Polityka prywatności
Ostatnia aktualizacja: 7 października 2026 r.
To tłumaczenie ma jedynie ułatwić lekturę. W razie rozbieżności rozstrzyga wersja hiszpańska.
Niniejsza Polityka informuje o przetwarzaniu danych osobowych w ramach usługi AIM CODEX. BIOMAG, S.L.U. przestrzega rozporządzenia (UE) 2016/679 (RODO), hiszpańskiej ustawy organicznej 3/2018 (LOPDGDD) oraz LSSI, zapewniając przejrzystość i bezpieczeństwo przy korzystaniu z danych.
1. Administrator
BIOMAG, S.L.U. · NIF B-01037241 (NIP UE ESB01037241) · c/ Barrachi, 39 – Pab. 3, 01013 Vitoria-Gasteiz (Álava, Hiszpania) · Tel. +34 945 460 486 · hola@aim-codex.ai · Rejestr handlowy Álava: tom 514, karta 74, arkusz VI-1773
Inspektor ochrony danych: niewyznaczony, ponieważ nie zachodzi żaden z przypadków z art. 37 RODO. W każdej sprawie dotyczącej prywatności: hola@aim-codex.ai.
2. Dwie role: administrator i podmiot przetwarzający
Ze względu na charakter Usługi występują dwie role, które należy rozróżnić:
- BIOMAG, S.L.U. działa jako ADMINISTRATOR w odniesieniu do danych konta i stosunku umownego: danych osoby, która zamawia lub używa Usługi (imię i nazwisko, e-mail, firma, dane do faktury), oraz danych o korzystaniu niezbędnych do świadczenia i ochrony Usługi.
- BIOMAG, S.L.U. działa jako PODMIOT PRZETWARZAJĄCY w odniesieniu do danych osobowych, które użytkownik umieszcza w dokumentach pieczętowanych, udostępnianych lub wysyłanych przez Usługę, oraz danych odbiorców. W tym zakresie administratorem jest użytkownik, a BIOMAG przetwarza dane w jego imieniu i zgodnie z jego poleceniami, na podstawie Umowy powierzenia przetwarzania danych.
- Strona, z której nastąpiła rejestracja: jeśli zakładasz konto, klikając przycisk na jednej z naszych stron (np. szablon kosztorysu), zapisujemy nazwę tej strony razem z rejestracją, aby wiedzieć, które strony są przydatne. Tylko nazwę strony: nic nie jest zapisywane w Twojej przeglądarce i nie śledzimy Cię między wizytami. Podstawa: prawnie uzasadniony interes.
3. Jakie dane przetwarzamy?
- Dane identyfikacyjne i kontaktowe: imię i nazwisko, adres e-mail, organizacja.
- Dane do faktury: niezbędne do wystawiania faktur i obsługi płatności za subskrypcję.
- Dane o korzystaniu i bezpieczeństwie: adres IP, dane przeglądania i dzienniki działań w Usłudze (tworzenie, pieczętowanie, weryfikacja, akceptacja) w celu działania, dowodu i zapobiegania oszustwom.
- Treść dokumentów i dane odbiorców (imię i nazwisko oraz e-mail osoby, która otrzymuje, otwiera, weryfikuje lub akceptuje dokument): przetwarzane jako podmiot przetwarzający, w imieniu użytkownika będącego administratorem.
- Tekst wysyłany do funkcji sztucznej inteligencji (redagowanie, sprawdzanie lub objaśnianie dokumentu), wyłącznie gdy użytkownik z nich korzysta. Może zawierać dane osobowe osób trzecich, jeśli zawiera je dokument; jest przetwarzany jako podmiot przetwarzający, w imieniu użytkownika. Nie używaj tych funkcji ze szczególnymi kategoriami danych (zdrowie, przekonania, przynależność do związków zawodowych, pochodzenie etniczne, życie seksualne, biometria, dane dotyczące wyroków skazujących).
- Nagrania audio spotkań, wyłącznie gdy użytkownik korzysta z funkcji protokołów: nagranie jest wysyłane do dostawcy sztucznej inteligencji (za pośrednictwem OpenRouter) w celu transkrypcji i przygotowania projektu protokołu. CODEX nie przechowuje nagrania: zapisuje tylko jego odcisk SHA-256 i rozmiar. Nagranie zawiera głosy i wypowiedzi uczestników; jest przetwarzane jako podmiot przetwarzający, w imieniu użytkownika, który musi poinformować uczestników przed nagrywaniem.
