Veracly to B2B SaaS, który skanuje publicznie dostępne strony pod kątem zgodności. Przetwarzamy ograniczone dane osobowe — imiona, służbowe e-maile, adresy rozliczeniowe i logi audytowe. Nie sprzedajemy Twoich danych.
- 01
Kim jesteśmy
RR Sols Pty Ltd (ABN 56 672 722 486, ACN 672 722 486), działająca jako Veracly. Siedziba: 136 Arthur Allen Drive, Bardia, NSW 2565, Australia. Członek zarządu i przedstawiciel: Purushotham Reddy Pamuluru.
- 02
Przedstawiciel RODO dla UE i Wielkiej Brytanii
Ponieważ RR Sols Pty Ltd nie ma siedziby w UE ani w Wielkiej Brytanii, wyznaczyliśmy przedstawicieli zgodnie z art. 27 RODO oraz art. 27 UK GDPR. Mieszkańcy UE mogą skontaktować się z naszym przedstawicielem w UE: Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Wiedeń, Austria. Mieszkańcy Wielkiej Brytanii mogą skontaktować się z naszym przedstawicielem w UK: Prighter Ltd, 20 Mortlake Mortlake High Street, Londyn, SW14 8JN, Wielka Brytania. Aby skorzystać ze swoich praw lub złożyć skargę, można złożyć wniosek za pośrednictwem portalu Prighter: https://app.prighter.com/portal/11399422438. Prosimy o powołanie się na ID-11399422438 w korespondencji.
- 03
How we use personal data — five activities
We process personal data in five distinct activities, each with its own legal basis, data categories, and retention window. Sections 4–8 below are the Art. 13/14 GDPR records for each activity. Cross-cutting matters — automated processing, international transfers, your rights, and security — follow in sections 9–13.
- 04
Activity 1 — veracly.app visitors
Data processed: daily-rotated hashed IP address (not stored raw), browser metadata, page views, referrer, and contact-form submissions (name, email, message — only if you use the form). Purpose: serve the site, respond to enquiries, and monitor performance. Legal basis: Art. 6(1)(f) legitimate interest (site operation and cookieless aggregate analytics). We use Vercel Web Analytics and Speed Insights — no cookies, no device fingerprinting, no consent required. Contact-form data retained 24 months then deleted; performance logs rotated within 30 days. Recipients: Vercel, Inc. (hosting and analytics). Complaint right: your national supervisory authority or the Austrian DSB (competent for our EU representative).
- 05
Activity 2 — free-scan requesters
Data processed: email address you enter at scan time, scanned domain, scan timestamp, IP address at request time, and scan findings (public page content only — no account is created). Purpose: run the requested scan, enforce the one-free-scan-per-email-per-7-days rate limit, detect and prevent abuse. Legal basis: Art. 6(1)(b) (steps at your request before a contract) for the scan itself; Art. 6(1)(f) legitimate interest for rate-limiting and abuse prevention. Retained 30 days then auto-deleted by a scheduled job. Recipients: Vercel (hosting), Clerk (authentication infrastructure), AWS EU-West-1 Frankfurt (worker compute). No marketing use; no sharing for advertising purposes.
- 06
Activity 3 — outbound prospects (Art. 14 disclosure)
If you received a cold email from puru@veracly.app: your contact email was collected from your website or a publicly accessible business directory. Data processed: business email address, business name, publicly visible domain, one or more compliance findings from a public crawl. Legal basis: Art. 6(1)(f) legitimate interest — sending a single informational email about a technical compliance finding on your publicly accessible site. Balancing test on file: the finding is self-verifiable in DevTools; you are contacted as a business operator, not as a private individual; processing is limited to publicly available contact data and findings. Right to object (Art. 21): reply with any refusal wording, or email privacy@veracly.app — we will suppress your address immediately and permanently and delete all associated data. Retained until you object or 6 months from collection, whichever is earlier. No profiling; no automated decision-making with legal or significant effects.
- 07
Activity 4 — account holders and paid customers
Data processed: name, work email, organisation name, billing address, VAT ID, subscription tier, scan history, PDF reports, invoices, and payment-method metadata (Stripe handles card data — we never store raw card numbers). Purpose: deliver the scanning service, bill you, send service notifications, comply with tax obligations. Legal basis: Art. 6(1)(b) contract performance; Art. 6(1)(c) legal obligation (tax records, Australian Corporations Act 2001). Retention: account data for the life of the account (you can delete at /account/profile); scan results 12 months after each scan; billing records 7 years (Australian tax-record obligation). Recipients: Stripe, Inc. (billing, US — SCCs in place); Clerk, Inc. (authentication, US — SCCs); AWS EMEA SARL (hosting, Frankfurt for EU customers — DPA + SCCs); Revenue Commissioners, Ireland (VAT OSS reporting — name, country, transaction amount only, no scan content). Complaint right: your national DPA or the Austrian DSB.
- 08
Activity 5 — subprocessor list
Current subprocessors: Vercel, Inc. (web hosting and analytics, US — DPA, SCCs); Clerk, Inc. (authentication, US — DPA, SCCs); Amazon Web Services EMEA SARL (compute and storage, EU-West-1 Frankfurt for EU customers and US-East-1 Virginia for US customers — AWS DPA, SCCs); Stripe, Inc. (payment processing, US — DPA, SCCs); Anthropic PBC (AI text generation in scan reports, US — DPA, SCCs; we send only technical violation data and a short HTML snippet — no account or billing data); Revenue Commissioners, Ireland (OSS VAT filing — name, country, and transaction amount only). Full list with effective dates is published at veracly.app/subprocessors. We give 14 days' notice before adding a new subprocessor; you may object within 10 days per the DPA terms.
