WolfieAuth WolfieAuth
Terms Privacy Panel 🇬🇧 English

Regulamin serwisu WolfieAuth

Wersja: 1.0
Data obowiązywania: 24 kwietnia 2026 r.
Adres serwisu: https://auth.wolfieguard.com

§1. Definicje

  1. Serwis — platforma uwierzytelniania (SSO) WolfieAuth dostępna pod adresem https://auth.wolfieguard.com, świadcząca usługę centralnego logowania do aplikacji trzecich (WordPress, Perfex CRM, inne zgodne z OpenID Connect).
  2. Usługodawca / Administrator Danych — Paweł Witek, prowadzący działalność pod firmą WolfieGuard, z kontaktem pod adresem: office@wolfieguard.com.
  3. Użytkownik — osoba fizyczna, posiadająca konto w Serwisie, korzystająca z funkcji uwierzytelniania.
  4. Konto — wpis w bazie danych Serwisu zawierający email, hasło (w formie hasha Argon2id), ustawienia bezpieczeństwa (2FA) oraz wyrażone zgody.
  5. Aplikacja Kliencka — aplikacja trzecia zintegrowana z Serwisem przez protokół OpenID Connect (dalej: OIDC), przy użyciu której Użytkownik loguje się do innych systemów.
  6. RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych).

§2. Zakres usługi

  1. Serwis świadczy usługę centralnego logowania (Single Sign-On) opartego na standardzie OpenID Connect.
  2. Użytkownik, korzystając z jednego konta w Serwisie, może logować się do dowolnej liczby Aplikacji Klienckich bez konieczności zakładania w nich osobnych kont.
  3. Serwis umożliwia:
    • uwierzytelnianie tożsamości (hasło + opcjonalne 2FA TOTP),
    • zarządzanie sesjami (podgląd, unieważnianie),
    • przegląd historii logowań,
    • zmiany hasła i preferencji (język interfejsu),
    • wycofanie zgód i usunięcie konta (§9).
  4. Serwis NIE świadczy usługi hostingu treści, poczty, ani innych usług chmurowych — jest wyłącznie dostawcą tożsamości.

§3. Rejestracja i założenie konta

  1. Konto w Serwisie zakładane jest w jeden z poniższych sposobów: a) przez Administratora Serwisu (konta pracowników, klientów zaufanych), b) w przyszłości, gdy funkcja zostanie udostępniona — samodzielnie przez Użytkownika.
  2. Warunkiem założenia konta jest zaakceptowanie niniejszego Regulaminu oraz Polityki Prywatności.
  3. Użytkownik jest zobowiązany do podania prawdziwego adresu email. Email służy do identyfikacji, komunikacji związanej z bezpieczeństwem oraz — za odrębną zgodą Użytkownika — do otrzymywania informacji marketingowych.

§4. Zgody na przetwarzanie danych

  1. W momencie zakładania konta (lub przy pierwszym logowaniu, jeśli konto zostało utworzone przez Administratora) Użytkownik wyraża następujące zgody:

4.1. Zgoda obowiązkowa — przetwarzanie danych w celu świadczenia usługi

Wyrażam zgodę na przetwarzanie moich danych osobowych (adres email, hasło w postaci zaszyfrowanej, adres IP, informacje o przeglądarce, kraj geolokalizacji, historia logowań, ustawienia 2FA) przez Pawła Witka (WolfieGuard) w celu świadczenia usługi uwierzytelniania (SSO) w ramach Serwisu WolfieAuth, zgodnie z art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — bezpieczeństwo serwisu, detekcja nadużyć, audit log).

Zgoda ta jest niezbędna do korzystania z Serwisu. Bez jej wyrażenia konto nie może zostać utworzone.

4.2. Zgoda opcjonalna — komunikacja marketingowa

Wyrażam zgodę na otrzymywanie od Pawła Witka (WolfieGuard) informacji marketingowych drogą elektroniczną (email) na podany adres — w tym: informacji o nowych funkcjach Serwisu, ofertach produktów i usług WolfieGuard, newsletterów, zaproszeń do programów beta oraz innych materiałów promocyjnych. Wyrażenie tej zgody stanowi jednocześnie zgodę w rozumieniu art. 10 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz art. 172 ustawy Prawo telekomunikacyjne.

