Polityka prywatności

Niniejsza Polityka ma zastosowanie globalnie do wszystkich odwiedzających naszą stronę marketingową, do wszystkich użytkowników Platformy (Klientów i ich upoważnionych Użytkowników) oraz do Klientów końcowych, których dane osobowe są przetwarzane przez Platformę w imieniu Klienta.

Niniejsza Polityka została zaprojektowana tak, aby spełnić obowiązki informacyjne wynikające z art. 13 RODO, analogiczne obowiązki wynikające z UK GDPR, wymóg notice-at-collection przewidziany w CPRA, wymóg praw informacyjnych przewidziany w LGPD oraz podobnych przepisów. W zakresie, w jakim bezwzględnie obowiązujące prawo lokalne przewiduje dodatkowe prawa, respektujemy je w minimalnym wymaganym zakresie.

Niniejszą Politykę należy czytać łącznie z naszym Regulaminem, naszą Umową powierzenia (DPA), Polityką cookies oraz Listą podprocesorów.

2.1 Operator

CallBotAgent, Inc., korporacja stanu Delaware (USA), jest globalnym operatorem Platformy. Posiada Platformę, zawiera umowy ze wszystkimi Klientami, wystawia faktury za pośrednictwem Stripe i prowadzi działania marketingowe.

2.2 Przedstawiciel UE

Operator wyznaczył przedstawiciela UE zgodnie z art. 27 RODO dla Europejskiego Obszaru Gospodarczego, Wielkiej Brytanii i Szwajcarii. Osoby, których dane dotyczą, znajdujące się na tych terytoriach, mogą wykonywać swoje prawa i kierować żądania zarówno do Operatora, jak i do przedstawiciela UE; oba kanały trafiają do tego samego zespołu compliance. Pełna tożsamość przedstawiciela i jego rejestracja korporacyjna są opublikowane w naszym Ogłoszeniu prawnym; do bezpośredniego kontaktu należy używać adresu [email protected].

2.3 Role w rozumieniu RODO

Rola Operatora zależy od kategorii danych:

3.1 Od odwiedzających stronę marketingową

• Pliki cookie i podobne technologie (sekcja 5 i Polityka cookies)
• Adres IP (jeżeli wymagane do bezpieczeństwa i przeciwdziałania nadużyciom)
• Metadane przeglądarki/urządzenia, źródło wejścia (referrer), odwiedzane strony, czas trwania sesji
• Adresy e-mail oraz wszelki tekst przekazany w formularzach kontaktowych, zgłoszeniach demo lub zapisach do newslettera

3.2 Od Klientów (posiadaczy konta)

• Konto: nazwa firmy, imię i nazwisko osoby kontaktowej, e-mail, telefon, stanowisko/rola
• Rozliczenia: adres firmy, NIP/numer VAT (jeśli ma zastosowanie), e-mail do faktur; pełne dane karty płatniczej są zbierane bezpośrednio przez Stripe i nigdy nie są przechowywane przez Operatora
• Uwierzytelnianie: zhaszowane hasło, sekrety MFA, metadane sesji logowania
• Korzystanie z Platformy: wybory konfiguracyjne, skrypty, mapowanie katalogu, działania w panelu, IP, przeglądarka, znaczniki czasu
• Komunikacja wsparcia: treść zgłoszeń, zrzuty ekranu, nagrania rozmów demo
• Preferencje marketingowe: status subskrypcji e-mail, udział w wydarzeniach

3.3 Od Klientów końcowych (podczas Rozmów wykonywanych dla Klientów)

Przetwarzane jako podmiot przetwarzający w imieniu Klienta — zob. DPA. Kategorie typowo obejmują imię i nazwisko oraz numer telefonu (przekazane przez sklep e-commerce Klienta), metadane zamówienia (numer zamówienia, pozycje, wartość, metoda płatności, podsumowanie adresu dostawy), nagranie audio Rozmowy (jeśli Klient włączył nagrywanie), transkrypcję Rozmowy oraz metadane generowane maszynowo (klasyfikacja intencji, wynik, akceptacja/odrzucenie upsellu, sentyment, jeśli Klient włączył tę funkcję), a także informacje swobodnie podane przez Klienta końcowego w trakcie Rozmowy.

Szczególne kategorie danych osobowych w rozumieniu art. 9 RODO nie są pozyskiwane przez Platformę z założenia. Jeżeli Klienci końcowi dobrowolnie ujawnią informacje należące do szczególnych kategorii w trakcie Rozmowy, warstwa redakcji PII wykryje je i zredaguje z transkrypcji w miarę możliwości; nagrania podlegają kontrolom okresu przechowywania danych. Klient nie może konfigurować skryptów, które pozyskują dane szczególnych kategorii.

