Polityka Prywatności
Data wejścia w życie: 28 lipca 2026 · Ostatnia aktualizacja: 14 października 2026 (v0.7)
This document is provided in Polish, its governing language. English translation: Privacy Policy (English). Questions: privacy@aideasflow.com.
1. Kto jest administratorem Twoich danych
Administratorem danych osobowych jest Aideasflow sp. z o.o. z siedzibą w [adres — po rejestracji spółki], wpisana do rejestru przedsiębiorców KRS pod numerem [KRS], NIP [NIP] („Aideasflow", „my").
Kontakt w sprawach ochrony danych: privacy@aideasflow.com
Polityka dotyczy strony aideasflow.com oraz platformy Aideasflow we wszystkich jej wersjach: beta.aideasflow.ai (wersja beta) i dev.aideasflow.ai (wersja rozwojowa). Tam, gdzie wersje platformy działają inaczej, piszemy o tym wprost.
Dwie role, w których przetwarzamy dane:
- Jesteśmy administratorem danych osób odwiedzających nasze strony (aideasflow.com, aideasflow.ai), osób kontaktujących się z nami, kontaktów biznesowych oraz danych rozliczeniowych i kontowych naszych klientów.
- Jesteśmy podmiotem przetwarzającym (procesorem) w odniesieniu do danych pracowników firm korzystających z platformy Aideasflow. W tym zakresie administratorem jest pracodawca (nasz klient), a my przetwarzamy dane na jego udokumentowane polecenie, na podstawie umowy powierzenia przetwarzania (DPA). Z pytaniami o dane przetwarzane w ramach konta firmowego (np. treść zgłaszanych pomysłów) należy zwracać się w pierwszej kolejności do swojego pracodawcy; udzielimy mu niezbędnego wsparcia.
2. Jakie dane zbieramy
Dane podawane bezpośrednio:
- dane konta: adres e-mail, wyświetlana nazwa, rola w organizacji, firma; jeżeli logujesz się kontem Google lub Microsoft — także dane profilu przekazywane przez tego dostawcę (imię i nazwisko, zdjęcie profilowe, identyfikator konta u dostawcy); Twoją wyświetlaną nazwę i zdjęcie profilowe widzą inni użytkownicy Twojej organizacji (np. przy pomysłach i w czacie firmowym);
- treści wprowadzane do platformy: zgłaszane pomysły/usprawnienia, komentarze, opisy problemów, załączniki, a także deklaracje związane z pomysłami (np. zadeklarowany czas realizacji, szacowane oszczędności);
- treść rozmów z asystentem AI (coachem): Twoje wiadomości i odpowiedzi asystenta zapisujemy, aby rozmowa zachowywała kontekst i abyśmy mogli dbać o jakość funkcji AI (okres przechowywania — sekcja 7); możesz też dobrowolnie ocenić lub skomentować odpowiedź asystenta;
- czat firmowy: treść wiadomości wymienianych z innymi użytkownikami Twojej organizacji (wiadomości bezpośrednie oraz wspólne wątki dotyczące pomysłu lub tematu), czas wysłania oraz — opcjonalnie — tytuł pomysłu, którego dotyczy wiadomość, a jeżeli Twoja organizacja korzysta z programu nagród — także napiwek przyznany za wiadomość (kwota i osoba, która go przyznała); wiadomości bezpośrednie widzą wyłącznie ich uczestnicy, a wątki pomysłu lub tematu — osoby z Twojej organizacji mające dostęp do danego pomysłu lub tematu; treść czatu nie jest obecnie wykorzystywana przez funkcje AI; okres przechowywania — sekcja 7;
- komunikacja wewnętrzna ról uprawnionych: krótkie zapytania i odpowiedzi wymieniane między działem HR a managerem w celu doprecyzowania wniosku o nagrodę użytkownika; dotyczą one nagrodzonego użytkownika, ale nie są widoczne w jego widoku aplikacji (dostęp mają wyłącznie uprawnione role HR/manager); podlegają prawom z RODO realizowanym za pośrednictwem pracodawcy (administratora) — okres przechowywania w sekcji 7;
- dane kontaktowe przekazane w formularzach, e-mailach, przy rezerwacji prezentacji w kalendarzu online lub w procesie sprzedażowym (imię, nazwisko, firma, stanowisko, e-mail, telefon);
- dane rozliczeniowe klientów (dane do faktury).
