownika w miesiącu rozliczeniowym, w którym nastąpiło zdarzenie wywołujące szkodę.

Postanowienia niniejszego Rozdziału nie wyłączają ani nie ograniczają odpowiedzialności Dostawcy za szkody wyrządzone Użytkownikowi z winy umyślnej (zgodnie z art. 473 § 2 Kodeksu cywilnego), ani odpowiedzialności wobec osób fizycznych, których dane dotyczą, z tytułu naruszenia przepisów RODO na zasadach określonych w art. 82 RODO.

Rozdział X: Postanowienia Końcowe, Zmiany Regulaminu, Język i Prawo Właściwe

Niniejszy Regulamin wchodzi w życie z dniem publikacji wskazanym w nagłówku. Dostawca zastrzega sobie prawo do zmiany niniejszego Regulaminu z ważnych przyczyn technicznych, prawnych lub organizacyjnych (w tym wprowadzenia nowych modułów). W odniesieniu do Użytkowników posiadających aktywne Konto w chwili wprowadzania zmian, o zmianie Regulaminu zostaną oni poinformowani drogą elektroniczną lub poprzez komunikat w panelu Systemu z co najmniej 14-dniowym wyprzedzeniem. Brak wypowiedzenia umowy przez Użytkownika przed wejściem zmian w życie oznacza ich akceptację.

System wspiera wielojęzyczność. Tłumaczenia interfejsu oraz Regulaminu na języki obce (w tym angielski i obsługa waluty EUR) mają charakter pomocniczy. Prawnie wiążącą i rozstrzygającą wersją niniejszego Regulaminu jest wersja polska.

Prawem właściwym jest prawo Rzeczypospolitej Polskiej. Wszelkie spory rozstrzygane będą przez sąd właściwy miejscowo dla siedziby Dostawcy.

Operator i Dostawca Usługi (Licencjobiorca): Astrix Spółka z Ograniczoną Odpowiedzialnością z siedzibą w Patokach (Patoki 38, 98-170 gm. Widawa), wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla Łodzi-Śródmieścia w Łodzi, XX Wydział Gospodarczy KRS, pod numerem KRS: 0000778180, NIP: PL7792504345, kapitał zakładowy: 5 000,00 PLN. Twórca i Właściciel Praw Autorskich: Wojciech Kawalec. Zgłaszający wynalazek P.455482: Astrix Sp. z o.o. Kontakt: kontakt@astrix.center · aura-astrix.com · aura-protex.com

Wersja 1.8 · Obowiązuje od dnia: 18 października 2026 r.

Rozdział I: Administrator Danych, Prawa Własności i Postanowienia Ogólne

Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych w ramach oprogramowania chmurowego Aura Astrix oraz aplikacji Aura Protex (zwanych łącznie „Systemem”), których twórcą i właścicielem praw autorskich jest Wojciech Kawalec, natomiast operatorem świadczącym usługi na podstawie udzielonej licencji jest spółka Astrix Sp. z o.o.

Administratorem danych osobowych Użytkowników (przedsiębiorców B2B posiadających konto w Systemie) oraz danych eksploatacyjnych Systemu jest operator Systemu – Astrix Spółka z Ograniczoną Odpowiedzialnością z siedzibą w Patokach (Patoki 38, 98-170 gm. Widawa), wpisana do Rejestru Przedsiębiorców KRS pod numerem: 0000778180, NIP: PL7792504345 (zwana dalej „Dostawcą” lub „Administratorem”). Kontakt w sprawach ochrony danych: kontakt@astrix.center.

Dane przetwarzane są zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz polskimi przepisami prawa.