Audio głosowe jest przetwarzane w celu komunikacji, a nie identyfikacji biometrycznej. Platforma przetwarza audio głosowe (surowe nagrania i transkrypcje) wyłącznie w celu prowadzenia, transkrybowania i podsumowywania rozmów głosowych w imieniu Klienta. Platforma nie stosuje żadnego technicznego przetwarzania ani analizy audio głosowego w celu jednoznacznej identyfikacji osoby fizycznej w rozumieniu art. 4 pkt 14 RODO (Dane biometryczne); generowanie odcisków głosowych (voiceprints), rozpoznawanie mówcy, uwierzytelnianie głosem ani podobne techniki identyfikacyjne nie są funkcjami Platformy. W konsekwencji audio głosowe przetwarzane przez Platformę nie stanowi samo w sobie danych szczególnej kategorii w rozumieniu art. 9 RODO.

3.4 Od podmiotów zewnętrznych

• Shopify (podłączony sklep Klienta): webhooki zamówień i dane katalogowe, na polecenie Klienta
• Dostawcy telekomunikacyjni (Twilio, Telnyx, Vonage): dane sygnalizacji połączeń i rozstrzygnięcie (odebrane, zajęte, brak odpowiedzi)
• Procesor płatności (Stripe): status subskrypcji i metadane faktur
• Dostawcy weryfikacji tożsamości (tylko Enterprise, jeśli ma zastosowanie)

4.1 Odwiedzający stronę marketingową

4.2 Konta Klientów

4.3 Dane Klientów końcowych (rola podmiotu przetwarzającego)

Przetwarzane wyłącznie na udokumentowane polecenia Klienta zgodnie z DPA. Klient odpowiada za ustalenie własnej podstawy prawnej dla tego przetwarzania oraz za zgody i informacje przekazywane Klientom końcowym.

Używamy plików cookie i podobnych technologii na stronie marketingowej oraz (w bardziej ograniczonym zakresie) wewnątrz panelu administracyjnego Platformy. Pliki cookie ściśle niezbędne są ustawiane domyślnie; pliki cookie nieobowiązkowe (analityka, marketing/atrybucja) są ustawiane wyłącznie za zgodą, gdy wymaga tego prawo. Mogą Państwo zarządzać preferencjami cookie za pomocą banera zgody wyświetlanego przy pierwszej wizycie i w dowolnym momencie za pośrednictwem linku do preferencji cookie w stopce. Szczegóły dotyczące każdej kategorii plików cookie, dostawców zewnętrznych, okresu przechowywania i sposobu rezygnacji znajdą Państwo w Polityce cookies.

Platforma wykorzystuje przetwarzanie zautomatyzowane (duże modele językowe, klasyfikatory intencji, scoring) do generowania Wyników AI w trakcie Rozmowy. Żadne z tych przetwarzań nie stanowi decyzji wywołującej skutki prawne lub w podobny sposób istotnie wpływającej na osobę, której dane dotyczą, w rozumieniu art. 22 RODO — Wyniki AI stanowią wsparcie doradcze dla własnych decyzji Klienta (np. czy wysłać zamówienie). Istotne decyzje dotyczące Klienta końcowego oparte na Wyniku AI pozostają odpowiedzialnością Klienta i podlegają przeglądowi przez człowieka.

Nie wykorzystujemy nagrań, transkrypcji ani innych danych osobowych Klientów końcowych do trenowania, dostrajania ani ewaluacji modeli AI — ani naszych własnych, ani modeli naszych Podprocesorów. To ograniczenie jest umowne: każdy Podprocesor, który otrzymuje dane Klientów końcowych, podpisał aneks zero-retention lub równoważne zobowiązanie.

7.1 Podprocesorzy

Ujawniamy dane osobowe sprawdzonym Podprocesorom, którzy działają na nasze polecenia i na podstawie pisemnych umów powierzenia, obejmujących środki techniczne i organizacyjne, powiadamianie o naruszeniach, prawo do audytu i zobowiązania w zakresie kontroli dalszych podprocesorów wymagane przez art. 28 RODO. Kategorie obejmują:

• Orchestrator AI głosowej (nazwa dostawcy nie jest ujawniana publicznie, zgodnie z naszą polityką ukrywania dostawcy)
• Dostawcy LLM (np. OpenAI, Anthropic, Google) — zero-retention
• Dostawcy syntezy mowy (text-to-speech) (np. ElevenLabs, Cartesia, głosy OpenAI) — zero-retention
• Dostawcy telekomunikacyjni (Twilio, Telnyx, Vonage) — sygnalizacja połączeń i dostarczanie PSTN
• Infrastruktura chmurowa (Google Cloud, regiony UE) — hosting, przechowywanie, baza danych
• Rozliczenia (Stripe) — fakturowanie subskrypcji jako Merchant of Record, gdy ma to zastosowanie; PCI DSS Level 1
• Integracja sklepu (Shopify) — źródło OAuth i webhooków; Shopify jest administratorem danych Klienta dla danych źródłowych sklepu
• E-mail i komunikaty transakcyjne, Monitorowanie błędów, Analityka produktowa (z zastrzeżeniem zgody, gdy ma to zastosowanie)

