Polityka prywatności platformy Semantio

Niniejszy dokument określa zasady przetwarzania i ochrony danych osobowych osób odwiedzających stronę internetową semantio.pro oraz użytkowników (subskrybentów) aplikacji app.semantio.pro (zwanych dalej łącznie „Platformą”).

1. Kto jest administratorem Twoich danych?

Administratorem Twoich danych osobowych gromadzonych w związku z korzystaniem z Platformy jest Brand Semantics Prosta Spółka Akcyjna z siedzibą w Warszawie, przy ul. Puławskiej 77, 02-595 Warszawa, zarejestrowana pod numerem KRS: 0001222755, posługująca się numerem NIP: 5214154430 (dalej „Spółka” lub „Administrator”).

We wszelkich sprawach związanych z przetwarzaniem danych osobowych oraz w celu realizacji swoich praw, możesz kontaktować się z nami pod adresem e-mail: office@brandsemantics.eu.

2. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie?

Zasady przetwarzania Twoich danych różnią się w zależności od relacji, w jaką z nami wchodzisz:

Podanie danych w formularzu rejestracyjnym aplikacji jest warunkiem zawarcia umowy o świadczenie usług (subskrypcji SaaS). Brak podania podstawowych danych (w tym wymogów płatniczych) skutkuje niemożnością otwarcia konta. W formularzach kontaktowych podawanie danych innych niż adres e-mail jest zawsze opcjonalne.

3. Komu przekazujemy Twoje dane (Podwykonawcy)?

Platforma Semantio stanowi zaawansowaną usługę technologiczną. Aby zapewnić najwyższą jakość, niezawodność i możliwości analityczne (w tym AI), powierzamy przetwarzanie danych wyspecjalizowanym podmiotom trzecim (Subprocessors):

• Supabase, Inc. / Vercel, Inc. – dostawcy podstawowej infrastruktury serwerowej (bazy danych, środowiska wykonywania kodu, hostingu), zapewniający utrzymanie ciągłości działania aplikacji i przechowywanie informacji.

• Stripe, Inc. – certyfikowany operator usług płatniczych obsługujący model subskrypcyjny i fakturowanie. Spółka Brand Semantics nie gromadzi ani nie przechowuje bezpośrednio danych Twojej karty płatniczej.

• Dostawcy modeli LLM (m.in. Google LLC, OpenAI, Anthropic) – podmioty dostarczające interfejsy programistyczne generatywnej sztucznej inteligencji, analizujące przesyłane komunikaty (prompty) w celu tworzenia raportów analitycznych (z zachowaniem polityk gwarantujących brak wykorzystywania tych danych do trenowania publicznych modeli).

• GitHub, Inc. / Resend / Mailchimp – dostawcy systemów zarządzania powiadomieniami transakcyjnymi, marketingowymi e-mail oraz wsparcia operacyjnego.

• Inne firmy dostarczające nam narzędzia marketingowe i analityczne (na podstawie udzielonej przez Ciebie zgody na pliki cookies).

Transfery danych do państw trzecich (poza UE/EOG)
Z uwagi na globalny charakter naszych dostawców technologicznych (w tym usługodawców chmurowych z siedzibą w USA), Twoje dane osobowe mogą być przekazywane do państw spoza Europejskiego Obszaru Gospodarczego. Spółka gwarantuje, że transfer taki odbywa się z zachowaniem rygorystycznych środków ochrony. Podstawą legalności transferów do podmiotów w USA jest w pierwszej kolejności decyzja Komisji Europejskiej o odpowiednim stopniu ochrony wydana na bazie programu Data Privacy Framework (DPF). W pozostałych przypadkach lub w stosunku do podmiotów spoza struktury DPF, transfer zabezpieczany jest poprzez wdrożenie wiążących Standardowych Klauzul Umownych (SCC) wydanych przez Komisję Europejską.

4. Okres przechowywania danych (Retencja)

Dane przechowujemy tak długo, jak jest to niezbędne do realizacji celów, dla których zostały zebrane:

• W przypadku umowy SaaS – przez czas aktywności konta, a następnie w ramach zawieszenia do czasu trwałego usunięcia. Wprowadziliśmy na platformie innowacyjne mechanizmy Data Wipe, kasujące historię monitoringu i identyfikatorów po 90 dniach braku płatności. Pełne usunięcie konta, jeżeli nie nastąpi wcześniej na Twój wniosek, realizujemy systemowo po 24 miesiącach całkowitej nieaktywności.

• W celach marketingowych (Newsletter) – do momentu wycofania zgody lub wniesienia sprzeciwu. Adresy subskrybentów, którzy nie otwierają żadnych wiadomości od ponad 18 miesięcy, mogą być systematycznie usuwane z baz kontaktowych.

