Polityka prywatności

1. Administrator

Usługodawcą i administratorem danych jest Artem Starostenkov Software (jednoosobowa działalność gospodarcza), NIP 9512459479 (dalej „Usługodawca” albo „Administrator”).

Kontakt: direct@aifota.pl. Serwis działa pod adresem https://aifota.pl.

Adres do doręczeń podajemy na fakturze VAT oraz na żądanie wysłane na direct@aifota.pl.

Nie powołaliśmy inspektora ochrony danych. W sprawach RODO pisz na direct@aifota.pl.

2. Jakie dane przetwarzamy

• Dane konta: adres e-mail, data utworzenia, status (w tym usunięcie i przywrócenie), saldo Kredytów.
• Logowanie: jednorazowy kod (przechowywany jako skrót), adres IP, przybliżony opis przeglądarki — w celu ochrony przed nadużyciami i wieloma Kontami.
• Treści i pliki: zdjęcia produktu, referencje, życzenia, ustawienia Projektu, Wyniki, miniatury.
• Rozliczenia: identyfikatory zamówień, Pakietu, sesji Stripe, faktury Infakt, kwoty, status zwrotu albo sporu. Numerów kart nie przechowujemy — robi to Stripe.
• Komunikacja: treść zgłoszeń na e-mail wsparcia.
• Dane techniczne: logi błędów, identyfikatory zadań generacji, przybliżone metryki użycia.
• Identyfikatory analityczne i reklamowe: DataFast, Meta Pixel, a także planowane Google Analytics i Google Ads.

Nie zbieramy celowo numeru PESEL, dowodu osobistego ani numeru telefonu do korzystania z generatora. Nie profilujemy w celu oceny zdolności kredytowej.

3. Cele i podstawy (RODO)

• Założenie Konta, logowanie, generacja, zapis Projektów, saldo Kredytów — art. 6 ust. 1 lit. b (umowa).
• Płatność Stripe, faktura Infakt, korekty, księgowość i obowiązki podatkowe — art. 6 ust. 1 lit. b oraz lit. c.
• Reklamacje, rozliczenie chargeback, bezpieczeństwo, limity, przeciwdziałanie nadużyciom (w tym powtórnemu trialowi po usunięciu Konta) — art. 6 ust. 1 lit. f oraz — gdy obowiązek prawny — lit. c.
• Wysyłka kodu logowania na e-mail — art. 6 ust. 1 lit. b.
• Niezbędne pliki cookies / pamięć lokalna (sesja, ochrona, preferencja motywu) — art. 6 ust. 1 lit. b albo f oraz wyjątek z art. 399 ust. 3 Prawa komunikacji elektronicznej.
• Analityka (DataFast, planowany Google Analytics) oraz marketing (Meta Pixel, planowane Google Ads) — art. 6 ust. 1 lit. a oraz art. 399 PKE: po zgodzie, którą można wycofać. Do czasu banera zgody DataFast i Meta Pixel są włączone, jak w sekcji 5.
• Cloudflare Turnstile (ochrona przed botami, gdy włączymy) — art. 6 ust. 1 lit. f, a gdy jest konieczny do żądanej usługi — wyjątek z art. 399 PKE.

Prawnie uzasadniony interes to w szczególności: ciągłość Serwisu, ochrona przed oszustwem, dochodzenie roszczeń, poprawa stabilności. Możesz wnieść sprzeciw wobec przetwarzania opartego na art. 6 ust. 1 lit. f.

4. Odbiorcy i przekazywanie poza EOG

Dane mogą trafić wyłącznie do podmiotów, które ich potrzebują do działania Serwisu:

• Stripe — płatności i spory (w tym podmioty grupy Stripe poza EOG, na podstawie standardowych klauzul umownych / innych mechanizmów zgodnych z RODO).
• Infakt — faktury VAT (podmiot z siedzibą w Polsce).
• Zewnętrzni dostawcy modeli sztucznej inteligencji — przekazujemy zdjęcia i tekst zlecenia wyłącznie po to, żeby powstał Wynik. Nie trenujemy na nich własnych modeli. Dostawca może krótko przechować zlecenie u siebie, zgodnie ze swoim regulaminem.
• Vercel — hosting aplikacji, zadania cykliczne i magazyn plików (Vercel Blob).
• Railway — baza danych (region UE).
• OVH — poczta SMTP (wysyłka kodów logowania).
• DataFast — analityka ruchu i atrybucja płatności (po zgodzie, o ile narzędzie zapisuje identyfikatory w urządzeniu).
• Meta Platforms (Pixel) — pomiar odwiedzin, konwersji i remarketing (obecnie w Serwisie).
• Google (Analytics, Ads) — po wdrożeniu i wyłącznie po zgodzie.
• Cloudflare — Turnstile, gdy włączymy ochronę formularzy.
• Organy publiczne — tylko gdy wymaga tego prawo.

