Polityka prywatności
Niniejsza Polityka prywatności opisuje sposób przetwarzania danych osobowych w serwisie Sygnatura.ai zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”).
1. Administrator danych
Administratorem danych osobowych jest AI SCALING SYSTEMS sp. z o.o., Al. Jerozolimskie 109/70, 02-011 Warszawa, KRS 0001221058, NIP 7011297183, REGON 543861552.
Kontakt w sprawach ochrony danych: apps@marketing-intelligence.io. Administrator nie wyznaczył Inspektora Ochrony Danych (nie jest to obowiązek wynikający z art. 37 RODO dla prowadzonej działalności).
2. Cele i podstawy prawne przetwarzania
| Cel | Podstawa prawna | Okres retencji |
|---|---|---|
| Świadczenie Usługi (obsługa Konta, zapytania, wzory) | art. 6 ust. 1 lit. b RODO — wykonanie umowy | czas trwania Umowy + 90 dni (backupy) |
| Rozliczenia i księgowość | art. 6 ust. 1 lit. c RODO — obowiązek prawny (ustawa o rachunkowości) | 5 lat od końca roku obrotowego (art. 74 ust. 2) |
| Marketing bezpośredni (newsletter) | art. 6 ust. 1 lit. a RODO — zgoda (odwoływalna) | do wycofania zgody |
| Statystyki i pomiar ruchu | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes | 26 miesięcy |
| Obsługa reklamacji i dochodzenie roszczeń | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes | do upływu przedawnienia roszczeń (do 6 lat) |
| Bezpieczeństwo (logi, wykrywanie nadużyć) | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes | 90 dni |
3. Kategorie przetwarzanych danych
- Dane identyfikacyjne i kontaktowe — imię, nazwisko, adres e-mail, adres IP, identyfikator Konta.
- Dane uwierzytelniające — hash hasła (przetwarzane wyłącznie przez Clerk Inc.), tokeny sesyjne.
- Dane rozliczeniowe — nazwa firmy, NIP, adres, historia płatności, numer klienta Stripe.
- Treść zapytań i załączników — zapytania kierowane do modelu AI oraz pliki przesyłane przez Użytkownika (PDF, DOCX). Treść ta może zawierać dane osobowe osób trzecich (klientów Użytkownika będącego kancelarią prawną). Dane te przetwarzane są na zasadach powierzenia — zob. Umowa powierzenia przetwarzania danych (DPA).
- Metadane techniczne — data i godzina zapytań, adres IP, identyfikator przeglądarki, typ urządzenia.
4. Odbiorcy danych (podmioty przetwarzające)
Aby świadczyć Usługę korzystamy z następujących zaufanych dostawców. Każdy z nich jest związany z nami umową powierzenia przetwarzania danych oraz, w razie transferu poza EOG, standardowymi klauzulami umownymi (SCC) zatwierdzonymi przez Komisję Europejską.
| Dostawca | Rola | Lokalizacja | Podstawa transferu |
|---|---|---|---|
| Clerk Inc. | uwierzytelnianie | USA | SCC + Data Privacy Framework |
| Supabase Inc. (infrastruktura na AWS Frankfurt) | baza danych, pliki | UE (eu-central-1) | EOG — transfer nie wymagany |
| Vercel Inc. | hosting aplikacji | USA | SCC + Data Privacy Framework |
| OpenAI, L.L.C. | embeddingi (zero retention na API) | USA | SCC + Data Privacy Framework |
| Anthropic PBC | generowanie odpowiedzi (zero retention na API) | USA | SCC + Data Privacy Framework |
| Stripe Payments Europe Ltd | obsługa płatności | Irlandia | EOG — transfer nie wymagany |
| Cloudflare, Inc. (R2) | przechowywanie załączników | UE / USA | SCC + Data Privacy Framework |
| Upstash Inc. | rate limiting, cache (opcjonalnie) | UE | EOG — transfer nie wymagany |
| PostHog (EU) | analityka produktowa | UE | EOG — transfer nie wymagany |
| Plausible Insights | pomiar ruchu bez cookies | UE (Niemcy) | EOG — transfer nie wymagany |
Aktualna, pełna lista podwykonawców (wraz z rolami) dostępna jest w DPA, załącznik A.
5. Transfery poza Europejski Obszar Gospodarczy
Część podwykonawców ma siedzibę w Stanach Zjednoczonych. Transfer danych do USA odbywa się na podstawie (a) Standardowych Klauzul Umownych (SCC) przyjętych decyzją Komisji (UE) 2021/914 oraz (b) decyzji wykonawczej Komisji (UE) 2023/1795 w sprawie ram ochrony danych UE–USA (Data Privacy Framework). Każdy z dostawców amerykańskich wymienionych w sekcji 4 jest certyfikowany w ramach DPF.
6. Okres przechowywania danych
Szczegółowe okresy retencji są wskazane w tabeli w sekcji 2. Po upływie okresu retencji dane są usuwane lub anonimizowane. Kopie zapasowe przechowywane są przez 90 dni od dnia utworzenia i automatycznie nadpisywane.
7. Uprawnienia osoby, której dane dotyczą
Na podstawie RODO przysługują Państwu następujące prawa:
- prawo dostępu do danych (art. 15);
- prawo sprostowania danych (art. 16);
- prawo usunięcia danych „bycia zapomnianym” (art. 17);
- prawo ograniczenia przetwarzania (art. 18);
- prawo przenoszenia danych (art. 20);
- prawo sprzeciwu wobec przetwarzania (art. 21);
- prawo cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem (art. 7 ust. 3);
- prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Wniosek o realizację powyższych praw można złożyć na adres apps@marketing-intelligence.io. Odpowiedź zostanie udzielona w terminie 30 dni.
8. Profilowanie i zautomatyzowane podejmowanie decyzji
W Serwisie nie są podejmowane decyzje wywołujące skutki prawne wobec Użytkownika w sposób wyłącznie zautomatyzowany (art. 22 RODO). Modele AI pełnią rolę narzędzia wspomagającego i nie zastępują decyzji prawnika.
9. Pliki cookies i technologie podobne
Zasady stosowania plików cookies zostały opisane w Polityce plików cookies.
10. Konsekwencje niepodania danych
Podanie adresu e-mail oraz zaakceptowanie Regulaminu jest niezbędne do zawarcia Umowy o świadczenie Usługi. Podanie danych rozliczeniowych jest niezbędne do wystawienia faktury. Brak podania tych danych uniemożliwia korzystanie z Serwisu w zakresie wymagającym Konta.
11. Zmiany Polityki prywatności
Usługodawca może aktualizować niniejszą Politykę. O istotnych zmianach Użytkownik zostanie poinformowany drogą elektroniczną z co najmniej 14-dniowym wyprzedzeniem.