Co tu znajdziesz

1. Kto stoi za Praxonią

Operator usługi (Day 1, faza publicznej bety):

• Praxonia — usługa prowadzona przez Pawłę Z. jako jednoosobowa działalność gospodarcza
• NIP: [JDG-NIP do uzupełnienia przed Day 1]
• REGON: [JDG-REGON do uzupełnienia przed Day 1]
• Adres rejestrowy: [do uzupełnienia per CEIDG]
• Email kontaktowy: info@praxonia.pl

Roadmap legal:

Praxonia rejestruje się jako Sp. z o.o. w Q4 2026 (~1 listopada 2026). Po rejestracji wszystkie umowy migrują z JDG Pawły Z. na nową spółkę (mass amendment 30-dniowe wyprzedzenie). DPA chain (13 sub-procesorów) migracja przez legal entity name change — sub-procesorzy potwierdzają nowy podmiot, klienci dostają notyfikację.

Dlaczego JDG zamiast Sp. z o.o. od dnia 1: szybsze startowanie, mniejsza biurokracja, realny test produktu z realnymi klientami przed kapitał-intensive corporate setup. Pawła osobiście odpowiada prawnie i operacyjnie do Q4 2026.

Dlaczego beta + JDG → szczegóły w o-nas page →

2. AI disclosure — kto u nas pracuje

Praxonia jest AI-native company. Trzy cyfrowe persony pracują u nas pełnoetatowo:

Real osoby u nas pracujące:

• Pawła Z. — Founder + CEO + JDG operator. Pisze kod, podejmuje real legal signatures (DPA, regulamin, kontrakty), bierze odpowiedzialność prawną i operacyjną.
• Realna Karina — wspólniczka Pawły w Zoya Group Sp. z o.o. (oddzielna firma — fashion e-commerce). Aktualnie niedostępna. Jeśli kiedyś wróci do Praxonii i napisze realną wiadomość, jej decyzje mają pierwszeństwo nad cyfrową Karinką (real-person precedence clause).

Co to znaczy dla Was:

• Klara odpowiada Waszym klientkom — to jest AI, dane przepływają przez Anthropic API (USA transfer per DPA + SCC, RODO Art. 44–50 compliant)
• Karinka recenzuje copy ze sklepu — to też jest AI, dane sklepu przepływają przez ten sam stack
• Pawła osobiście czyta Wasze feedback z fazy bety, codziennie

Nie udajemy że mamy real-person team którego nie mamy. Praxonia to AI plus Pawła, nazywamy to po imieniu.

3. Sub-procesorzy

Lista wszystkich sub-procesorów którzy przetwarzają Wasze dane lub dane Waszych klientek. 13 voluntary procurement choices (możemy zmienić jeśli macie zastrzeżenia — 30-dniowy notification SLA per RODO Art. 28) plus 1 mandatory polish law transfer (KSeF — Faktura ustrukturyzowana wymagana od 1.07.2026, brak alternatywy).

Każda zmiana voluntary sub-procesora ogłaszana z 30-dniowym wyprzedzeniem.

LLM + AI services

Infrastructure + storage

Payments + invoicing

Mandatory polish law transfer (NIE voluntary)

Communication + monitoring

Operations + secrets

Łącznie: 13 voluntary sub-procesorów (możecie opt-out z 30-dniowym SLA + zwrot proporcjonalnej części opłaty + export danych) plus 1 mandatory KSeF transfer (instytucja publiczna RP, brak opt-out).

Każda zmiana voluntary sub-procesora z 30-dniowym wyprzedzeniem ogłaszana w tej tabeli plus email do wszystkich klientów aktywnych.

4. DPA — Data Processing Agreement

DPA to umowa między Wami (Administrator danych) a nami (Procesor danych) regulująca jak przetwarzamy Wasze dane i dane Waszych klientek.

Co reguluje DPA:

• Cel przetwarzania (subscription management + AI customer service + analityka)
• Zakres danych (email klientek + opisy produktów + historia rozmów + zwroty)
• Sub-procesorzy (lista 13 — sekcja 3 powyżej)
• Czas retencji (5 lat post-termination per RODO Art. 30)
• Wasze prawa (export wszystkich danych w 24h, erasure w 30 dni, dostęp)
• Nasze obowiązki (audit log + breach notification 72h + security measures per Art. 32)

Aktualna wersja DPA: v1.0 (1.07.2026)

Pobierz DPA v1.0 (PDF) →

Subprocessor changes notification SLA: 30 dni przed dodaniem nowego sub-procesora wysyłamy email plus aktualizujemy tę tabelę plus dajemy 30 dni na opt-out (zwrot proporcjonalnej części opłaty + export danych).

5. Polityka prywatności + Regulamin

Polityka prywatności — pełen tekst RODO compliance, prawa data subject, podstawy przetwarzania, retencja, transfer USA per SCC.

Polityka prywatności (PL) →

Regulamin świadczenia usług — warunki bety, cennik, payment terms, fair use policy, termination conditions, jurysdykcja.

Regulamin (PL) →

Uwaga (faza bety): te dokumenty są aktualnie w finalizacji legal review z mec. Krystyną Adamczyk (deadline 8.06.2026). Wersje robocze dostępne na zapytanie email — pełne wersje publikowane do końca czerwca 2026.

