Polityka prywatności

Niniejsze tłumaczenie służy wyłącznie ułatwieniu zrozumienia. Wiążąca jest wyłącznie wersja angielska dostępna pod adresem /p/privacy-policy.

Niniejsza polityka prywatności wyjaśnia, w jaki sposób LW IT Solutions Company Lukas Wójcik („my”, „nas”, „operator”) przetwarza dane osobowe w związku z reactive.chat. Składa się z trzech części, ponieważ występujemy w różnych rolach:

• Część A (sekcja 2): odwiedzają Państwo stronę internetową reactive.chat. Jesteśmy administratorem.
• Część B (sekcja 3): są Państwo Klientem reactive.chat lub członkiem zespołu Klienta i korzystają Państwo z panelu. W odniesieniu do danych Państwa konta jesteśmy administratorem.
• Część C (sekcja 4): korzystają Państwo z widżetu czatu reactive.chat, ze Smart Answer w wyszukiwarce, z kanału komunikatora, z połączenia lub z portalu klienta jednego z naszych Klientów. Administratorem jest Klient; my przetwarzamy Państwa dane w imieniu Klienta jako podmiot przetwarzający.

Sekcje od 5 do 12 mają zastosowanie do wszystkich trzech części. Jeżeli niniejsza polityka podaje okres, jest to okres faktycznie egzekwowany przez nasze systemy; jeżeli żaden system nie usuwa czegoś po upływie określonego czasu, wskazujemy to wprost.

Dwa dalsze dokumenty opisują te same czynności przetwarzania z perspektywy administratora: nasz rejestr czynności przetwarzania (art. 30 RODO) oraz nasza ocena skutków dla ochrony danych (art. 35 RODO). Nie są one publikowane; udostępniamy je organowi nadzorczemu oraz, na żądanie, Klientom (contact@lukaswojcik.com).

1. Administrator i kontakt

• LW IT Solutions Company Lukas Wójcik
• al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polska
• Numer VAT UE: PL7252266190
• E-mail: contact@lukaswojcik.com

Wszelkie pytania dotyczące ochrony danych prosimy kierować na adres contact@lukaswojcik.com. Wnioski rozpatruje osobiście właściciel. Nie wyznaczyliśmy inspektora ochrony danych.

1.1 Gdzie działa usługa

reactive.chat działa na serwerze, który jest naszą własnością i który sami obsługujemy w naszych pomieszczeniach w Łodzi, w Polsce. Nasza własna AI działa, hostowana samodzielnie, na odrębnych własnych komputerach (naszych „węzłach inferencyjnych”), które znajdują się w tej samej sieci lokalnej co ten serwer. Adres cdn.reactive.chat, z którego ładowany jest widżet, nie jest zewnętrzną siecią dostarczania treści, lecz stroną internetową na tym samym serwerze. Serwer jest podłączony do internetu przez operatora sieci (Toya Sp. z o.o., Łódź), który przesyła zaszyfrowane dane i nie ma dostępu do ich treści.

Usługa działa w instalacji produkcyjnej (reactive.chat), która jest oddzielona od jej instalacji deweloperskiej (dev.reactive.chat): ma własny katalog programu, własną bazę danych z własnym użytkownikiem bazy danych, własną bazę Redis i własne procesy usług. Zmiany w kodzie trafiają do instalacji produkcyjnej wyłącznie w drodze świadomego przeniesienia stałej wersji, po wykonaniu kopii zapasowej jej plików programu i bazy danych. Obie instalacje działają na tym samym serwerze i korzystają z tych samych węzłów AI; instalacja deweloperska jest chroniona hasłem. Ten sam serwer obsługuje ponadto inne projekty operatora; są one na tym komputerze rozdzielone katalogami, bazami danych i numerami baz danych, a nie odrębnym sprzętem.

Kopie danych regularnie opuszczają ten serwer tylko w jednym przypadku: jako zaszyfrowana kopia zapasowa opisana w punkcie 7.1. Wszyscy pozostali odbiorcy są wymienieni w sekcji 5.

2. Część A – Odwiedzający stronę internetową reactive.chat

2.1 Dziennik dostępu serwera i dzienniki eksploatacyjne

Gdy otwierają Państwo stronę w serwisie reactive.chat, nasz serwer WWW zapisuje żądanie: datę i godzinę, żądany adres, status HTTP, stronę odsyłającą, typ i wersję przeglądarki (user agent) oraz Państwa pełny adres IP. To samo dotyczy żądań do cdn.reactive.chat i połączenia czasu rzeczywistego czatu. Dziennik dostępu wykorzystujemy do bezpiecznego prowadzenia strony, wykrywania ataków i błędów oraz utrzymania stabilności usługi. Automatyczne narzędzie blokujące odczytuje dzienniki i blokuje adresy atakujące serwer na jedną do dwóch godzin.

• Podstawa prawna: art. 6 ust. 1 lit. f RODO. Naszym prawnie uzasadnionym interesem jest bezpieczne i stabilne działanie strony internetowej.
• Okres przechowywania: pliki dziennika są rotowane codziennie; plik bieżącego dnia oraz pliki z 14 poprzednich dni są zachowywane, starsze są usuwane (łącznie najwyżej 15 dni).
• Ponadto dziennik eksploatacyjny serwera (dziennik systemowy), do którego trafiają również komunikaty serwera czatu, może zawierać adresy IP. Jest on ograniczony rozmiarem (500 MB), a nie czasem: najstarsze wpisy są usuwane po osiągnięciu limitu, więc okres zależy od ilości komunikatów. Dzienniki błędów i pracy poszczególnych komponentów reactive.chat nie są obecnie automatycznie rotowane; niektóre z nich mogą zawierać adresy IP.
• Odbiorcy: brak, z wyjątkiem zaszyfrowanej kopii zapasowej (7.1).

2.2 Wybór motywu (localStorage)

Jeżeli przełączają Państwo między jasnym a ciemnym motywem, Państwa wybór jest zapisywany w przeglądarce pod kluczem rc_theme w localStorage. Służy on wyłącznie do wyświetlania strony w wybranym motywie, a nie do śledzenia. Zapisanie tej wartości jest ściśle niezbędne do świadczenia funkcji, o którą Państwo wyraźnie poprosili (art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej (ePrivacy), ustawa – Prawo komunikacji elektronicznej), dlatego zgoda nie jest wymagana. Mogą Państwo w każdej chwili usunąć tę wartość w ustawieniach przeglądarki.

Jeżeli zamkną Państwo na stronie pasek z komunikatem, w localStorage zapisywany jest klucz rc_leiste_zu: z nazwą tego komunikatu i wartością 1, aby komunikat nie pojawiał się ponownie. Nie zawiera on identyfikatora, nie ma terminu wygaśnięcia i jest ściśle niezbędny do funkcji, z której Państwo skorzystali; zgoda nie jest wymagana. Mogą Państwo w każdej chwili usunąć go w ustawieniach przeglądarki.

2.3 Wybór języka

Język strony jest częścią adresu (ścieżki URL). W tym celu nic nie jest zapisywane w Państwa przeglądarce.

2.4 Formularz wsparcia

Jeżeli wysyłają Państwo do nas wiadomość przez formularz wsparcia, przetwarzamy podane przez Państwa dane (takie jak imię i nazwisko, adres e-mail i treść wiadomości), stronę i język, z których Państwo piszą, oraz Państwa pełny adres IP, aby odpowiedzieć na Państwa zgłoszenie.

• Formularz jest chroniony przez Google reCAPTCHA v3 (zob. 2.7). Skrypt jest ładowany dopiero po otwarciu okna wsparcia.
• Formularz ma ograniczenie liczby żądań (najwyżej 20 prób w ciągu dziesięciu minut i 10 wiadomości na godzinę z jednego adresu IP). Państwa adres IP jest zapisywany wraz ze zgłoszeniem, aby wykrywać i powstrzymywać masowe lub powtarzające się zgłoszenia.
• Gdy wpływa zgłoszenie, otrzymujemy wewnętrzne powiadomienie przez Telegram. Składa się ono ze stałego tekstu i nie zawiera danych osobowych (zob. punkt 5.3).
• Aby odpowiedzieć, możemy zlecić przetłumaczenie Państwa wiadomości i przygotowanie projektu odpowiedzi. Oba zadania wykonuje model językowy na naszych własnych węzłach inferencyjnych (1.1); nie korzystamy z usługi AI podmiotu trzeciego. Model otrzymuje treść Państwa wiadomości, wybrany powód zgłoszenia, informację, czy mają Państwo konto, oraz ścieżkę strony, z której wysłano wiadomość; adresy e-mail, numery telefonów i ciągi od sześciu cyfr są wcześniej zastępowane. Państwa adres IP i adres e-mail do niego nie trafiają. Projekt nigdy nie jest wysyłany automatycznie: człowiek go czyta, w razie potrzeby poprawia i decyduje, czy go wysłać. Także naszą własną odpowiedź możemy przed wysłaniem przetłumaczyć na Państwa język. Tekst przygotowany dla modelu i wynik są zapisywane przy Państwa zgłoszeniu i usuwane razem z nim.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO, jeżeli Państwa zgłoszenie dotyczy umowy lub jej zawarcia; w pozostałych przypadkach art. 6 ust. 1 lit. f RODO, nasz prawnie uzasadniony interes polegający na odpowiadaniu na zapytania. reCAPTCHA, ograniczenie liczby żądań i zapisany adres IP: art. 6 ust. 1 lit. f RODO, ochrona przed zautomatyzowanymi nadużyciami.
• Okres przechowywania: zgłoszenie wysłane po zalogowaniu lub z adresu potwierdzonego dla konta jest usuwane wraz z tym kontem (3.7). Zgłoszenie wysłane bez zalogowania jest usuwane, łącznie z adresem IP i tekstami przygotowanymi dla modelu językowego, najpóźniej 365 dni po jego wpłynięciu lub po naszym ostatnim działaniu w tej sprawie; mogą Państwo w każdej chwili poprosić nas o wcześniejsze usunięcie.

2.5 Kontakt e-mail

Jeżeli piszą Państwo do nas na adres contact@lukaswojcik.com, przetwarzamy Państwa adres e-mail i treść wiadomości, aby Państwu odpowiedzieć. Ta skrzynka jest prowadzona u Namecheap (sekcja 5). Podstawa prawna jak w punkcie 2.4. Wiadomości e-mail przechowujemy tak długo, jak są potrzebne do obsługi Państwa sprawy i ewentualnych pytań uzupełniających oraz do udokumentowania ustaleń; automatyczne usuwanie nie istnieje.

2.6 Brak śledzenia

Poza elementami wymienionymi w tej Części strona internetowa reactive.chat nie zapisuje niczego w Państwa przeglądarce i nie ładuje skryptów, czcionek ani obrazów innych dostawców. Nie stosujemy analityki internetowej, reklam ani pikseli śledzących. Odnośniki do innych stron (na przykład consented.eu lub mouseplayer.com) są zwykłymi odnośnikami; do tych stron nic nie jest przekazywane, dopóki Państwo w nie nie klikną.

2.7 reCAPTCHA

W formularzach logowania, rejestracji, resetu hasła i wsparcia stosujemy Google reCAPTCHA v3, aby odróżnić ludzi od zautomatyzowanych skryptów. reCAPTCHA nigdy nie jest używana w widżecie czatu.

• Gdy zaczną Państwo wypełniać formularz logowania, rejestracji lub resetu hasła (pierwsze kliknięcie lub przejście do formularza) albo otworzą okno wsparcia, Państwa przeglądarka ładuje skrypt reCAPTCHA od Google (www.google.com, www.gstatic.com). Skrypt ocenia informacje o Państwa urządzeniu i zachowaniu na stronie; Google może w tym celu ustawiać lub odczytywać własne pliki cookie. Po wysłaniu formularza nasz serwer przesyła token wyniku wraz z Państwa adresem IP do Google w celu weryfikacji.
• Dostawca: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Nie można wykluczyć przekazania do Google LLC w USA (sekcja 6).
• Podstawa prawna: art. 6 ust. 1 lit. f RODO, nasz prawnie uzasadniony interes polegający na ochronie kont i formularza wsparcia przed zautomatyzowanymi atakami. Bez tej ochrony logowanie i formularz wsparcia byłyby narażone na zautomatyzowane ataki.

2.8 Plik cookie zabezpieczający (rc_csrf)

Gdy otwierają Państwo stronę w serwisie reactive.chat, nasz serwer ustawia w Państwa przeglądarce plik cookie o nazwie rc_csrf, o ile jeszcze go tam nie ma. Dzieje się to na każdej stronie, także wtedy, gdy nie są Państwo zalogowani i nie wypełniają żadnego formularza, ponieważ okno wsparcia można otworzyć z każdej strony, a formularz działa tylko wtedy, gdy plik cookie istnieje już w chwili załadowania strony. Plik cookie zawiera losową wartość złożoną z 64 znaków szesnastkowych, którą generuje nasz serwer i która nie zawiera żadnych informacji o Państwu. Na podstawie tej wartości – a po zalogowaniu także Państwa sesji – serwer oblicza token, który jest umieszczany w każdym formularzu strony i panelu (na przykład logowania, rejestracji, resetu hasła i wsparcia) i sprawdzany przy jego wysłaniu. Inna strona internetowa nie może obliczyć tego tokenu, a zatem nie może wysłać formularza w Państwa imieniu (ochrona przed fałszowaniem żądań między witrynami, CSRF).

• Wartość nie jest przechowywana na naszym serwerze, nie jest zapisywana w żadnym dzienniku i nie jest łączona z Państwa adresem IP, kontem ani innymi danymi; nie służy do rozpoznawania Państwa ani do śledzenia. Państwa przeglądarka odsyła ją w swoich żądaniach do strony.
• Właściwości: HttpOnly (skrypty nie mogą go odczytać), Secure (przesyłany wyłącznie przez połączenia szyfrowane), SameSite=Lax (nie jest dołączany do żądań wywoływanych w tle przez inne strony). Dotyczy wyłącznie adresu samej strony; cdn.reactive.chat go nie ustawia, a widżet czatu na stronach Klientów z niego nie korzysta (4.3).
• Cel: ochrona formularzy strony i panelu przed sfałszowanymi żądaniami.
• Podstawa prawna: zapisanie pliku cookie jest ściśle niezbędne do bezpiecznego udostępnienia formularzy strony (art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej (ePrivacy), ustawa – Prawo komunikacji elektronicznej; w Niemczech § 25 ust. 2 pkt 2 TDDDG), dlatego zgoda nie jest wymagana. W zakresie, w jakim wartość stanowi dane osobowe – art. 6 ust. 1 lit. f RODO; naszym prawnie uzasadnionym interesem jest ochrona kont i formularzy przed sfałszowanymi żądaniami.
• Okres przechowywania: sesyjny plik cookie bez terminu wygaśnięcia; przeglądarka usuwa go po jej zamknięciu (przeglądarki przywracające poprzednią sesję mogą go zachować). Mogą Państwo w każdej chwili usunąć go w ustawieniach przeglądarki; następna otwarta strona ustawi nową wartość.

3. Część B – Klienci i członkowie zespołu

reactive.chat jest oferowany wyłącznie przedsiębiorcom. Niniejsza Część dotyczy osoby, która rejestruje konto Klienta, oraz każdego członka zespołu (role owner, admin, member – rola agenta – oraz viewer) zaproszonego do przestrzeni roboczej. Jesteśmy administratorem opisanych tu danych konta. W odniesieniu do treści, które przetwarzają Państwo za pomocą reactive.chat (rozmowy, baza wiedzy, dane odwiedzających i Państwa klientów końcowych), Państwo są administratorem, a my jesteśmy Państwa podmiotem przetwarzającym – zob. Część C oraz umowa powierzenia przetwarzania.