Dane tworzone w platformie:
- program rozwoju i nagród (jeżeli Twoja organizacja z niego korzysta): punkty, odznaki, postęp misji, pasy kompetencji, naliczone nagrody i napiwki, saldo, wnioski o wypłatę lub wydanie nagrody oraz decyzje w ich sprawie; część z nich platforma wylicza automatycznie na podstawie Twojej aktywności (np. zgłoszonych i wdrożonych pomysłów, korzystania z asystenta AI) według reguł ustawionych przez Twojego pracodawcę — sekcja 4;
- zapis diagnostyczny wywołań funkcji AI: co zostało wysłane do modelu AI i co model odpowiedział — sekcja 4.
Dane zbierane automatycznie:
- podstawowe logi techniczne (adres IP, typ przeglądarki, znaczniki czasu, zdarzenia bezpieczeństwa) — niezbędne do działania i bezpieczeństwa usługi;
- kraj ustalony na podstawie adresu IP — tylko wtedy, gdy przeglądarka nie wskazuje języka polskiego ani angielskiego, i wyłącznie po to, by wybrać język interfejsu (dla Polski — polski, dla innych krajów — angielski); kodu kraju nie zapisujemy w naszej bazie danych ani nie łączymy z Twoim kontem (szczegóły w Polityce Cookies);
- rejestr urządzeń konta: przy logowaniu zapisujemy losowy identyfikator urządzenia (nadawany przez nas i przechowywany w Twojej przeglądarce — nie jest to identyfikator sprzętowy ani „odcisk palca" urządzenia), typ przeglądarki/systemu, czas pierwszego i ostatniego logowania, nadaną przez Ciebie nazwę urządzenia oraz adres IP ostatniego logowania. Cel: konto jest imienne — ograniczamy liczbę urządzeń korzystających jednocześnie z jednego konta i dbamy o bezpieczeństwo kont. Listę swoich urządzeń widzisz w profilu i możesz każde z nich samodzielnie wycofać. Administrator konta firmowego (Twój pracodawca) widzi listę urządzeń użytkowników swojej organizacji bez adresów IP; adres IP jest dostępny wyłącznie upoważnionemu personelowi Aideasflow;
- dane o użyciu funkcji platformy w zakresie potrzebnym do świadczenia usługi i rozliczeń;
- pliki cookies i podobne technologie — szczegóły w Polityce Cookies.
Certyfikat pasa kompetencji: po przyznaniu pasa platforma tworzy certyfikat z losowym kodem weryfikacyjnym (link lub kod QR). Każdy, komu udostępnisz ten kod, zobaczy na stronie weryfikacji Twoją wyświetlaną nazwę, nazwę pasa, nazwę Twojej firmy i datę przyznania — bez adresu e-mail. Kod udostępniasz wyłącznie Ty; bez niego strona weryfikacji nie pokazuje żadnych danych (sekcje 5 i 7).
Nie kierujemy usługi do dzieci i świadomie nie zbieramy danych osób poniżej 16 roku życia.
