Polityka prywatności usługi OTDR-AI

Wersja 1.3 · aktualizacja: 20.08.2026 · Administrator: INTERLAB Sp. z o.o.

1. Administrator danych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z usługi OTDR-AI (dostępnej pod adresami app.otdrai.com (i otdrai.com) oraz otdr.interlab.com.pl, a także w środowiskach powiązanych) jest:

INTERLAB Sp. z o.o.
ul. Kosiarzy 37, paw. 20, 02-953 Warszawa, Polska
KRS 0000086600 · NIP 951-20-01-645 · EU VAT No. PL9512001645
kapitał zakładowy: 500 000 PLN
tel. +48 22 840 81 80 · e-mail: hello@otdrai.com
sprawy dotyczące danych osobowych: rodo@interlab.pl

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw opisanych poniżej można kontaktować się z Administratorem pod powyższym adresem.

2. Zakres

Polityka opisuje, jakie dane osobowe Administrator przetwarza w związku ze świadczeniem usługi OTDR-AI — internetowego narzędzia do wczytywania, analizy, archiwizacji i wspólnej pracy nad plikami pomiarowymi reflektometrii światłowodowej (OTDR). Dotyczy użytkowników posiadających konto, osób zaproszonych do współpracy (goście, audytorzy) oraz osób odwiedzających strony informacyjne usługi.

3. Jakie dane przetwarzamy

Dane konta: adres e-mail lub login, a jeśli zostaną podane — imię i nazwisko, nazwa firmy, numer telefonu.
Pliki pomiarowe i ich zawartość: wgrane pliki (.sor, .trc, .trcx i pochodne) oraz zawarte w nich dane, które mogą obejmować dane osobowe wprowadzone przez użytkownika lub urządzenie pomiarowe (np. imię i nazwisko operatora, lokalizacje, identyfikatory kabli, komentarze).
Dane współpracy: zaproszenia (adres e-mail zaproszonej osoby), komentarze, dane udziałów gościa/audytora, informacje o obecności w sesji współpracy na żywo.
Dane techniczne i logi bezpieczeństwa: adres IP, przybliżona lokalizacja wyznaczana na podstawie adresu IP (kraj/miasto), typ przeglądarki, znaczniki czasu oraz rejestr operacji wykonanych w usłudze; w tym dziennik bezpieczeństwa konta — zapis, z jakich adresów IP korzystano z usługi w ramach danego konta (konto, adres IP, data, licznik żądań — bez adresów odwiedzanych podstron i bez treści żądań).
Statystyka używania funkcji: zagregowana informacja o tym, które funkcje aplikacji są używane w ramach danego konta (nazwa konta, kanoniczna nazwa funkcji — np. „analiza", „raport PDF" — data i licznik użyć). Statystyka nie zawiera treści pomiarów, nazw wgranych plików, identyfikatorów tras ani adresów URL i parametrów żądań.
Pliki cookies i statystyka: techniczne pliki niezbędne do działania usługi (cookie sesji zalogowanego użytkownika, cookie dostępu gościa) oraz — na publicznych stronach informacyjnych — bezcookie'owa, zagregowana statystyka odwiedzin liczona po stronie serwera (patrz §8).

