Polityka prywatności pocket.ceo

Wersja: 1.1 · Data wejścia w życie: 2026-09-19

Niniejsza Polityka prywatności opisuje, w jaki sposób przetwarzane są dane osobowe użytkowników usługi pocket.ceo — platformy, w której każdy użytkownik zostaje powiązany z Szefem AI: asystentem opartym na sztucznej inteligencji, pełniącym rolę jego „szefa” i partnera odpowiedzialności (accountability). Dokument stanowi klauzulę informacyjną w rozumieniu art. 13 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej „RODO”) oraz spełnia obowiązki informacyjne wynikające z ustawy o świadczeniu usług drogą elektroniczną.

Prosimy o uważne zapoznanie się z całością dokumentu — w szczególności z sekcją 6 (Transfer danych poza EOG), ponieważ działanie usługi opiera się obecnie na dostawcach modeli AI, których infrastruktura znajduje się poza Europejskim Obszarem Gospodarczym (w USA).

1. Administrator danych

Administratorem Twoich danych osobowych jest VALITY Łukasz Wątroba, jednoosobowa działalność gospodarcza (JDG) z siedzibą pod adresem Kretowskie 44, 43-436 Górki Wielkie, Polska, NIP: 5472086879, REGON: 24361592800000, wpisana do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG).

Dane kontaktowe administratora:

• Adres korespondencyjny: Kretowskie 44, 43-436 Górki Wielkie, Polska
• Adres e-mail do spraw ochrony danych: hi@pocket.ceo

Inspektor Ochrony Danych (IOD): Administrator nie wyznaczył Inspektora Ochrony Danych, ponieważ na obecnym etapie nie jest to obowiązkowe — przetwarzanie nie obejmuje monitorowania na dużą skalę o charakterze systematycznym w rozumieniu art. 37 RODO. We wszelkich sprawach dotyczących ochrony danych prosimy o kontakt: hi@pocket.ceo.

Przedstawiciel w Unii Europejskiej (art. 27 RODO): Nie dotyczy. Wyznaczenie przedstawiciela w UE nie jest wymagane, ponieważ administrator ma siedzibę w Polsce — to jest na terytorium Europejskiego Obszaru Gospodarczego.

2. Zakres niniejszej Polityki

Polityka dotyczy przetwarzania danych w ramach:

• aplikacji webowej pocket.ceo — logowanie, onboarding, rozpoczęcie bezpłatnego Okresu próbnego albo wybór i opłacenie planu (subskrypcji), łączenie Konta z komunikatorem oraz ustawienia konta i podgląd zużycia;
• kanałów komunikacji udostępnianych do powiązania z Kontem: Telegram i Discord;
• witryny pocket.ceo — w tym analityki serwisu opisanej w sekcji 7;
• procesów pamięci i wnioskowania AI realizowanych w tle (przetwarzanie i konsolidacja pamięci oraz dostarczanie proaktywnych wiadomości).

3. Jakie dane przetwarzamy

Usługa opiera się na trwałej pamięci Szefa AI, dlatego zakres przetwarzanych danych jest szerszy niż w typowej aplikacji. Przetwarzamy następujące kategorie danych:

3.1. Dane konta

Imię/nazwa, adres e-mail, strefa czasowa oraz preferencje językowe. Konto zakładane jest przez logowanie GitHub lub Google (OAuth; zakres obejmujący adres e-mail); przetwarzamy identyfikator konta u dostawcy logowania oraz tokeny wydane w ramach przepływu OAuth. Przetwarzamy również dane tożsamości w komunikatorze, z którym powiązano Konto: identyfikator i nazwę użytkownika w Telegramie lub na Discordzie. Dane te przechowywane są w bazie platformowej (tokeny i inne dane poufne — w postaci zaszyfrowanej).

3.2. Treści rozmów (transkrypty)

Wszystkie wiadomości czatu, treść zadań i projektów oraz „dowody” (proofs) realizacji zobowiązań. Przechowywane w odizolowanym miejscu przechowywania danych przypisanym do Twojego konta.

