Privacy Policy¶
for products published by and services rendered by Fontlab Ltd. sp. z o.o.
For consumers resident in Poland, the Polish-language version at the bottom of this document is the controlling version (Ustawa o języku polskim, art. 7–8). For other users the English version governs.
Last updated: 9 June 2026
1. Who is responsible for your data¶
The controller of your personal data is:
Fontlab Ltd. sp. z o.o., Grzybowska 2 lok 31, 00–131 Warszawa, Poland · KRS 0001108865 · NIP / EU VAT PL5253005088. Privacy contact:
[email protected].
Data Protection Officer: Adam Twardoch, CEO of Fontlab Ltd. sp. z o.o.
Our Merchant of Record, FastSpring: Bright Market LLC dba FastSpring, 801 Garden St. #201, Santa Barbara, CA 93101, USA (EU VAT EU372017645): is, for the sale and billing of our products, a joint controller with us (GDPR art. 26). FastSpring determines how it processes purchaser payment data under FastSpring’s Privacy Notice (https://fastspring.com/privacy/), which we do not change. For the sale, you may exercise your rights against either FastSpring or us; we will direct sale/billing questions to FastSpring.
2. Scope¶
This Policy covers personal data we process when you use our websites (www.fontlab.com, pass.fontlab.com, vexy.art and other sites we operate), your FontLab account, the FontLab Pass, our software, AI features, and Vexy Coins. It does not cover third parties we do not control; where we name a third party, see their own policy.
3. What we collect, why, and the legal basis¶
| Processing activity | Data categories | Legal basis (GDPR art. 6) |
|---|---|---|
| Account registration & management | name, email, password hash | (b) contract |
| Software licensing, activation, validation | email, licence key, device identifier | (b) contract |
| Purchase & billing (via FastSpring) | order, billing details, transaction data | (b) contract + © legal obligation; joint controller (art. 26) |
| Subscription management | email, billing-cycle data | (b) contract |
| Vexy Coins balance & history | account ID, coin balance, transaction history | (b) contract; (f) fraud-prevention |
| Technical support | email, ticket content, and: only if you send them: crash reports and fonts | (b) contract / (f) legitimate interest |
| Crash reports & telemetry | device info, usage metrics, identifiers | (a) consent, or (f) legitimate interest with opt-out |
| AI features | the content/prompts you submit to an AI feature | (b) contract; (a) consent for any optional use such as model training |
| Marketing email | email, name, preferences | (a) consent (and PKE art. 398) |
| Website analytics & non-essential cookies | IP, browser, usage, identifiers | (a) consent: see Cookies Policy |
| Security, abuse & fraud prevention | logs, identifiers | (f) legitimate interest |
| Legal compliance (tax, accounting) | transaction records | © legal obligation |
We do not carry out automated decision-making that produces legal or similarly significant effects on you (GDPR art. 22). We do not solicit special-category data (art. 9).
Fonts and crash reports. If you send us fonts or crash reports for support, we use them only for that support, do not redistribute them beyond our staff/contractors, and do not share them with a third party without your permission. Send us fonts only if you have the right to do so.
4. AI features and AI providers¶
Some features send the content you submit to AI providers to generate output. Where this happens we tell you in-product (AI Act art. 50(1)). For each AI provider we use, we act as controller and the provider as our processor under a data-processing agreement (or, where we cannot bind them, as an independent controller, which we will disclose). We do not allow your content to be used to train AI models without your explicit opt-in consent, and that opt-in is off by default. The current list of AI providers, the data categories sent, retention, and transfer mechanism is maintained in this Policy’s processor list (Section 7).