• UWAGA – Rejestr Przeciwdziałania Nadużyciom (Trial Abuse Registry): Z uwagi na ochronę przed wielokrotnym, niezgodnym z prawem wykorzystywaniem bezpłatnego okresu próbnego, na podstawie uzasadnionego interesu prawnego (art. 6 ust. 1 lit. f RODO), przechowujemy unikalne hasze (skróty kryptograficzne) adresów e-mail oraz identyfikatorów płatniczych Stripe przez okres 36 miesięcy od momentu usunięcia konta. Przez ten czas dane te służą wyłącznie weryfikacji na poziomie backendu podczas prób kolejnej rejestracji.

5. Pliki Cookies, Śledzenie Międzydomenowe i Profilowanie

Nasza Platforma stosuje pliki cookies (małe pliki tekstowe) oraz podobne technologie. Nasz system zarządzania zgodami działa przekrojowo (Cross-Domain) we wspólnym ekosystemie witryny marketingowej oraz środowiska samej aplikacji, co oznacza, że wybrane przez Ciebie preferencje prywatności są utrzymywane podczas płynnego przechodzenia między systemami.

Gromadzimy ciasteczka w podziale na kategorie:

1. Niezbędne cookies: Mechanizmy gwarantujące podstawową obronę przed atakami z sieci (np. weryfikacja CAPTCHA od Cloudflare, limitowanie zapytań), pliki podtrzymujące bezpieczne sesje użytkowników w aplikacji (generowane przez system autoryzacyjny) oraz skrypty menedżera zgód. Tych plików nie można wyłączyć.

2. Analizy statystyczne (Google Analytics, Microsoft Clarity): Zbierają zanonimizowane informacje (na podstawie m.in. skróconego adresu IP) pozwalające nam zrozumieć, w jaki sposób użytkownicy nawigują po stronach (mapy cieplne, liczba wizyt), dzięki czemu ulepszamy architekturę UX Platformy.

3. Marketing i Media Społecznościowe (Meta Pixel, OpenAI Ads, Google Ads, LinkedIn Insight Tag, X Pixel): Narzędzia stosowane w celach remarketingu i reklamy behawioralnej. Informują one globalne platformy społecznościowe o odwiedzinach określonych obszarów Platformy Semantio, co pozwala nam wyświetlać trafniejsze reklamy w innych częściach Internetu. Właściwe platformy reklamowe wykorzystują te dane do profilowania, dopasowując reklamy do zidentyfikowanych w swoich systemach profili.

4. Treści osadzone (np. YouTube): Wyświetlanie filmów osadzonych z zewnętrznych portali na Platformie Semantio uwarunkowane jest systemem "zaślepek". Dopóki aktywnie nie wyrazisz zgody na ich odtworzenie (klikając w komponent aktywacyjny), nie przesyłamy żadnych logów wideo do korporacji zewnętrznych. Udzielona zgoda na wyświetlenie filmu wiąże się z zapisem ciasteczek śledzących tego portalu na Twoim urządzeniu.

Statystyki raportów i badań (log serwera, bez plików cookies)
Na stronach raportów i map semantycznych (adresy zawierające /reports/) oraz przy pobieraniu plików raportów (PDF, materiały dla mediów, dane otwarte) zapisujemy na naszym serwerze następujące zdarzenia: wyświetlenie strony, pobranie pliku, udostępnienie (nazwa serwisu), użycie przycisku „Streść w” (nazwa asystenta AI) oraz kliknięcie przycisku kontaktu lub zamówienia badania. Przy zdarzeniu zapisujemy kraj (ustalony na podstawie adresu IP, ale bez zapisywania samego adresu), rodzaj i rodzinę przeglądarki, domenę strony, z której przyszedłeś, parametry kampanii (UTM) oraz skrót identyfikatora odwiedzającego. Skrót tworzymy z losowym kluczem zmienianym codziennie, więc nie da się nim połączyć wizyt z różnych dni. Nie zapisujemy adresu IP, pełnego identyfikatora przeglądarki ani plików cookies. Wizyty robotów, np. wyszukiwarek, liczymy osobno.

Cel: statystyka zasięgu raportów i ochrona plików przed nadużyciami. Podstawa: prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO). Dane szczegółowe przechowujemy do 25 miesięcy, potem zostają wyłącznie dzienne zestawienia zbiorcze.

Logi dostawcy hostingu. Vercel, Inc. zapisuje techniczne logi żądań (m.in. adres IP, czas i adres strony). Służą one działaniu i bezpieczeństwu serwisu, w tym ograniczaniu liczby pobrań plików z jednego adresu. Vercel przechowuje je zgodnie z własnymi okresami retencji.