Aktualna Lista podprocesorów z nazwami dostawców, gdzie ujawnienie jest możliwe, regionami i statusem DPA jest opublikowana pod adresem /sub-processors. Klienci otrzymują z co najmniej 30-dniowym wyprzedzeniem powiadomienie o każdej zmianie.

7.2 Inni odbiorcy

• Doradcy zawodowi (prawnicy, księgowi, audytorzy) na warunkach poufności
• Organy ścigania i regulatorzy, gdy wymaga tego ważne postępowanie prawne i po dokonaniu naszej oceny zgodności z prawem
• Nabywca w transakcji korporacyjnej (sprzedaż, fuzja, restrukturyzacja) na warunkach poufności i ciągłości niniejszej Polityki

7.3 Brak sprzedaży danych osobowych

Nie sprzedajemy danych osobowych za świadczenie pieniężne lub inne wartościowe świadczenie w rozumieniu CPRA i podobnych ustaw stanowych USA. Nie prowadzimy reklamy behawioralnej cross-context w rozumieniu CPRA bez zgody i odpowiedniej możliwości rezygnacji.

Dane osobowe zbierane w UE/EOG, Wielkiej Brytanii lub Szwajcarii mogą być przekazywane do Stanów Zjednoczonych (gdzie zarejestrowany jest Operator) oraz do innych regionów, w których działają Podprocesorzy. Jeżeli kraj docelowy nie został uznany za zapewniający odpowiedni stopień ochrony, opieramy się na:

• Standardowych klauzulach umownych (Moduł 1 administrator-do-administratora, Moduł 2 administrator-do-podmiotu przetwarzającego lub Moduł 3 podmiot przetwarzający-do-podprocesora, w zależności od przypadku);
• Brytyjskim Aneksie do SCC (gdy w grę wchodzą dane osobowe z Wielkiej Brytanii);
• Adaptacjach szwajcarskich i uznaniu unijnych SCC przez FDPIC;
• Uzupełniających środkach technicznych (szyfrowanie w trakcie przesyłania i w spoczynku, kontrola dostępu, zarządzanie kluczami) oraz środkach umownych (aneksy zero-retention, minimalizacja danych przez Podprocesorów).

Podsumowanie Transfer Impact Assessment („TIA") jest prowadzone jako wewnętrzny rejestr zgodności i stanowi podstawę projektowania zabezpieczeń przez Operatora.

Wdrażamy środki techniczne i organizacyjne adekwatne do ryzyka, w tym:

• Szyfrowanie w trakcie przesyłania (TLS 1.3) i w spoczynku (AES-256);
• Rotację kluczy szyfrujących co 90 dni za pośrednictwem zarządzanego KMS (Google Cloud KMS, region UE);
• Kopie zapasowe szyfrowane oddzielnym zestawem kluczy niż dane produkcyjne;
• Obowiązkowe uwierzytelnianie wieloskładnikowe dla kont administracyjnych; SSO dla Enterprise na żądanie;
• Kontrolę dostępu na zasadzie need-to-know z uprawnieniami opartymi na rolach i kwartalnymi przeglądami dostępu;
• Logowanie audytowe dostępu do danych Klientów końcowych, przechowywane przez co najmniej 12 miesięcy;
• Zautomatyzowaną redakcję PII na transkrypcjach przed zapisem do długoterminowej pamięci;
• Skanowanie podatności, monitorowanie zależności i łatanie bezpieczeństwa na infrastrukturze produkcyjnej.

Szczegółowe środki opisane są w Załączniku DPA dotyczącym środków technicznych i organizacyjnych oraz w publicznym Security One-pager.

Żaden system nie jest doskonale bezpieczny. Odpowiadają Państwo za zabezpieczenie własnych urządzeń i poświadczeń. Prosimy o powiadomienie nas pod adresem [email protected] niezwłocznie po podejrzeniu naruszenia konta.