3.3. Pamięć AI (długoterminowa)

Aby Szef AI mógł pełnić swoją rolę, utrzymuje trwałą pamięć budowaną na podstawie Twoich interakcji. Obejmuje ona m.in. zapisy i podsumowania rozmów, utrwalone informacje o Tobie oraz kontekst i ogólny ton Waszej relacji. Pamięć ta służy personalizacji wsparcia, tonu i proaktywnych wiadomości i — łącznie — stanowi profilowanie w rozumieniu RODO. Zobacz sekcję 9 (Profilowanie i automatyczne decyzje).

3.4. Zadania, projekty i proaktywne wiadomości

Zobowiązania, harmonogramy oraz zaplanowane przypomnienia i proaktywne wiadomości (follow-upy). Wykorzystywane do śledzenia odpowiedzialności i dostarczania proaktywnych powiadomień.

3.5. Załączniki

Pliki przesyłane przez Ciebie (obrazy, pliki PDF). Przechowywane w obiektowej pamięci masowej Cloudflare R2 (bucket w Unii Europejskiej) i analizowane przez model AI za pośrednictwem dostawcy wnioskowania AI opisanego w sekcji 5 — w tym samym reżimie zero retencji danych i zakazu ich zbierania, co pozostałe wywołania modeli (zob. sekcje 5 i 6).

3.6. Wysyłka e-mail

Na potrzeby wiadomości transakcyjnych niezbędnych do obsługi Konta — wiadomości powitalnej, o rozpoczęciu Okresu próbnego i o zakończeniu Okresu próbnego — przekazujemy Resend adres e-mail odbiorcy, treść wiadomości transakcyjnej (w stosownych przypadkach wraz z datą zakończenia Okresu próbnego) oraz identyfikatory zdarzenia domenowego/idempotencji używane do dostarczenia wiadomości i zapobiegania jej natychmiastowemu powtórzeniu. Wiadomości te dotyczą cyklu życia Konta i nie są marketingiem. Nie przekazujemy Resend treści rozmów, pamięci Szefa AI ani danych kart płatniczych.

3.7. Dane techniczne i pliki cookie

Identyfikatory sesji i pliki cookie, a także dane z pomiaru oglądalności witryny pocket.ceo prowadzonego bez cookies (wyświetlona strona, strona odsyłająca, rodzaj przeglądarki, systemu operacyjnego i urządzenia, kraj, szybkość ładowania strony) — szczegóły w Polityce cookies.

3.8. Szczególne kategorie danych (dane wrażliwe)

Usługa nie wymaga podawania danych szczególnych kategorii w rozumieniu art. 9 RODO (np. dotyczących zdrowia, przekonań, orientacji, danych biometrycznych). Z uwagi jednak na charakter usługi (rozmowy o celach osobistych i zawodowych z trwałą pamięcią) możesz dobrowolnie ujawnić takie dane w treści wiadomości. Usługa nie jest przeznaczona do przetwarzania takich danych, nie wymaga ich podawania i odradzamy ich wprowadzanie — w szczególności danych, których nie chcesz powierzać dostawcy wnioskowania AI (dostawca zlokalizowany w USA; zob. sekcja 6). Jeżeli mimo to świadomie podasz dane szczególnych kategorii w treści rozmów, czynisz to z własnej inicjatywy; nie wykorzystujemy ich do celów innych niż świadczenie usługi i w każdej chwili możesz je usunąć, czyszcząc pamięć Szefa AI albo zwracając się do nas o usunięcie danych (zob. sekcja 10). Po uruchomieniu interfejsu z aktywnym mechanizmem zgody przetwarzanie danych szczególnych kategorii będzie opierać się na wyraźnej zgodzie wyrażonej odrębnym, aktywnym oświadczeniem (art. 9 ust. 2 lit. a RODO).

4. Cele i podstawy prawne przetwarzania

Dane przetwarzamy w następujących celach i na następujących podstawach prawnych:

Czego NIE robimy z Twoimi danymi:

• nie sprzedajemy Twoich danych osobowych;
• nie wykorzystujemy treści Twoich rozmów do profilowania reklamowego;
• nie udostępniamy treści rozmów do celów marketingu osób trzecich.

W zakresie wykorzystywania treści użytkowników do trenowania modeli AI zob. sekcja 6.3.