4. Cele i podstawy prawne przetwarzania

Cel	Podstawa prawna (RODO)
Założenie i prowadzenie konta, świadczenie usługi (analiza, archiwizacja, dostęp do własnych pomiarów, funkcje współpracy)	art. 6 ust. 1 lit. b — wykonanie umowy o świadczenie usługi drogą elektroniczną
Zapewnienie bezpieczeństwa usługi, zapobieganie nadużyciom, logi i audyt dostępu	art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora
Kontrola jakości i testy regresyjne silnika analizy na rzeczywistych plikach pomiarowych (patrz §5) — bez trenowania modeli uczenia maszynowego	art. 6 ust. 1 lit. f — prawnie uzasadniony interes (poprawność działania usługi)
Statystyka używania funkcji aplikacji (nazwa konta, nazwa funkcji, data, licznik) — rozwój i utrzymanie usługi: decyzje o tym, które funkcje rozwijać, a które wycofać	art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora (rozwój i utrzymanie usługi; bez profilowania i bez dostępu do treści pomiarów)
Obsługa zgłoszeń i kontakt	art. 6 ust. 1 lit. b oraz lit. f
Przesyłanie informacji o produktach i szkoleniach INTERLAB	art. 6 ust. 1 lit. a — wyłącznie na podstawie odrębnej, dobrowolnej zgody
Bezcookie'owa, zagregowana statystyka odwiedzin stron informacyjnych (pomiar własny, po stronie serwera)	art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora (zagregowana statystyka ruchu, bez profilowania i bez cookies)
Pomiar skuteczności własnych kampanii: źródło wejścia → demo → rejestracja i aktywacja	art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora (rozwój usługi i ocena kampanii; bez profilowania i zewnętrznych trackerów)
Realizacja obowiązków prawnych	art. 6 ust. 1 lit. c

5. Wykorzystanie plików do kontroli jakości silnika analizy

OTDR-AI nie wykorzystuje plików klientów do trenowania modeli uczenia maszynowego. Algorytmy analizy są deterministyczne — dla tego samego pliku zawsze zwracają ten sam wynik i nie uczą się na danych. W usłudze nie działa żaden model, w którym mogłaby pozostać treść plików.

Pliki pomiarowe mogą być natomiast wykorzystywane wewnętrznie do kontroli jakości i testów regresyjnych silnika analizy — czyli do sprawdzania, czy zmiana w algorytmie nie pogarsza wyników na rzeczywistych pomiarach. Dostęp do tego zbioru ma wyłącznie zespół inżynierski Administratora; pliki nie są udostępniane podmiotom trzecim ani publikowane. Podstawą jest prawnie uzasadniony interes Administratora polegający na zapewnieniu poprawności działania usługi (art. 6 ust. 1 lit. f RODO).

6. Odbiorcy danych i podmioty przetwarzające

Dane mogą być powierzane zaufanym podmiotom przetwarzającym wyłącznie w zakresie niezbędnym do świadczenia usługi, na podstawie umów powierzenia:

dostawca infrastruktury serwerowej (hosting);
dostawca usługi wysyłki wiadomości e-mail (link logowania, zaproszenia do współpracy);
ip-api.com — usługa geolokalizacji adresów IP. Przy wejściu na strony informacyjne oraz przy zdarzeniach logowania i rejestracji adres IP jest przesyłany do tej usługi w celu ustalenia kraju i miasta (wybór języka strony) oraz rozpoznania połączeń przez proxy/VPN i sieci serwerowni (ochrona przed nadużyciami). Usługa nie otrzymuje żadnych innych danych.

Statystyka odwiedzin stron informacyjnych jest liczona we własnym zakresie, po stronie serwera (na terenie EOG) i nie jest powierzana zewnętrznym dostawcom analityki. Nie korzystamy z Google Analytics ani innych narzędzi śledzących.

Administrator nie sprzedaje danych osobowych. Dane mogą być udostępnione uprawnionym organom, jeżeli wynika to z obowiązujących przepisów.

7. Przekazywanie poza Europejski Obszar Gospodarczy

Dane usługi — konta, pliki pomiarowe, projekty i dane współpracy — są przechowywane i przetwarzane na serwerach Administratora i nie są przekazywane poza EOG.

Wyjątkiem jest geolokalizacja adresu IP opisana w §6: zapytanie zawierające adres IP jest kierowane do zewnętrznej usługi ip-api.com. Administrator nie ma potwierdzenia, że przetwarzanie po stronie tej usługi odbywa się wyłącznie na terenie EOG, i informuje o tym wprost zamiast składać deklaracji, której nie może zweryfikować. Do usługi nie trafiają pliki pomiarowe, dane konta ani treści współpracy.

