Polityka Prywatności GrowthABM

§1. Administrator danych osobowych

1. Administratorem danych osobowych jest Growth Hub Spółka z Ograniczoną Odpowiedzialnością z siedzibą w Warszawie, ul. Tadeusza Pełczyńskiego 14D/149, 01-471 Warszawa, wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001093247, NIP 5223291362, REGON 528060832.
2. W sprawach dotyczących ochrony danych osobowych można kontaktować się z Administratorem pod adresem e-mail: mateusz@growthhub.pl.

§2. Jakie dane zbieramy

1. Dane rejestracyjne: adres e-mail, imię, nazwisko.
2. Dane firmowe (do faktur): nazwa firmy, NIP, adres siedziby.
3. Dane workspace: treści wprowadzone przez Użytkownika w ramach korzystania z Platformy, w tym dane ICP (Ideal Customer Profile), TAL (Target Account List), treści outreach, notatki i strategie.
4. Historia czatu AI: treść zapytań kierowanych do Asystenta AI oraz wygenerowane odpowiedzi.
5. Komentarze: treść komentarzy publikowanych w sekcjach społecznościowych Platformy.
6. Dane techniczne: adres IP, typ przeglądarki, system operacyjny, dane dotyczące sesji — zbierane automatycznie w celach technicznych i bezpieczeństwa.
7. Dane płatnicze: dane karty płatniczej przetwarzane są wyłącznie przez Stripe i nie są przechowywane na serwerach Platformy. Administrator otrzymuje jedynie informację o statusie płatności.

§3. Cele i podstawy prawne przetwarzania

Dane osobowe przetwarzane są w następujących celach:

§4. Odbiorcy danych

Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

1. Supabase (hosting bazy danych) — dane Użytkowników przechowywane są na serwerach Supabase zlokalizowanych w Unii Europejskiej (Frankfurt, Niemcy / Dublin, Irlandia).
2. Stripe (obsługa płatności) — dane dotyczące transakcji płatniczych. Stripe jest certyfikowanym operatorem płatności zgodnym z PCI DSS.
3. Anthropic / OpenAI / Google (dostawcy AI) — dane z workspace Użytkownika mogą być przesyłane do API tych dostawców w celu wygenerowania odpowiedzi Asystenta AI. Dotyczy to wyłącznie sytuacji, gdy Użytkownik aktywnie korzysta z Asystenta AI. W przypadku korzystania z platformowego klucza API, dane przesyłane są na konto Usługodawcy u danego dostawcy. W przypadku własnego klucza API Użytkownika — na konto Użytkownika.
4. iFirma (fakturowanie) — dane firmowe Użytkownika (nazwa firmy, NIP, adres) przekazywane w celu wystawienia faktury VAT.
5. ActiveCampaign (marketing) — adres e-mail Użytkownika przekazywany wyłącznie za jego zgodą (quiz lead). Brak automatycznego zapisu do newslettera z Platformy.

§5. Transfer danych poza EOG

1. Dane przesyłane do dostawców AI (Anthropic, OpenAI, Google) mogą być transferowane do Stanów Zjednoczonych. Transfer odbywa się na podstawie Standardowych Klauzul Umownych (Standard Contractual Clauses) zatwierdzonych przez Komisję Europejską oraz, w stosownych przypadkach, na podstawie EU-US Data Privacy Framework.
2. Dane przesyłane do Stripe mogą być transferowane do USA na podstawie EU-US Data Privacy Framework (Stripe jest certyfikowany w ramach tego programu).
3. Hosting bazy danych (Supabase) zlokalizowany jest w Unii Europejskiej i nie wymaga transferu danych poza EOG.

§6. Okres przechowywania danych

§7. Prawa Użytkownika

1. Każdy Użytkownik, którego dane osobowe są przetwarzane, ma prawo do:
   • dostępu do swoich danych osobowych (art. 15 RODO),
   • sprostowania danych nieprawidłowych lub niekompletnych (art. 16 RODO),
   • usunięcia danych ("prawo do bycia zapomnianym", art. 17 RODO),
   • ograniczenia przetwarzania (art. 18 RODO),
   • przenoszenia danych do innego administratora (art. 20 RODO),
   • sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO),
   • cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem (art. 7 ust. 3 RODO).
2. W celu skorzystania z powyższych praw należy skontaktować się z Administratorem pod adresem mateusz@growthhub.pl. Administrator ustosunkuje się do żądania w terminie 30 dni.
3. Użytkownik ma prawo wnieść skargę do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

