Polityka prywatności

Data wejścia w życie: 2026-07-20

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób YAStuning OÜ („my”, „nas”, „nasz”) zbiera i przetwarza dane osobowe, gdy korzystasz z naszej strony shoptoai.com oraz z usługi ShopToAI („Usługa”), zgodnie z art. 13 i 14 Ogólnego rozporządzenia o ochronie danych (rozporządzenie (UE) 2016/679, „RODO”).

NOTE

Niniejsza polityka dotyczy danych osobowych, dla których jesteśmy administratorem - głównie danych naszych klientów i ich użytkowników. Gdy przetwarzamy w imieniu klientów dane katalogu/sklepu, które oni podłączają, działamy jako podmiot przetwarzający, a takie przetwarzanie reguluje nasza Umowa powierzenia przetwarzania danych.

1. Kto jest administratorem

YAStuning OÜ (private limited company / OÜ), Pae tn 25-47, 11414 Tallinn, Estonia. Numer rejestrowy: 14016370. NIP/VAT: EE102354272. E-mail: [email protected].

Kontakt w sprawie ochrony danych: our Privacy team (no dedicated DPO is required) - [email protected].

2. Jakie dane zbieramy, w jakim celu i na jakiej podstawie prawnej

2.1 Dane konta i uwierzytelniania

• Dane: adres e-mail, imię i nazwisko (opcjonalnie), hasło (przechowywane wyłącznie jako skrót Argon2 - nigdy nie przechowujemy ani nie widzimy hasła w postaci jawnej), preferowany język, status i znaczniki czasu weryfikacji e-mail.
• Cel: utworzenie i zabezpieczenie konta, uwierzytelnianie i świadczenie Usługi.
• Podstawa prawna: wykonanie umowy - art. 6 ust. 1 lit. b RODO.

2.2 Dane przestrzeni roboczej i rozliczeń

• Dane: nazwa przestrzeni roboczej, typ konta, nazwa do faktury, kraj, adres, miasto, kod pocztowy, numer VAT.
• Cel: świadczenie Usługi, zarządzanie subskrypcjami i wystawianie faktur.
• Podstawa prawna: wykonanie umowy - art. 6 ust. 1 lit. b; oraz obowiązki księgowo-podatkowe - art. 6 ust. 1 lit. c.

2.3 Dane płatności

• Dane: plan subskrypcji, identyfikatory klienta i subskrypcji Stripe, status subskrypcji. Nie przechowujemy pełnych numerów kart; dane karty przetwarza bezpośrednio Stripe.
• Cel: realizacja płatności i zarządzanie subskrypcją.
• Podstawa prawna: wykonanie umowy - art. 6 ust. 1 lit. b.

2.4 Dane uwierzytelniające podłączonego sklepu

• Dane: dane dostępowe API platformy e-commerce, którą podłączasz (np. WooCommerce consumer key/secret). Są one szyfrowane w spoczynku i nigdy nie są logowane ani wyświetlane z powrotem.
• Cel: odczyt (a gdy nadasz dostęp do zapisu na platformie, która go obsługuje - aktualizacja) katalogu Twojego sklepu.
• Podstawa prawna: wykonanie umowy - art. 6 ust. 1 lit. b.

2.5 Logi bezpieczeństwa, dostępu i błędów

• Dane: adres IP, agent użytkownika, metoda/ścieżka żądania, status i czas odpowiedzi oraz diagnostyczne zdarzenia błędów (ślad stosu, gdy coś zawiedzie). Wrażliwe wartości, w tym dane dostępowe sklepu, są automatycznie maskowane przed zapisem.
• Cel: zabezpieczenie Usługi, zapobieganie nadużyciom, diagnostyka awarii i ślad audytowy.
• Podstawa prawna: nasz prawnie uzasadniony interes w zabezpieczeniu i działaniu Usługi - art. 6 ust. 1 lit. f.
• Jak: diagnostyka błędów jest obsługiwana przez własne śledzenie błędów na naszej infrastrukturze w EOG - żaden zewnętrzny dostawca ich nie otrzymuje.
• Okres przechowywania: logi dostępu 90 dni; zdarzenia błędów do 30 dni.