8. Pliki cookies i statystyka

W samej aplikacji (po zalogowaniu) używamy wyłącznie niezbędnych technicznie plików cookies: cookie sesji zalogowanego użytkownika oraz cookie dostępu gościa. Nie stosujemy w aplikacji cookies marketingowych ani analitycznych.

Na publicznych stronach informacyjnych (strona startowa, podręcznik, changelog, niniejsza polityka) prowadzimy bezcookie'ową, zagregowaną statystykę odwiedzin liczoną po stronie serwera. Nie używamy Google Analytics ani żadnych zewnętrznych narzędzi śledzących, nie zapisujemy cookies analitycznych i nie profilujemy użytkowników — dlatego strona nie wyświetla baneru zgody na cookies. Adres IP jest wykorzystywany przejściowo (do ustalenia kraju i miasta oraz rozpoznania połączeń przez proxy/VPN — patrz §6), a w dzienniku odwiedzin zapisywany w postaci skróconej: bez ostatniego członu adresu (np. 84.10.15.166 zapisujemy jako 84.10.15.0). Skrócony adres wskazuje sieć, a nie konkretne urządzenie — nie nazywamy go jednak „anonimowym", bo w małej sieci nadal może pozwalać na identyfikację.

Jeżeli link wejściowy zawiera przygotowane przez nas etykiety ref lub UTM, zapisujemy wyłącznie ich krótkie, oczyszczone wartości, aby mierzyć zagregowany lejek: otwarcie i użycie demo, wysłanie formularza rejestracyjnego oraz pierwszą aktywację konta. Etykieta pierwszego źródła jest przenoszona z sesji demo do nowego konta; zbiorcze liczniki są agregowane według źródła, państwa, miasta, etapu i dnia. Państwo i miasto pochodzą z geolokalizacji opisanej w §6; adres IP nie jest zapisywany w tabeli lejka marketingowego. Nie zapisujemy identyfikatora odwiedzającego ani identyfikatora kliknięcia Google (gclid), nie łączymy tych danych z treścią pomiarów i nie udostępniamy ich zewnętrznemu dostawcy analityki.

Pełny adres IP jest zapisywany w dwóch przypadkach. Po pierwsze — w zgłoszeniach wysłanych przez formularz kontaktowy i rejestracyjny, jako dowód na wypadek nadużyć, razem z danymi, które nadawca sam podał. Po drugie — w dzienniku bezpieczeństwa konta (§3): w celach bezpieczeństwa i zapobiegania nadużyciom rejestrujemy adres IP powiązany z kontem przy korzystaniu z usługi (konto, adres IP, data, licznik żądań; także przy prośbie o link logowania i jego aktywacji). Dziennik nie zawiera adresów odwiedzanych podstron ani treści żądań, a jego wpisy są przechowywane do 90 dni (§9), po czym są usuwane automatycznie. Podstawą jest prawnie uzasadniony interes Administratora — zapewnienie bezpieczeństwa usługi i zapobieganie nadużyciom (art. 6 ust. 1 lit. f RODO, §4).

Niezależnie od powyższego prowadzimy statystykę używania funkcji (§3): dla każdego konta zliczamy, ile razy w danym dniu użyto danej funkcji aplikacji. Zapisujemy wyłącznie nazwę konta, kanoniczną nazwę funkcji, datę i licznik użyć — nie zapisujemy treści pomiarów, nazw wgranych plików, identyfikatorów tras ani adresów URL i parametrów żądań. Celem jest rozwój i utrzymanie usługi: wiedza o tym, które funkcje są realnie używane, decyduje o tym, co rozwijamy, a co wycofujemy. Podstawą jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO, §4). Wpisy przechowujemy do 12 miesięcy (§9), po czym są usuwane automatycznie. Nie prowadzimy na tej podstawie profilowania ani zautomatyzowanego podejmowania decyzji (§12).