Rozdział II: Ścisły Podział Ról (Administrator a Procesor) oraz Umowa Powierzenia Przetwarzania Danych (DPA – art. 28 RODO)

W celu zachowania pełnej zgodności z RODO, w Systemie obowiązuje ścisły rozdział pomiędzy danymi własnymi Dostawcy a danymi powierzonymi przez Użytkownika:

Dostawca jako Administrator Danych (Własne cele przetwarzania): Dostawca jest Administratorem wyłącznie w odniesieniu do:

• danych kont Użytkowników B2B (dane rejestrowe firmy, NIP, adres e-mail, telefon, dane osób reprezentujących Użytkownika oraz historia rozliczeń subskrypcyjnych) – przetwarzanych w celu zawarcia i realizacji umowy (art. 6 ust. 1 lit. b RODO) oraz rozliczeń podatkowo-księgowych (art. 6 ust. 1 lit. c RODO),
• logów technicznych i bezpieczeństwa Systemu (które mogą zawierać dane osobowe w postaci adresów IP, identyfikatorów użytkowników, znaczników czasu sesji oraz kodów odpowiedzi API) – przetwarzanych na podstawie prawnie uzasadnionego interesu Administratora (art. 6 ust. 1 lit. f RODO) w celu zapewnienia bezpieczeństwa sieci, rozliczalności operacji, wykrywania nadużyć oraz diagnostyki błędów,
• zagregowanych danych eksploatacyjnych i telemetrycznych (pozbawionych treści merytorycznych Użytkownika oraz danych osobowych) – wykorzystywanych do optymalizacji wydajności oraz rozwoju funkcjonalności i algorytmów Systemu (art. 6 ust. 1 lit. f RODO).

Dostawca jako Podmiot Przetwarzający – Procesor (Umowa Powierzenia Danych – art. 28 RODO): W odniesieniu do wszelkich treści i danych osobowych wprowadzanych przez Użytkownika do modułów Systemu, wyłącznym Administratorem pozostaje Użytkownik, który powierza je Dostawcy do przetwarzania na poniższych zasadach (oraz zgodnie ze specyfikacją w Załączniku nr 1 na końcu niniejszego dokumentu):

• Udokumentowane polecenie i cel: Dostawca przetwarza powierzone dane wyłącznie na udokumentowane polecenie Użytkownika (jakim jest aktywacja i obsługa danego modułu w Systemie) oraz wyłącznie w celu technicznego świadczenia usług SaaS;
• Poufność i bezpieczeństwo (art. 32 RODO): Dostawca zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy, oraz wdraża środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku zgodnie z art. 32 RODO;
• Wsparcie i zgłaszanie naruszeń: Dostawca, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Użytkownikowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą (Rozdział III RODO), oraz z obowiązków określonych w art. 32–36 RODO. W przypadku stwierdzenia naruszenia ochrony danych osobowych powierzonych przez Użytkownika, Dostawca zgłasza je Użytkownikowi bez zbędnej zwłoki (nie później niż w ciągu 36 godzin od wykrycia) na adres e-mail przypisany do Konta;
• Warunki korzystania z podprocesorów i prawo sprzeciwu: Użytkownik wyraża ogólną zgodę na dalsze powierzenie danych (podpowierzenie) podprocesorom wskazanym w Wykazie Podprocesorów w Rozdziale V. Dostawca nakłada na każdego podprocesora te same obowiązki ochrony danych, jak określone w niniejszej umowie (w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych). O wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów Dostawca informuje Użytkownika z co najmniej 14-dniowym wyprzedzeniem, dając Użytkownikowi możliwość wyrażenia sprzeciwu (w razie zgłoszenia uzasadnionego sprzeciwu Użytkownik ma prawo rozwiązać umowę ze skutkiem natychmiastowym przed rozpoczęciem przetwarzania przez nowego podprocesora);
• Prawo do audytu i informacji: Dostawca udostępnia Użytkownikowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Użytkownikowi lub audytorowi upoważnionemu przez Użytkownika przeprowadzanie audytów (w tym inspekcji dokumentacji bezpieczeństwa i architektury), po uprzednim zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, z zachowaniem tajemnicy przedsiębiorstwa Dostawcy i bezpieczeństwa danych innych klientów;
• Zwrot i usunięcie danych: Po zakończeniu świadczenia usług związanych z przetwarzaniem, zależnie od decyzji Użytkownika, Dostawca umożliwia wyeksportowanie (zwrot) danych w terminie 30 dni, a następnie trwale usuwa powierzone dane osobowe oraz wszelkie ich istniejące kopie z aktywnych systemów, chyba że prawo Unii lub prawo polskie nakazują przechowywanie danych osobowych.

