Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Mariusz Cibor, prowadzący jednoosobową działalność gospodarczą pod marką Selvara, zarejestrowaną w CEIDG. Pełne dane administratora (NIP, REGON, adres korespondencyjny) dostępne są na stronie /dane-firmy.

Kontakt RODO:

• Email: privacy@selvara.app
• Listownie: na adres dostępny na stronie /dane-firmy

2. Cele i podstawy prawne przetwarzania

Twoje dane przetwarzamy na podstawie:

• Art. 6 ust. 1 lit. b RODO (wykonanie umowy) — świadczenie Usługi: konto, generowanie odpowiedzi AI, płatności, faktury;
• Art. 6 ust. 1 lit. c RODO (obowiązek prawny) — przechowywanie faktur (KSiR, 5 lat), realizacja praw z RODO;
• Art. 6 ust. 1 lit. f RODO (uzasadniony interes) — analityka Vercel Web Analytics (privacy-first, bez cookies), monitoring bezpieczeństwa, dochodzenie roszczeń;
• Art. 6 ust. 1 lit. a RODO (zgoda) — newsletter marketing (możesz wycofać w każdej chwili).

Automatyczne utworzenie konta przy zakupie: w przypadku zakupu pakietu bez wcześniejszej rejestracji utworzymy dla Ciebie konto na podstawie podanego adresu email — przetwarzanie tych danych jest niezbędne do dostarczenia zakupionej usługi cyfrowej (art. 6 ust. 1 lit. b RODO — wykonanie umowy). Konto otrzymujesz na tych samych zasadach jak przy klasycznej rejestracji. Szczegóły: Regulamin § 3.5.

3. Kategorie danych

Przetwarzamy następujące kategorie:

• Dane konta: email, hasło (zhashowane), display name, data rejestracji;
• Dane techniczne: adres IP (anonimizowany w analytics), user-agent przeglądarki, ID sesji;
• Treść rozmów: pytania i odpowiedzi AI — usuwane po 24h;
• Metadata rozmów: persona, data, czas, ilość tokenów (zachowywane permanentnie, bez treści);
• Dane płatnicze: obsługiwane wyłącznie przez Przelewy24 (PayPro S.A.) — nie mamy dostępu do numerów kart, kodów BLIK ani danych konta bankowego; my przechowujemy wyłącznie ID transakcji P24 + payment metadata (kwota, status, data);
• Faktury VAT: dane do faktury (NIP firmowy jeśli podany);
• Audit log: logowanie, płatności, RODO requests — dla bezpieczeństwa i compliance.
• Wynik klasyfikatora kryzysu (RODO art. 9): score (0-1) i kategoria (none / mild / moderate / high / extreme) — zapisywane tylko przy wyraźnej zgodzie (art. 9 ust. 2 lit. a). Bez zgody przechowujemy jedynie anonimową flagę crisis_flagged w audit log. Szczegóły: § 8.
• Zgoda RODO art. 9: flaga crisis_consent (boolean) + timestamp udzielenia/cofnięcia zgody — przechowujemy dla wykazania zgodności (compliance, art. 7 ust. 1 RODO).

4. Okresy przechowywania

• Treści rozmów: 24 godziny od wysłania;
• Konto i dane konta: do czasu usunięcia konta + 30 dni cooldown;
• Faktury VAT i payment records: 5 lat (wymóg KSiR);
• Audit log — security events (logowanie, rejestracja, RODO requests): 1 rok (wystarczające dla bezpieczeństwa);
• Audit log — KSiR events (płatności, faktury): 5 lat (wymóg ustawowy z ustawy o księgowości);
• Wynik klasyfikatora kryzysu (przy zgodzie art. 9 lit. a): do kasacji konta. Bez zgody — nie zapisywany, zostaje tylko anonimowa flaga crisis_flagged w audit log;
• Newsletter: do wycofania zgody;
• Sentry error logs: 30 dni (anonimizowane, bez PII).

Backupy bazy danych: w celu zapewnienia ciągłości usługi i ochrony przed utratą danych Supabase wykonuje codzienne kopie zapasowe całej bazy (point-in-time recovery). Backupy są przechowywane do 30 dni, zaszyfrowane (AES-256) i przechowywane w infrastrukturze AWS Frankfurt (EOG). Twoje dane usunięte w wyniku 24-godzinnej retencji rozmów lub żądania prawa do bycia zapomnianym znikają z aktywnej bazy natychmiast, ale w kopiach zapasowych mogą być obecne maksymalnie do 30 dni — po tym czasie są nieodwracalnie nadpisywane. Dostęp do backupów ma wyłącznie Mariusz Cibor (administrator) i wyłącznie w celu disaster recovery; logujemy każde użycie.

Logi serwerowe (Vercel): logi requestów HTTP (URL, status, czas odpowiedzi, IP) przechowujemy 7 dni dla diagnostyki i wykrywania nadużyć. Treść body i nagłówków Authorization NIE jest logowana.

