Informacje prawne

Polityka prywatności

Ostatnia aktualizacja: 1 maja 2026

1. Wstęp

LokyAssistant („My”, „Nas”, „Nasz” lub „Firma”) szanuje Twoją prywatność. Ten dokument wyjaśnia, jakie dane zbieramy, jak je wykorzystujemy i jak je chronimy.

Administrator danych: [Imię i nazwisko], osoba fizyczna prowadząca działalność gospodarczą (FOP) zarejestrowana na Ukrainie [numer rejestrowy udostępniany na żądanie]. Adres do korespondencji udostępniany na żądanie. Kontakt w sprawach ochrony danych osobowych: support@lokyassistant.com.

2. Jakie dane zbieramy

2.1 Dane Telegrama

  • Telegram ID — unikalny identyfikator Twojego konta
  • Username — Twoja nazwa w Telegramie (jeśli istnieje)
  • Imię i nazwisko — z Twojego profilu Telegrama
  • Treść wiadomości — do przetwarzania zapytań

2.2 Dane integracji (jeśli podłączone)

  • Tokeny Google OAuth — do dostępu do Google Calendar i Drive/Docs/Sheets (szyfrowane przed zapisem)
  • Konfiguracje e-mail — login i hasło do IMAP/SMTP (szyfrowane)
  • Dane płatności — płatności obsługuje Telegram (Telegram Stars). Dane kart płatniczych nigdy do nas nie trafiają; przechowujemy jedynie identyfikator płatności Telegram na potrzeby ewentualnego zwrotu

2.3 Dane profilu

  • Adres e-mail
  • Data urodzenia (opcjonalnie)
  • Lokalizacja
  • Strefa czasowa
  • Preferowany język
  • Krótka biografia

2.4 Dane użytkowania

  • Adres IP
  • Informacje o urządzeniu (typ, system operacyjny)
  • Czas i typ żądań
  • Historia rozmów (przechowywana, by zachować kontekst rozmowy)

3. Jak wykorzystujemy Twoje dane

Funkcje podstawowe

  • Świadczenie usługi i obsługa zapytań
  • Integracja z Google Calendar, Google Drive i innymi serwisami
  • Generowanie dokumentów PDF
  • Wsparcie i pomoc techniczna

Ulepszanie usługi

  • Analiza użycia w celu poprawy funkcjonalności
  • Śledzenie błędów i problemów
  • Ulepszanie usługi (dane zanonimizowane)

Cele komercyjne

  • Wystawianie faktur i obsługa płatności
  • Wysyłanie powiadomień o aktualizacjach i ofertach
  • Badania rynku na danych zagregowanych i zanonimizowanych

W odniesieniu do użytkowników z UE/EOG przetwarzamy dane osobowe na następujących podstawach:

  • Wykonanie umowy (art. 6 ust. 1 lit. b) — świadczenie usługi, obsługa Twoich zapytań, podłączone przez Ciebie integracje oraz rozliczenia.
  • Zgoda (art. 6 ust. 1 lit. a) — podłączenie kont zewnętrznych (Google, poczta), opcjonalne pola profilu oraz wiadomości marketingowe. Zgodę można wycofać w każdej chwili.
  • Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — bezpieczeństwo usługi, zapobieganie nadużyciom, rejestr zablokowanych kont, wykrywanie błędów i ulepszanie usługi na danych zanonimizowanych.
  • Obowiązek prawny (art. 6 ust. 1 lit. c) — ewidencja płatności i przestrzeganie obowiązującego prawa.

