1. Administrator danych
Administratorem danych osobowych jest Bilbao sp. z o.o. z siedzibą w Warszawie (00-071) przy ulicy Krakowskie Przedmieście 13, KRS: 0000817850, NIP: 521 388 45 92, e-mail: hello@oskarmind.com („Administrator”).
Administrator nie powołał Inspektora Ochrony Danych. W sprawach dotyczących danych osobowych można kontaktować się pod adresem e-mail wskazanym powyżej.
2. Zakres przetwarzanych danych
W zależności od sposobu korzystania z Platformy przetwarzamy:
Dane podawane przy rejestracji:
- imię i nazwisko
- adres e-mail
- miasto zamieszkania
Dane zbierane w ramach badań marketingowych:
- treść rozmów prowadzonych z asystentem AI (pełne transkrypcje)
- odpowiedzi ankietowe
- informacje o wieku, zawodzie, poziomie dochodów
- inne informacje dobrowolnie podane w trakcie badań
Dane techniczne:
- adres IP
- dane dotyczące aktywności na Platformie
Informacje o dochodach nie stanowią szczególnej kategorii danych w rozumieniu art. 9 RODO, jednak traktowane są przez Administratora jako dane wymagające podwyższonego poziomu ochrony.
3. Cele i podstawy prawne przetwarzania
3.1. Założenie i prowadzenie konta
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
3.2. Realizacja badań marketingowych z wykorzystaniem AI
Odpowiedzi użytkownika są przetwarzane przez system sztucznej inteligencji (model Claude, dostarczany przez Anthropic, PBC) w celu prowadzenia rozmów badawczych, zadawania pytań pogłębiających oraz analizy jakościowej udzielonych odpowiedzi. Ponadto treść odpowiedzi może być przetwarzana za pomocą modeli OpenAI, L.L.C. w celu generowania reprezentacji wektorowych (embeddings) służących do analizy porównawczej i statystycznej wyników badań.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda użytkownika).
3.3. Opracowanie analiz i raportów statystycznych
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora polegający na prowadzeniu działalności badawczej).
3.4. Dopasowywanie użytkowników do badań (profilowanie nieautomatyczne)
Dobór respondentów do badań dokonywany jest ręcznie przez zespół Administratora. Profilowanie odbywa się w sposób nieautomatyczny (z udziałem człowieka), nie wywołuje skutków prawnych wobec użytkownika i nie prowadzi do zautomatyzowanego podejmowania decyzji.
Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora).
3.5. Newsletter / marketing własny
Zgoda na komunikację marketingową jest zbierana odrębnie od zgody na udział w badaniach.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda).
3.6. Dochodzenie roszczeń i obrona przed roszczeniami
Podstawa prawna: art. 6 ust. 1 lit. f RODO.
4. Przetwarzanie danych przez system sztucznej inteligencji
W ramach prowadzenia badań marketingowych dane użytkownika (w szczególności treść udzielanych odpowiedzi) są przekazywane do systemów sztucznej inteligencji:
- Anthropic, PBC (San Francisco, USA) – model językowy Claude, służący do prowadzenia rozmów badawczych i zadawania pytań pogłębiających,
- OpenAI, L.L.C. (San Francisco, USA) – modele służące do generowania reprezentacji wektorowych (embeddings) odpowiedzi w celu analizy porównawczej i statystycznej.
System AI przetwarza dane użytkownika w następujących celach:
- prowadzenie konwersacji badawczej – zadawanie pytań pogłębiających na podstawie udzielonych odpowiedzi
- analiza jakościowa odpowiedzi – wsparcie w opracowywaniu wyników badań
Anthropic oraz OpenAI działają jako podmioty przetwarzające (procesorzy) na podstawie umów powierzenia przetwarzania danych (Data Processing Agreements).
System AI nie podejmuje decyzji wywołujących skutki prawne wobec użytkownika ani decyzji istotnie wpływających na jego sytuację w rozumieniu art. 22 RODO.
Zgodnie z art. 50 ust. 1 rozporządzenia (UE) 2024/1689 (EU AI Act), Administrator informuje, że użytkownik wchodzi w interakcję z systemem sztucznej inteligencji.
5. Udostępnianie danych podmiotom zlecającym badania
Administrator realizuje badania marketingowe na zlecenie podmiotów trzecich. Podmiotom zlecającym badania przekazywane są wyłącznie opracowane analizy oraz raporty statystyczne, które nie zawierają danych umożliwiających bezpośrednią identyfikację użytkowników.
