Polityka prywatności
Kto przetwarza dane, jakie, po co i jak długo — bez prawniczej mgły.
Obowiązuje od 28 września 2026. Wersja 1.1 — poprawiony dostawca modelu językowego (sekcja 4).
Najkrócej: zbieramy tylko to, czego potrzebuje działający bot — adres e-mail i hasło do konta, dane firmy do faktury, treść rozmów klientów z botem oraz materiały, które sam wgrywasz do bazy wiedzy. Nie sprzedajemy danych, nie profilujemy reklamowo i sami nie trenujemy modeli na rozmowach Twoich klientów. Konta, baza wiedzy i historia rozmów leżą na serwerze w Niemczech, ale odpowiedź bota układa model językowy firmy DeepSeek z siedzibą w Chinach — szczegóły w sekcji 4.
1. Kto jest administratorem
Administratorem danych osobowych jest BRANDS HAUS SP. Z O.O., NIP PL8281425734 („my", „Verbot"), operator serwisu verbot.pl. W sprawach danych osobowych: prywatnosc@verbot.pl.
Nie wyznaczyliśmy inspektora ochrony danych — korespondencję kierujesz na adres powyżej.
2. Dwie różne role
Verbot występuje w dwóch rolach i warto je rozróżnić:
- Administrator — wobec danych osób, które zakładają konto w Verbocie, piszą do nas przez formularz kontaktowy albo zamawiają pakiet.
- Podmiot przetwarzający — wobec danych osób, które rozmawiają z botem należącym do naszego klienta. Administratorem tych danych jest właściciel bota; my przetwarzamy je na jego polecenie, na zasadach opisanych w regulaminie.
3. Jakie dane i po co
| Dane | Po co | Podstawa | Jak długo |
|---|---|---|---|
| Adres e-mail, hasło (w postaci nieodwracalnego skrótu), nazwa firmy, adres strony | Prowadzenie konta i logowanie | Art. 6 ust. 1 lit. b RODO — wykonanie umowy | Przez czas posiadania konta i 30 dni po jego usunięciu |
| Adres IP, przeglądarka, czas logowania | Bezpieczeństwo konta, wykrywanie nadużyć, limity zapytań | Art. 6 ust. 1 lit. f — prawnie uzasadniony interes | 12 miesięcy |
| Dane do faktury: nazwa, NIP, adres, e-mail | Wystawienie i rozliczenie faktury | Art. 6 ust. 1 lit. c — obowiązek prawny | 5 lat od końca roku podatkowego |
| Treść wiadomości z formularza kontaktowego | Odpowiedź na pytanie | Art. 6 ust. 1 lit. f — kontakt na Twoje żądanie | 24 miesiące |
| Materiały wgrane do bazy wiedzy (pliki, adresy stron, wpisy) | Odpowiedzi bota | Art. 6 ust. 1 lit. b — wykonanie umowy | Do usunięcia źródła albo konta |
| Treść rozmów z botem i kontakty zostawione w rozmowie | Historia rozmów i kontakty w panelu właściciela bota | Powierzenie od właściciela bota | Zgodnie z planem właściciela bota, nie dłużej niż do usunięcia jego konta |
4. Komu powierzamy dane
Korzystamy z wąskiej listy dostawców — każdy dostaje tylko to, co jest mu potrzebne:
- Hangzhou DeepSeek Artificial Intelligence Co., Ltd. (Chiny) — model językowy, który układa odpowiedź bota. Przy każdej odpowiedzi dostaje treść bieżącej rozmowy (pytania odwiedzającego i wcześniejsze odpowiedzi bota) oraz kilka pasujących fragmentów bazy wiedzy. Nie dostaje adresu IP, adresu e-mail konta ani danych do faktury — chyba że odwiedzający sam wpisze je w treść rozmowy.
- IONOS SE — serwer, na którym działa serwis i na którym przechowujemy konta, bazę wiedzy, historię rozmów i kontakty. Serwer stoi w Niemczech.
- Dostawca poczty wychodzącej — wysyłka wiadomości systemowych (potwierdzenie adresu, reset hasła, powiadomienie o nowym kontakcie). Serwer pocztowy w Polsce.
- Google Ireland Ltd. — statystyka odwiedzin (Google Analytics) i pomiar skuteczności reklam. Dostaje dane o Twojej wizycie na tej stronie: odwiedzone adresy, źródło wejścia, przybliżoną lokalizację i identyfikator nadany ciasteczkiem. Wyłącznie za Twoją zgodą.