4. Jak chronimy Twoje dane

Szyfrowanie

  • Wszystkie wrażliwe dane (hasła, tokeny) są szyfrowane przez Fernet (AES-128)
  • HTTPS dla wszystkich żądań HTTP
  • Transmisja danych przez SSL/TLS

Dostęp

  • Dane są izolowane po user_id (każdy użytkownik widzi tylko swoje dane)
  • Wszystkie dostępy do danych wrażliwych są logowane
  • Ograniczony dostęp do bazy danych (tylko deweloperzy)

Kopie zapasowe

  • Codzienne, szyfrowane kopie bazy danych
  • Przechowywane w bezpiecznym ośrodku w UE — Hetzner Cloud (Norymberga, Niemcy) z podpisaną umową DPA (RODO art. 28)

5. Przekazywanie danych podmiotom trzecim

Nie sprzedajemy Twoich danych. Przekazujemy je jednak następującym podprzetwarzającym (RODO art. 28), aby świadczyć usługę:

  • Anthropic (Claude AI) — przetwarzanie tekstu
  • Anthropic (Claude Vision) — rozpoznawanie i opis zdjęć
  • OpenAI (GPT Image 2) — edycja i generowanie obrazów
  • OpenAI — przetwarzanie głosu (rozpoznawanie i synteza mowy), jeśli korzystasz z funkcji głosowych
  • Google — integracje Google Calendar i Drive (jeśli podłączone)
  • Serper.dev / Google — wyszukiwanie w sieci: gdy prosisz o znalezienie informacji w internecie, Twoje zapytanie jest przekazywane do tej usługi
  • Cloudflare — CDN i ochrona anty-bot witryny (Turnstile); przetwarza Twój adres IP
  • Hetzner — hosting infrastruktury i kopii zapasowych (UE, Niemcy)
  • Telegram — dostarczanie wiadomości
  • Telegram (Telegram Stars) — obsługa płatności

Wszystkie podmioty trzecie mają własne Polityki prywatności. Zalecamy ich lekturę.

Międzynarodowe transfery danych

Niektórzy podprzetwarzający (Anthropic, OpenAI, Serper.dev/Google, Cloudflare) mają siedzibę w USA. Przekazywanie danych osobowych poza UE/EOG odbywa się na podstawie decyzji o adekwatności dla EU-US Data Privacy Framework (dla dostawców certyfikowanych w ramach DPF) i/lub Standardowych klauzul umownych (SCC, RODO art. 46) jako dodatkowego mechanizmu ochrony. Infrastruktura i kopie zapasowe są przechowywane w UE (Hetzner, Niemcy).

5a. Przetwarzanie zdjęć

LokyAssistant pozwala wysyłać zdjęcia do rozpoznawania, edycji oraz generowania nowych obrazów.

Jak są przetwarzane zdjęcia

  • Zdjęcia są przetwarzane efemerycznie — nie przechowujemy oryginałów lokalnie na naszych serwerach.
  • Przechowywane jest jedynie file_id z Telegrama (do 7 dni) — odwołanie potrzebne do edycji multi-turn.
  • Po wykonaniu zapytania zdjęcie jest usuwane z pamięci.
  • Zdjęcia i wygenerowane obrazy NIE są używane do trenowania modeli dostawców.
  • Przekazywanie do dostawców odbywa się wyłącznie przez HTTPS/TLS.

Dostawcy zewnętrzni dla zdjęć

  • Anthropic Claude Vision — rozpoznawanie i opis zawartości zdjęć (privacy).
  • OpenAI GPT Image 2 — edycja i generowanie obrazów (privacy).

Każdy dostawca ma własną politykę treści, która ma zastosowanie do Twoich zapytań.

Treści zabronione

Asystent odmówi przetwarzania zdjęć i zapytań zawierających:

  • Dokumenty osób trzecich z ich danymi osobowymi (paszporty, dowody osobiste itp.) bez podstawy prawnej — odpowiadasz za zgodność z prawem przetwarzania cudzych dokumentów.
  • Treści NSFW, przemoc, dyskryminację, mowę nienawiści.
  • Wizerunki prawdziwych osób w szkodliwym celu: deepfake, intymne obrazy bez zgody przedstawionej osoby, podszywanie się, nękanie lub poniżanie.
  • Treści chronione prawem autorskim (reprodukcje dzieł chronionych, logo marek).

