Polityka prywatności serwisu Deko
Spis treści
- Administrator i kontakt
- Zakres dokumentu i dwie role Usługodawcy
- Cele, podstawy prawne i okresy przechowywania
- Kategorie przetwarzanych danych
- Źródła danych
- Dobrowolność podania danych
- Odbiorcy danych i podprocesorzy
- Przekazywanie danych poza EOG
- Dane a sztuczna inteligencja
- Prawa osób, których dane dotyczą
- Zautomatyzowane decyzje i profilowanie
- Bezpieczeństwo danych
- Dane dzieci
- Pliki cookie
- Zmiany Polityki
1. Administrator i kontakt
- Administratorem danych osobowych przetwarzanych w związku z Serwisem i Aplikacją Deko jest KARAT Prosta Spółka Akcyjna z siedzibą we Wrocławiu (50-019), ul. Marszałka Józefa Piłsudskiego 91/1, wpisana do rejestru przedsiębiorców KRS pod numerem 0001208820, NIP 8971963277, REGON 543396003.
- Kontakt w sprawach ochrony danych: kontakt@karatdigital.eu, tel. +48 507 875 853, korespondencyjnie na adres siedziby lub przez e-Doręczenia (AE:PL-74518-99741-FTFDU-29).
- Administrator nie ma obowiązku wyznaczenia inspektora ochrony danych (art. 37 RODO) i go nie wyznaczył. Wszystkie zgłoszenia dotyczące danych osobowych obsługuje wyznaczony punkt kontaktowy pod adresem wskazanym w ust. 2.
2. Zakres dokumentu i dwie role Usługodawcy
W związku z korzystaniem z Deko dane osobowe są przetwarzane w dwóch różnych rolach. Rozróżnienie to ma istotne znaczenie praktyczne — decyduje o tym, do kogo osoba, której dane dotyczą, powinna kierować swoje żądania.
| Rola | Czego dotyczy | Kto jest administratorem |
|---|---|---|
| Administrator | Dane osób odwiedzających Serwis, osób kontaktujących się, osób reprezentujących Klienta, dane rejestracyjne i rozliczeniowe, dane logowania i logi bezpieczeństwa, dane marketingowe. | KARAT P.S.A. — zastosowanie ma niniejsza Polityka. |
| Podmiot przetwarzający | Dane osobowe zawarte w Danych Klienta wprowadzonych do Aplikacji — w szczególności dane Użytkowników utworzonych przez Klienta oraz ewentualne dane osobowe w treści receptur, dokumentów i zapytań do Asystenta AI. | Klient (np. sieć handlowa, sklep, producent). KARAT P.S.A. przetwarza te dane wyłącznie na udokumentowane polecenie Klienta — zasady określa Informacja RODO. |
3. Cele, podstawy prawne i okresy przechowywania
| Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|
| Uruchomienie Trybu Demo (60 s) i prezentacja działania Aplikacji | Art. 6 ust. 1 lit. b RODO — czynności zmierzające do zawarcia umowy na żądanie osoby; art. 6 ust. 1 lit. f — prawnie uzasadniony interes w prezentacji produktu | Dane sesji usuwane niezwłocznie po zakończeniu sesji, nie później niż w ciągu 24 godzin; techniczne logi bezpieczeństwa — do 12 miesięcy |
| Rejestracja i prowadzenie Konta, świadczenie Usługi | Art. 6 ust. 1 lit. b RODO — wykonanie umowy | Przez czas trwania umowy + 30 dni na eksport danych; następnie usunięcie zgodnie z § 13 Regulaminu |
| Obsługa płatności i Abonamentu (Stripe) | Art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. c — obowiązki podatkowe i rachunkowe | 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (Ordynacja podatkowa, ustawa o rachunkowości) |
| Obsługa korespondencji, zapytań i reklamacji | Art. 6 ust. 1 lit. b, c oraz f RODO | Do zakończenia sprawy, a następnie przez okres przedawnienia roszczeń (co do zasady 3 lata dla roszczeń związanych z działalnością gospodarczą) |
| Bezpieczeństwo Systemu, wykrywanie nadużyć, logi dostępowe, kopie zapasowe | Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes w ochronie Systemu i danych klientów; art. 32 RODO | Logi — do 12 miesięcy; kopie zapasowe — zgodnie z cyklem rotacji, nie dłużej niż 90 dni od usunięcia danych źródłowych |
| Marketing bezpośredni własnych usług (newsletter, informacje o produkcie) | Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes; zgoda na kanał komunikacji elektronicznej zgodnie z art. 398 PKE | Do wniesienia sprzeciwu lub cofnięcia zgody; dowód udzielenia zgody — 3 lata po jej cofnięciu |
| Analityka i doskonalenie Usługi (statystyki użycia, diagnostyka) | Art. 6 ust. 1 lit. a RODO — zgoda (cookies analityczne); art. 6 ust. 1 lit. f — dane zagregowane i zanonimizowane | Do cofnięcia zgody; dane zanonimizowane — bezterminowo (nie są danymi osobowymi) |
| Ustalenie, dochodzenie i obrona roszczeń, wykazanie zgodności (rozliczalność) | Art. 6 ust. 1 lit. f RODO; art. 5 ust. 2 RODO | Do upływu terminów przedawnienia roszczeń, powiększonych o okres niezbędny do zakończenia postępowań |
Gdy podstawą przetwarzania jest prawnie uzasadniony interes administratora, osoba, której dane dotyczą, może wnieść sprzeciw (art. 21 RODO). W przypadku marketingu bezpośredniego sprzeciw jest skuteczny zawsze i bez konieczności uzasadnienia.
