Polityka prywatności Tales4Kids / Bajki.ai

1. Administrator danych

Administratorem danych osobowych jest AVATARLAND Sp. z o.o., ul. Trybunalska 46, 60-325 Poznań, Polska, KRS 0000099765, NIP 7792167451, REGON 634272390.

W sprawach ochrony danych można kontaktować się pod adresem gdpr@tales4kids.ai. Jest to dedykowany adres kontaktowy do spraw RODO; nie oznacza on automatycznie, że spółka wyznaczyła Inspektora Ochrony Danych.

2. Zakres zbieranych danych

• dane Portfela: adres e-mail, wybrany język, status potwierdzenia e-maila, saldo i historia kredytów;
• dane formularza: imię lub pseudonim bohatera, opis, towarzysz, miejsce i morał oraz wynikowe teksty, ilustracje i audio;
• dane aktywności: identyfikator i status generacji, ocena Bajki, informacje o nagrodach, platforma i skrót linku do opublikowanego posta;
• dane rozliczeniowe: pakiet, kwota, waluta, status płatności i identyfikator transakcji; pełne dane karty przetwarza operator płatności, a nie Serwis;
• dane techniczne: adres IP przechowywany w postaci zaszyfrowanej i skrótu, przybliżony kraj, miasto i współrzędne z lokalnej bazy GeoLite2, znaczniki czasu, logi błędów, rodzaj przeglądarki w postaci skrótu;
• dowód oświadczeń: wersje Regulaminu i Polityki, język, czas akceptacji oraz kryptograficzne skróty treści dokumentów, IP i user-agent;
• korespondencja: treść zgłoszeń, reklamacji i żądań dotyczących danych.

3. Dane dzieci

Serwis jest przeznaczony dla osób dorosłych. Nie prosimy dzieci o utworzenie konta. Dorosły może dobrowolnie wpisać imię lub pseudonim dziecka oraz neutralne elementy fabuły, jeśli jest do tego uprawniony.

Nie należy wpisywać nazwiska, adresu, szkoły, numerów kontaktowych, fotografii, identyfikatorów ani danych szczególnych kategorii, w tym informacji o zdrowiu, niepełnosprawności, pochodzeniu, religii lub seksualności. Jeśli takie dane zostaną podane, prosimy o kontakt w celu ich usunięcia.

Dane dotyczące dziecka są przetwarzane, aby wykonać usługę zamówioną przez rodzica lub opiekuna, na podstawie prawnie uzasadnionego interesu Administratora i Użytkownika polegającego na utworzeniu żądanej, bezpiecznej Bajki, z zastosowaniem minimalizacji i krótkiej retencji.

4. Cele i podstawy prawne

• utworzenie Portfela, potwierdzenie e-maila, generowanie i dostarczenie Bajki, ilustracji i lektora, obsługa kredytów oraz płatności – wykonanie umowy lub działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO);
• moderacja treści, zapobieganie nadużyciom, ochrona kont, diagnostyka, logi, kontrola kosztów i bezpieczeństwo Serwisu – prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO);
• przybliżone statystyki geograficzne i produktowe, oceny Bajek oraz ulepszanie niezawodności bez używania treści do marketingu – prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO);
• pomiar odwiedzin i wydajności strony przez Cloudflare Web Analytics – zgoda (art. 6 ust. 1 lit. a RODO), którą można w każdej chwili wycofać w ustawieniach cookies;
• obsługa reklamacji, roszczeń i dowodów akceptacji – wykonanie umowy, obowiązek prawny i prawnie uzasadniony interes obrony roszczeń (art. 6 ust. 1 lit. b, c i f RODO);
• prowadzenie dokumentacji księgowej i podatkowej – obowiązek prawny (art. 6 ust. 1 lit. c RODO);
• wysyłka wiadomości transakcyjnych dotyczących Portfela i Bajki – wykonanie umowy; nie wysyłamy newslettera ani marketingu bez odrębnej podstawy.

5. Jak wykorzystujemy sztuczną inteligencję

Dane formularza są przesyłane przez zabezpieczone API do OpenAI w celu moderacji i wygenerowania tekstu. Treść Bajki i opis scen mogą zostać przesłane do Google Gemini w celu utworzenia ilustracji. Dopiero po kliknięciu przycisku lektora tytuł i tekst Bajki są przesyłane do ElevenLabs w celu syntezy mowy.

Dostawcy przetwarzają dane jako podmioty przetwarzające lub – w ograniczonym zakresie danych bezpieczeństwa i eksploatacji – jako odrębni administratorzy zgodnie ze swoimi warunkami. Konfigurujemy biznesowe/API warianty usług; OpenAI nie używa danych API do trenowania modeli domyślnie, a zasady Google dla użytkowników z EOG przewidują przetwarzanie promptów jak dla usług płatnych. ElevenLabs może przechowywać dane zgodnie ze swoim DPA i ustawieniami konta.

AI automatycznie decyduje, czy prośba jest odpowiednia dla dzieci i zgodna z formularzem. Taka decyzja może odmówić generacji, ale nie wywołuje skutków prawnych ani podobnie istotnych w rozumieniu art. 22 RODO. Można poprosić o sprawdzenie błędu przez kontakt na info@tales4kids.ai.

6. Odbiorcy i dostawcy

Nie sprzedajemy danych osobowych i nie udostępniamy danych dziecka reklamodawcom. Lokalizacja IP jest ustalana lokalnie z bazy GeoLite2, bez wysyłania IP do zewnętrznego API geolokalizacyjnego.

