Polityka prywatności

POLITYKA PRYWATNOŚCI (RODO) — humai.pl

Data wejścia w życie: 7 lipca 2026 r. Data ostatniej aktualizacji: 12 października 2026 r. Wersja: 1.2

1. Wprowadzenie

Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych użytkowników serwisu internetowego humai.pl (dalej: "Serwis", "Usługa"), umożliwiającego przetwarzanie ("humanizację") tekstu z udziałem systemów sztucznej inteligencji.

Dokument stanowi realizację obowiązku informacyjnego wynikającego z art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Dane są zbierane bezpośrednio od osoby, której dotyczą, dlatego zastosowanie znajduje art. 13 RODO (a nie art. 14).

2. Administrator danych osobowych

Administratorem Twoich danych osobowych w rozumieniu art. 4 pkt 7 RODO jest:

Nazwa: AutoXCyber Mateusz Grądkowski
Forma prawna: jednoosobowa działalność gospodarcza (CEIDG)
NIP: 1182241134 (zwolniony z VAT do 30 września 2026 r.; od 1 października 2026 r. czynny podatnik VAT)
REGON / KRS: 523059876 (brak KRS)
Adres siedziby: ul. Wergiliusza 7/69, 01-915 Warszawa
Adres e-mail do kontaktu w sprawach danych osobowych: kontakt@humai.pl

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz wykonywania przysługujących Ci praw możesz kontaktować się z Administratorem pod wskazanym wyżej adresem e-mail.

3. Inspektor Ochrony Danych (IOD)

Administrator nie powołał Inspektora Ochrony Danych (IOD).

Powołanie IOD jest obowiązkowe wyłącznie w przypadkach wskazanych w art. 37 ust. 1 RODO, tj. gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę szczególnych kategorii danych z art. 9 RODO. Działalność Serwisu polega na przetwarzaniu tekstu wprowadzanego przez użytkownika na jego żądanie — Administrator nie prowadzi systematycznego monitorowania osób, a przetwarzanie nie odbywa się na dużą skalę w rozumieniu motywu 91 RODO. Powołanie IOD nie jest zatem obowiązkowe.

We wszystkich sprawach dotyczących danych osobowych kontaktuj się bezpośrednio z Administratorem (sekcja 2 i sekcja 16).

4. KLUCZOWA INFORMACJA: tekst wklejany przez Ciebie jest przesyłany do zewnętrznych dostawców AI w USA

To najważniejsza informacja w tej Polityce — prosimy o uważne zapoznanie się z nią.

Istotą Usługi jest przetworzenie ("humanizacja") tekstu, który wprowadzasz. Aby zrealizować Usługę, treść wprowadzonego przez Ciebie tekstu jest przesyłana do zewnętrznych dostawców dużych modeli językowych (LLM):

Anthropic (model Claude) — z siedzibą w Stanach Zjednoczonych (USA), oraz/lub
Google (model Gemini) — z siedzibą w Stanach Zjednoczonych (USA).

Oznacza to, że wprowadzony przez Ciebie tekst opuszcza Europejski Obszar Gospodarczy (EOG) i jest przekazywany do przetwarzania na serwery dostawcy w USA. Zasady tego transferu opisano w sekcji 9.

Ważne ostrzeżenie

Nie wklejaj do Serwisu danych osobowych osób trzecich, danych poufnych, tajemnic (np. tajemnicy przedsiębiorstwa), ani danych szczególnych kategorii w rozumieniu art. 9 RODO (m.in. danych o zdrowiu, pochodzeniu etnicznym, poglądach politycznych, przekonaniach religijnych, danych dotyczących seksualności), chyba że masz do tego odrębną podstawę prawną i jesteś świadomy(a), że dane te zostaną przesłane do dostawcy LLM w USA.

Administrator nie wymaga i nie oczekuje wprowadzania takich danych. Za treść wprowadzanego tekstu i jego zgodność z prawem odpowiada użytkownik (zob. Regulamin).

5. Jakie dane przetwarzamy

Poniższa tabela odwzorowuje rzeczywisty zakres danych przetwarzanych w Serwisie (mapowanie na strukturę bazy danych).

