Polityka prywatności

Wersja: 1.1 · Obowiązuje od: lipiec 2026

Polityka opisuje, jak Spectre Legal przetwarza dane osobowe w związku z korzystaniem z wtyczek Spectre dla Outlooka (dodatek do Microsoft Outlook) i Spectre dla Worda (dodatek do Microsoft Word) oraz powiązanego serwisu internetowego pod adresem spectrelegal.app. Niniejsza polityka jest spójna z RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679).

1. Administrator danych

Administratorem danych osobowych jest MotionAI Maciej Guz (NIP: 9522249683), świadczący usługę pod marką Spectre Legal (kontakt: privacy@spectrelegal.app). W zakresie usług świadczonych dla kancelarii prawnych, kancelaria klienta pozostaje administratorem danych swoich klientów; Spectre Legal działa wówczas jako podmiot przetwarzający (art. 28 RODO) na podstawie odrębnej umowy powierzenia.

2. Jakie dane przetwarzamy

2.1. Dane konta użytkownika

Adres e-mail, imię i nazwisko (z konta Microsoft 365)
Microsoft Object ID (oid) — wewnętrzny identyfikator użytkownika
Nazwa i identyfikator kancelarii (tenant) w Spectre
Rola w kancelarii (użytkownik / administrator / superadmin)

2.2. Dane importowanej korespondencji (wtyczka Outlook)

Treść wiadomości e-mail (tekstowa, po usunięciu kodu HTML)
Metadane: nadawca, odbiorcy, DW, data wysłania, temat, identyfikator wątku
Załączniki — pobierane przez Microsoft Graph API, konwertowane do PDF, przechowywane w infrastrukturze sprawy

2.3. Dane dokumentów (wtyczka Word)

Treść aktywnego dokumentu Word (lub zaznaczonego fragmentu) — przesyłana do systemu Spectre wyłącznie przy uruchomieniu funkcji AI (generowanie draftu, wypełnienie szablonu danymi sprawy, poprawki nanoszone jako recenzja) lub przy zapisie dokumentu do sprawy
Dokumenty zapisane do sprawy — przechowywane jako dokumenty sprawy w infrastrukturze Spectre
Wtyczka Word nie ma dostępu do skrzynki e-mail (nie korzysta z uprawnienia Mail.Read) i nie odczytuje treści dokumentu w tle bez działania użytkownika

2.4. Dane techniczne i logi audytowe

Adres IP urządzenia (ostatni hop z nagłówka X-Forwarded-For)
User-agent przeglądarki / klienta Outlooka lub Worda
Czas i rodzaj operacji (np. „pobranie wątku", „utworzenie sprawy", „zapis draftu")
Identyfikatory technicznych operacji (Graph message id, file size)

2.5. Dane przechowywane lokalnie w przeglądarce

sessionStorage — token bearer (HMAC-SHA256, ważny 8 godzin) i czyszczony po zamknięciu panelu wtyczki.
localStorage — preferowana kancelaria użytkownika (gdy użytkownik należy do więcej niż jednej) i jest powiązana z identyfikatorem Microsoft oid.

3. Cele i podstawy prawne przetwarzania

Świadczenie usługi importu korespondencji do sprawy — art. 6 ust. 1 lit. b RODO (wykonanie umowy z kancelarią) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora kancelarii w prowadzeniu spraw).
Świadczenie usługi pracy nad dokumentami w Wordzie (generowanie draftów, wypełnianie szablonów, poprawki AI, zapis do sprawy) — art. 6 ust. 1 lit. b RODO (wykonanie umowy z kancelarią).
Dostęp do skrzynki e-mail przez Microsoft Graph (Mail.Read) — art. 6 ust. 1 lit. a RODO (zgoda użytkownika wyrażona przy pierwszym uruchomieniu wtyczki w oknie zgody Microsoft).
Logi audytowe dla zgodności z tajemnicą zawodową — art. 6 ust. 1 lit. c RODO (obowiązek prawny — Kodeks etyki adwokackiej, Kodeks etyki radcy prawnego) oraz art. 6 ust. 1 lit. f RODO (wykrywanie nadużyć).
Bezpieczeństwo i przeciwdziałanie nadużyciom (rate-limit, anti-abuse) — art. 6 ust. 1 lit. f RODO.

4. Odbiorcy danych

Dane są przekazywane następującym podmiotom:

Microsoft Corporation — w zakresie integracji z Microsoft 365 / Outlook / Graph (umowa MS DPA, transfer w ramach UE)
Google LLC (Google Cloud Platform) — infrastruktura hostująca aplikację (Cloud Run, Firestore, Cloud Storage), region europe-central2 (Warszawa). Umowa GCP DPA + SCC.
Google LLC (Vertex AI) — modele Gemini wykorzystywane do klasyfikacji wątku e-mail (rodzaj sprawy, strony, sygnatury akt) oraz do funkcji AI wtyczki Word (generowanie draftów, poprawki dokumentów). Dane przekazywane do modelu są przetwarzane wyłącznie w celu wygenerowania odpowiedzi i nie są używane do trenowania modeli Google (umowa GCP).
Personel Spectre Legal — wyłącznie w zakresie niezbędnym do utrzymania usługi i wsparcia technicznego; zobowiązany do zachowania poufności.