- Anonimowy pomiar działania serwisu: przy opuszczaniu każdej strony przeglądarka wysyła trzy czasy ładowania, stronę oraz informację, czy ekran jest mobilny. Bez plików cookie, bez identyfikatorów, adres IP nie jest zapisywany.
- Techniczne raporty przeglądarki, gdy polityka bezpieczeństwa serwisu coś blokuje: strona (bez parametrów), reguła i zablokowane źródło. Żadnych danych o osobie.
- Odpowiedzi w dobrowolnych ankietach służących ulepszaniu serwisu: anonimowe; nie pytamy o imię ani e-mail.
Zakotwiczenie dowodu w publicznym blockchainie publikuje wyłącznie kryptograficzny odcisk (skrót SHA-256) dokumentu: ani treść dokumentu, ani żadne dane osobowe nie są publikowane w łańcuchu.
4. Cele i podstawa prawna
| Cel | Podstawa prawna (art. 6 RODO) |
|---|---|
| Świadczenie Usługi (pieczętowanie, weryfikacja, udostępnianie, przechowywanie dowodu) i obsługa konta. | Wykonanie umowy. |
| Fakturowanie oraz obowiązki podatkowe i księgowe. | Obowiązek prawny. |
| Bezpieczeństwo Usługi, zapobieganie oszustwom i obsługa incydentów. | Prawnie uzasadniony interes (z prawem sprzeciwu). |
| Komunikaty dotyczące usługi (powiadomienia operacyjne). | Wykonanie umowy. |
| Komunikaty handlowe o podobnych własnych produktach lub usługach, w stosownych przypadkach. | Zgoda lub art. 21.2 LSSI, z możliwością rezygnacji w każdej wiadomości. |
| Funkcje sztucznej inteligencji włączane przez użytkownika (redagowanie, sprawdzanie, objaśnianie). | Wykonanie umowy. W odniesieniu do treści dokumentów działamy jako podmiot przetwarzający, zgodnie z poleceniami użytkownika (art. 28 RODO). |
| Pomiar i poprawa szybkości oraz działania serwisu na podstawie anonimowych danych. | Prawnie uzasadniony interes. |
| Dobrowolne ankiety służące poprawie czytelności serwisu. | Zgoda: udział jest dobrowolny. |
5. Odbiorcy i podmioty przetwarzające (podprzetwarzający)
Dane nie są przekazywane osobom trzecim, chyba że wymaga tego prawo lub jest to niezbędne do świadczenia Usługi. W tym celu dane przetwarzają, jako podmioty przetwarzające BIOMAG, S.L.U., na podstawie umowy powierzenia, następujący dostawcy (aktualna lista, z danymi przetwarzanymi przez każdego i miejscem przetwarzania, znajduje się na aim-codex.ai/subencargados):
- Railway (USA): hosting aplikacji i bazy danych na serwerach w Holandii.
- Resend (USA): wysyłka e-maili usługi z jego regionu europejskiego (Irlandia).
- Migadu-Mail GmbH (Szwajcaria): skrzynka kontaktowa i zapasowa wysyłka e-maili.
- OpenRouter, Inc. (USA): dostęp do modeli sztucznej inteligencji, wyłącznie gdy używane są te funkcje: otrzymuje tekst oraz, jeśli używane są protokoły spotkań, nagranie audio. Każde żądanie wymaga, by dostawca uruchamiający model nie przechowywał danych i nie używał ich do trenowania.
- Paddle.com Market Limited (Wielka Brytania): pobieranie opłat za subskrypcje jako odsprzedawca; przetwarza dane płatnicze jako administrator, a nie w naszym imieniu.
- Kalendarze znakowania czasem publicznego blockchaina (OpenTimestamps) i urzędy znakowania czasem (DigiCert, Sectigo i FreeTSA): otrzymują wyłącznie odcisk SHA-256, żadnych danych osobowych.
- Publiczne eksploratory Bitcoina (blockstream.info i mempool.space): gdy weryfikujesz dokument, Twoja przeglądarka pobiera od nich bezpośrednio publiczne dane bloku, w którym jest zakotwiczony; jak każda strona internetowa otrzymują Twój adres IP i numer bloku, nigdy dokument ani jego odcisk. Nasz serwer również je odpytuje, wyłącznie z numerem bloku.