4. Kategorie przetwarzanych danych
- Dane identyfikacyjne i kontaktowe: imię i nazwisko, stanowisko, firma, adres e-mail, numer telefonu, adres siedziby, NIP.
- Dane Konta: login (adres e-mail), skrót hasła (hasła nie są przechowywane w postaci jawnej), rola i uprawnienia Użytkownika, historia logowań, ustawienia.
- Dane rozliczeniowe: wybrany plan, historia płatności, dane do faktury, identyfikatory transakcji Stripe, cztery ostatnie cyfry i typ karty (pełne dane karty przetwarza wyłącznie Stripe — Usługodawca nie ma do nich dostępu).
- Dane techniczne: adres IP, identyfikator sesji, typ i wersja przeglądarki, system operacyjny, znaczniki czasu, informacje o błędach, dane z plików cookie.
- Treści przekazane przez użytkownika: treść korespondencji, zgłoszeń, reklamacji oraz zapytań kierowanych do Asystenta AI.
- Dane zawarte w Danych Klienta — przetwarzane w roli podmiotu przetwarzającego (pkt 2 powyżej).
Ważne
Aplikacja nie jest przeznaczona do przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO) — w tym danych o zdrowiu, alergiach konkretnych osób, przekonaniach religijnych czy danych biometrycznych — ani danych dotyczących wyroków skazujących (art. 10 RODO). Klient zobowiązuje się takich danych do Aplikacji nie wprowadzać. Informacja o alergenach w recepturze dotyczy produktu, a nie osoby, i nie stanowi danych osobowych.
5. Źródła danych
- Dane pochodzą przede wszystkim bezpośrednio od osoby, której dotyczą.
- Dane Użytkowników zakładanych przez Klienta pochodzą od Klienta — w takim przypadku, zgodnie z art. 14 RODO, obowiązek informacyjny wobec Użytkownika realizuje Klient jako administrator tych danych. Usługodawca udostępnia wzór klauzuli informacyjnej w Informacji RODO.
- Dane kontaktowe przedsiębiorców mogą pochodzić ze źródeł publicznie dostępnych (CEIDG, KRS, strony internetowe) — w zakresie działań marketingowych B2B, na podstawie prawnie uzasadnionego interesu.
6. Dobrowolność podania danych
Podanie danych jest dobrowolne, jednak:
- podanie danych rejestracyjnych i rozliczeniowych jest warunkiem zawarcia i wykonania umowy — bez nich założenie Konta i korzystanie z Abonamentu nie jest możliwe;
- podanie danych do faktury wynika z przepisów prawa podatkowego;
- podanie danych w formularzu kontaktowym jest warunkiem udzielenia odpowiedzi;
- wyrażenie zgód marketingowych i na cookies analityczne jest w pełni dobrowolne, a ich brak nie wpływa na możliwość korzystania z Usługi.