2.6 Komunikacja i powiadomienia

• Dane: adres e-mail, na który wysyłamy wiadomości transakcyjne (weryfikacja, reset hasła, wyniki audytu/wzbogacania, zaproszenia) oraz powiadomienia w aplikacji.
• Cel: świadczenie Usługi i informowanie o aktywności na koncie.
• Podstawa prawna: wykonanie umowy - art. 6 ust. 1 lit. b. E-maile promocyjne wysyłamy wyłącznie za Twoją zgodą - art. 6 ust. 1 lit. a - którą możesz wycofać w każdej chwili.

2.7 Pliki cookie i podobne technologie

Stosujemy niezbędne i funkcjonalne pliki cookie, aby utrzymać zalogowanie, chronić formularze przed botami i zapamiętać Twoje preferencje; nie wymagają one zgody. Używamy również Google Analytics do pomiaru sposobu korzystania z witryny - ale tylko jeśli zaakceptujesz pliki analityczne w banerze zgody.

• Podstawa prawna: Twoja zgoda - art. 6 ust. 1 lit. a RODO - którą możesz wycofać w każdej chwili przez „Ustawienia cookie" w stopce. Jeśli odrzucisz, żadne dane analityczne nie są zbierane.

Pełną listę zawiera Polityka cookie.

2.8 Dane z zaproszeń do przestrzeni roboczej

• Dane: adres e-mail osoby zaproszonej do przestrzeni roboczej.
• Źródło: jeśli zaprasza Cię współpracownik, otrzymujemy Twój adres e-mail od osoby zapraszającej, a nie bezpośrednio od Ciebie (art. 14 RODO).
• Cel: wysłanie zaproszenia i skonfigurowanie Twojego dostępu.
• Podstawa prawna: nasz prawnie uzasadniony interes oraz interes zapraszającej organizacji w umożliwieniu współpracy zespołowej - art. 6 ust. 1 lit. f. Gdy zastosowanie ma art. 14, przekazujemy tę informację w rozsądnym terminie, najpóźniej w ciągu miesiąca.

2.9 Czy musisz podać te dane?

Podanie danych konta, przestrzeni roboczej, rozliczeń i podłączenia sklepu jest niezbędne do zawarcia i wykonania umowy z nami; bez nich nie możemy założyć konta ani przeprowadzać audytów. Analityka i e-maile promocyjne są opcjonalne i opierają się na Twojej zgodzie.

3. Dane katalogu (nasza rola jako podmiotu przetwarzającego)

Gdy podłączasz sklep, tworzymy lokalną migawkę jego katalogu (nazwy produktów, SKU, GTIN, marki, kategorie, opisy, ceny, dostępność, zdjęcia i atrybuty), aby przeprowadzać audyty i proponować ulepszenia. Jeśli katalog zawiera dane osobowe, administratorem jesteś Ty (lub Twój klient - sprzedawca), a my przetwarzamy je na podstawie Umowy powierzenia, wyłącznie na Twoje polecenie.

Aby wygenerować sugestie wzbogacania, wysyłamy ograniczony podzbiór tekstu produktu (nazwa produktu, SKU, bieżąca marka/kategoria oraz do pierwszych 300 znaków opisu) do naszego podmiotu przetwarzającego AI (Google Gemini API / AI Studio, w wersji płatnej, w której Twoje dane nie są używane do trenowania modeli Google). Nie wysyłamy do modelu AI danych osobowych właścicieli kont, cen, zdjęć ani surowych rekordów sklepu.

