Polityka prywatności.

1. Administrator i kontakt

Administratorem danych osobowych jest Michał Kluska, ul. Widokowa 15, 32-085 Modlnica, Polska, NIP 9492114948.

Kontakt w sprawach danych osobowych: prywatnosc@englisher.app.

Nie wyznaczyliśmy inspektora ochrony danych. W sprawach danych osobowych pisz na adres podany wyżej.

2. Jakie dane przetwarzamy

• Adres e-mail podany przy logowaniu. W bazie leży zaszyfrowany (AES-GCM), a obok niego skrót HMAC-SHA-256 służący wyłącznie do wyszukania konta. Po samym skrócie nie da się odtworzyć adresu.
• Kody logowania — w bazie nie ma kodu, tylko jego HMAC. Kod jest ważny 10 minut i ma limit trzech prób.
• Sesje — identyfikator sesji, czas utworzenia i ostatniego użycia oraz HMAC tokenu. Samego tokenu nie przechowujemy. Sesja wygasa po 90 dniach.
• Token uprawnień — podpisana kluczem Ed25519 informacja o planie i wykupionych funkcjach, ważna 30 dni. Aplikacja weryfikuje ją offline, bez odpytywania serwera.
• Dane zakupu ze Stripe — identyfikator klienta i płatności, kupiony produkt, status subskrypcji i data ważności. Nie otrzymujemy i nie przetwarzamy danych karty.
• Liczniki zużycia chmury — dla każdego żądania: liczba tokenów wejścia, wyjścia i łącznie, koszt, nazwa modelu, status, identyfikator żądania oraz skrót SHA-256 instrukcji systemowej (patrz punkt 6).
• Treść zaznaczonego tekstu — tylko w trybie chmury, i tylko na czas obsłużenia żądania. Nie zapisujemy jej (patrz punkty 4 i 5). Wyjątkiem jest program testerów, do którego przystępujesz osobną zgodą (punkt 7).
• Zgłoszenia — treść wysłana formularzem na stronie albo mailem, opcjonalnie zrzut ekranu, wskazany fragment tekstu, wersja aplikacji, nazwa przeglądarki oraz adres e-mail do odpowiedzi (zaszyfrowany jak adres konta) albo identyfikator konta. Do ograniczenia liczby zgłoszeń zapisujemy skrót HMAC adresu IP, nie sam adres.

3. Czego nie robimy

• Nie prowadzimy telemetrii — ani reklamowej, ani behawioralnej, ani produktowej.
• Nie zapisujemy naciskanych klawiszy. Aplikacja czyta zaznaczenie dopiero po użyciu skrótu.
• Nie zapisujemy treści poprawianych tekstów ani odpowiedzi modelu — z wyjątkiem kont w programie testerów, za ich wyraźną zgodą (punkt 7).
• Nie profilujemy, nie wyświetlamy reklam i nie sprzedajemy danych.
• Nie trenujemy modeli na Twoich tekstach i wymuszamy, by nie robił tego dostawca modelu. Wyjątek: przykłady od testerów, którzy się na to zgodzili, mogą posłużyć do dotrenowania własnych modeli englishera (punkt 7).

4. Dwa tryby przetwarzania tekstu

To najważniejszy punkt tego dokumentu. Tryb wybierasz sam w ustawieniach i możesz go zmienić w każdej chwili. Widget pokazuje plakietkę z aktualnym dostawcą, więc widać, kiedy tekst wychodzi na zewnątrz.

Tryb lokalny (domyślny)

Podstawową korektę wykonuje Harper, a zaawansowane sugestie przygotowuje AI na Twoim komputerze. Silnik jest częścią aplikacji — nie musisz instalować niczego osobno. Zaznaczony tekst nie trafia ani do nas, ani do żadnego dostawcy.

Silnik nasłuchuje wyłącznie na 127.0.0.1, czyli pod adresem, pod którym komputer widzi sam siebie, na porcie przydzielanym przy każdym uruchomieniu. Nie da się go wskazać z zewnątrz i nie da się przestawić na inny komputer — w tym trybie nie ma pola z adresem, bo nie ma czego wpisywać. Aplikacja uruchamia silnik dopiero przy pierwszym użyciu skrótu i zwalnia pamięć po pół godzinie bezczynności.

