Polityka prywatności

1. Kim jesteśmy

AstraNL (zarejestrowana jako AstraNL ZZP, KvK 88449335, BTW NL004604224B69). Infrastruktura koordynacyjna działająca z Holandii. Kontakt: hello@astranl.com.

Niniejsza polityka dotyczy astranl.com i wszystkich subdomen.

2. Jakie dane osobowe zbieramy

3. Dlaczego przetwarzamy Państwa dane (podstawy prawne z art. 6 RODO)

• Umowa (art. 6 ust. 1 lit. b) — aby świadczyć zamówioną usługę koordynacji (konto, publikowanie, dopasowanie).
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — zapobieganie oszustwom (zahaszowane IP), obserwacja działania usługi (brain events).
• Obowiązek prawny (art. 6 ust. 1 lit. c) — holenderska księgowość ZZP (7 lat dla dokumentów finansowych), obowiązki podatkowe.
• Zgoda (art. 6 ust. 1 lit. a) — obecnie nie jest wykorzystywana, ponieważ nie stosujemy plików cookie analitycznych ani marketingowych.

4. Jak długo przechowujemy dane

• Logi serwera (z anonimizacją IP): 30 dni, potem automatyczne usunięcie.
• Dane konta: do czasu usunięcia konta.
• Treści na forum: do czasu ich usunięcia (lub żądania usunięcia).
• Wiadomości czatu: 30 dni w aktywnym magazynie, potem skompresowane archiwum dostępne tylko dla Państwa.
• Dokumenty finansowe (faktury, potwierdzenia płatności): 7 lat zgodnie z prawem holenderskim (BW 2:10).
• Brain events (obserwacja): pole aktora zawiera tylko zahaszowane identyfikatory, usuwane po 90 dniach.

5. Gdzie znajdują się Państwa dane

Wszystkie dane osobowe są przechowywane na serwerach w Amsterdamie, Holandia (centrum danych DigitalOcean AMS3). Kopie zapasowe są szyfrowane w spoczynku. Niektóre podmioty przetwarzające z punktu 6 znajdują się poza UE; gdy przetwarzają Państwa dane, dane te są przekazywane poza UE. Te przekazania i zabezpieczenie każdego z nich wymieniono poniżej.

• Groq (Stany Zjednoczone): zamiana mowy na tekst przy wprowadzaniu głosowym i wycenach wideo (punkt 15). Zabezpieczenie: w trakcie wdrażania (standardowe klauzule umowne UE w umowie powierzenia).
• Anthropic (Stany Zjednoczone): model AI do pytań, dokumentów i etapów wyceny. Zabezpieczenie: w trakcie wdrażania (standardowe klauzule umowne UE w umowie powierzenia).
• OpenAI (Stany Zjednoczone): sprawdzanie wycen. Zabezpieczenie: w trakcie wdrażania (standardowe klauzule umowne UE w umowie powierzenia).
• xAI (Stany Zjednoczone): drugie sprawdzenie wycen. Zabezpieczenie: w trakcie wdrażania (standardowe klauzule umowne UE w umowie powierzenia).
• Google (Stany Zjednoczone): logowanie przez Google i model wyszukiwania Gemini. Zabezpieczenie: certyfikacja w ramach EU-U.S. Data Privacy Framework (ramy ochrony danych UE–USA).
• Stripe (Stany Zjednoczone): płatności, gdy Państwo płacą. Zabezpieczenie: certyfikacja w ramach EU-U.S. Data Privacy Framework (ramy ochrony danych UE–USA).
• GitHub (Stany Zjednoczone): logowanie przez GitHub, jeśli Państwo z niego korzystają. Zabezpieczenie: certyfikacja w ramach EU-U.S. Data Privacy Framework (ramy ochrony danych UE–USA).
• DigitalOcean (Stany Zjednoczone): hosting; Państwa dane pozostają przechowywane w Amsterdamie. Zabezpieczenie: certyfikacja w ramach EU-U.S. Data Privacy Framework (ramy ochrony danych UE–USA).

Dopóki wdrażane zabezpieczenia nie są gotowe, ci dostawcy otrzymują tylko minimum potrzebnych im danych. AstraNL nie wysyła tekstu, który Państwo przekazują Astrze, do dostawców AI w Chinach.

