Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Custom Service Arleta Marczyńska, ul. Bielska 107, 32-652 Bulowice, Polska, NIP 5492373228, REGON 528250567 (dalej „my”). Nie powołaliśmy inspektora ochrony danych. We wszystkich sprawach dotyczących danych pisz na hej@wojs.app.

Polityka spełnia obowiązek informacyjny z art. 13 i 14 rozporządzenia (UE) 2016/679 (RODO). Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

2. Kiedy jesteśmy administratorem, a kiedy przetwarzamy dane w czyimś imieniu

• Jesteśmy administratorem danych Twojego Konta, przestrzeni osobistej, rozliczeń, korespondencji z nami i bezpieczeństwa Serwisu.
• Gdy korzystasz z Przestrzeni zespołowej pracodawcy albo innej organizacji, z produktu szkoleniowego Twórcy albo z treningu osadzonego na cudzej stronie, administratorem danych z tej Przestrzeni (rozmów, raportów, postępów, przydziałów) jest ta organizacja albo ten Twórca. My przetwarzamy je w ich imieniu na podstawie umowy powierzenia. W sprawie tych danych zwróć się w pierwszej kolejności do nich, a my im pomożemy.
• Stripe Payments Europe, Limited jest odrębnym administratorem danych płatniczych.

3. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie

• Dane

  Adres e-mail, nazwa wyświetlana, język, strefa czasowa, forma zwracania się, data akceptacji Regulaminu

  Cel

  Założenie i prowadzenie Konta, logowanie linkiem, kontakt w sprawach usługi

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b (umowa)

• Dane

  Treść rozmów treningowych (Twoje wypowiedzi i odpowiedzi Rozmówcy AI), czas trwania, tryb (czat albo głos)

  Cel

  Przeprowadzenie ćwiczenia, przygotowanie Raportu, historia i postępy

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b (umowa)

• Dane

  Głos w trakcie rozmowy głosowej

  Cel

  Rozpoznanie mowy i odpowiedź Rozmówcy AI na żywo. Głosu nie nagrywamy. Do Serwisu trafia tylko transkrypcja

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b (umowa)

• Dane

  Raporty: wynik, kryteria, cytaty, sugestie, certyfikaty (z imieniem i nazwiskiem)

  Cel

  Informacja zwrotna, postępy, certyfikat ukończenia

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b (umowa)

• Dane

  Materiały i scenariusze Twórców, wgrane nagrania rozmów z życia (gdy funkcja jest włączona)

  Cel

  Tworzenie scenariuszy, analiza nagrania na wniosek Użytkownika

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b (umowa)

• Dane

  Dane rozliczeniowe: e-mail, nazwa Przestrzeni, zamówienia, faktury, zużycie Minut

  Cel

  Sprzedaż Planów, rozliczenie Minut, wystawienie faktur, obowiązki podatkowe i rachunkowe

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b (umowa) i lit. c (obowiązek prawny)

• Dane

  Dziennik działań (kto, co i kiedy zrobił w Przestrzeni, bez treści rozmów), skróty adresów IP i adresów e-mail w licznikach limitów, logi techniczne

  Cel

  Bezpieczeństwo, zapobieganie nadużyciom, rozliczalność, dochodzenie i obrona roszczeń

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. f (prawnie uzasadniony interes)

• Dane

  Korespondencja z nami, reklamacje, zgłoszenia treści

  Cel

  Odpowiedź, rozpatrzenie reklamacji i zgłoszeń

  Podstawa prawna (RODO)

  art. 6 ust. 1 lit. b, c i f

Podanie adresu e-mail jest warunkiem założenia Konta. Pozostałe dane podajesz dobrowolnie, ale bez nich część funkcji nie zadziała (np. bez rozmowy nie ma Raportu, bez danych rozliczeniowych nie ma zakupu).

Nie zbieramy szczególnych kategorii danych (np. o zdrowiu, poglądach). Prosimy, nie wprowadzaj ich do rozmów ani materiałów. Jeżeli je wprowadzisz, usuniesz je razem z rozmową w Serwisie, a na Twój wniosek usuniemy je my.

Nie przetwarzamy danych w celach marketingowych, nie profilujemy w celach reklamowych i nie sprzedajemy danych.

4. Sztuczna inteligencja i zautomatyzowane decyzje

Rozmówca AI, Raporty, podpowiedzi i szkice scenariuszy powstają automatycznie w modelach dostawców z punktu 6. Do modeli trafia treść rozmowy i instrukcje scenariusza, a nie Twój adres e-mail.

Nie trenujemy modeli na Twoich rozmowach. U OpenAI korzystamy z API, w którym dane klientów nie służą do trenowania modeli, a zapis odpowiedzi jest wyłączony. U dostawcy głosu (ElevenLabs) nagrywanie głosu jest wyłączone, a zapis rozmowy jest usuwany po 30 dniach.

