Polityka prywatności serwisu „Foto-Prezent”

1. Administrator i kontakt

Administratorem danych osobowych jest SOCIALBUZZSTUDIO SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Mariacka 37, 40-014 Katowice, NIP: 5482759280, KRS: 0001101103, kapitał zakładowy 5 000,00 zł („Administrator”).
Kontakt w sprawach danych: kontakt@foto-prezent.pl, tel. 571 412 322.
Administrator nie powołał IOD.

2. Zakres stosowania

Polityka dotyczy odwiedzających serwis foto-prezent.pl, osób korzystających z funkcji generowania obrazów („Usługa”), osób dokonujących płatności oraz osób kontaktujących się z Administratorem.

3. Definicje skrócone

• Dane biometryczne – dane osobowe wynikające ze specjalnego przetwarzania technicznego cech fizycznych (np. rysy twarzy) umożliwiające lub potwierdzające identyfikację osoby (RODO art. 4 pkt 14).

• Pliki – zdjęcia/obrazy przesyłane przez Użytkownika oraz wyniki generowania.

• Podmiot przetwarzający – dostawca działający w imieniu Administratora na podstawie art. 28 RODO.

4. Kategorie danych

W związku z korzystaniem z Serwisu przetwarzamy:

1. Dane kontaktowe i rozliczeniowe: adres e-mail, opcjonalnie imię, dane do faktury, identyfikator transakcji (od operatora płatności).

2. Pliki i wizerunek: zdjęcia przesłane przez Użytkownika, prompty/opisy, wygenerowane obrazy.

3. Dane techniczne: adres IP, znaczniki czasu, identyfikatory sesji, informacje o urządzeniu/przeglądarce, logi serwera.

4. Dane z pamięci przeglądarki (local/session storage): utrzymanie stanu procesu generowania.

Nie zbieramy świadomie szczególnych kategorii danych innych niż wynikające z przetwarzania wizerunku na zdjęciach. Nie prowadzimy identyfikacji biometrycznej osób ani weryfikacji tożsamości na podstawie twarzy.

5. Cele i podstawy prawne

1. Realizacja Usługi i umowy: wygenerowanie podglądu, sprzedaż i dostarczenie treści cyfrowej, obsługa płatności i reklamacji
   • podstawa: art. 6 ust. 1 lit. b RODO.

2. Przetwarzanie wizerunku (dane szczególnej kategorii) wyłącznie w celu wygenerowania obrazu na zlecenie Użytkownika
   • podstawa: wyraźna zgoda Użytkownika (art. 9 ust. 2 lit. a RODO), której Użytkownik udziela poprzez akceptację niniejszej Polityki oraz korzystanie z Usługi, w tym przesłanie zdjęcia; zgodę można wycofać w każdym czasie, co nie wpływa na zgodność przetwarzania sprzed wycofania.

3. Rozliczenia i obowiązki prawne (księgowość, podatki, roszczenia)
   • podstawa: art. 6 ust. 1 lit. c RODO.

4. Bezpieczeństwo i dochodzenie roszczeń (logowanie zdarzeń, przeciwdziałanie nadużyciom, ustalenie/doch. roszczeń)
   • podstawa: art. 6 ust. 1 lit. f RODO.

5. Analityka techniczna (metryki działania, obciążenie, błędy) w formie zanonimizowanej/zagregowanej
   • podstawa: art. 6 ust. 1 lit. f RODO lub zgoda, jeśli wymagają jej przepisy lokalne.

Zero-training jako standard

Nie wykorzystujemy prywatnych zdjęć Użytkowników do trenowania modeli AI. Ewentualna funkcja „pomóż ulepszać” może zostać udostępniona wyłącznie jako dobrowolny opt-in, z osobną zgodą, precyzyjnie określonym celem i krótkimi terminami retencji.

6. Źródła danych

Dane pozyskujemy bezpośrednio od Użytkownika. Dane transakcyjne otrzymujemy od operatora płatności w niezbędnym zakresie.

7. Odbiorcy danych i podmioty przetwarzające

Dane mogą być ujawniane:

• Infrastruktura chmurowa/hosting plików: Amazon Web Services (AWS) – magazyn S3, presigned URL.

• Operator płatności: Stripe – obsługa płatności; Administrator nie ma dostępu do danych kart.

• Bramka/dostawcy modeli AI: dostawcy API wykorzystywani do generowania podglądów/obrazów. Administrator wymaga trybów no-training/enterprise i zakazuje wtórnego wykorzystania danych poza realizacją zlecenia.

• Wsparcie IT, bezpieczeństwo, księgowość, obsługa prawna.

• Organy publiczne – w granicach prawa.

Administrator utrzymuje aktualną listę podwykonawców i sub-procesorów (z lokalizacją przetwarzania i mechanizmem transferu) i udostępnia ją na żądanie.

