Bezpieczeństwo i zgodność

CallBotAgent.ai jest platformą AI głosowej dla e-commerce. Przetwarzamy dane osobowe Twoich klientów (imię, numer telefonu, szczegóły zamówienia, treść rozmowy) w imieniu Twojego sklepu jako podmiot przetwarzający w rozumieniu RODO. Niniejszy dokument podsumowuje to, co realizujemy domyślnie — bez dopłaty, bez gwiazdek — aby przejść każdy audyt RODO i każdą rozmowę z CISO. Jeżeli Twój zespół ds. zgodności wymaga kontroli, której nie ma na liście, napisz do nas na adres [email protected].

Wiążące zobowiązania umowne znajdują się w Umowie powierzenia (DPA); aktualna lista dostawców i regionów przetwarzania znajduje się na Liście podprocesorów.

Nigdy nie sprzedajemy, nie udostępniamy ani nie wykorzystujemy ponownie Twoich danych w celu innym niż obsługa Twojego sklepu. W dowolnym momencie możesz wyeksportować lub usunąć wszystkie dane z poziomu panelu administracyjnego — bez konieczności kierowania żądania do nas.

Zagregowane i pozbawione cech identyfikacyjnych statystyki użytkowania mogą być obliczane na potrzeby ulepszania produktu, planowania pojemności i bezpieczeństwa; takie dane nie identyfikują Ciebie ani Twoich klientów końcowych.

Umowa powierzenia (DPA — Data Processing Addendum) akceptowana elektronicznie podczas rejestracji subskrypcji — wzór oparty na Standardowych Klauzulach Umownych Komisji Europejskiej (SCC) Moduł 2 i Moduł 3 z Aneksem brytyjskim oraz adaptacjami szwajcarskimi, w zakresie, w jakim mają zastosowanie.

Prawa osób, których dane dotyczą, zaimplementowane w panelu administracyjnym:

• Prawo do usunięcia (right to erasure) — usunięcie danych klienta w ciągu ≤ 30 dni kalendarzowych od żądania.
• Prawo dostępu — eksport wszystkich nagrań, transkrypcji i metadanych w formacie JSON / CSV.
• Prawo do sprostowania — edycja atrybutów klienta bezpośrednio z poziomu panelu.

Logi audytowe — każdy dostęp do danych klienta jest logowany (administrator, IP, znacznik czasu, akcja) i może być pobrany przez 12 miesięcy.

Zgoda na nagrywanie — każda Rozmowa rozpoczyna się od konfigurowalnego komunikatu; Klient odpowiada za jego treść i adekwatność w każdym z rynków.

Numery kart płatniczych, numery identyfikacyjne (np. PESEL), adresy e-mail, nazwiska oraz inne dane osobowe są automatycznie wykrywane w transkrypcjach rozmów i zastępowane tokenami zastępczymi przed zapisem do bazy danych. Wykrywanie wykorzystuje wyrażenia regularne (regex) oraz Named Entity Recognition.

Nagrania audio dostępne są w panelu administracyjnym wyłącznie dla upoważnionych operatorów sklepu. Nigdy nie trafiają do logów, do narzędzi analitycznych ani do dashboardów BI.

Okres przechowywania nagrań jest konfigurowalny: domyślnie 90 dni, minimum 7 dni dla obsługi reklamacji, maksimum 24 miesiące. Po upływie okresu nagrania są automatycznie usuwane.

Dane klientów końcowych (nagrania, transkrypcje, metadane) nie są wykorzystywane do trenowania, dostrajania (fine-tuning) ani ewaluacji modeli AI — ani naszych, ani żadnego z naszych dostawców.

Każdy z dostawców w łańcuchu (LLM, TTS, orchestrator AI głosowej) działa pod kontraktowym ograniczeniem zero-retention: każda Rozmowa przetwarzana jest w trybie request-response, po zakończeniu sesji nic nie jest zachowywane.