5. How long we keep data (retention)¶
| Data | Retention |
|---|---|
| Account data | for the life of the account, then up to 3 years (civil-claim limitation) |
| Transaction / invoicing records | 5 years from the end of the accounting year (Polish VAT & accounting law) |
| Licence records | up to 10 years after licence termination (legal, tax, accounting) |
| Support tickets | up to 3 years after closure |
| Vexy Coins transaction history | for the life of the account + the periods required for tax/fraud/legal records |
| Telemetry / crash data | kept only as long as needed for the stated purpose, then deleted or anonymised |
| Marketing consent records | until you withdraw consent, plus proof-of-consent records |
6. Who receives your data¶
We share data only with: (a) our staff and contractors under confidentiality; (b) processors and joint controllers acting for us (Section 7); © authorities where legally required; and (d) a successor in a merger, acquisition, or asset sale (we will notify you before your data becomes subject to a different policy). We do not sell your personal data.
7. Processors, joint controllers, and the third parties we use¶
We use the categories of recipients below. The specific, current list (provider, role, purpose, location, and transfer mechanism) is maintained here and updated as it changes.
- Sale & billing: FastSpring (Bright Market LLC): joint controller, USA.
- Support: Freshworks / Freshdesk.
- Email & marketing: Mailchimp (Intuit) and/or other email providers.
- Hosting, CDN & infrastructure: our hosting and content-delivery providers.
- Analytics: Google Analytics (only with your cookie consent; with Consent Mode and a Google data-processing agreement): see Cookies Policy.
- AI providers: various AI model providers depending on availability.
8. International transfers¶
Some recipients are outside the EEA (e.g. in the USA). We transfer personal data only with a valid mechanism: an adequacy decision where one applies: including the EU-US Data Privacy Framework for certified US recipients: and Standard Contractual Clauses (Decision (EU) 2021/914) as a fallback, together with any additional safeguards needed. We treat DPF reliance as provisional and keep SCCs in place. You can ask us for details or a copy of the safeguards at [email protected].
9. Your rights¶
You have the right to: access your data; rectify it; erase it; restrict or object to processing; data portability; and withdraw consent at any time (without affecting prior processing). To exercise these rights, contact [email protected]; we may verify your identity, and we respond within one month (extendable by two months for complex requests).
You may lodge a complaint with the Polish supervisory authority:
Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00–193 Warszawa,
uodo.gov.pl.
If you are outside Poland you may also complain to your local supervisory authority.
10. Cookies and similar technologies¶
Our use of cookies and similar technologies, the categories, and how you give and withdraw consent are described in our separate Cookies Policy. Non-essential cookies are used only with your prior, granular consent.
11. Children¶
The Service is not directed to children under 16 and we do not knowingly collect their data. Poland retains the GDPR art. 8 age of 16 for a child’s consent to information-society services. If you believe a child has given us data without parental consent, contact us and we will delete it.
12. Marketing¶
We send marketing email only with your prior consent, which you may withdraw at any time via the unsubscribe link or by contacting us (GDPR; PKE art. 398). Marketing consent is separate from cookie consent and from creating an account.
13. Security & breaches¶
We use appropriate technical and organisational measures to protect your data. No method of transmission or storage is perfectly secure. If a breach is likely to result in a risk to your rights, we will notify UODO within 72 hours and, where the risk is high, notify you.
14. Changes¶
We may update this Policy. We will post the new version with a new “last updated” date and, for material changes, give notice (e.g. by email or a prominent notice) before they take effect.
15. Contact¶
Fontlab Ltd. sp. z o.o. · Grzybowska 2 lok 31, 00–131 Warszawa, Poland KRS 0001108865 · NIP / EU VAT PL5253005088 Privacy contact:
[email protected]·https://www.fontlab.com
Polityka prywatności¶
dla produktów publikowanych oraz usług świadczonych przez Fontlab Ltd. sp. z o.o.
Ostatnia aktualizacja: 9 czerwca 2026 r.
1. Kto odpowiada za Twoje dane¶
Administratorem Twoich danych osobowych jest:
Fontlab Ltd. sp. z o.o., Grzybowska 2 lok 31, 00-131 Warszawa, Poland · KRS 0001108865 · NIP / EU VAT PL5253005088. Punkt kontaktowy ds. ochrony danych:
[email protected].
Inspektor Ochrony Danych: Adam Twardoch, CEO Fontlab Ltd. sp. z o.o.