Google Analytics i Microsoft Clarity działają wyłącznie po Twojej zgodzie na pliki analityczne. Działa Google Consent Mode v2, więc do czasu zgody wszystkie sygnały są wyłączone. Po zgodzie Google Analytics zapisuje pliki _ga i _ga_<id> (do 2 lat), a Microsoft Clarity pliki _clck i _clsk. Zdarzenia z raportów, np. pobranie pliku czy otwarcie mapy, nie zawierają danych osobowych. Twój wybór dotyczący plików cookies przechowujemy w pliku semantio_gdpr_consent przez 12 miesięcy.

Piksel Meta (Facebook i Instagram) działa wyłącznie po Twojej zgodzie na to narzędzie. Do czasu zgody skrypt Meta nie jest pobierany. Po zgodzie narzędzie przekazuje firmie Meta informację o odwiedzonych stronach Platformy (adres strony z parametrami kampanii, czas wizyty, dane techniczne przeglądarki) i zapisuje pliki _fbp oraz, po wejściu z reklamy, _fbc (do 90 dni). Meta może przypisać te informacje do Twojego profilu na Facebooku lub Instagramie. Dzięki temu mierzymy skuteczność reklam i możemy kierować je do osób, które odwiedziły Platformę (remarketing). Od Meta otrzymujemy wyłącznie zbiorcze statystyki. Odbiorcą danych jest Meta Platforms Ireland Limited (Irlandia), która może przekazywać dane do USA.

Piksel pomiarowy OpenAI Ads (reklama w ChatGPT) działa wyłącznie po Twojej zgodzie na to narzędzie. Do czasu zgody skrypt OpenAI nie jest pobierany. Narzędzie pozwala ustalić, które reklamy w ChatGPT prowadzą do odwiedzin Platformy i do działań takich jak pobranie raportu, wysłanie formularza kontaktowego lub rejestracja. Po zgodzie zapisuje pliki __oppref (identyfikator kliknięcia w reklamę, 30 dni) i __obref (identyfikator przeglądarki, 365 dni), a do każdego zdarzenia dołącza pełny adres strony z parametrami oraz te identyfikatory. Narzędzie OpenAI może też samo odczytywać dane wpisywane w formularzach (adres e-mail, numer telefonu, imię i nazwisko) i przesyłać je do OpenAI w postaci skrótu SHA-256, a także przybliżoną lokalizację (kraj, miasto, region, kod pocztowy); tą funkcją steruje OpenAI. Odbiorcą danych jest OpenAI Ireland Limited (Irlandia), która może przekazywać dane do spółek grupy OpenAI w USA na podstawie standardowych klauzul umownych.

Podstawą prawną działania obu narzędzi jest Twoja zgoda (art. 6 ust. 1 lit. a RODO). Narzędzia wdrażamy etapami. Aktualną listę narzędzi działających na Platformie zawsze znajdziesz w ustawieniach prywatności (odnośnik „Zarządzaj ciasteczkami” w stopce); narzędzie, którego tam nie ma, nie jest używane.

Jak zarządzać zgodami cookies?
W każdym momencie możesz wrócić do preferencji wyrażonych podczas pierwszej wizyty, modyfikując lub odrzucając poszczegnie pule plików cookies. Wystarczy kliknąć odnośnik „Zarządzaj ciasteczkami” umiejscowiony w stopce każdej strony naszej Platformy. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Uwaga prawna dotycząca zautomatyzowanego przetwarzania: Twoje dane osobowe mogą być poddawane profilowaniu na potrzeby spersonalizowania przesyłanych treści marketingowych, jednakże nie będą wykorzystywane do podejmowania decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które mogłyby wywoływać wobec Ciebie istotne skutki prawne.

6. Twoje Prawa

Zgodnie z uwarunkowaniami RODO, gwarantujemy Ci możliwość bezkosztowego wykonania następujących praw:

• Prawo dostępu: Możesz zażądać informacji o przetwarzanych na Twój temat danych.

• Prawo do sprostowania: W każdej chwili możesz zaktualizować swoje dane, korzystając z poziomu aplikacji lub kontaktując się z nami.

• Prawo do usunięcia (prawo do bycia zapomnianym): Jeżeli nie posiadamy twardej, innej podstawy prawnej do ich zachowania (np. wspomniany rejestr oszustw lub obowiązki księgowe).

• Prawo do ograniczenia przetwarzania oraz przenoszenia danych.

• Prawo wniesienia sprzeciwu: Wobec przetwarzania danych opartego na naszym uzasadnionym interesie (w tym przeciwko wykorzystywaniu e-maila do komunikacji informacyjno-ofertowej lub przeciwko profilowaniu).

• Skarga do Organu: Posiadasz prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), jeżeli uznasz, że nasze działania naruszają obowiązujące standardy prawne.