Przy próbie przetwarzania zabronionej treści bot odmawia, a koszt dostawcy NIE jest pobierany z Twojej puli (refund quota).

5b. Dane Twoich klientów (Client Cards)

Funkcja Client Cards pozwala przechowywać informacje o Twoich klientach i kontaktach: imię, firmę, telefon, notatki oraz wydarzenia w kalendarzu.

  • Ty jesteś administratorem danych, my podmiotem przetwarzającym. Wprowadzając dane osób trzecich (swoich klientów), stajesz się administratorem tych danych osobowych w rozumieniu RODO, a LokyAssistant działa jako podmiot przetwarzający na Twoje polecenie (jak systemy CRM HubSpot czy Pipedrive). Odpowiadasz za posiadanie podstawy prawnej przetwarzania oraz za poinformowanie swoich klientów.
  • Co przechowujemy: wyłącznie pola, które wprowadzisz. Dane są izolowane w ramach Twojego konta (user_id) — inni użytkownicy ich nie widzą.
  • Eksport (przenoszalność): w każdej chwili możesz wyeksportować wszystkie karty klientów w formacie do odczytu maszynowego (CSV/vCard).
  • Usunięcie: usunięcie karty oznacza rzeczywiste skasowanie danych (nie ukrycie) — abyś mógł zrealizować żądanie klienta „prawo do bycia zapomnianym". Usunięcie konta przez /delete_me kasuje także wszystkie karty klientów.
  • Kategorie szczególne: nie wprowadzaj szczególnych kategorii danych osobowych (dane o zdrowiu, biometryczne, przekonania religijne itp.) bez wyraźnej zgody osoby, której dane dotyczą — zob. Regulamin.

5c. Dane Google Workspace (Drive i Calendar)

Jeśli podłączysz swoje konto Google, LokyAssistant uzyskuje dostęp do ograniczonego zakresu danych Google wyłącznie w celu wykonania działań, o które prosisz na czacie.

Jakie zakresy (scopes) żądamy

  • .../auth/drive.file (non-sensitive) — dostęp ograniczony do dokumentów i arkuszy, które asystent sam tworzy lub które wyraźnie w nim otworzysz. Nie widzimy ani nie mamy dostępu do żadnych innych plików na Twoim Google Drive.
  • .../auth/calendar.events (sensitive) — do odczytu, tworzenia, aktualizacji i usuwania wydarzeń w Twoim kalendarzu na Twoje żądanie. Nie zarządzamy listą kalendarzy, ustawieniami ani udostępnianiem.

Nie żądamy dostępu do Gmaila ani do całego Twojego Google Drive.

Co robimy z tymi danymi

  • Działamy wyłącznie na Twoje wyraźne polecenie (np. „utwórz arkusz wydatków”, „dodaj spotkanie jutro o 15:00”).
  • Dane wydarzeń kalendarza są przetwarzane przejściowo — aby zrealizować Twoje żądanie i dać asystentowi kontekst; nie tworzymy trwałej kopii Twojego kalendarza.
  • Nie przechowujemy treści Twoich plików Google na naszych serwerach. Przechowujemy jedynie techniczne identyfikatory (file ID / event ID) potrzebne do działań na obiektach utworzonych przez asystenta.

Przechowywanie, okres i usuwanie

  • Tokeny OAuth są szyfrowane (Fernet) i przechowywane do momentu odłączenia.
  • Możesz odłączyć integrację w każdej chwili przez bota (/services), co odwołuje tokeny po stronie Google.
  • Usunięcie konta przez /delete_me odwołuje Twoje tokeny Google po stronie Google i kasuje zapisane identyfikatory.

