Polityka prywatności

I. Informacje ogólne

Niniejsza Polityka prywatności określa zasady przetwarzania i ochrony danych osobowych osób korzystających z serwisu internetowego dostępnego pod adresem trzeciareka.ai (dalej: „Serwis”).

Administratorem danych osobowych jest Innocy P.S.A. z siedzibą w Warszawie, ul. Leśny Potok 20, 03-289 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001112552, NIP 5243010455, REGON 528987256, adres e-mail: leszek.giza@innocy.ai, telefon: +48 516 210 516 (dalej: „Administrator”). Marka „Trzecia Ręka AI” jest nazwą, pod którą Administrator prowadzi działalność wdrożeniową i szkoleniową w obszarze sztucznej inteligencji.

Administrator przywiązuje szczególną wagę do ochrony prywatności osób korzystających z Serwisu i z należytą starannością dobiera oraz stosuje środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych - w tym przed udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem prawa oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Administrator nie wyznaczył inspektora ochrony danych. We wszystkich sprawach dotyczących danych osobowych można kontaktować się bezpośrednio z Administratorem (sekcja XII).

II. Podstawy prawne przetwarzania

Dane osobowe są przetwarzane zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: „RODO”), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz - w zakresie plików cookies i podobnych technologii - ustawą z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej.

W zależności od celu dane są przetwarzane na podstawie:

• art. 6 ust. 1 lit. a) RODO - zgody osoby, której dane dotyczą (wysyłka raportu i kontakt w sprawie wdrożeń AI, statystyki odwiedzin);
• art. 6 ust. 1 lit. b) RODO - niezbędności do podjęcia działań na żądanie osoby przed zawarciem umowy lub do wykonania umowy (rezerwacja rozmowy, odpowiedź na zapytanie o współpracę);
• art. 6 ust. 1 lit. c) RODO - obowiązku prawnego ciążącego na Administratorze (np. rozliczalność wyrażonych zgód);
• art. 6 ust. 1 lit. f) RODO - prawnie uzasadnionego interesu Administratora: zapewnienia bezpieczeństwa Serwisu, obsługi korespondencji, dochodzenia i obrony przed roszczeniami.

III. Cele, zakres i okresy przetwarzania

Administrator przetwarza dane osobowe w związku z następującymi funkcjami Serwisu:

1. Test „Mapa AI” oraz wysyłka wyniku i raportu

Test składa się z czternastu ekranów: pytania o wielkość firmy, dwunastu pytań o sposób korzystania ze sztucznej inteligencji w firmie oraz pytania o to, kto decyduje o wyborze narzędzi. Wypełnienie testu i zobaczenie wyniku nie wymaga podania jakichkolwiek danych: odpowiedzi są przetwarzane w przeglądarce osoby korzystającej, a wynik wyświetla się od razu na ekranie.

Jeżeli osoba korzystająca poprosi o przesłanie wyniku testu lub raportu „Mapa wdrożeń AI w polskich firmach” na swój adres e-mail, jej odpowiedzi są przesyłane do Administratora wyłącznie po to, aby wynik został ponownie policzony po stronie serwera i aby przygotować treść wiadomości; samych odpowiedzi Administrator nie zapisuje. Administrator zapisuje: adres e-mail, wynik testu (typ postawy wobec AI oraz ewentualny typ drugi), wielkość firmy wskazaną w pierwszym pytaniu, wybrany język, informację o tym, czego dotyczyła prośba (wynik, raport albo jedno i drugie), treść i wersję wyrażonej zgody oraz datę i godzinę zgłoszenia, a także informację, czy wiadomość została wysłana, oraz techniczny status wysyłki wiadomości (data i ewentualny kod błędu). Cel: wysyłka zamówionych materiałów na podany adres oraz kontakt w sprawie wdrożeń AI dopasowany do wyniku testu. Podstawa: zgoda (art. 6 ust. 1 lit. a RODO). Okres: do wycofania zgody, nie dłużej niż 3 lata od ostatniego kontaktu; zapis o wyrażeniu zgody może być przechowywany dłużej wyłącznie w celu wykazania jej udzielenia (art. 7 ust. 1 RODO).

2. Profilowanie

Zapisanie wyniku testu wraz z adresem e-mail stanowi profilowanie w rozumieniu art. 4 pkt 4 RODO: Administrator przypisuje osobę do jednego z sześciu typów postaw wobec AI i - biorąc pod uwagę także wskazaną wielkość firmy - może na tej podstawie dobierać treść kontaktu (np. proponować warsztat zamiast diagnozy). Profilowanie nie prowadzi do decyzji wywołujących skutki prawne ani w podobny sposób istotnie wpływających na osobę (art. 22 RODO nie ma zastosowania). Wynik testu można w każdej chwili zakwestionować lub zażądać jego usunięcia; osoba, której dane dotyczą, ma prawo wnieść sprzeciw wobec profilowania w celach marketingu bezpośredniego.

