Polityka prywatności

1. Administrator danych

Administratorem Twoich danych jest DevOps Jakub Pazdyga, NIP 2220682818, ul. Powstańców Śląskich 57a, 44-361 Syrynia. Kontakt w sprawach danych: contact@umova.eu.

Dane Twoich kontrahentów, które wprowadzasz do Umovy, przetwarzamy w Twoim imieniu — wtedy administratorem jesteś Ty, a Umova jest podmiotem przetwarzającym (na podstawie umowy powierzenia).

Jeżeli włączysz prywatny alias pocztowy, wiadomości przesłane na ten adres traktujemy tak samo jak treść, którą wklejasz ręcznie: ich tekst trafia do wątku deala jako dowód (po odcięciu zacytowanej historii), a na jego podstawie proponujemy ustalenia, które potwierdzasz Ty. Nie zapisujemy surowej wiadomości z nagłówkami ani adresu nadawcy; z załączników zostaje nazwa, typ, rozmiar i skrót, bez ich treści. Administratorem tych danych pozostajesz Ty.

Wskazana niżej »umowa« jako podstawa przetwarzania to umowa o świadczenie usług drogą elektroniczną, której treść określa Regulamin; zawierasz ją z chwilą założenia konta.

2. Jakie dane, po co i na jakiej podstawie

Minimalizacja: zbieramy minimum. Treści analizowanych mediów nie przechowujemy. Adresu IP do limitów nie trzymamy w formie surowej (skrót). W logach nie zapisujemy treści wiadomości, adresów e-mail ani linków logowania — zapisujemy natomiast identyfikatory techniczne konta i sprawy, potrzebne do diagnozy zgłoszeń.

3. Sztuczna inteligencja

AI w Umovie tylko sugeruje; każdą czynność na zewnątrz zatwierdza człowiek. Nie podejmujemy wobec Ciebie w pełni zautomatyzowanych decyzji wywołujących skutki prawne (art. 22 RODO).

Inferencja odbywa się w regionach UE — korzystamy wyłącznie z profili europejskich, profile globalne są w konfiguracji wykluczone. Dostawca (Amazon Bedrock) deklaruje, że domyślnie nie przechowuje wejść ani wyjść modelu, że operatorzy usługi nie mają do nich dostępu i że dostawcy modeli nie mają dostępu do zapytań ani odpowiedzi.

Kwoty i daty zapisane cyframi maskujemy przed wysłaniem do modelu i podstawiamy z powrotem kodem deterministycznym — w silniku ustaleń i w asystencie UmovAI; model nie widzi tam żadnej liczby. W analizie materiałów i w narzędziach publicznych model dostaje przekazany przez Ciebie tekst albo obraz w całości. Liczby wypisane słownie („dwa tysiące złotych”) maskowaniu nie podlegają.

4. Komu powierzamy dane (podprocesorzy)

Nie sprzedajemy danych. Brak reklam. 0% prowizji.

Za Twoją zgodą korzystamy z narzędzi pomiarowych: Google Analytics 4 i Google Ads (Google Ireland Limited), Meta Pixel (Meta Platforms Ireland Limited) oraz TikTok Pixel (TikTok Information Technologies UK Limited). Bez zgody żadne z nich się nie wczytuje. „Brak reklam” wyżej znaczy, że nie pokazujemy reklam w serwisie — nie że nie mierzymy skuteczności własnych kampanii.

• Amazon Web Services — baza danych, pliki robocze, inferencja AI, rozpoznawanie mowy, sekrety, logi i kolejki — w regionie UE (eu-central-1); modele AI wyłącznie przez profile europejskie.
• Amazon Web Services — usługi brzegowe (CloudFront, Route 53, certyfikat TLS): ruch HTTP obsługiwany globalnie, certyfikat przechowywany poza UE. To świadome odstępstwo od zasady przetwarzania w UE, ograniczone do warstwy transportu.
• Mailgun (Sinch) — poczta wychodząca i przychodząca (linki do logowania, wezwania do zapłaty, powiadomienia, wlot deali): adres odbiorcy, temat i pełna treść — serwery w regionie UE; spółka spoza UE, standardowe klauzule umowne.
• ForwardEmail oraz home.pl — obsługa skrzynki contact@umova.eu, czyli kanału, którym przyjmujemy Twoje żądania dotyczące danych.
• Ministerstwo Finansów — Krajowy System e-Faktur: faktury ustrukturyzowane za naszą usługę, wraz z danymi nabywcy. Organ publiczny działa tu jako odrębny administrator na podstawie przepisów o VAT.
• PayU i Revolut — obsługa płatności za plany. To nie jest powierzenie: operatorzy płatności występują jako odrębni administratorzy danych płatnika, ponieważ mają własne obowiązki regulacyjne.
• Enable Banking (Finlandia) — pobieranie historii rachunku, jeśli połączysz bank. Funkcja jest obecnie wyłączona; wpłaty potwierdzasz ręcznie.
• Platformy społecznościowe — wyłącznie gdy sam połączysz konto, na podstawie zgody udzielonej w tym serwisie.
• Google Ireland Limited — pomiar ruchu i skuteczności kampanii (Google Analytics 4), wyłącznie po Twojej zgodzie na ciasteczka analityczne. Przekazujemy nazwę zdarzenia, a przy płatnościach kwotę i walutę — nigdy adresu e-mail, identyfikatora konta ani treści z serwisu.

