Polityka prywatności

Data wejścia w życie: 2026-09-18

1. Administrator danych

Administratorem danych osobowych jest PBEODEV Piotr Ożóg, Leśna 329, 37-204 Gorzyce, Polska, NIP PL7941797603 — dalej „Administrator”. W sprawach danych osobowych można kontaktować się pod adresem support@artiogen.ai. Inspektor ochrony danych nie został wyznaczony.

Polityka obejmuje stronę artiogen.ai, aplikację app.artiogen.ai, Konto, płatności, korespondencję i Generacje. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

2. Role w przetwarzaniu

Administrator decyduje o celach i sposobach przetwarzania danych Konta, bezpieczeństwa, rozliczeń, obsługi oraz treści potrzebnych do świadczenia Serwisu. Zewnętrzni providerzy Modeli, dostawcy infrastruktury i poczty co do zasady przetwarzają dane na polecenie Administratora, w zakresie wynikającym z umowy i wybranej usługi.

Paddle działa jako Merchant of Record i odrębny administrator danych kupującego. Google działa jako odrębny administrator w zakresie własnej usługi logowania. Właściciel konkretnego Modelu może działać jako dalszy podmiot przetwarzający albo odrębny administrator zgodnie ze swoimi warunkami.

3. Jakie dane przetwarzamy

• Konto: adres e-mail, skrót hasła, nazwa wyświetlana, język, status Konta, data weryfikacji adresu i data ostatniego logowania.
• Logowanie zewnętrzne: nazwa providera logowania, jego trwały identyfikator użytkownika, adres e-mail, status jego weryfikacji oraz nazwa przekazana przy logowaniu.
• Sesje i bezpieczeństwo: skrót tokenu sesji, identyfikator sesji, solony skrót adresu IP, informacje przeglądarki i urządzenia, czas i wynik logowania, próby dostępu, zdarzenia bezpieczeństwa oraz historia działań na Koncie.
• MFA: status drugiego składnika, zaszyfrowany sekret TOTP, skróty kodów odzyskiwania, daty użycia oraz krótkotrwałe wyzwania logowania. Administrator nie przechowuje kodów TOTP ani kodów odzyskiwania w postaci jawnej.
• Generacje i materiały: prompty, przesłane pliki, parametry, wybrany Model, Inputy, Outputy, miniatury, metadane techniczne plików, tagi, czas, wynik i koszt Generacji. Materiał może zawierać dane osobowe osób przedstawionych lub opisanych przez Użytkownika.
• Rozliczenia: Plan, saldo i pule Kredytów, transakcje, wykorzystanie, identyfikator klienta i subskrypcji u operatora płatności, status oraz zdarzenia płatnicze. Administrator nie otrzymuje pełnego numeru karty ani kodu zabezpieczającego.
• Zgody i umowy: wersja Regulaminu, czas akceptacji oraz dane techniczne potrzebne do wykazania jej złożenia.
• Korespondencja: treść zgłoszeń, reklamacji i innych wiadomości oraz dane niezbędne do ich obsługi.

4. Skąd pochodzą dane

Dane pochodzą od Użytkownika, z jego urządzenia i aktywności w Serwisie, od Google przy wybraniu logowania Google, od Paddle w związku z płatnością oraz od providerów Modeli podczas realizacji Generacji. Dane osób trzecich mogą pochodzić z Inputu przekazanego przez Użytkownika. Użytkownik powinien przekazywać takie dane wyłącznie, gdy ma do tego odpowiednią podstawę prawną.

5. Cele i podstawy prawne

• Utworzenie i obsługa Konta, uwierzytelnienie, wykonanie Generacji, przechowanie materiałów, prowadzenie Planu i Kredytów — art. 6 ust. 1 lit. b RODO, wykonanie umowy.
• Rozliczenia, dokumentacja księgowa, podatkowa i odpowiedzi organom — art. 6 ust. 1 lit. c RODO, obowiązek prawny.
• Ochrona Serwisu i Kont, przeciwdziałanie oszustwom i nadużyciom, egzekwowanie Regulaminu, ustalanie, obrona i dochodzenie roszczeń — art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes.
• Obsługa reklamacji, zgłoszeń naruszeń i praw osób — art. 6 ust. 1 lit. b, c lub f RODO zależnie od sprawy.
• Wiadomości niezbędne do działania Konta, bezpieczeństwa, płatności i istotnych zmian usługi — art. 6 ust. 1 lit. b, c lub f RODO. Administrator nie prowadzi obecnie newslettera marketingowego.