6. Podmioty zewnętrzne, z których korzystamy

Umowy powierzenia przetwarzania danych (DPA) z wymienionymi tu podmiotami przetwarzającymi są w trakcie zawierania. Podmioty przetwarzające to: DigitalOcean (hosting), Stripe (płatności), Brevo (e-mail), Google (logowanie i model wyszukiwania Gemini), GitHub (logowanie), Groq (zamiana mowy na tekst), Mistral AI (model językowy AI) oraz Anthropic, OpenAI i xAI (modele AI do pytań, dokumentów i sprawdzania wycen). Dopóki umowy nie zostaną zawarte, przekazujemy każdemu podmiotowi tylko minimum danych potrzebnych do jego zadania.

7. Państwa prawa (RODO, rozdział III)

W każdej chwili mogą Państwo:

• Dostęp — zażądać kopii wszystkich swoich danych (art. 15)
• Sprostowanie — poprawić błędne informacje (art. 16)
• Usunięcie — usunąć konto i treści (art. 17, „prawo do bycia zapomnianym”)
• Ograniczenie — wstrzymać przetwarzanie na czas sporu (art. 18)
• Przenoszenie — otrzymać swoje dane w formacie JSON (art. 20)
• Sprzeciw — odmówić przetwarzania opartego na prawnie uzasadnionym interesie (art. 21)
• Skarga — złożyć ją do Autoriteit Persoonsgegevens (holenderski organ ochrony danych)

Jak skorzystać z tych praw: prosimy napisać na hello@astranl.com. Odpowiadamy w ciągu 30 dni (art. 12 ust. 3 RODO). Można też skorzystać z samoobsługowych punktów końcowych:

• GET /api/user/export — natychmiastowy eksport danych (wymaga zalogowania)
• POST /api/user/delete — usunięcie konta i anonimizacja treści

8. Pliki cookie

Używamy wyłącznie niezbędnych plików cookie, które zgodnie z dyrektywą ePrivacy nie wymagają zgody:

• astra_lang (1 rok) — zapamiętuje język interfejsu
• astra_session (30 dni, tylko dla zalogowanych) — utrzymuje zalogowanie

NIE używamy: Google Analytics, Facebook Pixel, trackerów reklamowych, nagrywania sesji, map cieplnych ani żadnej analityki stron trzecich. Jeśli się to zmieni, wcześniej dodamy właściwy baner zgody.

9. Dzieci

AstraNL nie jest przeznaczona dla osób poniżej 16 lat. Świadomie nie zbieramy danych dzieci. Jeśli uważają Państwo, że przez pomyłkę zebraliśmy dane dziecka, prosimy o natychmiastowy kontakt — usuniemy je.

10. Bezpieczeństwo

• TLS 1.3 dla wszystkich połączeń (certyfikaty Let's Encrypt, odnawiane automatycznie)
• Haszowanie tokenów sesji równoważne Bcrypt/Argon2
• Haszowanie adresów IP algorytmem SHA-256 przed zapisem
• Baza danych szyfrowana w spoczynku (szyfrowanie woluminów DigitalOcean)
• Sekrety w plikach z uprawnieniami 600, właściciel root
• Automatyczne aktualizacje bezpieczeństwa (unattended-upgrades) w Ubuntu
• Wszystkie klucze API wymieniane co 90 dni

11. Zgłaszanie naruszeń

W mało prawdopodobnym przypadku naruszenia ochrony danych osobowych, które stwarza ryzyko dla Państwa praw, zgłosimy je Autoriteit Persoonsgegevens w ciągu 72 godzin i bezpośrednio powiadomimy osoby, których dotyczy, zgodnie z art. 33–34 RODO.

12. Zmiany tej polityki

O istotnych zmianach poinformujemy e-mailem (jeśli mają Państwo konto) lub banerem w serwisie co najmniej 30 dni przed ich wejściem w życie. Pełna historia wersji jest prowadzona w naszym publicznym repozytorium.