Z zastrzeżeniem obowiązującego prawa mogą Państwu przysługiwać następujące prawa wobec Państwa danych osobowych:

• Prawo dostępu: kopia danych osobowych, które o Państwu posiadamy;
• Prawo do sprostowania: poprawienie nieprawidłowych lub niekompletnych danych osobowych;
• Prawo do usunięcia (prawo do bycia zapomnianym): usunięcie z zastrzeżeniem przechowywania wynikającego z obowiązku prawnego;
• Ograniczenie przetwarzania: czasowe ograniczenie przetwarzania na czas rozstrzygnięcia sporu;
• Prawo do przenoszenia danych: otrzymanie dostarczonych przez Państwa danych osobowych w ustrukturyzowanym, czytelnym maszynowo formacie;
• Sprzeciw: sprzeciw wobec przetwarzania opartego na uzasadnionym interesie, w tym wobec marketingu bezpośredniego;
• Wycofanie zgody: jeżeli przetwarzanie opiera się na zgodzie, mogą ją Państwo wycofać w dowolnym momencie;
• Brak zautomatyzowanego podejmowania decyzji: jak opisano w sekcji 6, nie podejmujemy decyzji w rozumieniu art. 22 RODO;
• Wniesienie skargi: do organu nadzorczego właściwego dla miejsca zwykłego pobytu, miejsca pracy lub domniemanego naruszenia (np. organu ochrony danych Państwa państwa członkowskiego UE/EOG, Information Commissioner's Office w Wielkiej Brytanii, Federal Data Protection and Information Commissioner w Szwajcarii lub California Privacy Protection Agency w Kalifornii). Wyznaczony przedstawiciel UE Operatora (zob. Ogłoszenie prawne) jest również prawidłowym kontaktem dla osób, których dane dotyczą, w Europie.

Aby skorzystać z dowolnego prawa, prosimy o kontakt pod adresem [email protected] (Operator) lub [email protected] (Przedstawiciel UE). Odpowiadamy w ciągu 30 dni na żądania RODO/UK GDPR oraz w ciągu 45 dni na żądania CPRA, z możliwością przedłużenia, gdy żądanie jest złożone.

W przypadku żądań dotyczących danych Klientów końcowych: prosimy o kontakt najpierw ze sprzedawcą, w którego sklepie złożyli Państwo zamówienie; przekazujemy wszystkie takie żądania sprzedawcy zgodnie z DPA.

W zakresie, w jakim obowiązujące prawo wymaga od nas honorowania sygnałów preferencji opt-out (takich jak Global Privacy Control / GPC), czynimy to. Nie istnieje konsensus branżowy w zakresie reagowania na sygnały „Do Not Track" (DNT) przeglądarek; obecnie nie reagujemy na DNT poza zakresem prawnym GPC. Tam, gdzie jest to wymagane, nasz baner cookie zapewnia równoważne kontrole.

Niniejsza sekcja zawiera dodatkowe ujawnienia wymagane przez CPRA i podobne ustawy stanowe USA (Virginia VCDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA, Teksas, Floryda, Oregon, Iowa, Indiana, Tennessee, Montana, Delaware, Maryland i inne).

14.1 Kategorie zbieranych danych osobowych

Identyfikatory; informacje handlowe; aktywność internetowa/sieciowa; geolokalizacja (przybliżona, wyprowadzona z IP); wnioski wyciągnięte z powyższych. Nie zbieramy „wrażliwych danych osobowych" w rozumieniu CPRA, poza poświadczeniami konta.

14.2 Źródła, cele biznesowe i odbiorcy

Jak opisano w sekcjach 3, 4 i 7.

14.3 Prawo do informacji, usunięcia, sprostowania, opt-out ze sprzedaży/udostępniania, ograniczenia wrażliwych PI

Mają Państwo te prawa zgodnie z opisem w sekcji 11. Aby złożyć żądanie, prosimy o kontakt pod adresem [email protected]. Upoważnieni pełnomocnicy mogą składać żądania w Państwa imieniu z weryfikowalną zgodą.

14.4 Prawo do niedyskryminacji

Nie dyskryminujemy Państwa za korzystanie z praw do prywatności.

14.5 Informacja o zachętach finansowych

Nie oferujemy zachęt finansowych w zamian za dane osobowe.

14.6 Shine the Light

Mieszkańcy Kalifornii mogą zażądać informacji o ujawnieniu danych osobowych podmiotom zewnętrznym w celach marketingu bezpośredniego w poprzednim roku kalendarzowym. Nie ujawniamy w tym celu.

Możemy aktualizować niniejszą Politykę w celu odzwierciedlenia zmian w naszych usługach, wymogach prawnych lub praktykach. Opublikujemy zaktualizowaną Politykę z nową datą „Ostatnia aktualizacja", a w przypadku istotnych zmian powiadomimy e-mailem lub w aplikacji co najmniej 30 dni wcześniej. Dalsze korzystanie z Usługi po wejściu w życie nowej Polityki stanowi potwierdzenie zapoznania się z nią.