Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest ecopywriting.pl Karol Leszczyński, Papowo Biskupie 119/18, 86-221 Papowo Biskupie, NIP: 9562203948. Kontakt we wszystkich sprawach dotyczących danych osobowych:contact@cytado.com. Polityka obejmuje serwiscytado.com wraz z panelem użytkownika.

2. Jakie dane przetwarzamy

• Konto użytkownika — adres e-mail, hasło (przechowywane wyłącznie w postaci skrótu bcrypt — nie znamy go), wybrany język panelu; przy logowaniu przez Google — także identyfikator konta Google. Kody weryfikacyjne wysyłane e-mailem przechowujemy wyłącznie w postaci skrótu i tylko do czasu ich wykorzystania lub wygaśnięcia.
• Treści projektów — podany temat pracy, opcjonalny konspekt oraz akapity wklejane do wyszukiwarki źródeł. To treści merytoryczne Twojej pracy — traktujemy je jak dane poufne i przetwarzamy wyłącznie w celu świadczenia usługi (wyszukanie i dopasowanie źródeł, patrz pkt 4). Nie publikujemy ich i nie udostępniamy innym Użytkownikom.
• Sprawdzana bibliografia — lista źródeł, którą wklejasz albo wgrywasz (plik tekstowy lub PDF) do sprawdzarki bibliografii. Z pliku odczytujemy wyłącznie tekst pozycji bibliograficznych; wgranego pliku nie przechowujemy trwale po analizie. Traktujemy tę treść jak dane poufne i przetwarzamy wyłącznie w celu weryfikacji źródeł (patrz pkt 4).
• Historia wyników — zapisujemy wyniki wyszukiwania źródeł do akapitów i sprawdzeń bibliografii wraz z treścią zapytania, abyś mógł do nich wrócić w panelu, a powtórzone zapytanie nie musiało być liczone od nowa.
• Rejestr zapytań AI — w celach diagnostycznych i rozliczeniowych zapisujemy treść zapytań kierowanych do modelu AI (mogą zawierać temat, konspekt i akapity z punktów powyżej) oraz odpowiedzi modelu, wraz z kosztami. Rejestr jest dostępny wyłącznie administratorowi Serwisu i jest usuwany razem z kontem.
• Płatności — obsługuje je Stripe, który jest administratorem danych płatniczych (numeru karty nie widzimy i nie przechowujemy). Otrzymujemy potwierdzenie płatności oraz dane niezbędne do rozliczeń.
• Korespondencja — treść wiadomości z formularza kontaktowego wraz z adresem e-mail, a przy prośbie o fakturę — podane przez Ciebie dane do faktury (nazwa, adres, NIP).
• E-maile transakcyjne — kody weryfikacyjne przy rejestracji i resecie hasła, wysyłane przez Amazon SES. Nie wysyłamy e-maili marketingowych.
• Dane techniczne — standardowe logi serwerów (adres IP, czas żądania) oraz liczniki użycia funkcji, w tym licznik bezpłatnych wyszukiwań powiązany z adresem IP — dla bezpieczeństwa, stabilności usług i egzekwowania limitów.
• Dane analityczne — wyłącznie po Twojej zgodzie wyrażonej w banerze cookies (pkt 7).

3. Cele i podstawy prawne

• założenie i obsługa konta, wyszukiwanie i dopasowywanie źródeł, generowanie przypisów, eksporty, historia wyników — wykonanie umowy (art. 6 ust. 1 lit. b RODO);
• rozliczenia i dokumenty sprzedaży — obowiązek prawny (art. 6 ust. 1 lit. c RODO);
• obsługa korespondencji i reklamacji — wykonanie umowy oraz prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. b i f RODO);
• bezpieczeństwo usług, limity anty-nadużyciowe (w tym licznik per adres IP), ochrona formularzy przed botami (reCAPTCHA), rejestr zapytań AI dla diagnostyki i obrony przed roszczeniami — prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO);
• statystyki ruchu — Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą możesz w każdej chwili wycofać w banerze cookies.

4. Odbiorcy danych

Korzystamy z usług następujących podmiotów:

• Amazon Web Services (AWS) — infrastruktura serwerowa oraz wysyłka e-maili transakcyjnych (Amazon SES);
• Stripe — obsługa płatności (dla danych płatniczych Stripe działa jako samodzielny administrator);
• Anthropic, PBC (USA) — dostawca modelu sztucznej inteligencji. Do Anthropic trafia treść niezbędna do wykonania usługi: temat pracy, konspekt, wklejone akapity, fragmenty analizowanych publikacji oraz wklejone lub wgrane listy bibliograficzne (do rozpoznania pozycji). Dane te nie są wykorzystywane przez Anthropic do trenowania modeli (API bez retencji treningowej);
• Bazy publikacji naukowych i rejestry publiczne — w celu znalezienia i weryfikacji źródeł przekazujemy im zapytania zbudowane z tematu pracy albo ze sprawdzanej pozycji bibliograficznej (bez Twoich danych identyfikacyjnych). Są to: OpenAlex, Crossref, Semantic Scholar (Allen Institute for AI), CORE, Unpaywall, DOAJ, DOAB/OAPEN, Europe PMC, Google Books, Biblioteka Nauki (ICM UW), a dla źródeł dziedzinowych — Główny Urząd Statystyczny (Bank Danych Lokalnych), Sejm RP (rejestr aktów prawnych) oraz bazy orzecznictwa. Dostawcy mają siedziby w Unii Europejskiej, Wielkiej Brytanii i Stanach Zjednoczonych;
• Serper (USA) — wyszukiwanie publikacji w internecie; przekazujemy wyłącznie zapytania wyszukiwawcze wygenerowane z tematu pracy albo ze sprawdzanej pozycji bibliograficznej (bez Twoich danych identyfikacyjnych);
• Usługa ekstrakcji tekstu — infrastruktura Usługodawcy służąca do odczytania treści i numeracji stron z publicznie dostępnych dokumentów; przetwarza adresy dokumentów oraz ich treść, nie Twoje dane osobowe;
• Google — logowanie kontem Google (za Twoją decyzją), reCAPTCHA v3 oraz — po zgodzie z banera — statystyki ruchu w Google Analytics 4;
• Dostawca hostingu poczty — obsługa skrzynki kontaktowej Usługodawcy, na którą trafia korespondencja kierowana na adres podany w pkt 1.

Dane nie są sprzedawane ani udostępniane innym podmiotom w celach marketingowych. Przekazania poza Europejski Obszar Gospodarczy odbywają się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU–US Data Privacy Framework) lub standardowych klauzul umownych.

5. Jak długo przechowujemy dane

• dane konta, projekty i rejestr zapytań AI — do czasu usunięcia konta (możesz to zrobić samodzielnie w zakładce Konto; usunięcie jest natychmiastowe i nieodwracalne);
• historia wyników wyszukiwania i sprawdzeń — do czasu usunięcia konta; do ponownego wykorzystania zapisanego wyniku bierzemy pod uwagę wpisy z ostatnich 30 dni;
• korespondencja i dane do faktury — przez czas potrzebny do obsługi sprawy, a dane rozliczeniowe przez okres wymagany przepisami podatkowymi;
• dokumenty rozliczeniowe — 5 lat od końca roku podatkowego (wymóg przepisów podatkowych); historia płatności pozostaje także w Stripe;
• logi techniczne i liczniki limitów — nie dłużej, niż wymaga tego bezpieczeństwo usług i rozliczenie limitów;
• dane analityczne — zgodnie z ustawionym okresem retencji narzędzia (maks. 14 miesięcy).

6. Twoje prawa

Masz prawo do: dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz wycofania zgody w dowolnym momencie. Wnioski przyjmujemy pod adresem contact@cytado.com. Przysługuje Ci również skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Podanie danych jest dobrowolne, ale bez adresu e-mail nie założysz konta, a bez tematu pracy nie wyszukamy źródeł. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Automatyczna ocena dotyczy wyłącznie publikacji (ich dopasowania do tematu), nie Twojej osoby.

7. Cookies, localStorage i Consent Mode v2

• Niezbędne — cookie sesji zalogowanego użytkownika, zabezpieczenie logowania Google (state), zapamiętanie Twojej decyzji z banera cookies, wybranego języka i preferencji motywu. Bez nich Serwis nie działa; nie wymagają zgody.
• Analityczne — wyłącznie po Twojej zgodzie. Działamy w trybie Consent Mode v2: analityka jest domyślnie wyłączona i dopóki nie klikniesz „Akceptuję” w banerze, żadne cookies analityczne nie są zapisywane. Zgodę możesz wycofać w każdej chwili (link „Ustawienia cookies” w stopce). Decyzja podjęta na stronie publicznej obowiązuje także w panelu.
• reCAPTCHA — Google reCAPTCHA v3 chroni formularze logowania i rejestracji; może zapisywać własne cookies niezbędne do odróżnienia ludzi od botów.

8. Bezpieczeństwo

Połączenie z Serwisem jest szyfrowane (HTTPS). Hasła przechowujemy wyłącznie w postaci skrótu bcrypt, a sesje w ciasteczku niedostępnym dla skryptów. Dostęp do bazy danych i rejestru zapytań ma wyłącznie administrator Serwisu.

9. Zmiany polityki i kontakt

O istotnych zmianach niniejszej polityki poinformujemy w Serwisie. W sprawach danych osobowych pisz na contact@cytado.com. Zasady świadczenia usług określa regulamin.