3. Cele i podstawy prawne przetwarzania
| Cel | Zakres danych | Podstawa prawna (RODO) |
|---|---|---|
| Założenie i obsługa konta, świadczenie usługi | dane konta, treści w platformie | art. 6 ust. 1 lit. b (umowa) — wobec klientów; w zakresie danych pracowników działamy jako procesor na polecenie pracodawcy (art. 28) |
| Funkcje AI (analiza i coaching pomysłów) | treść zgłaszanych pomysłów, kontekst organizacyjny | jak wyżej — element świadczonej usługi; zob. sekcja 4 |
| Wyjaśnianie błędów i kontrola jakości funkcji AI | zapis diagnostyczny wywołań AI (treść wysłana do modelu i odpowiedź), oceny odpowiedzi AI | w zakresie danych pracowników — jako procesor na polecenie pracodawcy (art. 28), w ramach utrzymania jakości i bezpieczeństwa usługi; zob. sekcja 4 |
| Program rozwoju i nagród | punkty, odznaki, postęp misji, pasy, naliczone nagrody i napiwki, saldo, wnioski o wypłatę | program prowadzi pracodawca — my działamy jako procesor na jego polecenie (art. 28); zob. sekcja 4 i Regulamin §2 ust. 4 |
| Rozliczenia i faktury | dane rozliczeniowe | art. 6 ust. 1 lit. c (obowiązek prawny — przepisy podatkowe/rachunkowe) |
| Bezpieczeństwo usługi, logi, zapobieganie nadużyciom | logi techniczne, IP | art. 6 ust. 1 lit. f (uzasadniony interes — bezpieczeństwo) |
| Dobór języka interfejsu przy pierwszym wejściu | kraj ustalony na podstawie adresu IP | art. 6 ust. 1 lit. f (uzasadniony interes — wyświetlenie usługi w zrozumiałym dla Ciebie języku) |
| Egzekwowanie limitu urządzeń na koncie — konto jest imienne, zapobiegamy współdzieleniu jednego konta przez wiele osób | rejestr urządzeń konta (identyfikator, typ przeglądarki, czasy logowań, IP) | art. 6 ust. 1 lit. f (uzasadniony interes — egzekwowanie warunków licencyjnych i bezpieczeństwo kont); przysługuje Ci sprzeciw (art. 21 — sekcja 8) |
| Kontakt handlowy, CRM, odpowiedzi na zapytania (w tym umówienie prezentacji) | dane kontaktowe | art. 6 ust. 1 lit. f (uzasadniony interes) lub lit. b (działania przed zawarciem umowy) |
| Rezerwacja prezentacji w kalendarzu online (strona aideasflow.com/demo): wyświetlenie i zabezpieczenie kalendarza, rezerwacja terminu, utworzenie spotkania w Microsoft Teams i wysłanie zaproszenia e-mailem; za Twoją zgodą — statystyka wyświetleń kalendarza w naszym koncie HubSpot | imię, nazwisko, e-mail, wybrany termin; przy wyświetleniu kalendarza — adres IP i dane techniczne przeglądarki (zob. sekcja 5 i Polityka Cookies) | art. 6 ust. 1 lit. b (działania podejmowane na Twoje żądanie przed zawarciem umowy) oraz lit. f (uzasadniony interes — udostępnienie i zabezpieczenie kalendarza); statystyka wyświetleń oraz zebranie i przekazanie danych technicznych do HubSpot przez kod analityczny w oknie kalendarza — art. 6 ust. 1 lit. a (zgoda wyrażona kliknięciem „Show calendar”; możesz ją wycofać, zamykając lub odświeżając stronę) |
| Newsletter / komunikacja marketingowa | art. 6 ust. 1 lit. a (zgoda) — możesz ją wycofać w każdej chwili | |
| Dochodzenie i obrona roszczeń | dane umowne i rozliczeniowe | art. 6 ust. 1 lit. f (uzasadniony interes) |
Nie przetwarzamy szczególnych kategorii danych (art. 9) i prosimy o niewprowadzanie ich do platformy.