5. Odbiorcy danych — podmioty przetwarzające (subprocesorzy)

W celu świadczenia usługi korzystamy z dostawców zewnętrznych działających jako podmioty przetwarzające. Poniższa tabela przedstawia aktualną listę odbiorców, ich rolę i lokalizację infrastruktury.

Uwaga: do uwierzytelniania wykorzystujemy własny mechanizm działający na naszej infrastrukturze (nie jest to zewnętrzny dostawca SaaS).

Dlaczego dostawcy infrastruktury nie są wymienieni z nazwy. Model AI wykonujący pojedyncze żądanie jest hostowany przez podmiot wybierany dynamicznie, w chwili wysłania żądania, spośród tych, które spełniają opisaną politykę zero retencji i zakazu zbierania danych. Zbiór ten zmienia się w czasie, dlatego wskazujemy go jako kategorię odbiorców w rozumieniu art. 13 ust. 1 lit. e RODO, a aktualny wykaz konkretnych podmiotów udostępniamy na żądanie pod adresem hi@pocket.ceo.

Status umów powierzenia (art. 28 RODO):

• OpenRouter — umowa powierzenia w ramach warunków korzystania z usługi; transfer do USA na podstawie standardowych klauzul umownych (SCC); do każdego żądania stosujemy politykę zero retencji danych (ZDR) oraz zakazu zbierania i wykorzystywania treści, opisaną w sekcji 6.1;
• Dostawcy infrastruktury inferencyjnej — jako podmioty dalszego przetwarzania podlegają warunkom powierzenia zawartym przez OpenRouter oraz tej samej polityce, wymuszanej przy każdym żądaniu; transfer na podstawie SCC;
• Cloudflare — DPA zawarta; transfer na podstawie SCC i/lub DPF (dane R2 hostowane w UE);
• Railway — DPA zawarta; transfer do USA na podstawie SCC;
• Turso — DPA zawarta (SOC 2 / HIPAA); dane hostowane w UE (Irlandia) z natywnym szyfrowaniem at-rest, więc nie występuje — lub występuje jedynie minimalny — transfer do państwa trzeciego;
• Telegram / Discord — kanały komunikacji działające według własnych regulaminów i polityk prywatności;
• Resend — DPA zawarta; SCC + DPF;
• GitHub (Microsoft) — DPA zawarta; SCC i/lub DPF;
• Google (logowanie Google i wyszukiwarka Google) — transfer do USA na podstawie Data Privacy Framework (DPF); Google LLC posiada aktywną certyfikację DPF (zob. rejestr dataprivacyframework.gov);
• Stripe — DPA zawarta; transfer do USA na podstawie SCC i/lub DPF.

6. Transfer danych poza Europejski Obszar Gospodarczy (EOG)

To kluczowa sekcja niniejszej Polityki. Świadczenie usługi wymaga przekazywania danych do państw trzecich.

6.1. Transfery do USA — wnioskowanie AI i pozostali dostawcy

Wszystkie wywołania modeli AI w usłudze — odpowiedzi Szefa AI w czacie, wiadomości proaktywne, przetwarzanie pamięci w tle, tworzenie wektorowych reprezentacji pamięci (embeddingi) oraz analiza załączników — realizuje jeden dostawca wnioskowania AI: OpenRouter (USA). OpenRouter nie hostuje modeli samodzielnie: każde żądanie kieruje do dostawcy infrastruktury, który je wykonuje i zwraca wynik. Dostawca ten wybierany jest osobno dla każdego żądania, a jego infrastruktura może znajdować się w USA lub w innym państwie trzecim.

Podstawą transferu danych do OpenRouter oraz do dostawców infrastruktury działających jako podmioty dalszego przetwarzania są standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Kopię stosowanych klauzul oraz aktualny wykaz wykorzystywanych podmiotów udostępnimy na żądanie (kontakt: hi@pocket.ceo).

Do każdego żądania kierowanego do modelu AI stosujemy niezmienną politykę routingu, wymuszaną po stronie naszej aplikacji:

• zero retencji danych (Zero Data Retention, ZDR) — żądanie może trafić wyłącznie do dostawcy infrastruktury zobowiązanego do nieprzechowywania przekazanych treści poza czasem niezbędnym do wykonania żądania;
• zakaz zbierania i wykorzystywania treści — żądanie może trafić wyłącznie do dostawcy zobowiązanego do niegromadzenia przekazanych treści i niewykorzystywania ich do własnych celów, w tym do trenowania ani dostrajania modeli;
• wyłączenie usług dodatkowych routera — żądanie nie jest wzbogacane ani przetwarzane przez usługi poboczne dostawcy.

