Polityka prywatności serwisu czat-bot.pl

1. Kim jesteśmy

Administratorem danych w zakresie opisanym w punktach 3 i 4 jest:

Sławomir Starosta, prowadzący działalność pod nazwą Centroomz ul. Sienkiewicza 4/28, 00-015 Warszawa NIP 1180072118 e-mail: [email protected]

W zakresie opisanym w punktach 5 i 6 (rozmowy z botem i zamówienia) działamy jako podmiot przetwarzający w imieniu klienta, czyli właściciela strony, na której działa bot (patrz punkt 2).

2. Dwie role: kto jest administratorem czego

czat-bot.pl to usługa dla firm i organizacji (klientów), którzy umieszczają na swoich stronach bota. Dlatego dane przetwarzamy w dwóch rolach:

Klient jest zobowiązany do poinformowania swoich użytkowników o przetwarzaniu danych przez bota i do zawarcia z nami umowy powierzenia przetwarzania danych [DO UZUPEŁNIENIA: wzór umowy powierzenia].

3. Odwiedzający stronę czat-bot.pl

• Strona nie używa ciasteczek ani narzędzi analitycznych i reklamowych. Nie zapisujemy w przeglądarce odwiedzającego żadnych danych.
• Czcionki i ikony hostujemy na własnym serwerze. Strona i widżet nie łączą się z serwerami Google ani innych dostawców czcionek, więc adres IP odwiedzającego nie jest przekazywany takim podmiotom.
• Serwer przetwarza adres IP krótkotrwale w pamięci, w postaci nieodwracalnego skrótu, wyłącznie do ograniczania liczby zapytań (ochrona przed nadużyciami). Skrót nie jest zapisywany w bazie danych. Dostawca hostingu (Railway) zapisuje własne logi techniczne żądań HTTP, w tym adres IP odwiedzającego, metodę, ścieżkę, status odpowiedzi i dane przeglądarki. Według dokumentacji Railway dla używanego przez nas planu (Hobby) logi są przechowywane 7 dni.
• Strona działa za usługą Cloudflare (DNS, przekierowania, pamięć podręczna), która widzi adres IP odwiedzającego w ramach przekazywania ruchu [DO WERYFIKACJI: logi i okres przechowywania u Cloudflare].
• Podstawa prawna: prawnie uzasadniony interes administratora, czyli bezpieczeństwo i działanie serwisu (art. 6 ust. 1 lit. f RODO).

3a. Formularz kontaktowy (od 08.10.2026)

• Formularz na stronie zbiera: adres e-mail (wymagany), wiadomość (wymagana) i imię lub nazwę firmy (opcjonalnie). Przed wysłaniem trzeba zaznaczyć informację, że wiadomość służy do odpowiedzi na podany adres.
• Zgłoszenie (e-mail, wiadomość, imię) jest zapisywane w naszej bazie danych (Supabase, Frankfurt) na 90 dni, po czym jest automatycznie usuwane. Serwer przekazuje je też e-mailem (przez usługę wysyłki Brevo) do skrzynki administratora oraz wysyła nadawcy automatyczne potwierdzenie z terminem odpowiedzi (jeden dzień roboczy). Do ochrony przed spamem używamy ukrytego pola-pułapki oraz limitu liczby wysyłek z jednego adresu IP (skrót w pamięci procesu, niezapisywany).
• Podstawa prawna: prawnie uzasadniony interes administratora, czyli odpowiedź na zapytanie (art. 6 ust. 1 lit. f RODO); jeżeli zapytanie dotyczy zawarcia umowy, także działania przed jej zawarciem (art. 6 ust. 1 lit. b).
• Okres przechowywania: korespondencja w skrzynce administratora do czasu zakończenia sprawy, a następnie przez 12 miesięcy (jeśli doszło do zawarcia umowy, dane przechowujemy zgodnie z punktem 4).
• Odbiorcy: Brevo (wysyłka wiadomości z formularza), Cloudflare (przekazywanie poczty przychodzącej na adres [email protected]), Google (skrzynka Gmail administratora).