Kategoria / zbiór	Zakres danych
Konto użytkownika (`user`)	Imię/nazwa, adres e-mail, skrót (hash) hasła, identyfikator Google (przy logowaniu Google), zdjęcie/awatar (image), wybrany plan (Free/Pro)
Subskrypcja i płatności (`subscription`)	Identyfikator klienta i subskrypcji w systemie Stripe (Stripe customer id / subscription id). Danych karty płatniczej Administrator nie przechowuje — są one przetwarzane bezpośrednio przez Stripe
Liczniki użycia (`usage_daily`, `usage_monthly`)	Liczniki wykorzystania Usługi (liczba humanizacji w danym dniu, zużycie tokenów w danym miesiącu) na potrzeby egzekwowania limitów planu
Historia humanizacji (`humanizations`)	Ton/styl, długość wprowadzonego tekstu (liczba znaków), skrócony podgląd wyniku (do 90 znaków), liczba tokenów, heurystyczne wskaźniki stylu, znacznik czasu. Pełna treść tekstu wejściowego ani pełny wynik nie są przechowywane.
Tokeny weryfikacji e-mail (`email_verification_tokens`)	Skrót (hash) tokenu służącego do potwierdzenia adresu e-mail
Tokeny resetu hasła (`password_reset_tokens`)	Skrót (hash) tokenu służącego do resetu hasła
Licznik anonimowy (`anon_usage`)	Dobowe liczniki użyć przypisane do skrótu HMAC-SHA256 (z tajnym kluczem) adresu IP (dla IPv6 — puli /64), a dla użytkowników niezalogowanych także do skrótu adresu IP łącznie z losowym identyfikatorem przeglądarki (`humai_anon_id` z localStorage) — na potrzeby limitów dla użytkowników niezalogowanych i przeciwdziałania nadużyciom. Adres IP ani identyfikator nie są zapisywane jawnie
Sesja	Token sesji Auth.js (JWT) przechowywany w pliku cookie
localStorage (pamięć przeglądarki)	Licznik anonimowego użycia (Free), losowy identyfikator przeglądarki (`humai_anon_id` — wysyłany z żądaniem humanizacji wyłącznie w celu egzekwowania darmowego limitu po stronie serwera) oraz zapamiętanie wyboru zgody na cookies

Skrót adresu IP (oraz identyfikatora przeglądarki) stanowi daną spseudonimizowaną, lecz w dalszym ciągu może być daną osobową w rozumieniu RODO.

6. Cele i podstawy prawne przetwarzania (art. 6 RODO)

Cel przetwarzania	Dane	Podstawa prawna
Założenie i prowadzenie konta, logowanie (w tym przez Google OAuth)	dane konta	art. 6 ust. 1 lit. b RODO — wykonanie umowy (Regulaminu)
Świadczenie Usługi humanizacji, w tym przesłanie wprowadzonego tekstu do dostawcy LLM i zwrócenie wyniku	treść tekstu, ton, parametry	art. 6 ust. 1 lit. b RODO — wykonanie umowy
Prowadzenie historii humanizacji dostępnej dla użytkownika	`humanizations`	art. 6 ust. 1 lit. b RODO — wykonanie umowy
Obsługa subskrypcji i płatności (Pro)	dane subskrypcji, identyfikatory Stripe	art. 6 ust. 1 lit. b RODO (umowa) oraz art. 6 ust. 1 lit. c RODO (obowiązki rozliczeniowo-podatkowe)
Prowadzenie dokumentacji księgowej i podatkowej	dane rozliczeniowe	art. 6 ust. 1 lit. c RODO — obowiązek prawny (przepisy podatkowe i o rachunkowości)
Egzekwowanie limitów planu i przeciwdziałanie nadużyciom (limity Free, licznik `anon_usage` = hash IP / hash IP + identyfikatora przeglądarki, liczniki `usage_*`)	liczniki, hash IP, hash identyfikatora przeglądarki	art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora (egzekwowanie warunków planu, bezpieczeństwo, zapobieganie nadużyciom)
Bezpieczeństwo konta (weryfikacja e-mail, reset hasła)	hash hasła, hash tokenów	art. 6 ust. 1 lit. b RODO (umowa) oraz art. 6 ust. 1 lit. f RODO (bezpieczeństwo)
Wysyłka wiadomości transakcyjnych (reset hasła, powiadomienia o koncie/subskrypcji) przez Mailgun	adres e-mail	art. 6 ust. 1 lit. b RODO — wykonanie umowy
Rozpatrywanie reklamacji i obrona/dochodzenie roszczeń	dane niezbędne do rozpatrzenia sprawy	art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes
Marketing / newsletter (jeżeli prowadzony)	adres e-mail	art. 6 ust. 1 lit. a RODO — zgoda; w zakresie komunikacji elektronicznej dodatkowo wymagana odrębna zgoda na podstawie art. 399 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221) oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną (zakaz niezamówionej informacji handlowej)