7. Odbiorcy danych i podprocesorzy
Dane mogą być udostępniane lub powierzane następującym kategoriom odbiorców, wyłącznie w zakresie niezbędnym i na podstawie umów powierzenia spełniających wymogi art. 28 RODO:
| Odbiorca / kategoria | Zakres i cel | Lokalizacja i podstawa transferu |
|---|---|---|
| Stripe Stripe Payments Europe, Limited (Irlandia) oraz podmioty powiązane, w tym Stripe, Inc. (USA) |
Obsługa płatności kartą i subskrypcji, przeciwdziałanie oszustwom, obsługa zwrotów | UE/EOG oraz USA. Podstawa: art. 45 RODO — decyzja wykonawcza KE w sprawie adekwatności ram ochrony danych UE–USA (Data Privacy Framework), potwierdzona wyrokiem Sądu UE w sprawie T-553/23 (Latombe), oraz uzupełniająco standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO). Stripe działa częściowo jako odrębny administrator w zakresie wymaganym przepisami o usługach płatniczych i przeciwdziałaniu praniu pieniędzy. |
| Dostawca bramy AI (AI Gateway) nazwa operatora do uzupełnienia przed publikacją |
Pośrednictwo w przekazywaniu zapytań do modeli AI, routing, limity, logi techniczne | EOG / USA — do uzupełnienia; w razie transferu: standardowe klauzule umowne lub decyzja o adekwatności |
| Google Google Ireland Limited / Google LLC — modele Gemini |
Przetwarzanie treści zapytań i przesłanych plików w celu wykonania funkcji Asystenta AI
(model google/gemini-3-flash-preview) oraz odczytu i transkrypcji etykiet
i receptur (model google/gemini-3.7-flash) |
UE/EOG oraz USA. Podstawa: decyzja o adekwatności (Data Privacy Framework) oraz standardowe klauzule umowne. Dane nie są wykorzystywane do trenowania modeli. |
| Dostawca infrastruktury hostingowej i bazodanowej obecnie środowisko deweloperskie; docelowo serwer w PL/UE — do uzupełnienia |
Hosting Aplikacji, przechowywanie danych, kopie zapasowe | EOG — do uzupełnienia po migracji |
| Dostawca poczty elektronicznej i powiadomień transakcyjnych | Wysyłka wiadomości systemowych, faktur, powiadomień o odnowieniu Abonamentu | EOG lub kraj trzeci z decyzją o adekwatności / na podstawie SCC |
| Biuro rachunkowe, doradcy prawni, audytorzy | Obsługa księgowa, doradztwo, dochodzenie roszczeń | Polska / EOG |
| Organy publiczne | Wyłącznie na podstawie i w granicach obowiązujących przepisów prawa | Polska / EOG |
Aktualny wykaz podprocesorów przetwarzających dane w imieniu Klienta jest udostępniany na żądanie oraz w Informacji RODO. O zamierzonej zmianie lub dodaniu podprocesora Usługodawca informuje z wyprzedzeniem co najmniej 30 dni, umożliwiając wniesienie uzasadnionego sprzeciwu.
8. Przekazywanie danych poza Europejski Obszar Gospodarczy
- Usługodawca dąży do przetwarzania danych na terytorium Rzeczypospolitej Polskiej i Europejskiego Obszaru Gospodarczego.
- Przekazanie danych do państwa trzeciego następuje wyłącznie wtedy, gdy jest to niezbędne do świadczenia Usługi, i wyłącznie przy zastosowaniu jednego z mechanizmów rozdziału V RODO: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), uzupełnionych — w razie potrzeby — o dodatkowe środki techniczne i organizacyjne wynikające z przeprowadzonej oceny skutków transferu (TIA).
- Kopię zastosowanych zabezpieczeń można uzyskać, kontaktując się z Administratorem.
9. Dane a sztuczna inteligencja
- Treści przesyłane do funkcji AI (zapytania do Asystenta AI, zdjęcia i pliki przetwarzane przez Vision AI) są przekazywane dostawcom modeli wyłącznie w celu wygenerowania odpowiedzi lub odczytu treści.
- Na podstawie zawartych umów i przyjętej konfiguracji dane te nie są wykorzystywane do trenowania, douczania ani ulepszania modeli dostawców.
- Dostawcy modeli mogą przechowywać treści przez krótki okres wyłącznie w celu zapewnienia bezpieczeństwa i przeciwdziałania nadużyciom, zgodnie z ich warunkami świadczenia usług.
- Zapisy rozmów z Asystentem AI są przechowywane w Koncie Klienta i usuwane wraz z Kontem albo wcześniej — na żądanie Klienta.
- Użytkownicy są informowani w interfejsie Aplikacji, że komunikują się z systemem sztucznej inteligencji (art. 50 ust. 1 AI Act). Zasady korzystania z funkcji AI oraz obowiązek weryfikacji Wyników przez człowieka określa § 9 Regulaminu.
- Do Aplikacji, a w szczególności do funkcji AI, nie należy wprowadzać danych osobowych innych niż niezbędne, ani danych szczególnych kategorii.
