Polityka prywatności

Administrator danych: Damian Ryczkowski, e-mail: kontakt@freessl.pl.

Co dzieje się w przeglądarce, a co na serwerze

Generator działa w Twojej przeglądarce. Klucz prywatny certyfikatu i klucz konta Let's Encrypt powstają w przeglądarce i nigdy jej nie opuszczają. Generator łączy się bezpośrednio z Let's Encrypt (wystawcą certyfikatu) oraz z usługą DNS Cloudflare (cloudflare-dns.com), żeby sprawdzić rekord TXT. Panel „Co wysyła ta strona" pokazuje każde połączenie na bieżąco. Do generowania certyfikatów potrzebne jest konto. Bez logowania (strona główna, poradniki, instrukcje, teksty prawne) nie zapisujemy ciasteczek i nie zbieramy danych poza logami serwera opisanymi niżej, chyba że zgodzisz się na statystyki odwiedzin.

Dane konta

• adres e-mail i hasło zapisane wyłącznie jako skrót (scrypt), data założenia konta, wybrany hosting, język konta (polski albo angielski, do e-maili);
• dla każdego zapisanego certyfikatu: nazwy domen, daty ważności, rodzaj klucza, tryb oraz publiczny łańcuch certyfikatu. Klucza prywatnego nie przechowujemy i nie mamy do niego dostępu;
• logi serwera: adres IP, czas i adres żądania oraz nagłówki wysyłane przez przeglądarkę (np. jej nazwa i wersja), przechowywane do 7 dni w celu zapewnienia bezpieczeństwa.

Po co

• prowadzenie konta i listy certyfikatów, wysyłka linków aktywacyjnych i przypomnień o odnowieniu: wykonanie umowy (art. 6 ust. 1 lit. b RODO);
• bezpieczeństwo i obrona przed nadużyciami: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO);
• statystyki odwiedzin stron informacyjnych: Twoja zgoda (art. 6 ust. 1 lit. a RODO).

Nie ma reklam ani profilowania. Statystyki odwiedzin działają tylko za Twoją zgodą. Nie sprzedajemy danych.

Dostęp do danych kont ma wyłącznie administrator, przez panel chroniony hasłem i kodem z aplikacji uwierzytelniającej. Korzysta z niego do obsługi zgłoszeń, usuwania nadużyć i pilnowania, czy usługa działa.

Statystyki odwiedzin (Google Analytics)

Na stronach informacyjnych (strona główna, poradniki, instrukcje, pytania, polityka prywatności i regulamin) liczymy odwiedziny narzędziem Google Analytics 4, ale tylko wtedy, gdy w okienku na dole strony klikniesz „Zgadzam się”. Bez zgody skrypt Google się nie ładuje. Na stronie generatora, w koncie, panelu klienta i administracji Google Analytics nie działa nigdy, także po zgodzie: tam przeglądarka nie pozwala połączyć się z Google, bo zabrania tego nagłówek bezpieczeństwa (Content-Security-Policy).

Po zgodzie Google Analytics zapisuje w przeglądarce ciasteczka _ga i _ga_REDFYKDR84 (ważne do 2 lat) i przesyła do Google adres odwiedzanej strony, adres strony, z której do nas trafiasz, oraz informacje o przeglądarce, urządzeniu i przybliżonej lokalizacji (kraj, miasto). Google Analytics 4 nie zapisuje adresów IP. Wyłączyliśmy sygnały Google i wszystkie funkcje reklamowe. Dane oglądamy tylko w zbiorczych zestawieniach.

Zgodę wycofasz w każdej chwili: kliknij „Ustawienia ciasteczek” w stopce strony, a potem „Nie zgadzam się”. Wysyłanie danych zostaje wtedy wyłączone, a ciasteczka _ga usunięte.

Komu przekazujemy

• OVH SAS (Francja, Unia Europejska) jako dostawca serwera i skrzynki e-mail, z której wysyłamy wiadomości.
• Google Ireland Limited (Irlandia, Unia Europejska) jako dostawca Google Analytics, tylko po Twojej zgodzie na statystyki. Dane mogą trafiać także do Google LLC w USA, która uczestniczy w programie EU-U.S. Data Privacy Framework (decyzja Komisji Europejskiej z 10 lipca 2023 roku o odpowiednim stopniu ochrony danych).

Link „Postaw kawę” prowadzi do serwisu buycoffee.to. Nie przekazujemy mu żadnych danych. Jeśli zdecydujesz się wesprzeć stronę, buycoffee.to przetwarza Twoje dane według własnej polityki prywatności.

Narzędzie „Sprawdź certyfikat” łączy się z podaną stroną tylko po to, żeby odczytać jej certyfikat. Przez 30 dni zapisujemy sprawdzaną domenę, czas i wynik (do statystyk użycia narzędzia), bez adresu IP i bez powiązania z kontem, potem usuwamy je automatycznie. Wynik ma własny adres ze sprawdzaną domeną (np. /sprawdz-certyfikat/firma.pl), więc domena trafia też do logów serwera, które przechowujemy do 7 dni. Serwer liczy też w pamięci, ile sprawdzeń przyszło z jednego adresu IP, żeby ograniczyć nadużycia (licznik znika najpóźniej po dobie).

Jak długo

Do usunięcia konta. Konto usuwasz samodzielnie w panelu, wtedy kasujemy wszystkie dane od razu. Konto, którego adresu e-mail nie potwierdzisz w ciągu 7 dni, usuwamy automatycznie. Wpisy certyfikatów testowych i sprawdzenia z narzędzia „Sprawdź certyfikat” usuwamy automatycznie po 30 dniach. Kopie zapasowe bazy przechowujemy 14 dni, logi serwera do 7 dni, dane statystyk w Google Analytics 14 miesięcy.

Ciasteczka i pamięć przeglądarki

Używamy jednego ciasteczka sesyjnego (sid) po zalogowaniu. Jest niezbędne do działania konta, dlatego nie wymaga zgody. Bez logowania strona zapisuje ciasteczka tylko wtedy, gdy zgodzisz się na statystyki odwiedzin (ciasteczka Google Analytics opisane wyżej). Sam wybór, zgodę albo odmowę, zapamiętujemy na rok w pamięci przeglądarki (localStorage, wpis „freessl-zgoda”), żeby nie pytać na każdej stronie.

Gdy przejdziesz do generatora z wyniku narzędzia „Sprawdź certyfikat”, generator pamięta wpisane nazwy domen w tej karcie przeglądarki (sessionStorage, wpis „freessl-domeny”), żeby nie zniknęły przy logowaniu. Wpis znika po rozpoczęciu weryfikacji albo po zamknięciu karty.

Generator zapamiętuje w pamięci Twojej przeglądarki (IndexedDB) klucz Twojego konta w Let's Encrypt, osobno dla trybu testowego i produkcyjnego, żeby kolejne próby i odnowienia nie zakładały nowych kont w Let's Encrypt. Klucz nie opuszcza przeglądarki, nie trafia na nasz serwer i przeglądarka nie pozwala go odczytać ani wyeksportować. Usuniesz go przyciskiem „Zapomnij go” w generatorze albo czyszcząc dane strony w ustawieniach przeglądarki. Klucza prywatnego certyfikatu nie zapamiętujemy nigdzie.

Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia i sprzeciwu, a także prawo do skargi do Prezesa Urzędu Ochrony Danych Osobowych. Zgodę na statystyki możesz wycofać w każdej chwili; nie wpływa to na zgodność z prawem tego, co działo się przed wycofaniem. Napisz na kontakt@freessl.pl.