W przypadku przetwarzania na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) uzasadnionym interesem jest: bezpieczeństwo Serwisu, zapobieganie nadużyciom i obchodzeniu limitów, prowadzenie statystyk technicznych oraz dochodzenie i obrona roszczeń.

Podanie danych jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy — bez podania danych konta i przetworzenia wprowadzonego tekstu świadczenie Usługi nie jest możliwe.

7. Odbiorcy danych — podmioty przetwarzające (procesorzy)

W celu świadczenia Usługi Administrator korzysta z usług zaufanych dostawców, którzy przetwarzają dane osobowe w jego imieniu na podstawie umów powierzenia przetwarzania danych zawartych zgodnie z art. 28 RODO.

Procesor / odbiorca	Rola	Lokalizacja	Podstawa transferu
Anthropic PBC (Claude)	Dostawca LLM — przetwarza wprowadzony tekst	USA	Standardowe klauzule umowne (SCC) — decyzja KE 2021/914; Anthropic nie figuruje na liście EU-US DPF
Google LLC (Gemini)	Dostawca LLM — przetwarza wprowadzony tekst	USA	EU-US Data Privacy Framework (aktywna certyfikacja); pomocniczo standardowe klauzule umowne (SCC, decyzja KE 2021/914) zawarte w warunkach usług Google; stosowane API płatne (dane nie są wykorzystywane do trenowania modeli)
Stripe, Inc.	Obsługa płatności kartą (subskrypcja odnawialna)	USA	EU-US Data Privacy Framework (aktywna certyfikacja; certyfikacja obejmuje również UK i Szwajcarię)
Google LLC (OAuth)	Logowanie kontem Google	USA	EU-US Data Privacy Framework (aktywna certyfikacja)
Mailgun Technologies, Inc.	Wysyłka wiadomości transakcyjnych (e-mail)	USA (spółka); infrastruktura w regionie UE (api.eu.mailgun.net)	EU-US Data Privacy Framework (aktywna certyfikacja); dane e-mail przetwarzane na serwerach UE
Dostawca hostingu aplikacji i bazy danych	Hosting	EOG	Brak transferu do państwa trzeciego

Aktualność certyfikacji DPF każdego dostawcy można zweryfikować pod adresem dataprivacyframework.gov.

Dane mogą być również udostępniane podmiotom uprawnionym na podstawie przepisów prawa (np. organom państwowym) — wyłącznie w zakresie wynikającym z obowiązujących przepisów.

8. Okresy przechowywania danych (retencja)

Administrator stosuje automatyczne czyszczenie danych (zaplanowane zadanie uruchamiane cyklicznie, co do zasady codziennie), które usuwa dane po upływie wskazanych niżej okresów technicznych. Okresy wynikające z przepisów prawa mają pierwszeństwo.