4. Jak działają funkcje AI
Platforma wykorzystuje modele językowe (LLM) zewnętrznych dostawców do analizy i doskonalenia zgłaszanych pomysłów (np. podpowiedzi jakościowe, analiza dla menedżera, weryfikacja raportu z wdrożenia). Oznacza to, że treść pomysłu i niezbędny kontekst są przesyłane do dostawcy modelu AI działającego jako nasz podprocesor. Kontekst może obejmować m.in. dział i kategorię autora pomysłu, nazwy załączników, cele Twojej organizacji i wcześniejsze wiadomości z rozmowy, a przy weryfikacji raportu z wdrożenia — także treść małych załączników tekstowych (np. CSV, TXT). Dostawcy modeli:
- Anthropic (modele Claude — przetwarzanie w USA),
- Google Cloud (modele Gemini udostępniane przez usługę Vertex AI — przetwarzanie w regionie UE) — w wersji rozwojowej platformy (dev.aideasflow.ai),
- Google (modele Gemini udostępniane przez Gemini API — dane mogą być przetwarzane także poza UE, m.in. w USA) — w wersji beta platformy (beta.aideasflow.ai).
Korzystamy z płatnych, komercyjnych API tych dostawców. Zgodnie z ich warunkami dane przesyłane przez API nie są wykorzystywane do trenowania modeli (Anthropic Commercial Terms; Google Cloud Service Specific Terms — Vertex AI; Gemini API Additional Terms of Service — usługi płatne). Google może przez ograniczony czas przechowywać zapytania i odpowiedzi Gemini API wyłącznie w celu wykrywania naruszeń zasad korzystania z usługi.
Zapisujemy przebieg rozmów z asystentem AI (Twoje wiadomości i odpowiedzi asystenta) po to, by rozmowa zachowywała kontekst przy kolejnych pytaniach oraz byśmy mogli weryfikować jakość i rozliczalność funkcji AI. Transkrypty przechowujemy w wydzielonej, chronionej części bazy przez ograniczony czas (sekcja 7), po czym je usuwamy. Rejestr techniczny wywołań AI zawiera wyłącznie metadane (np. liczbę tokenów) — bez treści.
Zapis diagnostyczny wywołań AI. Dla każdego wywołania funkcji AI przez 30 dni przechowujemy zapis diagnostyczny: co zostało wysłane do modelu, co model odpowiedział i z jakimi ustawieniami technicznymi. Służy on do wyjaśniania błędów i kontroli jakości odpowiedzi AI. Do treści tych zapisów mają dostęp wyłącznie upoważnione osoby z zespołu Aideasflow, logujące się z uwierzytelnianiem dwuskładnikowym; każde otwarcie zapisu jest rejestrowane. Upoważnione osoby mogą też oceniać jakość odpowiedzi AI — komentarz do oceny usuwamy razem z zapisem, którego dotyczy, a zostaje wyłącznie ocena liczbowa, bez treści rozmowy.
W wersji beta platformy (beta.aideasflow.ai), jeżeli Twoja organizacja włączy podpowiadanie podobnych pomysłów, treść pomysłów tej organizacji (tytuł, opis problemu i rozwiązania) jest przetwarzana przez Gemini API na indeks wyszukiwania (tzw. embeddingi). Indeks służy wyłącznie do podpowiedzi w tej samej organizacji.
Wyniki AI mają charakter pomocniczy (sugestie, analizy) — nie podejmujemy wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne (art. 22 RODO). Decyzje dotyczące pomysłów podejmują ludzie (przełożeni / rola menedżerska u klienta).
Program rozwoju i nagród. Punkty, postęp misji, niektóre pasy kompetencji (np. pierwszy pas po ukończeniu misji wprowadzających) oraz związane z nimi bonusy platforma nalicza automatycznie według stałych reguł ustawionych przez Twojego pracodawcę — bez udziału AI. Wypłatę lub wydanie nagrody zawsze zatwierdza człowiek po stronie pracodawcy. Program prowadzi pracodawca i odpowiada za jego zasady — możesz poprosić go o wyjaśnienie reguł i o sprawdzenie naliczenia przez człowieka.
