POLITYKA PRYWATNOŚCI – „Narzędzie AI"

Wersja dokumentu: 30 września 2026 r.

1. Administrator i kontakt

Administratorem danych jest Mykhailo Kapush, prowadzący działalność pod firmą MQ Mykhailo Kapush, ul. Elsnera 34/112, 02-680 Warszawa, NIP: 5242821720. W sprawach danych, usunięcia Konta i realizacji Twoich praw napisz na czesc@narzedzie.ai.

2. Jakie dane przetwarzamy

Konto: adres e-mail, identyfikator użytkownika, data rejestracji, saldo i historia Kredytów oraz wersja i data zaakceptowanego oświadczenia o prawach do materiałów. Przy logowaniu przez Google dostawca uwierzytelniania może otrzymać także podstawowe dane profilu Google, np. nazwę i avatar.
Generowanie i edycja: opisy tekstowe (prompty), przesłane obrazy, zaznaczenia i obrazy referencyjne, wyniki, parametry, identyfikatory zadań, daty i statusy operacji. Zdjęcia i opisy mogą zawierać dane osobowe, w tym wizerunek.
Płatności: wybrany pakiet, kwota, identyfikatory i status płatności, historia rozliczeń; w przypadku faktury także dane firmy, NIP/VAT i adres. Dane płatnicze podajesz bezpośrednio Stripe; nie otrzymujemy pełnych numerów kart ani kodów CVC.
Kontakt i bezpieczeństwo: treść korespondencji i reklamacji, adres IP, informacje o przeglądarce i urządzeniu, logi żądań i błędów oraz liczniki ograniczające nadużycia.
Analityka: ograniczone informacje o odwiedzinach publicznych stron, opisane w pkt 7. Nie łączymy ich z Kontem ani nie używamy do reklamy.

Nie wymagamy podawania danych o zdrowiu, religii, poglądach, życiu seksualnym ani innych szczególnych kategorii danych. Nie przesyłaj takich danych, dokumentów tożsamości ani materiałów poufnych. Nie oznacza to, że system potrafi automatycznie rozpoznać i usunąć wszystkie takie informacje. Przed przesłaniem usuń zbędne dane i metadane zdjęcia.

3. Po co i na jakiej podstawie

Założenie i prowadzenie Konta, realizacja zamówionych generacji oraz rozliczanie Kredytów: wykonanie umowy lub działania na Twoje żądanie przed jej zawarciem (art. 6 ust. 1 lit. b RODO).
Dokumentacja podatkowa i obsługa ustawowych uprawnień konsumenta: obowiązek prawny (art. 6 ust. 1 lit. c RODO).
Ochrona usługi, moderacja, zapobieganie oszustwom, diagnostyka, obsługa zapytań i dochodzenie lub obrona roszczeń: prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Gdy korespondencja dotyczy wykonania umowy lub obowiązku prawnego, stosujemy odpowiednio lit. b lub c.
Statystyki odwiedzin publicznych stron: nasz prawnie uzasadniony interes polegający na poznaniu popularności stron i ulepszaniu Aplikacji (art. 6 ust. 1 lit. f RODO). Ograniczamy zakres danych, nie łączymy statystyk z Kontem i respektujemy ustawienie „Do Not Track” przeglądarki.

Podanie danych Konta i materiałów potrzebnych do wskazanej operacji jest dobrowolne, ale bez nich nie możemy jej wykonać. Dane wymagane do rozliczeń wynikają także z przepisów. Nie prowadzimy newslettera ani profilowania reklamowego. Akceptacja Regulaminu lub oświadczenia o prawach do zdjęć nie jest zgodą marketingową ani zgodą na transfer danych poza EOG.

Jeżeli przekazujesz dane innej osoby, musisz mieć podstawę do ich wykorzystania. Sam fakt posiadania zdjęcia lub praw autorskich nie oznacza uprawnienia do przetwarzania danych przedstawionej osoby. Podstawa wykonania naszej umowy z Tobą nie obejmuje automatycznie danych osób trzecich.

4. Komu przekazujemy dane

W zakresie potrzebnym do obsługi usługi korzystamy z poniższych dostawców. Nie każdy z nich jest wyłącznie podmiotem przetwarzającym: np. operator płatności i dostawca logowania mogą działać także jako odrębni administratorzy dla swoich celów.