5. Odbiorcy danych

Twoje dane mogą być przekazywane następującym kategoriom odbiorców (procesorów):

• Supabase (Frankfurt, EU) — hosting bazy danych i autentykacji;
• Vercel (Frankfurt, EU + USA) — hosting aplikacji, Web Analytics (bez cookies, dane zagregowane), Speed Insights (Core Web Vitals). Transfer poza EOG (USA) na podstawie Standard Contractual Clauses;
• Cloudflare (EU/global) — CDN, ochrona DDoS, Email Routing (forwarding @selvara.app);
• Przelewy24 / PayPro S.A. (Poznań, Polska) — obsługa płatności (BLIK, karty, przelewy), zwroty;
• Anthropic (USA) — generowanie odpowiedzi AI (Claude). Transfer na podstawie Standard Contractual Clauses (SCC). Treści rozmów przesyłane do Anthropic w celu generacji, nie są wykorzystywane do trenowania modeli (zgodnie z ich polityką dla API customers);
• Resend (HQ USA, ale nasze konto skonfigurowane na region Ireland eu-west-1 — emaile są przechowywane i wysyłane z UE) — wysyłka emaili transakcyjnych (potwierdzenia rejestracji, zakupu, alertów crisis);
• Sentry (Frankfurt, EU) — error tracking, dane anonimizowane (beforeSend hook scrubuje email, IP, tokeny).

Wszystkie podmioty przetwarzają dane na podstawie umów powierzenia (Data Processing Agreements). Transfer poza EOG (Anthropic, Resend, Vercel — częściowo) odbywa się na podstawie Standard Contractual Clauses zatwierdzonych przez Komisję Europejską. Sentry hostowany jest w EU (Frankfurt) — bez transferu poza EOG.

6. Twoje prawa (RODO art. 15-22)

Masz prawo do:

• Dostępu do danych (art. 15) — eksport JSON w panelu konta;
• Sprostowania (art. 16) — edycja danych w profilu;
• Usunięcia (art. 17, "prawo do bycia zapomnianym") — kasacja konta z 30-dniowym cooldown;
• Ograniczenia przetwarzania (art. 18) — kontakt na privacy@;
• Przenoszenia danych (art. 20) — eksport JSON;
• Sprzeciwu (art. 21) — w szczególności wobec marketingu;
• Wycofania zgody w dowolnym momencie (newsletter, marketing);
• Skargi do PUODO (Prezes Urzędu Ochrony Danych Osobowych) — uodo.gov.pl.

Realizujemy każde żądanie w ciągu 30 dni (zazwyczaj <7 dni). Kontakt: privacy@selvara.app.

7. Cookies i podobne technologie

Selvara używa minimalnej liczby cookies, podzielonych na 3 kategorie:

• Niezbędne (zawsze włączone) — Supabase auth (sb-access-token, sb-refresh-token), sesja płatności Przelewy24, CSRF tokens;
• Analityczne (uzasadniony interes art. 6 ust. 1 lit. f) — Vercel Web Analytics + Speed Insights, NIE używają cookies (privacy-first, dane zagregowane). LocalStorage używamy do consent banner i preferencji UI;
• Marketingowe (za zgodą) — Y2+ pixele Meta/TikTok jeśli zaakceptujesz w cookie banner. Domyślnie wyłączone.

Możesz zarządzać preferencjami w cookie banner (pojawia się przy pierwszej wizycie) lub w ustawieniach przeglądarki.

8. Klasyfikator bezpieczeństwa (RODO art. 9)

Selvara używa automatycznego klasyfikatora bezpieczeństwa (oparty o Claude Haiku, model językowy AI) do wykrywania sygnałów kryzysu psychicznego w pytaniach. Może to obejmować przetwarzanie danych dotyczących zdrowia psychicznego (RODO art. 9 — szczególna kategoria danych).

Cel: wykrycie kryzysu i skierowanie do profesjonalnej pomocy (numery 112, 116 123, Centrum Wsparcia dla Osób w Stanie Kryzysu Psychicznego).

Podstawa prawna — dwuczęściowa:

• Art. 9 ust. 2 lit. c RODO (ochrona żywotnych interesów) — sam klasyfikator działa zawsze, dla każdego pytania, niezależnie od zgody. To podstawowa ochrona życia: jeśli wykryjemy sygnały kryzysu samobójczego, natychmiast pokażemy Ci numery pomocy, ponieważ szybka reakcja może uratować życie.
• Art. 9 ust. 2 lit. a RODO (wyraźna zgoda) — zapis wyniku klasyfikatora (score, kategoria) do bazy w celu monitorowania trendów i audytu. Zgoda jest opcjonalna, udzielana przy rejestracji checkboxem i możesz ją cofnąć w każdej chwili w panelu konta (Profil → Bezpieczeństwo). Bez zgody klasyfikator wciąż działa (lit. c powyżej), ale wynik NIE jest zapisywany — zachowujemy tylko anonimową flagę crisis_flagged w audit log dla compliance.

NIE używamy klasyfikatora do profilowania marketingowego ani podejmowania decyzji o świadczeniu Usługi.

Alerty crisis: w przypadku wykrycia poważnych sygnałów kryzysu (HIGH/EXTREME) administrator otrzymuje email-alert (przez Resend) z anonimową informacją o zdarzeniu (bez treści pytania) — tylko w celu monitorowania funkcjonowania systemu bezpieczeństwa.

Dokument DPIA (Data Protection Impact Assessment) zostanie opublikowany w Q4 2026.

9. Bezpieczeństwo danych

Stosujemy techniczne i organizacyjne środki ochrony danych:

• HTTPS (TLS 1.2+) na całej stronie, HSTS;
• Hashowane hasła (bcrypt via Supabase);
• Row-Level Security (RLS) na poziomie bazy danych;
• Backup codzienny, retention 30 dni;
• Sentry beforeSend hook scrubuje PII (email, IP);
• Automatic 24h purge treści rozmów;
• Code review każdej zmiany security-related (OWASP ASVS L1).

10. Zmiany polityki

Polityka może być zmieniana. O istotnych zmianach informujemy emailem przynajmniej 14 dni przed wejściem w życie. Wersja archiwalna dostępna na żądanie.