Zgoda ta jest dobrowolna. Użytkownik może korzystać z Serwisu bez jej wyrażenia. Może ją wycofać w każdej chwili — w panelu Użytkownika (Ustawienia → Zgody → Cofnij), klikając link rezygnacji w dowolnym mailu marketingowym, albo wysyłając prośbę na office@wolfieguard.com. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

4.3. Zgoda opcjonalna — przetwarzanie danych w celach analitycznych i rozwoju produktu

Wyrażam zgodę na przetwarzanie moich danych (wzorce logowania, częstotliwość używania, używane Aplikacje Klienckie) w formie zagregowanej i pseudonimizowanej w celu ulepszania Serwisu, analiz produktowych i badań nad zapobieganiem nadużyciom.

Zgoda opcjonalna, w pełni wycofywalna.

  1. Każda zgoda rejestrowana jest w bazie danych wraz z:
    • datą i godziną wyrażenia,
    • wersją Regulaminu i Polityki Prywatności w momencie wyrażenia,
    • adresem IP,
    • user-agentem przeglądarki,
    • sposobem wyrażenia (formularz rejestracji / późniejsze okno w panelu / akceptacja zmiany wersji).
  2. Historia zgód (w tym wycofań) jest przechowywana przez cały czas istnienia konta i 3 lata po jego usunięciu — w celu możliwości udowodnienia zgodnego z prawem przetwarzania zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO).

§5. Korzystanie z Serwisu

  1. Użytkownik zobowiązuje się do:
    • używania Serwisu zgodnie z prawem i dobrymi obyczajami,
    • niezwłocznego zgłoszenia utraty dostępu do konta lub podejrzenia nieautoryzowanego dostępu,
    • nieudostępniania hasła osobom trzecim,
    • stosowania silnego, unikalnego hasła oraz (rekomendowane) włączenia 2FA.
  2. Administrator Serwisu może zablokować konto lub odmówić usługi, jeżeli wykryje:
    • automatyczne próby włamania (brute force),
    • nadużycia (spam, phishing, naruszenie praw osób trzecich),
    • naruszenie Regulaminu.
  3. Administrator może wprowadzać ograniczenia ilościowe (rate limits) na liczbę prób logowania oraz rejestrację nowych Aplikacji Klienckich.

§6. Zarządzanie danymi i bezpieczeństwo

  1. Hasła użytkowników przechowywane są wyłącznie w postaci skrótu Argon2id (64 MB pamięci, 3 iteracje) — Administrator nie zna haseł użytkowników.
  2. Sekrety Aplikacji Klienckich (client_secret) przechowywane są w bazie danych chronionej hasłem dostępu do kontenera — Administrator może je rotować bez znajomości bieżącego sekretu.
  3. Wszystkie zdarzenia związane z uwierzytelnianiem (logowanie, wylogowanie, zmiana hasła, zmiana zgód, impersonacja przez administratora) rejestrowane są w audit logu podpisanym HMAC-SHA256.
  4. Komunikacja między przeglądarką a Serwisem odbywa się wyłącznie po TLS 1.3 z HSTS.
  5. Serwis stosuje wielowarstwową detekcję anomalii (logowanie z nowego kraju, impossible travel, brute force) z alertami email do Administratora.

§7. Impersonacja (logowanie jako użytkownik)

  1. Administrator Serwisu (rola SUPER_ADMIN) może zalogować się na konto dowolnego Użytkownika (poza innymi SUPER_ADMIN) w celach pomocy technicznej lub diagnostyki.
  2. Impersonacja odbywa się w jednym z dwóch trybów:
    • Transparent (jawnym) — Użytkownik otrzymuje automatyczny email informujący o zalogowaniu się Administratora na jego konto.
    • Stealth (ukrytym) — fakt impersonacji zapisywany jest wyłącznie w audit logu widocznym dla SUPER_ADMIN, Użytkownik nie jest powiadamiany. Tryb przeznaczony do dochodzeń w sprawach bezpieczeństwa.
  3. Każda impersonacja — niezależnie od trybu — jest audytowalna (audit log zawiera: administratora, użytkownika, czas, IP, tryb).
  4. Administrator zobowiązuje się do używania impersonacji wyłącznie w uzasadnionych przypadkach.