Nasz podmiot odpowiedzialny za sprzedaż (Merchant of Record), FastSpring — Bright Market LLC dba FastSpring, 801 Garden St. #201, Santa Barbara, CA 93101, USA (EU VAT EU372017645) — jest, w zakresie sprzedaży i rozliczeń naszych produktów, współadministratorem wraz z nami (art. 26 RODO). FastSpring samodzielnie ustala sposób przetwarzania danych płatniczych nabywców na podstawie Informacji o prywatności FastSpring (FastSpring's Privacy Notice) (https://fastspring.com/privacy/), której nie zmieniamy. W odniesieniu do sprzedaży możesz realizować swoje prawa wobec FastSpring albo wobec nas; pytania dotyczące sprzedaży i rozliczeń będziemy kierować do FastSpring.
2. Zakres¶
Niniejsza Polityka obejmuje dane osobowe, które przetwarzamy, gdy korzystasz z naszych serwisów internetowych (www.fontlab.com, pass.fontlab.com, vexy.art oraz innych prowadzonych przez nas witryn), z Twojego konta FontLab, z FontLab Pass, z naszego oprogramowania, funkcji AI oraz Vexy Coins. Nie obejmuje ona podmiotów trzecich, nad którymi nie sprawujemy kontroli; tam, gdzie wskazujemy podmiot trzeci, zapoznaj się z jego własną polityką.
3. Jakie dane zbieramy, w jakim celu i na jakiej podstawie prawnej¶
| Czynność przetwarzania | Kategorie danych | Podstawa prawna (art. 6 RODO) |
|---|---|---|
| Rejestracja i zarządzanie kontem | imię i nazwisko, e-mail, skrót hasła (hash) | lit. b – umowa |
| Licencjonowanie, aktywacja i walidacja oprogramowania | e-mail, klucz licencyjny, identyfikator urządzenia | lit. b – umowa |
| Zakup i rozliczenia (za pośrednictwem FastSpring) | dane zamówienia, dane rozliczeniowe, dane transakcyjne | lit. b – umowa + lit. c – obowiązek prawny; współadministrowanie (art. 26 RODO) |
| Zarządzanie subskrypcjami | e-mail, dane cyklu rozliczeniowego | lit. b – umowa |
| Saldo i historia Vexy Coins | identyfikator konta, saldo monet, historia transakcji | lit. b – umowa; lit. f – przeciwdziałanie oszustwom |
| Pomoc techniczna | e-mail, treść zgłoszenia oraz — wyłącznie jeśli je prześlesz — raporty o awariach i fonty | lit. b – umowa / lit. f – prawnie uzasadniony interes |
| Raporty o awariach i telemetria | informacje o urządzeniu, dane o użytkowaniu, identyfikatory | lit. a – zgoda lub lit. f – prawnie uzasadniony interes z możliwością sprzeciwu (opt-out) |
| Funkcje AI | treści/zapytania (prompty), które przesyłasz do funkcji AI | lit. b – umowa; lit. a – zgoda na ewentualne wykorzystanie opcjonalne, takie jak trenowanie modeli |
| Marketing e-mailowy | e-mail, imię i nazwisko, preferencje | lit. a – zgoda (oraz art. 398 PKE) |
| Analityka witryny i pliki cookie inne niż niezbędne | adres IP, przeglądarka, dane o użytkowaniu, identyfikatory | lit. a – zgoda — zob. Polityka plików cookie |
| Bezpieczeństwo, przeciwdziałanie nadużyciom i oszustwom | logi, identyfikatory | lit. f – prawnie uzasadniony interes |
| Zgodność z prawem (podatki, rachunkowość) | zapisy transakcji | lit. c – obowiązek prawny |
Nie podejmujemy zautomatyzowanych decyzji wywołujących wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływających (art. 22 RODO). Nie pozyskujemy danych szczególnych kategorii (art. 9 RODO).