Raport i automatyczne zaliczenie programu (certyfikat) to ocena ćwiczenia, a nie decyzja wywołująca wobec Ciebie skutki prawne w rozumieniu art. 22 RODO. Jeżeli organizacja wykorzystuje wyniki w sprawach kadrowych, odpowiada za udział człowieka w decyzji i może zażądać od nas informacji o sposobie działania oceny. Możesz poprosić o wyjaśnienie Raportu i zgłosić wynik, z którym się nie zgadzasz.

5. Co widzą inni

• Przestrzeń osobista: Twoje rozmowy i Raporty widzisz tylko Ty, chyba że je udostępnisz.
• Przestrzeń zespołowa: zależnie od ustawień Administratora Przestrzeni menedżerowie i trenerzy widzą podsumowanie wyników albo także transkrypcje. Ustawienia widoczności pokazuje Przestrzeń.
• Produkt Twórcy: Twórca widzi wyniki i ukończenia Kursantów swojego produktu.
• Udostępnienie: rozmowę albo Raport widzi osoba albo każdy z linkiem, któremu je udostępnisz. Link wygasa po ustawionym czasie.
• Certyfikat: strona weryfikacji z imieniem i nazwiskiem, programem, wystawcą i wynikiem jest dostępna dla każdego, kto zna numer certyfikatu, i nie jest indeksowana przez wyszukiwarki.
• Integracje Twórcy (API, webhooki): Twórca może pobrać wyniki swoich Kursantów i otrzymywać je na swój serwer. Identyfikator Twojego konta Twórca poznaje dopiero po przyjęciu przez Ciebie dostępu.

6. Odbiorcy danych i przekazywanie poza EOG

Dane powierzamy dostawcom, bez których Serwis nie może działać. Każdy z nich działa na podstawie umowy, która zobowiązuje go do ochrony danych. Aktualna lista z opisem jest na stronie Podmioty przetwarzające.

• Odbiorca

  Supabase, Inc.

  Cel

  baza danych, logowanie, przechowywanie plików

  Miejsce przetwarzania i podstawa transferu

  UE (Frankfurt, Niemcy); poza EOG możliwy dostęp z USA: Data Privacy Framework (jeżeli dostawca ma certyfikację) albo standardowe klauzule umowne

• Odbiorca

  Vercel Inc.

  Cel

  hosting aplikacji i funkcji serwerowych, logi techniczne

  Miejsce przetwarzania i podstawa transferu

  UE (Frankfurt, Niemcy) i globalna sieć brzegowa; poza EOG możliwy dostęp z USA: Data Privacy Framework (jeżeli dostawca ma certyfikację) albo standardowe klauzule umowne

• Odbiorca

  OpenAI (OpenAI Ireland Ltd / OpenAI, L.L.C.)

  Cel

  Rozmówca AI na czacie, Raporty, podpowiedzi, kreator scenariuszy, transkrypcja wgranych nagrań

  Miejsce przetwarzania i podstawa transferu

  USA i UE; poza EOG możliwy dostęp z USA: Data Privacy Framework (jeżeli dostawca ma certyfikację) albo standardowe klauzule umowne. Dane z API nie służą do trenowania modeli, zapisu odpowiedzi wyłączony, do 30 dni w celu wykrywania nadużyć

• Odbiorca

  Eleven Labs Inc.

  Cel

  rozmowy głosowe: rozpoznawanie mowy, głos Rozmówcy AI

  Miejsce przetwarzania i podstawa transferu

  USA; poza EOG możliwy dostęp z USA: Data Privacy Framework (jeżeli dostawca ma certyfikację) albo standardowe klauzule umowne. Zapis rozmowy u dostawcy usuwany po 30 dniach

• Odbiorca

  Plus Five Five, Inc. (Resend)

  Cel

  wysyłka wiadomości e-mail (link logowania, powiadomienia o koncie)

  Miejsce przetwarzania i podstawa transferu

  USA; poza EOG możliwy dostęp z USA: Data Privacy Framework (jeżeli dostawca ma certyfikację) albo standardowe klauzule umowne

• Odbiorca

  nazwa.pl sp. z o.o.

  Cel

  skrzynka pocztowa do kontaktu i reklamacji

  Miejsce przetwarzania i podstawa transferu

  Polska; bez przekazywania poza EOG

• Odbiorca

  Stripe Payments Europe, Limited

  Cel

  obsługa płatności, faktury, portal klienta

  Miejsce przetwarzania i podstawa transferu

  Irlandia (UE), z dostępem grupy Stripe z USA; Stripe jest odrębnym administratorem danych płatniczych; transfery na zasadach polityki prywatności Stripe

Przekazanie danych do państw spoza Europejskiego Obszaru Gospodarczego następuje na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) wobec certyfikowanych odbiorców, a w pozostałych przypadkach na podstawie standardowych klauzul umownych przyjętych przez Komisję (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń możesz otrzymać, pisząc na adres z punktu 1.