5. Przekazywanie poza EOG

Przetwarzanie produkcyjne (baza, pliki, AI, poczta) odbywa się w regionach UE (AWS eu-central-1, Mailgun UE). Dostawcy — AWS oraz Mailgun (Sinch) — to podmioty spoza UE działające na podstawie umów powierzenia i standardowych klauzul umownych (decyzja 2021/914/UE). Wykazy podprocesorów tych dostawców obejmują podmioty spoza EOG. Dlatego mówimy o „przetwarzaniu w regionach UE”, a nie o wykluczeniu każdego dostępu. Połączenie konta w serwisie społecznościowym wiąże się z przekazaniem danych dostawcy tej platformy.

Narzędzia pomiarowe wymienione w punkcie 4 przetwarzają dane poza EOG (m.in. w USA) na podstawie standardowych klauzul umownych zawartych w warunkach tych dostawców. Bez Twojej zgody nie przekazujemy im niczego.

6. Jak długo przechowujemy

• Konto i dane — do czasu usunięcia konta przez Ciebie. Nie kasujemy ich automatycznie po upływie czasu: materiał deala bywa jedynym dowodem w sporze, a termin przedawnienia zależy od sprawy.
• Materiał do analizy (obraz, dźwięk, wideo) — kasujemy po analizie, nie przechowujemy go. W rejestrze zostaje sam werdykt oraz krótki cytat-dowód z warstwy dźwiękowej, jeśli to na nim opiera się ocena kryterium.
• Nagranie głosu z dyktowania — kasujemy po rozpoznaniu mowy.
• Dane techniczne do limitów — efemerycznie.
• Logi techniczne (identyfikatory konta i sprawy, bez treści) — usunięcie konta ich nie obejmuje; magazyn logów i metryk ma własny, niezależny okres przechowywania.
• Dane wymagane prawem (np. rozliczeniowe) — przez okres wynikający z przepisów.
• Zapis o odstąpieniu — zachowujemy także po usunięciu konta, bez powiązania z Tobą (dowód wykonania obowiązku, podstawa faktury korygującej).

7. Twoje prawa

Masz prawo do: dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu, przenoszenia danych oraz wycofania zgody. Przysługuje Ci skarga do Prezesa UODO. Umova umożliwia eksport Twoich danych, wycofanie zgody w ustawieniach oraz usunięcie konta (kasujące sesje, tokeny i sekrety). Realizacja: contact@umova.eu.

8. Bezpieczeństwo

Stosujemy m.in. szyfrowanie danych wrażliwych w spoczynku (AES-256: sekret TOTP, IBAN, tokeny), silne uwierzytelnianie do działań wrażliwych, transmisję po TLS, minimalizację danych, brak danych osobowych w logach oraz ograniczanie liczby zapytań.

Formularze publiczne chroni przed automatami zadanie obliczeniowe, które rozwiązuje Twoja przeglądarka. Mechanizm działa na naszej infrastrukturze — w tym celu nie przekazujemy adresu IP ani żadnych innych danych zewnętrznemu dostawcy.

9. Pliki cookie

Niezbędne ciasteczka sesji (utrzymanie zalogowania) działają zawsze — bez nich serwis nie zadziała.

Poza nimi używamy ciasteczek analitycznych i reklamowych, ale wyłącznie za Twoją uprzednią zgodą. Zgody są dwie i niezależne: analityka to pomiar ruchu (które strony są odwiedzane i skąd przychodzą odwiedzający), reklama to pomiar skuteczności naszych kampanii i dopasowanie reklam. Pytamy przy pierwszej wizycie; wycofasz zgodę w każdej chwili w Ustawieniach.

Do narzędzi pomiarowych nie przekazujemy Twojego adresu e-mail, identyfikatora konta ani treści z serwisu — wyłącznie nazwę zdarzenia (na przykład „zakup”) oraz, przy płatnościach, kwotę i walutę. Dopóki nie wyrazisz zgody, skrypty tych narzędzi w ogóle się nie wczytują.

10. Połączone konta w serwisach społecznościowych

Jeśli połączysz swoje konto w serwisie społecznościowym (YouTube, TikTok, Instagram, Facebook, LinkedIn, X, Snapchat), pobieramy z oficjalnego API tego serwisu wyłącznie publiczne statystyki Twojego własnego konta: nazwę i identyfikator konta, liczbę obserwujących, liczbę obserwowanych kont, liczbę materiałów i liczbę wyświetleń, a jeśli platforma je udostępnia — także liczbę polubień i rodzaj konta.

Cel: złożenie Twojej karty twórcy (media kit), którą sam decydujesz się pokazać marce. Podstawa: wykonanie umowy — art. 6 ust. 1 lit. b RODO. Token dostępu przechowujemy zaszyfrowany (AES-256) wyłącznie po to, by odświeżyć liczby na Twoje żądanie.

Zgodę możesz cofnąć w każdej chwili — w Umovie („Rozłącz”) albo bezpośrednio w serwisie. Rozłączenie kasuje token i pobrane statystyki. Zgoda wygasa samoczynnie po 180 dniach.

Dane z YouTube: korzystanie przez Umovę z informacji otrzymanych z interfejsów Google odbywa się zgodnie z Google API Services User Data Policy, w tym z wymogami Limited Use.

• Nie czytamy treści Twoich materiałów ani wiadomości prywatnych.
• Nie pobieramy danych innych użytkowników — wyłącznie Twoje własne.
• Nie publikujemy niczego w Twoim imieniu i niczego nie zmieniamy.
• Nie udostępniamy tych danych stronom trzecim.
• Nie wykorzystujemy ich do reklamy, profilowania ani trenowania modeli AI.

11. Kontakt

DevOps Jakub Pazdyga, ul. Powstańców Śląskich 57a, 44-361 Syrynia, contact@umova.eu.