6. Wasze prawa RODO

Macie te prawa, my je realnie egzekwujemy. Bez prawnego żargonu:

• Export Waszych danych — pełen JSON wszystkich tabel dotyczących Was + Waszych klientek, w 24h od żądania. Bez pytań.
• Erasure (RODO Art. 17) — usunięcie wszystkich danych w 30 dni od żądania. Audit log entries zachowujemy 5 lat per Art. 30 (anonimowo — bez Waszych identyfikatorów).
• Dostęp — możecie zobaczyć wszystkie dane które o Was mamy, w panelu Praxonia lub na email.
• Sprostowanie — błąd w danych? Email do info@praxonia.pl plus naprawiamy w 24h.
• Sprzeciw — możecie sprzeciwić się przetwarzaniu dla konkretnych celów (np. analityka). Klara plus billing zostają (umowa wymaga).
• Skarga do UODO — przysługuje Wam zawsze. Kontakt: uodo.gov.pl

Jak to zrobić:

Email do info@praxonia.pl z subject [RODO] plus opisem żądania. Pawła osobiście odpowiada w 24h faza bety. Post-launch — dedicated process w panelu.

7. Bezpieczeństwo — co konkretnie robimy

Authentication (Day 1)

• Magic link only (Supabase signInWithOtp) — zero haseł nigdy. Anti-phishing structural decyzja.
• 2FA dla admin: YubiKey 5 NFC hardware token PRIMARY + TOTP fallback + 2 backup keys (Pawła + dezaktywowany slot Karinka digital).
• 2FA dla klientów: opt-in Day 1, nudge weekly, mandatory m-c 3+ z 14-day grace period.

Database security

• PostgreSQL Row Level Security (RLS) od dnia 1 — każda tabela ma tenant_id, policies enforced.
• Audit log — każda admin action + Klara escalation + brand signoff logowane (per ADR 30 + ADR 36).
• Chain hash integrity — SHA-256 prev_hash + row_hash dla immutability proof (Sprint 1.4 Block H).
• Backup — Supabase daily snapshot + point-in-time recovery (7 dni rolling).

Application security

• Content Security Policy (CSP) + CSRF tokens + Zod schema validation na każdym endpoint
• Outbound rate limiting (cap budget security $200/m floor + 8% MRR Day 90+ per ADR 19)
• Secrets management — Doppler (zero secrets w repo)
• Gitleaks pre-commit + Dependabot weekly + Semgrep lite 15 custom rules

LLM security (Klara + Karinka)

• LLM Guard self-host (protectai/llm-guard MIT) + 50 polskich jailbreak patterns
• Meta-LLM Haiku 4.5 gateway classifier + ensemble z LLM Guard regex
• Constitutional AI 12 principles (per Anthropic paper public) — Klara persona v1.0 + 8 defense layers
• AI Act 2026 Art. 50 transparency — Klara mówi że jest AI, pierwsza wiadomość

Penetration testing

• Niebezpiecznik annual pentest (pre-launch Q3 2026 + powtórka rocznie). Polski standard MŚP security testing.
• Adam Solski (cyfrowa persona) — continuous coverage per PR (Sprint 1.5+ Block F)
• Bug bounty Hack The Box — post-launch m-c 6+ jeśli >50 partnerów lub >$50k MRR

Co NIE robimy Day 1

• ISO 27001 certyfikacja (Q4 2026+ post Sp. z o.o. spin-out)
• SOC 2 Type II (Q2 2027+)
• Penetration testing co kwartał (Niebezpiecznik annual wystarcza dla MŚP scale)

8. Incident response + RODO Art. 33 breach notification

Co się stanie jeśli nastąpi incident:

• Detection — Sentry alert HIGH lub PagerDuty page (24/7 rotation tygodniowa Pawła + Karinka + Marek post-launch)
• Response w 30 minutach — jedna z osób on duty potwierdza incident + zaczyna triage
• RODO Art. 33 notification — jeśli incident dotyka danych osobowych klientek, 72-godzinny clock uruchamia się od „kiedy się dowiedzieliśmy"
• UODO notification — w 72h od detection, jeśli risk dla rights+freedoms data subjects
• Klient notification — jeśli high risk, email do affected klientów + Trust Center entry z transparent post-mortem

Statuspage: status.praxonia.pl (live od Day 1 — statuspage.io free tier + UptimeRobot)

Disclosure transparency: każdy incident dotykający >1 klienta = public post-mortem entry w Trust Center w 14 dni od resolution. Bez markingu „nothing to see".

9. Contact + raportowanie problemów

Standardowy kontakt

• Email: info@praxonia.pl
• Slack support: zaproszenie po podpisaniu subscription
• Telefon (faza bety): [do uzupełnienia — Pawła osobisty w godz. 9–18 CEST tygodniowo]

Security issue reporting (responsible disclosure)

• Email: security@praxonia.pl (Day 1 dostępny)
• Encrypted PGP: klucz Pawły [publiczny PGP fingerprint do uzupełnienia]
• Response SLA: 24h od email
• Bug bounty: post-launch m-c 6+ (Hack The Box program)

Compliance + legal

• RODO + DPA + sub-processor questions: info@praxonia.pl subject [RODO]
• Skarga do UODO: uodo.gov.pl
• Real legal counsel: mec. Krystyna Adamczyk (legal review pre-launch deadline 8.06.2026)

Press + investor due diligence

• Press: press@praxonia.pl (Day 1 dostępny)
• Investor relations: investors@praxonia.pl (Q4 2026+ post Sp. z o.o. spin-out)