- Meta Platforms Ireland Ltd. — pomiar skuteczności reklam na Facebooku i Instagramie. Dostaje dane o Twojej wizycie na tej stronie i o wykonanych na niej krokach (np. założenie konta, złożenie zamówienia). Wyłącznie za Twoją zgodą.
Google i Meta mogą przekazać te dane do USA — na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (Data Privacy Framework) oraz standardowych klauzul umownych. Bez Twojej zgody nie dostają nic.
Przekazanie do Chin — co warto wiedzieć
Dostawca modelu przetwarza i przechowuje dane w Chińskiej Republice Ludowej. Komisja Europejska nie wydała dla Chin decyzji stwierdzającej odpowiedni stopień ochrony danych. Dostawca deklaruje w swojej polityce prywatności, że stosuje odpowiednie zabezpieczenia przy przekazywaniu danych, oraz że może wykorzystywać przesyłane treści do rozwijania swoich modeli. Przedstawicielem dostawcy w UE jest Prighter Group (rep_deepseek@prighter.com).
Dlatego: nie umieszczaj w bazie wiedzy danych osobowych ani tajemnic przedsiębiorstwa, a na stronie, na której działa bot, poinformuj odwiedzających, że rozmowę obsługuje model językowy zewnętrznego dostawcy. Jeśli potrzebujesz modelu przetwarzającego dane wyłącznie w EOG, napisz na prywatnosc@verbot.pl.
Nie przekazujemy danych nikomu innemu, chyba że wymaga tego przepis prawa.
5. Ciasteczka
Niezbędne. Ciasteczko vb_sess utrzymuje Twoje zalogowanie. Bez niego panel
nie działa, więc nie pytamy o zgodę na nie — taka jest podstawa prawna z art. 173 ust. 3 Prawa
komunikacji elektronicznej.
Analityczne i marketingowe. Przy pierwszej wizycie pytamy, czy możemy używać ciasteczek Google Analytics i piksela Meta. Służą nam do dwóch rzeczy: policzenia, które strony realnie prowadzą do założenia konta, i sprawdzenia, które reklamy się zwracają. Do czasu Twojej zgody nie zapisujemy żadnego z nich, a skrypt Meta w ogóle się nie pobiera. Odmowa niczego w serwisie nie wyłącza.
Zdanie zawsze możesz zmienić — decyzję trzymamy w pamięci Twojej przeglądarki (localStorage,
klucz vb_consent). Wyczyszczenie danych witryny kasuje ją i zapytamy ponownie.
Widżet czatu osadzony na stronie klienta nie ustawia ciasteczek. Zapamiętuje treść rozmowy w pamięci przeglądarki odwiedzającego (localStorage), żeby po odświeżeniu strony nie zaczynać od nowa — dane te zostają na jego urządzeniu.
6. Twoje prawa
Masz prawo do dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz do sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Napisz na prywatnosc@verbot.pl — odpowiadamy w ciągu 30 dni.
Przysługuje Ci też skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Jeśli rozmawiałeś z botem na cudzej stronie i chcesz usunąć swoje dane — napisz do właściciela tej strony. My działamy na jego polecenie i przekażemy mu Twoje żądanie, jeśli trafi do nas.
7. Bezpieczeństwo
- Cały ruch szyfrowany (HTTPS, HSTS).
- Hasła zapisujemy jako skróty scrypt z losową solą — nie da się z nich odtworzyć hasła.
- Sesje trzymamy w bazie jako skróty tokenów; token widzi tylko Twoja przeglądarka.
- Kody potwierdzające i linki resetu wygasają (24 godziny / 1 godzina) i działają raz.
- Dostęp do serwera mają wyłącznie osoby po naszej stronie, po kluczu SSH.
- Kopia zapasowa bazy powstaje co 6 godzin i jest trzymana przez 15 dni.
- Strona podłączona wtyczką WordPress dostaje własny token, zapisany u nas wyłącznie jako skrót. Token pozwala tylko odczytać stan bota i odłączyć stronę — nie daje dostępu do rozmów ani kontaktów.
8. Dzieci
Serwis jest narzędziem dla firm i nie jest kierowany do osób poniżej 16. roku życia. Nie zbieramy świadomie ich danych.
9. Zmiany polityki
O istotnych zmianach uprzedzimy e-mailem wysłanym na adres konta co najmniej 14 dni wcześniej. Data na górze dokumentu zawsze wskazuje obowiązującą wersję.