Polityka ta stanowi element kodu aplikacji i nie może zostać osłabiona przez pojedyncze wywołanie: żądania, którego nie da się nią objąć, aplikacja nie wysyła. Jeżeli dla danego modelu nie istnieje dostawca infrastruktury spełniający te warunki, żądanie kończy się błędem — nie jest obsługiwane na słabszych zasadach.

Dla rzetelności wskazujemy granicę tego mechanizmu: kwalifikacja poszczególnych dostawców infrastruktury jako spełniających powyższe warunki pochodzi od operatora routera i opiera się na zobowiązaniach złożonych przez tych dostawców, a nie na naszej odrębnej weryfikacji każdego z nich. Mechanizm ten zawęża krąg odbiorców do tych, którzy takie zobowiązania złożyli — nie zastępuje natomiast ich własnej odpowiedzialności za ich dotrzymanie.

Zwracamy uwagę, że powyższe środki ograniczają, lecz nie eliminują ryzyka związanego z możliwością dostępu organów publicznych USA do danych w trakcie ich przetwarzania, i nie stanowią decyzji stwierdzającej odpowiedni stopień ochrony w rozumieniu art. 45 RODO. Inferencja modeli językowych wymaga przetwarzania treści jawnym tekstem po stronie dostawcy wykonującego żądanie.

Wyszukiwanie internetowe realizuje wyszukiwarka Google (USA) — trafia do niej wyłącznie treść zapytania wyszukiwania ułożonego przez model, bez transkryptów, pamięci Szefa AI i danych konta. Podstawą transferu jest Data Privacy Framework (DPF) — Google LLC posiada aktywną certyfikację. Wyszukiwanie nie jest objęte opisaną wyżej polityką zero retencji — działa według warunków usługi Google.

Pozostali dostawcy z infrastrukturą w USA opierają transfer na następujących mechanizmach:

• Google — Data Privacy Framework (DPF) UE–USA: Google LLC posiada aktywną certyfikację DPF (https://policies.google.com/privacy/frameworks);
• Stripe — SCC i/lub DPF;
• Resend — SCC + DPF; dane konta Resend są przechowywane w USA. Skonfigurowany region wysyłki eu-west-1 dotyczy infrastruktury wysyłającej i nie zapewnia rezydencji danych konta w UE;
• GitHub (Microsoft) — DPA zawarta; SCC i/lub DPF;
• Cloudflare — SCC i/lub DPF; bucket przechowujący załączniki hostowany jest w UE, a pomiar oglądalności witryny działa w centrach danych Cloudflare w USA i w Europie.

Przetwarzanie i przechowywanie w UE. Odizolowane dane poszczególnych użytkowników oraz baza platformowa (Turso) są hostowane w Unii Europejskiej (Irlandia) — przechowywanie danych w warstwie bazy danych nie wiąże się z transferem do państwa trzeciego. Załączniki przechowywane są w buckecie Cloudflare R2 w Unii Europejskiej. Aplikacja serwerowa (API) działa u dostawcy hostingu w regionie unijnym. Dostawcy tych warstw mają jednak siedzibę w USA i mogą uzyskać dostęp do danych w ramach obsługi i utrzymania usługi, dlatego podstawą transferu pozostają standardowe klauzule umowne (SCC).

6.2. Przetwarzanie pamięci w tle

Przetwarzanie pamięci w tle — konsolidacja i przetwarzanie Twojej pamięci (w tym ekstrakcja generowanej pamięci z Twoich rozmów) oraz tworzenie wektorowych reprezentacji treści pamięci, umożliwiających wyszukiwanie powiązanych informacji — odbywa się w ten sam sposób i u tego samego dostawcy wnioskowania AI, co interaktywny czat, na tych samych zasadach zero retencji i zakazu zbierania danych. Oznacza to, że w ramach przetwarzania pamięci w tle do modelu AI przekazywana jest treść transkryptów i pamięci — nie tylko reprezentacje wektorowe.

