Polityka prywatności

1. Dwie role, nie jedna

W części spraw jesteśmy administratorem danych, a w części - podmiotem przetwarzającym je na zlecenie Klienta. To rozróżnienie decyduje, do kogo kierować żądanie, więc stawiamy je na początku.

Administratorem jest Chmielewscy Sp. z o.o. z siedzibą w Olsztynie (10-691) przy ul. Edwarda Mroza 23a/43, NIP 7393907337 w zakresie: danych kontaktowych osób zawierających z nami umowę, korespondencji oraz danych technicznych służących bezpieczeństwu usługi (adres IP, identyfikator przeglądarki, diagnostyka błędów). Kontakt w sprawach danych: kuba@chmielewski.studio. Nie wyznaczyliśmy inspektora ochrony danych.

Podmiotem przetwarzającym jesteśmy w zakresie: kont osób, którym Klient nadał dostęp, dziennika ich działań w usłudze, zgłoszeń, obrazów strony Klienta i rozmów z asystentem AI w panelu. Administratorem tych danych jest Klient - to on decyduje, kto dostaje konto i po co. Przetwarzamy je na jego udokumentowane polecenie, na podstawie umowy powierzenia (art. 28 RODO).

Jeśli masz konto dlatego, że dał ci je pracodawca - żądania dotyczące swoich danych kieruj w pierwszej kolejności do niego. Każde żądanie, które trafi do nas, przekażemy mu bez zwłoki i pomożemy je wykonać.

2. Czego dotyczy ta polityka

Polityka obejmuje serwis strony.chmielewski.studio (logowanie, aktywacja konta, ekran zgody na dostęp asystenta, panel z czatem z asystentem AI) oraz sam serwer, z którym rozmawia asystent. Nie obejmuje strony Klienta - tam administratorem jest Klient i obowiązuje jego polityka.

3. Jakie dane przetwarzamy

• Konto - imię lub nazwa, adres e-mail oraz skrót hasła (argon2id). Hasła nie znamy i nie umiemy go odtworzyć.
• Sesja - token sesji, adres IP i identyfikator przeglądarki (user-agent) oraz czas ważności. Adres zapisujemy tu wprost, nie w postaci skrótu: biblioteka autoryzacji potrzebuje go do rozpoznania przejętej sesji.
• Licznik limitu tempa - klucz złożony z adresu IP i ścieżki żądania wraz z liczbą żądań. Chroni logowanie przed zgadywaniem haseł.
• Dostęp asystenta - który klient MCP dostał dostęp, w jakim zakresie i do kiedy, oraz zgoda wyrażona na ekranie zgody.
• Ostatnie użycie asystenta - chwila ostatniego wywołania usługi przez Twojego asystenta, z dokładnością do kilku minut. Razem z tym, czy asystent jest podłączony, widzi ją właściciel strony i Studio w zarządzaniu dostępami - po to, żeby wiedzieć, komu podłączenie się udało. Sam ślad nie mówi, co asystent robił.
• Członkostwo - rola i zakres językowy na danej stronie.
• Zaproszenia - adres, na który wysłano zaproszenie, i to, czy zostało użyte.
• Dziennik działań - kto, kiedy i co zrobił: logowania, odmowy dostępu, zapisy treści (z identyfikatorem commita), odtworzenia wersji roboczej, zamówione budowania, zrzuty, publikacje i wycofania. Dziennika nie da się z poziomu usługi zmienić ani usunąć.
• Zgłoszenia do Studia - temat, treść, której sekcji dotyczą i kto był obecny. O przyjęciu zgłoszenia i o zmianach jego stanu informujemy mailem osobę, która je złożyła.
• Wyceny i decyzje - zakres, cena, termin i ważność wyceny oraz kto i kiedy ją zaakceptował albo odrzucił (z powodem, jeśli został podany) i wersja regulaminu z chwili akceptacji. Wycenę dostają mailem właściciele strony i osoba, która złożyła zgłoszenie.
• Rozmowy w panelu - treść wiadomości wpisanych do czatu z asystentem AI, odpowiedzi asystenta i wyniki narzędzi, które wywołał (w tym odczytane fragmenty strony Klienta). Rozmowę widzi wyłącznie jej autor. Studio widzi liczbę wiadomości i koszt na stronę, nie treść.
• Klucz API Klienta - gdy Klient wybrał rozliczenie czatu na własnym kluczu: klucz zaszyfrowany kluczem trzymanym poza bazą, pokazywany wyłącznie po czterech ostatnich znakach.
• Korespondencja - to, co napiszesz do nas mailem.
• Diagnostyka - błędy i pomiary wydajności serwera.

Do diagnostyki nie wysyłamy treści żądań ani nagłówków, a ślady wydajnościowe próbkujemy w jednej dziesiątej. Nie zbieramy danych o zachowaniu na stronie, nie profilujemy, a telemetria użycia biblioteki autoryzacji jest wyłączona.