4. Klienci serwisu

Jeżeli zawierasz z nami umowę o korzystanie z serwisu, przetwarzamy:

• dane kontaktowe (imię i nazwisko lub nazwa firmy, e-mail, telefon),
• dane do faktury (adres, NIP),
• treści, które sam wpisujesz w panelu klienta (informacje o organizacji, wpisy bazy wiedzy z datą i źródłem, dane kontaktowe organizacji),
• skrót (hash) tajnego linku do panelu. Sam link nie jest przechowywany w bazie danych, widzisz go raz przy utworzeniu. Adres wywołania panelu, który zawiera ten link, może jednak pozostać w logach technicznych hostingu (patrz punkt 3) do końca okresu ich przechowywania.

Cele i podstawy prawne:

• zawarcie i wykonanie umowy (art. 6 ust. 1 lit. b RODO),
• obowiązki podatkowe i rachunkowe (art. 6 ust. 1 lit. c),
• dochodzenie roszczeń i ochrona przed nadużyciami (art. 6 ust. 1 lit. f).

Dane do faktur przechowujemy 5 lat, liczone od końca roku podatkowego, w którym powstał obowiązek podatkowy. Pozostałe dane (kontaktowe i rozliczeniowe klienta) do końca umowy i przez 5 lat po jej zakończeniu.

5. Rozmowy z botem na stronach klientów (jesteśmy podmiotem przetwarzającym)

• Treść rozmowy jest wysyłana do dostawcy modelu AI, który generuje odpowiedź. Dziś jest to model firmy Anthropic (Claude). Boty dla organizacji i wrażliwych tematów nie zapisują treści rozmów w naszej bazie danych. W bazie przechowujemy dla nich wyłącznie liczniki (ile wiadomości i rozmów dziennie), bez treści i bez danych osobowych. Zapis pytań i odpowiedzi jest osobnym, wyłączonym domyślnie ustawieniem konkretnego bota; gdy jest włączony, bot informuje o tym użytkownika w widżecie, a wpisy są kasowane po 30 dniach.
• Bot odpowiada wyłącznie na podstawie wiedzy wpisanej przez klienta. Jest wyraźnie oznaczony jako asystent AI, nie człowiek. Nie podejmuje decyzji wywołujących skutki prawne i nie profiluje użytkowników.
• Reakcje na kryzys (numery 116 123, 116 111, 112) i na nadużycia są realizowane przez nasz serwer według stałych reguł, bez wysyłania tej wiadomości do modelu AI.
• Użytkownicy botów kierowanych do wrażliwych grup (np. organizacje wsparcia) mogą ujawniać dane szczególnych kategorii (np. orientację, zdrowie). Bot przypomina, że nie trzeba podawać danych osobowych. Klient odpowiada za podstawę prawną takiego przetwarzania [DO WERYFIKACJI: art. 9 RODO, ocena skutków dla ochrony danych, umowa z klientem].
• Dostawca modelu AI przetwarza rozmowę w celu wygenerowania odpowiedzi. Według warunków Anthropic dane z produktów komercyjnych (w tym API) nie służą domyślnie do trenowania modeli, a dane wejściowe i wyjściowe są usuwane z ich systemów w ciągu 30 dni od otrzymania lub wygenerowania, z wyjątkami m.in. dla egzekwowania zasad użytkowania i wymogów prawnych (privacy.claude.com, artykuły z 18.08.2026 i 01.07.2026). Według Anthropic dane są przechowywane w USA, a zapytania mogą być kierowane do przetwarzania w kilku regionach, w tym w Europie (privacy.claude.com, artykuł z 15.06.2026). Podstawą transferu poza EOG są standardowe klauzule umowne (SCC, moduły 2 i 3), włączone do umowy powierzenia Anthropic (DPA obowiązujące od 24.02.2025) razem z aneksami dla Wielkiej Brytanii i Szwajcarii. [DO WERYFIKACJI: czy zaakceptowanie warunków handlowych Anthropic przez administratora włącza to DPA do umowy]

6. Zamówienia składane przez bota (jesteśmy podmiotem przetwarzającym)

Gdy klient (np. restauracja) korzysta z bota do przyjmowania zamówień, zbieramy od osoby składającej zamówienie:

• wybrane pozycje i ich ceny, kwotę, sposób odbioru,
• numer telefonu,
• adres dostawy (tylko przy dostawie).