3.1 Rejestracja i konto

• Dane: nazwa wyświetlana, adres e-mail, hasło (przechowywane wyłącznie jako skrót – hash), język; później, jeżeli je Państwo podadzą, imię i nazwisko, firma, adres i numer VAT; przestrzenie robocze, do których Państwo należą, i Państwa rola; adres awatara, jeżeli go Państwo ustawią; jeżeli wpiszą Państwo numer do funkcji „Kliknij, aby zadzwonić” – Państwa numer telefonu dla danej przestrzeni roboczej.
• Akceptacja dokumentów umownych: rejestracja wymaga zaznaczenia pola, którym akceptują Państwo Regulamin i zawierają umowę powierzenia przetwarzania. Dla każdego dokumentu zapisujemy odcisk (hash) i pełny tekst wyświetlonej wersji, czas, Państwa pełny adres IP oraz user agent. Rejestracja wymaga ponadto zaznaczenia drugiego pola, którym oświadczają Państwo, że rejestrują się w imieniu przedsiębiorcy lub jako przedsiębiorca, a nie jako konsument; to oświadczenie zapisujemy w ten sam sposób: jego treść (wraz z wyświetlaną pod nim informacją dla przedsiębiorców jednoosobowych) i odcisk, czas, Państwa pełny adres IP oraz user agent. Te dowody potwierdzają, jakie brzmienie zostało zaakceptowane i złożone. Jeżeli nie zarejestrowali Państwo konta samodzielnie (np. przez jednokrotne logowanie, SSO) lub nie mamy Państwa akceptacji aktualnej wersji, przed utworzeniem własnej przestrzeni roboczej, przejęciem przestrzeni roboczej lub zamówieniem płatnego planu prosimy o zaznaczenie tych samych dwóch pól i zapisujemy dowód w ten sam sposób, wraz z okolicznością. Są usuwane wraz z Państwa kontem.
• Potwierdzenie adresu e-mail: wysyłamy Państwu link potwierdzający (ważny 60 minut). Potwierdzenie nie jest warunkiem logowania ani korzystania z usługi.
• Rejestracja, logowanie i reset hasła są chronione przez reCAPTCHA (2.7) i mają ograniczenie liczby żądań na adres IP.
• Cel: utworzenie i prowadzenie Państwa konta, jego zabezpieczenie oraz możliwość odtworzenia działań administracyjnych w przestrzeni roboczej.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy); w odniesieniu do dowodu akceptacji, historii logowań, dziennika audytu i ochrony przed nadużyciami art. 6 ust. 1 lit. f RODO, nasz prawnie uzasadniony interes polegający na możliwości wykazania umowy, bezpieczeństwie usługi i możliwości odtworzenia działań administracyjnych.

3.2 Członkowie zespołu

Owner lub admin przestrzeni roboczej zaprasza członków zespołu przez e-mail. Przetwarzamy adres e-mail i rolę zaproszonej osoby, aby wysłać zaproszenie (ważne 7 dni) i po jego przyjęciu prowadzić konto. Przestrzeń roboczą można też zaproponować do przeniesienia innemu członkowi (oferta ważna 7 dni). Członkowie zespołu mogą zwrócić się do ownera przestrzeni roboczej lub do nas o sprostowanie lub usunięcie swoich danych – zob. Dostęp i usuwanie danych.

3.3 Rozliczenia

Plany płatne są rozliczane za pośrednictwem Stripe (sekcja 5). Gdy rozpoczynają Państwo plan płatny, przekazujemy Stripe Państwa adres e-mail, imię i nazwisko lub nazwę firmy, adres, o ile jest kompletny, oraz wewnętrzne identyfikatory Państwa konta i przestrzeni roboczej jako odniesienie; w procesie płatności Stripe sam zbiera adres rozliczeniowy, opcjonalny numer VAT oraz metodę płatności. Dane kart przetwarza wyłącznie Stripe; nigdy nie otrzymujemy numerów kart.

• Przechowujemy identyfikatory klienta i subskrypcji w Stripe, plan, cykl rozliczeniowy i status, faktury z numerem, kwotami, numerem VAT i krajem oraz powiadomienia o płatnościach, które Stripe nam przesyła (zwykle zawierają e-mail, imię i nazwisko oraz adres rozliczeniowy).
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (umowa) oraz art. 6 ust. 1 lit. c RODO (obowiązki księgowe i podatkowe).
• Okres przechowywania: polskie prawo podatkowe zobowiązuje nas do przechowywania faktur przez pięć lat, licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy. Rekordy faktur i powiadomienia o płatnościach nie są obecnie automatycznie usuwane po upływie tego okresu i pozostają po usunięciu konta lub przestrzeni roboczej. Istnieje plan bezpłatny bez danych rozliczeniowych.

3.4 Poczta e-mail

Wiadomości e-mail dotyczące rejestracji, potwierdzenia adresu e-mail, resetu hasła, zaproszeń i powiadomień (na przykład o rozmowach bez odpowiedzi) wysyłamy za pośrednictwem naszej usługi poczty e-mail. Ta sama usługa jest używana do wiadomości do odwiedzających wywoływanych przez czat Klienta – kopii rozmowy, o którą prosi odwiedzający, oraz odpowiedzi w kanale e-mail, jeżeli Klient nie wpisał własnego serwera pocztowego (4.6). Aktualnie wykorzystywany dostawca jest wskazany na liście podwykonawców przetwarzania; zob. sekcja 5. Jeżeli wysyłka nie jest dostępna, wiadomości wychodzące są zapisywane jako pliki na naszym serwerze i usuwane po 30 dniach. Podstawa prawna: art. 6 ust. 1 lit. b RODO; w przypadku wiadomości do odwiedzających – polecenie Klienta (Część C).

3.5 Wsparcie, opinie i status

Zgłoszenia Klientów do wsparcia są obsługiwane w sposób opisany w punktach 2.4 i 2.5. Przycisk opinii w panelu zapisuje Państwa tekst, stronę i user agent przy Państwa koncie; otrzymujemy przez Telegram powiadomienie bez jego treści (5.3). Publiczna strona statusu pokazuje wyłącznie pomiary naszych własnych systemów.

3.6 Kanały i integracje, które Państwo podłączają

Mogą Państwo podłączyć kanały (e-mail przez własny serwer IMAP/SMTP, WhatsApp, Facebook Messenger, Instagram, Telegram, SMS) oraz integracje (na przykład Slack, Microsoft Teams, Discord, HubSpot, Pipedrive, Zendesk, Freshdesk, Jira, Linear, GitHub, Shopify, Shopware, WooCommerce, WordPress, Stripe, Google Analytics 4, Plausible, Matomo, Sentry, Notion, Confluence, Google Drive, Cal.com, Zapier, Make, n8n, webhooki), a także importować dane z Intercom, Crisp, Tidio, Zendesk lub Answely. Korzystają Państwo przy tym z własnych kont i danych uwierzytelniających; przechowujemy je w postaci zaszyfrowanej i wykorzystujemy wyłącznie do obsługi połączenia na Państwa polecenie. Dostawcy tych usług są Państwa własnymi odbiorcami lub podmiotami przetwarzającymi, a nie naszymi podwykonawcami przetwarzania. Odpowiadają Państwo za zgodność z prawem wymiany danych z nimi. Połączenie z Google Drive korzysta z zarejestrowanej przez nas aplikacji OAuth; Google widzi zatem, że autoryzują Państwo tę aplikację, natomiast dokumenty są odczytywane z Państwa Dysku na Państwa polecenie. Co trafia do tych dostawców, opisano w punkcie 4.6.

3.7 Okres przechowywania danych konta, zakończenie umowy i usuwanie

• Dane konta są przechowywane, dopóki konto istnieje. Zakończenie płatnej subskrypcji nie kończy konta: przestrzeń robocza wraca do planu bezpłatnego i nic nie jest usuwane automatycznie.
• Usunięcie konta: mogą Państwo usunąć konto w ustawieniach. Dostęp kończy się natychmiast; konto jest usuwane 30 dni później i do tego czasu mogą Państwo cofnąć usunięcie. Usunięcie obejmuje sesje, tokeny, członkostwa, dowody akceptacji, subskrypcje push, opinie, powiązania SSO, wpisy dziennika audytu bez przestrzeni roboczej oraz zgłoszenia do wsparcia powiązane z kontem. Pozostaje wiersz odnotowujący usunięcie konta, bez nazwiska.
• Usunięcie przestrzeni roboczej: owner może usunąć przestrzeń roboczą; jest ona usuwana po 30 dniach i do tego czasu można ją przywrócić. Dopóki trwa płatna subskrypcja, przestrzeń robocza nie jest usuwana: wniosek jest odrzucany, a w dniu usunięcia przestrzeń robocza jest pomijana do czasu wypowiedzenia subskrypcji; prosimy najpierw wypowiedzieć ją w sekcji Rozliczenia. Projekt Klient może zarchiwizować; projekt usuwamy my na wniosek.
• Co pozostaje po usunięciu: faktury i powiadomienia o płatnościach (3.3); zgłoszenia do wsparcia niepowiązane z kontem, do upływu ich okresu (2.4); wpisy „przestrzeń robocza usunięta” i „konto usunięte” bez treści; przez 400 dni wpis w dzienniku usunięć, który odnotowuje, jakie usunięcie wykonano (7.1); a do czasu ich wygaśnięcia – kopie w kopiach zapasowych (7.1) i dziennikach (2.1).
• Własne pobranie danych: w ustawieniach („Moje dane konta”) mogą Państwo pobrać jako plik JSON: swoje konto, członkostwa i przestrzenie robocze, zaproszenia i przekazania, opinie, zgłoszenia do wsparcia, dowody akceptacji, sesje i logowania, faktury, powiązania SSO, subskrypcje push, swoje ustawienia połączeń i połączenia, swoje oceny i pseudonim, utworzone przez siebie treści (wiadomości, wersje, pytania testowe, wpisy bazy wiedzy), aktywność i wpisy dziennika odczytów.

3.8 Dziennik odczytów (plan Agency)

W przestrzeniach roboczych z planem Agency – z aktywną subskrypcją, także w okresie próbnym, albo na podstawie umowy indywidualnej – usługa zapisuje, który członek zespołu i kiedy otworzył daną rozmowę. Owner i admini przestrzeni roboczej widzą ten dziennik odczytów dla projektów, do których mają dostęp; memberzy i viewerzy go nie widzą.

• Dane: konto członka zespołu, rozmowa, czas i droga dostępu – panel, konsola na żywo na stronie internetowej Klienta albo widok szczegółowy rozmowy w dzienniku AI. Bez adresu IP, bez urządzenia, bez czasu trwania i bez treści. Jeżeli ta sama osoba otworzy tę samą rozmowę tą samą drogą ponownie w ciągu dziesięciu minut, nie powstaje kolejny wpis. Pojedynczo nie są zapisywane: wiersze podglądu na liście rozmów, wyniki wyszukiwania w panelu, widok listy dziennika AI, dostęp przez API za pomocą klucza API ani dostęp z naszej strony. Eksporty całego projektu są odnotowywane w dzienniku audytu (punkt 3.11) i wyświetlane obok dziennika odczytów.
• Tylko z planem: bez planu Agency nie powstaje żaden wpis, a przestrzeń robocza, która wykupi ten plan, nie widzi wpisów z okresu wcześniejszego.
• Role i podstawa prawna: dziennik odczytów dokumentuje, jak zespół Klienta obchodzi się z rozmowami Klienta. Jego administratorem jest Klient, który określa podstawę prawną, na przykład swój prawnie uzasadniony interes polegający na możliwości odtworzenia dostępu do rozmów (art. 6 ust. 1 lit. f RODO) albo przepis prawa krajowego dotyczący danych pracowników (art. 88 RODO); my przetwarzamy wpisy w jego imieniu na podstawie umowy powierzenia przetwarzania. Klient informuje członków swojego zespołu. Jeżeli istnieje rada pracowników lub inna reprezentacja pracowników, przed użyciem dziennika odczytów może być konieczne uwzględnienie jej uprawnień; to również należy do Klienta.
• Okres przechowywania: każdy wpis jest usuwany najpóźniej po 731 dniach, a wcześniej wraz z rozmową, projektem lub przestrzenią roboczą. Jeżeli konto członka zespołu zostanie usunięte, wpisy pozostają bez odniesienia do tego konta. Członkowie zespołu znajdą dotyczące ich wpisy we własnym pobraniu danych (Dostęp i usuwanie danych).

3.9 Logowanie, sesje, uwierzytelnianie dwuskładnikowe i SSO

• Sesje: przy logowaniu zapisujemy sesję wraz z czasem, Państwa pełnym adresem IP i user agentem, a po potwierdzeniu w niej drugiego składnika – także z czasem tego potwierdzenia, aby mogli Państwo widzieć swoje urządzenia i wylogować się wszędzie. Od 17 października 2026 r. w bazie danych przechowywany jest wyłącznie skrót SHA-256 identyfikatora sesji; plik cookie zawiera wartość losową. Sesja kończy się po 14 dniach nieużywania, a przy opcji „Nie wylogowuj mnie” po 60 dniach. Wygasłe sesje i tokeny usuwa codzienny przebieg najpóźniej dzień po ich wygaśnięciu.
• Ostatnie logowanie: Państwa konto zapisuje czas i pełny adres IP ostatniego udanego logowania oraz liczbę nieudanych prób. Po pięciu nieudanych próbach konto jest blokowane na 15 minut.
• Pliki cookie w panelu: panel używa plików cookie ściśle niezbędnych do logowania i ochrony przed fałszowaniem żądań między witrynami (HttpOnly, SameSite=Lax, Secure przy HTTPS). Zawierają one wartości losowe, a nie dane osobowe. Plik cookie zabezpieczający rc_csrf jest ustawiany już na stronie internetowej (2.8). Zgoda nie jest dla nich wymagana (art. 5 ust. 3 dyrektywy ePrivacy, wyjątek dla przechowywania ściśle niezbędnego).
• Pamięć przeglądarki w panelu: panel przechowuje ustawienia w localStorage – motyw (rc_theme), preferencje dźwięku i powiadomień, zwinięte sekcje, Państwa identyfikator agenta i klucz projektu w konsoli na żywo (klucze rcd_) oraz, wyłącznie jeżeli wpiszą go Państwo ręcznie, token dostępu do konsoli na żywo (rcd_token) – a w sessionStorage otwartą zakładkę i niezapisane szkice edytora. Wartości te służą wyłącznie funkcjom panelu, z których Państwo korzystają.
• Uwierzytelnianie dwuskładnikowe (TOTP) jest dobrowolne. Jeżeli je Państwo włączą, zapisujemy wspólny sekret aplikacji uwierzytelniającej w postaci zaszyfrowanej (AES-256-GCM, kluczem z konfiguracji naszego serwera, powiązany z Państwa kontem), kody odzyskiwania w postaci skrótu oraz ostatnio użyty krok czasowy, aby kod nie mógł zostać użyty dwukrotnie.
• Jednokrotne logowanie (OIDC, plan Agency i umowy indywidualne): owner przestrzeni roboczej może podłączyć własnego dostawcę tożsamości tej przestrzeni (na przykład Microsoft Entra ID, Google Workspace, Okta, Keycloak); dostawca ten jest usługą Klienta. Gdy logują się Państwo za jego pośrednictwem, przekazujemy mu wpisany adres e-mail jako wskazówkę logowania i otrzymujemy od niego Państwa adres e-mail, stały identyfikator Państwa konta u niego, informację, czy adres jest potwierdzony, sposób uwierzytelnienia (na przykład z drugim składnikiem) oraz – jeżeli Klient przypisuje grupy do ról (Okta) – Państwa grupy; imię i nazwisko oraz język wyłącznie wtedy, gdy konto jest zakładane przez SSO. Zapisujemy wyłącznie powiązanie Państwa konta z identyfikatorem u dostawcy wraz z czasem pierwszego i ostatniego logowania; token tożsamości, grupy i dane o sposobie uwierzytelnienia nie są zapisywane. Członek zespołu, który po raz pierwszy loguje się przez SSO, otrzymuje automatycznie konto z rolą member, chyba że owner to wyłączył. Każde logowanie przez SSO jest odnotowywane w dzienniku audytu przestrzeni roboczej wraz z pełnym adresem IP; nie jest ono wyświetlane Klientowi (3.11). Dane logowania trwającego procesu SSO są usuwane po godzinie.
• Podstawa prawna: art. 6 ust. 1 lit. b i f RODO (bezpieczeństwo konta).

3.10 Powiadomienia web push

Członkowie zespołu mogą zezwolić przeglądarce na wyświetlanie powiadomień o nowych rozmowach, nowych wiadomościach, przekazaniach i prośbach o oddzwonienie. Jeżeli to Państwo zrobią, zapisujemy subskrypcję przekazaną przez przeglądarkę (adres w usłudze push producenta przeglądarki i dwa klucze), najwyżej 10 na konto. Powiadomienie zawiera wyłącznie rodzaj zdarzenia, nazwę projektu, identyfikatory projektu i rozmowy z linkiem do jej otwarcia oraz czas – a nie treść wiadomości. Jego treść jest szyfrowana end-to-end, tak że może ją odczytać tylko Państwa przeglądarka; usługa push (w zależności od przeglądarki Google, Mozilla, Apple lub Microsoft) poznaje jednak adres subskrypcji, czas i rozmiar każdej wiadomości oraz adres IP naszego serwera (sekcja 5). Subskrypcja jest usuwana, gdy wyłączą Państwo powiadomienia, gdy nie była widziana przez 60 dni, gdy nie należy już do ważnej sesji lub po dziesięciu nieudanych doręczeniach. Podstawa prawna: art. 6 ust. 1 lit. b RODO, na Państwa życzenie.