Administrator nie przekazuje tym podmiotom danych osobowych respondentów w formie umożliwiającej ich identyfikację. Raporty przygotowywane są w sposób zapewniający odpowiedni poziom agregacji danych.
6. Odbiorcy danych (podmioty przetwarzające)
Dane mogą być przekazywane następującym kategoriom odbiorców:
- Anthropic, PBC (USA) – dostawca systemu sztucznej inteligencji (model Claude), przetwarzający treść rozmów badawczych
- OpenAI, L.L.C. (USA) – dostawca systemu sztucznej inteligencji służącego do analizy odpowiedzi (embeddings)
- Supabase Inc. (USA, region bazy danych: UE/Frankfurt) – dostawca bazy danych przechowującej dane użytkowników i wyniki badań
- Vercel Inc. (USA) – dostawca hostingu Platformy
- Resend Inc. (USA) – dostawca systemu mailingowego
Podmioty te przetwarzają dane na podstawie umów powierzenia przetwarzania danych (Data Processing Agreements).
Ponadto Platforma korzysta z następujących narzędzi analitycznych i monitorujących, które przetwarzają wyłącznie dane zanonimizowane lub zagregowane, nieidentyfikujące użytkownika:
- Vercel Analytics i Speed Insights (Vercel Inc., USA) – analityka ruchu na Platformie; narzędzia nie wykorzystują plików cookies i nie zbierają danych osobowych
- Sentry (Functional Software Inc., USA) – monitorowanie błędów technicznych Platformy; dane są przetwarzane w formie zanonimizowanej, bez danych umożliwiających identyfikację użytkownika
7. Przekazywanie danych poza UE
W związku z korzystaniem z usług podmiotów wymienionych w punkcie 6, dane osobowe mogą być przekazywane do Stanów Zjednoczonych. Dotyczy to w szczególności:
- Anthropic, PBC – treść rozmów badawczych z AI
- OpenAI, L.L.C. – treść odpowiedzi przetwarzanych w celu generowania embeddings
- Supabase Inc. – dane kont i wyniki badań (baza danych zlokalizowana w UE/Frankfurt; Supabase Inc. jako podmiot amerykański może mieć dostęp do danych w ramach obsługi technicznej)
- Vercel Inc. – dane techniczne związane z hostingiem
- Resend Inc. – adresy e-mail w ramach komunikacji
Transfer danych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych (EU–US Data Privacy Framework) lub, w przypadku podmiotów nieobjętych tą decyzją, przy zastosowaniu standardowych klauzul umownych (Standard Contractual Clauses) zatwierdzonych przez Komisję Europejską.
8. Okres przechowywania danych
- Dane konta – do momentu usunięcia konta.
- Dane przetwarzane na podstawie zgody – do momentu jej cofnięcia.
- Transkrypcje rozmów badawczych – przez okres 3 lat od daty przeprowadzenia badania, chyba że wcześniej użytkownik cofnie zgodę lub zażąda usunięcia danych.
- Dane do celów dochodzenia roszczeń – przez okres przedawnienia roszczeń (co do zasady 6 lat).
Po upływie okresów wskazanych powyżej dane mogą zostać trwale zanonimizowane i wykorzystywane wyłącznie w celach statystycznych.
9. Usunięcie konta
Użytkownik może w każdej chwili usunąć konto. Usunięcie konta powoduje:
- zaprzestanie przetwarzania danych w celach aktywnego udziału w badaniach,
- usunięcie danych identyfikujących,
- możliwość dalszego wykorzystywania danych wyłącznie w formie zanonimizowanej.
10. Prawa użytkownika
Użytkownik ma prawo do:
- dostępu do danych, w tym do uzyskania kopii transkrypcji swoich rozmów badawczych z asystentem AI,
- sprostowania danych,
- usunięcia danych („prawo do bycia zapomnianym”),
- ograniczenia przetwarzania,
- wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie Administratora,
- przenoszenia danych,
- cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
W celu realizacji praw należy skontaktować się z Administratorem pod adresem: hello@oskarmind.com. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania.
11. Pliki cookies
Platforma wykorzystuje wyłącznie niezbędne techniczne pliki cookies, konieczne do prawidłowego funkcjonowania usługi (np. utrzymanie sesji użytkownika). Platforma nie wykorzystuje cookies analitycznych ani marketingowych.
12. Dane osób niepełnoletnich
Z Platformy mogą korzystać osoby, które ukończyły 16 lat. Administrator nie przetwarza świadomie danych osób poniżej 16. roku życia.