Dane nie są przekazywane żadnym podmiotom marketingowym, reklamowym ani analitycznym (poza technicznymi logami GCP).

5. Transfer poza EOG

Dane są przechowywane fizycznie w regionie europe-central2 (Warszawa, GCP). Microsoft Graph działa w ramach umowy z Microsoft zapewniającej zgodność z RODO. W przypadku ewentualnego dostępu do danych przez personel GCP lub Microsoft poza EOG, transfery odbywają się w oparciu o Standardowe Klauzule Umowne (SCC) Komisji Europejskiej.

6. Okres przechowywania

Dane sprawy (e-maile, załączniki, metadane) — przez okres istnienia sprawy w Spectre. Usuwane wraz z usunięciem sprawy przez użytkownika kancelarii.
Logi audytowe — automatycznie usuwane po 90 dniach (mechanizm Firestore TTL).
Token bearer — przechowywany w sessionStorage przeglądarki, ważny 8 godzin lub do zamknięcia panelu wtyczki.
Preferencja kancelarii — przechowywana w localStorage przeglądarki do czasu jej manualnego wyczyszczenia przez użytkownika lub mechanizm „Zmień kancelarię".

7. Prawa osób, których dane dotyczą (RODO art. 15-22)

Masz prawo do:

Dostępu do swoich danych (art. 15)
Sprostowania danych nieprawidłowych (art. 16)
Usunięcia danych („prawo do bycia zapomnianym", art. 17)
Ograniczenia przetwarzania (art. 18)
Przenoszenia danych (art. 20)
Sprzeciwu wobec przetwarzania (art. 21)
Cofnięcia zgody w dowolnym momencie (dotyczy danych przetwarzanych na podstawie zgody, art. 7 ust. 3)
Wniesienia skargi do organu nadzorczego — Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa

Aby skorzystać z któregokolwiek z powyższych praw, skontaktuj się z nami pod adresem privacy@spectrelegal.app. Odpowiemy w terminie 30 dni.

8. Bezpieczeństwo

Stosujemy techniczne i organizacyjne środki ochrony danych:

Szyfrowanie w tranzycie (TLS 1.2+) i w spoczynku (AES-256, GCP)
Uwierzytelnianie wieloskładnikowe (Microsoft SSO z obsługą MFA)
Izolacja danych pomiędzy kancelariami (Firestore tenant scoping)
Logi audytowe wszystkich operacji wtyczki
Ograniczenia szybkości zapytań (rate limiting) chroniące przed nadużyciami
Regularne aktualizacje zależności i przeglądy bezpieczeństwa

9. Tajemnica zawodowa

Spectre Legal jest świadomy szczególnego charakteru danych przetwarzanych przez kancelarie prawne (tajemnica adwokacka / radcowska / notarialna / doradcy podatkowego). Stosowane środki ochrony obejmują m.in.: brak dostępu personelu Spectre do treści spraw klientów bez wyraźnej zgody, klauzule poufności w umowach z dostawcami infrastruktury, oraz mechanizmy kryptograficznej izolacji danych pomiędzy kancelariami.

10. Zmiany polityki

Możemy aktualizować tę politykę w przypadku zmian w przepisach prawa lub w sposobie świadczenia usługi. Istotne zmiany zostaną zakomunikowane co najmniej 14 dni przed wejściem w życie poprzez powiadomienie w aplikacji Spectre lub e-mail. Aktualną wersję zawsze publikujemy pod adresem support.spectrelegal.app/privacy.

11. Kontakt

Pytania o przetwarzanie danych osobowych: privacy@spectrelegal.app.
Inspektor Ochrony Danych (jeśli wyznaczono): iod@spectrelegal.app.

Privacy Policy

Version: 1.1 · Effective from: July 2026

This policy describes how Spectre Legal processes personal data in connection with the Spectre for Outlook add-in (for Microsoft Outlook), the Spectre for Word add-in (for Microsoft Word), and the associated web service at spectrelegal.app. The policy is GDPR-compliant (Regulation (EU) 2016/679).

1. Data Controller

The data controller is MotionAI Maciej Guz (Polish tax id / NIP: 9522249683), providing the service under the Spectre Legal brand (contact: privacy@spectrelegal.app). For services provided to member law firms, the client firm remains the controller of its own clients' data; Spectre Legal acts as a processor (GDPR Art. 28) under a separate data processing agreement.