9. Okres przechowywania

Pliki pomiarowe — do czasu ich usunięcia przez użytkownika lub usunięcia konta. Użytkownik może w każdej chwili usunąć pojedyncze pliki albo wszystkie swoje dane pomiarowe bezpośrednio w aplikacji (Archiwum → usuń / „Usuń wszystkie moje pomiary"); usunięcie jest nieodwracalne.
Dane konta — do czasu usunięcia konta lub na żądanie użytkownika.
Logi techniczne i dziennik aktywności — przez ograniczony czas niezbędny dla bezpieczeństwa (co do zasady do 90 dni), po czym są usuwane.
Dziennik bezpieczeństwa konta (konto–adres IP, §8) — do 90 dni; starsze wpisy są usuwane automatycznie.
Statystyka używania funkcji (konto–funkcja–dzień, §3 i §8) — do 12 miesięcy; starsze wpisy są usuwane automatycznie.
Zagregowany lejek źródło–państwo–miasto–etap–dzień (§8) — do 12 miesięcy; etykieta pierwszego źródła zapisana z danymi konta jest przechowywana tak długo jak dane konta.
Kopie zapasowe — kopie zapasowe danych usługi wykonujemy codziennie (lokalnie oraz poza serwerem) i przechowujemy je przez ograniczony czas niezbędny do odtworzenia po awarii, co do zasady do 14 dni dla kopii rotacyjnych. Dane usunięte przez użytkownika wypadają z kopii rotacyjnych w tym cyklu.

10. Prawa osób, których dane dotyczą

Przysługuje Państwu prawo do: dostępu do danych, sprostowania, usunięcia („prawo do bycia zapomnianym"), ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, a także — w zakresie danych przetwarzanych na podstawie zgody — do jej wycofania w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania sprzed wycofania). Żądania można kierować na dane kontaktowe z §1. Mają Państwo również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

11. Dobrowolność podania danych

Podanie danych konta jest dobrowolne, lecz niezbędne do korzystania z usługi. Wgranie plików pomiarowych oraz podanie danych do współpracy następuje z inicjatywy użytkownika, który odpowiada za posiadanie podstawy prawnej do przetwarzania zawartych w plikach danych osób trzecich.

12. Zautomatyzowane podejmowanie decyzji

Administrator nie podejmuje wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), wywołujących skutki prawne lub podobnie istotnych. Automatyczna analiza plików pomiarowych służy wyłącznie prezentacji wyników użytkownikowi.

13. Zmiany Polityki

Administrator może aktualizować Politykę; o istotnych zmianach poinformuje w usłudze lub drogą e-mail. Aktualna wersja jest zawsze dostępna pod adresem usługi.

← Powrót do aplikacji

OTDR-AI Service — Privacy Policy

Version 1.3 · updated: 20 August 2026 · Controller: INTERLAB Sp. z o.o.

1. Data Controller

The controller of personal data processed in connection with the use of the OTDR-AI service (available at app.otdrai.com (and otdrai.com) and otdr.interlab.com.pl, as well as related environments) is:

INTERLAB Sp. z o.o.
ul. Kosiarzy 37, paw. 20, 02-953 Warsaw, Poland
KRS 0000086600 · Tax Identification Number (NIP) 951-20-01-645 and EU VAT No. PL9512001645
share capital: PLN 500,000
phone +48 22 840 81 80 · e-mail: hello@otdrai.com
data protection matters: rodo@interlab.pl

For any matter regarding the processing of personal data and the exercise of the rights described below, please contact the Controller at the address above.

2. Scope

This Policy describes what personal data the Controller processes in connection with the OTDR-AI service — an online tool for loading, analysing, archiving and collaboratively working on optical time-domain reflectometry (OTDR) measurement files. It applies to account holders, persons invited to collaborate (guests, auditors) and visitors of the service's informational pages.