3.11 Dziennik audytu, AutoQA i inne oceny pracy zespołu

• Dziennik audytu: zapisujemy działania istotne dla bezpieczeństwa wraz z kontem, przestrzenią roboczą, obiektem i pełnym adresem IP – logowania (także przez SSO), nieudane logowania, resetowanie haseł, zaproszenia, zmiany ról, zmiany ustawień, kluczy i integracji, eksporty, usunięcia, każde wywołanie narzędzia przez nasz serwer MCP (bez treści) oraz działania, które podejmujemy w naszym obszarze administracyjnym. Owner i admini przestrzeni roboczej widzą zmiany dokonane w tej przestrzeni, z ustalonej listy działań i bez adresów IP; logowania członków zespołu nie są im wyświetlane, z wyjątkiem nieudanych logowań przez SSO. Klient wybiera, jak długo przechowywane są wpisy przestrzeni roboczej: 90, 180, 365 lub 730 dni albo – ustawienie domyślne – do usunięcia przestrzeni roboczej; okres ten dotyczy wszystkich wpisów przestrzeni, także logowań. Jeżeli konto członka zespołu zostanie usunięte, wpisy przestrzeni roboczej o jego działaniach pozostają wraz z identyfikatorem konta i adresem IP. Wpisy bez przestrzeni roboczej są usuwane po 90 dniach, jeżeli dotyczą logowań i wylogowań, drugiego składnika, haseł, SSO lub nieudanych prób, a w przypadku wpisów nienależących do żadnego konta – np. nieudanych logowań z nieznanym adresem e-mail i blokad adresów IP – wszystkie; pozostałe wpisy konta (np. rejestracja, potwierdzenie lub zmiana adresu e-mail) pozostają do usunięcia konta. Wpisy odnotowujące usunięcie konta lub przestrzeni roboczej oraz działania w naszym obszarze administracyjnym są przechowywane bez limitu czasu.
• AutoQA (opcjonalnie, plany płatne): Klient może zlecić automatyczną ocenę zakończonych rozmów na podstawie stałych sygnałów i list słów. Wynik może obejmować ocenę w podziale na agentów; jest ona obliczana wyłącznie na podstawie tych reguł, widoczna tylko dla ownera i adminów i można ją wyłączyć dla całej przestrzeni roboczej – wtedy agent nie jest nawet zapisywany przy ocenie. Jeżeli Klient włączy dodatkowo ocenę AI, nasz model językowy ocenia wyłącznie rozmowy, w których nie uczestniczył żaden agent (rozmowy prowadzone wyłącznie przez asystenta); otrzymuje ich przebieg (odwiedzający i asystent, najwyżej 6000 znaków) po przejściu przez filtr danych osobowych i z zastąpionymi imionami i nazwiskami znanymi z rozmowy. Ocena AI nigdy nie jest przypisywana agentowi; jeżeli agent dołączy później, zostaje odrzucona. Oceny nie mają odrębnego okresu przechowywania i są usuwane wraz z rozmową; przy anonimizacji uzasadnienie AI i odniesienie do agenta są czyszczone. Ponieważ ocena w podziale na agentów ocenia pracę pracowników, Klient odpowiada za podstawę prawną (na przykład art. 88 RODO i krajowe przepisy o danych pracowniczych), za poinformowanie zespołu i za ewentualne prawa przedstawicielstwa pracowników; zob. także informacje o akcie w sprawie AI. Przetwarzamy te dane w imieniu Klienta.
• Pseudonimy: owner może ustawić, aby raporty, AutoQA i dziennik odczytów pokazywały agentów pod stałymi pseudonimami („Agent A", „Agent B") zamiast nazwisk albo nie pokazywały żadnej oceny w podziale na agentów; każda osoba nadal widzi własne nazwisko. Przypisanie pseudonimów jest zapisywane dla każdej przestrzeni roboczej i owner może je cofnąć. Nie dotyczy ono panelu rozmów, dziennika audytu, wiadomości w rozmowie ani eksportu przestrzeni roboczej.
• Statystyki, cele obsługi i raporty pokazują zespołowi Klienta liczby dla poszczególnych rozmów i agentów; są obliczane z rozmów i podlegają ich okresowi przechowywania.

4. Część C – Odwiedzający strony internetowe Klientów (widżet czatu i funkcje powiązane)

4.1 Role

Klient osadza widżet reactive.chat na swojej stronie internetowej i decyduje, czy, w jaki sposób i w jakim celu z niego korzysta. Klient jest zatem administratorem Państwa danych (art. 4 pkt 7 RODO). My przetwarzamy dane w imieniu Klienta jako podmiot przetwarzający na podstawie umowy powierzenia przetwarzania zgodnie z art. 28 RODO. Informacje o konkretnych celach i podstawach prawnych musi podać Klient w swojej własnej polityce prywatności. Wnioski dotyczące Państwa danych prosimy kierować do Klienta. Jeżeli skontaktują się Państwo bezpośrednio z nami, przekażemy Państwa wniosek Klientowi i udzielimy pomocy – zob. Dostęp i usuwanie danych.

To samo dotyczy Smart Answer (4.14), kanałów komunikatorów (4.6), połączeń i próśb o oddzwonienie (4.17), kampanii (4.16) oraz portalu klienta (4.18).

4.2 Dane przetwarzane w widżecie

Skrypt widżetu jest ładowany z cdn.reactive.chat. Podczas jego ładowania i w trakcie czatu przetwarzane są następujące dane:

• Treść czatu: Państwa wiadomości, przesyłane przez Państwa załączniki (4.12), znaczniki czasu, wybory szybkich odpowiedzi, odpowiedzi na formularze w czacie, oceny CSAT i komentarze oraz dane wpisane w formularzu przed czatem lub w formularzu offline (na przykład imię i nazwisko, adres e-mail lub numer telefonu).
• Techniczne dane sesji: identyfikator sesji oraz – wyłącznie za Państwa zgodą na trwałe przechowywanie (4.3) – identyfikator odwiedzającego (losowe identyfikatory); adres i tytuł strony, na której się Państwo znajdują, oraz ostatnio odwiedzone strony w tej sesji; strona odsyłająca i parametry kampanii (UTM); język przeglądarki; user agent; klasa rozmiaru ekranu lub okna przeglądarki.
• Adres IP i kraj: Państwa adres IP jest wykorzystywany do nawiązania połączenia i ochrony usługi (4.9). Na jego podstawie ustalany jest kraj, za pomocą bazy danych przechowywanej na naszym własnym serwerze (MaxMind GeoLite2; żadne zapytanie nie opuszcza naszego serwera). Rekord rozmowy zapisuje kraj, a nie adres IP. Z tej bazy korzystają także funkcje działające na żywo, które zależą od Państwa kraju – lista odwiedzających na żywo (4.5), kampanie (4.16) i wymóg zgody dla obszaru RODO (4.10): przy nawiązywaniu połączenia nasz serwer czasu rzeczywistego ustala na podstawie Państwa adresu IP wyłącznie kod kraju (bez regionu, miasta i współrzędnych), nie zapisując w tym celu adresu IP; informacje o kraju przesyłane przez Państwa przeglądarkę w nagłówkach żądania nie są wykorzystywane. Jeżeli kraju nie można ustalić, na przykład w przypadku adresów prywatnych lub nieznanych, funkcje te traktują Państwa jak odwiedzającego z obszaru RODO. Gdzie adres IP jest zapisywany w innych miejscach, wskazano poniżej w tym punkcie (dowód zgody) oraz w punktach 2.1, 4.5, 4.9 i 4.14.
• Tekst strony: aby asystent AI mógł uwzględnić stronę, na której się Państwo znajdują, widżet przesyła widoczny tekst tej strony. Jest on zapisywany według adresu i wersji tekstu przy projekcie Klienta, a nie przy Państwu ani Państwa rozmowie, i stanowi część bazy wiedzy Klienta. Nie ma własnego okresu usuwania i jest usuwany wraz z projektem albo wcześniej, jeżeli Klient wykluczy daną ścieżkę. Jeżeli Klient ustawił czat tak, by najpierw prosił o zgodę (4.10), tekst ten i kontekst strony są wysyłane dopiero po wyrażeniu przez Państwa zgody.
• Opcjonalne atrybuty: jeżeli Klient je przekazuje – Państwa imię i nazwisko, adres e-mail, identyfikator użytkownika i pola niestandardowe. O tym, czy tak się dzieje, decyduje Klient.
• Opcjonalna identyfikacja: Klient może przekazać identyfikator użytkownika wraz ze skrótem HMAC, aby widżet mógł wyświetlać historię zalogowanego odwiedzającego na różnych urządzeniach. Klient może także podpisać Państwa adres e-mail razem z identyfikatorem użytkownika i czasem ważności; wyłącznie tak podpisany adres e-mail jest przekazywany asystentowi AI jako znany i używany do rezerwacji terminów (4.4). Agent Klienta może ponadto powiązać rozmowę z osobą w dokumentacji Klienta; zapisywane jest powiązanie i to, kto je potwierdził.
• Dowód odwiedzającego: przy uruchomieniu widżetu nasz serwer nadaje losowy token, który jest zapisywany w Państwa przeglądarce wraz z identyfikatorem odwiedzającego lub sesji. Tylko posiadacz tokenu może kontynuować, wyświetlić lub usunąć rozmowy tego identyfikatora. Na serwerze jest on przechowywany przez 400 dni od ostatniego użycia.
• Dowód zgody: jeżeli Klient sprawi, że czat prosi Państwa o zgodę, odnotowujemy każde jej udzielenie i każde wycofanie – brzmienie, które Państwu pokazano, powiązany z nim adres polityki prywatności, język, czas, Państwa pełny adres IP i user agent oraz identyfikatory sesji, odwiedzającego i rozmowy. Art. 7 ust. 1 RODO wymaga od administratora, aby był w stanie wykazać zgodę; co dzieje się z tym dowodem, opisano w punkcie 4.11.

4.3 Przechowywanie w Państwa przeglądarce

Widżet nie ustawia plików cookie – ani własnych, ani podmiotów trzecich – i nie zawiera pikseli reklamowych ani śledzących. Korzysta z pamięci internetowej (web storage) Państwa przeglądarki dla strony, na której jest osadzony. Z której pamięci korzysta, zależy od sygnału zgody platformy zarządzania zgodami Klienta (sygnał IAB TCF dotyczący przechowywania na urządzeniu, sygnał consented.eu lub wartość przekazana przez Klienta):

• Bez zgody (także gdy nie nadejdzie żaden sygnał): wszystko jest przechowywane w sessionStorage, który przeglądarka czyści po zamknięciu karty. Identyfikator odwiedzającego nie jest tworzony, tylko identyfikator sesji. Jeden wyjątek: po usunięciu przez Państwa danych czatu klucz rc_dnt jest zapisywany w localStorage – pojedynczy bit „nie śledź” bez jakiegokolwiek identyfikatora, aby usunięcie nie zostało cofnięte przy następnym wyświetleniu strony. Nie ma on terminu wygaśnięcia.
• Za zgodą: widżet przenosi swoje wpisy do localStorage, aby Państwa rozmowę można było kontynuować podczas późniejszej wizyty. Każdy wpis ma własny termin ważności, sprawdzany przy odczycie: jeden dzień dla bieżącej rozmowy i otwartej zakładki, jeden rok dla preferencji i danych z formularza przed czatem. Jeżeli wycofają Państwo zgodę, widżet przenosi swoje wpisy rc_ z powrotem do sessionStorage i usuwa je z localStorage; wpisy mp_ pozostają (zob. niżej).

Używane klucze:

• rc_id – wyłącznie bez zgody: identyfikator sesji i identyfikator karty. sessionStorage, do zamknięcia karty.
• rc_conv, rc_thr – bieżąca rozmowa i lista wątków rozmów. Jeden dzień.
• rc_tab, rc_marke:<klucz witryny> – ostatnio otwarta zakładka w widżecie, znacznik wyświetlania witryny (kolor, nazwa, adres logo; bez odniesienia do osoby). Jeden dzień.
• rc_locale_wahl, rc_thema_wahl – wybrany w widżecie język i motyw. Jeden rok.
• rc_prechat – dane wpisane w formularzu przed czatem (na przykład imię i nazwisko oraz adres e-mail), aby nie musieli ich Państwo wpisywać ponownie. Jeden rok.
• rc_ds, rc_dsst – Państwa odpowiedź na własne pytanie czatu o zgodę oraz poziom zgody strony. Jeden rok.
• rc_erst – czas Państwa pierwszej wizyty; wyłącznie za zgodą. Jeden rok.
• rc_vtok – identyfikator odwiedzającego lub sesji i dowód odwiedzającego (4.2). sessionStorage, za zgodą localStorage bez terminu wygaśnięcia; na serwerze 400 dni od ostatniego użycia.
• rc_outbox_* – wiadomości, które Państwo napisali, ale których nie udało się jeszcze wysłać, wraz z ich treścią (najwyżej 50 wiadomości, 128 kB). 24 godziny.
• rc_sig – ogranicznik sygnałów zachowania i zgłoszeń błędów skryptów (4.19): dla każdego rodzaju sygnału i ścieżki strony czas ostatniego zgłoszenia, licznik i wartości skrótu zgłoszonych błędów. Jak pozostałe wpisy; 30 minut.
• rc_seen, rc_http – stan techniczny połączenia (identyfikatory ostatnio otrzymanych wiadomości, czas ostatniego połączenia zastępczego), sessionStorage, do zamknięcia karty; rc_http jest używany przez 30 minut. rc_leader – która karta utrzymuje połączenie; wyłącznie za zgodą i tylko w przeglądarkach bez Web Locks, w localStorage, usuwany, gdy ta karta zakończy połączenie.
• rc_offen, rc_seiten, rc_draft_* – zawsze sessionStorage: czy okno jest otwarte, licznik stron i niewysłany szkic Państwa wiadomości (tekst). Do zamknięcia karty. rc_nav, rc_ruht, rc_cb – sessionStorage: ostatnie adresy w aplikacji jednostronicowej (najwyżej 50), okres ciszy i rozpoczęty formularz oddzwonienia. Jeżeli udzielą Państwo zgody, gdy któryś z tych wpisów (albo rc_seen, rc_http) istnieje, zostaje on przeniesiony wraz z pozostałymi wpisami do localStorage i pozostaje tam bez terminu wygaśnięcia, dopóki nie wycofają Państwo zgody lub nie usuną danych czatu.
• rc_dnd – „nie przeszkadzać” dla wiadomości proaktywnych. Bez terminu wygaśnięcia w localStorage albo do zamknięcia karty. Na naszym serwerze ten sam wybór jest przechowywany dla Państwa identyfikatora odwiedzającego przez 30 dni.
• rc_dnt – zob. wyżej.
• mp_session_data, mp_visitor_id (localStorage) i mp_tab_id (sessionStorage) – wyłącznie za zgodą, niezależnie od tego, czy Klient korzysta z MousePlayer: za zgodą widżet przechowuje pod tymi nazwami swój identyfikator sesji (używany przez 30 minut), identyfikator odwiedzającego i identyfikator karty, aby nagrywanie sesji MousePlayer, jeżeli Klient z niego korzysta, działało z tymi samymi identyfikatorami (4.6). mp_visitor_id nie ma terminu wygaśnięcia. Wpisy te nie są usuwane po wycofaniu zgody; są usuwane, gdy usuwają Państwo swoje dane czatu. Jeżeli w Państwa przeglądarce istnieją już identyfikatory MousePlayer, widżet je odczytuje i używa ich jako swoich identyfikatorów, także bez zgody.

Podstawą prawną przechowywania w przeglądarce jest art. 5 ust. 3 dyrektywy ePrivacy wdrożony ustawą – Prawo komunikacji elektronicznej oraz prawem państwa Klienta: sessionStorage jest ściśle niezbędny do prowadzenia czatu, o który Państwo poprosili; trwałe przechowywanie wymaga Państwa zgody, którą uzyskuje Klient. Bit rc_dnt zapisuje Państwa własną decyzję o usunięciu i jest ściśle niezbędny do jej respektowania.

4.4 Asystent AI

Klient może włączyć asystenta AI (domyślna nazwa „Ada”), który odpowiada na Państwa pytania.