2. What data we process

2.1. User account data

Email address, full name (from Microsoft 365 account)
Microsoft Object ID (oid) — internal user identifier
Firm (tenant) name and identifier in Spectre
Role within the firm (user / admin / superadmin)

2.2. Imported correspondence data (Outlook add-in)

Email body (plain text, with HTML stripped)
Metadata: sender, recipients, CC, date sent, subject, thread id
Attachments — pulled via Microsoft Graph API, converted to PDF, stored in the case's infrastructure

2.3. Document data (Word add-in)

Content of the active Word document (or a selection) — sent to the Spectre system only when the user runs an AI feature (draft generation, filling a template with case data, edits applied as tracked changes) or saves the document to a case
Documents saved to a case — stored as case documents in the Spectre infrastructure
The Word add-in has no mailbox access (it does not use the Mail.Read permission) and does not read document content in the background without a user action

2.4. Technical and audit log data

Device IP address (last hop from the X-Forwarded-For header)
User-agent of the browser / Outlook or Word client
Operation timestamps and types (e.g. "thread fetched", "case created", "draft saved")
Operation identifiers (Graph message id, file size)

2.5. Data stored locally in your browser

sessionStorage — bearer token (HMAC-SHA256, 8h TTL), cleared when the add-in task pane closes.
localStorage — preferred firm (when the user belongs to more than one), scoped to the Microsoft oid.

3. Purposes and legal bases

Providing the email-to-case import service — GDPR Art. 6(1)(b) (contract performance) and Art. 6(1)(f) (legitimate interest of the law firm in case management).
Providing the document workflow in Word (draft generation, template fill, AI edits, saving to a case) — GDPR Art. 6(1)(b) (contract performance).
Mailbox access via Microsoft Graph (Mail.Read) — GDPR Art. 6(1)(a) (user consent expressed via the Microsoft consent dialog on first use).
Audit logs for professional confidentiality compliance — GDPR Art. 6(1)(c) (legal obligation — Polish advocate / legal counsel ethics codes) and Art. 6(1)(f) (abuse detection).
Security and abuse prevention (rate-limiting, anti-abuse) — GDPR Art. 6(1)(f).

4. Data recipients

Data is shared with the following entities:

Microsoft Corporation — for the Microsoft 365 / Outlook / Graph integration (Microsoft DPA, EU-internal transfer)
Google LLC (Google Cloud Platform) — application hosting infrastructure (Cloud Run, Firestore, Cloud Storage), europe-central2 region (Warsaw). GCP DPA + SCC.
Google LLC (Vertex AI) — Gemini models used to classify the email thread (case type, parties, court reference numbers) and to power the Word add-in's AI features (draft generation, document edits). Data sent to the model is processed solely to generate the response and is not used to train Google's models (per GCP terms).
Spectre Legal staff — only as necessary for service maintenance and technical support; bound by confidentiality.

Data is not shared with any marketing, advertising, or analytics entities (beyond technical GCP logs).

5. Transfers outside the EEA

Data is physically stored in the europe-central2 region (Warsaw, GCP). Microsoft Graph operates under a Microsoft agreement ensuring GDPR compliance. For any incidental access by GCP or Microsoft personnel outside the EEA, transfers are based on Standard Contractual Clauses (SCC) of the European Commission.

6. Retention period

Case data (emails, attachments, metadata) — kept for as long as the case exists in Spectre. Deleted together with the case by the firm's user.
Audit logs — auto-deleted after 90 days (Firestore TTL mechanism).
Bearer token — stored in browser sessionStorage, valid for 8 hours or until the add-in task pane closes.
Firm preference — stored in browser localStorage until manually cleared by the user or by the "Switch firm" action.

7. Data subject rights (GDPR Art. 15-22)

You have the right to:

Access your data (Art. 15)
Rectification of inaccurate data (Art. 16)
Erasure ("right to be forgotten", Art. 17)
Restriction of processing (Art. 18)
Data portability (Art. 20)
Objection to processing (Art. 21)
Withdraw consent at any time (for data processed on the basis of consent, Art. 7(3))
Lodge a complaint with the supervisory authority — President of the Polish Personal Data Protection Office (PUODO), ul. Stawki 2, 00-193 Warsaw, Poland

To exercise any of the above rights, contact us at privacy@spectrelegal.app. We will respond within 30 days.

8. Security

We apply technical and organizational data protection measures:

Encryption in transit (TLS 1.2+) and at rest (AES-256, GCP)
Multi-factor authentication (Microsoft SSO with MFA support)
Data isolation between firms (Firestore tenant scoping)
Audit logs of all add-in operations
Rate-limiting to protect against abuse
Regular dependency updates and security reviews

9. Professional confidentiality

Spectre Legal recognizes the special nature of data processed by law firms (Polish advocate / legal counsel / notary / tax advisor privilege). Protective measures include: no access by Spectre staff to client case contents without explicit consent, confidentiality clauses in infrastructure provider agreements, and cryptographic isolation of data between firms.

10. Policy changes

We may update this policy due to changes in law or service delivery. Material changes will be communicated at least 14 days before they take effect via in-app notification or email. The current version is always published at support.spectrelegal.app/privacy.

11. Contact

Personal data processing questions: privacy@spectrelegal.app.
Data Protection Officer (if appointed): iod@spectrelegal.app.