Opraio

Polityka prywatności

Ostatnia zmiana: 22 października 2026 r.

Czym jest Opraio

Opraio to aplikacja dla właściciela firmy: zbiera faktury z KSeF, przygotowuje paczki przelewów do ręcznego importu w banku i pokazuje sprawy wymagające uwagi. Aplikacja nie wykonuje przelewów i nie wysyła wiadomości w imieniu użytkownika.

Kto odpowiada za dane

Administratorem danych jest BOLESŁAW MARCZUK B&M s.c., ul. Światowida 14/157, 03-144 Warszawa, NIP 5242913391. W sprawach danych osobowych można pisać na adres podany na końcu tej strony. Warunki korzystania z aplikacji opisuje regulamin.

Dane z konta Google

Właściciel firmy może podłączyć skrzynkę Gmail. Prosimy wyłącznie o zakres gmail.readonly, czyli odczyt poczty. Opraio nie wysyła, nie usuwa, nie przenosi i nie oznacza wiadomości.

• Co kilkanaście minut aplikacja sprawdza nowe maile w Odebranych (bez Spamu, Kosza, Promocji i Społeczności), a przy pierwszym podłączeniu ostatnie 30 dni.
• Treść maila jest pobierana tylko na czas oceny i nie jest zapisywana. Z załączników pozostałych maili odczytujemy wyłącznie nazwę i typ pliku.
• Treść maila i załączniki PDF, DOCX albo plik tekstowy listy płac (TXT) czytamy wyłącznie od nadawców wskazanych przez właściciela firmy jako zaufani (np. biuro rachunkowe), w tym samym zakresie gmail.readonly. Jako dokument do odczytu pobieramy je dopiero wtedy, gdy adres nadawcy potwierdzi się na nagłówkach wiadomości (uwierzytelnienie DMARC). Nie dotyczy to oceny nowej poczty z poprzedniego punktu: treść każdego odebranego maila pobieramy na czas tej oceny, zanim sprawdzimy DMARC, i jej nie zapisujemy. Służą do przygotowania pozycji do opłaty (ZUS, podatki, listy płac) do sprawdzenia przez człowieka. Plik tekstowy listy płac czyta program na serwerze, bez modelu. Numery rachunków zostają w tekście dla modelu, bo są potrzebne do przelewu. Pliku ani treści nie zapisujemy; zapisujemy identyfikatory wiadomości i wątku, datę maila, skrót, nazwę i rozmiar pliku, a wpis kolejki usuwamy 90 dni po odczycie. Wyjątki to dwie czynności na żądanie człowieka, opisane w dwóch kolejnych punktach.
• Właściciel firmy może poprosić o przeczytanie wcześniejszych maili zaufanego nadawcy z ostatnich 30 albo 90 dni. Dotyczy to wyłącznie tego nadawcy, obowiązują te same zasady (tu nadawcę, w tym DMARC, sprawdzamy na nagłówkach przed pobraniem jakiejkolwiek treści; brak zapisu treści), a starszy mail nie zastępuje nowszego dokumentu tej samej pozycji.
• Na żądanie, przyciskiem „Przenieś do »Do opłaty«”, czytamy treść i załączniki PDF albo DOCX jednego maila ze sprawy, także od nadawcy spoza zaufanych, wyłącznie po kliknięciu osoby, która ten mail widzi. Odczyt następuje tylko po jawnym kliknięciu, w celu widocznym dla tej osoby (pozycje do opłaty do sprawdzenia), w zakresie gmail.readonly, bez zapisu treści i bez profilowania. Plik tekstowy listy płac traktujemy tak samo. Gdy nie da się potwierdzić nadawcy (DMARC), pozycja dostaje widoczną adnotację „Nadawca niepotwierdzony”, a decyzję o niej podejmuje człowiek.
• Przy ZUS i podatkach zapisujemy imię i nazwisko osoby z dokumentu (bez numeru PESEL) oraz decyzję człowieka, czy osoba jest firmowa, czy prywatna; decyzję pamiętamy dla kolejnych dokumentów. Lista tych osób i pozycje z nazwiskami są widoczne tylko dla właściciela i zatwierdzającego.
• Sprawę zakładamy tylko z maila, który wymaga działania. Zapisujemy wtedy krótki opis: kategorię (termin lub umowa, płatność, odpowiedź lub zadanie, problem), co się stało i co trzeba zrobić, termin, kwotę, kontrahenta, nadawcę, kto ma to zrobić i jakie są skutki według maila, krótki cytat oraz identyfikatory wiadomości i wątku, żeby móc otworzyć mail w Gmailu.
• Numery rachunków bankowych i linki w cytatach zastępujemy słowem „(ukryte)”. Numeru rachunku z maila nie zapisujemy; zapisujemy tylko wynik porównania z rachunkiem z faktury.
• Pełny wątek można wyświetlić w aplikacji na żądanie; jest wtedy pobierany z Gmaila na bieżąco i nie jest zapisywany.
• Na żądanie („Zaproponuj odpowiedź”) aplikacja pobiera na bieżąco do pięciu ostatnich maili wątku i prosi model językowy o projekt odpowiedzi. Projekt widzi tylko osoba, która kliknęła; nie zapisujemy go i nie wysyłamy. Odpowiedź wysyła człowiek ze swojej skrzynki.
• Właściciel może zapisać notatki dla systemu (np. „maile od tego nadawcy nie są ważne”), które pomagają ocenić kolejne maile.
• Token dostępu przechowujemy zaszyfrowany i używamy go wyłącznie do odczytu tej skrzynki.