Supabase: uwierzytelnianie i baza danych Konta, generacji, oświadczeń i rozliczeń. Polityka dostawcy: https://supabase.com/privacy.
Cloudflare: przechowywanie i dostarczanie obrazów w R2, obsługa ruchu sieciowego oraz przekierowanie poczty. Polityka dostawcy: https://www.cloudflare.com/privacypolicy/.
Vercel: hosting oraz obsługa żądań i logów aplikacji. Polityka dostawcy: https://vercel.com/legal/privacy-policy.
Umami Software, Inc.: statystyki odwiedzin publicznych stron. Nie korzystamy z funkcji identyfikowania użytkownika, automatycznego śledzenia kliknięć, nagrań sesji ani map cieplnych. Polityka dostawcy: https://umami.is/privacy. Dostawca udostępnia warunki powierzenia: https://umami.is/umami-dpa.pdf.
Dostawca modeli generatywnych AI (USA): generowanie i edycja obrazów w naszym imieniu. Przekazujemy prompt, parametry zadania oraz czasowe adresy pozwalające pobrać obrazy wejściowe; odbieramy wynik. Zasady przetwarzania opisujemy w pkt 5.
OpenAI: automatyczna moderacja opisów i obrazów przez API moderacji przed przekazaniem zadania do dostawcy modeli AI. OpenAI otrzymuje tekst oraz adresy umożliwiające pobranie obrazów. Według dokumentacji dla /v1/moderations dostawca nie przechowuje treści jako stanu aplikacji ani w logach monitorowania nadużyć. Dane systemowe i obowiązki wynikające z prawa podlegają odrębnym zasadom dostawcy. Dokumentacja: https://developers.openai.com/api/docs/guides/your-data.
Upstash: ograniczanie częstotliwości żądań; identyfikator użytkownika i liczniki operacji. Polityka dostawcy: https://upstash.com/trust/privacy.pdf.
Stripe: realizacja płatności, przeciwdziałanie oszustwom i dane do rozliczeń. Polityka dostawcy: https://stripe.com/privacy.
Resend: wysyłka wiadomości transakcyjnych, w szczególności potwierdzeń zakupu, obejmujących adres e-mail i dane zamówienia. Polityka dostawcy: https://resend.com/legal/privacy-policy.
Google: gdy wybierasz logowanie przez Google, wymiana danych potrzebnych do uwierzytelnienia. Polityka dostawcy: https://policies.google.com/privacy.

Upoważniona obsługa Aplikacji może uzyskać dostęp do Konta, opisów i obrazów w związku z pomocą, bezpieczeństwem i usuwaniem usterek. Dane rozliczeniowe mogą trafić do obsługi księgowej, a dane konieczne do wyjaśnienia roszczeń lub wykonania obowiązku prawnego do doradców i uprawnionych organów. Nie sprzedajemy danych ani nie udostępniamy materiałów do reklamy innych podmiotów.

Jeżeli korzystasz z wcześniej połączonej integracji WhatsApp, przetwarzane są także numer telefonu, wiadomości, obrazy i stan rozmowy. Uczestniczy w tym Meta/WhatsApp; stan rozmowy w Upstash wygasa po 30 minutach. Dane połączenia Konta pozostają do jego odłączenia lub usunięcia. Nowych połączeń nie udostępniamy obecnie w interfejsie Aplikacji. Zasady WhatsApp: https://www.whatsapp.com/legal/privacy-policy.

5. Przetwarzanie przez dostawcę modeli AI

Generowanie i edycję obrazów wykonuje zewnętrzny dostawca modeli generatywnych AI. Zgodnie z jego pisemną deklaracją:

wygenerowane pliki są automatycznie usuwane po 14 dniach,
logi systemowe i rekordy zadań są usuwane po około 2 miesiącach,
dane wejściowe i wyniki nie są używane do trenowania, dostrajania ani ulepszania modeli,
prompty i obrazy są traktowane jako poufne, oddzielone od danych innych klientów, a dostęp do nich jest ograniczony do obsługi zadań, diagnostyki i utrzymania usługi.