Dane	Okres przechowywania
Dane konta (`user`)	Przez czas posiadania konta; usuwane po likwidacji konta lub na żądanie, z zastrzeżeniem danych, które należy zachować na podstawie przepisów prawa
Dane rozliczeniowe i dokumenty księgowe	5 lat od końca roku obrotowego, w którym operacja miała miejsce (art. 70 §1 i art. 86 §1 Ordynacji podatkowej; w razie prowadzenia ksiąg rachunkowych — art. 74 ustawy o rachunkowości)
Historia humanizacji (`humanizations` — podgląd wyniku ≤90 znaków, ton, długość wejścia, tokeny, wskaźniki stylu, znacznik czasu)	Do 12 miesięcy od utworzenia — automatyczne usuwanie; użytkownik może usunąć całą historię samodzielnie z poziomu panelu w Serwisie
Tokeny weryfikacji e-mail (`email_verification_tokens`)	Do wykorzystania lub wygaśnięcia (ważność 24 h); usuwane automatycznie po wygaśnięciu/zużyciu
Tokeny resetu hasła (`password_reset_tokens`)	Do wykorzystania lub wygaśnięcia (ważność 1 h); usuwane automatycznie po wygaśnięciu/zużyciu
Dzienne liczniki użycia (`usage_daily`)	Do 90 dni — automatyczne usuwanie
Miesięczne budżety tokenów (`usage_monthly`)	Do 13 miesięcy — automatyczne usuwanie
Licznik anonimowy (`anon_usage` — hash IP, hash IP + identyfikatora przeglądarki)	30 dni — automatyczne usuwanie; identyfikator w localStorage — do usunięcia przez użytkownika
Liczniki zabezpieczeń / limitów (`rate_limits`)	Do 2 dni — automatyczne usuwanie
Rejestr zdarzeń płatności (idempotencja, `processed_stripe_events`)	90 dni — automatyczne usuwanie
Dowód zgód zakupowych (`consent_events` — wersja Regulaminu, zgody, data, identyfikator sesji płatności i klienta Stripe, skrót SHA-256 adresu e-mail)	Do 6 lat — do upływu ogólnego terminu przedawnienia roszczeń (art. 118 k.c.); stanowi dowód zawarcia umowy i wyrażenia zgód przez konsumenta. Zachowywany także po usunięciu konta (odłączony od konta) jako dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. e RODO); zamiast adresu e-mail przechowywany jest wyłącznie jego skrót — automatyczne usuwanie po upływie okresu
Sesja (cookie JWT Auth.js)	Przez czas trwania sesji / okres ważności cookie
Dane przetwarzane na podstawie zgody (np. marketing)	Do czasu wycofania zgody
Dane niezbędne do dochodzenia/obrony roszczeń	Do upływu właściwych terminów przedawnienia roszczeń

9. Przekazywanie danych poza Europejski Obszar Gospodarczy (USA)

Jak wskazano w sekcji 4, w związku z korzystaniem z dostawców LLM oraz innych usług, dane (w tym treść wprowadzonego przez Ciebie tekstu) są przekazywane do państwa trzeciego — Stanów Zjednoczonych (USA).

Transfer odbywa się na zasadach określonych w Rozdziale V RODO (art. 44–49), w szczególności:

art. 45 RODO — na podstawie decyzji wykonawczej Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (DPF) — w odniesieniu do dostawców posiadających aktywną certyfikację DPF (Google LLC, Stripe, Inc., Mailgun Technologies, Inc.); aktualność certyfikacji można zweryfikować pod adresem dataprivacyframework.gov;
art. 46 ust. 2 lit. c RODO — na podstawie standardowych klauzul umownych (SCC) przyjętych przez Komisję Europejską (decyzja wykonawcza (UE) 2021/914) — w odniesieniu do Anthropic PBC, który nie figuruje w rejestrze DPF; SCC zostały zawarte w umowie DPA z Anthropic.

Hosting aplikacji i bazy danych odbywa się na serwerach zlokalizowanych w Europejskim Obszarze Gospodarczym (EOG) — transfer poza EOG w tym zakresie nie ma miejsca.

Administrator nie opiera transferów na wyjątkach z art. 49 RODO (przeznaczonych dla przekazań okazjonalnych), ponieważ przekazywanie ma charakter regularny.

Masz prawo uzyskać kopię stosowanych zabezpieczeń (zob. art. 13 ust. 1 lit. f oraz art. 15 ust. 2 RODO) — w tym celu skontaktuj się z Administratorem pod adresem kontakt@humai.pl.

10. Twoje prawa (art. 15–22 oraz art. 7 ust. 3 RODO)

W związku z przetwarzaniem Twoich danych przysługują Ci następujące prawa:

prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO),
prawo do sprostowania danych (art. 16 RODO),
prawo do usunięcia danych ("prawo do bycia zapomnianym", art. 17 RODO),
prawo do ograniczenia przetwarzania (art. 18 RODO),
prawo do przenoszenia danych (art. 20 RODO) — w zakresie danych przetwarzanych na podstawie umowy lub zgody, w sposób zautomatyzowany,
prawo do sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21 RODO),
prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem (art. 7 ust. 3 RODO) — tam, gdzie podstawą jest zgoda.