5. Komu udostępniamy dane (odbiorcy)
Korzystamy z usług podmiotów przetwarzających działających na nasze zlecenie:
| Dostawca | Rola | Lokalizacja przetwarzania |
|---|---|---|
| Supabase | baza danych, uwierzytelnianie, przechowywanie plików, funkcje serwerowe | UE — Frankfurt (eu-central-1; wersja beta platformy, beta.aideasflow.ai) i Irlandia (eu-west-1); wersja rozwojowa platformy (dev.aideasflow.ai) — Wielka Brytania, Londyn (eu-west-2) |
| Vercel | hosting aplikacji i strony | UE/USA |
| Resend | wysyłka e-maili transakcyjnych (np. zaproszenia) | USA |
| Anthropic | funkcje AI (Claude) | USA |
| Google Cloud | funkcje AI (Vertex AI) — wersja rozwojowa platformy (dev.aideasflow.ai) | UE (Warszawa — europe-central2; lokalizacja wieloregionalna UE) |
| funkcje AI (Gemini API) — wersja beta platformy (beta.aideasflow.ai) | państwa, w których Google lub jego podwykonawcy mają infrastrukturę, w tym USA | |
| HubSpot | CRM, kontakt handlowy, obsługa formularzy strony (newsletter, prośba o prezentację) oraz kalendarza rezerwacji prezentacji (HubSpot Meetings na stronie aideasflow.com/demo) | UE (hosting danych CRM w UE); część danych technicznych z okna kalendarza — także USA |
| Microsoft | firmowa poczta, kalendarz i spotkania online (Microsoft 365, Teams) — w tym spotkanie tworzone przy rezerwacji prezentacji | UE |
Logowanie kontem Google lub Microsoft. Jeżeli wybierzesz logowanie kontem Google lub Microsoft, ten dostawca — na Twoje żądanie — przekazuje nam dane profilu opisane w sekcji 2. Dostawca logowania nie jest naszym podmiotem przetwarzającym: za Twoje konto u siebie odpowiada jako odrębny administrator, na zasadach własnej polityki prywatności.
HubSpot jako odrębny administrator. Po kliknięciu „Show calendar” na stronie aideasflow.com/demo w oknie kalendarza rezerwacji uruchamia się kod śledzący HubSpot, który zbiera dane techniczne, m.in. adres IP i identyfikatory internetowe. Zgodnie ze swoją polityką prywatności HubSpot wykorzystuje takie dane także do własnych celów (m.in. rozwoju swoich produktów) jako odrębny administrator. Za zebranie tych danych w oknie osadzonym na naszej stronie i ich przekazanie do HubSpot — na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO) — odpowiadamy razem z HubSpot; za ich dalsze wykorzystanie do celów HubSpot odpowiada HubSpot. Szczegóły techniczne: Polityka Cookies. Prezentację możesz też umówić bez kalendarza, pisząc na sales@aideasflow.com.
Osoby, którym udostępnisz certyfikat pasa. Dane z certyfikatu pasa (wyświetlana nazwa, pas, firma, data przyznania — sekcja 2) widzi wyłącznie ten, komu sam przekażesz link lub kod QR certyfikatu, np. rekruter albo przełożony. To ujawnienie następuje z Twojej inicjatywy; nie publikujemy certyfikatów ani listy ich posiadaczy.
Dane możemy ujawnić także uprawnionym organom, gdy wymaga tego prawo. Nie sprzedajemy danych osobowych.
6. Przekazywanie danych poza EOG
Część dostawców (Resend, Anthropic, Google — w zakresie Gemini API w wersji beta platformy, częściowo Vercel, a także HubSpot — w zakresie części danych technicznych z okna kalendarza rezerwacji) przetwarza dane w USA lub w innych państwach poza EOG, a dane wersji rozwojowej platformy (dev.aideasflow.ai) są przechowywane w Wielkiej Brytanii. Transfery odbywają się na podstawie:
- decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych osobowych przez Zjednoczone Królestwo (art. 45 RODO; decyzja wykonawcza Komisji (UE) 2021/1772) — dla danych przechowywanych w Wielkiej Brytanii,
- decyzji o adekwatności EU–U.S. Data Privacy Framework — dla dostawców certyfikowanych w DPF (m.in. Google, Vercel, Resend, Microsoft, HubSpot),
- standardowych klauzul umownych (SCC) zawartych w umowach powierzenia z pozostałymi dostawcami — m.in. Anthropic (EU SCC Moduł 2/3 + UK/Swiss Addendum, zawarte w DPA Anthropic inkorporowanym w Commercial Terms of Service) i Supabase; SCC stanowią też mechanizm zapasowy dla dostawców certyfikowanych w DPF (m.in. Resend i HubSpot — SCC w ich umowach powierzenia).
