POLITYKA PRYWATNOŚCI - Platforma Granacci

Wersja 1.0 | Data wejścia w życie: 1 października 2026 r.

Niniejsza Polityka prywatności (dalej: „Polityka”) określa zasady przetwarzania danych osobowych osób korzystających z platformy Granacci dostępnej pod adresem https://granacci.com (dalej: „Platforma” lub „Serwis”) oraz informacje o przysługujących im prawach. Polityka realizuje obowiązek informacyjny wynikający z RODO, a także obowiązki wynikające z ustawy o świadczeniu usług drogą elektroniczną, ustawy Prawo komunikacji elektronicznej (dalej: „PKE”) oraz AI Act (w zakresie informowania o interakcji z AI).

Polityka stanowi integralną część Regulaminu świadczenia usług Platformy Granacci i powinna być czytana łącznie z nim. Pojęcia pisane wielką literą, a niezdefiniowane w Polityce, mają znaczenie nadane im w Regulaminie.

§ 1. Administrator danych i kontakt

• Administratorem danych osobowych jest Piotr Rezmer, prowadzący działalność gospodarczą pod firmą „IL-Piotr Rezmer”, ul. Jagiellońska 2C/13, 84-300 Lębork, Polska, NIP 8411018359, REGON 770930116 (dalej: „Administrator”, „Operator” lub „my”).
• Kontakt we wszelkich sprawach dotyczących danych osobowych: e-mail: privacy@granacci.com; w pozostałych sprawach: contact@granacci.com; tel. +48 604 158 198; pisemnie — na adres wskazany w ust. 1.
• Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). Żądania i pytania dotyczące danych należy kierować na dane kontaktowe wskazane w ust. 2.

§ 2. Zakres Polityki i definicje

• Polityka dotyczy danych osobowych, wobec których Administrator samodzielnie ustala cele i sposoby przetwarzania (jest administratorem). Zasady przetwarzania danych osób trzecich powierzanych Administratorowi przez Użytkownika będącego Przedsiębiorcą (np. obsady i ekipy) określa § 7 oraz odrębna umowa powierzenia (DPA).

• Na potrzeby Polityki:

• **„Użytkownik” — **osoba fizyczna korzystająca z Platformy, w tym posiadacz Konta oraz osoba zaproszona do współpracy w Projekcie;

• **„EOG” — **Europejski Obszar Gospodarczy;

• **„SCC” — **standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 dotyczące przekazywania danych do państw trzecich;

• **„DPF” — **EU-U.S. Data Privacy Framework, mechanizm transferu do certyfikowanych podmiotów w USA (decyzja wykonawcza Komisji (UE) 2023/1795).

• **AI Act — **Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Tekst mający znaczenie dla EOG)

• **RODO — **Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Tekst mający znaczenie dla EOG)

• Pozostałe pojęcia (m.in. Konto, Projekt, Plik Użytkownika, Wynik AI, Subskrypcja, Kredyty AI, Funkcja „Dojazd”) mają znaczenie nadane w Regulaminie.

§ 3. Kategorie przetwarzanych danych

• Administrator przetwarza dane w zakresie niezbędnym do osiągnięcia celów wskazanych w § 4 Polityki. Dane podawane przez Użytkownika obejmują w szczególności:

• adres e-mail oraz hasło (uwierzytelnianie realizuje zewnętrzny dostawca tożsamości; Operator nie przechowuje haseł we własnych systemach, a przy logowaniu przez zewnętrznych dostawców, np. Google, hasło nie jest przechowywane wcale), w celu założenia i obsługi Konta;

• oświadczenie o statusie (Konsument / Przedsiębiorca na prawach konsumenta / Przedsiębiorca), a w przypadku Przedsiębiorcy — dane firmowe, w tym numer identyfikacji podatkowej (NIP/VAT-ID);

• treści wprowadzane do Platformy w ramach Projektów, w tym Pliki Użytkownika, treść promptów oraz Wyniki AI, a także robocze nagrania audio-wideo z planu (mogące zawierać wizerunek i głos osób) na potrzeby funkcji montażu roboczego, w zakresie, w jakim zawierają dane osobowe;

• treść korespondencji oraz zgłoszeń reklamacyjnych.