Do przygotowania zaawansowanej korekty trzeba pobrać pakiet. Gdy przygotowujesz ten tryb, aplikacja pobiera plik z wyuczonym mechanizmem AI (modelem) z serwisu Hugging Face (huggingface.co). To zwykłe pobranie pliku — wychodzi z niego tylko tyle, co przy ściąganiu czegokolwiek ze strony internetowej, czyli Twój adres IP i informacja o tym, który plik pobierasz. Nie idzie tam żaden Twój tekst, żadne dane konta ani nic, co pozwoliłoby powiązać pobranie z Twoją osobą po naszej stronie. Dzieje się to raz; potem tryb lokalny działa bez internetu.

Tryb chmury englishera

Zaznaczony tekst trafia do naszego API, a stamtąd do dostawcy modelu. To płatna funkcja włączana świadomie — bez aktywnego dostępu do chmury żądanie zostaje odrzucone. Nie zapisujemy treści żądania ani odpowiedzi; do bazy trafiają wyłącznie liczniki opisane w punkcie 2 — chyba że przystąpisz do programu testerów (punkt 7). Zasady, na jakich tekst jedzie dalej, opisuje punkt 5.

Demo na stronie głównej

Zdanie wpisane w demo „Wypróbuj” trafia do naszego API, a stamtąd do dostawcy modelu na tych samych zasadach co tryb chmury (punkt 5), wyłącznie po to, żeby je sprawdzić. Nie wymaga konta. Nie zapisujemy ani zdania, ani odpowiedzi — tylko dzienną liczbę zapytań i ich łączny koszt. Żeby ograniczyć nadużycia, sprawdzamy żądanie usługą Cloudflare Turnstile i liczymy próby z jednego adresu IP; zapisujemy przy tym jedynie skrót adresu (HMAC tajnym kluczem), nie sam adres, i usuwamy go po dobie.

5. Brak zapisywania treści u dostawcy chmury (ZDR)

ZDR to skrót od Zero Data Retention, czyli zerowego przechowywania danych. Tekst trafia do usługi chmurowej, aby mogła przygotować poprawkę, ale dostawca nie zapisuje treści zapytania ani odpowiedzi w historii i nie używa ich do uczenia swoich rozwiązań. Wymuszamy te zasady przy każdym zapytaniu.

Ochronę ustala serwer englishera. Aplikacja na komputerze nie może jej wyłączyć. Jeśli nie ma dostępnej usługi spełniającej te warunki, nie wysyłamy tekstu do innego dostawcy z mniej rygorystycznymi zasadami — zamiast tego zobaczysz błąd.

ZDR nie oznacza, że tekst nie trafia do chmury: musi zostać przetworzony w pamięci, a dostawca może chwilowo przechowywać go w pamięci podręcznej zgodnie z zasadami tej usługi. Nie jest to trwała historia zapytań ani materiał do uczenia. Szczegóły zasad ZDR dostawcy.

Po stronie englishera zapisujemy liczniki użycia bez treści. Osobny wyjątek dotyczy programu testerów i trybu Contributor: za wyraźną zgodą zapisujemy teksty i odpowiedzi w naszej bazie, aby ulepszać aplikację (punkt 7). Dostawca chmury nadal działa z ZDR.

6. Po co zapisujemy skrót instrukcji systemowej

Przy każdym żądaniu do chmury zapisujemy skrót SHA-256 instrukcji systemowej, czyli tej części zapytania, którą układamy my, a nie Ty. Instrukcja zmienia się razem z wersją aplikacji, a model — niezależnie, po stronie serwera. Bez tego skrótu nie wiedzielibyśmy, która kombinacja instrukcji i modelu faktycznie działa u użytkowników, i nie umielibyśmy wyłapać spadku jakości.

Do wyliczenia skrótu nie wchodzi Twój tekst — wyłącznie treść o roli systemowej. Skrót jest jednokierunkowy i nie pozwala odtworzyć niczego, co napisałeś.

7. Program testerów — zapis zapytań za Twoją zgodą

Program testerów (alfa, później tryb contributor) daje darmowy dostęp do chmury i wersji lokalnej w zamian za to, że zapisujemy Twoje zapytania do chmury i odpowiedzi modelu. Przystępujesz do niego wyłącznie sam: kodem zaproszenia i zaznaczeniem zgody w panelu konta. Zapisujemy datę zgody i wersję warunków, które zaakceptowałeś. Pełne warunki: program testerów.

