Polityka prywatności

1. Administrator danych

Administratorem danych osobowych Użytkownika jest:

2. Zakres zbieranych danych

W związku z korzystaniem z Serwisu Administrator przetwarza następujące kategorie danych:

• Dane konta — adres e-mail, imię, zdjęcie profilowe (pobierane z konta Google podczas logowania OAuth), ustawienia profilu.
• Dane płatności — numer subskrypcji, daty transakcji, status płatności (dane karty przetwarza wyłącznie Stripe — Serwis nie przechowuje numerów kart).
• Komunikacja — treść wiadomości reklamacyjnych, zgłoszeń wsparcia oraz korespondencji e-mail wraz z metadanymi (data, adres e-mail nadawcy).
• Input i Output AI:
  • Treści Użytkownika (linki, zapytania, pliki) wprowadzone do Serwisu w celu skorzystania z Pluginów;
  • Output generowany przez narzędzia AI na podstawie Treści Użytkownika, przypisany do konta Usługobiorcy.
• Dane techniczne — adres IP, informacje o przeglądarce (User-Agent), logi aktywności (dla celów bezpieczeństwa i diagnostyki).

3. Cel i podstawa prawna przetwarzania

• Świadczenie usług (art. 6 ust. 1 lit. b RODO) — realizacja umowy o świadczenie usług drogą elektroniczną.
• Obsługa płatności (art. 6 ust. 1 lit. b RODO) — przetwarzanie transakcji za pośrednictwem Stripe.
• Komunikacja (art. 6 ust. 1 lit. f RODO) — odpowiadanie na zapytania i obsługa reklamacji.
• Obowiązki prawne (art. 6 ust. 1 lit. c RODO) — prowadzenie dokumentacji podatkowej i księgowej.

4. Okres przechowywania

Dane osobowe są przechowywane przez następujące okresy:

• (a) dane konta (e-mail, imię, ustawienia profilu) — przez okres posiadania konta + 3 lata od jego usunięcia (art. 118 Kodeksu cywilnego — okres przedawnienia roszczeń);
• (b) dane płatności (numery transakcji, daty) — 5 lat od zakończenia roku kalendarzowego, w którym dokonano transakcji (Ordynacja podatkowa);
• (c) Treści Użytkownika + Output — okres posiadania konta + 90 dni po usunięciu (dla potrzeb backup i disaster recovery);
• (d) logi aktywności i telemetria — 90 dni;
• (e) backup bazy danych (SQLite → Cloudflare R2) — rotacja 14-dniowa.

Po upływie terminów, dane są trwale usuwane lub anonimizowane.

5. Prawa Usługobiorcy

Usługobiorca ma prawo do:

• (a) dostępu do swoich danych (art. 15 RODO);
• (b) sprostowania danych (art. 16 RODO);
• (c)usunięcia danych — „prawa do bycia zapomnianym” (art. 17 RODO);
• (d) ograniczenia przetwarzania (art. 18 RODO);
• (e) przenoszenia danych (art. 20 RODO) — w zakresie określonym w §11 Regulaminu (wyłączenie modeli AI, danych zagregowanych i IP Usługodawcy);
• (f) sprzeciwu wobec przetwarzania (art. 21 RODO);
• (g) niepodlegania decyzjom opartym wyłącznie na automatycznym przetwarzaniu (art. 22 RODO).

Kontakt: admin@robisie.app. Odpowiedź w terminie 30 dni.

W przypadku sporu z Usługodawcą, Usługobiorca ma prawo złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO, uodo.gov.pl).

6. Pliki cookies

Serwis wykorzystuje pliki cookies niezbędne do jego prawidłowego działania:

• Sesja uwierzytelniania — cookie sesji NextAuth, niezbędne do utrzymania zalogowania Użytkownika.
• Preferencje cookies — zapamiętanie zgody na cookies (localStorage).

Serwis nie wykorzystuje cookies analitycznych ani marketingowych.

7. Bezpieczeństwo + transfery danych

7.1 Dane Usługobiorcy są zabezpieczone środkami technicznymi i organizacyjnymi adekwatnymi do ryzyka: szyfrowanie w transmisji (TLS), szyfrowanie backupu, kontrola dostępu, regularne aktualizacje bezpieczeństwa.

7.2 Transfery danych do państw trzecich (USA):

Serwis korzysta z następujących dostawców przetwarzających dane w Stanach Zjednoczonych:

• (a) Stripe Payments Europe, Ltd. (Dublin, z transferem do USA) — obsługa płatności;
• (b) Google Ireland Ltd. (Dublin, z transferem do USA) — uwierzytelnianie konta (OAuth);
• (c) Cloudflare, Inc. (USA) — dostarczanie Serwisu, DNS, ochrona DDoS;
• (d) Anthropic PBC (USA) / OpenAI, LLC (USA) — dostawcy modeli AI (przetwarzanie Treści Użytkownika w celu generowania Output).

Transfery odbywają się na podstawie Standardowych Klauzul Umownych Komisji Europejskiej (SCCs, decyzja 2021/914) i/lub EU-US Data Privacy Framework (dla dostawców certyfikowanych). Usługobiorca może uzyskać kopię zastosowanych zabezpieczeń na żądanie — kontakt: admin@robisie.app.

8. Naruszenie ochrony danych

8.1 W przypadku naruszenia ochrony danych osobowych Administrator:

• (a) zgłasza naruszenie do Prezesa Urzędu Ochrony Danych Osobowych w terminie 72 godzin od uzyskania wiedzy o naruszeniu (art. 33 RODO), chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych;
• (b) w przypadku wysokiego ryzyka naruszenia praw Usługobiorcy — powiadamia bezpośrednio Usługobiorców bez zbędnej zwłoki (art. 34 RODO).

8.2 Powiadomienie zawiera: charakter naruszenia, przewidywane konsekwencje, podjęte lub proponowane środki zaradcze, dane kontaktowe do uzyskania dalszych informacji.