Polityka Prywatności

§ 1. Postanowienia ogólne

1. Administratorem danych osobowych Użytkowników serwisu Smart-Copy.ai (dalej: "Serwis") dostępnego pod adresem https://www.smart-copy.ai jest eCopywriting.pl Karol Leszczyński, Papowo Biskupie 119/18, Polska, NIP: 9562203948, REGON: 340627879 (dalej: "Administrator").
2. Kontakt z Administratorem w sprawach ochrony danych osobowych możliwy jest pod adresem email: contact@smart-copy.ai
3. Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych Użytkowników Serwisu zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO).

§ 2. Zakres zbieranych danych osobowych

2.1. Dane rejestracyjne

W zależności od wybranej metody rejestracji, Administrator przetwarza:

• Rejestracja przez formularz:
  • Adres email (obowiązkowy)
  • Hasło (w formie zaszyfrowanej)
  • Imię (opcjonalne)
  • Data utworzenia konta
• Rejestracja przez Google (OAuth 2.0):
  • Adres email z konta Google
  • Imię i nazwisko (z profilu Google)
  • Identyfikator Google User ID
  • Zdjęcie profilowe (jeśli udostępnione)

2.2. Dane dotyczące korzystania z Serwisu

• Historia zamówień (tematy, długość, język tekstów)
• Wygenerowane treści
• Przesłane przez Użytkownika pliki źródłowe (PDF, DOC, DOCX)
• Linki URL wskazane jako źródła
• Wytyczne i preferencje dotyczące generowanych treści
• Frazy SEO i linki do umieszczenia w tekstach
• Historia transakcji i doładowań konta
• Saldo Środków na koncie

2.3. Dane płatności

• Przetwarzane przez Stripe Inc.:
  • Dane karty płatniczej (przechowywane przez Stripe)
  • Kwota transakcji
  • Data i czas transakcji
  • Status płatności
• Administrator nie ma dostępu do pełnych danych karty płatniczej - dane te są przetwarzane wyłącznie przez Stripe zgodnie z ich polityką prywatności.

2.4. Dane techniczne

• Adres IP
• Typ przeglądarki i wersja
• System operacyjny
• Data i czas wizyty
• Odwiedzone podstrony
• Źródło wejścia (np. wyszukiwarka, link bezpośredni)
• Lokalizacja geograficzna (przybliżona, na podstawie IP)

§ 3. Cele i podstawy prawne przetwarzania danych

§ 4. Odbiorcy danych osobowych

W związku ze świadczeniem usług, Administrator może przekazywać dane osobowe następującym kategoriom odbiorców:

4.1. Podmioty przetwarzające

• Stripe Inc. (USA) – obsługa płatności kartą, BLIK, PayPal, Google Pay, Apple Pay. Stripe posiada certyfikat PCI DSS Level 1. Dane przekazywane na podstawie Standardowych Klauzul Umownych UE.
• Anthropic PBC (USA) – dostawca modelu AI Claude wykorzystywanego do generowania treści. Przetwarzane są wyłącznie dane niezbędne do generowania tekstu (temat, wytyczne, źródła). Anthropic nie przechowuje długoterminowo zapytań użytkowników.
• Amazon Web Services (AWS) (USA/Europa) – hosting aplikacji, przechowywanie plików użytkownika (S3), wysyłka emaili (SES). Dane przechowywane w regionie EU (eu-north-1 Stockholm).
• Vercel Inc. (USA) – hosting frontendu aplikacji. Dane przekazywane na podstawie Standardowych Klauzul Umownych UE.
• Google LLC (USA) – uwierzytelnianie OAuth 2.0 (w przypadku logowania przez Google), Google Analytics. Dane przekazywane na podstawie Standardowych Klauzul Umownych UE.
• Cloudflare Inc. (USA) – CDN, ochrona przed atakami DDoS, optymalizacja wydajności.

4.2. Inne podmioty

• Dostawcy usług księgowych i prawnych (w zakresie niezbędnym do prawidłowego prowadzenia działalności)
• Organy publiczne i instytucje państwowe – wyłącznie w przypadku obowiązku prawnego

§ 5. Okres przechowywania danych

• Dane konta: Do czasu usunięcia konta przez Użytkownika lub dezaktywacji przez Administratora w przypadku naruszenia Regulaminu.
• Historia zamówień: Przez okres przedawnienia roszczeń wynikających z umowy (6 lat od końca roku, w którym wykonano świadczenie).
• Dane księgowe i transakcji: 5 lat od końca roku podatkowego, w którym powstał obowiązek podatkowy (zgodnie z Ordynacją podatkową).
• Pliki źródłowe przesłane przez Użytkownika: Do czasu usunięcia przez Użytkownika lub przez okres niezbędny do realizacji zamówienia + 30 dni (backup).
• Dane do marketingu bezpośredniego: Do czasu wycofania zgody lub zgłoszenia sprzeciwu.
• Logi systemowe: Do 12 miesięcy (w celach bezpieczeństwa i diagnostycznych).

