Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Graczyk Szymon Bitcraft, jednoosobowa działalność gospodarcza wpisana do CEIDG, NIP: 6422997504 (dalej: „Vestimia" lub „my").

Kontakt w sprawach danych osobowych: hello@vestimia.com

2. Podmioty przetwarzające

Korzystamy z podmiotów przetwarzających dane na nasze zlecenie. Dobieramy je wyłącznie, gdy są potrzebne do działania usługi.

Rola	Podmiot	Lokalizacja
Dostawca AI	Anthropic, PBC	USA
Dostawca e-mail	Resend, Inc.	USA
Dostawca hostingu	Hetzner Online GmbH	Niemcy (UE)
Operator płatności	Stripe Payments Europe, Ltd.	Irlandia (UE)
Dostawca infrastruktury frontendu i CDN	Cloudflare, Inc.	USA

3. Jakie dane zbieramy

Dane	Przetwarzane	Przechowywane	Cel
Zdjęcia przesłane do analizy	✓	Zobacz pkt 9	Wykonanie analizy kolorystycznej
Płeć	✓	✓	Dostosowanie analizy i rekomendacji
Adres e-mail	✓	✓	Wysyłka zamówionej karty kolorów, potwierdzenie zakupu, logowanie do konta; marketing tylko po osobnej zgodzie
Dowód zamówienia karty kolorów	✓	✓	Adres e-mail, data i godzina UTC, wersja treści, źródło żądania i adres IP
Dane transakcji (data, identyfikator płatności)	✓	✓	Obsługa zamówienia i obowiązki podatkowe
Dane konta (e-mail, sesje logowania)	✓	✓	Prowadzenie konta i historia analiz
Zgoda na natychmiastowe dostarczenie raportu (art. 38 ust. 1 pkt 13 u.p.k.)	—	✓	Rezygnacja z 14-dniowego prawa odstąpienia przy zakupie raportu — odnotowana w `purchase_consent_at`
Zagregowane statystyki analiz (sezon, liczba zdjęć)	✓	✓	Doskonalenie algorytmów (dane niespersonalizowane)
Adres IP (rate limiting)	✓	✗	Ochrona przed nadużyciami — tylko w pamięci serwera

4. Cele i podstawy prawne przetwarzania

Cel przetwarzania	Podstawa prawna (RODO)	Dane
Wykonanie analizy kolorystycznej	Art. 6 ust. 1 lit. a (zgoda) oraz Art. 6 ust. 1 lit. b (wykonanie usługi)	Zdjęcia przesłane do analizy, płeć
Jednorazowa wysyłka karty kolorów na żądanie	Art. 6 ust. 1 lit. b (wykonanie usługi)	Adres e-mail, karta kolorów, wynik analizy
Marketing elektroniczny (nowości i oferty)	Art. 6 ust. 1 lit. a (zgoda) oraz art. 398 PKE	Adres e-mail, dowód zgody
Obsługa płatności i dostarczenie raportu premium	Art. 6 ust. 1 lit. b (wykonanie umowy)	Adres e-mail, dane transakcji
Realizacja obowiązków podatkowych i księgowych	Art. 6 ust. 1 lit. c (obowiązek prawny)	Dane transakcji
Prowadzenie konta użytkownika	Art. 6 ust. 1 lit. b (wykonanie usługi)	Adres e-mail, sesje logowania
Doskonalenie algorytmów	Art. 6 ust. 1 lit. f (uzasadniony interes)	Zagregowane statystyki analiz (bez danych identyfikujących)
Ochrona przed nadużyciami	Art. 6 ust. 1 lit. f (uzasadniony interes)	Adres IP (tylko w pamięci, nie zapisywany)

Jednorazowa wysyłka karty kolorów realizuje Twoje żądanie i nie jest marketingiem. Nie wymaga zgody marketingowej. Zgodę na informacje o nowościach i ofertach wyrażasz osobno i dobrowolnie, na podstawie art. 6 ust. 1 lit. a RODO oraz art. 398 PKE. Możesz cofnąć ją w każdej chwili. Brak tej zgody nie blokuje wysyłki zamówionej karty.

Przy zamówieniu karty zapisujemy dowód tego żądania: adres e-mail, datę i godzinę w UTC, wersję pokazanej treści, źródło żądania oraz adres IP. Przy osobnej zgodzie marketingowej zapisujemy te same informacje jako dowód zgody.

Uzasadniony interes w przypadku doskonalenia algorytmów polega na poprawie jakości usługi dla wszystkich użytkowników. Zagregowane statystyki nie zawierają adresów e-mail, zdjęć ani innych danych pozwalających na identyfikację osoby.