• Dane zbierane automatycznie obejmują w szczególności: adres IP oraz identyfikatory techniczne sesji i urządzenia, informacje o przeglądarce oraz dane logów i dane diagnostyczne (rejestrowane w postaci ograniczonej, po usunięciu danych zbędnych, m.in. bez treści żądań i danych uwierzytelniających), w celach bezpieczeństwa i utrzymania Platformy.

• Dane o lokalizacji przetwarzane są wyłącznie w związku z Funkcją „Dojazd”, na zasadzie dobrowolnego udziału — zob. § 5 Polityki.

• Przy wejściu na ekran logowania przetwarzamy adres IP — ulotnie, wyłącznie w celu ustalenia kraju Użytkownika, bez zapisywania go; jeżeli Usługa nie jest jeszcze dostępna w danym kraju, wyświetlamy informację o tym oraz propozycję zapisu na listę oczekujących, a w takim przypadku zapisujemy adres e-mail oraz kod kraju. W ramach programu poleceń przetwarzamy fingerprint karty płatniczej — pseudonimowy identyfikator instrumentu płatniczego generowany po stronie Stripe (nie numer karty) — w celu przeciwdziałania nadużyciom (ta sama karta użyta na wielu kontach); podstawa: art. 6 ust. 1 lit. f RODO.

• Administrator nie zwraca się o podanie danych szczególnych kategorii w rozumieniu art. 9 RODO ani danych dotyczących wyroków skazujących. Użytkownik nie powinien wprowadzać do Platformy (w Plikach Użytkownika, promptach ani danych Projektu) danych osobowych osób trzecich bez własnej podstawy prawnej ani danych szczególnych kategorii; zasady i odpowiedzialność w tym zakresie określa Regulamin oraz § 7 Polityki.

§ 4. Cele, podstawy prawne i okresy przetwarzania

• Cele przetwarzania, odpowiadające im podstawy prawne oraz okresy przechowywania danych przedstawia poniższe zestawienie:

Funkcja montażu roboczego („rough cut”): na zlecenie Klienta Operator odbiera i przechowuje robocze kopie obrazu z planu (proxy), które mogą zawierać wizerunek i głos osób — na podstawie art. 6 ust. 1 lit. b RODO (wykonanie umowy), a w zakresie danych osób trzecich powierzonych przez Klienta na zasadach powierzenia (§ 7 oraz Warunki powierzenia); kopie te są usuwane wraz z Projektem, a wcześniej — po upływie okresu retencji ustalonego przez Klienta (domyślnie 12 miesięcy od przesłania). W ramach funkcji odczytu na głos Operator tworzy ponadto tymczasowy cache syntezy audio treści scenariusza, przechowywany do 90 dni.

• Podanie danych jest dobrowolne, jednak w zakresie wskazanym jako warunek zawarcia i wykonania umowy, niezbędne do założenia Konta i korzystania z Usług; brak ich podania uniemożliwia skorzystanie z odpowiednich funkcjonalności.
• Administrator nie wykorzystuje danych Użytkowników ani treści przetwarzanych w funkcjach AI do trenowania, doskonalenia ani ewaluacji modeli sztucznej inteligencji.

§ 5. Funkcja „Dojazd” — dane o lokalizacji

• Funkcja „Dojazd” działa wyłącznie na zasadzie dobrowolnego udziału i służy udostępnieniu koordynatorowi produkcji informacji o statusie lub przewidywanym czasie dojazdu osoby na plan.
• Przetwarzanie ograniczono do niezbędnego minimum: Platforma przechowuje wyłącznie bieżącą pozycję i nie zapisuje historii ani trasy. Bieżąca pozycja jest usuwana z chwilą zakończenia sesji — w wyniku ręcznego zatrzymania przez Użytkownika, automatycznego wykrycia przybycia albo automatycznego zakończenia sesji po upływie ustalonego czasu. Koordynator nie otrzymuje surowych współrzędnych, a jedynie informację pochodną.
• Udostępnianie lokalizacji jest w każdej chwili odwoływalne. Po zakończeniu sesji zachowywane są wyłącznie metadane sesji niezawierające lokalizacji (fakt i przebieg sesji), usuwane wraz z usunięciem powiązanego kontaktu lub Projektu.
• Podstawą przetwarzania danych o lokalizacji jest zgoda (art. 6 ust. 1 lit. a RODO). Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem.