§ 6. Prawa osób, których dane dotyczą

Zgodnie z RODO, Użytkownik ma prawo do:

1. Dostępu do danych – pobrania kopii przetwarzanych danych osobowych (Art. 15 RODO)
2. Sprostowania danych – poprawy nieprawidłowych lub uzupełnienia niekompletnych danych (Art. 16 RODO)
3. Usunięcia danych („prawo do bycia zapomnianym") – w przypadkach przewidzianych w Art. 17 RODO, np. po wycofaniu zgody (Art. 17 RODO)
4. Ograniczenia przetwarzania – w przypadkach przewidzianych w Art. 18 RODO, np. gdy użytkownik kwestionuje prawidłowość danych
5. Przenoszenia danych – otrzymania danych w ustrukturyzowanym formacie (CSV/JSON) i przeniesienia ich do innego administratora (Art. 20 RODO)
6. Sprzeciwu wobec przetwarzania – w szczególności wobec przetwarzania w celach marketingowych (Art. 21 RODO)
7. Wniesienia skargi do organu nadzorczego (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa)

§ 7. Bezpieczeństwo danych

Administrator stosuje następujące środki techniczne i organizacyjne w celu ochrony danych osobowych:

• Szyfrowanie:
  • Połączenie HTTPS (TLS 1.3) na całej stronie
  • Hasła przechowywane w formie zahashowanej (bcrypt)
  • Tokeny JWT do autoryzacji
• Kontrola dostępu:
  • Uwierzytelnianie dwuskładnikowe (2FA) dostępne dla użytkowników
  • Logowanie administratorów z ograniczeniem IP
  • Automatyczne wylogowanie po okresie nieaktywności
• Monitoring i logi:
  • Monitorowanie prób nieautoryzowanego dostępu
  • Logi dostępu do danych osobowych
  • Regularne audyty bezpieczeństwa
• Backup:
  • Automatyczne kopie zapasowe bazy danych (co 24h)
  • Szyfrowane przechowywanie backupów
  • Plan odzyskiwania po awarii (Disaster Recovery)
• Ochrona przed atakami:
  • Firewall aplikacyjny (WAF)
  • Ochrona przed DDoS (Cloudflare)
  • Rate limiting na API
  • Walidacja i sanityzacja danych wejściowych

§ 8. Pliki Cookies

8.1. Czym są pliki cookies?

Pliki cookies to małe pliki tekstowe zapisywane na urządzeniu Użytkownika podczas korzystania z Serwisu. Cookies umożliwiają rozpoznanie urządzenia i dostosowanie parametrów witryny.

8.2. Rodzaje wykorzystywanych cookies

• Cookies niezbędne (sesyjne):
  • Utrzymanie sesji zalogowanego użytkownika
  • Przechowywanie tokenu autoryzacyjnego
  • Zabezpieczenie przed CSRF
  • Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy)
• Cookies preferencji:
  • Zapamiętanie preferencji językowych
  • Zapamiętanie trybu ciemnego/jasnego
  • Podstawa prawna: Zgoda użytkownika (Art. 6 ust. 1 lit. a RODO)
• Cookies analityczne (Google Analytics):
  • Analiza ruchu na stronie
  • Statystyki odwiedzin
  • Analiza zachowań użytkowników
  • Podstawa prawna: Zgoda użytkownika (Art. 6 ust. 1 lit. a RODO)

8.3. Zarządzanie cookies

Użytkownik może w każdej chwili zmienić ustawienia cookies w przeglądarce lub skorzystać z panelu zgód cookies dostępnego w Serwisie. Wyłączenie cookies niezbędnych może uniemożliwić korzystanie z pełnej funkcjonalności Serwisu.

Szczegółowe informacje o zarządzaniu cookies dostępne są w Polityce Cookies .

§ 9. Zewnętrzne usługi analityczne

9.1. Google Analytics

Serwis wykorzystuje Google Analytics do analizy ruchu i zachowań użytkowników. Google Analytics przetwarza:

• Adres IP (anonimizowany)
• Dane o urządzeniu i przeglądarce
• Strony odwiedzone i czas spędzony
• Źródło wejścia na stronę

Więcej informacji: Polityka Prywatności Google

9.2. Google reCAPTCHA

W celu ochrony przed spamem i botami, Serwis wykorzystuje Google reCAPTCHA. reCAPTCHA analizuje interakcje użytkownika ze stroną i przetwarza dane takie jak: adres IP, ruchy myszy, czas spędzony na stronie.

Więcej informacji: Polityka Prywatności Google

§ 10. Przekazywanie danych poza EOG

W związku z korzystaniem z usług dostawców mających siedzibę w USA (Stripe, AWS, Anthropic, Google, Vercel, Cloudflare), dane osobowe mogą być przekazywane poza Europejski Obszar Gospodarczy (EOG).

Zabezpieczenia stosowane przy przekazywaniu danych:

• Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską
• Data Privacy Framework (DPF) – certyfikat potwierdzający zgodność z europejskimi standardami ochrony danych
• Dodatkowe środki zabezpieczające: szyfrowanie end-to-end, kontrola dostępu, audyty bezpieczeństwa

Lista podmiotów z USA, którym przekazywane są dane, oraz zastosowane zabezpieczenia znajdują się w § 4 niniejszej Polityki.

§ 11. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie stosuje zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywołują wobec Użytkowników skutki prawne lub w podobny sposób istotnie wpływają na ich sytuację (zgodnie z Art. 22 RODO).

Wygenerowane treści są tworzone przez AI na podstawie wytycznych Użytkownika, ale ostateczna decyzja o ich wykorzystaniu należy zawsze do Użytkownika.

§ 12. Dane dzieci

Serwis nie jest przeznaczony dla osób poniżej 18. roku życia. Administrator nie zbiera świadomie danych osobowych osób poniżej 18. roku życia.

W przypadku stwierdzenia, że dane zostały zebrane od osoby poniżej 18. roku życia bez zgody rodziców/opiekunów prawnych, Administrator niezwłocznie usunie te dane.

§ 13. Zmiany w Polityce Prywatności

1. Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności.
2. O istotnych zmianach Użytkownicy zostaną poinformowani z wyprzedzeniem minimum 14 dni poprzez:
   • Komunikat po zalogowaniu do Serwisu
   • Email na adres przypisany do konta
3. Data ostatniej aktualizacji Polityki Prywatności znajduje się na dole dokumentu.
4. Kontynuowanie korzystania z Serwisu po wprowadzeniu zmian oznacza ich akceptację.