• Co zapisujemy: tekst wysłany do korekty, zmiany tonu albo tłumaczenia, instrukcję systemową aplikacji, odpowiedź modelu, czas odpowiedzi, liczbę tokenów, koszt i to, który endpoint obsłużył żądanie.
• Czego nie zapisujemy: tekstów przetwarzanych w trybie lokalnym (nie opuszczają komputera) ani niczego sprzed przystąpienia do programu.
• Po co: ocena jakości poprawek, wyszukiwanie błędów, budowa zbiorów testowych i przykładów do dotrenowania własnych modeli englishera. Nie sprzedajemy tych danych i nie udostępniamy ich innym firmom.
• Kto ma dostęp: zespół englishera. Do oceny możemy używać modeli językowych działających w trybie zerowej retencji, tak jak w punkcie 5.
• Jak długo: do wycofania zgody albo usunięcia konta. Wycofanie jednym przyciskiem w panelu konta natychmiast usuwa zapisane zapytania i kończy darmowy dostęp z programu. Przykłady wcześniej włączone do zbioru treningowego po anonimizacji (bez identyfikatora konta) mogą w nim zostać.

Dostawca modelu nadal działa w trybie zerowej retencji — zapis dotyczy wyłącznie naszej bazy (Cloudflare D1 w UE).

8. Cele i podstawy prawne

• Prowadzenie konta, logowanie, wydawanie licencji i realizacja usługi chmurowej — art. 6 ust. 1 lit. b RODO, wykonanie umowy.
• Obsługa płatności i subskrypcji — art. 6 ust. 1 lit. b RODO; w zakresie dokumentacji księgowej i podatkowej art. 6 ust. 1 lit. c RODO.
• Wystawianie i przechowywanie faktur oraz inne obowiązki podatkowe — art. 6 ust. 1 lit. c RODO, obowiązek prawny.
• Bezpieczeństwo usługi, limity zapytań i przeciwdziałanie nadużyciom — art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes polegający na utrzymaniu usługi w działaniu i ochronie przed nadużyciem konta.
• Kontrola kosztów i jakości modelu na podstawie liczników — art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes.
• Program testerów — zapis zapytań i odpowiedzi — art. 6 ust. 1 lit. a RODO, Twoja zgoda, którą możesz w każdej chwili wycofać w panelu konta.
• Obsługa zgłoszeń i korespondencji — art. 6 ust. 1 lit. f RODO, a gdy zgłoszenie dotyczy działania usługi — lit. b.

9. Odbiorcy i podprocesorzy

• Cloudflare — hosting API (Workers), baza danych usługi (D1) i weryfikacja Turnstile w demo na stronie głównej.
• Resend — dostarczanie wiadomości z kodem logowania.
• Stripe — płatności, subskrypcje i panel rozliczeniowy.
• Dostawcy infrastruktury modeli językowych — obsługa żądań w trybie chmury englishera. Korzystamy z pośrednika API i krótkiej, przypiętej listy endpointów obliczeniowych o zmierzonych identycznych wynikach; kolejny z listy przejmuje żądanie tylko wtedy, gdy poprzedni nie odpowiada. Wszystkich obowiązuje polityka zerowej retencji z punktu 5. Nazwy tych podmiotów podamy na żądanie osoby, której dane dotyczą.

10. Przekazywanie danych poza EOG

Stripe i Resend to podmioty ze Stanów Zjednoczonych; poza EOG działają także dostawcy infrastruktury modeli językowych obsługujący tryb chmury. Przekazywanie danych odbywa się na podstawie standardowych klauzul umownych zawartych w umowach powierzenia z tymi dostawcami, uzupełnionych o środki techniczne opisane w punktach 2 i 5. Do dostawcy modelu idzie treść pojedynczego żądania, której nie wolno mu zatrzymać — aplikacja nie dołącza do niego Twojego adresu e-mail ani identyfikatora konta, a nasz serwer ich nie dokłada.

Baza danych — zarówno testowa, jak i produkcyjna — działa w regionie Europy Zachodniej u Cloudflare, czyli w jurysdykcji UE. Twoje konto, uprawnienia i liczniki zużycia nie opuszczają tego regionu. Poza EOG wychodzą wyłącznie dane niezbędne do obsługi płatności (Stripe), wysyłki kodów logowania (Resend) i pojedynczego żądania do modelu — na zasadach opisanych wyżej w tym punkcie.

11. Jak długo przechowujemy dane

Z zachowania programu wynika dziś tyle:

• kod logowania — 10 minut ważności;
• sesja — 90 dni od zalogowania, krócej jeśli się wylogujesz;
• token uprawnień w aplikacji — 30 dni, po czym jest odnawiany.