• Gdzie działa: na naszych własnych węzłach inferencyjnych w tej samej sieci lokalnej co nasz serwer w Łodzi (1.1). Zadania otrzymują wyłącznie węzły wpisane do prowadzonego przez nas rejestru; jeżeli rejestru nie da się odczytać, żaden węzeł nie otrzymuje zadań. Do generowania odpowiedzi nie jest wykorzystywana żadna usługa AI podmiotu trzeciego (taka jak OpenAI, Anthropic czy Google), także jako rozwiązanie awaryjne. Państwa wiadomości nie opuszczają w tym celu naszej infrastruktury.
• Modele: nasza własna AI, hostowana samodzielnie na własnym sprzęcie. Jeden model czatu (w wersji instrukcyjnej, skwantyzowanej do 4 bitów) działa na dwóch węzłach, a drugi model czatu (Instruct) na trzecim węźle, który pełni funkcję rezerwy; teksty są zamieniane na wektory wyszukiwania za pomocą własnego, również hostowanego samodzielnie modelu osadzeń. Wszystkie są modelami na otwartych licencjach, które uruchamiamy w niezmienionej postaci na własnym sprzęcie. W planie bezpłatnym zadania trafiają wyłącznie do węzła rezerwowego. W planach płatnych trafiają do dwóch pozostałych węzłów; węzeł rezerwowy przejmuje je tylko wtedy, gdy żaden z nich nie jest dostępny albo żaden nie przyjął zadania w ciągu 3 sekund.
• Brak trenowania: nie trenujemy ani nie dostrajamy żadnego modelu przy użyciu Państwa danych ani danych Klienta. Pojedyncze zapytania mogą być wykorzystywane wewnętrznie do porównania wersji modelu przed aktualizacją; nie są wykorzystywane do trenowania i nie są udostępniane.
• Co otrzymuje model: Państwa wiadomość, przebieg rozmowy (ostatnie wiadomości i podsumowanie starszych), fragmenty bazy wiedzy Klienta, sytuację na stronie (nazwa witryny, rodzaj strony, godzina i język), tekst wyodrębniony z załącznika (4.12), a przy pytaniach o Państwa zamówienia – dane zamówień udostępnione przez Klienta (4.13).
• Baza wiedzy: asystent odpowiada na podstawie bazy wiedzy budowanej przez Klienta: indeksu (crawl) własnej strony internetowej Klienta (z poszanowaniem robots.txt), dokumentów przesłanych przez Klienta (PDF, DOCX, tekst, Markdown, CSV, HTML; przechowywanych do czasu ich usunięcia przez Klienta), plików produktowych (feedów), treści z podłączonych źródeł, takich jak Google Drive, oraz tekstu strony opisanego w 4.2. W przypadku Google Drive Klient loguje się własnym kontem Google i przyznaje naszej aplikacji OAuth dostęp tylko do odczytu do wybranych folderów i plików; zapisujemy token dostępu w postaci zaszyfrowanej oraz adres e-mail podłączonego konta Google, odczytujemy wybrane pliki mniej więcej co sześć godzin i przechowujemy ich tekst w bazie wiedzy, a nie oryginalne pliki; odłączenie Drive usuwa jego treści z bazy wiedzy. Klient decyduje, co trafia do bazy wiedzy, i odpowiada za jej treść. Jeżeli baza wiedzy nie zawiera nic odpowiedniego, asystent może odpowiadać na ogólne pytania na podstawie wiedzy ogólnej modelu albo przekazuje rozmowę człowiekowi.
• Kontrola: zanim zostanie wyświetlona odpowiedź opierająca się na źródłach, nasz serwer sprawdza ją według stałych reguł (na przykład dni tygodnia, liczby i słowa takie jak „bezpłatnie”) względem tych źródeł; nie używa do tego kolejnego modelu. Wewnętrzny dziennik AI zapisuje dla każdej odpowiedzi wykorzystane źródła, wynik kontroli, model i węzeł oraz czasy – bez kopii tekstu. Klient może go przeglądać.
• Akcje: w planach płatnych, jeżeli Klient je skonfiguruje, asystent może sprawdzić status zamówienia, pokazać wolne terminy i zarezerwować termin przez konto Cal.com Klienta, sprawdzić subskrypcję na koncie Stripe Klienta (na podstawie potwierdzonego identyfikatora użytkownika, nigdy na podstawie adresu e-mail) albo wywołać interfejs Klienta. Przy rezerwacji Cal.com otrzymuje termin, rodzaj spotkania, Państwa imię i nazwisko, strefę czasową i adres e-mail – wyłącznie adres, który strona Klienta potwierdziła swoim podpisem (4.2), nigdy adres wpisany w czacie. Interfejs Klienta otrzymuje wyłącznie wartości określone w jego formularzu oraz – tylko przy potwierdzonej tożsamości – Państwa identyfikator użytkownika. Akcja, która coś zmienia, jest wykonywana dopiero po kliknięciu przez Państwa „Tak" przy potwierdzeniu dokładnie tej akcji (ważne 10 minut). Wynik pojawia się w rozmowie jako wiadomość; model otrzymuje wyłącznie pola udostępnione przez Klienta. W przypadku tych akcji i danych zamówień tekst przekazany modelowi jest usuwany z naszych zapisów, gdy tylko odpowiedź zostanie dostarczona. Cal.com, Stripe i interfejsy Klienta są usługami Klienta, a nie naszymi podwykonawcami przetwarzania.
• Wiadomości proaktywne: jeżeli Klient z nich korzysta, model może napisać krótkie zdanie otwierające pasujące do strony, na której się Państwo znajdują; otrzymuje w tym celu tytuł i do 1200 znaków tekstu strony, nazwę bota i ton zespołu, a nie Państwa wiadomości.
• Klasyfikacja routingu: jeżeli Klient ją włączy (plany płatne), model jednorazowo czyta Państwa pierwszą wiadomość – zamaskowaną jak w przypadku narzędzi dla agentów (4.15) i skróconą do 1500 znaków – i proponuje etykiety tematyczne z listy Klienta, oznaczenie pilności oraz wartość nastroju (pozytywny, neutralny, negatywny, zdenerwowany). Niezależnie od tego listy słów w języku niemieckim, angielskim i polskim szacują nastrój Państwa wiadomości; liczy się mniej korzystna z obu wartości. Etykiety i nastrój są wykorzystywane przez reguły routingu Klienta do przydzielenia rozmowy agentowi; nie są Państwo informowani o przydziale. Są przechowywane w roboczej kopii rozmowy (4.11), a nie jako tekst w dzienniku AI.
• Aplikacje o pracę: asystent nie przyjmuje ani nie ocenia aplikacji o pracę ani CV. Jeżeli czat rozpozna aplikację – w Państwa wiadomości, w załączonym pliku lub w jego nazwie – otrzymują Państwo stałą odpowiedź ze wskazaniem ścieżki rekrutacyjnej Klienta, rozmowa trafia do człowieka, a przez resztę rozmowy nie jest używany żaden model językowy, z wyjątkiem tłumaczenia wiadomości dla agentów.
• Przepływy prowadzone: jeżeli Klient zbudował przepływ prowadzony, Państwa odpowiedzi na jego pytania (na przykład imię i nazwisko, adres e-mail lub numer telefonu) są zapisywane jako zwykłe wiadomości rozmowy i przekazywane asystentowi jako kontekst, najwyżej 200 znaków na odpowiedź.
• Oznaczenie: widżet wyświetla informację przed pierwszą odpowiedzią asystenta i oznacza każdą odpowiedź etykietą „AI”, aby mogli Państwo rozpoznać, że rozmawiają z systemem AI (art. 50 Aktu w sprawie sztucznej inteligencji, rozporządzenie (UE) 2024/1689). Asystent ma polecenie, aby na pytanie odpowiadał, że jest AI. Klient nie może usuwać ani ukrywać tego oznaczenia. Klient decyduje o nazwie asystenta i o tym, czy w ogóle jest on używany, i może go w każdej chwili wyłączyć; również my możemy go wyłączyć dla projektu lub w całości.
• Gdy tylko agent przejmie rozmowę, asystent przestaje odpowiadać.
• Asystent nie jest systemem AI wysokiego ryzyka. Nie podejmuje decyzji wywołujących wobec Państwa skutki prawne. Szczegóły: Informacje dotyczące Aktu w sprawie sztucznej inteligencji.
• My wybieramy, konfigurujemy i obsługujemy modele. Nie gwarantujemy, że odpowiedzi AI są dokładne, kompletne lub przydatne do określonego celu.
• Zapisy: zlecenia dla modelu zawierają tekst przekazany modelowi, w tym Państwa wiadomość. Zlecenia należące do rozmowy są przechowywane razem z nią i usuwane wraz z nią; jeżeli Klient ustawił usuwanie na anonimizację, ich tekst jest czyszczony (4.11). Zlecenia bez rozmowy są usuwane 30 dni po ich złożeniu, o ile zostały zakończone lub odrzucone.

Kilka funkcji celowo nie korzysta z modelu językowego: rozpoznawanie nadużyć i żądań usunięcia danych (4.11), stała odpowiedź na pytania o to, co jest przechowywane, sygnały frustracji (4.19), propozycje konfiguracji w panelu oraz regułowa część AutoQA.

4.5 Agenci – ludzie

Agenci Klienta czytają rozmowy i odpowiadają na nie w panelu internetowym. Dostęp jest oparty na rolach (owner, admin, member, viewer) i ograniczony do własnej przestrzeni roboczej Klienta oraz, jeżeli Klient tak postanowi, do poszczególnych projektów. Agenci mogą przydzielać, oznaczać i zamykać rozmowy, korzystać z przygotowanych odpowiedzi, wysyłać szybkie odpowiedzi, karty, formularze i załączniki, prosić o ocenę CSAT, zostawiać notatki wewnętrzne, przekazywać rozmowy oraz widzieć listę odwiedzających obecnych w danej chwili na stronie i zapraszać ich do czatu. Rozmowy mogą być automatycznie rozdzielane i przydzielane według reguł i celów obsługi. Wiadomości proaktywne i przewodniki po produkcie konfiguruje Klient.

Lista odwiedzających na żywo: powstaje wyłącznie z danych, które i tak zawiera Państwa sesja; nic nie jest dla niej zbierane. Bez zgody pokazuje wyłącznie losowy identyfikator, czasy, informację, czy trwa rozmowa, oraz to, że brak zgody. Pełny wiersz – strona bez parametrów, host strony odsyłającej, parametry kampanii, rodzina urządzenia, przeglądarki i systemu operacyjnego, kraj (ustalony na podstawie Państwa adresu IP, 4.2), język, czy byli już Państwo na stronie – jest wyświetlany tylko wtedy, gdy projekt Klienta nie wymaga zgody lub wyrazili Państwo zgodę; w przypadku odwiedzających z obszaru RODO oraz wszędzie tam, gdzie kraj jest nieznany – wyłącznie za Państwa zgodą (4.10). Lista nigdy nie pokazuje Państwa adresu IP, surowej identyfikacji przeglądarki, identyfikatorów kliknięć sieci reklamowych ani Państwa imienia, nazwiska i adresu e-mail. Istnieje wyłącznie w naszej pamięci podręcznej, jest odnawiana najwyżej co 90 sekund – w praktyce co 30 sekund – i wygasa 90 sekund po ostatnim odnowieniu; znikają Państwo z niej 45 sekund po opuszczeniu strony i po 30 minutach bez aktywności. Agent może zaprosić Państwa z listy do czatu (najwyżej raz na 2 minuty na odwiedzającego), według tej samej zasady dotyczącej zgody. Systemy Klienta mogą odczytywać tę samą listę przez nasze API (4.6).

Agent może zablokować odwiedzającego na okres do 365 dni (24 godziny, jeżeli nie ustawiono inaczej). Blokada dotyczy identyfikatora odwiedzającego na tej stronie oraz adresu IP połączenia; jeżeli odwiedzający łączy się bezpośrednio z naszym serwerem, zablokowany adres IP jest blokowany dla całej usługi, a nie tylko dla strony tego Klienta. Agenci mogą również korzystać z modelu językowego do tłumaczenia wiadomości oraz przygotowywania projektów odpowiedzi i podsumowań (4.15).

4.6 Kanały, integracje i nagrywanie sesji aktywowane przez Klienta

Klient może podłączyć kolejne kanały i integracje. Jeżeli to zrobi, dane rozmów są wymieniane z tymi dostawcami na polecenie Klienta. Dostawcy ci są odbiorcami lub podmiotami przetwarzającymi Klienta, a nie naszymi podwykonawcami przetwarzania.

• WhatsApp, Facebook Messenger i Instagram działają bezpośrednio przez interfejsy Meta Platforms Ireland Ltd. (Graph API) z własnym kontem Meta Klienta; przetwarzamy Państwa numer telefonu lub identyfikator profilu, nazwę wyświetlaną i wiadomości. Telegram działa przez własnego bota Telegram Klienta; otrzymujemy Państwa identyfikator czatu, imię i nazwisko lub nazwę użytkownika oraz wysyłane przez Państwa teksty, zdjęcia i dokumenty. Wiadomości w grupach Telegram i od innych botów są odrzucane. Telegram jest prowadzony spoza EOG (Telegram FZ-LLC, Dubaj). SMS działają przez własne konto Twilio Klienta; treść wiadomości obrazkowych (MMS) nie jest pobierana. Poczta e-mail działa przez własną skrzynkę Klienta: pobieramy nowe wiadomości z jej skrzynki odbiorczej (IMAP) i oznaczamy je jako przeczytane, a odpowiedzi są wysyłane przez własny serwer pocztowy Klienta; jeżeli Klient go nie wprowadził, odpowiedzi są wysyłane przez naszą usługę poczty e-mail z naszego adresu nadawcy w imieniu „[projekt] via reactive.chat" z adresem Klienta jako adresem do odpowiedzi, a nasz dostawca poczty przetwarza wówczas Państwa adres e-mail, imię i nazwisko, temat i treść (3.4, 5.1). Dla każdego wątku e-mail zapisujemy Państwa adres i imię i nazwisko, temat i odniesienia do wiadomości, a treści jako wiadomości rozmowy, nie oryginalną wiadomość e-mail. Automatyczne odpowiedzi, wiadomości z list mailingowych, zwroty, wiadomości z adresów no-reply i wiadomości oznaczone jako spam są ignorowane i nie są zapisywane; od jednego nadawcy przyjmowanych jest najwyżej 20 wiadomości na godzinę.
• Co zapisujemy dla kanałów: powiązanie Państwa tożsamości w kanale (numer telefonu, identyfikator czatu, adres e-mail) z rozmową oraz wątki e-mail. Nie ma odrębnego okresu przechowywania; są usuwane wraz z projektem oraz gdy usuwane są wszystkie rozmowy danej sesji kanału – na Państwa żądanie albo po upływie okresu przechowywania ustawionego przez Klienta. Numery wiadomości w kanałach, które przechowujemy w celu rozpoznawania duplikatów i które mogą zawierać Państwa numer telefonu, są usuwane po 7 dniach. Pliki przychodzące przez kanał są przechowywane w pamięci pośredniej najwyżej przez 24 godziny.
• Narzędzia zgłoszeń i help-desk (Zendesk, Freshdesk, Jira, Linear) otrzymują Państwa imię i nazwisko, adres e-mail i przebieg rozmowy, gdy agent tworzy zgłoszenie. Narzędzia czatu zespołowego (Slack, Microsoft Teams, Discord, Telegram, e-mail) otrzymują powiadomienia z fragmentem do 400 znaków, nazwą i agentem. Narzędzia CRM, sklepowe i płatnicze Klienta (HubSpot, Pipedrive, Shopify, Shopware, WooCommerce, WordPress, Stripe) otrzymują Państwa adres e-mail jako klucz wyszukiwania, aby wyświetlić agentowi kartę kontekstu. Narzędzia analityczne i do śledzenia błędów (Google Analytics 4, Plausible, Matomo, Sentry) otrzymują adres strony, a w przypadku Sentry – odniesienie do sesji. Integracje typu webhook (webhooki, Zapier, Make, n8n) otrzymują zdarzenia „rozmowa utworzona”, „wiadomość utworzona”, „żądanie przekazania” i „ocena przesłana”. GitHub otrzymuje raporty błędów (4.19).
• Jeżeli Klient podłączy własny serwer AI, wiadomości dla funkcji AI trafiają do tego serwera i wybranego tam modelu; serwer ten jest podmiotem przetwarzającym Klienta.
• Klient może również korzystać z nagrywania sesji (session replay) za pomocą MousePlayer – odrębnej usługi tego samego operatora z własnym regulaminem. Widżet współdzieli wtedy identyfikatory MousePlayer (4.3), i to wyłącznie za zgodą.
• Za pośrednictwem naszego interfejsu (API) i naszego serwera MCP systemy Klienta i wybrane przez niego narzędzia AI mogą odczytywać i zapisywać rozmowy, odwiedzających, zdarzenia i wyszukiwania w bazie wiedzy przy użyciu klucza utworzonego przez Klienta. Przez serwer MCP, bez dodatkowego uprawnienia do danych odwiedzających, imiona i nazwiska są skracane do inicjałów, adresy e-mail maskowane, numery telefonów skracane do dwóch ostatnich cyfr, a teksty przechodzą przez filtr danych osobowych (4.7); Państwa adres IP nigdy nie jest przekazywany. Zdarzenia, które własne systemy Klienta wysyłają do nas, interfejs zwraca w postaci, w jakiej zostały wysłane (najwyżej 8 KiB każde). Dane pobrane w ten sposób przez Klienta znajdują się w jego własnych systemach; nie wysyłamy ich nikomu innemu.