Dostawca nie wskazał odrębnego okresu przechowywania obrazów wejściowych. Z naszego magazynu zlecamy ich usunięcie niezwłocznie po zakończeniu zadania (pkt 8). Usunięcie obrazu w galerii nie powoduje natychmiastowego usunięcia kopii u dostawcy.

Na żądanie, o którym mowa w pkt 10, wskażemy tożsamość konkretnych odbiorców Twoich danych.

6. Przetwarzanie poza EOG

Część naszych dostawców, w tym dostawca modeli AI, korzysta z infrastruktury i personelu poza Europejskim Obszarem Gospodarczym, w szczególności w USA. Lokalizacja serwera w UE nie wyklucza dostępu z państwa trzeciego.

Przekazanie danych do państwa trzeciego następuje z zastosowaniem zabezpieczeń przewidzianych w rozdziale V RODO, w szczególności standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, których stosowanie deklarują dostawcy, lub decyzji stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) w odniesieniu do certyfikowanych odbiorców. Informacje o zabezpieczeniach dotyczących konkretnego odbiorcy i sposobie uzyskania ich kopii przekażemy na żądanie wysłane na czesc@narzedzie.ai.

7. Analityka, cookies i pamięć przeglądarki

Na publicznych stronach ładujemy skrypt Umami Cloud i wysyłamy ręcznie odsłony wyłącznie dla adresów wskazanych w kodzie Aplikacji. Przekazujemy identyfikator witryny, nazwę hosta, stałą ścieżkę i tytuł publicznej strony oraz samo pochodzenie strony odsyłającej, bez jej ścieżki i parametrów. Umami otrzymuje także dane techniczne połączenia, w tym adres IP i informacje o przeglądarce. Używa ich do utworzenia skrótu identyfikującego sesję i ustalenia przybliżonego kraju; zgodnie z dokumentacją nie zapisuje adresu IP i nie ustawia cookies analitycznych.

Nie wysyłamy odsłon logowania, panelu użytkownika, panelu administratora ani nieznanych adresów. Nie przekazujemy parametrów zapytania, fragmentów URL, promptów, zdjęć, adresów e-mail ani identyfikatorów Konta. Ustawiamy tracker w trybie bez automatycznego śledzenia, respektujemy sygnał Do Not Track i nie używamy funkcji `identify`.

Umami deklaruje, że standardowy tracker nie zapisuje cookies i nie wymaga banera cookies. Podstawą opisanego wyżej, ograniczonego przetwarzania jest nasz prawnie uzasadniony interes, a nie zgoda. Możesz wnieść sprzeciw zgodnie z pkt 10; możesz także włączyć „Do Not Track” w przeglądarce. Nie używamy Vercel Analytics, Vercel Speed Insights ani Google Analytics. Szczegóły opisuje Polityka cookies: https://narzedzie.ai/polityka-cookies.

8. Jak długo przechowujemy dane

Konto i saldo: przez czas utrzymywania Konta; po jego zamknięciu pozostawiamy wyłącznie dane potrzebne do obowiązkowych rozliczeń, obsługi roszczeń i wykazania wykonania obowiązków, przez właściwy okres ustawowy lub przedawnienia. Usunięcie Konta można zlecić e-mailem; nie ma obecnie przycisku automatycznego usunięcia całego Konta.
Obrazy w galerii: dostępne przez 14 dni od utworzenia zadania. Pliki w naszym magazynie podlegają regule usuwania po 14 dniach od ich zapisu. Usuwanie działa cyklicznie, więc nie oznacza skasowania wszystkich kopii dokładnie w tej samej sekundzie.
Obrazy wejściowe w naszym magazynie: aplikacja zleca ich usunięcie po zakończeniu zadania, także po ostatecznym błędzie. Pozostałe pliki tymczasowe obejmuje reguła usuwania po 1 dniu od zapisu, wykonywana cyklicznie. Ponowne użycie własnego wyniku z galerii nie skraca retencji tego wyniku.
Opisy i rekordy generacji w naszej bazie: codzienne czyszczenie usuwa rekordy starsze niż 15 dni od utworzenia zadania; w normalnym cyklu może to potrwać do kolejnego uruchomienia, czyli około 16 dni od utworzenia. Ręczne usunięcie pozycji usuwa wcześniej jej rekord z aktywnej galerii i zleca usunięcie pliku.
Kopie u dostawcy modeli AI: 14 dni dla wyników i około 2 miesiące dla logów oraz rekordów zadań, zgodnie z deklaracją opisaną w pkt 5.
Dokumenty podatkowe: co do zasady do upływu terminu przedawnienia zobowiązania podatkowego, zwykle 5 lat od końca roku, w którym upłynął termin płatności podatku; termin może ulec przedłużeniu na podstawie przepisów.
Korespondencja i dane dotyczące roszczeń: przez czas potrzebny do zakończenia sprawy, a następnie do upływu mającego zastosowanie terminu przedawnienia, jeżeli zachowanie danych jest niezbędne do wykazania jej przebiegu.
Logi infrastruktury i kopie zapasowe: podlegają cyklom retencji usług hostingowych i bazodanowych. Nie mamy potwierdzonego jednego okresu obejmującego wszystkich dostawców; nie obiecujemy 90 dni dla wszystkich backupów ani 12 miesięcy dla wszystkich logów. Informacje dotyczące konkretnego zakresu można uzyskać e-mailem.