Dane mogą też otrzymać: Twórca lub organizacja w zakresie z punktu 5, adres webhooka ustawiony przez Twórcę, nasza księgowość (dane rozliczeniowe) oraz organy publiczne, gdy wymaga tego prawo.

7. Jak długo przechowujemy dane

• Dane

  Konto i profil

  Okres

  do usunięcia Konta

• Dane

  Treść rozmów (transkrypcje), cytaty w Raportach (dowody, podsumowanie, przytoczone wypowiedzi), komentarze przypięte do wypowiedzi

  Okres

  domyślnie 365 dni od zakończenia rozmowy. Administrator Przestrzeni zespołowej może ustawić inny okres (od 7 dni do 10 lat). Wcześniej, gdy usuniesz rozmowę albo Konto

• Dane

  Głos w rozmowie głosowej

  Okres

  nie jest nagrywany. Zapis rozmowy u dostawcy głosu (transkrypcja i dane techniczne) jest usuwany po 30 dniach

• Dane

  Wgrane nagrania rozmów z życia

  Okres

  domyślnie 30 dni od wgrania (Administrator Przestrzeni może ustawić inny okres)

• Dane

  Wyniki, Raporty bez cytatów, postępy, certyfikaty

  Okres

  do usunięcia rozmowy albo Konta (po usunięciu Konta certyfikaty zostają unieważnione i bez imienia)

• Dane

  Zamówienia, faktury, zużycie Minut

  Okres

  5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku

• Dane

  Dziennik działań

  Okres

  2 lata

• Dane

  Dane techniczne: dostawy webhooków i zdarzenia dostawców

  Okres

  90 dni

• Dane

  Klucze idempotencji API (bez treści rozmów)

  Okres

  30 dni

• Dane

  Liczniki limitów (skróty adresów IP i e-mail)

  Okres

  około doby

• Dane

  Logi serwera

  Okres

  krótko, zwykle kilka dni, według ustawień dostawcy hostingu

• Dane

  Korespondencja i reklamacje

  Okres

  do zakończenia sprawy, a potem do upływu terminu przedawnienia roszczeń

• Dane

  Kopie zapasowe bazy danych

  Okres

  kopie dzienne nadpisywane w cyklu dostawcy. Usunięte dane znikają z kopii wraz z ich rotacją

8. Twoje prawa

Masz prawo do:

• dostępu do danych i otrzymania ich kopii (art. 15). Eksport danych w formacie JSON pobierzesz samodzielnie w ustawieniach Konta,
• sprostowania danych (art. 16). Nazwę wyświetlaną i ustawienia zmienisz w Koncie,
• usunięcia danych (art. 17). Usunięcie Konta i pojedynczych rozmów jest w ustawieniach,
• ograniczenia przetwarzania (art. 18),
• przenoszenia danych (art. 20), także przez eksport,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21),
• cofnięcia zgody w każdej chwili, jeżeli przetwarzanie opiera się na zgodzie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) albo organu nadzorczego w państwie Twojego pobytu lub pracy.

Wnioski wysyłaj na hej@wojs.app z adresu przypisanego do Konta. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Gdy dane pochodzą z Przestrzeni organizacji albo Twórcy, przekażemy wniosek administratorowi i pomożemy go wykonać.

Usunięcie Konta usuwa treść rozmów, nagrania, komentarze, udostępnienia, członkostwa i imię. Zostają dane, które musimy przechowywać z mocy prawa (np. faktury), oraz wyniki bez treści rozmów w Przestrzeniach organizacji, w których odbywały się Twoje ćwiczenia, chyba że organizacja je usunie.

9. Bezpieczeństwo

Stosujemy m.in.: szyfrowanie połączeń (HTTPS z HSTS), izolację danych Przestrzeni na poziomie bazy danych (Row Level Security), przechowywanie kluczy API, tokenów zaproszeń i linków udostępnienia wyłącznie w postaci skrótów, logowanie bez haseł, limity żądań, podpisy webhooków, rejestrowanie działań administracyjnych i regularne kopie zapasowe. Ukryte instrukcje scenariusza nie trafiają do przeglądarki uczestnika. Szczegóły techniczne opisuje Umowa powierzenia.

O naruszeniu ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, poinformujemy Cię bez zbędnej zwłoki.

10. Pliki cookies

Używamy wyłącznie plików cookies niezbędnych do działania Serwisu i zapamiętania Twoich ustawień. Nie używamy cookies analitycznych ani reklamowych. Szczegóły: Polityka plików cookies.

11. Wiek

Serwis jest przeznaczony dla osób, które ukończyły 16 lat. Nie zbieramy świadomie danych osób młodszych. Jeżeli dowiemy się o takim Koncie, usuniemy je.

12. Zmiany polityki

O istotnych zmianach informujemy w Serwisie i e-mailem przed ich wejściem w życie. Wersję i datę obowiązywania podajemy na górze dokumentu.