3. What data we process

Account data: e-mail address or login and, if provided, first and last name, company name, phone number.
Measurement files and their content: uploaded files (.sor, .trc, .trcx and related formats) and the data they contain, which may include personal data entered by the user or the measurement device (e.g. operator name, locations, cable identifiers, comments).
Collaboration data: invitations (invitee e-mail), comments, guest/auditor grant data, presence information in live-collaboration sessions.
Technical data and security logs: IP address, approximate location derived from the IP address (country/city), browser type, timestamps and a record of operations performed in the service; including an account security journal — a record of which IP addresses the service was used from under a given account (account, IP address, date, request counter — without the addresses of visited pages and without request content).
Feature-usage statistics: aggregated information about which features of the application are used under a given account (account name, a canonical feature name — e.g. "analysis", "PDF report" — date and a usage counter). These statistics contain no measurement content, no names of uploaded files, no trace identifiers and no request URLs or parameters.
Cookies and analytics: technically necessary cookies (logged-in session cookie, guest access cookie) and — on the public informational pages — cookieless, aggregated visit statistics computed server-side (see §8).

4. Purposes and legal bases

Purpose	Legal basis (GDPR)
Creating and running an account, providing the service (analysis, archiving, access to one's own measurements, collaboration features)	Art. 6(1)(b) — performance of a contract for the electronic service
Ensuring the security of the service, preventing abuse, logging and access audit	Art. 6(1)(f) — the Controller's legitimate interest
Quality assurance and regression testing of the analysis engine on real measurement files (see §5) — no machine-learning model training	Art. 6(1)(f) — legitimate interest (ensuring the service works correctly)
Feature-usage statistics of the application (account name, feature name, date, counter) — development and maintenance of the service: deciding which features to develop and which to retire	Art. 6(1)(f) — the Controller's legitimate interest (development and maintenance of the service; no profiling and no access to measurement content)
Handling enquiries and contact	Art. 6(1)(b) and (f)
Sending information about INTERLAB products and trainings	Art. 6(1)(a) — only on the basis of separate, freely given consent
Cookieless, aggregated visit statistics of informational pages (own, server-side measurement)	Art. 6(1)(f) — the Controller's legitimate interest (aggregated traffic statistics, no profiling, no cookies)
Measuring our own campaigns: entry source → demo → registration and activation	Art. 6(1)(f) — the Controller's legitimate interest (service development and campaign evaluation; no profiling or third-party trackers)
Compliance with legal obligations	Art. 6(1)(c)

5. Use of files for quality assurance of the analysis engine

OTDR-AI does not use customer files to train machine-learning models. The analysis algorithms are deterministic — for the same file they always return the same result and they do not learn from data. The service runs no model in which file content could persist.

Measurement files may, however, be used internally for quality assurance and regression testing of the analysis engine — that is, to check that a change to an algorithm does not degrade results on real measurements. Access to that set is limited to the Controller's engineering team; the files are not shared with third parties and are not published. The legal basis is the Controller's legitimate interest in ensuring the service works correctly (Art. 6(1)(f) GDPR).

6. Recipients and processors

Data may be entrusted to trusted processors only to the extent necessary to provide the service, under data-processing agreements:

server infrastructure (hosting) provider;
e-mail delivery provider (sign-in links, collaboration invitations);
ip-api.com — an IP geolocation service. On visits to the informational pages and on sign-in and sign-up events the IP address is sent to that service to determine country and city (page language selection) and to flag proxy/VPN and hosting networks (abuse protection). No other data is sent to it.

Visit statistics for the informational pages are computed in-house, server-side (within the EEA) and are not entrusted to any external analytics provider. We do not use Google Analytics or any other tracking tools.

The Controller does not sell personal data. Data may be disclosed to authorised authorities where required by law.

7. Transfers outside the European Economic Area

Service data — accounts, measurement files, projects and collaboration data — is stored and processed on the Controller's servers and is not transferred outside the EEA.

The exception is the IP geolocation described in §6: a query containing the IP address is sent to the external service ip-api.com. The Controller has no confirmation that processing on that service's side takes place within the EEA only, and states this plainly rather than making a claim it cannot verify. No measurement files, account data or collaboration content are sent to it.

8. Cookies and analytics

Within the application itself (after logging in) we use only technically necessary cookies: the logged-in session cookie and the guest access cookie. We do not use marketing or analytics cookies in the application.