§ 6. Funkcje AI i decyzje zautomatyzowane

• Korzystanie z funkcji AI stanowi interakcję z systemem sztucznej inteligencji, o czym Użytkownik jest informowany w interfejsie Platformy.
• Treści przetwarzane w funkcjach AI (prompty, Pliki Użytkownika i ich pochodne) przekazywane są dostawcy modeli AI działającemu jako podmiot przetwarzający, wyłącznie w celu wygenerowania Wyniku AI. Przetwarzanie odbywa się w środowisku dostawcy infrastruktury chmurowej w taki sposób, że dane wnioskowania nie opuszczają tej infrastruktury, a dostawca modelu nie uzyskuje do nich dostępu.
• Ani Administrator, ani dostawca modeli AI nie wykorzystują treści Użytkownika do trenowania, doskonalenia ani ewaluacji modeli.
• Dane Użytkownika nie podlegają zautomatyzowanemu podejmowaniu decyzji wywołującemu skutki prawne lub w podobny sposób istotnie wpływającemu na Użytkownika. Wynik AI ma charakter pomocniczy; decyzje podejmuje Użytkownik. Administrator nie prowadzi profilowania w celach marketingowych.

§ 7. Dane osób trzecich wprowadzane przez Użytkownika

• Jeżeli Użytkownik, niezależnie od statusu Konsumenta lub Przedsiębiorcy, wprowadza do Platformy dane osobowe osób trzecich (m.in. obsady i ekipy — np. imię i nazwisko, dane kontaktowe, rola, harmonogram, a także wizerunek i głos utrwalone w roboczych nagraniach z planu), pozostaje w tym zakresie administratorem tych danych, a Administrator (Operator) działa jako podmiot przetwarzający. O powstaniu powierzenia decyduje charakter przetwarzania, a nie status Użytkownika.
• Powierzenie przetwarzania następuje na podstawie Warunków powierzenia spełniających wymogi art. 28 RODO, stanowiących integralną część Regulaminu i akceptowanych wraz z nim; na żądanie Operator udostępnia je również jako odrębny dokument. Obowiązek informacyjny oraz zapewnienie podstawy prawnej wobec osób, których dane dotyczą, spoczywa na Użytkowniku.

§ 8. Odbiorcy danych i podmioty przetwarzające

• Administrator powierza przetwarzanie danych wyłącznie podmiotom zapewniającym poziom ochrony wymagany RODO, na podstawie umów powierzenia zgodnych z art. 28 RODO. Odbiorcami danych mogą być następujące kategorie podmiotów:

• dostawcy infrastruktury hostingowej, obliczeniowej i bazodanowej — co do zasady na terytorium EOG;

• dostawcy usług uwierzytelniania i zarządzania tożsamością — w zakresie logowania i przechowywania danych uwierzytelniających;

• dostawcy modeli sztucznej inteligencji w modelu API — w zakresie niezbędnym do realizacji funkcji AI;

• operatorzy płatności — w zakresie obsługi płatności, fakturowania i rozliczenia podatków;

• dostawcy poczty elektronicznej (transakcyjnej i kontaktowej);

• dostawcy usług komunikacji SMS — w zakresie wysyłki powiadomień SMS;

• dostawcy usług monitorowania błędów i obserwowalności (w zakresie danych diagnostycznych);

• zewnętrzni doradcy (księgowy, doradca podatkowy, prawny) — w zakresie niezbędnym, z zachowaniem poufności;

• dostawcy usług IT wspierający Administratora doraźnie — wyłącznie w zakresie niezbędnym do konkretnego zadania;

• uprawnione organy — w przypadkach przewidzianych prawem, na podstawie zgodnego z prawem żądania.

• Dane instrumentów płatniczych (np. dane karty) są przetwarzane bezpośrednio przez operatora płatności w jego własnym zakresie; Administrator nie przechowuje pełnych danych kart płatniczych.

• Administrator nie sprzedaje danych osobowych ani nie udostępnia ich podmiotom trzecim w celach marketingowych lub reklamowych.

• Na żądanie skierowane na: privacy@granacci.com Administrator udzieli informacji o aktualnej tożsamości konkretnych podmiotów przetwarzających dane danego Użytkownika oraz o zastosowanych zabezpieczeniach transferu.