§8. Cookies i localStorage

1. Platforma wykorzystuje następujące mechanizmy przechowywania danych w przeglądarce:
   • Cookie sesyjne Supabase Auth — niezbędne do utrzymania sesji zalogowanego Użytkownika. Są to cookies techniczne, konieczne do działania Platformy. Nie wymagają zgody.
   • localStorage — wykorzystywane do przechowywania danych workspace, preferencji Użytkownika oraz kluczy API (jeśli Użytkownik zdecyduje się je podać). localStorage nie jest mechanizmem cookies i dane w nim zawarte nie są wysyłane automatycznie do serwera.
2. Platforma nie wykorzystuje cookies marketingowych, analitycznych ani cookies podmiotów trzecich.

§9. Profilowanie i automatyczne podejmowanie decyzji

1. Administrator nie dokonuje zautomatyzowanego podejmowania decyzji ani profilowania w rozumieniu art. 22 RODO, które wywoływałoby skutki prawne lub w podobny sposób istotnie wpływało na Użytkownika.
2. Asystent AI dostępny w Platformie jest narzędziem wspierającym Użytkownika. Nie podejmuje automatycznych decyzji w imieniu Użytkownika i nie profiluje Użytkownika na potrzeby marketingowe ani żadne inne.

§10. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych, w tym:
   • szyfrowanie transmisji danych (HTTPS/TLS),
   • Row Level Security (RLS) w bazie danych Supabase — każdy Użytkownik ma dostęp wyłącznie do własnych danych,
   • hashowanie haseł przez Supabase Auth (bcrypt),
   • regularne aktualizacje oprogramowania i zależności.
2. Klucze API podane przez Użytkownika są przechowywane wyłącznie w localStorage przeglądarki na urządzeniu Użytkownika i nie są przesyłane na serwery Administratora.

§11. Własne klucze API

1. Gdy Użytkownik korzysta z własnego klucza API, dane z workspace (treści zapytań, kontekst ICP/TAL) są przesyłane bezpośrednio z przeglądarki Użytkownika do wybranego dostawcy AI (Anthropic, OpenAI lub Google), z pominięciem serwerów Administratora.
2. W takim przypadku Administratorem danych przesyłanych do dostawcy AI jest Użytkownik. Administrator nie ma wglądu w dane przesyłane z użyciem własnego klucza API Użytkownika ani kontroli nad ich przetwarzaniem przez dostawcę AI.
3. Użytkownik powinien zapoznać się z polityką prywatności wybranego dostawcy AI przed podaniem własnego klucza API.

§12. Quiz i formularze leadowe

1. Platforma może udostępniać quiz lub formularze leadowe, w ramach których zbierany jest adres e-mail Użytkownika. Podanie adresu e-mail wymaga wyrażenia odrębnej zgody na przetwarzanie danych w celach marketingowych.
2. Adres e-mail pozyskany za zgodą Użytkownika może być przekazany do systemu ActiveCampaign w celu prowadzenia komunikacji marketingowej.
3. Użytkownik może w dowolnym momencie wycofać zgodę na komunikację marketingową poprzez kliknięcie linku rezygnacji w wiadomości e-mail lub kontakt z Administratorem.
4. Quiz lead jest odrębny od konta na Platformie. Wypełnienie quizu nie powoduje automatycznego utworzenia konta ani zapisania do newslettera Platformy.

§13. Zmiany Polityki Prywatności

1. Administrator zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności.
2. O każdej istotnej zmianie Użytkownik zostanie powiadomiony drogą elektroniczną z co najmniej 14-dniowym wyprzedzeniem.
3. Aktualna wersja Polityki Prywatności jest zawsze dostępna na stronie Platformy.

§14. Kontakt

1. W sprawach dotyczących ochrony danych osobowych, realizacji praw Użytkownika lub pytań związanych z niniejszą Polityką Prywatności prosimy o kontakt:
   • E-mail: mateusz@growthhub.pl
   • Adres korespondencyjny: Growth Hub sp. z o.o., ul. Tadeusza Pełczyńskiego 14D/149, 01-471 Warszawa