Fonty i raporty o awariach. Jeśli prześlesz nam fonty lub raporty o awariach w celu uzyskania pomocy, wykorzystujemy je wyłącznie do udzielenia tej pomocy, nie rozpowszechniamy ich poza naszym personelem/współpracownikami i nie udostępniamy ich podmiotom trzecim bez Twojej zgody. Przesyłaj nam fonty wyłącznie wówczas, gdy masz do tego prawo.
4. Funkcje AI i dostawcy AI¶
Niektóre funkcje przesyłają przesłane przez Ciebie treści do dostawców AI w celu wygenerowania wyniku. Tam, gdzie to następuje, informujemy Cię o tym w ramach produktu (art. 50 ust. 1 aktu w sprawie sztucznej inteligencji – AI Act). W odniesieniu do każdego wykorzystywanego przez nas dostawcy AI występujemy jako administrator, a dostawca jako nasz podmiot przetwarzający na podstawie umowy powierzenia przetwarzania (lub — gdy nie jesteśmy w stanie go w ten sposób związać — jako niezależny administrator, co ujawnimy). Nie zezwalamy na wykorzystywanie Twoich treści do trenowania modeli AI bez Twojej wyraźnej zgody wyrażonej w formie opt-in, która domyślnie jest wyłączona. Aktualna lista dostawców AI, kategorie przesyłanych danych, okres przechowywania oraz mechanizm transferu są utrzymywane w liście podmiotów przetwarzających zawartej w niniejszej Polityce (Sekcja 7).
5. Jak długo przechowujemy dane (okres przechowywania)¶
| Dane | Okres przechowywania |
|---|---|
| Dane konta | przez okres istnienia konta, następnie do 3 lat (termin przedawnienia roszczeń cywilnoprawnych) |
| Zapisy transakcji / dokumentacja fakturowa | 5 lat od końca roku obrotowego (polskie przepisy o VAT i rachunkowości) |
| Dokumentacja licencyjna | do 10 lat po wygaśnięciu licencji (cele prawne, podatkowe, rachunkowe) |
| Zgłoszenia do pomocy technicznej | do 3 lat po zamknięciu zgłoszenia |
| Historia transakcji Vexy Coins | przez okres istnienia konta oraz okresy wymagane dla dokumentacji podatkowej / przeciwdziałania oszustwom / prawnej |
| Telemetria / dane o awariach | przechowywane wyłącznie tak długo, jak jest to niezbędne do określonego celu, następnie usuwane lub anonimizowane |
| Dokumentacja zgód marketingowych | do czasu wycofania zgody, wraz z dokumentacją potwierdzającą udzielenie zgody |
6. Kto otrzymuje Twoje dane¶
Udostępniamy dane wyłącznie: (a) naszemu personelowi i współpracownikom objętym zobowiązaniem do zachowania poufności; (b) podmiotom przetwarzającym i współadministratorom działającym na naszą rzecz (Sekcja 7); © organom, gdy jest to wymagane przez prawo; oraz (d) następcy prawnemu w przypadku połączenia, przejęcia lub sprzedaży aktywów (powiadomimy Cię, zanim Twoje dane zostaną objęte inną polityką). Nie sprzedajemy Twoich danych osobowych.
7. Podmioty przetwarzające, współadministratorzy i wykorzystywane przez nas podmioty trzecie¶
Korzystamy z poniższych kategorii odbiorców. Konkretna, aktualna lista (dostawca, rola, cel, lokalizacja oraz mechanizm transferu) jest utrzymywana w tym miejscu i aktualizowana wraz ze zmianami.
- Sprzedaż i rozliczenia: FastSpring (Bright Market LLC) — współadministrator, USA.
- Pomoc techniczna: Freshworks / Freshdesk.
- E-mail i marketing: Mailchimp (Intuit) i/lub inni dostawcy poczty elektronicznej.
- Hosting, CDN i infrastruktura: nasi dostawcy usług hostingowych oraz dostarczania treści.
- Analityka: Google Analytics (wyłącznie za Twoją zgodą na pliki cookie; z wykorzystaniem trybu zgody (Consent Mode) oraz umowy powierzenia przetwarzania z Google) — zob. Polityka plików cookie.