4.7 Zamazywanie danych osobowych (PII scrubbing)

Zanim wiadomość odwiedzającego lub agenta zostanie zapisana, nasz serwer automatycznie zastępuje symbolem zastępczym wzorce przypominające adresy e-mail, numery kart (sprawdzane algorytmem Luhna), numery IBAN (sprawdzane cyframi kontrolnymi ISO), numery telefonów, identyfikatory podatkowe oraz sekrety, takie jak klucze dostępu; zamazania są zliczane i oznaczane w wiadomości. Dwa wyjątki: wiadomości zapisywane przez system Klienta za pośrednictwem naszego API oraz odpowiedzi na formularze w czacie są zapisywane w postaci, w jakiej zostały wysłane. Jest to filtr ochronny, a nie gwarancja; prosimy nie wpisywać danych płatniczych w czacie.

4.8 Filtry treści

Nie jesteśmy stroną rozmowy i nie weryfikujemy wiadomości pod względem redakcyjnym. Stosujemy wyłącznie filtry automatyczne: zamazywanie danych osobowych, wykrywanie spamu i wykrywanie nadużyć (w tym prób wykorzystania asystenta AI do zadań niezwiązanych z usługą), wszystkie według stałych reguł. Treści niezgodne z prawem można zgłaszać na adres contact@lukaswojcik.com; zob. także Przeciwdziałanie nadużyciom i oszustwom.

4.9 Ochrona przed nadużyciami

Serwer czasu rzeczywistego chroni siebie i Klientów przed zalewaniem żądaniami (hammering, flooding) i spamem. Zlicza żądania na połączenie i na adres IP oraz ogranicza rozmiar i liczbę wiadomości, a także korzystanie z asystenta AI na stronę i na adres. Po przekroczeniu limitów może automatycznie i tymczasowo zablokować połączenie, identyfikator odwiedzającego lub adres IP (24 godziny, jeżeli nie ustawiono inaczej); blokady są przechowywane w pamięci operacyjnej bazy naszego serwera przez czas ich trwania. Blokady ręczne prowadzimy my i Klienci (4.5). Ostatnie 500 zdarzeń bezpieczeństwa tego mechanizmu, wraz z adresem IP, jest przechowywanych na liście kroczącej bez limitu czasowego; starsze zdarzenia są nadpisywane. Każde połączenie może odwoływać się wyłącznie do rozmów własnej strony (izolacja najemców według klucza strony – site key). W ramach przetwarzania Klienta jest to środek bezpieczeństwa w rozumieniu art. 32 RODO; w zakresie, w jakim chronimy własną usługę, naszą podstawą prawną jest art. 6 ust. 1 lit. f RODO.

W przypadku informacji „Powered by reactive.chat” w planie bezpłatnym zliczamy wyświetlenia i kliknięcia; adres IP jest przy tym wykorzystywany wyłącznie jako skrócona wartość jednokierunkowego skrótu przez dziesięć minut, aby uniknąć podwójnego liczenia, a liczniki są przechowywane przez 40 dni.

4.10 Podstawy prawne

Podstawy prawne określa Klient. Zazwyczaj są to art. 6 ust. 1 lit. b RODO (odpowiedź na Państwa zapytanie przed zawarciem umowy lub w trakcie jej trwania), art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Klienta polegający na oferowaniu czatu i ochronie go przed nadużyciami) oraz Państwa zgoda na trwałe przechowywanie w przeglądarce. Klient może ponadto ustawić czat tak, aby prosił Państwa o zgodę, zanim będą Państwo mogli napisać wiadomość; jeżeli to zrobi, podstawą prawną przetwarzania Państwa wiadomości jest Państwa zgoda (art. 6 ust. 1 lit. a RODO), czat pokazuje Państwu brzmienie, na które wyrażają Państwo zgodę, a przed jej udzieleniem nie powstaje żadna rozmowa i nie jest wysyłany tekst strony. Jest to inna zgoda niż zgoda na trwałe przechowywanie w przeglądarce opisana w punkcie 4.3, która dotyczy wyłącznie przechowywania danych na Państwa urządzeniu. Rozstrzygająca jest własna polityka prywatności Klienta.

W przypadku odwiedzających z obszaru RODO – państw członkowskich UE, państw EOG: Islandii, Liechtensteinu i Norwegii, Zjednoczonego Królestwa i Szwajcarii – oraz zawsze wtedy, gdy nie można ustalić kraju, trzy funkcje działają wyłącznie za Państwa zgodą, niezależnie od poziomu zgody wybranego przez Klienta: kampanie w widżecie (4.16), pełny wiersz o Państwu na liście odwiedzających na żywo oraz zaproszenia do czatu z tej listy (4.5). Kraj jest ustalany na podstawie Państwa adresu IP za pomocą bazy krajów opisanej w 4.2 (wyłącznie kod kraju); informacje o kraju przesyłane przez Państwa przeglądarkę nie są wykorzystywane. Jeżeli kraju nie można ustalić – na przykład w przypadku adresów prywatnych lub nieznanych – wymagana jest zgoda.

4.11 Okres przechowywania

Brak automatycznego okresu, dopóki Klient go nie ustawi. Rozmowy są przechowywane do czasu ich usunięcia. Nasza usługa domyślnie nie usuwa ich po stałym okresie: Klient jako administrator ustawia dla każdego projektu, po ilu dniach braku aktywności rozmowy są usuwane (od 0 = bez limitu do 3650 dni). Liczba ta może być ograniczona ustalonym przez nas limitem górnym oraz limitem uzgodnionym w umowie indywidualnej; obowiązuje najniższa z nich. Codzienny przebieg usuwa rozmowy, w których dłużej nie było aktywności. Jeżeli nigdzie nie ustawiono żadnej liczby – co jest ustawieniem domyślnym – żaden okres nie obowiązuje, a rozmowa pozostaje, dopóki istnieje projekt Klienta. Zakończenie płatnej subskrypcji niczego nie usuwa (3.7).

Rozmowę kończą:

• Okres przechowywania ustawiony przez Klienta, jak opisano wyżej.
• Państwa własne usunięcie w oknie czatu. Jeżeli Klient pozostawi ten przycisk włączony, mogą Państwo sami usunąć rozmowę, jej historię i identyfikatory swojej wizyty; jeżeli Klient prosi Państwa dodatkowo o zgodę, mogą ją Państwo tam wycofać, co ma ten sam skutek. Usunięcie jest wykonywane w ciągu kilku minut. Szczegóły praktyczne: Dostęp i usuwanie danych.
• Żądanie usunięcia, które napiszą Państwo słowami. Jeżeli napiszą Państwo na czacie, że chcą Państwo usunięcia swoich danych – „zapomnij o mnie”, „usuń wszystkie moje dane” i podobne sformułowania po polsku, niemiecku lub angielsku – nasz serwer rozpoznaje takie sformułowanie i odpowiada Państwu. Rozpoznawanie porównuje wiadomość ze stałą listą sformułowań; nie korzysta z asystenta AI i dlatego działa również tam, gdzie Klient wyłączył asystenta. Klient decyduje dla każdego projektu, czy takie żądanie w ogóle jest rozpoznawane oraz czy czat prosi przed usunięciem o potwierdzenie – od tego ustawienia zaczyna każdy projekt – czy usuwa od razu. Przed usunięciem czat informuje, co może tutaj usunąć i że wszystkiego, co Klient przechowuje o Państwu poza czatem, należy żądać u niego. Usuwane jest to samo co w poprzednim punkcie; istnieje tylko jedna droga usunięcia.
• Usunięcie projektu lub przestrzeni roboczej Klienta (3.7), w przypadku przestrzeni roboczej z okresem oczekiwania wynoszącym 30 dni.

W panelu nie ma obecnie funkcji, za pomocą której agenci usuwaliby pojedyncze rozmowy. Jeżeli poproszą Państwo Klienta o usunięcie rozmowy, Klient może skorzystać z powyższych sposobów albo zwrócić się do nas o pomoc.

To, co oznacza usunięcie, wybiera Klient: albo rozmowa zostaje skasowana, albo zanonimizowana – treść wiadomości zostaje zastąpiona symbolem zastępczym, tłumaczenia i odpowiedzi na formularze są usuwane, rozmowa traci identyfikator odwiedzającego i komentarz do oceny CSAT, sesja traci user agent, kraj i dane o źródle wizyty, a zapisy przetwarzania AI tej rozmowy są czyszczone. Same losowe identyfikatory sesji i odwiedzającego pozostają, aby liczby odwiedzających nie zmieniały się wstecz; po tym zabiegu nie towarzyszy im już nic, co opisywałoby osobę, a rozmowa pozostaje wyłącznie jako anonimowy wpis (czas, kanał, status, ocena) w statystykach Klienta. Pytanie przejęte przez Klienta do bazy wiedzy pozostaje tam jako jego treść. Załączniki są usuwane w obu przypadkach (4.12).

Usunięcie Państwa danych czatu usuwa także liczniki prowadzone na Państwa temat na potrzeby kampanii (4.16), a w przypadku rozmowy przez WhatsApp – kontakt kampanii wraz z jego wysyłkami, z wyjątkiem adnotacji blokującej po rezygnacji (4.16). Przy anonimizacji oceny AutoQA tracą uzasadnienie AI i odniesienie do agenta (3.11).

Nasz serwer czasu rzeczywistego przechowuje ponadto w swojej pamięci operacyjnej kopię roboczą każdej aktywnej rozmowy: ostatnie wiadomości (najwyżej 200), nagłówek rozmowy z ewentualnie podanym przez Państwa imieniem, adresem e-mail lub numerem telefonu oraz odwiedzone strony; wygasa ona 30 dni po ostatniej aktywności i jest czyszczona wraz z rozmową. Kontekst strony danej sesji wygasa po 30 minutach braku aktywności.

Dowód zgody opisany w punkcie 4.2 nie ma automatycznego okresu usuwania. Gdy usuwają Państwo swoje dane czatu (w oknie lub słowami) albo gdy powiązane rozmowy są usuwane po upływie okresu przechowywania ustawionego przez Klienta, nie jest on usuwany, lecz pozbawiany odniesienia do osoby: identyfikatory sesji, odwiedzającego i rozmowy, adres IP oraz user agent zostają wyczyszczone, a wiersz zostaje oznaczony jako usunięty. To, co pozostaje, nie zawiera powiązania z Państwem i dokumentuje wyłącznie, że określonego dnia udzielono zgody o określonym brzmieniu i że została ona wycofana – to rozliczalność, której art. 5 ust. 2 RODO wymaga od administratora. Przy usunięciu projektu lub przestrzeni roboczej Klienta dowody te są usuwane wraz z nimi.

Kopie w kopiach zapasowych są przechowywane do 364 dni (7.1).

4.12 Załączniki plików

W czacie mogą Państwo załączać pliki: obrazy (PNG, JPEG, WebP, HEIC/HEIF, SVG), dokumenty PDF oraz pliki tekstowe i CSV. Przetwarzamy sam plik, jego nazwę, typ i rozmiar, czas przesłania oraz sumę kontrolną (SHA-256), a w przypadku plików PDF, tekstowych i CSV także wyodrębniony z nich fragment tekstu.

• Cel: plik jest częścią rozmowy. Agenci Klienta widzą go w panelu, a jeżeli na Państwa wiadomość odpowiada asystent AI, może on uwzględnić treść pliku.
• W Państwa przeglądarce: obrazy, których dłuższy bok przekracza 2560 pikseli, widżet przed przesłaniem zmniejsza, a zdjęcia większe niż 1,5 MB koduje ponownie – o ile Państwa przeglądarka potrafi je przetworzyć – i zapisuje ponownie jako JPEG. Osadzone metadane, takie jak dane EXIF (na przykład miejsce wykonania zdjęcia), nie są przy tym przenoszone. Mniejsze obrazy są z reguły przesyłane bez zmian i mogą zawierać takie metadane; grafiki SVG są zawsze przesyłane bez zmian.
• Na serwerze: serwer sprawdza, czy zawartość pliku odpowiada jego zadeklarowanemu typowi, a w przeciwnym razie odrzuca plik. Odrzuca również grafiki SVG zawierające skrypty, osadzone treści zewnętrzne lub odwołania do adresów zewnętrznych. Pliki nie są skanowane antywirusowo. Pojedynczy plik może mieć najwyżej 2 MB w planie bezpłatnym i najwyżej 15 MB w planach płatnych, a wszystkie załączniki przestrzeni roboczej Klienta łącznie – najwyżej odpowiednio 1 GB lub 50 GB. Umowy indywidualne mogą określać inne limity. Dla obrazów w formacie HEIC/HEIF, których wiele przeglądarek nie potrafi wyświetlić, oraz dla grafik SVG serwer tworzy podgląd w formacie JPEG; jest on przechowywany razem z plikiem i usuwany wraz z nim.
• Przechowywanie i dostęp: pliki są przechowywane na naszym własnym serwerze w Łodzi, w osobnym katalogu dla każdej przestrzeni roboczej i rozmowy, i są objęte kopią zapasową (7.1). Można je pobrać wyłącznie pod podpisanym adresem, którego nie da się odgadnąć. Adres ten pojawia się w czacie, w panelu Klienta i w jego eksporcie danych; nie wygasa, więc każdy, kto go zna, może pobrać plik, dopóki jest on przechowywany.
• Asystent AI: z plików PDF, tekstowych i CSV nasz serwer odczytuje tekst (w przypadku PDF najwyżej z pierwszych 20 stron) i zapisuje go obok pliku. Jeżeli na Państwa wiadomość odpowiada asystent AI (punkt 4.4), otrzymuje z tych fragmentów najwyżej 2500 znaków na wiadomość, po takim samym zamazywaniu danych osobowych jak w przypadku wiadomości (punkt 4.7). Ten sam oczyszczony fragment uzupełnia również wyszukiwanie w bazie wiedzy Klienta (punkt 4.4) dla Państwa wiadomości, aby asystent mógł rozpoznać, czy i w jakim zakresie Państwa plik dotyczy strony internetowej Klienta; w tym celu jest on osadzany (embedding) na tych samych węzłach inferencyjnych co Państwa wiadomość (punkt 4.4) i w żadnym wypadku nie trafia do usługi AI podmiotu trzeciego. Z obrazu asystent otrzymuje wersję pomniejszoną do najwyżej 768 pikseli i ponownie zakodowaną jako JPEG, bez osadzonych metadanych (w przypadku HEIC/HEIF i SVG – podgląd JPEG): pierwszy obraz z Państwa ostatniej wiadomości zawierającej obraz, przy pytaniach uzupełniających przez maksymalnie 10 minut, najwyżej jeden obraz na odpowiedź. Ta wersja powstaje dopiero wtedy, gdy asystent odpowiada, trafia wyłącznie do naszych własnych węzłów inferencyjnych (punkt 4.4), nigdy do usługi AI podmiotu trzeciego, i nie jest zapisywana; przechowujemy jedynie odnośnik do pliku. To, co widać lub można odczytać na obrazie, nie jest zamazywane (punkt 4.7). Dodatkowo nasz serwer odczytuje z obrazów tekst za pomocą rozpoznawania znaków – na naszym własnym serwerze, bez podmiotów trzecich – i zapisuje wynik obok pliku. Wynik nie trafia do żadnego modelu językowego: jedynie rozpoznane w nim ciągi cyfr otrzymuje ten sam własny węzeł inferencyjny, który otrzymuje obraz, aby mógł sprawdzić, czy liczba w odpowiedzi ma pokrycie. Ponadto nasz serwer wykorzystuje rozpoznany tekst do wyszukiwania słów w bazie wiedzy (punkt 4.4), wyłącznie na naszym własnym serwerze: najwyżej cztery słowa z niego, które występują również w bazie wiedzy Klienta (bez liczb), uzupełniają wyszukiwanie słów dla Państwa wiadomości; jeżeli obraz przedstawia tytuł lub fragment strony serwisu Klienta, asystent otrzymuje tę stronę jako źródło. Ani rozpoznany tekst, ani te słowa nie trafiają do żadnego modelu językowego ani podmiotu trzeciego i nie są przekazywane do osadzania (embeddingu). Wynik jest usuwany po 24–48 godzinach, najpóźniej razem z plikiem, i nie jest częścią eksportu danych.
• Okres przechowywania: załączniki są usuwane 7 dni po przesłaniu w planie bezpłatnym i 90 dni po przesłaniu w planach płatnych, a w przypadku umowy indywidualnej – po upływie uzgodnionego w niej okresu. Decyduje aktualny plan Klienta; codzienny przebieg usuwa to, co starsze. Wcześniej załączniki są usuwane wraz z rozmową – także wtedy, gdy zostaje ona zanonimizowana (punkt 4.11) – oraz wraz z projektem lub przestrzenią roboczą Klienta. Wraz z plikiem usuwane są jego fragment tekstu i dane o nim. Kopie w kopiach zapasowych podlegają punktowi 7.1.