3. Rezerwacja rozmowy

Rezerwacja terminu rozmowy odbywa się w usłudze Microsoft Bookings, w której osoba rezerwująca podaje imię i nazwisko, adres e-mail, ewentualnie numer telefonu i uwagi, oraz wybiera termin. Dane te trafiają do środowiska Microsoft 365 Administratora i służą przeprowadzeniu rozmowy oraz ewentualnej dalszej korespondencji. Podstawa: działania na żądanie osoby przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). Okres: 3 lata od ostatniego kontaktu, chyba że dojdzie do zawarcia umowy - wówczas przez okres jej wykonywania i przedawnienia roszczeń.

4. Korespondencja

Dane podane w wiadomościach e-mail i rozmowach telefonicznych (imię i nazwisko, adres e-mail, numer telefonu, treść) są przetwarzane w celu obsługi zapytania. Podstawa: art. 6 ust. 1 lit. b lub f RODO. Okres: 3 lata od zakończenia korespondencji.

5. Bezpieczeństwo Serwisu

W celu ochrony formularza przed nadużyciami (masowe zgłoszenia automatyczne) Serwis ogranicza liczbę zgłoszeń z jednego adresu IP. Adres IP nie jest zapisywany w postaci jawnej - przetwarzany jest wyłącznie jego skrót kryptograficzny z tajną solą, przechowywany przez czas okna ograniczania liczby zgłoszeń, nie dłużej niż około dwie minuty od zgłoszenia, po czym jest usuwany. Ze skrótu nie da się odtworzyć adresu IP. Podstawa: prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) polegający na zapewnieniu bezpieczeństwa Serwisu.

6. Statystyki odwiedzin (Google Analytics 4)

Za zgodą osoby korzystającej Serwis używa Google Analytics 4 do mierzenia, jak strona jest używana: liczby odwiedzin, odwiedzanych podstron, przybliżonej lokalizacji (kraj, miasto), rodzaju urządzenia i przeglądarki, źródła wejścia. Dane są zbierane przy użyciu plików cookies i identyfikatorów opisanych w sekcji VIII. Bez zgody żaden skrypt Google Analytics nie jest ładowany i żadne dane nie są przesyłane do Google. Podstawa: zgoda (art. 6 ust. 1 lit. a RODO). Okres: identyfikatory w plikach cookies do 2 lat; dane w usłudze Google Analytics zgodnie z ustawieniem retencji usługi, nie dłużej niż 14 miesięcy.

7. Dochodzenie i obrona roszczeń

Dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń mogą być przechowywane przez okres przedawnienia roszczeń wynikający z przepisów prawa. Podstawa: art. 6 ust. 1 lit. f RODO.

IV. Dobrowolność podania danych

Podanie danych osobowych jest dobrowolne. Korzystanie z treści Serwisu, przejście testu i zobaczenie jego wyniku nie wymaga podania żadnych danych. Podanie adresu e-mail jest konieczne wyłącznie do otrzymania wyniku testu lub raportu na skrzynkę, a podanie danych w usłudze Microsoft Bookings - do rezerwacji rozmowy. Zgoda na statystyki odwiedzin jest w pełni opcjonalna i jej brak nie ogranicza dostępu do żadnej funkcji Serwisu.

V. Odbiorcy danych i podmioty przetwarzające

Odbiorcami danych osobowych mogą być pracownicy i współpracownicy Administratora upoważnieni do przetwarzania danych, podmioty przetwarzające dane na zlecenie Administratora (na podstawie umów powierzenia zgodnych z art. 28 RODO) oraz podmioty uprawnione do uzyskania danych na podstawie przepisów prawa.

W zakresie Serwisu Administrator korzysta z następujących dostawców usług, którzy przetwarzają dane w jego imieniu (dostawców wykorzystywanych przy usługach dla firm wymienia sekcja X):

• Vercel Inc. (USA) - hosting Serwisu i obsługa formularzy;
• Neon Inc. (USA) - baza danych, w której przechowywane są zgłoszenia o raport; dane przechowywane w centrum danych w Unii Europejskiej (Frankfurt);
• Resend Inc. (USA) - wysyłka wiadomości e-mail z raportem; serwery wysyłkowe w Unii Europejskiej (Irlandia);
• Upstash Inc. (USA) - usługa ograniczania liczby zgłoszeń; przechowuje wyłącznie skrót adresu IP, w centrum danych w Unii Europejskiej (Frankfurt);
• Google Ireland Limited (Irlandia) - Google Analytics 4, wyłącznie po wyrażeniu zgody;
• Microsoft Ireland Operations Limited (Irlandia) - Microsoft 365, w tym Microsoft Bookings i Microsoft Teams, do rezerwacji i prowadzenia rozmów oraz obsługi poczty.