Rozdział III: Architektura Zero-Knowledge (Hash-Only), BLAKE3, Znaczniki Czasu SHA-256 i Status Patent Pending w Module Aura Protex™

Zgodnie z architekturą Zero-Knowledge (typu Hash-Only – brak dostępu do plików źródłowych) zastosowaną w module Aura Protex™ (będącym przedmiotem zgłoszenia patentowego nr P.455482 z dnia 20 kwietnia 2026 r., dokonanego przez Astrix Sp. z o.o. – Patent Pending), infrastruktura Dostawcy nie pobiera, nie archiwizuje ani nie przetwarza rzeczywistych plików wideo rejestrowanych przez kamery wizyjne lub aplikację mobilną podczas pakowania przesyłek.

Moduł Aura Protex™ przetwarza i utrwala wyłącznie jednokierunkowe, kryptograficzne sumy kontrolne generowane za pomocą algorytmu BLAKE3, znaczniki czasu oraz powiązane metadane zdarzenia (mogące obejmować m.in. numer zamówienia oraz identyfikator stanowiska lub operatora). Do usługi znakowania czasem – systemowej lub, po aktywacji integracji z dostawcą usług zaufania, kwalifikowanej i synchronizowanej z wzorcem zegara atomowego – przekazywany jest skrót SHA-256. Algorytm BLAKE3 stosowany jest w modułach Aura Astrix oraz Aura Protex™ do pieczętowania zdarzeń; w pozostałych funkcjach, w szczególności przy autoryzacji i weryfikacji dokumentów oraz w znacznikach czasu wystawianych przez podmioty zewnętrzne, stosowane są standardy rynkowe, w szczególności SHA-256. Pozwala to wykazać, że materiał nie został zmieniony po jego zarejestrowaniu, przy jednoczesnym zachowaniu matematycznej niemożliwości odtworzenia z samego hasza wizerunku osób ani treści nagrania. Pełna kontrola nad fizycznymi plikami wideo oraz realizacja obowiązków RODO wobec pracowników magazynu spoczywa wyłącznie na Użytkowniku.

Rozdział IV: Bezpieczeństwo AI, BYOC oraz Ochrona Treści Klientów

Zakaz trenowania AI na danych treści Użytkownika: Dane merytoryczne przetwarzane przez Dostawcę w roli Procesora (w tym dane handlowe, finansowe, dane osobowe kupujących, dane poufne oraz wewnętrzna dokumentacja korporacyjna Użytkownika) służą wyłącznie wykonaniu usługi dla Użytkownika i nigdy nie są wykorzystywane do trenowania ani douczania jakichkolwiek modeli sztucznej inteligencji (zarówno wewnętrznych, jak i zewnętrznych).

Wykorzystanie zagregowanej telemetrii bez treści: Rozwój i optymalizacja Systemu oraz mechanizmów wspierających Asystenta AI (Aura / Ala) odbywa się wyłącznie w oparciu o zagregowane parametry techniczne i statystyki wywołań funkcji, które nie zawierają treści wprowadzanych przez Użytkownika, danych osobowych ani tajemnicy przedsiębiorstwa.

Tryb BYOC / BYOK: W przypadku korzystania przez Użytkownika z własnych kluczy chmurowych (Bring Your Own Cloud / Key) oraz zewnętrznych narzędzi komunikacyjnych, przetwarzanie odbywa się bezpośrednio w infrastrukturze wybranego operatora zewnętrznego, bez obciążania i trwałego zapisywania na serwerach Dostawcy.