- 09
Przetwarzanie zautomatyzowane i AI
Część tekstów w raporcie zgodności — wyjaśnienia naruszeń prostym językiem, streszczenie, sugerowane poprawki oraz tłumaczenia na obsługiwane języki — generuje model AI prowadzony przez Anthropic (Claude), działający jako podpodmiot przetwarzający w naszym imieniu. Do AI przekazujemy techniczne dane naruszenia i krótki fragment HTML danego elementu; nie przekazujemy nazwy Twojej organizacji, danych kontaktowych ani innych Twoich danych osobowych, które przechowujemy. Teksty generowane przez AI są zabezpieczone deterministycznym tekstem zapasowym, a gdy AI jest niedostępne, automatycznie korzystamy z tego tekstu. Nie podejmujemy decyzji wywołujących wobec Ciebie skutki prawne lub podobnie istotne (art. 22 RODO); o weryfikację dowolnego fragmentu wygenerowanego przez AI przez człowieka możesz poprosić pod adresem privacy@veracly.app.
- 10
Jak długo je przechowujemy
Dane osobowe przechowujemy tylko tak długo, jak jest to konieczne do celu, dla którego zostały zebrane. Wyniki skanów — ustalenia, leżące u podstaw dane surowe, oceny w poszczególnych jurysdykcjach oraz wygenerowane raporty PDF — usuwamy 12 miesięcy po zakończeniu skanu. Raporty PDF z bezpłatnych skanów oraz powiązany kryptograficzny dowód weryfikacji przechowujemy przez 60 dni (2 miesiące) od wystawienia, po czym je usuwamy. Zapisy użycia AI (nazwa modelu, liczba tokenów, koszt) przechowujemy przez 24 miesiące, aby móc odpowiadać na pytania dotyczące rozliczeń lub audytu. Historia darmowych skanów (egzekwująca limit jednego darmowego skanu na adres e-mail co 7 dni) jest przechowywana przez 30 dni. Publiczne zgłoszenia z formularza kontaktowego przechowujemy 24 miesiące w celu follow-upu sprzedażowego, a następnie usuwamy. Dane konta — Twój profil, Twoja organizacja oraz powiązanie z dostawcą uwierzytelniania — przechowujemy przez okres istnienia konta; możesz je samodzielnie usunąć w dowolnym momencie z /account/profile lub pisząc na privacy@veracly.app. Dokumentacja rozliczeniowa przechowywana przez Stripe i nasze oprogramowanie księgowe jest przechowywana przez 7 lat, aby spełnić australijskie obowiązki podatkowe spoczywające na RR Sols Pty Ltd. Codzienne zadanie automatyczne egzekwuje te okresy.
- 11
Your rights (Art. 15–22 GDPR)
Access (Art. 15): obtain a copy of personal data we hold about you. Rectification (Art. 16): correct inaccurate data. Erasure (Art. 17): delete your data where no legal obligation requires retention — self-serve at /account/profile for account data. Restriction (Art. 18): pause processing while a dispute is resolved. Portability (Art. 20): receive account data in a machine-readable format. Object (Art. 21): object to processing on legitimate-interest grounds; we will cease unless we demonstrate compelling overriding grounds. Withdraw consent (Art. 7(3)): where consent is the legal basis, withdraw at any time without affecting prior processing. No solely automated decisions (Art. 22): we do not make decisions about you based solely on automated processing with legal or similarly significant effects. Lodge a complaint: contact your national supervisory authority, or for EU subjects the Austrian DSB (Datenschutzbehörde) as the authority competent for our EU representative Prighter EU Rep GmbH. To exercise any right, email privacy@veracly.app or use the self-service tools at /account. We respond within one month, extendable by two months for complex requests.
- 12
International transfers and safeguards
EU customer data is hosted in AWS EU-West-1 Frankfurt. Australia does not have an EU adequacy decision: any transfer of EU personal data to RR Sols Pty Ltd's systems in Australia (for engineering access, audit, and finance) is governed by Standard Contractual Clauses (EU Commission Decision 2021/914, Module 3). Transfers from the UK rely on the UK International Data Transfer Addendum (IDTA) to the EU SCCs. US-based subprocessors (Vercel, Clerk, Stripe, Anthropic) are covered by controller-to-processor SCCs under 2021/914 Module 2. Transfer impact assessments are conducted before engaging each non-adequate-country subprocessor. Copies of applicable SCCs and IDTAs are available on request from legal@veracly.app. For EU VAT compliance, RR Sols Pty Ltd is registered under the Non-Union OSS scheme in Ireland (EU372098920); transaction records required for VAT returns are reported to the Irish Revenue Commissioners as the OSS Member State of Identification.
- 13
Jak chronimy dane
Szyfrowanie w transmisji i w spoczynku, kontrola dostępu oparta na rolach, logowanie audytowe i okresowe testy penetracyjne. SOC 2 Typ II w toku.
- 14
Zmiany niniejszej polityki
Istotne zmiany ogłaszane są e-mailem co najmniej 30 dni przed wejściem w życie. Drobne zmiany odzwierciedla data powyżej.