Polityka prywatności

1. Administrator danych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z serwisu jest:

2. Formularz kontaktowy

Dane przesłane przez formularz wykorzystujemy wyłącznie do obsługi zapytania i dalszej korespondencji związanej z jego treścią.

• Zakres danych: imię i nazwisko, adres e-mail, numer telefonu, wskazany produkt i treść wiadomości - zależnie od informacji podanych przez użytkownika.
• Cel: udzielenie odpowiedzi, przygotowanie informacji handlowej na żądanie użytkownika oraz prowadzenie dalszej korespondencji.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO, gdy zapytanie zmierza do zawarcia umowy, albo art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes polegający na prowadzeniu korespondencji dotyczącej działalności administratora.
• Podanie adresu e-mail i treści wiadomości jest konieczne do wysłania formularza. Pozostałe dane są dobrowolne.

3. Bezpieczeństwo serwisu i przeciwdziałanie nadużyciom

W związku z połączeniem z Serwisem adres IP urządzenia jest automatycznie przetwarzany w zakresie technicznie niezbędnym do przesłania odpowiedzi oraz ochrony formularza i asystenta AI przed nadużyciami.

• Formularz wykorzystuje pełny adres IP wyłącznie w pamięci operacyjnej do ograniczenia liczby prób wysyłki do 5 w ciągu 15 minut. Wpis nie jest zapisywany w bazie danych ani w logu dostępu.
• Nginx chwilowo wykorzystuje pełny adres IP w pamięci operacyjnej do ograniczenia żądań asystenta do 10 na minutę, z krótkim buforem 2 żądań i maksymalnie 2 równoczesnymi żądaniami. Aplikacja stosuje drugą warstwę limitowania na podstawie pseudonimowego skrótu HMAC adresu IP. Adres IP ani jego skrót nie są przekazywane do OpenAI.
• Dla domeny Chemflon wyłączyliśmy w Nginx logi dostępu i logi błędów żądań. Aplikacja nie tworzy lokalnej historii rozmów ani logów zawierających pytania, odpowiedzi lub adresy IP. Techniczne logi procesu służą wyłącznie do rejestrowania jego uruchomienia i błędów działania i nie są przeznaczone do zapisywania treści rozmów ani adresów IP.
• Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora polegający na zapewnieniu dostępności Serwisu, ochronie przed automatycznymi nadużyciami, nieuprawnionym użyciem i nadmiernymi kosztami. Zakres przetwarzania ograniczamy przez krótkie okresy, użycie pamięci operacyjnej, pseudonimizację w warstwie aplikacji i brak lokalnych logów dostępu.

4. Interaktywna mapa Mapbox

Interaktywna mapa jest usługą opcjonalną i uruchamia się dopiero po wyrażeniu zgody w ustawieniach prywatności lub przez przycisk przy mapie. Bez zgody wyświetlamy lokalny obraz zastępczy i nie łączymy przeglądarki z Mapbox.

• Po uruchomieniu Mapbox może otrzymywać m.in. adres IP, informacje o urządzeniu i przeglądarce, identyfikatory sesji oraz dane telemetryczne dotyczące działania mapy.
• Biblioteka Mapbox może zapisywać identyfikatory i dane zdarzeń w pamięci localStorage przeglądarki.
• Podstawa prawna: zgoda użytkownika - art. 6 ust. 1 lit. a RODO oraz art. 399 Prawa komunikacji elektronicznej. Zgodę można w każdej chwili wycofać w ustawieniach prywatności.
• Mapbox przetwarza dane również w Stanach Zjednoczonych. Dostawca wskazuje na stosowanie mechanizmów legalizujących transfer, w tym EU–US Data Privacy Framework oraz standardowych klauzul umownych, gdy są wymagane.

Polityka prywatności Mapbox

5. Wysyłka wiadomości przez Resend

Do technicznej wysyłki wiadomości z formularza korzystamy z usługi Resend świadczonej przez Plus Five Five, Inc.