4.13 Dane zamówień i faktur ze sklepu Klienta

Jeżeli Klient włączył tę funkcję w planie płatnym, asystent AI (punkt 4.4) może odpowiadać na pytania dotyczące Państwa własnych zamówień – na przykład o status zamówienia, wysyłki lub płatności.

• Warunek: są Państwo zalogowani u Klienta, a jego serwer potwierdził Państwa identyfikator klienta podpisem ograniczonym w czasie. Bez tego potwierdzenia dane zamówień nie są wykorzystywane. Numer zamówienia lub faktury podany w czacie sam w sobie nie daje żadnego dostępu i jest wyszukiwany wyłącznie wśród Państwa własnych zamówień.
• Dane: wyłącznie pola udostępnione przez Klienta, z tej listy: numer zamówienia, data zamówienia, status zamówienia, kwota i waluta, nazwa artykułu i ilość, przewoźnik, numer przesyłki i status wysyłki, tylko po wyraźnym włączeniu miejscowość i kod pocztowy adresu dostawy, numer faktury, status płatności i termin płatności. Nigdy nie są przekazywane ulica i dalsze linie adresu, imiona i nazwiska, adres e-mail, numer telefonu, dane bankowe i dane karty, data urodzenia, dane dostępowe ani numery podatkowe i numery dokumentów tożsamości; nasz serwer odrzuca takie dane, nawet jeśli zostaną przesłane.
• Pochodzenie i przechowywanie: albo nasz serwer pobiera dane od Klienta na potrzeby Państwa wiadomości i ich nie zapisuje (pobieranie; tymczasowa kopia w pamięci operacyjnej wygasa po 30 sekundach), albo Klient przekazuje je z wyprzedzeniem (import); wtedy przechowujemy je w postaci zaszyfrowanej, Państwa identyfikator klienta wyłącznie jako skrót, i usuwamy najpóźniej 90 dni po ostatnim przekazaniu, wcześniej na polecenie Klienta lub wraz z projektem.
• Przetwarzanie: dane trafiają wyłącznie do naszych własnych węzłów inferencyjnych lub do węzła Klienta (punkt 4.4), w żadnym wypadku do usługi AI podmiotu trzeciego, i nie trafiają do bazy wiedzy. Tekst przekazany modelowi jest usuwany z naszych zapisów po dostarczeniu odpowiedzi. Odpowiedź asystenta jest częścią rozmowy (punkt 4.11).
• Przetwarzamy te dane jako podmiot przetwarzający działający w imieniu Klienta (punkt 4.1).

4.14 Smart Answer (odpowiedzi AI w wyszukiwarce witryny)

Klient może włączyć Smart Answer w wyszukiwarce swojej strony internetowej. Jeżeli wpisana fraza ma formę pytania, nad wynikami lub pod nimi pojawia się wówczas dodatkowo krótka odpowiedź napisana przez model językowy, z odnośnikami do jej źródeł. Smart Answer jest odrębną usługą operatora (usługą Answely) na tym samym serwerze; role są takie same jak w przypadku widżetu czatu: administratorem jest Klient, a my przetwarzamy Państwa dane w jego imieniu (punkt 4.1).

• Co opuszcza Państwa przeglądarkę: o tym, czy wpis zostanie wysłany, decyduje w Państwa przeglądarce skrypt wyszukiwarki ładowany z cdn.reactive.chat – w ustawieniu domyślnym tylko wtedy, gdy wpis wygląda na pytanie; Klient może ustawić, aby odpowiedź otrzymywał każdy wpis o określonej minimalnej długości. Do naszego serwera, w danym przypadku przez adres, który Klient ustanowił w tym celu we własnej domenie, wysyłane są w formie szyfrowanej: pytanie (najwyżej 300 znaków), język, adres bieżącej strony i strona odsyłająca, oba bez parametrów i kotwic – na stronach wyszukiwania często zawierają one wyszukiwaną frazę – a jeżeli na tej samej stronie osadzony jest również widżet czatu, także jego identyfikator odwiedzającego (punkt 4.2). Nasz serwer dodatkowo usuwa parametry i kotwice po otrzymaniu. Państwa adres IP wykorzystujemy do ograniczania liczby żądań i ochrony przed nadużyciami (punkt 4.9). Jak każde żądanie, trafia ono do dziennika dostępu naszego serwera WWW, bez pytania i odpowiedzi; dziennik ten jest usuwany po najwyżej 15 dniach (punkt 2.1).
• Jak powstaje odpowiedź: pytanie przechodzi tę samą drogę co wiadomość do asystenta AI (punkt 4.4): wyszukiwanie w bazie wiedzy Klienta i model językowy na tych samych węzłach inferencyjnych; odpowiedź wraca do przeglądarki stopniowo. Smart Answer odpowiada tylko wtedy, gdy Klient włączył asystenta AI, i nie odpowiada, jeżeli Klient ustawił czat tak, by przed pierwszą wiadomością prosił o zgodę (punkt 4.10). W ustawieniu domyślnym odpowiedź jest oznaczona jako wygenerowana przez AI. Może zawierać błędy; wiążące są podlinkowane strony.

To, co dzieje się z pytaniem i odpowiedzią, Klient ustawia dla każdego projektu („Zapisuj zapytania”):

• Wyłączone: pytanie i odpowiedź nie są zapisywane. Znajdują się wyłącznie w pamięci operacyjnej na czas przetwarzania, w drodze między naszymi serwerami a węzłami inferencyjnymi najwyżej 180 sekund, a następnie są usuwane. Nie powstaje rozmowa, a ani pytanie, ani odpowiedź nie trafiają do bazy danych, do panelu Klienta ani do dziennika. Pytanie uzupełniające zadane na czacie rozpoczyna nową, zwykłą rozmowę wyłącznie z tekstem, który Państwo wtedy wpiszą; pierwotne pytanie z wyszukiwarki nie jest przenoszone.
• Włączone (ustawienie domyślne): pytanie i odpowiedź są zapisywane jak czat jako rozmowa (kanał „Wyszukiwarka”), którą agenci Klienta widzą w panelu (punkt 4.5); obowiązuje okres przechowywania rozmów (punkt 4.11). Pytanie uzupełniające zadane na czacie kontynuuje tę rozmowę. Aby powtórzone pytanie nie było obliczane ponownie, skrypt wyszukiwarki zapisuje odpowiedź wraz z Państwa pytaniem, źródłami i identyfikatorem rozmowy w sessionStorage przeglądarki i wykorzystuje ją najwyżej przez dziesięć minut. Ponadto usługa Smart Answer przechowuje wygenerowaną odpowiedź wraz ze źródłami przez 24 godziny, aby to samo pytanie w tej samej witrynie nie było obliczane ponownie; pytanie jest w niej zapisane wyłącznie jako jednokierunkowy skrót, a nic o Państwu nie jest w niej zapisywane.

W obu przypadkach:

• Licznik: dla każdego żądania usługa Smart Answer zapisuje we własnej bazie danych na naszym serwerze wpis bez treści: czas, skrócony adres IP (IPv4 bez ostatniego oktetu, IPv6 skrócony do pierwszych 48 bitów), identyfikator witryny, długość pytania, wynik i czas trwania. Służy on wykrywaniu nadmiernej liczby żądań oraz diagnozowaniu błędów i jest usuwany po siedmiu dniach. Klient widzi z niego wyłącznie liczby dzienne, bez adresów IP.
• Pytania uzupełniające w polu wyszukiwarki: jeżeli Klient ustawił, że pytania uzupełniające mają otrzymywać odpowiedź w polu, albo na stronie nie ma czatu, pytanie uzupełniające pozostaje w polu. Razem z nim do naszego serwera trafiają maksymalnie trzy poprzednie pytania i odpowiedzi z pola, a do modelu językowego – tylko pytania. Przy włączonym zapisywaniu każde pytanie uzupełniające jest zapisywane wraz z tymi poprzednimi pytaniami jako osobna rozmowa.
• W przeglądarce: Smart Answer nie ustawia plików cookie. W sessionStorage znajdują się ustawienia wyszukiwarki przez pięć minut oraz – tylko przy włączonym zapisywaniu – wspomniane wyżej odpowiedzi przez dziesięć minut. Wygasłe wpisy skrypt wyszukiwarki usuwa, gdy tylko je odczyta lub ponownie uruchomi się na stronie; jeżeli karta pozostaje otwarta bez ponownego załadowania strony, wygasły wpis pozostaje w niej do następnego załadowania strony lub do zamknięcia karty.
• Podstawy prawne: określa je Klient (punkt 4.10); zazwyczaj jest to art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes Klienta polegający na udzielaniu odpowiedzi na pytania na podstawie treści jego strony internetowej. W zakresie, w jakim za pomocą licznika chronimy naszą własną usługę przed masowym, zautomatyzowanym użyciem, naszą podstawą prawną jest art. 6 ust. 1 lit. f RODO.

4.15 Narzędzia AI dla agentów: tłumaczenie, projekty odpowiedzi, podsumowania

W panelu agenci Klienta mogą korzystać z modelu językowego, który pomaga im w rozmowie. Narzędzia te są dostępne niezależnie od tego, czy Klient korzysta z asystenta AI (punkt 4.4). Z projektów odpowiedzi, podsumowań, przeredagowania i tłumaczenia odpowiedzi mogą korzystać wyłącznie członkowie zespołu uprawnieni do odpowiadania w rozmowach.

• Tłumaczenie: agent może zlecić przetłumaczenie wiadomości na język panelu oraz własnej odpowiedzi na Państwa język. Jeżeli Klient włączy automatyczne tłumaczenie dla swojego projektu – jest ono wyłączone, dopóki Klient tego nie zmieni – albo agent włączy je dla rozmowy, wiadomości przychodzące w innym języku są wyświetlane agentowi w tłumaczeniu, a każda odpowiedź jest tłumaczona przed wysłaniem. Model otrzymuje tekst do przetłumaczenia – Państwa wiadomości w postaci zapisanej po zamazaniu danych osobowych (punkt 4.7), odpowiedź agenta w brzmieniu, w jakim ją napisał – oraz nazwy języków. Tłumaczenie wymaga pełnego tekstu, dlatego nic więcej nie jest zastępowane.
• Automatyczne tłumaczenie wiadomości przychodzących i każdej odpowiedzi jest dostępne wyłącznie dla projektów przestrzeni roboczej z planem płatnym (z aktywną subskrypcją, także w okresie próbnym, albo na podstawie umowy indywidualnej); w planie bezpłatnym agent nadal może zlecić przetłumaczenie pojedynczej wiadomości na żądanie. Jeżeli Klient ustawił czat tak, aby prosił Państwa o zgodę, zanim będą mogli Państwo napisać (punkt 4.10), automatyczne tłumaczenie jest stosowane tylko wtedy, gdy czat zna Państwa zgodę; w przeciwnym razie agent widzi Państwa wiadomości bez tłumaczenia, a jego odpowiedzi nie są automatycznie tłumaczone. Ta sama zasada dotycząca zgody obowiązuje przy projektach odpowiedzi, podsumowaniach i przeredagowaniu.
• Projekt odpowiedzi, podsumowanie, przeredagowanie: agent może zlecić przygotowanie projektu następnej odpowiedzi, podsumowanie rozmowy dla współpracownika lub przeredagowanie własnej odpowiedzi. Przy projekcie odpowiedzi model otrzymuje do 30 ostatnich wiadomości rozmowy (najwyżej 5000 znaków), do czterech fragmentów z bazy wiedzy Klienta (punkt 4.4) wraz z ich tytułem i adresem, nazwę projektu Klienta oraz ewentualne notatki, które agent wpisał do odpowiedzi; przy podsumowaniu do 60 ostatnich wiadomości łącznie z wewnętrznymi notatkami agentów (najwyżej 7000 znaków); przy przeredagowaniu wyłącznie własną odpowiedź agenta. Wcześniej, oprócz zamazywania danych osobowych (punkt 4.7), zastępowane są adresy e-mail, numery telefonów i ciągi co najmniej sześciu cyfr, a linki w rozmowie tracą parametry i kotwice; przy przeredagowaniu fragmenty te są zastępowane symbolami zastępczymi i następnie wstawiane z powrotem, tak aby model ich nie widział. Model nie otrzymuje nazwisk agentów, Państwa identyfikatora odwiedzającego ani identyfikatora sesji, ani Państwa adresu IP; załącznik pojawia się wyłącznie jako słowo „[attachment]”. Adres strony, na której Państwo się znajdują, służy wyłącznie do preferowania fragmentów bazy wiedzy pochodzących z tej strony.
• Notatka przekazania i podsumowanie rozmowy: gdy rozmowa jest przekazywana od asystenta do człowieka, model może napisać dla agenta krótką notatkę wewnętrzną; w długich rozmowach podsumowuje starsze wymiany, aby asystent zachował kontekst. Oba pozostają wewnętrzne.
• Gdzie to działa: na tych samych węzłach inferencyjnych co asystent AI – naszych własnych węzłach (1.1) lub, jeżeli Klient podłączył własny węzeł, na węźle Klienta (punkty 4.4, 4.6) – w żadnym wypadku w usłudze AI podmiotu trzeciego, także nie jako rozwiązanie zapasowe.
• Nic nie jest wysyłane automatycznie: wynik pojawia się wyłącznie w panelu agenta, który go zażądał. Wiadomością do Państwa staje się dopiero wtedy, gdy ten agent ją wyśle, pod swoim nazwiskiem; taka wiadomość nie nosi oznaczenia AI. Przetłumaczona odpowiedź jest pokazywana agentowi przed wysłaniem; jeżeli tłumaczenie się nie powiedzie, nic nie zostaje wysłane, chyba że agent wyraźnie wyśle oryginał. Podsumowanie, jeżeli agent je wyśle, jest zapisywane wyłącznie jako notatka wewnętrzna, której Państwo nie widzą.
• Co jest zapisywane: tłumaczenie jest zapisywane przy wiadomości, do której należy; przy odpowiedzi wysłanej w tłumaczeniu dodatkowo pierwotne brzmienie agenta. Tłumaczenia są ponadto przechowywane w kopii roboczej rozmowy (4.11) do 30 dni. Przy anonimizacji (4.11) tłumaczenia zapisane przy wiadomościach są usuwane wraz z treścią wiadomości. Otrzymują Państwo wyłącznie wiadomość w swoim języku; nie widzą Państwo ani oryginału agenta, ani tłumaczenia własnych wiadomości. Projekty odpowiedzi, podsumowania i przeredagowania nie są zapisywane w rozmowie, dopóki agent ich nie wyśle. Zlecenia dla modelu są oznaczone jako poufne: przesłany modelowi tekst jest z nich usuwany, gdy tylko wynik zostanie dostarczony, a zlecenie, które nigdy nie zostało dostarczone, jest czyszczone po około dziesięciu minutach, natomiast wynik pozostaje – zarówno przy tłumaczeniach, jak i przy projektach odpowiedzi, podsumowaniach i przeredagowaniach. Wynik jest przechowywany przy rozmowie i czyszczony przy anonimizacji; zlecenia bez rozmowy są usuwane po 30 dniach.
• Podstawy prawne: określa je Klient (punkt 4.10). Narzędzia służą temu samemu celowi co sam czat – udzielaniu odpowiedzi na Państwa zapytania.

4.16 Kampanie

W planach płatnych Klient może prowadzić kampanie: ukierunkowane wiadomości w widżecie oraz, za pośrednictwem WhatsApp, wiadomości do kontaktów, które zgodziły się na ich otrzymywanie.