6.3. Trening modeli na Twoich treściach

Treści przekazywane do wnioskowania AI — rozmowy, pamięć, zadania i załączniki — nie są wykorzystywane do trenowania ani dostrajania (fine-tuningu) modeli AI. Operator routera zobowiązuje się nie wykorzystywać ich do trenowania modeli, a opisana w sekcji 6.1 polityka, wymuszana przy każdym żądaniu, zawęża krąg dostawców infrastruktury do tych, którzy złożyli takie samo zobowiązanie; żądania, którego nie da się nią objąć, nie wysyłamy.

W zakresie pozostałych odbiorców obowiązują zasady opisane w ich regulaminach i umowach powierzenia. Do wyszukiwarki Google nie przekazujemy transkryptów rozmów, pamięci Szefa AI ani danych konta — trafia do niej wyłącznie treść pojedynczego zapytania.

7. Pliki cookie i analityka

Szczegółowy wykaz plików cookie znajduje się w Polityce cookies. W skrócie:

• cookie sesji uwierzytelniającej (better-auth.session_token, first-party) oraz krótkotrwałe cookie techniczne przepływu logowania OAuth — niezbędne do zalogowania i utrzymania sesji; nie wymagają zgody (cookies techniczne).
• żadnych cookies analitycznych — oglądalność witryny mierzymy bez cookies: niczego nie zapisujemy na Twoim urządzeniu ani niczego z niego nie odczytujemy, nie stosujemy fingerprintingu i nie śledzimy Cię w czasie. Pomiar działa wyłącznie na wybranych publicznych stronach, nigdy w części dostępnej po zalogowaniu, a realizuje go Cloudflare jako nasz podmiot przetwarzający (sekcja 5). Podstawa: nasz prawnie uzasadniony interes polegający na prowadzeniu zbiorczych statystyk (art. 6 ust. 1 lit. f RODO).

8. Okres przechowywania danych (retencja)

Automatyczne porządkowanie pamięci obejmuje wyłącznie rekordy pamięci generowane przez system i nie usuwa transkryptów rozmów.

9. Profilowanie i automatyczne decyzje

Aby Szef AI mógł pełnić swoją rolę, buduje on na podstawie Twojej pamięci trwały profil użytkownika oraz analizuje Twoje zachowania, zobowiązania i postępy, aby dostosować ton, treść i proaktywne wiadomości. Stanowi to profilowanie w rozumieniu RODO.

Znaczenie i konsekwencje: profilowanie służy personalizacji wsparcia (accountability, coaching, przypomnienia) i wpływa na to, jak Szef AI się z Tobą komunikuje oraz kiedy inicjuje kontakt.

Brak decyzji w pełni zautomatyzowanych wywołujących skutki prawne: usługa nie podejmuje wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały w rozumieniu art. 22 RODO. Odpowiedzi i powiadomienia AI mają charakter wspierający i informacyjny.

Twoje prawa: ponieważ pamięć i profil Szefa AI są niezbędne do świadczenia zamówionej usługi (art. 6 ust. 1 lit. b RODO), kontrolę nad profilowaniem zapewniamy przede wszystkim przez możliwość wyczyszczenia całej pamięci Szefa AI albo usunięcia konta (co usuwa powiązaną pamięć) — w ramach prawa do usunięcia (art. 17 RODO). Możesz także skorzystać z pozostałych praw, w tym zażądać usunięcia danych, kontaktując się z nami (zob. sekcja 10). Prawo sprzeciwu (art. 21 RODO) przysługuje Ci natomiast wobec przetwarzania opartego na prawnie uzasadnionym interesie (bezpieczeństwo usługi, zapobieganie nadużyciom).