Kto widzi dane

Sprawy z poczty widzą osoby z rolą właściciela i zatwierdzającego w firmie, do której podłączono skrzynkę. Nie sprzedajemy danych, nie używamy ich do reklam i nie przekazujemy ich innym podmiotom poza dostawcami potrzebnymi do działania aplikacji (hosting, baza danych i model językowy oceniający mail i czytający dokumenty). Do modelu trafia treść maila z ukrytymi numerami rachunków i linkami (w dokumentach czytanych na wniosek firmy numery rachunków zostają); nie jest ona używana do trenowania modeli.

Jak chronimy dane

• Szyfrowanie w przesyle. Aplikacja działa wyłącznie przez HTTPS (TLS) z nagłówkiem HSTS. Połączenia z bazą danych, z Google i z dostawcą modelu językowego też są szyfrowane TLS.
• Szyfrowanie w spoczynku. Baza danych jest szyfrowana na dysku przez dostawcę. Token dostępu do Gmaila dodatkowo szyfrujemy w aplikacji algorytmem AES-256-GCM kluczem przechowywanym osobno od bazy, w ustawieniach hostingu, z możliwością wymiany klucza.
• Minimalizacja danych. Prosimy tylko o odczyt poczty. Nie zapisujemy treści maili ani załączników. Numery rachunków bankowych i linki ukrywamy, zanim tekst trafi do modelu językowego i zanim zapiszemy cytat.
• Kontrola dostępu. Dostęp wymaga zalogowania; hasła przechowujemy wyłącznie jako skrót scrypt, a sesja jest w ciasteczku HttpOnly i Secure. Każda firma widzi tylko swoje dane. Sprawy z poczty widzą role właściciela i zatwierdzającego, obserwator ich nie widzi. Aplikacja łączy się z bazą kontem z uprawnieniami ograniczonymi do potrzebnych tabel.
• Historia działań. Każde działanie na sprawie (zamknięcie, przypisanie, propozycja odpowiedzi, zmiana notatki) trafia do historii z osobą i czasem, bez treści maili.
• Przechowywanie i usuwanie. Zamknięte sprawy usuwamy automatycznie 30 dni po zamknięciu. Odłączenie skrzynki usuwa token i cofa zgodę w Google.
• Dostawcy i miejsce przetwarzania. Baza danych działa w Unii Europejskiej (Frankfurt). Aplikacja działa na platformie Vercel, która może przetwarzać dane także w USA. Ocenę maili i odczyt dokumentów wykonuje model językowy przez Vercel AI Gateway z włączonym zerowym przechowywaniem danych (zero data retention): główny model to Luna, a gdy nie odpowie, wywołanie przejmuje zapasowy model Sonnet. Dane przekazane modelowi nie są używane do trenowania ani przechowywane przez dostawcę. Zapisujemy tylko liczbę przetworzonych znaków i koszt wywołania, bez treści.

Ograniczone wykorzystanie danych Google

Wykorzystanie i przekazywanie przez Opraio informacji otrzymanych z interfejsów API Google będzie zgodne z Zasadami dotyczącymi danych użytkownika w usługach interfejsu API Google, w tym z wymogami ograniczonego wykorzystania. Dwie czynności na żądanie człowieka (przeczytanie wcześniejszych maili zaufanego nadawcy i „Przenieś do »Do opłaty«”) czytają treść wyłącznie po jawnym kliknięciu, w celu widocznym dla tej osoby, bez zapisu treści, bez profilowania, bez reklam i bez przekazywania dalej.

Opraio's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Data protection (summary in English)

Opraio requests only the read-only Gmail scope and never sends, deletes or modifies messages. Message bodies and attachments are not stored; bank account numbers and links are masked before any text reaches the language model or is stored as a quote. Message bodies and PDF, DOCX or plain-text payroll attachments are read, under the same read-only scope, only from senders designated by the company as trusted (for example its accounting office), and only after the sender is confirmed from the message headers (DMARC), to prepare payment items for human review (the text of every incoming message is read in memory for triage, before DMARC is checked, and is not stored); for these documents account numbers are kept, and only message and thread identifiers, the message date, a hash, file name and size are stored; the only exceptions are two actions requested by a person: the company owner may ask for earlier messages of a trusted sender (last 30 or 90 days) to be read, and a signed-in user may read a single message from any sender with the "Move to Payables (Do opłaty)" button; both read content only after an explicit click, for a purpose visible to that person, without storing content or profiling. A message whose sender cannot be confirmed is flagged for review. For tax and social-insurance items the person's name (no national ID number) and the owner's company-or-private decision are stored, visible only to owner and approver roles. Documents are read by a model through Vercel AI Gateway with zero data retention (primary model Luna, fallback Sonnet). All traffic uses HTTPS/TLS with HSTS, including connections to the database, Google and the model provider. The database is encrypted at rest by the provider, and the Gmail OAuth token is additionally encrypted in the application with AES-256-GCM using a key stored separately from the database. Access requires login (passwords stored as scrypt hashes, HttpOnly Secure session cookie), data is isolated per company, mail matters are visible only to owner and approver roles, and the application uses a least-privilege database role. Every action on a matter is recorded in an audit log without message content. Closed matters are deleted after 30 days; disconnecting the mailbox deletes the token and revokes the grant at Google. Data sent to the model is not used for training.

Odłączenie i usunięcie

Właściciel może w każdej chwili wstrzymać pobieranie albo odłączyć skrzynkę na ekranie „Połączenia”. Odłączenie usuwa token i cofa zgodę w Google. Dostęp można też cofnąć w ustawieniach konta Google (Bezpieczeństwo → aplikacje innych firm). Zamknięte sprawy usuwamy automatycznie 30 dni po zamknięciu, także po odłączeniu skrzynki. Wcześniejszego usunięcia zapisanych spraw można zażądać pod adresem kontaktowym.

Kontakt

Pytania dotyczące prywatności: cockpitowner@gmail.com.