Podanie danych Konta i danych potrzebnych do Generacji jest dobrowolne, lecz bez nich wykonanie odpowiedniej funkcji nie jest możliwe. Administrator nie prosi o dane szczególnych kategorii. Użytkownik nie może umieszczać ich w Inputach, chyba że Administrator wyraźnie dopuści daną funkcję i wskaże odpowiednią podstawę oraz zabezpieczenia.

6. Odbiorcy danych

Dane mogą być również ujawnione doradcom prawnym i księgowym, ubezpieczycielom, audytorom, nabywcy przedsiębiorstwa oraz organom publicznym, gdy istnieje podstawa prawna. Administrator nie sprzedaje danych osobowych ani nie udostępnia ich podmiotom trzecim do ich marketingu.

7. Providerzy AI, retencja i trenowanie

Trasa Generacji może przejść przez fal albo Replicate oraz właściciela wybranego Modelu. Provider podstawowy może zostać zastąpiony zapasowym przy awarii. Oznacza to, że przed wykonaniem Generacji Input może zostać przekazany więcej niż jednemu providerowi tylko wtedy, gdy pierwsze zlecenie jednoznacznie nie zostało przyjęte; w stanie niepewnym Serwis nie powinien wysyłać drugiego płatnego zlecenia automatycznie.

• fal: publiczne warunki API stanowią, że fal nie używa Client Content do tworzenia ani trenowania swoich produktów lub usług, z wyjątkiem Modeli albo zewnętrznych API oznaczonych jako wyłączone z ochrony enterprise. fal domyślnie może przechowywać payloady Inputu i Outputu; okres i możliwość usunięcia zależą od ustawień, rodzaju pliku i warunków Modelu.
• Replicate: dokumentacja deklaruje, że dane predykcji utworzonej przez API — parametry, wartości i pliki Inputu i Outputu oraz logi — są domyślnie usuwane po godzinie. Regulamin pozwala przetwarzać je w celu wykonania usługi, trenowania modelu pochodnego wyraźnie zleconego przez klienta oraz tworzenia danych zagregowanych i zanonimizowanych. Dodatkowe warunki właściciela Modelu mogą mieć zastosowanie.

Administrator nie używa Inputów ani Outputów do trenowania własnych modeli. Nie może jednak zagwarantować bezwarunkowego zakazu trenowania lub identycznej retencji u każdego zewnętrznego właściciela Modelu. Dlatego Użytkownik nie powinien przekazywać danych wrażliwych, tajemnic ani danych osób trzecich bez odpowiedniej podstawy i oceny ryzyka.

8. Przekazywanie danych poza EOG

Część odbiorców przetwarza dane w Stanach Zjednoczonych lub innych krajach poza Europejskim Obszarem Gospodarczym. Zależnie od podmiotu transfer opiera się na decyzji Komisji Europejskiej o odpowiednim stopniu ochrony, certyfikacji w EU-U.S. Data Privacy Framework, standardowych klauzulach umownych Komisji Europejskiej, wiążących regułach korporacyjnych albo innym mechanizmie dopuszczonym przez prawo.

• fal udostępnia DPA obejmujący standardowe klauzule umowne i podprocesorów.
• Cloudflare korzysta z EU-U.S. Data Privacy Framework i zabezpieczeń umownych.
• Grupa Salesforce publikuje wiążące reguły korporacyjne i standardowe klauzule umowne.
• Wielka Brytania jest objęta decyzją Komisji Europejskiej o odpowiednim stopniu ochrony.
• Publiczne dokumenty Replicate nie wskazują obecnie mechanizmu transferu danych z EOG ani publicznego DPA dla zwykłego konta API. Trasa obejmująca Replicate może być udostępniona Użytkownikowi z EOG dopiero po zapewnieniu właściwych warunków powierzenia i podstawy transferu. Sama informacja w Polityce ich nie zastępuje.

Kopię zastosowanych zabezpieczeń można uzyskać, kontaktując się z support@artiogen.ai, z zastrzeżeniem ochrony informacji poufnych.