Administrator udostępnia dane innym podmiotom wyłącznie wtedy, gdy jest to niezbędne do świadczenia usługi na rzecz osoby, której dane dotyczą, albo gdy wymagają tego przepisy prawa.

VI. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część wymienionych dostawców ma siedzibę w Stanach Zjednoczonych lub należy do grup kapitałowych z siedzibą poza EOG. W takich przypadkach Administrator zapewnia odpowiedni stopień ochrony danych, w szczególności przez:

• korzystanie z dostawców certyfikowanych w ramach Data Privacy Framework UE-USA, objętych decyzją Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającą odpowiedni stopień ochrony;
• stosowanie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) tam, gdzie certyfikacja nie ma zastosowania;
• wybór regionów przetwarzania w Unii Europejskiej wszędzie tam, gdzie dostawca to umożliwia (baza danych, serwery poczty).

Osoba, której dane dotyczą, może uzyskać kopię stosowanych zabezpieczeń, kontaktując się z Administratorem.

VII. Prawa osób, których dane dotyczą

Każdej osobie, której dane dotyczą, przysługuje prawo do:

• dostępu do swoich danych oraz otrzymania ich kopii (art. 15 RODO);
• sprostowania danych (art. 16 RODO);
• usunięcia danych - „prawo do bycia zapomnianym” (art. 17 RODO);
• ograniczenia przetwarzania (art. 18 RODO);
• przenoszenia danych przetwarzanych na podstawie zgody lub umowy (art. 20 RODO);
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec profilowania (art. 21 RODO);
• cofnięcia zgody w dowolnym momencie - bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Zgodę na wysyłkę raportu i kontakt można cofnąć, pisząc na adres leszek.giza@innocy.ai. Zgodę na statystyki odwiedzin można cofnąć w każdej chwili przyciskiem „Ustawienia cookies” w stopce Serwisu - po jej cofnięciu Serwis przestaje przesyłać dane do Google Analytics i usuwa pliki cookies analityczne ze swojej domeny.

Administrator odpowiada na żądania bez zbędnej zwłoki, nie później niż w terminie miesiąca od ich otrzymania. W sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące, o czym osoba składająca żądanie zostanie poinformowana wraz z podaniem przyczyny.

VIII. Pliki cookies i podobne technologie

Serwis używa niewielkich plików i wpisów zapisywanych w przeglądarce osoby korzystającej. Poniżej pełna lista:

• „tr-zgoda” - wpis w pamięci przeglądarki (localStorage) zapamiętujący decyzję w sprawie statystyk odwiedzin (zgoda albo „tylko niezbędne”) wraz z jej datą i wersją. Niezbędny, żeby nie pytać o zgodę przy każdej wizycie. Przechowywany do usunięcia przez osobę korzystającą lub do zmiany treści zgody, która wymusza ponowne pytanie.
• „_ga” i „_ga_<identyfikator>” - pliki cookies Google Analytics 4 identyfikujące przeglądarkę i sesję. Zapisywane wyłącznie po wyrażeniu zgody. Okres przechowywania: do 2 lat.

Serwis nie używa plików cookies reklamowych ani nie udostępnia danych do personalizacji reklam: w Google Analytics stosowany jest tryb zgody (Consent Mode v2), w którym przechowywanie danych reklamowych i personalizacja reklam są na stałe wyłączone, a przechowywanie danych analitycznych jest włączane dopiero po zgodzie.

Strona rezerwacji rozmowy (Microsoft Bookings) działa na domenie Microsoft i stosuje własne pliki cookies zgodnie z polityką prywatności Microsoft.

Zarządzanie: decyzję w sprawie statystyk można zmienić w każdej chwili przyciskiem „Ustawienia cookies” w stopce Serwisu. Niezależnie od tego każda przeglądarka pozwala usunąć zapisane pliki cookies i wpisy pamięci oraz zablokować ich zapisywanie - informacje na ten temat zawiera pomoc przeglądarki. Zablokowanie wpisu „tr-zgoda” spowoduje, że pytanie o zgodę pojawi się ponownie przy kolejnej wizycie.