• W widżecie: Klient wybiera odwiedzających według strony lub adresu, czasu spędzonego na stronie, strony odsyłającej, parametrów kampanii, nowej lub powtórnej wizyty, kraju (ustalonego na podstawie adresu IP, 4.2), języka, urządzenia, zalogowania oraz pól swoich danych klientów. W przypadku odwiedzających z obszaru RODO oraz przy nieznanym kraju kampanie działają wyłącznie za zgodą (4.10); w przypadku pozostałych, jeżeli projekt Klienta nie wymaga zgody, zazwyczaj na podstawie prawnie uzasadnionego interesu Klienta. Aby kampania nie była Państwu pokazywana zbyt często i aby można było policzyć jej skutki, pod jednokierunkowym skrótem (hashem) Państwa identyfikatora odwiedzającego lub sesji przechowujemy dla każdej kampanii licznik – do jednego dnia po zakończeniu kampanii (najwyżej 400 dni) albo, w przypadku kampanii bez daty zakończenia, 90 dni po ostatnim zwróceniu się do Państwa – oraz blokadę powtórzeń na minimalny odstęp między dwoma kontaktami ustawiony przez Klienta (najwyżej 90 dni) – oraz znacznik, czy byli już Państwo na stronie (90 dni po ostatniej wizycie, sam w postaci skrótu). Zasięg jest liczony w licznikach, których nie można odczytać pojedynczo (HyperLogLog), przechowywanych do 400 dni. Żądanie usunięcia usuwa Państwa liczniki, blokadę i znacznik.
• Kampanie WhatsApp: są wysyłane przez własne konto Meta Klienta, wyłącznie z szablonami wiadomości zatwierdzonymi przez Meta i wyłącznie do kontaktów z odnotowaną zgodą – zaimportowanych przez Klienta, który musi potwierdzić zgodę i opisać jej dowód w co najmniej 20 znakach, albo wyrażoną przez Państwa samodzielnie przez wysłanie słowa rozpoczynającego. Wcześniejszy czat z Klientem nie jest traktowany jako zgoda. Dla każdego kontaktu zapisujemy numer WhatsApp, imię i nazwisko, etykiety, język, dowód zgody, rezygnację wraz z jej powodem i użytym słowem oraz dla każdej kampanii czasy doręczenia i odczytania. Wysyłki są usuwane 90 dni po ich ostatnim statusie; kampania zachowuje jedynie sumy. Jeżeli odpowiedzą Państwo słowem stop (po niemiecku, angielsku lub polsku), zostaną Państwo wykluczeni z dalszych kampanii. Jeżeli zażądają Państwo usunięcia danych czatu, Państwa kontakt i wysyłki są usuwane; jeżeli wcześniej zrezygnowali Państwo, pozostaje jedynie adnotacja blokująca – utworzony z kluczem skrót Państwa numeru, bez imienia, nazwiska ani innych danych – aby późniejszy import Klienta nie zapisał Państwa ponownie; wysłanie przez Państwa słowa rozpoczynającego ją znosi. Poza tym kontakty nie mają odrębnego okresu przechowywania i są usuwane wraz z projektem.
• Podstawa prawna: określa ją Klient; w przypadku kampanii WhatsApp zazwyczaj Państwa zgoda (art. 6 ust. 1 lit. a RODO), którą Klient musi być w stanie wykazać.

4.17 Prośby o oddzwonienie, połączenia głosowe i wideo, co-browsing

Jeżeli Klient i my je włączyliśmy, widżet oferuje prośby o oddzwonienie, połączenia głosowe i wideo oraz co-browsing.

• Oddzwonienie: zapisujemy Państwa numer telefonu, kraj, sprawę, preferowany przedział czasu, notatkę i przypisanego agenta. Załatwione prośby są usuwane po 30 dniach, otwarte po 90 dniach.
• Połączenia głosowe i wideo w przeglądarce są nawiązywane między Państwa przeglądarką a przeglądarką agenta (WebRTC) dopiero po przyjęciu przez Państwa połączenia; dostęp do kamery i mikrofonu następuje dopiero po Państwa kliknięciu. Strumień audio i wideo jest szyfrowany. Publiczny serwer STUN nie jest używany. O ile nie prowadzimy serwera przekaźnikowego (TURN), który przekazuje zaszyfrowany strumień bez możliwości jego odczytania, obie przeglądarki łączą się bezpośrednio i w ten sposób poznają nawzajem swoje adresy IP. Obie strony mogą udostępnić swój ekran; wszystko, co widać na udostępnionym ekranie, widzi druga strona. Przechowujemy rejestr połączeń (agent, początek, koniec, rodzaj mediów) przez 365 dni; nie nagrywamy połączeń.
• Co-browsing: po przyjęciu przez Państwa agent widzi listę przycisków, linków i nagłówków strony, na której Państwo są – bez pól formularzy i bez niczego, co Państwo wpisują – i może wyróżnić dla Państwa element oraz przewinąć do niego stronę. Agent nie może klikać ani pisać na Państwa stronie. Baner pokazuje, że co-browsing jest aktywny, i mogą go Państwo w każdej chwili zakończyć. Jego przebieg nie jest nagrywany.
• Kliknij, aby zadzwonić (telefonicznie): jeżeli funkcja jest włączona, nasz serwer zleca przez Twilio połączenie z telefonem agenta i łączy go z Państwa numerem; Twilio otrzymuje wtedy oba numery telefonów (sekcja 5). Funkcja ta nie jest obecnie włączona.
• Podstawa prawna: określa ją Klient; połączenie odbywa się wyłącznie na Państwa życzenie.

4.18 Portal klienta

Klient może udostępnić swoim klientom końcowym dostęp do ich spraw w portalu klienta. Jeżeli Państwo z niego korzystają, przetwarzamy sprawę, Państwa wpisy do niej oraz Państwa pseudonimowy klucz; sesja w portalu jest ważna przez godzinę. Sprawy nie mają odrębnego okresu przechowywania i są usuwane wraz z projektem.

4.19 Raporty błędów, sygnały frustracji i testy A/B

• Raporty błędów: jeżeli Klient z tego korzysta, widżet zgłasza błędy skryptów na stronie internetowej Klienta: ścieżkę, przeglądarkę, system operacyjny i komunikat błędu oraz – wyłącznie gdy wyrazili Państwo zgodę na nagrywanie sesji – odnośnik do nagrania. Raporty są usuwane po 90 dniach, jeżeli nikt ich nie przejrzał; pojedyncze przykłady i odnośniki do rozmów po 30 dniach.
• Sygnały frustracji: widżet rozpoznaje zachowania, takie jak wielokrotne bezskuteczne klikanie, bez użycia modelu językowego. Zapisywane są wyłącznie zagregowane liczby dla ścieżki i dnia (400 dni); przykłady z odnośnikiem do nagrania sesji (wyłącznie za zgodą) są przechowywane przez 8 dni.
• Testy A/B (beta): aby policzyć, ilu odwiedzających widziało który wariant, Państwa identyfikator odwiedzającego jest dodawany do liczników, których nie da się odczytać indywidualnie; liczniki dzienne są przechowywane przez 200 dni, łączne przez 400 dni. Wyniki w bazie danych nie mają odrębnego okresu przechowywania i są usuwane wraz z projektem.

4.20 Przebiegi testowe i wersje asystenta

Klient może przed uruchomieniem wypróbować swojego asystenta za pomocą pytań testowych. Może je napisać samodzielnie albo przejąć pytania, które odwiedzający rzeczywiście zadali, a na które asystent nie umiał odpowiedzieć (luki w wiedzy); zanim takie pytanie zostanie przejęte, przechodzi przez filtr danych osobowych (4.7), a jeżeli filtr jest niedostępny, nic nie zostaje przejęte. Przejęte pytania (najwyżej 500 znaków) i odpowiedzi z przebiegów testowych są treścią Klienta: nie są powiązane z Państwem, nie są objęte żądaniem usunięcia i są usuwane wraz z projektem. Przebiegi testowe nie tworzą rozmowy. Każda zapisana zmiana ustawień asystenta jest przechowywana jako wersja wraz z osobą, która ją zapisała, bez limitu czasu; w przypadku przepływów prowadzonych przechowywanych jest 100 ostatnich wersji na projekt.

5. Odbiorcy i podwykonawcy przetwarzania

Korzystamy z następujących podwykonawców przetwarzania (dalszych podmiotów przetwarzających) i odbiorców. Aktualna lista z adresami i zabezpieczeniami jest opublikowana na stronie Podwykonawcy przetwarzania.

5.1 Podwykonawcy przetwarzania

1. Google Cloud EMEA Limited, Dublin, Irlandia (Google Cloud Storage) – przechowywanie zaszyfrowanej codziennej kopii zapasowej całego serwera (7.1) w lokalizacji w Warszawie (region europe-central2). Kopia jest szyfrowana na naszym serwerze przed przesłaniem, łącznie z nazwami plików i katalogów; klucze pozostają na naszym serwerze, a Google nie może odczytać treści. Dotyczy wszystkich danych opisanych w niniejszej polityce.
2. Stripe Payments Europe, Ltd., Dublin, Irlandia – obsługa płatności i fakturowanie Klientów (3.3). Stripe nigdy nie otrzymuje z naszych rozliczeń danych odwiedzających.
3. Google Ireland Limited, Dublin, Irlandia – reCAPTCHA w formularzach logowania, rejestracji, resetu hasła i wsparcia (2.7): adres IP, sygnały urządzenia i zachowania. Nigdy w widżecie czatu.
4. Poczta e-mail – wysyłka za pośrednictwem naszej usługi poczty e-mail; dostawca wykorzystywany aktualnie dla każdej funkcji (wysyłka, skrzynka contact@lukaswojcik.com i przekazywanie wiadomości na adresy reactive.chat) jest wymieniony w wykazie podwykonawców przetwarzania. Obecnie jest to Namecheap, Inc., Phoenix, USA, która prowadzi także serwery nazw (DNS) reactive.chat. Wiadomości e-mail mogą zawierać dane Klientów, a jeżeli odwiedzający zamawia kopię rozmowy lub kanał e-mail jest używany bez własnego serwera pocztowego Klienta – także dane odwiedzających (3.4). W tym ostatnim przypadku odpowiedzi do odwiedzających są wysyłane z naszego adresu no-reply@reactive.chat w imieniu „[projekt] via reactive.chat" z adresem Klienta jako adresem do odpowiedzi; dostawca otrzymuje wówczas adres e-mail i imię i nazwisko odwiedzającego, temat i treść odpowiedzi (4.6).
5. Usługi push producentów przeglądarek – Google (Firebase Cloud Messaging), Mozilla, Apple i Microsoft, w zależności od przeglądarki członka zespołu, który włączył powiadomienia (3.10): adres subskrypcji, czas i rozmiar każdej wiadomości; treść (rodzaj zdarzenia i nazwa projektu, bez treści wiadomości) jest szyfrowana end-to-end. Usługę push wyznacza przeglądarka członka zespołu; nie otrzymuje ona czytelnej treści.
6. Twilio Inc., USA – wyłącznie jeżeli włączona jest funkcja „kliknij, aby zadzwonić” telefonicznie (4.17): numery telefonów odwiedzającego i agenta. Obecnie niewłączona.

5.2 Pozostali odbiorcy

• Let's Encrypt (Internet Security Research Group, USA) wystawia certyfikaty TLS dla reactive.chat oraz dla domen Klientów, którzy udostępniają czat pod własną domeną. Otrzymuje wyłącznie nazwy domen, które następnie pojawiają się w publicznych rejestrach certyfikatów; nie otrzymuje danych odwiedzających.
• Google – jeżeli Klient podłącza Google Drive jako źródło, Google działa jako usługa Klienta: Klient loguje się własnym kontem Google. Połączenie korzysta z zarejestrowanej przez nas aplikacji OAuth; Google dowiaduje się więc, że Klient upoważnił tę aplikację, a nasz serwer pobiera wybrane pliki z Google na polecenie Klienta (3.6, 4.4).

5.3 Podmioty niebędące odbiorcami danych osobowych

• Telegram (Telegram FZ-LLC, Dubaj, Zjednoczone Emiraty Arabskie): przez bota Telegram otrzymujemy powiadomienia o nowych zgłoszeniach do wsparcia, nowych opiniach i alarmach eksploatacyjnych (na przykład o dostępności komponentów, obciążeniu, węzłach AI). Składają się one ze stałych tekstów i danych eksploatacyjnych i nie zawierają danych osobowych – żadnych imion i nazwisk, adresów e-mail, adresów IP ani treści wiadomości. Telegram widzi jedynie adres IP naszego serwera. Telegram nie jest zatem podwykonawcą przetwarzania.
• Nasz operator sieci (1.1), który przesyła wyłącznie zaszyfrowane dane.
• Nasz własny serwer i nasze własne węzły inferencyjne AI (1.1) oraz MousePlayer, prowadzony przez ten sam podmiot prawny.
• Baza krajów MaxMind GeoLite2, używana lokalnie na naszym serwerze; nic nie jest przekazywane do MaxMind.
• Dostawcy kanałów i integracji podłączanych przez Klienta (3.6, 4.6) – w tym Meta, Telegram i Twilio w przypadku kanałów, Cal.com, Stripe i własne interfejsy Klienta w przypadku akcji bota (4.4), dostawca tożsamości Klienta (3.9) oraz narzędzia AI, które Klient podłącza do naszego serwera MCP (4.6) – oraz serwer AI podłączony przez Klienta: działają na rzecz Klienta, a nie na naszą.

6. Przekazywanie do państw trzecich

Nasz serwer i węzły AI znajdują się w Polsce; kopia zapasowa jest przechowywana w Polsce (Warszawa). Dane osobowe są przekazywane odbiorcom spoza EOG lub mogą być stamtąd dostępne w następujących przypadkach:

• Stripe: Stripe Payments Europe może przekazywać dane rozliczeniowe Klientów do Stripe, Inc. (USA).
• Google: w przypadku reCAPTCHA i wiadomości push nie można wykluczyć przekazania do Google LLC (USA). W przypadku kopii zapasowej Google nie może odczytać treści, ponieważ jest ona zaszyfrowana kluczami, które posiadamy wyłącznie my.
• Namecheap (USA): wiadomości e-mail i zawarte w nich adresy e-mail; obsługa serwerów nazw (DNS) reactive.chat.
• Usługi push Mozilla, Apple i Microsoft (USA): adres subskrypcji, czas i rozmiar powiadomień dla członków zespołu.
• Twilio (USA): wyłącznie jeżeli włączona jest funkcja „kliknij, aby zadzwonić”.
• Let's Encrypt (USA): wyłącznie nazwy domen.

Zabezpieczenia: jeżeli odbiorca posiada certyfikację w ramach EU-US Data Privacy Framework – decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (art. 45 RODO); w pozostałych przypadkach standardowe klauzule umowne UE (art. 46 ust. 2 lit. c RODO). Szczegóły dla poszczególnych odbiorców znajdują się na liście podwykonawców przetwarzania. Powiadomienia w Telegramie nie zawierają danych osobowych, więc do Zjednoczonych Emiratów Arabskich nie są przekazywane żadne dane osobowe. Jeżeli Klient podłącza kanał lub integrację, których dostawca ma siedzibę poza EOG, za to przekazanie odpowiada Klient.

7. Przegląd okresów przechowywania

7.1 Kopie zapasowe

Jeden okres trwa dłużej niż większość pozostałych: kopia zapasowa.

• Zewnętrzna kopia zapasowa: każdej nocy około godziny 03:00 tworzona jest kopia wszystkich baz danych na naszym serwerze oraz wszystkich plików znajdujących się na nim stron internetowych – w tym załączników czatu, dokumentów bazy wiedzy i logo firm – szyfrowana na naszym serwerze (treść oraz nazwy plików i katalogów) i przesyłana do Google Cloud Storage w Warszawie (5.1). Klucze nigdy nie opuszczają naszego serwera. Kopie dzienne są przechowywane przez 7 dni, kopia tygodniowa tworzona w niedziele – przez 364 dni. Lokalna kopia tej samej kopii zapasowej jest dodatkowo przechowywana przez około 8 dni na odrębnym nośniku przy serwerze; nie jest ona szyfrowana.
• Kopia bazy danych reactive.chat: każdej nocy około godziny 03:05 na samym serwerze tworzona jest skompresowana kopia bazy danych reactive.chat, przechowywana przez około 31 dni; nie jest ona szyfrowana.

To, co zostanie usunięte w systemie produkcyjnym, pozostaje więc w tych kopiach do ich wygaśnięcia – najwyżej 364 dni po usunięciu. Z kopii zapasowej nic nie jest usuwane wybiórczo: kopia jest obrazem jednego momentu. Kopie zapasowe służą wyłącznie do odtworzenia systemu po utracie danych. Jeżeli kiedykolwiek będziemy musieli przywrócić kopię, przed ponownym uruchomieniem systemu ponownie wykonamy usunięcia dokonane od chwili jej utworzenia, w szczególności żądania usunięcia danych odwiedzających oraz usunięcia kont i przestrzeni roboczych. Od 16 października 2026 r. każde takie usunięcie jest w chwili wykonania odnotowywane w dzienniku usunięć na naszym serwerze – rodzaj usunięcia, dotyczące go identyfikatory, tryb i czas, bez treści, adresów e-mail i adresów IP – przechowywanym przez 400 dni, a skrypt po odtworzeniu kopii ponownie wykonuje odnotowane usunięcia; usunięcia wynikające z okresów przechowywania nadrabiają się same przy następnym przebiegu. Pozostają dwie granice: usunięcie zgłoszone po utworzeniu kopii, którego 30-dniowy okres oczekiwania jeszcze biegł, nie figuruje w dzienniku i trzeba je zgłosić ponownie; a gdyby utracony został sam serwer, dziennik jest tylko tak aktualny jak ostatnia kopia zapasowa, więc usunięć z maksymalnie ostatnich 24 godzin nie dałoby się ponownie wykonać.