§8. Aplikacje Klienckie

  1. Użytkownik posiadający uprawnienia (ADMIN / SUPER_ADMIN) może rejestrować Aplikacje Klienckie zgodne z OIDC.
  2. Każda zarejestrowana Aplikacja otrzymuje unikalny client_id i client_secret.
  3. client_secret jest wyświetlany jednorazowo przy rejestracji i rotacji. Utracony sekret można zrotować, co unieważnia poprzedni.
  4. Zarejestrowanie Aplikacji nie jest równoznaczne z gwarancją bezpieczeństwa tej aplikacji — Administrator Serwisu nie odpowiada za sposób wykorzystania tokenów przez Aplikacje Klienckie.
  5. Użytkownik rejestrujący Aplikację ponosi odpowiedzialność za prawidłowe zabezpieczenie client_secret oraz redirect_uri.

§9. Prawa Użytkownika (RODO)

Użytkownikowi przysługują następujące prawa:

  1. Prawo dostępu (art. 15 RODO) — żądanie informacji o przetwarzanych danych osobowych oraz uzyskania kopii danych. Dostępne w panelu: Ustawienia → Eksport danych.
  2. Prawo do sprostowania (art. 16 RODO) — poprawienie nieprawidłowych danych. Dostępne w panelu.
  3. Prawo do usunięcia („prawo do bycia zapomnianym", art. 17 RODO) — żądanie usunięcia konta. Dostępne w panelu: Ustawienia → Usuń konto. Po usunięciu: dane osobowe są anonimizowane (email zastępowany hashem), ale audit log pozostaje (zgodnie z obowiązkiem przechowywania dowodów zgodnego z prawem przetwarzania — przez 3 lata od usunięcia).
  4. Prawo do ograniczenia przetwarzania (art. 18 RODO).
  5. Prawo do przenoszenia danych (art. 20 RODO) — eksport JSON wszystkich danych.
  6. Prawo sprzeciwu (art. 21 RODO) — w szczególności wobec marketingu bezpośredniego.
  7. Prawo do wycofania zgody (art. 7 ust. 3 RODO) — w dowolnym momencie, bez wpływu na wcześniejsze przetwarzanie.
  8. Prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

W celu realizacji praw z pkt. 1–7 Użytkownik korzysta z panelu Serwisu lub wysyła zgłoszenie na office@wolfieguard.com. Administrator odpowiada w ciągu 30 dni.

§10. Członkostwo w WolfieAuth jako dostawcy tożsamości

  1. Założenie konta w WolfieAuth oznacza zostanie członkiem WolfieAuth jako dostawcy tożsamości (w rozumieniu OpenID Connect Provider). Użytkownik uzyskuje pojedynczą tożsamość (claim OIDC sub), z której może korzystać do uwierzytelnienia w każdej Aplikacji Klienckiej zarejestrowanej w WolfieAuth — zarówno aplikacjach Administratora, jak i aplikacjach trzecich zintegrowanych przez OIDC.
  2. Członkostwo obejmuje:
    • prawo do bezpłatnego korzystania z Serwisu w pakiecie Free (3 miejsca, 1 aplikacja, 1 000 logowań użytkowników aplikacji/mies — aktualne limity zawsze pod /api/billing/wolfieauth-platform/plans),
    • możliwość wykupienia płatnego pakietu (obecnie Starter, Pro oraz limitowanego Alpha) z wyższymi limitami miejsc / aplikacji / logowań,
    • prawo do rejestrowania własnych Aplikacji Klienckich OIDC i pełnienia roli administratora ich organizacji.
  3. Użytkownik może należeć jednocześnie do wielu organizacji. Organizacja domowa (homeOrg) określa kontekst rozliczeniowy; pozostałe członkostwa dają dostęp cross-aplikacyjny bez zmiany domowej.
  4. WolfieAuth nigdy nie udostępnia hasła Użytkownika Aplikacjom Klienckim. Uwierzytelnienie odbywa się przez standardowe flow OIDC; Aplikacje Klienckie otrzymują wyłącznie podpisane claimy (sub, email, name, role, claimy planów/funkcji) — nigdy hasła.
  5. Użytkownik może zrezygnować (zamknąć konto) w dowolnym momencie. Zamknięcie konta usuwa Użytkownika ze wszystkich członkostw i uruchamia proces retencji (zob. §6 / Polityka Prywatności pkt 4).