• Przybliżoną lokalizację Operator ustala na podstawie adresu IP lokalnie, bez przekazywania danych podmiotom trzecim; w tym zakresie wykorzystuje dane GeoLite2 (© MaxMind, www.maxmind.com). Ustalanie kraju odbywa się na lokalnej bazie GeoLite2 utrzymywanej na własnym serwerze Operatora — adres IP nie jest przekazywany do MaxMind ani żadnej innej usługi zewnętrznej; MaxMind nie jest odbiorcą ani sub-procesorem danych.

This product includes GeoLite2 data created by MaxMind, available from https://www.maxmind.com

§ 9. Przekazywanie danych poza EOG

• Co do zasady dane są przetwarzane w obrębie EOG. W zakresie, w jakim dostawca ma siedzibę poza EOG (w szczególności w USA) lub przetwarzanie może się tam odbywać, przekazanie danych następuje na podstawie SCC wraz z dodatkowymi zabezpieczeniami, a, jeżeli dany podmiot jest certyfikowany, na podstawie DPF.
• Kopię zastosowanych zabezpieczeń oraz informację o aktualnych mechanizmach transferu można uzyskać, kontaktując się pod adresem: privacy@granacci.com.

§ 10. Prawa osób, których dane dotyczą

• Osobie, której dane dotyczą, przysługują następujące prawa:

• prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO);

• prawo do sprostowania danych (art. 16 RODO);

• prawo do usunięcia danych (art. 17 RODO);

• prawo do ograniczenia przetwarzania (art. 18 RODO);

• prawo do przenoszenia danych (art. 20 RODO);

• prawo do sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, w tym profilowania, a w każdym czasie, wobec marketingu bezpośredniego (art. 21 RODO);

• prawo do cofnięcia zgody w dowolnym momencie, gdy przetwarzanie opiera się na zgodzie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem (art. 7 ust. 3 RODO).

• Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do organu nadzorczego tj. Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa (www.uodo.gov.pl).

• Żądania można składać na: privacy@granacci.com. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca; w sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące, o czym Administrator poinformuje. Pierwsza kopia danych jest nieodpłatna. W razie uzasadnionych wątpliwości co do tożsamości Administrator może żądać dodatkowych informacji w celu jej potwierdzenia.

§ 11. Bezpieczeństwo danych

• Administrator wdraża odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiadający ryzyku, w szczególności: szyfrowanie transmisji danych (TLS), uwierzytelnianie za pośrednictwem zewnętrznego dostawcy tożsamości (Operator nie przechowuje haseł), kontrolę dostępu w oparciu o zasadę wiedzy koniecznej, wykonywanie kopii zapasowych oraz monitorowanie i aktualizację zabezpieczeń.
• Dostęp do danych ograniczony jest do Administratora oraz uprawnionych podmiotów przetwarzających działających na podstawie umów powierzenia.
• System rejestruje fakt i czas otwarcia linku aplikacji towarzyszącej udostępnionego osobie trzeciej (np. aktorowi lub członkowi ekipy) — datę ostatniego otwarcia oraz liczbę otwarć — w celu umożliwienia właścicielowi Projektu oceny, czy link był używany, i decyzji o jego unieważnieniu. Zliczanie ustaje z chwilą unieważnienia linku; historia otwarć pozostaje wówczas częścią rejestru dostępu do czasu trwałego usunięcia tokenu.

§ 12. Pliki cookies i podobne technologie

• Platforma korzysta z plików cookies oraz podobnych technologii (m.in. pamięci lokalnej przeglądarki), tj. niewielkich informacji zapisywanych i odczytywanych w urządzeniu końcowym Użytkownika. Zasady przechowywania informacji i uzyskiwania do niej dostępu w urządzeniu końcowym określa art. 399 PKE, a przetwarzanie danych osobowych pozyskanych z plików cookies RODO.

• Ze względu na cel Platforma stosuje następujące kategorie plików cookies i podobnych technologii:

• niezbędne — konieczne do prawidłowego działania Platformy i świadczenia usługi żądanej przez Użytkownika (m.in. utrzymanie sesji i uwierzytelnienie, bezpieczeństwo i ochrona przed nadużyciami, zapamiętanie preferencji, np. języka, motywu oraz waluty podglądu w cenniku); stosowane bez zgody na podstawie art. 399 ust. 3 pkt 2 PKE;

• analityczne i dotyczące wydajności — służące analizie sposobu korzystania z Platformy w celu jej ulepszania (m.in. statystyka użycia); stosowane wyłącznie po wyrażeniu zgody;

• marketingowe — służące prezentowaniu i pomiarowi skuteczności treści marketingowych; stosowane wyłącznie po wyrażeniu zgody.