9. Jak długo przechowujemy dane

• Dane Konta — przez czas trwania umowy, a po jej zakończeniu do zamknięcia rozliczeń i roszczeń.
• Inputy, Outputy i materiały w magazynie Administratora — przez czas potrzebny do udostępniania biblioteki Użytkownikowi, a po zweryfikowanym żądaniu usunięcia do zakończenia procesu usuwania z aktywnych systemów. Obecnie trwałe usunięcie jest obsługiwane na wniosek przez support@artiogen.ai.
• Dane u providerów Modeli — według punktu 7 oraz warunków konkretnego Modelu; okres może być krótszy albo dłuższy niż w magazynie Administratora.
• Dane rozliczeniowe i księgowe — przez okres wymagany prawem podatkowym i rachunkowym.
• Sesje i tokeny — do wygaśnięcia, zużycia albo odwołania. Skróty zużytych kodów odzyskiwania mogą pozostać jako zapis bezpieczeństwa do wyłączenia MFA albo usunięcia Konta.
• Dzienniki audytu i zdarzenia bezpieczeństwa — przez okres potrzebny do wykrywania nadużyć, wyjaśniania incydentów i obrony roszczeń, ustalany według wagi zdarzenia i okresu przedawnienia.
• Korespondencja — do zakończenia sprawy, a następnie przez okres potrzebny do obrony roszczeń.

Dane mogą pozostać dłużej, gdy wymaga tego prawo, zabezpieczenie dowodu, spór lub polecenie organu. Kopie zapasowe są usuwane albo nadpisywane zgodnie z cyklem właściwym dla użytej infrastruktury. Usunięte dane nie są przywracane do zwykłego użycia, chyba że jest to niezbędne do odtworzenia po awarii, wykonania obowiązku prawnego albo zabezpieczenia roszczenia.

10. Prawa osoby, której dane dotyczą

Osobie przysługuje prawo dostępu, uzyskania kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Jeżeli podstawą jest zgoda, można ją wycofać bez wpływu na wcześniejsze przetwarzanie.

Wniosek można wysłać na support@artiogen.ai. Administrator może poprosić o informacje potrzebne do potwierdzenia tożsamości. Odpowiada bez zbędnej zwłoki, co do zasady w ciągu miesiąca; termin może zostać przedłużony w przypadkach przewidzianych prawem. Niektóre prawa podlegają ustawowym ograniczeniom, o których Administrator poinformuje przy odpowiedzi.

Osoba może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych albo organu nadzorczego w państwie swojego zwykłego pobytu, miejsca pracy lub domniemanego naruszenia.

11. Ciasteczka i pamięć urządzenia

Statyczna strona artiogen.ai nie używa ciasteczek analitycznych ani reklamowych i nie ładuje zewnętrznych skryptów śledzących. Kod danych strukturalnych na stronie nie śledzi użytkownika.

Aplikacja app.artiogen.ai używa wyłącznie mechanizmów niezbędnych do sesji, ochrony przed CSRF, przejściowego stanu logowania Google, wyzwania MFA i preferencji języka. Nie wymagają one zgody, ponieważ są konieczne do żądanej funkcji lub bezpieczeństwa. Checkout może załadować skrypt Paddle; w tym zakresie Paddle stosuje własne mechanizmy zgodnie ze swoją polityką.

12. Bezpieczeństwo

Administrator stosuje m.in. HTTPS, haszowanie haseł, skróty tokenów i adresów IP, szyfrowanie sekretów MFA, ograniczenia dostępu, prywatny magazyn plików, krótkotrwałe podpisane adresy, dzienniki audytowe i kontrolę uprawnień. Żaden system nie daje jednak bezwzględnej gwarancji bezpieczeństwa. Podejrzenie podatności lub naruszenia należy zgłosić na support@artiogen.ai bez publicznego ujawniania danych innych osób.

13. Automatyczne decyzje i moderacja

Serwis może automatycznie odrzucić Input, ograniczyć częstotliwość działań, wybrać trasę providera albo oznaczyć zdarzenie jako ryzykowne. Automatyzacja służy wykonaniu umowy i bezpieczeństwu. Nie jest wykorzystywana do oceny zdolności kredytowej, zatrudnienia ani innych decyzji wywołujących wobec Użytkownika skutki prawne podobnej wagi. Istotna blokada Konta może zostać zakwestionowana przez kontakt na support@artiogen.ai.

14. Zmiany Polityki

Polityka może się zmienić, gdy zmienia się prawo, Serwis, dostawca albo sposób przetwarzania. Po rozpoczęciu świadczenia usługi klientom o istotnej zmianie Administrator informuje pocztą elektroniczną i w Serwisie co najmniej 14 dni wcześniej, chyba że prawo lub pilne bezpieczeństwo wymaga innego terminu. Poprzednie wersje pozostają dostępne pod datowanymi adresami.