4. Obrazy strony Klienta

Podgląd tworzy obraz fragmentu strony Klienta i oddaje go w rozmowie razem z linkiem. Obrazów nie przechowujemy - powstają na żądanie i nie są u nas zapisywane. W dzienniku zostaje sam fakt wykonania zrzutu, czas i to, której sekcji dotyczył.

Link do podglądu działa bez logowania - kto go ma, ten zobaczy roboczą wersję strony. Jest to hasło do oglądania, nie do zmieniania. Traktuj go jak treść niepubliczną i nie przekazuj dalej bez potrzeby.

5. Co trafia do repozytorium Klienta

Każdy zapis tworzy w repozytorium Klienta wpis historii (commit), którego autorem jest osoba wprowadzająca zmianę - z imieniem i adresem e-mail - a wykonawcą aplikacja usługi. Robimy tak celowo: w historii strony ma być widać, kto zmienił które zdanie.

Historia repozytorium jest trwała. Usunięcie konta w usłudze nie usuwa danych autora z wpisów, które już powstały - administratorem repozytorium jest Klient i to on decyduje o jego zawartości. Repozytoria stron obsługiwanych przez usługę są prywatne.

Wpis historii niesie też informację, że zmiana przyszła kanałem rozmowy z asystentem. Przy zmianie przez Twojego asystenta zapisujemy fakt, który znamy - kanał - a nie domysł o tym, czy zdanie ułożył człowiek, czy model. Przy zmianie z czatu w panelu wiemy więcej, bo mamy Twoje wiadomości: tekst, który wpisałeś dosłownie, jest oznaczony jako Twój, a każdy inny - zredagowany albo przetłumaczony przez asystenta - jako wygenerowany przez system AI. To oznaczenie jest maszynowo czytelne i zostaje w historii repozytorium.

6. Czat z asystentem AI w panelu

W panelu możesz rozmawiać z asystentem AI usługi zamiast z własnym. Jest to system AI, którego dostawcą jesteśmy my, oparty na modelu Claude firmy Anthropic - okno czatu mówi o tym przed pierwszą wiadomością, a każda odpowiedź jest podpisana jako odpowiedź asystenta AI. Czat włączamy na stronie dopiero po powiadomieniu Klienta o nowym odbiorcy danych i po upływie terminu na sprzeciw.

Żeby wygenerować odpowiedź, treść rozmowy i odczytane na jej potrzeby fragmenty strony trafiają do Anthropic Ireland, Limited. Anthropic usuwa je ze swoich systemów w ciągu 30 dni i nie używa ich do trenowania modeli. Zrzuty podglądu strony ogląda tylko człowiek w oknie czatu - do modelu nie trafiają.

Czat działa w jednym z dwóch rozliczeń, które wybiera Klient: w ramach dziennego budżetu studia (nasz klucz u Anthropic) albo na własnym kluczu API Klienta. Na własnym kluczu obowiązują dodatkowo warunki i ustawienia konta Klienta u Anthropic, w tym jego ustawienia retencji. Klucz przechowujemy zaszyfrowany kluczem spoza bazy, pokazujemy po czterech ostatnich znakach, a Klient może go usunąć jednym kliknięciem, wracając na budżet studia.

Asystent nie publikuje niczego sam. Każda zmiana jest pokazana w czacie z podsumowaniem i wchodzi na stronę dopiero po Twoim zatwierdzeniu w kolejnej wiadomości. Tekst, który asystent napisał albo przetłumaczył, jest oznaczony jako wygenerowany przez system AI w historii repozytorium strony (patrz wyżej).

7. Podstawy prawne

• Konto, sesja i korzystanie z usługi - art. 6 ust. 1 lit. b RODO (umowa) w zakresie, w jakim jesteśmy administratorem; poza tym art. 28 RODO (przetwarzanie na polecenie Klienta).
• Bezpieczeństwo - adres IP, licznik limitu tempa i dziennik działań - art. 6 ust. 1 lit. f RODO. Prawnie uzasadnionym interesem jest ochrona kont przed przejęciem i rozliczalność zmian na cudzej stronie.
• Diagnostyka błędów - art. 6 ust. 1 lit. f RODO (utrzymanie działającej usługi).
• Rozmowy w panelu - art. 28 RODO (przetwarzanie na polecenie Klienta); liczniki użycia czatu bez treści (wiadomości, tokeny, koszt na stronę i dzień) - art. 6 ust. 1 lit. b RODO (rozliczenie umowy).
• Korespondencja - art. 6 ust. 1 lit. f RODO, a gdy dotyczy umowy - lit. b.
• Dokumentacja księgowa - art. 6 ust. 1 lit. c RODO.