• Pliki niezbędne stosowane są niezależnie od zgody. Umieszczenie i odczyt plików innych niż niezbędne następuje wyłącznie po uprzednim wyrażeniu przez Użytkownika dobrowolnej zgody; przetwarzanie danych osobowych pozyskanych z takich plików opiera się wówczas na art. 6 ust. 1 lit. a RODO (zgoda), a w odniesieniu do plików niezbędnych na art. 6 ust. 1 lit. b lub f RODO (świadczenie usługi oraz bezpieczeństwo).

• Zgoda wyrażana jest za pośrednictwem mechanizmu zarządzania zgodami (bannera) udostępniającego równorzędną możliwość zaakceptowania i odrzucenia plików nienależących do kategorii niezbędnych. Do czasu wyrażenia zgody nie są stosowane pliki inne niż niezbędne. Zgoda jest dobrowolna i może zostać w każdej chwili wycofana ze skutkiem na przyszłość, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

• Okres przechowywania zależy od rodzaju pliku: pliki sesyjne są usuwane po zakończeniu sesji przeglądarki, a pliki stałe są przechowywane przez oznaczony czas albo do momentu wycofania zgody lub ich usunięcia przez Użytkownika. Szczegółowy i aktualny wykaz stosowanych plików (nazwa, cel, czas przechowywania, ewentualny dostawca zewnętrzny) prezentowany jest w mechanizmie zarządzania zgodami lub na dedykowanej stronie o plikach cookies, do której odsyła baner zgód, w Serwisie.

• Użytkownik może samodzielnie zarządzać plikami cookies z poziomu ustawień przeglądarki, w tym je blokować lub usuwać. Ograniczenie lub zablokowanie plików niezbędnych może uniemożliwić prawidłowe korzystanie z Platformy.

• W ramach procesów realizowanych przez podmioty trzecie (w szczególności obsługi płatności) mogą być stosowane pliki cookies tych podmiotów, podlegające ich własnym politykom; Administrator nie ma nad nimi kontroli.

§ 13. Linki zewnętrzne i odpowiedzialność

• Platforma może zawierać odesłania do stron i usług podmiotów trzecich. Po przejściu na taką stronę Użytkownik podlega zasadom przetwarzania danych obowiązującym u danego podmiotu. Administrator nie ponosi odpowiedzialności za treść, działanie ani zasady przetwarzania danych na stronach podmiotów trzecich i zaleca zapoznanie się z ich politykami prywatności.
• Treści zamieszczane przez Użytkownika w Projektach, promptach lub Plikach Użytkownika (w tym odesłania i materiały osób trzecich) są przekazywane na wyłączną odpowiedzialność Użytkownika.

§ 14. Wiek Użytkowników

Platforma jest przeznaczona wyłącznie dla osób, które ukończyły 18 lat. Administrator nie gromadzi świadomie danych osób niespełniających tego wymogu; w razie powzięcia takiej informacji podejmie działania w celu niezwłocznego usunięcia danych lub zablokowania Konta.

§ 15. Zmiany Polityki

• Administrator może zmienić Politykę w razie zmiany przepisów, praktyki regulacyjnej, zakresu funkcjonalności, podmiotów przetwarzających lub innych istotnych okoliczności. O istotnych zmianach Użytkownicy zostaną poinformowani w sposób adekwatny do charakteru zmiany, w szczególności przez komunikat w Platformie lub wiadomość e-mail oraz publikację zaktualizowanej Polityki w Serwisie.
• Jeżeli podstawą przetwarzania jest zgoda, a zmiana wpływa na jej zakres, Administrator pozyska nową zgodę przed rozpoczęciem przetwarzania na nowych zasadach.

§ 16. Postanowienia końcowe

• W zakresie nieuregulowanym w Polityce stosuje się Regulamin oraz powszechnie obowiązujące przepisy, w szczególności RODO, ustawę o świadczeniu usług drogą elektroniczną oraz PKE.
• Polityka sporządzona jest w języku polskim; wersja w innym języku ma charakter pomocniczy, a w razie rozbieżności wiążąca jest wersja polska, z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa miejsca zwykłego pobytu Konsumenta.
• Polityka w niniejszej wersji wchodzi w życie z dniem 1 października 2026 r.