13. Kontakt z inspektorem ochrony danych

W każdej sprawie dotyczącej prywatności:
E-mail: hello@astranl.com
Poczta: AstraNL ZZP, Holandia — adres na życzenie
Organ nadzorczy: Autoriteit Persoonsgegevens

14. Zmierzone wyceny dostawy dla projektów

15. Wprowadzanie głosowe i asystentka Astra

15.1 Jak mowa zamienia się w tekst

• Najpierw rozpoznawanie mowy w Państwa przeglądarce. Gdy przytrzymują Państwo przycisk mikrofonu, Astra najpierw korzysta z rozpoznawania mowy wbudowanego w przeglądarkę. AstraNL nie otrzymuje tego dźwięku, tylko powstały tekst. W Google Chrome to rozpoznawanie zwykle wysyła dźwięk do Google; inne przeglądarki mogą wysyłać go do własnego dostawcy. Dostawca przeglądarki robi to na własnych warunkach prywatności.
• W przeciwnym razie transkrypcja przez AstraNL. Jeśli przeglądarka nie ma rozpoznawania mowy lub ono zawiedzie, przeglądarka nagrywa dźwięk i wysyła go na nasz serwer. Przekazujemy go do Groq (model Whisper), aby zamienić go na tekst. Jeśli Groq jest niedostępny, transkrypcja odbywa się na naszym własnym serwerze w Amsterdamie.
• Filmy do wyceny. Jeśli wyślą Państwo film do wyceny, jego dźwięk również transkrybuje Groq.
• Notatki głosowe w projektach w panelu projektu są transkrybowane wyłącznie na naszym serwerze i nigdy nie trafiają do usługi zewnętrznej.

15.2 Co przetwarzamy, dlaczego i jak długo

• Cel: zrozumieć pytanie i na nie odpowiedzieć oraz obsłużyć Państwa prośbę; transkrypcja zamienia wypowiedzianą prośbę na tekst.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO: transkrypcja i obsługa prośby to działania, o które Państwo proszą, przed zawarciem lub w ramach umowy. Rozpoznawanie mowy w przeglądarce wykonuje dostawca przeglądarki na własnych warunkach.
• Odbiorcy: usługa zamiany mowy na tekst: Groq, Inc. (Stany Zjednoczone); dostawca modelu językowego AI: Mistral AI (Francja); hosting: DigitalOcean (Amsterdam). Nie przez AstraNL, lecz przez Twoją przeglądarkę: producent przeglądarki, na przykład Google w Chrome. Groq jest firmą spoza UE, więc wysłane do niej nagranie może być przetwarzane poza UE. AstraNL nie wysyła Twoich pytań do dostawców AI w Chinach.

15.3 AI i kontakt z człowiekiem

• Astra jest asystentką AI. Odpowiedzi są generowane automatycznie i mogą być błędne; prosimy sprawdzić ceny i fakty, zanim Państwo na nich polegną.
• Astra nie podejmuje decyzji w Państwa sprawie. Odpowiada, pokazuje linki i może zapisać zlecenie. Niczego nie zatwierdza, nie zamawia i nie opłaca.
• Kontakt z człowiekiem: prosimy napisać na hello@astranl.com. Pytania wysłane na ten adres są przekazywane człowiekowi.
• Jeśli model AI nie może odpowiedzieć, Astra uprzejmie powie o tym w Twoim języku i wskaże adres hello@astranl.com.

15.4 Jak uniknąć głosu

• Prosimy wpisać pytanie w pole tekstowe okna Astry zamiast naciskać mikrofon. Wpisany tekst jest przetwarzany tak, jak opisano w 15.2; żaden dźwięk nie jest przetwarzany.
• Do wyceny prosimy opisać prace tekstem zamiast wysyłać film.
• Mogą Państwo zablokować dostęp do mikrofonu dla astranl.com w ustawieniach przeglądarki; wszystko nadal działa przez pisanie.
• Astra odczytuje odpowiedź na głos wbudowanym głosem przeglądarki tylko po pytaniu zadanym głosem. W zależności od przeglądarki ten głos może korzystać z usługi online dostawcy przeglądarki.

15.5 Państwa prawa

Obowiązują prawa z punktu 7: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie danych i skarga do Autoriteit Persoonsgegevens. Ponieważ AstraNL nie przechowuje dźwięku dla Astry, nie istnieje nagranie, które moglibyśmy wydać. W sprawie dźwięku przetwarzanego przez rozpoznawanie mowy w przeglądarce prosimy kontaktować się z dostawcą przeglądarki (na przykład Google).