Usunięcie z galerii nie usuwa automatycznie kopii u dostawcy AI ani kopii pobranych przez Ciebie lub inne osoby. Pamięć podręczna przeglądarki i sieci CDN może przechowywać plik do wygaśnięcia lub wyczyszczenia. Przy żądaniu usunięcia danych sprawdzamy również te miejsca, w zakresie pozostającym pod naszą kontrolą.

9. Dostęp do obrazów i bezpieczeństwo

Stosujemy HTTPS, uwierzytelnianie Konta i kontrolę uprawnień do operacji w panelu. Galeria i zapisane obrazy nie są publiczne. Aplikacja pobiera plik przez własny adres po sprawdzeniu zalogowania oraz tego, czy użytkownik jest właścicielem obrazu albo administratorem.

Nie wykorzystujemy Twoich materiałów do trenowania własnych modeli. Dostawca modeli AI deklaruje, że nie używa danych wejściowych ani wyników do trenowania (pkt 5). OpenAI domyślnie nie używa danych API do trenowania modeli, o ile klient nie włączy ich udostępniania.

10. Twoje prawa

W przypadkach określonych w RODO możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz przeniesienia danych. Możesz wnieść sprzeciw wobec przetwarzania opartego na naszym uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją, a zgodę cofnąć w dowolnym momencie.

Napisz na czesc@narzedzie.ai. Odpowiadamy co do zasady w ciągu miesiąca; gdy przepisy pozwalają przedłużyć termin ze względu na złożoność lub liczbę żądań, poinformujemy Cię o tym i przyczynach w ciągu pierwszego miesiąca. Możemy poprosić o informacje niezbędne do potwierdzenia tożsamości. Usunięcie nie obejmuje danych, które musimy nadal przechowywać zgodnie z prawem.

Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych: https://uodo.gov.pl. RODO nie ogranicza powyższych praw do obywateli UE.

11. Moderacja i automatyczne decyzje

Automatyczna moderacja może odrzucić konkretną generację. W razie błędu możesz poprosić obsługę o sprawdzenie sprawy pod adresem czesc@narzedzie.ai. Nie stosujemy profilowania reklamowego ani automatycznych decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na użytkownika w rozumieniu art. 22 RODO.

12. Wiek i zmiany dokumentu

Aplikacja jest przeznaczona dla osób od 16. roku życia; osoby niepełnoletnie mogą korzystać z niej w zakresie dopuszczalnym przez prawo, w razie potrzeby za zgodą przedstawiciela ustawowego. Nie zamawiamy ani nie wymagamy danych dzieci. W przypadku otrzymania takich danych prosimy o kontakt w celu wyjaśnienia i usunięcia, jeżeli nie ma podstawy dalszego przetwarzania.

Aktualną wersję publikujemy pod adresem https://narzedzie.ai/polityka-prywatnosci. O istotnych zmianach dotyczących przetwarzania poinformujemy w Aplikacji lub e-mailem, a zgodę na nowy cel uzyskamy, jeżeli będzie wymagana.