Docelowe okresy dla pozostałych danych:

• zużyte kody logowania — 30 dni;
• wpisy o zużyciu chmury — 13 miesięcy, czyli rok możliwy do porównania plus miesiąc zapasu na rozliczenie sporu;
• dane konta — do czasu zgłoszenia przez Ciebie wniosku o usunięcie, realizowanego w ciągu 30 dni;
• zapytania i odpowiedzi z programu testerów — do wycofania zgody albo usunięcia konta (punkt 7);
• zgłoszenia ze zrzutami ekranu — 24 miesiące od wysłania;
• dokumenty rozliczeniowe — 5 lat, zgodnie z przepisami podatkowymi i o rachunkowości; tego okresu nie skraca nawet usunięcie konta.

Kody logowania i sesje wygasają samoczynnie. Starsze wpisy o zużyciu chmury usuwamy na razie ręcznie — po upływie podanego okresu albo wcześniej, na Twój wniosek. Automatyczne czyszczenie tych wpisów przygotowujemy.

12. Twoje prawa

Masz prawo do dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Samodzielnie możesz: wylogować się (co unieważnia sesję po stronie serwera), zmienić tryb przetwarzania tekstu na lokalny, wyczyścić dane strony w przeglądarce oraz anulować subskrypcję w panelu Stripe dostępnym z poziomu Twojego konta.

13. Czy podanie danych jest obowiązkowe

Nie. Podanie adresu e-mail jest dobrowolne, ale bez niego nie da się założyć konta, wykupić licencji ani korzystać z chmury. Sama aplikacja w trybie lokalnym działa bez konta i bez podawania jakichkolwiek danych. Dane rozliczeniowe podajesz Stripe, gdy decydujesz się na zakup.

14. Zautomatyzowane decyzje

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Automatyczne są jedynie limity techniczne — liczba żądań na minutę i miesięczny limit tokenów w chmurze — a ich przekroczenie kończy się czasową odmową obsługi żądania, nie oceną Twojej osoby.

15. Dane na Twoim urządzeniu i w przeglądarce

Panel internetowy nie używa ciasteczek, ale zapisuje dwie wartości w pamięci lokalnej przeglądarki (localStorage): token sesji pod kluczem englisher_session i adres e-mail pod kluczem englisher_email, żeby nie logować Cię przy każdym wejściu. Znikają po wylogowaniu albo po wyczyszczeniu danych strony w przeglądarce.

Aplikacja desktopowa trzyma w Menedżerze poświadczeń Windows Twój adres e-mail razem z tokenem odświeżania sesji oraz podpisany token uprawnień.

Plik settings.json zawiera samą konfigurację: skróty klawiszowe, wybrany tryb, adres i nazwę modelu, autostart oraz sprawdzanie aktualizacji. Klucza API do niego nie zapisujemy — trafia do Menedżera poświadczeń. Jedyny wyjątek to niedostępny Menedżer: klucz zapisany w pliku starszą wersją aplikacji zostaje wtedy tam, gdzie był, bo przepisanie pliku skasowałoby jego jedyną kopię. Plik leży w Twoim profilu użytkownika i nie jest nigdzie wysyłany.

16. Ruch sieciowy aplikacji

Poza wybranym trybem przetwarzania tekstu aplikacja łączy się z siecią tylko wtedy, gdy: logujesz się lub odświeżasz uprawnienia, kupujesz licencję albo sprawdzasz aktualizacje. Sprawdzenie aktualizacji pobiera niewielki plik z opisem najnowszego wydania; sam instalator ściąga się dopiero po Twoim kliknięciu. Automatyczne sprawdzanie można wyłączyć w ustawieniach. W wersji ze sklepu Microsoft Store aktualizacjami zarządza sklep, a wbudowany mechanizm aktualizacji jest nieaktywny.

Aplikacja nie pobiera zasobów z sieci CDN i nie wysyła raportów o użyciu.

17. Dzieci

Usługa nie jest kierowana do dzieci i nie zbieramy świadomie danych osób poniżej 16. roku życia. Jeśli okaże się, że konto założyło dziecko, usuniemy je po zgłoszeniu na adres kontaktowy z punktu 1.

18. Zmiany polityki

O istotnych zmianach poinformujemy w aplikacji, na tej stronie lub e-mailem, jeśli wymagają tego przepisy. Data wejścia w życie bieżącej wersji: 12 października 2026 r.

Odpowiedź modelu, która wygląda na nieodpowiednią, albo usterkę zgłoś przez formularz zgłoszeń.