5. Zdjęcia i analiza kolorystyczna

Przetwarzamy zdjęcia wyłącznie, aby wykonać analizę kolorystyczną. Nie publikujemy ich w Vestimii ani nie używamy ich w materiałach marketingowych.

Do wykonania analizy korzystamy z automatycznych narzędzi oraz, gdy jest to potrzebne, z usług zewnętrznych dostawców działających na nasze zlecenie. Kategorie odbiorców, transfer danych i okresy przechowywania opisują punkty 7–9.

Nie używamy zdjęć do identyfikacji osób ani do tworzenia szablonów biometrycznych.

6. Przetwarzanie przez AI

Zewnętrzny dostawca AI może wspierać wykonanie analizy kolorystycznej. Przekazujemy mu wyłącznie dane niezbędne do wykonania tej usługi.

Dostawca działa jako podmiot przetwarzający na nasze zlecenie. Informacje o kategorii dostawcy, transferach poza EOG i Twoich prawach znajdziesz w punktach 2, 8 i 10.

7. Odbiorcy danych

Dane mogą otrzymywać kategorie podmiotów wskazane w punkcie 2, wyłącznie w zakresie koniecznym do świadczenia usługi:

Kategoria odbiorcy	Zakres danych
Dostawcy usług AI	Dane obrazu potrzebne do wykonania analizy
Dostawcy poczty elektronicznej	Adres e-mail, zamówiona karta kolorów i wynik analizy
Dostawcy hostingu i infrastruktury	Dane konieczne do działania serwisu
Operatorzy płatności	Dane płatnicze, adres e-mail kupującego i dane transakcji

Nie sprzedajemy danych i nie udostępniamy ich podmiotom marketingowym.

8. Transfer danych poza Europejski Obszar Gospodarczy

Niektórzy dostawcy usług przetwarzają dane w Stanach Zjednoczonych. Gdy transfer poza EOG jest potrzebny, stosujemy odpowiednią podstawę prawną, w tym decyzję o adekwatności lub Standardowe Klauzule Umowne zatwierdzone przez Komisję Europejską.

9. Okres przechowywania danych

Dane	Okres przechowywania
Zdjęcia i dane obrazu przesłane do analizy	Przez okres niezbędny do wykonania analizy i obsługi ewentualnego odrzucenia zdjęcia. Nie stanowią części historii wyniku analizy.
Wyniki analizy (sezon, paleta, opis, płeć)	Analizy nieopłacone: 12 miesięcy od utworzenia, następnie automatyczna anonimizacja (usunięcie adresu e‑mail i treści wyniku). Analizy opłacone: 5 lat od końca roku podatkowego (dane transakcji — zob. pkt 12)
Adres e-mail	Adres użyty do zamówienia karty: 12 miesięcy, następnie anonimizacja. Transakcje opłacone: 5 lat (obowiązek podatkowy). Konto: do usunięcia konta
Dowód zamówienia karty kolorów	12 miesięcy od zamówienia, następnie anonimizacja. Dotyczy adresu e-mail, czasu UTC, wersji treści, źródła i adresu IP
Dowód zgody marketingowej	Przez czas aktywnej zgody oraz 1 rok po jej cofnięciu, następnie anonimizacja
Dane transakcji	5 lat od końca roku podatkowego, w którym dokonano transakcji (obowiązek podatkowy)
Dane konta (e-mail, historia analiz)	Do momentu usunięcia konta
Sesje logowania	7 dni lub do wylogowania
Zgoda na przetwarzanie	Przez czas przechowywania powiązanej analizy
Zagregowane statystyki analiz	Bezterminowo — dane nie są powiązane z osobami
Kopie zapasowe bazy danych (zaszyfrowane)	30 dni — automatyczne usuwanie starszych kopii
Adres IP (rate limiting)	Kilka minut — wyłącznie w pamięci serwera
Marketingowy opt-out	Przez czas potrzebny do powstrzymania przyszłych wiadomości marketingowych

Analizy, które nie zostały sfinalizowane płatnością, są automatycznie anonimizowane po 12 miesiącach — usuwamy powiązany adres e‑mail oraz treść wyniku, zachowując jedynie zagregowane dane statystyczne (sezon, płeć) niezwiązane z osobą. Pełne usunięcie swoich danych możesz zażądać w dowolnym momencie (zob. pkt 10); odpowiadamy w ciągu 30 dni.

10. Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa:

Dostęp — masz prawo uzyskać informację, jakie dane przetwarzamy na Twój temat
Sprostowanie — możesz poprosić o poprawienie nieprawidłowych danych
Usunięcie — możesz zażądać usunięcia swoich danych (wyników analizy, adresu e-mail). Zdjęcia nie wymagają usunięcia, ponieważ nie są przechowywane
Ograniczenie przetwarzania — możesz zażądać ograniczenia przetwarzania w określonych sytuacjach
Przenoszenie danych — masz prawo otrzymać swoje dane w ustrukturyzowanym formacie
Sprzeciw — możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie
Cofnięcie zgody — możesz cofnąć zgodę w dowolnym momencie, co nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem

Marketingowy opt-out (zapisany jakomarketing_unsubscribes) to węższy mechanizm, który blokuje tylko przyszłe wiadomości marketingowe. Nie anuluje zamówionej karty ani nie blokuje wiadomości transakcyjnych, takich jak potwierdzenie płatności.

Globalne wypisanie z listy (email_unsubscribes) jest szersze i może zatrzymać każdą niewysłaną wiadomość, w tym zamówioną kartę. Nie obejmuje potwierdzenia płatności, ponieważ jest to wiadomość transakcyjna.

Jak skorzystać z praw:
Napisz do nas na hello@vestimia.com. Odpowiemy w ciągu 30 dni. Planujemy również udostępnić opcję samodzielnego usunięcia danych bezpośrednio w aplikacji.

Skarga do organu nadzorczego:
Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

11. Pliki cookies i analityka

Vestimia stosuje wyłącznie jeden niezbędny plik cookie sesyjny (vestimia_session), ustawiany dopiero po zalogowaniu do konta. Cookie służy wyłącznie do utrzymania sesji logowania, jest ważny 7 dni i nie jest dostępny dla skryptów (HttpOnly). Jako plik niezbędny do świadczenia usługi nie wymaga zgody.

Nie stosujemy cookies śledzących, marketingowych ani narzędzi śledzących opartych na cookies.

Do analityki wykorzystujemy Umami — narzędzie hostowane na naszych serwerach w UE, które nie wykorzystuje plików cookies, nie śledzi użytkowników między stronami i nie zbiera danych osobowych. Umami gromadzi wyłącznie zagregowane statystyki odwiedzin (liczba wizyt, popularne strony, źródła ruchu) bez możliwości identyfikacji poszczególnych osób.

12. Płatności

Zakup pełnego raportu analizy kolorystycznej (49 zł) obsługuje operator płatności z EOG. Dostępne metody płatności są prezentowane w formularzu płatności.

Nie przechowujemy numerów kart, danych kont bankowych ani innych wrażliwych danych płatniczych — te dane przetwarza wyłącznie operator płatności
Przechowujemy jedynie informacje o transakcji (data, identyfikator płatności) oraz adres e-mail kupującego — niezbędne do obsługi zamówienia i dostarczenia raportu
Dane dotyczące transakcji są przechowywane przez 5 lat od końca roku podatkowego, w którym dokonano transakcji, zgodnie z obowiązkami wynikającymi z przepisów podatkowych (Art. 6 ust. 1 lit. c RODO)

13. Konto użytkownika

Korzystanie z bezpłatnej analizy nie wymaga zakładania konta. Możesz jednak założyć opcjonalne konto, aby mieć dostęp do historii swoich analiz.

Logowanie odbywa się linkiem wysyłanym na e-mail (tzw. magic link, ważny 15 minut) — nie ustawiasz i nie przechowujemy żadnego hasła. W związku z kontem przetwarzamy:

Adres e-mail — do logowania i komunikacji
Sesje logowania — utrzymywane przez 7 dni (niezbędny cookie sesyjny, zob. punkt 11)
Historia analiz — powiązanie wyników z Twoim kontem

Dane konta są przechowywane do momentu jego usunięcia. Możesz zażądać usunięcia konta w dowolnym momencie (punkt 10), co spowoduje usunięcie wszystkich powiązanych danych — z wyjątkiem danych transakcji, które przechowujemy przez okres wymagany przepisami podatkowymi (punkt 12).

14. Zmiany w Polityce prywatności

Niniejsza polityka może być aktualizowana w miarę rozwoju usługi. O istotnych zmianach poinformujemy:

poprzez widoczne powiadomienie na stronie vestimia.com
poprzez e-mail — jeśli posiadamy Twój adres e-mail i zmiana dotyczy sposobu przetwarzania Twoich danych

Data ostatniej aktualizacji jest widoczna na początku dokumentu. Zachęcamy do okresowego zapoznawania się z treścią polityki.

15. Kontakt

W sprawach dotyczących ochrony danych osobowych skontaktuj się z nami:

Graczyk Szymon Bitcraft
Adres: Piaskowa 92/1, 55-010 Radomierzyce
NIP: 6422997504
E-mail: hello@vestimia.com
Strona: vestimia.com