§11. Opłaty, płatne pakiety i przetwarzanie płatności

  1. Serwis jest bezpłatny w pakiecie Free (3 miejsca, 1 aplikacja, 1 000 logowań/mies). Karta płatnicza nie jest wymagana.
  2. Wyższe pakiety (Starter $29/mies, Pro $99/mies, Alpha jednorazowo $100) wiążą się z opłatą miesięczną lub jednorazową plus opłaty za przekroczenie limitu (dodatkowe miejsca $5/mies każde, dodatkowe logowania $0.20–$1.00 za 1 000 zależnie od pakietu). Aktualny cennik zawsze pod https://auth.wolfieguard.com/billing/wolfieauth-platform.
  3. Płatności są realizowane przez Stripe (Stripe Payments Europe, Limited — Irlandia), procesor płatności Administratora. Inicjując płatną subskrypcję Użytkownik akceptuje warunki Stripe (https://stripe.com/legal) na potrzeby procesowania transakcji. Administrator nie przechowuje pełnych danych karty — przetwarza je Stripe pod reżimem PCI-DSS; Administrator przechowuje wyłącznie identyfikatory klienta / subskrypcji Stripe oraz cztery ostatnie cyfry karty do wyświetlenia.
  4. Subskrypcje są odnawiane automatycznie przez Stripe z zapisanej metody płatności do momentu anulowania. Anulowanie wchodzi w życie z końcem bieżącego okresu rozliczeniowego; do tego dnia Użytkownik zachowuje dostęp.
  5. Administrator może oferować płatne pakiety także dla Aplikacji Klienckich hostowanych w WolfieAuth, których Użytkownik jest administratorem. Środki za te subskrypcje płyną na connected Stripe account organizacji (Stripe Connect Standard); Administrator pobiera 5% prowizji platformowej z każdej transakcji.
  6. Faktury VAT są wystawiane dla każdej płatnej subskrypcji w wersji angielskiej (PDF). Dla klientów spoza Polski stosowane są zasady OSS/MOSS dot. VAT-u.
  7. Zwroty: opłaty subskrypcyjne nie podlegają zwrotowi w trakcie okresu rozliczeniowego; Administrator może wystawiać zwroty w drodze dobrej woli case-by-case. Opłaty jednorazowe (np. Alpha) nie podlegają zwrotowi z wyjątkiem przypadków bezwzględnie wymaganych prawem (14-dniowe prawo do odstąpienia od umowy zgodnie z ustawą o prawach konsumenta art. 27 dla osób fizycznych będących konsumentami).
  8. Przyszłe płatne pakiety mogą zostać wprowadzone z co najmniej 30-dniowym wyprzedzeniem; dotychczasowi subskrybenci zachowują cenę z momentu zapisania się, chyba że zostaną explicite poinformowani o zmianie.

§12. Zmiany Regulaminu

  1. Administrator zastrzega sobie prawo do zmiany Regulaminu z co najmniej 14-dniowym wyprzedzeniem.
  2. O zmianach Użytkownicy są informowani:
    • przez email,
    • przez komunikat w panelu,
    • przez aktualizację wersji Regulaminu na stronie.
  3. Przy pierwszym logowaniu po wprowadzeniu zmian Użytkownik musi ponownie zaakceptować nową wersję Regulaminu. Odmowa akceptacji skutkuje zablokowaniem konta (bez usunięcia — konto można odblokować przez ponowną akceptację lub żądać usunięcia konta zgodnie z §9 pkt. 3).
  4. Historia wszystkich wersji Regulaminu dostępna jest pod adresem https://auth.wolfieguard.com/terms/history (planowane).

§13. Odpowiedzialność Administratora

  1. Administrator dokłada starań, by Serwis działał nieprzerwanie, ale nie gwarantuje 100% dostępności.
  2. Administrator nie odpowiada za:
    • szkody wynikające z utraty hasła przez Użytkownika,
    • nieprawidłowe zabezpieczenie Aplikacji Klienckich przez ich właścicieli,
    • przerwy w dostępie spowodowane siłą wyższą, atakami DDoS, awariami infrastruktury sieciowej.
  3. Maksymalna odpowiedzialność Administratora za szkody związane z działaniem Serwisu ograniczona jest do 1000 PLN — poza przypadkami winy umyślnej lub rażącego niedbalstwa.

§14. Polityka retencji danych — automatyczne usuwanie nieaktywnych kont i organizacji

Administrator stosuje zasadę minimalizacji danych (art. 5 ust. 1 lit. c i e RODO) i automatycznie usuwa konta oraz organizacje, które wykazują trwałe oznaki braku aktywności. Pełny harmonogram poniżej.

13.1. Porzucone konta (abandoned signups)

Konto Użytkownika zostanie trwale usunięte bez powiadomienia po upływie 30 dni od rejestracji, jeżeli łącznie spełnione są następujące warunki:

Brak ostrzeżenia jest świadomą decyzją: skoro Użytkownik ani razu nie korzystał z konta, traktujemy adres email jako niewerified pod kątem komunikacji.