Dane te są potrzebne do realizacji zamówienia przez klienta i widoczne w jego panelu. Serwis automatycznie usuwa numer telefonu i adres po 30 dniach od złożenia zamówienia. Pozycje, kwota i kod zamówienia zostają (bez danych osobowych) na potrzeby statystyk klienta. Płatność odbywa się przy odbiorze lub dostawie, serwis nie przetwarza danych płatniczych.

Jeżeli klient (lokal) ustawi w panelu adres powiadomień, kopia zamówienia (pozycje, kwota, telefon, adres dostawy) jest wysyłana e-mailem na ten adres za pośrednictwem usługi Brevo. Od tego momentu kopia znajduje się w skrzynce lokalu, gdzie administratorem jest lokal, i nie podlega naszemu 30-dniowemu czyszczeniu. Brevo przechowuje logi transakcyjne wysłanych wiadomości. W ustawieniach naszego konta logi są usuwane automatycznie po 1 miesiącu, a podglądy treści wiadomości nie są w ogóle zapisywane (stan sprawdzony w panelu Brevo 08.10.2026).

7. Odbiorcy danych i podmioty, z których korzystamy

Nie sprzedajemy danych i nie wykorzystujemy ich do reklamy. Zgodnie z warunkami dostawcy modelu AI (patrz punkt 5) rozmowy i zamówienia nie służą domyślnie do trenowania modeli.

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część dostawców (m.in. dostawca modelu AI, a także firmy hostingowe należące do grup spoza EOG) może przetwarzać dane poza EOG. Podstawą takiego przekazania są mechanizmy przewidziane w RODO (m.in. decyzja stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne). Cloudflare i Google deklarują certyfikację w EU-U.S. Data Privacy Framework, a standardowe klauzule umowne (SCC) wynikają z ich umów powierzenia Dostawca modelu AI (Anthropic) stosuje standardowe klauzule umowne (SCC) włączone do swojego DPA [DO WERYFIKACJI: konkretne umowy dostawców przez prawnika].

9. Jak długo przechowujemy dane

10. Twoje prawa

Przysługuje Ci prawo dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

W sprawach dotyczących danych z rozmów i zamówień (punkty 5 i 6) administratorem jest klient. Skontaktuj się z nim, a my pomożemy mu zrealizować Twoje żądanie. W sprawach z punktów 3 i 4 napisz do nas pod adres z punktu 1.

11. Bezpieczeństwo

Stosujemy m.in. szyfrowane połączenie (HTTPS), przechowywanie tajnych linków do panelu wyłącznie w postaci skrótu, ograniczenie dostępu do bazy danych do jednej roli z uprawnieniami tylko do niezbędnych tabel, wyłączenie buforowania stron panelu, ograniczanie liczby zapytań oraz zasadę zbierania minimum danych. Żaden system nie jest w pełni wolny od ryzyka, dlatego nie obiecujemy absolutnego bezpieczeństwa ani pełnej anonimowości rozmów.

12. Dzieci

Serwis jest przeznaczony dla firm i organizacji, a nie dla dzieci. Boty klientów mogą być jednak używane przez osoby niepełnoletnie. Klient odpowiada za dostosowanie bota do swojej grupy odbiorców [DO WERYFIKACJI].

13. Zmiany polityki

Aktualną wersję publikujemy na stronie czat-bot.pl z datą ostatniej zmiany. Data wejścia w życie zostanie podana po zatwierdzeniu dokumentu.

14. Kontakt

Sławomir Starosta Centroomz, ul. Sienkiewicza 4/28, 00-015 Warszawa, e-mail: [email protected].