Nasze własne wewnętrzne modele (klasyfikatory intencji, detektory oszustw) trenowane są wyłącznie na danych syntetycznych lub na danych klientów po wyraźnej zgodzie badawczej zapisanej w Umowie powierzenia (opt-in, domyślnie WYŁĄCZONE).

At-rest: AES-256 dla wszystkich danych — nagrań, transkrypcji, metadanych, kopii zapasowych.

In-transit: TLS 1.3 dla całej komunikacji między CallBotAgent.ai, sklepem Klienta (Shopify), dostawcami telefonii i orchestratorem AI głosowej.

Klucze szyfrujące rotowane automatycznie co 90 dni za pośrednictwem zarządzanego KMS (Google Cloud KMS, region UE).

Kopie zapasowe szyfrowane kluczami odrębnymi od danych produkcyjnych (segregacja obowiązków); przechowywane 90 dni, następnie automatycznie niszczone.

Infrastruktura panelu administracyjnego: MFA obowiązkowe dla kont administracyjnych; SSO (Google Workspace / Microsoft 365) dla planu Enterprise.

Pełna, aktualna lista wszystkich podmiotów zewnętrznych przetwarzających dane klientów końcowych jest publikowana pod adresem /sub-processors. Lista jest skategoryzowana według funkcji (orchestrator AI głosowej, LLM, TTS, telefonia, hosting, rozliczenia, integracja sklepu) i ujawniana otwarcie zgodnie z zasadami CLAUDE.md.

Zmiany podprocesorów: każda zmiana (dodanie / usunięcie / zmiana regionu) komunikowana jest z co najmniej 30-dniowym wyprzedzeniem za pośrednictwem dziennika zmian na stronie podprocesorów oraz listy mailingowej powiadomień o zmianach. Klienci mają prawo wniesienia sprzeciwu w ciągu 30 dni.

W duchu transparentności w zakresie stosu technologicznego mówimy wprost, co jest w toku:

• ISO 27001 — nie posiadamy tego certyfikatu; pracujemy nad nim w dłuższej perspektywie.
• SOC 2 Type II — nie posiadamy tego raportu; pracujemy nad nim w dłuższej perspektywie.
• HIPAA — nie obsługujemy amerykańskiego rynku ochrony zdrowia ani nie planujemy tego (skupienie na e-commerce).
• PCI DSS Level 1 — nie przetwarzamy danych kart płatniczych klientów końcowych. Płatności obsługuje sklep za pośrednictwem własnych Shopify Payments / Stripe / PayU. CallBotAgent.ai nie widzi, nie przechowuje ani nie przetwarza numerów kart klientów końcowych.
• FedRAMP / IL5 — nie dotyczy (rynek komercyjny, nie sektor rządowy).

Co oferujemy w zamian dziś:

• Umowa powierzenia oparta na SCC z klauzulami RODO
• Lista podprocesorów z pełnym łańcuchem DPA
• Odpowiedź na kwestionariusz bezpieczeństwa w formacie CAIQ Lite
• Własny playbook reagowania na incydenty (streszczenie)

• Zapytania ogólne: [email protected]
• Zgłoszenie incydentu bezpieczeństwa: [email protected] (prefiks tematu [SECURITY INCIDENT])
• DPA / zgodność: [email protected] (prefiks tematu [DPA REQUEST])
• Prywatność / prawa osób, których dane dotyczą: [email protected]
• Przedstawiciel UE: [email protected] (zob. Ogłoszenie prawne)
• Telefon: +1 (719) 624-4435
• Adres pocztowy: 1111B S Governors Ave STE 39750, Dover, DE 19904, USA

SLA odpowiedzi:

• Zgłoszenie incydentu bezpieczeństwa — potwierdzenie w ciągu 4 godzin roboczych
• Zapytania DPA / dotyczące zgodności — potwierdzenie w ciągu 2 dni roboczych