Jeśli włączysz opcjonalny dodatek monitoringu widoczności w AI, wysyłamy dodatkowo nazwę Twojej marki i konfigurowane przez Ciebie zapytania kategorii do zewnętrznych API silników odpowiedzi (Google, OpenAI i Perplexity AI), aby zmierzyć, czy asystenci ci wymieniają Twoją markę. Dodatek ten jest domyślnie wyłączony; dane te wysyłamy dopiero po jego wyraźnym włączeniu przez Ciebie i wyrażeniu zgody, którą możesz wycofać w każdej chwili. Ponieważ OpenAI i Perplexity przetwarzają te dane w Stanach Zjednoczonych, włączenie dodatku wiąże się z przekazaniem międzynarodowym (zob. pkt 5).

4. Komu udostępniamy dane

Dane osobowe udostępniamy wyłącznie dostawcom usług przetwarzającym je w naszym imieniu na podstawie umowy zgodnej z art. 28 RODO. Aktualną listę zawiera strona Podmioty przetwarzające: nasz dostawca hostingu (Hetzner Online GmbH, Niemcy), Stripe (płatności), Google (Gemini API / AI Studio - wzbogacanie AI oraz zapytania monitoringu widoczności w AI, gdy włączysz ten dodatek), Cloudflare (ochrona przed botami), nasz dostawca poczty, Google Analytics (analityka witryny - tylko za Twoją zgodą na pliki cookie) oraz - wyłącznie po włączeniu dodatku monitoringu widoczności w AI - OpenAI i Perplexity AI. Nie sprzedajemy Twoich danych i nie używamy zewnętrznych narzędzi reklamowych.

5. Przekazywanie poza EOG

Niektóre podmioty przetwarzające mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. W takich przypadkach przekazywanie jest chronione odpowiednimi zabezpieczeniami z rozdziału V RODO - zwykle standardowymi klauzulami umownymi Komisji Europejskiej oraz, w stosownych przypadkach, ramami ochrony danych UE-USA. Kopię możesz uzyskać pod adresem [email protected].

6. Jak długo przechowujemy dane

7. Twoje prawa

Na mocy RODO masz prawo do dostępu (art. 15), sprostowania (art. 16), usunięcia (art. 17), ograniczenia (art. 18), otrzymania przenośnej kopii (art. 20) danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21). Gdy przetwarzanie opiera się na zgodzie, możesz ją wycofać w każdej chwili.

Aby skorzystać z prawa, napisz na [email protected]. Odpowiadamy w ciągu miesiąca (art. 12 ust. 3) i możemy najpierw zweryfikować Twoją tożsamość.

Masz również prawo wniesienia skargi do organu nadzorczego: the Estonian Data Protection Inspectorate (Andmekaitse Inspektsioon).

8. Zautomatyzowane podejmowanie decyzji

Usługa wykorzystuje AI do *sugerowania* ulepszeń katalogu, ale są to wyłącznie propozycje, a zmiany przegląda i zatwierdza człowiek. Nie prowadzimy zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO w odniesieniu do Twoich danych osobowych.

9. Bezpieczeństwo danych

Stosujemy szyfrowanie danych dostępowych sklepu w spoczynku, haszowanie haseł (Argon2), TLS w tranzycie, izolację wielodostępową, krótkotrwałe rotowane tokeny z natychmiastowym unieważnieniem, maskowanie sekretów w logach i ochronę przed nadużyciami. O naruszeniu ochrony danych powiadomimy Ciebie i organ nadzorczy, gdy jest to wymagane (art. 33-34 RODO).

10. Dzieci

Usługa jest narzędziem biznesowym do użytku profesjonalnego i nie jest kierowana do osób poniżej 18 roku życia. Nie zbieramy świadomie danych dzieci.

11. Zmiany

Możemy aktualizować niniejszą politykę. O istotnych zmianach poinformujemy w Usłudze lub e-mailem.

12. Kontakt

Pytania dotyczące tej polityki lub Twoich danych: [email protected].