IX. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

• szyfrowane połączenie z Serwisem (TLS) i szyfrowane połączenia z bazą danych oraz usługami dostawców;
• minimalizację danych - Serwis zapisuje wyłącznie dane niezbędne do wysyłki raportu, a adresy IP przetwarza tylko w postaci nieodwracalnego skrótu, przez czas okna ograniczania liczby zgłoszeń;
• dostęp do zgłoszeń wyłącznie dla upoważnionych osób, chroniony hasłem i ograniczeniem liczby prób logowania;
• rejestrowanie treści i wersji każdej wyrażonej zgody w celu zapewnienia rozliczalności.

X. Klienci biznesowi i osoby do kontaktu (część B Regulaminu)

Poniższe informacje dotyczą osób, których dane Administrator przetwarza w związku z odpłatnymi usługami doradczymi, szkoleniowymi i wdrożeniowymi dla firm (część B Regulaminu): osób reprezentujących Klienta, osób do kontaktu, osób decyzyjnych oraz pracowników i współpracowników Klienta biorących udział w rozmowach, warsztatach i pracach wdrożeniowych.

Cele i podstawy prawne: zawarcie i wykonanie umowy z Klientem, w tym przygotowanie Zamówienia, bieżąca komunikacja, planowanie prac, przekazywanie Zestawień i Rezultatów - na podstawie prawnie uzasadnionego interesu Administratora polegającego na wykonaniu umowy z Klientem i utrzymaniu kontaktu (art. 6 ust. 1 lit. f RODO), a w przypadku Klienta będącego osobą fizyczną prowadzącą działalność gospodarczą - na podstawie umowy (art. 6 ust. 1 lit. b RODO); wystawianie faktur i prowadzenie ksiąg - na podstawie obowiązku prawnego (art. 6 ust. 1 lit. c RODO); dochodzenie i obrona roszczeń - na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO).

Zakres danych: imię i nazwisko, stanowisko, służbowy adres e-mail i numer telefonu, nazwa i dane Klienta, treść korespondencji oraz dane zawarte w materiałach udostępnionych w toku prac. Dane te Administrator otrzymuje bezpośrednio od tych osób albo od Klienta; Klient przekazuje tym osobom informacje o Administratorze jako odbiorcy danych.

Okresy przechowywania: przez czas obowiązywania umowy z Klientem, a następnie do upływu terminów przedawnienia roszczeń (co do zasady 3 lata od zakończenia umowy) oraz przez okres wymagany przepisami podatkowymi i rachunkowymi (5 lat od końca roku, w którym wystawiono fakturę). Materiały Klienta Administrator zwraca lub usuwa w terminie 90 dni od zakończenia umowy, chyba że Klient zażąda tego wcześniej albo ich zachowanie jest wymagane przepisami prawa lub potrzebne do dochodzenia roszczeń.

Administrator jako podmiot przetwarzający: jeżeli wykonanie usług wymaga przetwarzania przez Administratora danych osobowych, których administratorem jest Klient (np. danych pracowników, klientów lub kontrahentów Klienta zawartych w dokumentach lub systemach), Administrator przetwarza je wyłącznie w imieniu Klienta i na podstawie umowy powierzenia zawartej zgodnie z art. 28 RODO, w zakresie i celach określonych przez Klienta. Zasady przetwarzania takich danych, w tym dobór narzędzi i ich dostawców, określa Klient (§ 18 i § 20 Regulaminu).

Odbiorcy danych: dostawcy usług IT wykorzystywanych do komunikacji i prowadzenia prac (poczta elektroniczna, kalendarz i wideokonferencje Microsoft 365, narzędzia do podpisu elektronicznego), biuro rachunkowe oraz - w zakresie zatwierdzonym przez Klienta - dostawcy Narzędzi Zewnętrznych, w tym modeli sztucznej inteligencji. Prawa osób, których dane dotyczą, opisano w sekcji VII.

XI. Zmiany Polityki prywatności

Polityka prywatności może być aktualizowana w związku ze zmianami przepisów prawa, zmianami funkcji Serwisu lub zmianą dostawców usług. Aktualna wersja jest zawsze publikowana w Serwisie wraz z datą, od której obowiązuje. Jeżeli zmiana dotyczy zakresu zgody na statystyki odwiedzin, Serwis ponownie poprosi o wyrażenie zgody.

XII. Kontakt

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw można kontaktować się z Administratorem:

• listownie: Innocy P.S.A., ul. Leśny Potok 20, 03-289 Warszawa;
• e-mailem: leszek.giza@innocy.ai;
• telefonicznie: +48 516 210 516.