Przekazanie do USA albo innego państwa trzeciego odbywa się, gdy dany dostawca tam przetwarza dane: na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework, o ile dostawca uczestniczy) albo standardowych klauzul umownych Komisji Europejskiej i dodatkowych zabezpieczeń.

Nie sprzedajemy danych osobowych.

5. Cookies i podobne technologie (PKE)

Od 10 listopada 2024 r. zasady zapisu informacji w urządzeniu końcowym określa art. 399–402 ustawy — Prawo komunikacji elektronicznej. Zgoda musi spełniać wymogi RODO (dobrowolna, konkretna, świadoma, jednoznaczna, do wycofania).

Niezbędne (bez zgody — potrzebne do żądanej usługi):

• aifota_session — sesja zalogowanego Użytkownika;
• aifota_guest_analyze — limit darmowej analizy bez Konta;
• aifota-theme (pamięć lokalna) — jasny / ciemny / auto;
• techniczne ciasteczka Stripe w trakcie płatności;
• Cloudflare Turnstile — gdy będzie włączony, w zakresie koniecznym do odróżnienia człowieka od bota.

Analityczne (zgoda): DataFast (m.in. datafast_visitor_id, datafast_session_id — także po to, by przypisać płatność Stripe do źródła ruchu); planowany Google Analytics.

Marketingowe (zgoda): Meta Pixel (m.in. _fbp — pomiar odwiedzin, konwersji i remarketing); planowane Google Ads.

Narzędzia analityczne i reklamowe nie są niezbędne do wygenerowania zdjęcia. Do czasu wdrożenia banera zgody nie uruchamiamy Google Analytics ani Google Ads. DataFast i Meta Pixel są obecnie w Serwisie; po uruchomieniu banera ograniczymy ich zapis w urządzeniu do Użytkowników, którzy wybiorą odpowiednio analitykę albo marketing.

Przeglądarką możesz czyścić cookies. Wyłączenie niezbędnych może wylogować z Konta albo zepsuć płatność.

6. Jak długo trzymamy dane

• Projekty i pliki: 180 dni od ostatniej aktywności w Projekcie, potem automatyczne usunięcie.
• Konto po samodzielnym usunięciu: 90 dni (przywrócenie), potem trwałe skasowanie. Adres e-mail możemy zachować w ewidencji dezaktywacji, żeby nie przyznawać ponownego trialu.
• Zamówienia, faktury, korekty: okresy z przepisów o rachunkowości i VAT (zazwyczaj 5 lat od końca roku).
• Logi techniczne i logowania: do 12 miesięcy, dłużej gdy toczy się spór albo kontrola.
• Zgody cookies: do wycofania albo do czasu, gdy baner zbierze nową decyzję.

Serwis nie jest długoterminowym dyskiem. Pobieraj Wyniki. Po usunięciu Projektu albo Konta odtworzenie plików zwykle nie jest możliwe.

7. Twoje prawa

Przysługuje Ci: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw wobec art. 6 ust. 1 lit. f, wycofanie zgody (bez wpływu na zgodność przetwarzania przed wycofaniem) oraz skarga do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Żądanie wyślij z adresu e-mail Konta na direct@aifota.pl. Możesz też usunąć Konto w profilu. Część danych (faktury, ślad trialu, toczący się spór) możemy zachować, gdy prawo albo nasz uzasadniony interes tego wymaga.

8. Osoby małoletnie

Serwis jest dla osób pełnoletnich. Jeśli dowiemy się, że Konto założyła osoba poniżej 18 lat, usuniemy je.

9. Bezpieczeństwo

Stosujemy HTTPS, ograniczone pule połączeń do bazy, skróty kodów logowania, kontrolę dostępu do panelu administracyjnego i kasowanie plików po upływie retencji. Żadne środki nie dają stuprocentowej gwarancji. O naruszeniu zawiadomimy Ciebie i organ, gdy będą tego wymagać przepisy.

10. Zmiany Polityki

Aktualną wersję publikujemy na tej stronie z datą obowiązywania. Istotną zmianę (nowi odbiorcy, nowy cel, nowe cookies marketingowe) ogłosimy w Serwisie albo na e-mail. Dalsze korzystanie po zmianie — w zakresie, w jakim prawo na to pozwala — oznacza zapoznanie się z nową wersją. Nowe zgody cookies zbierzemy, gdy będą potrzebne.