• Resend otrzymuje dane potrzebne do wysłania wiadomości, w szczególności adresy e-mail, metadane, treść wiadomości oraz pozostałe informacje wpisane w formularzu.
• Podstawowe operacje przetwarzania Resend odbywają się w Stanach Zjednoczonych, dlatego korzystanie z usługi wiąże się z transferem danych poza Europejski Obszar Gospodarczy.
• DPA Resend przewiduje stosowanie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską w przypadku transferów, dla których nie obowiązuje decyzja stwierdzająca odpowiedni stopień ochrony.
• Zgodnie z DPA Resend przetwarza dane klienta przez czas obowiązywania umowy, a po zakończeniu korzystania z usługi deklaruje ich usunięcie w ciągu 90 dni, z zastrzeżeniem obowiązków prawnych.

Umowa powierzenia przetwarzania danych Resend (DPA)

6. Asystent AI i usługa OpenAI

Wiadomość wpisana w asystencie oraz, gdy jest to potrzebne do zachowania kontekstu, maksymalnie osiem ostatnich wiadomości rozmowy są przekazywane do API OpenAI. Treść może być przetwarzana w kilku wywołaniach technicznych potrzebnych do rozpoznania intencji, wyszukania właściwych informacji i wygenerowania odpowiedzi.

• Do OpenAI przekazujemy treść bieżącej wiadomości, niezbędny kontekst rozmowy oraz wybrane fragmenty bazy wiedzy potrzebne do odpowiedzi. Nie przekazujemy adresu IP użytkownika, skrótu używanego przez limiter ani dokumentów źródłowych jako plików.
• Cel i podstawa prawna: udzielenie odpowiedzi na żądanie użytkownika oraz usprawnienie obsługi zapytań — art. 6 ust. 1 lit. b RODO, gdy zapytanie zmierza do zawarcia umowy, albo art. 6 ust. 1 lit. f RODO.
• Zgodnie z informacjami OpenAI dane przesyłane przez API nie są wykorzystywane do trenowania modeli, chyba że klient API dobrowolnie włączy udostępnianie danych. Chemflon nie włącza takiego udostępniania dla chatbota.
• Żądania do endpointu Chat Completions wysyłamy z parametrem store: false i nie korzystamy z funkcji utrwalających po stronie OpenAI stan rozmowy. Ustawienie to nie wyłącza domyślnych logów monitorowania nadużyć OpenAI.
• Zgodnie z aktualną dokumentacją OpenAI treść wejściowa i odpowiedzi oraz powiązane metadane mogą być przechowywane w logach monitorowania nadużyć przez okres do 30 dni. Okres może być dłuższy, jeżeli wymaga tego prawo albo jest to racjonalnie konieczne do ochrony usług OpenAI lub osób trzecich przed szkodą.
• Korzystanie z OpenAI może wiązać się z przetwarzaniem danych poza Europejskim Obszarem Gospodarczym. Transfer jest realizowany z zastosowaniem mechanizmów przewidzianych w umowie powierzenia i przepisach o ochronie danych.
• Korzystanie z asystenta jest dobrowolne, ale przesłanie wiadomości jest konieczne do uzyskania odpowiedzi. Z asystenta można zrezygnować i skontaktować się z Chemflon formularzem, pocztą elektroniczną lub telefonicznie.
• Nie wpisuj w asystencie danych wrażliwych, tajemnic przedsiębiorstwa ani danych osobowych, które nie są potrzebne do uzyskania odpowiedzi.

Informacje OpenAI o przetwarzaniu danych przez API

7. Dane przechowywane w przeglądarce

W localStorage zapisujemy wyłącznie wybór dotyczący Mapbox, datę jego zapisania i wersję ustawień. Jest to mechanizm niezbędny do zapamiętania oraz respektowania decyzji użytkownika. Preferencja wygasa po 12 miesiącach i wtedy ponownie prosimy o wybór.