10. Twoje prawa

Przysługują Ci następujące prawa wynikające z RODO:

• Prawo dostępu do danych (art. 15);
• Prawo do sprostowania danych (art. 16);
• Prawo do usunięcia danych — „prawo do bycia zapomnianym” (art. 17);
• Prawo do ograniczenia przetwarzania (art. 18);
• Prawo do przenoszenia danych (art. 20) — w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego;
• Prawo do sprzeciwu wobec przetwarzania, w tym profilowania, opartego na prawnie uzasadnionym interesie (art. 21);
• Prawo do wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania przed wycofaniem) — tam, gdzie podstawą jest zgoda;
• Prawo wniesienia skargi do organu nadzorczego — w Polsce: Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

Jak skorzystać z praw: skieruj żądanie na adres e-mail wskazany w sekcji 1. Odpowiemy bez zbędnej zwłoki, w terminie do jednego miesiąca od otrzymania żądania; w razie skomplikowania sprawy lub liczby żądań termin może zostać przedłużony o kolejne dwa miesiące, o czym Cię poinformujemy.

Usunięcie konta: po usunięciu konta dane konta są kaskadowo usuwane, a wszystkie odizolowane dane Użytkownika są usuwane z infrastruktury Turso. Załączniki przechowywane w Cloudflare R2 są usuwane. Treści przekazane wcześniej do wnioskowania AI nie wymagają odrębnego usuwania: polityka opisana w sekcji 6.1 dopuszcza wykonanie żądania wyłącznie przez dostawcę zobowiązanego do zera retencji, więc treści te nie są przechowywane po stronie dostawcy poza czasem obsługi pojedynczego żądania.

Eksport / przenoszenie danych: możesz zażądać kopii wszystkich swoich danych — transkryptów, pamięci Szefa AI, zadań, projektów, proaktywnych wiadomości oraz danych konta — kontaktując się pod adresem hi@pocket.ceo. Kopia jest udostępniana w powszechnie używanym formacie nadającym się do odczytu maszynowego w terminie jednego miesiąca od zgłoszenia żądania.

11. Bezpieczeństwo danych (art. 32 RODO)

Stosujemy m.in. następujące środki techniczne i organizacyjne:

• Izolacja danych poszczególnych użytkowników — dane każdego użytkownika są odizolowane; w danych jednego użytkownika nie ma danych innych użytkowników;
• Lokalizacja baz danych w UE — bazy danych hostowane są w Unii Europejskiej (Irlandia), bez transferu danych warstwy bazy do państwa trzeciego;
• Zero retencji u dostawców AI, wymuszane w kodzie — każde żądanie do modelu AI opatrzone jest polityką zera retencji danych (ZDR) oraz zakazu zbierania i wykorzystywania treści; żądania, którego nie da się nią objąć, aplikacja nie wysyła (zob. sekcja 6.1);
• Zarządzanie sesją — sesje wygasają po określonym czasie lub przy wylogowaniu;
• Walidacja i filtrowanie treści użytkownika;
• Kontrola dostępu do konfiguracji i danych poufnych aplikacji;
• Minimalizacja logowania treści i danych wrażliwych;
• Uwierzytelnianie integracji z komunikatorem;
• transmisja danych zabezpieczona protokołem TLS;
• Szyfrowanie danych w spoczynku (at-rest) — przechowywane dane są domyślnie szyfrowane po stronie Cloudflare R2 oraz Turso.

12. Korzystanie z usługi przez osoby niepełnoletnie

Usługa nie jest skierowana do osób, które nie ukończyły 18. roku życia, i nie zbieramy świadomie danych takich osób. Jeżeli poweźmiemy informację, że dane osoby poniżej wymaganego wieku zostały nam przekazane bez wymaganej podstawy, usuniemy je bez zbędnej zwłoki.

13. Użytkownicy z Kalifornii / USA

Usługa jest kierowana również do użytkowników w Stanach Zjednoczonych, w tym do mieszkańców Kalifornii. Poniższa sekcja opisuje prawa przysługujące mieszkańcom Kalifornii na podstawie kalifornijskiej ustawy o ochronie prywatności konsumentów (California Consumer Privacy Act, CCPA), zmienionej ustawą California Privacy Rights Act (CPRA).

Zakres. Sekcja ta ma zastosowanie do mieszkańców stanu Kalifornia. W zakresie, w jakim pojęcia CCPA/CPRA odpowiadają kategoriom opisanym w pozostałej części niniejszej Polityki, poniższe ujawnienia odzwierciedlają to samo przetwarzanie.