8. Odbiorcy danych

Korzystamy z dostawców, którzy przetwarzają dane wyłącznie na nasze polecenie, na podstawie umów powierzenia:

Poza tym dane możemy ujawnić podmiotom uprawnionym na podstawie przepisów prawa.

9. Przekazywanie poza EOG

Baza danych usługi, diagnostyka i kopie zapasowe leżą w Unii Europejskiej. Vercel, GitHub i Resend to podmioty z USA, które mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym - na podstawie standardowych klauzul umownych i certyfikacji Data Privacy Framework. Kopię zabezpieczeń udostępniamy na prośbę wysłaną na kuba@chmielewski.studio.

Treść rozmów z czatu w panelu przetwarza Anthropic Ireland, Limited na serwerach w Stanach Zjednoczonych - na podstawie standardowych klauzul umownych z umowy powierzenia z tym dostawcą. Przetwarzania wyłącznie w Europejskim Obszarze Gospodarczym nie da się u niego wymusić, dlatego czat jest włączany na stronie dopiero po powiadomieniu Klienta.

Repozytorium strony leży na GitHubie z wyboru Klienta - to jego dostawca hostingu kodu, nie nasz.

10. Jak długo przechowujemy dane

• Konto i członkostwo - przez czas trwania umowy z Klientem, a po jej zakończeniu do 30 dni. Na wcześniejszą prośbę Klienta usuwamy od razu.
• Sesje - wygasają po 14 dniach od ostatniego użycia.
• Licznik limitu tempa - do końca okna limitu: minuta, a przy rejestracji klienta asystenta - godzina.
• Dziennik działań - 24 miesiące. Krócej się nie da: jest to jedyny ślad tego, kto zmienił treść na cudzej stronie.
• Zgłoszenia - do zamknięcia sprawy, a następnie przez okres przedawnienia roszczeń.
• Diagnostyka błędów - zgodnie z retencją planu u dostawcy, domyślnie 90 dni.
• Rozmowy w panelu - każdą wiadomość usuwamy po 90 dniach, rozmowy bez wiadomości od razu. U dostawcy modelu - do 30 dni. Liczniki użycia czatu bez treści - przez czas trwania umowy z Klientem i okres przedawnienia roszczeń.
• Klucz API Klienta - do chwili, gdy Klient go usunie albo czat na stronie zostanie wyłączony.
• Korespondencja - przez czas obsługi sprawy i okres przedawnienia roszczeń.
• Wpisy historii w repozytorium Klienta - trwale, u Klienta.
• Kopie zapasowe - 30 dni. Usunięcie danych na Twoje żądanie działa od razu w systemie, z którego korzystasz; z kopii dane wypadają najpóźniej po 30 dniach, bo kopia z natury utrwala stan sprzed usunięcia. W tym czasie sięgamy po nią wyłącznie po to, żeby odtworzyć usługę po awarii.

11. Twoje prawa

Masz prawo dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Napisz na kuba@chmielewski.studio; jeśli administratorem jest Twój pracodawca, przekażemy mu żądanie i pomożemy je wykonać.

Przysługuje Ci też prawo skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

12. Dobrowolność podania danych

Podanie adresu e-mail i ustalenie hasła jest niezbędne do założenia konta - bez konta nie da się korzystać z usługi. Adres IP i identyfikator przeglądarki zapisują się automatycznie przy logowaniu.

13. Brak profilowania i decyzji automatycznych

Nie podejmujemy wobec Ciebie decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany ani nie stosujemy profilowania w rozumieniu art. 22 RODO.

14. Bezpieczeństwo

• Cała komunikacja idzie po HTTPS.
• Hasła przechowujemy jako skróty argon2id, nigdy jawnie.
• Serwer łączy się z bazą rolą ograniczoną politykami wierszowymi, a nie rolą, która je omija. Tożsamość osoby ustawiana jest na czas jednej operacji, więc dane innego Klienta są poza zasięgiem zapytania.
• Uprawnienia sprawdzamy przy każdym poleceniu, nie tylko przy logowaniu.
• Nasza aplikacja w repozytorium Klienta ma zakres jednego repozytorium, a jej dostęp opiera się na tokenach ważnych godzinę, nie na stałych kluczach.
• Sekrety trzymamy wyłącznie po stronie serwera, poza kodem.
• Kopie zapasowe robimy co noc i trzymamy je u innego dostawcy niż ten, u którego stoi oryginał - w Unii Europejskiej. Są zaszyfrowane kluczem, którego nie ma ani w kopii, ani u dostawcy magazynu, więc dostęp do samego magazynu nie daje dostępu do danych.

15. Zmiany polityki

Politykę aktualizujemy, gdy zmienią się nasze procesy albo przepisy. Aktualna wersja jest zawsze pod tym adresem, z numerem wersji i datą wejścia w życie na górze strony.