Kanał Doradczy: W przypadku dobrowolnego wysłania przez Użytkownika zapytania podatkowo-księgowego przez moduł wsparcia eksperckiego, dane objęte zapytaniem przekazywane są na wyraźne żądanie Użytkownika do niezależnego Partnera Merytorycznego (biura rachunkowego / kancelarii doradczej), który odpowiada za ich dalsze przetwarzanie zgodnie z tajemnicą zawodową.

Rozdział V: Zabezpieczenia Kryptograficzne, Podprocesorzy, Transfer Danych i Zdarzenia Losowe

Zabezpieczenia techniczne i szyfrowanie:

• Dane spoczywające na dyskach w infrastrukturze chmurowej Google Cloud Platform (w centrach danych na terenie Europejskiego Obszaru Gospodarczego – region Belgia, europe-west1) są szyfrowane standardem AES-256;
• komunikacja sieciowa pomiędzy przeglądarką, Agentem Aura i serwerem szyfrowana jest protokołem TLS (w tym TLS 1.3);
• tokeny dostępowe, hasła i klucze integracji z platformami zewnętrznymi przechowywane w bazie danych Systemu są dodatkowo szyfrowane symetrycznym algorytmem kryptograficznym Fernet (AES-128 w trybie CBC z uwierzytelnianiem HMAC-SHA256);
• opcjonalnie, dla dedykowanych wdrożeń korporacyjnych (Enterprise), udostępniane są maszyny wirtualne z szyfrowaniem pamięci RAM (Confidential Computing).

Wykaz Podprocesorów i Odbiorców Danych: W celu świadczenia usług Dostawca korzysta z następujących podprocesorów oraz operatorów:

• Google Cloud EMEA Limited (Irlandia / centrum danych w Belgii, UE) – podstawowa infrastruktura serwerowa, bazy danych, usługi chmurowe oraz modele AI w usłudze Vertex AI / Gemini,
• Anthropic Ireland, Limited / Anthropic PBC – opcjonalne przetwarzanie zapytań API przez modele językowe Claude w komercyjnym trybie API (bez prawa do trenowania modeli na przesyłanych danych),
• Zewnętrzny certyfikowany operator płatności elektronicznych (wskazany w panelu płatności Systemu) oraz instytucje bankowe – jako odrębni administratorzy danych w zakresie autoryzacji i obsługi płatności subskrypcyjnych,
• zewnętrzni operatorzy wybrani i zintegrowani bezpośrednio przez Użytkownika na jego polecenie (operatorzy logistyczni, np. InPost, platformy marketplace, systemy ERP, dostawcy kwalifikowanych usług zaufania oraz Partner Merytoryczny w module doradczym).

Zabezpieczenie transferu danych poza EOG: Co do zasady bazy danych utrzymywane są na serwerach w Unii Europejskiej (region Belgia w EOG). W zakresie, w jakim korzystanie z globalnych usług chmurowych lub interfejsów API modeli AI wiąże się z transferem danych do Stanów Zjednoczonych:

• w odniesieniu do Google LLC transfer opiera się na certyfikacji w ramach programu EU-U.S. Data Privacy Framework (DPF) (decyzja wykonawcza Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony) oraz uzupełniająco na Standardowych Klauzulach Umownych (SCC),
• w odniesieniu do Anthropic PBC transfer realizowany jest w oparciu o Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską (Data Processing Addendum z modułem SCC).

Zdarzenia losowe i naturalne: Dostawca utrzymuje procedury kopii zapasowych, jednak nie ponosi odpowiedzialności za czasowe przerwy w dostępie do danych lub zakłócenia w funkcjonowaniu infrastruktury, jeżeli powstały one wskutek nieprzewidywalnych zdarzeń losowych, działania czynników naturalnych (przyrodniczych) lub innych okoliczności o charakterze Siły Wyższej.