Limited Use

Wykorzystanie i przekazywanie jakiejkolwiek innej aplikacji informacji otrzymanych z interfejsów API Google przez LokyAssistant jest zgodne z Google API Services User Data Policy, w tym z wymaganiami Limited Use. W szczególności nie:

  • wykorzystujemy danych Google do reklamy;
  • sprzedajemy danych Google ani nie przekazujemy ich podmiotom trzecim poza przypadkami niezbędnymi do świadczenia lub ulepszania usługi, bezpieczeństwa lub zgodności z prawem;
  • wykorzystujemy danych Google do trenowania uogólnionych modeli AI/ML — nasz podprzetwarzający AI (Anthropic) domyślnie nie używa danych API do trenowania (Commercial Terms);
  • nie zezwalamy ludziom na odczyt tych danych, z wyjątkiem Twojej zgody, bezpieczeństwa, zgodności z prawem lub gdy dane są zagregowane/zanonimizowane.

6. Przechowywanie danych

  • Aktywni użytkownicy: dane są przechowywane, dopóki konto jest aktywne
  • Nieaktywni użytkownicy (1+ rok): dane mogą zostać usunięte
  • Po usunięciu: dane są usuwane w ciągu 30 dni (poza obowiązkami prawnymi)
  • Kopie zapasowe: mogą być przechowywane do 90 dni
  • Zdjęcia (treść binarna): nieprzechowywane (przetwarzanie efemeryczne)
  • Telegram file_id zdjęć: do 7 dni (do edycji multi-turn)

7. Twoje prawa

RODO / Prawo europejskie

Jeśli mieszkasz w Europie, przysługują Ci następujące prawa:

  • Prawo dostępu — żądanie kopii Twoich danych
  • Prawo do usunięcia — „prawo do bycia zapomnianym”
  • Prawo do sprostowania — aktualizacja błędnych danych
  • Prawo do przenoszenia — uzyskanie danych w formacie maszynowo czytelnym
  • Prawo sprzeciwu — sprzeciw wobec przetwarzania
  • Prawo do ograniczenia przetwarzania (Art. 18) — żądanie tymczasowego zawieszenia przetwarzania Twoich danych
  • Prawo do wniesienia skargi (Art. 77) — możesz zwrócić się do organu nadzorczego ds. ochrony danych w kraju Twojego zamieszkania (dla UE/EOG)

Aby skorzystać z tych praw, napisz na support@lokyassistant.com.

Wyjątek dla zawieszonych kont

Jeśli Twoje konto zostało zawieszone za naruszenie Regulaminu, Twój Telegram ID jest przechowywany w odrębnym rejestrze zablokowanych ID nawet po usunięciu pozostałych danych przez /delete_me. Jest to konieczne, aby zapobiec obejściu blokady. Rejestr zawiera WYŁĄCZNIE: Telegram ID, datę zablokowania, czas trwania, powód. Wpisy z czasem tymczasowym są automatycznie usuwane po jego wygaśnięciu. Bany permanentne są usuwane wyłącznie po pozytywnym rozpatrzeniu apelacji przez support@lokyassistant.com.

8. Cookies

Strona lokyassistant.com nie używa cookies do śledzenia ani analityki (Google Analytics, Meta Pixel itp. nie są zainstalowane). Używamy wyłącznie technicznie niezbędnych cookies:

  • Cloudflare Turnstile — wyzwanie anty-bot na formularzu kontaktowym (privacy).
  • Cookies sesyjne — token CSRF formularza kontaktowego (usuwane po zamknięciu przeglądarki).
  • lang_pref — zapamiętuje wybór języka strony (czas życia — 1 rok).

Możesz wyłączyć cookies w ustawieniach przeglądarki; w takim przypadku formularz kontaktowy nie będzie działał.

9. Dzieci

LokyAssistant nie jest przeznaczony dla osób poniżej 16 roku życia. Nie zbieramy świadomie danych od dzieci. Jeśli dowiemy się, że użytkownik ma mniej niż 16 lat, podejmiemy działania w celu usunięcia jego danych.

10. Kontakt

Jeśli masz pytania dotyczące tej Polityki prywatności:

11. Zmiany w tej Polityce

Możemy aktualizować tę Politykę prywatności od czasu do czasu. O istotnych zmianach poinformujemy przez bota lub e-mail.