Kopię informacji o stosowanych zabezpieczeniach można uzyskać, kontaktując się z nami.
7. Jak długo przechowujemy dane
| Kategoria | Okres |
|---|---|
| Dane konta i treści w platformie (w tym dane programu rozwoju i nagród) | przez czas trwania umowy z klientem; po jej zakończeniu usunięcie lub zwrot zgodnie z DPA w terminie 30 dni |
| Transkrypty rozmów z asystentem AI oraz oceny/komentarze do odpowiedzi | 90 dni od zapisania; wcześniej — przy usunięciu konta |
| Zapis diagnostyczny wywołań AI (treść wysłana do modelu i odpowiedź) | 30 dni |
| Rejestr techniczny wywołań AI (metadane, bez treści) | 90 dni |
| Komunikacja wewnętrzna HR↔manager dotycząca doprecyzowania wniosków o nagrody | 90 dni od ostatniej wiadomości w wątku; wcześniej — przy zakończeniu umowy z klientem (usunięcie lub zwrot zgodnie z DPA) |
| Czat firmowy (wiadomości między użytkownikami) | przez czas trwania umowy z klientem; po jej zakończeniu usunięcie lub zwrot zgodnie z DPA w terminie 30 dni |
| Certyfikaty pasów (kod weryfikacyjny) | przez czas trwania umowy z klientem; po jej zakończeniu usunięcie lub zwrot zgodnie z DPA w terminie 30 dni |
| Rejestr urządzeń konta | urządzenia aktywne: przez czas istnienia konta; urządzenia wycofane lub nieużywane: 12 miesięcy od ostatniej aktywności; wcześniej — przy usunięciu konta |
| Dane rozliczeniowe | 5 lat od końca roku podatkowego (przepisy podatkowe) |
| Logi techniczne i bezpieczeństwa | do 12 miesięcy |
| Dane kontaktowe / CRM (w tym dane rezerwacji prezentacji) | do zgłoszenia sprzeciwu lub ustania celu kontaktu |
| Newsletter | do wycofania zgody |
| Kopie zapasowe | usuwane rotacyjnie, nie później niż 35 dni |
8. Twoje prawa
Masz prawo do: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania).
Aby skorzystać z praw, napisz na privacy@aideasflow.com. Odpowiadamy w ciągu miesiąca. Jeżeli przetwarzamy Twoje dane jako procesor (dane pracownicze w platformie), przekażemy żądanie Twojemu pracodawcy i będziemy wspierać jego realizację.
Masz również prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
9. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, m.in.: szyfrowanie transmisji (TLS), szyfrowanie danych w spoczynku u dostawcy infrastruktury, kontrolę dostępu na poziomie wierszy bazy danych (RLS), rozdzielenie ról i uprawnień, uwierzytelnianie dwuskładnikowe dla personelu Aideasflow z dostępem do zapisów diagnostycznych AI, logowanie zdarzeń oraz regularne przeglądy bezpieczeństwa.
10. Zmiany polityki
O istotnych zmianach poinformujemy na stronie lub e-mailem, a użytkowników platformy — także w platformie. Aktualna wersja jest zawsze dostępna pod adresem aideasflow.com/privacy; ta sama wersja, oznaczona tym samym numerem, obowiązuje na stronie i we wszystkich wersjach platformy.
← Wróć na stronę główną