Rozdział VI: Okres Przechowywania, Prawa Użytkownika i Pliki Cookies

Dane rozliczeniowe i konta Użytkownika przechowywane są przez okres aktywności konta oraz przez okres wymagany przepisami prawa podatkowego i rachunkowego (5 lat od końca roku podatkowego). Logi bezpieczeństwa przechowywane są przez okres do 12 miesięcy. Dane treści powierzone przez Użytkownika przechowywane są wyłącznie przez czas trwania usługi (oraz do 30 dni po jej zakończeniu na potrzeby eksportu danych) lub do momentu ich wcześniejszego usunięcia przez Użytkownika.

Użytkownikowi przysługuje prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, wniesienia sprzeciwu oraz wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO, ul. Stawki 2, 00-193 Warszawa).

System wykorzystuje pliki cookies oraz pamięć lokalną przeglądarki (Local Storage) wyłącznie w celach technicznych niezbędnych do utrzymania szyfrowanej sesji logowania, obsługi modułów oraz autoryzacji API (Agent Aura).

ZAŁĄCZNIK NR 1 DO POLITYKI PRYWATNOŚCI (SZCZEGÓŁOWY ZAKRES POWIERZENIA PRZETWARZANIA DANYCH – ART. 28 UST. 3 RODO)

Przedmiot i czas trwania przetwarzania: Przedmiotem przetwarzania są dane osobowe wprowadzane przez Użytkownika do aktywowanych modułów Systemu Aura Astrix. Przetwarzanie trwa przez okres obowiązywania umowy o świadczenie usług SaaS zawartej pomiędzy Użytkownikiem a Dostawcą (oraz do 30 dni po jej rozwiązaniu na potrzeby wyeksportowania i usunięcia danych).

Charakter i cel przetwarzania: Przetwarzanie ma charakter zautomatyzowany (w systemie chmurowym SaaS) i obejmuje zbieranie, utrwalanie, organizowanie, przechowywanie, pobieranie, synchronizację po API, generowanie wydruków/etykiet oraz usuwanie danych – wyłącznie w celu realizacji funkcjonalności wybranych przez Użytkownika modułów Systemu.

Kategorie osób, których dane dotyczą: W zależności od modułów aktywowanych przez Użytkownika, przetwarzanie może dotyczyć następujących kategorii osób:

• klienci końcowi (kupujący i odbiorcy przesyłek) dokonujący zakupów u Użytkownika za pośrednictwem sklepów internetowych i platform marketplace,
• kontrahenci, dostawcy i partnerzy handlowi Użytkownika widniejący na fakturach oraz dokumentach magazynowych i księgowych (ERP / KSeF),
• pracownicy, współpracownicy, pełnomocnicy oraz członkowie organów Użytkownika posiadający uprawnienia w Systemie lub objęci dokumentacją wewnętrzną Użytkownika.

Rodzaj przetwarzanych danych osobowych:

• Dane zwykłe identyfikacyjne, adresowe i transakcyjne: imiona i nazwiska, nazwy firm, numery NIP/PESEL (jeśli występują na dokumentach lub w rejestrach), adresy dostawy i korespondencyjne, adresy e-mail, numery telefonów, numery rachunków bankowych, historia zamówień, numery listów przewozowych oraz dane zawarte w dokumentacji biznesowej Użytkownika.

Wyłączenie danych szczególnych kategorii: System nie jest przeznaczony do gromadzenia danych szczególnych kategorii (danych wrażliwych z art. 9 RODO, np. o stanie zdrowia) ani danych dotyczących wyroków skazujących (art. 10 RODO), a Użytkownik zobowiązuje się nie wprowadzać tego rodzaju danych do standardowych modułów e-commerce i WMS.

Operator i Administrator Danych (Licencjobiorca): Astrix Spółka z Ograniczoną Odpowiedzialnością, Patoki 38, 98-170 gm. Widawa · KRS: 0000778180 · NIP: PL7792504345. Twórca i Właściciel Praw Autorskich: Wojciech Kawalec. Zgłaszający wynalazek P.455482: Astrix Sp. z o.o. Kontakt: kontakt@astrix.center · aura-astrix.com · aura-protex.com