Część praw możesz wykonać samodzielnie z poziomu panelu w Serwisie:

usunięcie całej historii humanizacji — przycisk dostępny bezpośrednio w panelu użytkownika;
usunięcie konta — przycisk dostępny w panelu; usunięcie konta powoduje jednoczesne anulowanie aktywnej subskrypcji Pro. Po usunięciu konta zachowywane są wyłącznie dane, których przechowywanie wynika z przepisów prawa lub jest niezbędne do obrony roszczeń (dokumenty księgowe oraz dowód zgód zakupowych — zob. pkt 8).

W pozostałych sprawach skontaktuj się z Administratorem pod adresem kontakt@humai.pl.

Prawo wniesienia skargi

Jeżeli uważasz, że przetwarzanie Twoich danych narusza przepisy RODO, masz prawo wnieść skargę do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO) (art. 77 RODO):

Urząd Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa uodo.gov.pl

11. Zautomatyzowane podejmowanie decyzji i profilowanie (art. 22 RODO)

Administrator stosuje zautomatyzowane przetwarzanie danych w zakresie egzekwowania limitów planu oraz wyliczania heurystycznego wskaźnika stylu wprowadzanego tekstu.

Administrator nie podejmuje wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały w rozumieniu art. 22 RODO.

Wyświetlany wskaźnik stylu jest wewnętrzną, szacunkową heurystyką, a nie wynikiem zewnętrznego, niezależnego detektora AI. Ma charakter wyłącznie poglądowy i nie stanowi zapewnienia co do wyniku w jakimkolwiek narzędziu wykrywającym treści AI.

12. Bezpieczeństwo danych (art. 32 RODO)

Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych adekwatne do ryzyka, zgodnie z art. 32 RODO, w szczególności:

przechowywanie haseł wyłącznie w postaci skrótu (hash bcrypt) — Administrator nie przechowuje haseł w postaci jawnej,
przechowywanie tokenów weryfikacji e-mail i resetu hasła w postaci zahaszowanej,
pseudonimizację adresów IP (skrót SHA-256) na potrzeby liczników,
szyfrowanie połączeń (TLS/HTTPS),
kontrolę dostępu i zasadę minimalizacji uprawnień,
zawieranie umów powierzenia (art. 28 RODO) z procesorami.

13. Pliki cookies i pamięć urządzenia końcowego

Serwis korzysta z plików cookies oraz pamięci przeglądarki (localStorage). Szczegółowe zasady dotyczące cookies opisuje Polityka cookies — zob. /polityka-cookies.

W skrócie:

Cookie sesji (Auth.js / JWT) — ściśle niezbędne do działania logowania i utrzymania sesji użytkownika; przechowywanie tego pliku nie wymaga zgody na podstawie art. 399 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), który ustanawia wyjątek dla przechowywania technicznie niezbędnego do świadczenia usługi żądanej przez użytkownika;
localStorage — wykorzystywany do przechowywania licznika anonimowego użycia (plan Free), losowego identyfikatora przeglądarki używanego do egzekwowania darmowego limitu po stronie serwera oraz zapamiętania wyboru zgody na cookies; zgoda na przechowywanie jest udzielana zgodnie z wymaganiami RODO i PKE.

Ustawienia cookies możesz zmienić w swojej przeglądarce lub za pomocą narzędzia do zarządzania zgodami dostępnego w Serwisie.

14. Powiązane dokumenty

Regulamin świadczenia usług drogą elektroniczną — zob. /regulamin
Polityka cookies — zob. /polityka-cookies

Niniejsza Polityka oraz Regulamin wzajemnie się uzupełniają.

15. Zmiany Polityki Prywatności

Administrator może aktualizować niniejszą Politykę. O istotnych zmianach poinformuje użytkowników z odpowiednim wyprzedzeniem (np. komunikatem w Serwisie lub wiadomością e-mail). Aktualna wersja wraz z datą obowiązuje od dnia wskazanego jako "Data ostatniej aktualizacji".

16. Kontakt

We wszystkich sprawach dotyczących danych osobowych:

Administrator: AutoXCyber Mateusz Grądkowski
E-mail: kontakt@humai.pl
Adres: ul. Wergiliusza 7/69, 01-915 Warszawa