Kategorie zebranych danych osobowych:

• identyfikatory — dane konta, adres e-mail, identyfikator u dostawcy logowania (GitHub lub Google), identyfikator i nazwa użytkownika w powiązanym komunikatorze (Telegram lub Discord);
• treści użytkownika — rozmowy (transkrypty), pamięć AI, zadania, projekty, załączniki;
• dane o korzystaniu / analityczne — dane techniczne i analityka witryny pocket.ceo;
• dane płatnicze / rozliczeniowe — przetwarzane za pośrednictwem Stripe (dane karty płatniczej przetwarza wyłącznie Stripe);
• dane transakcyjnych wiadomości e-mail — adres e-mail odbiorcy, treść wiadomości dotyczącej cyklu życia Konta (w stosownych przypadkach wraz z datą zakończenia Okresu próbnego) oraz identyfikatory zdarzenia domenowego/idempotencji przetwarzane przez Resend.

Źródła danych:

• bezpośrednio od Ciebie (treści, które wprowadzasz, oraz dane podane przy rejestracji);
• automatycznie w wyniku korzystania z usługi (dane techniczne, analityczne);
• od dostawcy uwierzytelniania — GitHub lub Google (przepływ OAuth).

Cele biznesowe i handlowe przetwarzania: świadczenie usługi (w tym transakcyjne wiadomości dotyczące Konta), bezpieczeństwo, analityka oraz rozliczanie płatności.

Kategorie odbiorców (dostawcy usług i kanał komunikacji). Dane osobowe ujawniamy następującym odbiorcom: dostawcy wnioskowania AI OpenRouter oraz wybieranym przez niego dostawcom infrastruktury inferencyjnej; wyszukiwarce Google; dostawcy baz danych Turso; Cloudflare (magazyn plików, hosting witryny oraz pomiar jej oglądalności bez cookies); Railway (hosting aplikacji serwerowej); kanałom komunikacji Telegram i Discord; dostawcy e-mail Resend; dostawcom logowania GitHub i Google oraz procesorowi płatności Stripe (pełny opis ról i lokalizacji — zob. sekcja 5).

Sprzedaż / udostępnianie (sale / sharing). NIE sprzedajemy danych osobowych za wynagrodzenie pieniężne. Nie „udostępniamy” ich też (sharing) na potrzeby reklamy behawioralnej w wielu kontekstach (cross-context behavioral advertising) w rozumieniu CCPA — witryna nie używa cookies reklamowych ani analitycznych, a pomiar jej oglądalności nie śledzi Cię pomiędzy serwisami ani w czasie.

Twoje prawa (mieszkańcy Kalifornii):

• prawo do informacji / dostępu — do kategorii i konkretnych elementów zebranych danych;
• prawo do usunięcia danych osobowych;
• prawo do sprostowania nieprawidłowych danych;
• prawo rezygnacji ze sprzedaży lub udostępniania danych osobowych (opt-out of sale/sharing);
• prawo do ograniczenia wykorzystania wrażliwych danych osobowych (limit use of sensitive personal information);
• prawo do niedyskryminacji za skorzystanie z powyższych praw.

Jak skorzystać z praw. Żądanie możesz złożyć, pisząc na adres hi@pocket.ceo (oraz, tam gdzie jest to dostępne, korzystając z odpowiednich kontroli w aplikacji). Odpowiemy w terminie 45 dni (z możliwością przedłużenia zgodnie z przepisami). Żądania mogą być składane także przez upoważnionego pełnomocnika (authorized agent) działającego w Twoim imieniu.

Więcej informacji o prawach konsumentów Kalifornii: kalifornijska prokuratura generalna (California Attorney General), https://oag.ca.gov/privacy/ccpa.

14. Zmiany Polityki prywatności

Możemy aktualizować niniejszą Politykę, w szczególności w razie zmiany przepisów, zakresu usługi, dostawców (subprocesorów) lub względów bezpieczeństwa. O istotnych zmianach poinformujemy w sposób odpowiedni do charakteru zmiany (np. komunikat w aplikacji lub wiadomość e-mail), z odpowiednim wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod adresem https://pocket.ceo/pl/legal/privacy-policy.

15. Kontakt

We wszelkich sprawach dotyczących ochrony danych osobowych skontaktuj się z nami pod adresem: hi@pocket.ceo.