7.2 Okresy według kategorii

• Dziennik dostępu serwera WWW: bieżący dzień i 14 poprzednich dni (2.1).
• Dziennik systemowy serwera: ograniczony do 500 MB, bez limitu czasowego; dzienniki błędów i pracy poszczególnych komponentów: obecnie bez automatycznej rotacji (2.1).
• Zgłoszenia do wsparcia: wraz z kontem, jeżeli są z nim powiązane; w przeciwnym razie 365 dni po wpłynięciu lub ostatnim rozpatrzeniu (2.4). Wiadomości na adres contact@lukaswojcik.com: tak długo, jak jest to potrzebne do obsługi sprawy (2.5).
• Dane konta Klienta: dopóki konto istnieje; usunięcie 30 dni po wniosku właściciela konta o usunięcie (3.7). Zakończenie płatnej subskrypcji niczego nie usuwa.
• Dowód akceptacji dokumentów umownych i oświadczenie o rejestracji jako przedsiębiorca: wraz z kontem (3.1).
• Sesje: 14 dni nieużywania, 60 dni przy opcji „Nie wylogowuj mnie”; wygasłe sesje są usuwane dzień po wygaśnięciu (3.9).
• Dziennik audytu: dla przestrzeni roboczej 90, 180, 365 lub 730 dni albo – ustawienie domyślne – do usunięcia przestrzeni roboczej; wpisy bez przestrzeni roboczej: logowania, nieudane próby i wpisy bez konta 90 dni, pozostałe wpisy konta do usunięcia konta, wpisy o usunięciu i nasze działania administracyjne bez okresu (3.11).
• Dziennik odczytów (plan Agency): najwyżej 731 dni (3.8).
• Subskrypcje push: do wyłączenia, najpóźniej 60 dni bez widzenia (3.10).
• Faktury i powiadomienia o płatnościach: co najmniej 5 lat zgodnie z polskim prawem podatkowym; obecnie bez automatycznego usuwania (3.3).
• Rozmowy, ich wiadomości, oceny, tagi i zapisy AI: brak automatycznego okresu, dopóki Klient nie ustawi go dla projektu (0–3650 dni); w przeciwnym razie do usunięcia rozmowy, projektu lub przestrzeni roboczej (4.11).
• Kopia robocza rozmów w serwerze czasu rzeczywistego: 30 dni od ostatniej aktywności; kontekst strony sesji: 30 minut (4.11).
• Zlecenia AI bez rozmowy: 30 dni (4.4).
• Tłumaczenia narzędzi AI dla agentów: wraz z wiadomością; w kopii roboczej rozmowy do 30 dni (4.15).
• Dowody zgody odwiedzających: brak automatycznego okresu; pozbawiane odniesienia do osoby, gdy odwiedzający usuwa swoje dane czatu albo gdy rozmowa jest usuwana po upływie okresu przechowywania; usuwane wraz z projektem lub przestrzenią roboczą (4.11).
• Załączniki plików w czacie: 7 dni (plan bezpłatny) lub 90 dni (plany płatne) od przesłania albo okres z umowy indywidualnej; tekst rozpoznany na obrazach 24–48 godzin (4.12).
• Zaimportowane dane zamówień i faktur: najwyżej 90 dni od ostatniego przekazania przez Klienta; pobrane dane nie są zapisywane (4.13).
• Tekst strony przesyłany przez widżet: brak automatycznego okresu; wraz z projektem (4.2).
• Tożsamości w kanałach, wątki e-mail, kontakty kampanii WhatsApp: brak automatycznego okresu; wraz z projektem i na żądanie usunięcia (4.6, 4.16). Numery wiadomości w kanałach: 7 dni. Wysyłki kampanii WhatsApp: 90 dni po ostatnim statusie. Liczniki kampanii dla odwiedzającego: do jednego dnia po zakończeniu kampanii (najwyżej 400 dni) lub 90 dni po ostatnim kontakcie; blokada powtórzeń na odstęp ustawiony przez Klienta, najwyżej 90 dni; liczniki zasięgu do 400 dni (4.16).
• Lista odwiedzających na żywo: odnawiana co 30 sekund, wygasa po 90 sekundach; poza tym nic nie jest zapisywane (4.5).
• Pliki bazy wiedzy przesłane przez Klienta i teksty z Google Drive: do czasu ich usunięcia przez Klienta lub odłączenia Drive, najpóźniej wraz z projektem (4.4).
• Wersje ustawień asystenta: brak automatycznego okresu; wersje przepływów prowadzonych: 100 ostatnich na projekt (4.20).
• Prośby o oddzwonienie: 30 dni od załatwienia, 90 dni, jeżeli są otwarte; dziennik połączeń 365 dni (4.17).
• Dowód odwiedzającego na serwerze: 400 dni od ostatniego użycia (4.2).
• Smart Answer (punkt 4.14): wpisy licznika ze skróconym adresem IP 7 dni. Pytania i odpowiedzi przy wyłączonym zapisywaniu wcale (w drodze najwyżej 180 sekund), przy włączonym – jak rozmowy; pamięć podręczna odpowiedzi (pytanie wyłącznie jako skrót) 24 godziny.
• Blokady automatyczne: przez czas ich trwania (24 godziny, jeżeli nie ustawiono inaczej); zdarzenia bezpieczeństwa mechanizmu ochronnego: ostatnie 500 (4.9).
• Raporty błędów: 90 dni, przykłady 30 dni; liczby frustracji 400 dni, przykłady 8 dni; liczniki A/B 200 i 400 dni (4.19).
• Wiadomości e-mail wstrzymane przy niedostępnej wysyłce: 30 dni (3.4).
• Kopie zapasowe: kopie dzienne 7 dni, kopie tygodniowe 364 dni, kopie lokalne około 8 i 31 dni (7.1).
• Dziennik usunięć: 400 dni od usunięcia, które odnotowuje (7.1).
• Plik cookie zabezpieczający rc_csrf strony internetowej: do zamknięcia przeglądarki; na serwerze nic nie jest przechowywane (2.8).
• Przechowywanie w przeglądarce: zob. 4.3 – sessionStorage do zamknięcia karty; wpisy localStorage jeden dzień lub jeden rok; rc_dnt, rc_dnd, rc_vtok i mp_visitor_id bez terminu wygaśnięcia.

8. Państwa prawa

Na podstawie art. 15–22 RODO przysługuje Państwu prawo dostępu do danych, prawo do ich sprostowania, usunięcia i ograniczenia przetwarzania, prawo do przenoszenia danych oraz prawo do sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO. Jeżeli przetwarzanie opiera się na zgodzie, mogą Państwo w każdej chwili ją wycofać ze skutkiem na przyszłość. Aby skorzystać ze swoich praw:

• Części A i B: prosimy napisać na adres contact@lukaswojcik.com. Odpowiadamy w ciągu miesiąca. Klienci i członkowie zespołu mogą pobrać własne dane konta w ustawieniach (3.7), a Klient może wyeksportować dane projektu jako JSON lub jako plik ZIP z tabelami CSV i załącznikami. Szczegóły praktyczne: Dostęp i usuwanie danych oraz Informacje dotyczące Data Act.
• Część C: prosimy napisać do Klienta, z którego strony internetowej Państwo korzystali. Klient jest administratorem. Jeżeli napiszą Państwo do nas, przekażemy wniosek Klientowi i pomożemy w udzieleniu odpowiedzi. Jeżeli Klient włączył odpowiednie przyciski, mogą Państwo sami usunąć swoje dane z czatu i wycofać zgodę udzieloną w czacie – w oknie czatu; obejmuje to wyłącznie dane czatu, a nie to, co Klient przechowuje o Państwu poza nim, i odbywa się na stałe polecenie Klienta, a nie na podstawie naszej decyzji. Jeżeli Klient pozostawił włączone rozpoznawanie pisemnych żądań usunięcia danych, żądanie napisane na czacie ma ten sam skutek: nasz serwer rozpoznaje sformułowanie bez asystenta AI i – zależnie od ustawienia Klienta – prosi przed usunięciem o potwierdzenie albo usuwa od razu (4.11). Usunięcie nie obejmuje kopii w kopiach zapasowych przed ich wygaśnięciem (7.1).

Mają Państwo prawo wniesienia skargi do organu nadzorczego, w szczególności do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, Polska, lub do organu właściwego dla Państwa zwykłego miejsca pobytu lub miejsca pracy.

9. Zautomatyzowane podejmowanie decyzji i profilowanie

Nie podejmujemy zautomatyzowanych decyzji, które wywołują wobec Państwa skutki prawne lub w podobny sposób istotnie na Państwa wpływają (art. 22 RODO). Nikogo nie profilujemy w celach reklamowych i nie łączymy danych pochodzących ze stron różnych Klientów.

• Automatyczna ochrona przed nadużyciami opisana w punkcie 4.9 może tymczasowo zablokować połączenie, identyfikator odwiedzającego lub adres IP; nie wywołuje ona skutków prawnych i na wniosek może zostać zweryfikowana po skontaktowaniu się z nami lub z Klientem.
• Asystent AI odpowiada na pytania; nie decyduje o umowach, cenach ani roszczeniach. Akcja, która coś zmienia, jest wykonywana dopiero po Państwa potwierdzeniu (4.4).
• AutoQA (3.11) ocenia rozmowy. Ocena w podziale na agentów jest regułowa; ocena AI dotyczy wyłącznie rozmów bez agenta i nigdy nie jest przypisywana osobie. Jest to narzędzie Klienta, który decyduje, jakie wnioski z niego wyciągnąć; Klient musi zapewnić, aby żadna decyzja dotycząca pracownika nie opierała się wyłącznie na nim.
• Klasyfikacja routingu (4.4) jedynie przydziela rozmowy agentom według reguł Klienta; nie rozstrzyga niczego w Państwa sprawie.

10. Bezpieczeństwo

Chronimy dane za pomocą środków technicznych i organizacyjnych zgodnie z art. 32 RODO, między innymi szyfrowania transmisji (TLS 1.2 i 1.3), haszowania haseł i tokenów, dobrowolnego uwierzytelniania dwuskładnikowego, kontroli dostępu opartej na rolach, izolacji najemców, szyfrowania przechowywanych danych dostępowych do usług podmiotów trzecich i sekretów uwierzytelniania dwuskładnikowego, zamazywania danych osobowych, ograniczania liczby żądań i automatycznej ochrony przed nadużyciami oraz zaszyfrowanych zewnętrznych kopii zapasowych. Jakie są to środki i gdzie leżą ich granice, opisują Środki techniczne i organizacyjne; pozostałe ryzyka ocenia nasza ocena skutków dla ochrony danych, którą udostępniamy na żądanie. Instalacja produkcyjna jest oddzielona od instalacji deweloperskiej; obie działają na tym samym serwerze co inne projekty operatora i są od nich oddzielone katalogami i bazami danych (1.1).

W przypadku naruszenia ochrony danych osobowych nasza udokumentowana procedura przewiduje powiadomienie dotkniętych nim Klientów bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od stwierdzenia naruszenia; jeżeli jesteśmy administratorem, zgłaszamy naruszenie organowi nadzorczemu zgodnie z art. 33 RODO.

11. Obowiązek podania danych

Podanie danych rejestracyjnych i rozliczeniowych jest niezbędne do zawarcia i wykonania umowy; bez nich nie możemy założyć konta. Korzystanie z widżetu czatu na stronie internetowej Klienta jest dobrowolne; to, jakie informacje wpiszą Państwo w czacie, zależy od Państwa.

12. Zmiany niniejszej polityki

Aktualizujemy niniejszą politykę, gdy zmienia się usługa, nasi podwykonawcy przetwarzania lub prawo. Aktualna wersja jest zawsze publikowana pod adresem /p/polityka-prywatnosci. Klienci są informowani o istotnych zmianach e-mailem lub w panelu. Data poniżej wskazuje obowiązującą wersję; wcześniejsze wersje i podsumowanie zmian znajdują się w rejestrze zmian.

Wersja 2.6 zastępuje wersję 2.5 z 17 października 2026 r. Dodano: plik cookie zabezpieczający rc_csrf strony internetowej, ustawiany na każdej stronie (2.8, 3.9, 7.2). Tego samego dnia zmieniono ponadto: odrębna instalacja produkcyjna (1.1, 10); rejestr czynności przetwarzania i ocena skutków dla ochrony danych nie są już publikowane i są dostępne na żądanie (wprowadzenie, 10).

Wersja 2.5 zastępuje wersję 2.4 z 17 października 2026 r. Zmiany: AI jest opisywana jednolicie jako nasza własna AI, hostowana samodzielnie; usunięto nazwy modeli, fakty pozostają bez zmian (1.1, 4.4).

Wersja 2.4 zastępuje wersję 2.3 z 16 października 2026 r. Zmiany: akceptacja aktualnych dokumentów umownych przed zamówieniem płatnego planu (3.1); identyfikator sesji przechowywany wyłącznie jako skrót (3.9).

Wersja 2.3 zastępuje wersję 2.2 z 12 października 2026 r. Poprawiono: modele językowe i węzły (4.4); skrócony adres IP w liczniku Smart Answer (4.14, 7.2); okresy i ścieżki usuwania z 16 października 2026 r.: zgłoszenia do wsparcia bez konta (2.4), odrzucenie usunięcia przestrzeni roboczej przy trwającej płatnej subskrypcji i to, co pozostaje po usunięciu (3.7), wygasłe sesje (3.9), wpisy dziennika audytu bez przestrzeni roboczej (3.11), dowody zgody wraz z projektem lub przestrzenią roboczą (4.11), przegląd okresów (7.2). Uzupełniono 16 października 2026 r.: funkcje działające na żywo, które zależą od kraju (lista odwiedzających na żywo, kampanie, wymóg zgody dla obszaru RODO), ustalają go na podstawie adresu IP za pomocą lokalnej bazy krajów (4.2, 4.5, 4.10, 4.16). Ponadto uzupełniono 16 października 2026 r.: oświadczenie o rejestracji jako przedsiębiorca, a nie konsument (3.1, 7.2); zaszyfrowany sekret uwierzytelniania dwuskładnikowego i czas jego potwierdzenia w sesji (3.9, 10); dziennik usunięć i ponowne wykonanie usunięć po odtworzeniu kopii (3.7, 7.1, 7.2); akceptacja dokumentów umownych i oświadczenia przed utworzeniem lub przejęciem przestrzeni roboczej, jeżeli brak jej dla aktualnej wersji (3.1).

Wersja 2.2 zastępuje wersję 2.1 z 11 października 2026 r. Poprawiono: brak odrębnego środowiska produkcyjnego (1.1, 10); paski komunikatów na stronie (2.2); ładowanie reCAPTCHA (2.7); numer telefonu do funkcji „Kliknij, aby zadzwonić” (3.1); własne pobranie danych (3.7); pamięć przeglądarki w panelu (3.9); treść powiadomień push (3.10); nieudane logowania bez konta (3.11); miejsca zapisu adresu IP (4.2); pamięć przeglądarki widżetu: rc_id, klucze mp_, rc_sig, rc_vtok i wpisy przenoszone po udzieleniu zgody (4.3); usuwanie zleceń AI bez rozmowy (4.4); odnawianie listy odwiedzających na żywo (4.5); usuwanie tożsamości w kanałach (4.6); dowód zgody po upływie okresu przechowywania (4.11); ponowne kodowanie zdjęć (4.12); Answely, pamięć podręczna odpowiedzi i dziennik dostępu w Smart Answer (4.14); tłumaczenia przy anonimizacji (4.15); blokada powtórzeń kampanii (4.16); lokalna kopia bazy danych (7.1); przegląd okresów (7.2).

Wersja 2.1 zastępuje wersję 2.0 z 11 października 2026 r. Zmiany: jednokrotne logowanie, dziennik audytu i pseudonimy agentów (3.9, 3.11); treść powiadomień push (3.10); AutoQA z oceną AI wyłącznie dla rozmów bez agenta (3.11); podpisany adres e-mail (4.2); pliki bazy wiedzy i Google Drive, akcje bota z Cal.com i Stripe Klienta, klasyfikacja routingu, aplikacje o pracę, przepływy prowadzone (4.4); lista odwiedzających na żywo (4.5); szczegóły kanałów Telegram, SMS i e-mail, API i MCP (4.6); wymóg zgody dla odwiedzających z obszaru RODO (4.10); kampanie z nowymi okresami i adnotacją blokującą WhatsApp (4.16); połączenia, udostępnianie ekranu i co-browsing (4.17); przebiegi testowe i wersje (4.20).

Wersja 2.6 – obowiązuje od 19 października 2026 r.