10. Prawa osób, których dane dotyczą
Każdej osobie, której dane dotyczą, przysługują następujące prawa:
| Prawo | Podstawa | Na czym polega |
|---|---|---|
| Dostęp do danych i uzyskanie kopii | art. 15 RODO | Informacja, czy i jakie dane są przetwarzane, w jakim celu, komu udostępniane i jak długo przechowywane. |
| Sprostowanie | art. 16 RODO | Poprawienie danych nieprawidłowych i uzupełnienie niekompletnych. |
| Usunięcie („prawo do bycia zapomnianym”) | art. 17 RODO | Usunięcie danych, gdy nie są już potrzebne, zgoda została cofnięta lub przetwarzanie jest niezgodne z prawem — z wyjątkami wynikającymi z obowiązków prawnych i obrony roszczeń. |
| Ograniczenie przetwarzania | art. 18 RODO | Wstrzymanie operacji na danych na czas weryfikacji ich prawidłowości lub rozpatrzenia sprzeciwu. |
| Przenoszenie danych | art. 20 RODO | Otrzymanie danych w formacie nadającym się do odczytu maszynowego i przesłanie ich innemu administratorowi — dla danych przetwarzanych na podstawie zgody lub umowy, w sposób zautomatyzowany. |
| Sprzeciw | art. 21 RODO | Wobec przetwarzania opartego na prawnie uzasadnionym interesie; w przypadku marketingu bezpośredniego — sprzeciw jest bezwarunkowo skuteczny. |
| Cofnięcie zgody | art. 7 ust. 3 RODO | W każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem. |
| Skarga do organu nadzorczego | art. 77 RODO | Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl |
- Żądania można zgłaszać na adres kontakt@karatdigital.eu. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca; w sprawach skomplikowanych termin może zostać przedłużony o kolejne dwa miesiące, o czym osoba zostanie poinformowana.
- Administrator może zażądać dodatkowych informacji w celu potwierdzenia tożsamości osoby zgłaszającej żądanie (art. 12 ust. 6 RODO).
- Jeżeli żądanie dotyczy danych przetwarzanych przez Usługodawcę w roli podmiotu przetwarzającego (dane wprowadzone przez Klienta), Usługodawca przekaże je niezwłocznie Klientowi jako administratorowi i będzie go wspierał w realizacji żądania.
11. Zautomatyzowane podejmowanie decyzji i profilowanie
- Administrator nie podejmuje wobec osób, których dane dotyczą, decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływały (art. 22 RODO).
- Systemy AI wykorzystywane w Aplikacji przetwarzają dane o produktach i recepturach, a nie charakterystyki osób; nie służą ocenie ani prognozowaniu cech osób fizycznych.
- Automatyczne mechanizmy przeciwdziałania nadużyciom (limity zapytań, wykrywanie nietypowej aktywności) mogą skutkować czasowym ograniczeniem dostępu; każda taka decyzja podlega weryfikacji przez człowieka na wniosek Klienta.
12. Bezpieczeństwo danych
Administrator stosuje środki techniczne i organizacyjne odpowiadające ryzyku (art. 32 RODO), w szczególności:
- szyfrowanie transmisji protokołem TLS oraz szyfrowanie danych w spoczynku;
- przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych z solą;
- kontrolę dostępu opartą na rolach i zasadę minimalnych uprawnień;
- rozdzielenie środowisk produkcyjnego, testowego i deweloperskiego;
- rejestrowanie zdarzeń bezpieczeństwa i monitorowanie dostępu;
- regularne kopie zapasowe wraz z testami odtwarzania;
- zobowiązania do zachowania poufności wiążące personel oraz upoważnienia do przetwarzania danych;
- procedurę zarządzania naruszeniami ochrony danych, w tym zgłaszanie naruszeń organowi nadzorczemu w terminie 72 godzin (art. 33 RODO) i zawiadamianie osób, gdy wymaga tego art. 34 RODO;
- weryfikację podprocesorów pod kątem gwarancji wdrożenia odpowiednich środków ochrony.
13. Dane dzieci
Serwis i Aplikacja są przeznaczone wyłącznie dla przedsiębiorców. Administrator nie kieruje oferty do osób poniżej 18. roku życia i świadomie nie zbiera ich danych. W razie powzięcia informacji o takim przetwarzaniu dane zostaną niezwłocznie usunięte.
14. Pliki cookie
Zasady stosowania plików cookie i podobnych technologii, w tym kategorie plików, okresy ich przechowywania oraz sposób zarządzania zgodą, określa Polityka cookies stanowiąca integralną część niniejszej Polityki.
15. Zmiany Polityki
Administrator może aktualizować niniejszą Politykę w razie zmiany przepisów, technologii, zakresu usług lub grona podprocesorów. O istotnych zmianach informuje z wyprzedzeniem co najmniej 14 dni pocztą elektroniczną lub komunikatem w Aplikacji. Aktualna wersja jest zawsze dostępna pod adresem dekonutrition.pl. Poprzednie wersje są archiwizowane i udostępniane na żądanie.