Polityka prywatności

1. Administrator danych

Administrator: [UZUPEŁNIJ: pełna nazwa firmy / imię i nazwisko JDG, adres siedziby, NIP, REGON]
Email kontaktowy: kontakt@zusia.pl [UZUPEŁNIJ]
Email IOD / DPO: iod@zusia.pl [UZUPEŁNIJ — jeśli powołany]
Strona: https://zusia.pl

[PL] Administrator decyduje o celach i środkach przetwarzania danych. Dla zapytań RODO użyj powyższych adresów.

2. Jakie dane zbieramy

Kategoria	Przykłady	Źródło
Konto	email, hash hasła, data rejestracji, status weryfikacji	formularz rejestracji
Treść czatu	pytania i odpowiedzi z AI — mogą zawierać dane o dochodach, formie JDG, liczbie pracowników. NIE podawaj PESEL, nr konta, pełnych danych firmy w czacie.	wiadomości użytkownika
Logi techniczne	IP, user-agent, timestamp, error	serwer
Cookies	zus_access (15 min), zus_refresh (30 dni), zus_lang, anon_id (limit 3 pytań / sesja gościa)	cookies httpOnly

3. Cele i podstawy prawne (RODO art.6)

6.1.b — wykonanie umowy: założenie konta, prowadzenie historii czatu, autoryzacja — świadczymy usługę czatu AI.
6.1.f — prawnie uzasadniony interes: bezpieczeństwo (zapobieganie nadużyciom), analityka zagregowana, rozwijanie produktu, obrona roszczeń.
6.1.a — zgoda: analityczne cookies, newsletter (jeśli zapiszesz). Możesz wycofać w każdej chwili w /cookies.
6.1.c — obowiązek prawny: faktury, księgowość [jeśli płatny plan].

Nie profilujemy do podejmowania zautomatyzowanych decyzji wywołujących skutki prawne (art.22). AI jest narzędziem wspomagającym, nie decyduje zamiast Ciebie.

4. Odbiorcy i transfer poza EOG

Procesory:

OpenAI OpCo, LLC (USA, model gpt-4o-mini) — treść zapytania do AI. Podstawa: Data Processing Addendum, EU-US Data Privacy Framework + SCC. [UZUPEŁNIJ DPA status]
Vercel / Railway — hosting front i API (EU/US) [UZUPEŁNIJ]
Resend / SMTP — wysyłka email weryfikacyjnych (USA/EU)
Postgres (Railway/self-host) — baza danych

Transfer do USA istnieje — z powodu OpenAI. Robimy pseudonimizację: nie wysyłamy emaila użytkownika do OpenAI, tylko treść pytania. Możesz używać czatu anon (5 pytań) bez konta.

5. Okres przechowywania

Konto: do usunięcia konta na żądanie / 3 lata nieaktywności
Historia czatów: 12 miesięcy od ostatniej wiadomości, potem anonimizacja / usunięcie [UZUPEŁNIJ]
Logi: 6 miesięcy
Faktury: 5 lat (obowiązek podatkowy)
Cookies analityczne: wg ustawień przeglądarki, max 13 miesięcy (zgoda)

6. Twoje prawa (RODO art.15-21)

Masz prawo: dostępu, sprostowania, usunięcia (bycia zapomnianym), ograniczenia, sprzeciwu, przenoszenia danych, wycofania zgody. Jak skorzystać: wyślij email na iod@zusia.pl / kontakt@zusia.pl z tematem RODO. Odpowiadamy w 30 dni. Szczegóły na /gdpr. Skarga: do Prezesa UODO (uodo.gov.pl).

7. Bezpieczeństwo

TLS, httpOnly cookies (brak dostępu JS), hash argon2 dla haseł, rate limiting anon 10 req, walidacja promptów. Źródła bazy wiedzy: ZUS.pl, ISAP/ELI, podatki.gov.pl — cytujemy źródło. Zobacz /security. Nie trenujemy modeli OpenAI na Twoich danych (API opt-out).

8. AI Act — przejrzystość

Zusia to system AI klasyfikowany jako limited risk (AI Act art.50). Każda odpowiedź jest oznaczona AI • To nie jest porada prawna. Zobacz /ai-disclaimer.

9. Zmiany polityki

Powiadomimy na stronie / email jeśli masz konto, min 14 dni przed zmianą istotną. Historia wersji w repo.

EN (informational)

Controller: [FILL: legal name, address, VAT ID] — contact: kontakt@zusia.pl / DPO: iod@zusia.pl

We process account email, chat content (may contain income/JDG info — don't share PESEL/ID), logs, necessary httpOnly cookies (zus_access 15m, zus_refresh 30d, zus_lang, anon_id). Purposes: contract (art.6.1.b), legit interest (6.1.f security), consent (6.1.a analytics). Recipients: OpenAI USA (DPF+SCC, query text only), Vercel/Railway hosting, email provider. Retention: account until deletion, chat 12 months. Rights: access/rectify/delete/object/portability. Complaint: PUODO/UODO. AI: limited risk, not legal/tax advice — verify sources. See /security, /ai-disclaimer.

Polityka prywatności / Privacy Policy