13.2. Cykl życia nieaktywnej Organizacji

Organizacja jest uznana za nieaktywną, jeśli żaden z jej członków nie zalogował się przez okres referencyjny:

Wielkość organizacji Okres bezczynności
1 członek 60 dni
Więcej niż 1 członek 365 dni (1 rok)

Wydłużony okres dla organizacji wieloosobowych odzwierciedla naturalny rytm zespołów, które miewają długie okresy ciszy (urlopy, sezonowość projektu).

Trzy etapy:

  1. Ostrzeżenie (dzień N). Wysyłamy email do SPECIAL_ADMIN Organizacji (lub na contactEmail, jeśli nie wyznaczono administratora) z informacją, że Organizacja zostanie zamknięta w ciągu 30 dni, jeśli aktywność nie zostanie wznowiona. Zapis tego faktu trafia do audit logu (ORG_INACTIVITY_WARNING_SENT).

  2. Zamknięcie (dzień N+30). Jeśli przez kolejne 30 dni żaden członek się nie zalogował, Organizacja zostaje zamknięta: stempel closedAt jest ustawiany, a do SPECIAL_ADMIN trafia drugi email z informacją o zamknięciu i terminie usunięcia danych. Organizacja jest oznaczona w panelu jako "closed".

  3. Trwałe usunięcie (dzień N+30+90 = ok. 4 miesiące od ostrzeżenia). 90 dni po zamknięciu wszystkie dane Organizacji są trwale usuwane: członkowie (linki OrgMembership), aplikacje OIDC należące do Organizacji, dane Person powiązane z Organizacją, integracje SAML, audit log dotyczący Organizacji. Przed upływem tego okresu Organizacja może zostać przywrócona — wystarczy, że dowolny członek zaloguje się; system automatycznie usuwa stempel closedAt i Organizacja wraca do normalnego stanu.

Wskaźnik aktywności: mierzymy maksymalną wartość pola lastLoginAt spośród wszystkich kont członków Organizacji. Jeśli żaden członek nigdy nie wykazał aktywności, punktem odniesienia jest data utworzenia Organizacji.

13.3. Konfiguracja techniczna

Mechanizm jest implementowany jako codzienne zadanie cykliczne (apps/server/src/jobs/account-retention.ts). Domyślnie wymaga jawnego włączenia (RETENTION_ENABLED=true w konfiguracji); pierwsze uruchomienie po włączeniu działa w trybie RETENTION_DRY_RUN=true (tylko logowanie, bez fizycznej destrukcji), aby Administrator mógł zweryfikować pulę kandydatów do usunięcia. Wszystkie progi są konfigurowalne zmiennymi środowiskowymi (RETENTION_ABANDONED_SIGNUP_DAYS, RETENTION_ORG_INACTIVE_SINGLE_DAYS, RETENTION_ORG_INACTIVE_MULTI_DAYS, RETENTION_ORG_WARNING_GRACE_DAYS, RETENTION_ORG_DELETE_AFTER_CLOSE_DAYS).

13.4. Prawo do wcześniejszego usunięcia

Niezależnie od powyższej polityki, każdy Użytkownik może w dowolnym momencie skorzystać z prawa do bycia zapomnianym (art. 17 RODO) — opisane w §9 ust. 1 lit. d. Polityka retencji ma na celu jedynie zapewnienie, że dane nieużywane są usuwane proaktywnie, bez konieczności składania wniosku przez Użytkownika.

§15. Postanowienia końcowe

  1. W sprawach nieuregulowanych Regulaminem stosuje się przepisy:
    • RODO,
    • ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną,
    • ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych,
    • Kodeksu Cywilnego.
  2. Sądem właściwym dla rozstrzygania sporów jest sąd właściwy dla siedziby Administratora.
  3. Regulamin wchodzi w życie z dniem 24 kwietnia 2026 r.

Kontakt w sprawach Regulaminu i ochrony danych:
Paweł Witek (WolfieGuard)
Email: office@wolfieguard.com

Niniejszy Regulamin został przygotowany jako szablon zgodny z RODO. Przed wdrożeniem produkcyjnym dla użytkowników zewnętrznych zaleca się konsultację z radcą prawnym — szczególnie w zakresie §12 (ograniczenie odpowiedzialności) i danych kontaktowych Administratora.

auth.wolfieguard.com · office@wolfieguard.com