8. Minimalizacja i środki techniczne

• szyfrowanie transmisji (TLS 1.2+), szyfrowanie danych w spoczynku u dostawcy chmury,

• zarządzanie dostępem wg ról i zasady najmniejszych uprawnień,

• dostęp do plików poprzez presigned URL o krótkim czasie ważności,

• rejestrowanie dostępu i monitorowanie incydentów,

• zakaz używania publicznych narzędzi AI do materiałów klientów bez zgody Administratora.

9. Retencja (konkretne terminy)

| Kategoria | Okres | Uzasadnienie | | ----- | ----- | ----- | | Oryginalne zdjęcia (uploads/) | do 24 h od przesłania lub do zakończenia generowania, w zależności co nastąpi wcześniej | realizacja procesu | | Wersje robocze/podglądy (generated/, generated_wm/) | do 24 h lub do finalizacji transakcji | prezentacja wyniku | | Plik zakupiony (purchased/) | domyślnie do 30 dni dla ponownego pobrania; tryb Zero Data Retention: 0 dni (brak kopii serwisowej) | wygoda Użytkownika vs. prywatność | | Logi bezpieczeństwa | do 12 miesięcy | bezpieczeństwo i audyt | | Dane transakcyjne/księgowe | do 5 lat | przepisy podatkowe | | Konto/Użytkownik bez konta | konto: do usunięcia + do 3 lat od ostatniej aktywności; gość: do 3 lat od zamówienia | roszczenia/obrona |

Usunięcie polega na nieodwracalnym skasowaniu lub trwałej anonimizacji. Nie utrwalamy „embeddingów” twarzy ani innych reprezentacji umożliwiających re-identyfikację poza czasem koniecznym do wygenerowania obrazu.

10. Transfer poza EOG

Przetwarzanie może obejmować transfer do państw trzecich (w szczególności USA) przy zastosowaniu jednego z mechanizmów:

• EU-U.S. Data Privacy Framework (DPF) – dla dostawców z aktywną certyfikacją, lub

• Standardowe Klauzule Umowne (SCC) wraz z oceną skutków transferu (TIA) i środkami uzupełniającymi.

Administrator cyklicznie weryfikuje status DPF/SCC dostawców i ogranicza zakres przekazywanych danych do minimum. Kopię odpowiednich zabezpieczeń można uzyskać kontaktując się z Administratorem.

11. Dobrowolność i konsekwencje

Podanie danych niezbędnych do realizacji Usługi i płatności jest dobrowolne, lecz konieczne. Brak akceptacji Polityki i brak zgody, o której mowa w §5 ust. 2, uniemożliwia wygenerowanie obrazu.

12. Prawa osób, których dane dotyczą

Masz prawo do: dostępu do danych i kopii, sprostowania, usunięcia, ograniczenia, przenoszenia, sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f oraz wycofania zgody w każdym czasie.
Realizacja praw: kontakt@foto-prezent.pl. Administrator może zweryfikować nadawcę (np. przez e-mail użyty przy zamówieniu). Termin odpowiedzi: do 30 dni.
Skarga: Prezes UODO, ul. Stawki 2, 00-193 Warszawa.

13. Zautomatyzowane decyzje

Nie podejmujemy wobec Ciebie decyzji wywołujących skutki prawne w rozumieniu art. 22 RODO. Narzędzia AI służą wyłącznie przetwarzaniu obrazu na Twoje zlecenie.

14. Cookies i pamięć przeglądarki

Używamy:

• cookies niezbędnych do działania Serwisu,

• analityki technicznej w formie zanonimizowanej/zagregowanej,

• local/session storage do utrzymania stanu procesu.
  Preferencje dotyczące plików cookie można zmienić w ustawieniach przeglądarki; ograniczenie cookies niezbędnych może utrudnić korzystanie z Usługi.

15. Privacy by design/by default

Domyślnie stosujemy minimalny zakres danych i krótkie okresy przechowywania. Użytkownik może włączyć tryb „Zero Data Retention” dla zakupionych plików (brak kopii serwisowej po udostępnieniu linku).

16. Bezpieczeństwo i incydenty

Stosujemy adekwatne środki organizacyjne i techniczne. W przypadku naruszenia ochrony danych ocenimy ryzyko i, jeżeli będzie to wymagane, zawiadomimy UODO w 72 godziny oraz osoby, których dane dotyczą.

17. DPIA

Administrator przeprowadza i aktualizuje Oceny Skutków dla Ochrony Danych (DPIA) dla procesów wykorzystujących AI i transfery poza EOG; przegląd co najmniej raz na 12 miesięcy lub przy istotnych zmianach.

18. Zmiany Polityki

Polityka może być aktualizowana w razie zmian prawa, technologii lub zakresu Usługi. O istotnych zmianach informujemy w Serwisie. Obowiązuje wersja opublikowana z podaną datą.

19. Kontakt

SOCIALBUZZSTUDIO SP. Z O.O.
ul. Mariacka 37, 40-014 Katowice
kontakt@foto-prezent.pl, 571 412 322