- Doradcy podatkowi i księgowi, audytorzy i usługi prawne, w stosownych przypadkach, oraz organy i administracja publiczna, gdy wymaga tego prawo.
Gdzie są Twoje dane. Dane Twojego konta i Twoje dokumenty są przechowywane w Unii Europejskiej. Tekst i nagrania audio wysyłane do funkcji sztucznej inteligencji są przetwarzane w Stanach Zjednoczonych lub w innych krajach, w których działają dostawcy modeli.
Przekazywanie danych do państw trzecich: Railway, Resend i OpenRouter to firmy amerykańskie. Każde przekazanie lub dostęp spoza Europejskiego Obszaru Gospodarczego jest objęte standardowymi klauzulami umownymi Komisji Europejskiej zawartymi w ich umowach powierzenia, a w przypadku Resend także ramami ochrony danych UE-USA. Szwajcaria i Wielka Brytania mają decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony.
6. Okresy przechowywania
- Dane konta i dokumentów: przez czas aktywności konta, a po jego zamknięciu przez okres ustalony przez użytkownika lub niezbędny do wypełnienia obowiązków prawnych.
- Fakturowanie: okresy wymagane przez przepisy podatkowe i handlowe.
- Zapytania/wsparcie: do czasu rozwiązania i, w stosownych przypadkach, dla zachowania śladu.
- Bezpieczeństwo/oszustwa: tak długo, jak to konieczne; następnie zablokowane na potrzeby ewentualnej odpowiedzialności.
- Otwarcia linków i kody: adres IP i przeglądarka każdego otwarcia są usuwane po 12 miesiącach (zachowywana jest tylko data); kody weryfikacyjne i linki do zmiany hasła — dzień po wygaśnięciu; nigdy niepotwierdzone subskrypcje powiadomień — po 30 dniach.
- Po usunięciu konta: jego dokumenty i dane są usuwane. Z każdego zapieczętowanego dokumentu zachowuje się tylko jego odcisk kryptograficzny, wersję, datę zapieczętowania oraz informację, czy był unieważniony lub miał termin ważności, bez tytułu i bez danych osobowych, aby odbiorca mógł nadal sprawdzić, że jest autentyczny.
Usunięcie danych osoby, która podpisuje lub potwierdza odbiór. Na żądanie tej osoby wystawca usuwa jej dane w konsoli: imię i nazwisko, e-mail, IP i przeglądarka znikają z list, dziennika aktywności i eksportów, a jej link przestaje działać. Już zapieczętowane potwierdzenia i dossier nie są zmieniane, bo zmieniłby się ich odcisk i niczego by już nie dowodziły: są przechowywane bez publicznego linku, pobrać je może tylko wystawca i tylko w celu ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. e RODO), a usuwa się je razem z kontem. W dossier udostępnianych przez link adresy e-mail są zamaskowane.
7. Twoje prawa
Możesz wykonywać prawa dostępu, sprostowania, usunięcia, sprzeciwu, ograniczenia, przenoszenia danych i wycofania zgody, kontaktując się z nami:
- Pocztą: c/ Barrachi, 39 – Pab. 3, 01013 Vitoria-Gasteiz (Álava, Hiszpania).
- E-mailem: hola@aim-codex.ai.
Możemy poprosić o potwierdzenie tożsamości. Termin odpowiedzi: maksymalnie 1 miesiąc (z możliwością przedłużenia o 2 miesiące). Gdy dane są przetwarzane jako podmiot przetwarzający (dane zawarte w dokumentach klienta), żądania osób, których dane dotyczą, przekazujemy klientowi będącemu administratorem. Możesz złożyć skargę do hiszpańskiego organu ochrony danych: www.aepd.es.
8. Małoletni
Usługa nie jest skierowana do osób poniżej 14 lat, a ich dane nie są świadomie przetwarzane. W razie ich wykrycia zostaną usunięte.
9. Bezpieczeństwo i naruszenia
Stosujemy odpowiednie środki techniczne i organizacyjne (kontrola dostępu, szyfrowanie w transmisji, pieczętowanie i integralność dowodu, rejestr incydentów i kopie zapasowe). W razie naruszenia bezpieczeństwa stwarzającego ryzyko zgłosimy je AEPD w terminie maksymalnie 72 godzin, a w stosownych przypadkach także osobom, których dane dotyczą.
10. Pliki cookie
Informacje o plikach cookie znajdują się w Polityce plików cookie.