W sessionStorage zapisujemy identyfikator bieżącej rozmowy, stan otwarcia panelu oraz maksymalnie 10 widocznych wiadomości rozmowy. Dzięki temu panel i historia zachowują swój stan po zmianie podstrony lub odświeżeniu strony w tej samej karcie. Dane są usuwane po zamknięciu karty.

8. Odbiorcy danych

Dane mogą być udostępniane wyłącznie podmiotom potrzebnym do obsługi serwisu i korespondencji:

• dostawcom hostingu, infrastruktury informatycznej i podmiotom utrzymującym serwis;
• Resend - dostawcy usługi technicznej wysyłki wiadomości z formularza;
• Mapbox - wyłącznie po wyrażeniu zgody na interaktywną mapę;
• OpenAI — dostawcy usługi generowania odpowiedzi asystenta, wyłącznie po wysłaniu wiadomości przez użytkownika;
• uprawnionym organom, jeżeli obowiązek przekazania danych wynika z przepisów prawa.

9. Okres przechowywania

• Korespondencję przechowujemy przez okres potrzebny do obsługi zapytania, a następnie - jeżeli jest to konieczne - do upływu okresu przedawnienia roszczeń lub obowiązków wynikających z prawa.
• Wpis limitera formularza zawierający adres IP istnieje wyłącznie w pamięci operacyjnej i jest usuwany po 15 minutach albo wcześniej przy ponownym uruchomieniu procesu aplikacji.
• Zahashowany identyfikator aplikacyjnego limitera asystenta jest usuwany najpóźniej po 2 godzinach od ostatniej aktywności danej instancji serwera. Wpisy limitera Nginx są ulotnym stanem ograniczonej strefy pamięci i są usuwane przez mechanizm zarządzania jej pojemnością lub przy ponownym uruchomieniu Nginx; nie zapisujemy ich jako logów ani w bazie danych.
• Nie przechowujemy lokalnych logów dostępu do Serwisu ani lokalnych logów pytań i odpowiedzi asystenta AI. Odrębne okresy stosowane przez dostawców zewnętrznych opisujemy w częściach dotyczących Mapbox, Resend i OpenAI.
• Preferencję dotyczącą Mapbox przechowujemy przez maksymalnie 12 miesięcy, chyba że użytkownik wcześniej usunie dane witryny lub zmieni decyzję.
• Stan bieżącej rozmowy zapisany w sessionStorage przechowujemy do zamknięcia karty lub usunięcia danych witryny przez użytkownika.
• Okresy przechowywania danych przez Mapbox wynikają z polityki tego dostawcy; Mapbox deklaruje przechowywanie adresów IP związanych z usługą przez 30 dni, z wyjątkami dotyczącymi postępowań bezpieczeństwa i przeciwdziałania nadużyciom.
• Dane przetwarzane przez Resend podlegają okresom wskazanym w DPA tego dostawcy, opisanym powyżej.
• Okres przechowywania danych w API OpenAI opisano w części dotyczącej asystenta AI.

10. Prawa użytkownika

W zakresie przewidzianym przez RODO użytkownik może skontaktować się z administratorem i skorzystać z następujących praw:

• dostępu do danych, uzyskania ich kopii oraz sprostowania;
• usunięcia danych lub ograniczenia ich przetwarzania;
• przenoszenia danych - w zakresie, w jakim przetwarzanie odbywa się automatycznie na podstawie zgody lub umowy, zgodnie z art. 20 RODO;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
• wycofania zgody na Mapbox w dowolnym momencie, bez wpływu na zgodność wcześniejszego przetwarzania;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

11. Zautomatyzowane decyzje

Asystent automatycznie generuje informacyjną odpowiedź, ale nie podejmuje wobec użytkowników decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających. Nie prowadzimy profilowania na podstawie rozmów.

12. Zmiany polityki

Polityka może być aktualizowana w związku ze zmianami serwisu, dostawców lub przepisów. Aktualna wersja i data jej ostatniej zmiany są zawsze dostępne na tej stronie.