On the public informational pages (home page, manual, changelog, this policy) we run cookieless, aggregated visit statistics computed server-side. We do not use Google Analytics or any other tracking tools, we store no analytics cookies and we do not profile users — therefore the site shows no cookie-consent banner. The IP address is used transiently (to determine country and city and to flag proxy/VPN connections — see §6) and is written to the visit journal in truncated form, without the last component (for example 84.10.15.166 is stored as 84.10.15.0). A truncated address points at a network rather than at a particular device — we nevertheless do not call it "anonymous", because in a small network it may still allow identification.

When an entry link contains our own ref or UTM labels, we keep only their short, sanitised values in order to measure an aggregate funnel: opening and using the demo, submitting the sign-up form and the first account activation. The first-source label is carried from the demo session to the new account; aggregate counters are grouped by source, country, city, stage and day. Country and city come from the geolocation described in §6; the IP address is not stored in the marketing-funnel table. We do not store a visitor identifier or a Google click identifier (gclid), join this data with measurement content, or disclose it to an external analytics provider.

The full IP address is stored in two cases. First — with submissions made through the contact and sign-up forms, as evidence in case of abuse, alongside the data the sender provided themselves. Second — in the account security journal (§3): for security and abuse-prevention purposes we record the IP address associated with an account when the service is used (account, IP address, date, request counter; also when a sign-in link is requested and when it is activated). The journal contains no addresses of visited pages and no request content, and its entries are kept for up to 90 days (§9), after which they are deleted automatically. The legal basis is the Controller's legitimate interest — ensuring the security of the service and preventing abuse (Art. 6(1)(f) GDPR, §4).

Separately from the above we keep feature-usage statistics (§3): for each account we count how many times a given feature of the application was used on a given day. We store only the account name, a canonical feature name, the date and a usage counter — we do not store measurement content, names of uploaded files, trace identifiers, or request URLs and parameters. The purpose is the development and maintenance of the service: knowing which features are actually used decides what we develop and what we retire. The legal basis is the Controller's legitimate interest (Art. 6(1)(f) GDPR, §4). Entries are kept for up to 12 months (§9), after which they are deleted automatically. We carry out no profiling and no automated decision-making on this basis (§12).

9. Retention

Measurement files — until deleted by the user or until the account is deleted. The user may at any time delete individual files or all of their measurement data directly in the application (Archive → delete / "Delete all my measurements"); deletion is irreversible.
Account data — until the account is deleted or on the user's request.
Technical logs and the activity journal — for a limited period necessary for security (as a rule up to 90 days), after which they are deleted.
Account security journal (account–IP address, §8) — up to 90 days; older entries are deleted automatically.
Feature-usage statistics (account–feature–day, §3 and §8) — up to 12 months; older entries are deleted automatically.
Aggregate source–country–city–stage–day funnel (§8) — up to 12 months; the first-source label kept with account data is retained for as long as the account data.
Backups — we make daily backups of service data (locally and off-server) and keep them for the limited period needed for disaster recovery, as a rule up to 14 days for rotating backups. Data deleted by the user drops out of the rotating backups within that cycle.

10. Rights of data subjects

You have the right to: access your data, rectification, erasure ("right to be forgotten"), restriction of processing, data portability, object to processing based on legitimate interest, and — for data processed on the basis of consent — to withdraw that consent at any time (without affecting the lawfulness of processing before withdrawal). Requests can be sent to the contact details in §1. You also have the right to lodge a complaint with the President of the Personal Data Protection Office (UODO), ul. Stawki 2, 00-193 Warsaw, Poland.

11. Voluntary provision of data

Providing account data is voluntary but necessary to use the service. Uploading measurement files and providing collaboration data is done at the user's initiative; the user is responsible for having a legal basis to process any third-party data contained in the files.

12. Automated decision-making

The Controller does not make decisions about users based solely on automated processing (including profiling) that produce legal or similarly significant effects. Automated analysis of measurement files serves only to present results to the user.

13. Changes to the Policy

The Controller may update this Policy; material changes will be announced in the service or by e-mail. The current version is always available at the service address.

← Back to the application