# Polityka prywatności Source: https://chatmerce.eu/privacy/ Language: pl-PL Effective: 2026-07-28 --- ## 1. Kim jesteśmy Chatmerce to platforma agentów konwersacyjnych RCS i web prowadzona przez **Prosit AS**, spółkę zarejestrowaną w Norwegii (organisasjonsnummer: 932 184 110, do uzupełnienia po rejestracji). Email kontaktowy: [hello@chatmerce.eu](mailto:hello@chatmerce.eu). Prosit AS jest administratorem danych osobowych w rozumieniu Rozporządzenia (UE) 2016/679 (RODO). W tej polityce „my", „nas" i „Chatmerce" oznaczają Prosit AS. „Ty" oznacza osobę, której dane przetwarzamy — najczęściej użytkownika dashboardu `app.chatmerce.eu`, ale także końcowego rozmówcę agenta wdrożonego przez naszego klienta. ## 2. Jakie dane zbieramy ### 2.1 Dane z rejestracji i konta - Imię i adres e-mail (z OAuth: Google, Microsoft, Apple) - Identyfikator zewnętrznego dostawcy uwierzytelniania (`sub` z OAuth, opaque dla nas) - Awatar (URL z konta OAuth, opcjonalnie) - Nazwa firmy, NIP, adres do faktury (gdy zakładasz konto firmowe) - **Hasła nigdy nie trafiają do naszych systemów** — uwierzytelnianie obsługuje Clerk (zob. sub-procesorzy) ### 2.2 Dane techniczne i logi - Adres IP (anonimizowany po 30 dniach) - Nagłówek User-Agent - Czas zalogowania i akcji w panelu - Identyfikator sesji (cookie `HttpOnly`) ### 2.3 Dane konfiguracyjne („Customer Data") - Treść promptów i instrukcji agenta - Wgrane źródła wiedzy (PDF-y, linki, tekst) - Konfiguracja agentów Te dane należą do ciebie. Przetwarzamy je wyłącznie po to, żeby działała usługa. ### 2.4 Rozmowy z agentem - Treść wiadomości użytkownika końcowego i odpowiedzi agenta - Identyfikator sesji (anonimowy dla web widgetu; numer telefonu dla RCS) - Czas wiadomości, kanał (web/RCS), wersja agenta - Metadane techniczne: ilość tokenów, koszt rozmowy, użyty model LLM ### 2.5 Dane rozliczeniowe - Nazwa firmy, NIP, adres do faktury - Historia płatności (Stripe, po uruchomieniu płatności) ## 3. Dlaczego to zbieramy i na jakiej podstawie | Cel | Podstawa prawna (RODO art. 6) | Dane | | -------------------------------------------------- | ------------------------------------------ | ---------------------------- | | Świadczenie usługi (konto, obsługa agenta) | art. 6 ust. 1 lit. b — wykonanie umowy | konto, konfig, rozmowy | | Wystawienie faktury, obowiązki podatkowe | art. 6 ust. 1 lit. c — obowiązek prawny | rozliczeniowe | | Bezpieczeństwo, zapobieganie nadużyciom | art. 6 ust. 1 lit. f — uzasadniony interes | logi, IP | | Marketing własny (newsletter, jeśli zapiszesz się) | art. 6 ust. 1 lit. a — zgoda | email | | Statystyki użycia, ulepszanie produktu | art. 6 ust. 1 lit. f — uzasadniony interes | agregaty (bez treści rozmów) | ## 4. Komu udostępniamy dane (sub-procesorzy) Każdy sub-procesor ma podpisaną z nami umowę powierzenia (DPA) i ma siedzibę w EOG lub działa w ramach Standardowych Klauzul Umownych (SCC) zgodnie z decyzją wykonawczą Komisji (UE) 2021/914. | Sub-procesor | Co przetwarza | Lokalizacja | | ------------------------------------------------------------- | -------------------------------------------------- | ----------------------- | | Google Cloud (Cloud Run, Firestore, BigQuery, Secret Manager) | hosting, baza danych, sekrety | europe-west4 (Holandia) | | Google (Gemini API) | przetwarzanie zapytań LLM | europe-west4 | | Clerk, Inc. | uwierzytelnianie użytkowników | USA — SCC + DPF | | SerwerSMS (Vercom S.A.) | dostawa wiadomości RCS (jeśli używasz tego kanału) | Polska | | Cloudflare, Inc. | CDN, hosting strony marketingowej | globalnie — SCC + DPF | | Stripe Payments Europe | rozliczenia subskrypcji (po uruchomieniu) | Irlandia | Aktualną pełną listę z datami zmian wysyłamy na życzenie: [hello@chatmerce.eu](mailto:hello@chatmerce.eu). Plan Enterprise: lista dostarczana jako załącznik do umowy. ## 5. Przekazywanie danych poza EOG Z sub-procesorów spoza EOG korzystamy z **Clerk (USA)** i **Cloudflare (globalnie)**. Oba podmioty są certyfikowane w ramach EU–U.S. Data Privacy Framework (DPF) i mają z nami podpisane Standardowe Klauzule Umowne. Pozostałe dane pozostają w EOG. ## 6. Jak długo przechowujemy dane - **Konto użytkownika**: do usunięcia konta + 30 dni (okno na cofnięcie) - **Rozmowy**: 24 miesiące od ostatniej wiadomości (chyba że wcześniej je usuniesz) - **Logi techniczne**: 90 dni - **Faktury i dane rozliczeniowe**: 5 lat (ustawa o rachunkowości, art. 74) - **Backupy**: 35 dni Po wygaśnięciu okresu dane są usuwane lub anonimizowane automatycznym jobem. ## 7. Twoje prawa (RODO art. 15–22) Masz prawo do: - **Dostępu** do swoich danych (art. 15) - **Sprostowania** błędnych danych (art. 16) - **Usunięcia** („prawo do bycia zapomnianym", art. 17) — z panelu lub przez e-mail - **Ograniczenia przetwarzania** (art. 18) - **Przenoszenia danych** w formacie JSON/CSV (art. 20) - **Sprzeciwu** wobec przetwarzania opartego na uzasadnionym interesie (art. 21) - **Niepodlegania decyzjom opartym wyłącznie na automatycznym przetwarzaniu** (art. 22) Wszystkie żądania kierujesz na [hello@chatmerce.eu](mailto:hello@chatmerce.eu). Odpowiadamy w ciągu 30 dni (art. 12 ust. 3 RODO). Możesz też wnieść skargę do organu nadzorczego: - **Polska**: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, [uodo.gov.pl](https://uodo.gov.pl) - **Norwegia**: Datatilsynet, Postboks 458 Sentrum, 0105 Oslo, [datatilsynet.no](https://datatilsynet.no) - Lub do organu właściwego dla kraju twojej rezydencji. ## 8. Cookies Używamy minimalnej liczby cookies: - `chatmerce-theme` — preferencja motywu (light/dark). 1 rok. - `__session` (Clerk) — sesja zalogowanego użytkownika. Czas trwania sesji. - `cf_bm` (Cloudflare) — ochrona przed botami. 30 minut. Nie używamy cookies analitycznych ani marketingowych bez twojej wyraźnej zgody. Strona marketingowa **nie ma pikseli Meta ani Google Ads**. Do statystyk odwiedzin używamy Cloudflare Web Analytics — bez cookies, bez profilowania i bez śledzenia między witrynami. Podstawą prawną jest nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO), a przetwarzamy wyłącznie dane zagregowane. Cloudflare jest naszym podprocesorem. ## 9. Dzieci Chatmerce nie jest skierowane do osób poniżej 16 roku życia. Świadomie nie zbieramy danych dzieci. ## 10. Bezpieczeństwo - Szyfrowanie w trasie (TLS 1.3) i w spoczynku (AES-256, klucze zarządzane przez Google KMS) - Sekrety w Google Secret Manager — nigdy w bazie danych, logach ani repozytorium kodu - Dostęp do produkcji ograniczony do dwóch osób (founderów Prosit AS), z włączonym 2FA - Pentest zewnętrzny: pierwszy zaplanowany w III kwartale 2026 (planowo rocznie) - Plan ciągłości działania: backupy w innym regionie, RTO 24h, RPO 1h ## 11. Naruszenia ochrony danych W przypadku stwierdzenia naruszenia mogącego skutkować ryzykiem dla twoich praw: - W ciągu **72 godzin** zgłaszamy je organowi nadzorczemu (art. 33 RODO) - Powiadamiamy ciebie bezpośrednio, jeśli ryzyko jest wysokie (art. 34 RODO) - Publikujemy post-mortem na status.chatmerce.eu w ciągu 14 dni ## 12. Zmiany polityki Istotne zmiany ogłaszamy mailem z 30-dniowym wyprzedzeniem. Historia zmian dostępna na życzenie pod [hello@chatmerce.eu](mailto:hello@chatmerce.eu). ## 13. Kontakt Sprawy ochrony danych: [hello@chatmerce.eu](mailto:hello@chatmerce.eu) **Inspektor ochrony danych**: nie powołany. Działalność Prosit AS nie wymaga jego powołania zgodnie z art. 37 ust. 1 RODO. Wszystkie sprawy danych obsługują bezpośrednio założyciele Prosit AS. **Adres do korespondencji**: Prosit AS, do uzupełnienia po rejestracji w norweskim Brønnøysundregistrene.