- Dostawcy AI: różni dostawcy modeli AI w zależności od dostępności.
8. Transfery międzynarodowe¶
Niektórzy odbiorcy znajdują się poza EOG (np. w USA). Przekazujemy dane osobowe wyłącznie przy zastosowaniu ważnego mechanizmu: decyzji stwierdzającej odpowiedni stopień ochrony (adequacy decision) tam, gdzie ma ona zastosowanie — w tym ram ochrony danych UE–USA (EU-US Data Privacy Framework) dla certyfikowanych odbiorców w USA — oraz standardowych klauzul umownych (decyzja (UE) 2021/914) jako rozwiązania zapasowego, wraz z wszelkimi niezbędnymi dodatkowymi zabezpieczeniami. Poleganie na DPF traktujemy jako rozwiązanie prowizoryczne i utrzymujemy standardowe klauzule umowne. Możesz zwrócić się do nas o szczegóły lub kopię zabezpieczeń pod adresem [email protected].
9. Twoje prawa¶
Przysługuje Ci prawo do: dostępu do swoich danych; ich sprostowania; ich usunięcia; ograniczenia przetwarzania lub wniesienia sprzeciwu wobec przetwarzania; przenoszenia danych; oraz wycofania zgody w dowolnym momencie (bez wpływu na wcześniejsze przetwarzanie). Aby zrealizować te prawa, skontaktuj się z [email protected]; możemy zweryfikować Twoją tożsamość, a odpowiedzi udzielamy w ciągu jednego miesiąca (z możliwością przedłużenia o dwa miesiące w przypadku skomplikowanych żądań).
Masz prawo wnieść skargę do polskiego organu nadzorczego:
Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa,
uodo.gov.pl.
Jeśli przebywasz poza Polską, możesz również wnieść skargę do lokalnego organu nadzorczego.
10. Pliki cookie i podobne technologie¶
Sposób korzystania przez nas z plików cookie i podobnych technologii, ich kategorie oraz sposób udzielania i wycofywania zgody opisano w naszej odrębnej Polityce plików cookie. Pliki cookie inne niż niezbędne są wykorzystywane wyłącznie za Twoją uprzednią, szczegółową (granularną) zgodą.
11. Dzieci¶
Usługa nie jest skierowana do dzieci poniżej 16. roku życia i nie zbieramy świadomie ich danych. Polska utrzymuje określony w art. 8 RODO wiek 16 lat dla zgody dziecka na korzystanie z usług społeczeństwa informacyjnego. Jeśli sądzisz, że dziecko przekazało nam dane bez zgody rodzica, skontaktuj się z nami, a my je usuniemy.
12. Marketing¶
Wiadomości marketingowe wysyłamy wyłącznie za Twoją uprzednią zgodą, którą możesz wycofać w dowolnym momencie poprzez link do rezygnacji z subskrypcji lub kontaktując się z nami (RODO; art. 398 PKE). Zgoda marketingowa jest odrębna od zgody na pliki cookie oraz od założenia konta.
13. Bezpieczeństwo i naruszenia¶
Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych. Żadna metoda przesyłania ani przechowywania nie jest w pełni bezpieczna. Jeżeli naruszenie może powodować ryzyko naruszenia Twoich praw, zawiadomimy UODO w ciągu 72 godzin, a w przypadku wysokiego ryzyka — powiadomimy również Ciebie.
14. Zmiany¶
Możemy aktualizować niniejszą Politykę. Opublikujemy nową wersję z nową datą „ostatniej aktualizacji”, a w przypadku istotnych zmian poinformujemy o nich (np. pocztą elektroniczną lub poprzez wyraźne zawiadomienie), zanim wejdą one w życie.
15. Kontakt¶
Fontlab Ltd. sp. z o.o. · Grzybowska 2 lok 31, 00-131 Warszawa, Poland KRS 0001108865 · NIP / EU VAT PL5253005088 Punkt kontaktowy ds. ochrony danych:
[email protected]·https://www.fontlab.com