• dhosting.pl – hosting aplikacji, plików i bazy danych;
• OpenAI – moderacja i generowanie tekstu;
• Google Gemini – generowanie ilustracji;
• ElevenLabs – opcjonalna synteza mowy uruchamiana przez Użytkownika;
• Mailjet / Sinch Email – wysyłka wiadomości transakcyjnych;
• Cloudflare Web Analytics – statystyki odwiedzin i wydajności po wyrażeniu zgody;
• Stripe i uczestnicy systemu płatniczego – obsługa płatności, jeżeli zostaną włączone;
• dostawcy wsparcia IT, księgowości, obsługi prawnej i uprawnione organy publiczne – tylko gdy jest to niezbędne i zgodne z prawem.

7. Przekazywanie danych poza EOG

Część dostawców technologicznych może przetwarzać dane w Stanach Zjednoczonych lub innych państwach poza Europejskim Obszarem Gospodarczym. Przekazanie odbywa się na podstawie decyzji stwierdzającej odpowiedni stopień ochrony, w tym EU–US Data Privacy Framework, albo standardowych klauzul umownych Komisji Europejskiej wraz z wymaganymi środkami dodatkowymi.

Informację o aktualnym mechanizmie transferu i kopię odpowiednich zabezpieczeń można uzyskać, pisząc na gdpr@tales4kids.ai; niektóre części dokumentów mogą zostać zanonimizowane ze względu na tajemnicę przedsiębiorstwa lub bezpieczeństwo.

8. Okresy przechowywania

• dane formularza, tytuł i tekst Bajki, ilustracje, audio, komunikaty błędów oraz zaszyfrowany surowy adres IP – do 30 dni od utworzenia Bajki, następnie automatycznie usuwane lub anonimizowane;
• niepotwierdzony Portfel i powiązane żądania – do 30 dni, o ile nie istnieje płatność lub obowiązek zachowania danych;
• Portfel, e-mail, saldo, historia kredytów i podstawowe dane operacyjne – przez czas korzystania z Portfela, a po żądaniu usunięcia przez okres potrzebny do zamknięcia sprawy i obrony roszczeń, co do zasady nie dłużej niż 6 lat;
• pseudonimizowany skrót IP, przybliżona geolokalizacja, status, znaczniki czasu, tokeny, koszty i ocena – do czasu usunięcia Portfela lub ustania prawnie uzasadnionego celu statystycznego, bezpieczeństwa i rozliczeń; następnie usuwane lub agregowane;
• dowody akceptacji dokumentów i reklamacje – przez okres umowy i przedawnienia roszczeń, co do zasady do 6 lat;
• dokumenty płatnicze i podatkowe – przez okres wymagany prawem, zwykle 5 lat od końca właściwego roku podatkowego;
• logi techniczne – zwykle do 90 dni, chyba że są potrzebne dłużej do wyjaśnienia incydentu lub obrony roszczeń;
• dane Cloudflare Web Analytics – dane surowe do 7 dni, a zagregowane statystyki do 6 miesięcy, zgodnie z zasadami dostawcy;
• dane u dostawców zewnętrznych – zgodnie z zawartymi umowami, ustawieniami bezpieczeństwa oraz ich obowiązkami prawnymi.

9. Pliki cookie i pamięć przeglądarki

Cookies sesyjne, bezpieczeństwa, języka i Portfela są niezbędne do świadczenia funkcji wyraźnie żądanych przez Użytkownika. Zapamiętywanie wcześniejszych odpowiedzi formularza oraz analityka są opcjonalne i uruchamiamy je dopiero po zgodzie.

Po zgodzie Cloudflare Web Analytics mierzy odsłony i wydajność strony. Według dostawcy nie zapisuje cookies ani localStorage, nie tworzy odcisku urządzenia i nie śledzi Użytkownika pomiędzy serwisami. Przetwarzane mogą być m.in. ścieżka strony bez parametrów zapytania, strona odsyłająca, kraj, typ urządzenia, przeglądarka, system operacyjny i wskaźniki wydajności.

Zgodę można w każdej chwili zmienić lub wycofać przez „Ustawienia cookies” w stopce. Wycofanie usuwa zapisane podpowiedzi i powoduje, że skrypt analityczny nie będzie ładowany przy kolejnych odsłonach. Nie wpływa to na wcześniejszą zgodność przetwarzania z prawem.

Nie używamy cookies reklamowych ani międzyserwisowego śledzenia użytkowników. Dane lokalne można także usunąć w ustawieniach przeglądarki; usunięcie cookie Portfela wymaga ponownego pobrania linku e-mail.

• bajki_cookie_consent – zapisuje wybór dotyczący cookies przez 1 rok;
• bajki_wallet – bezpieczny, HttpOnly plik cookie rozpoznający Portfel, przechowywany do 3 lat;
• bajki_locale – zapamiętuje język przez 1 rok;
• bajki_story_form – za zgodą Użytkownika zapamiętuje w przeglądarce ostatnie wartości formularza jako podpowiedzi przez 180 dni; dane nie są wysyłane na serwer, dopóki Użytkownik nie prześle formularza;
• cookies sesyjne i CSRF – utrzymują sesję i chronią formularze przed nadużyciem, wygasają po sesji lub zgodnie z ustawieniem technicznym.

10. Prawa osób, których dane dotyczą

Żądanie można wysłać na gdpr@tales4kids.ai. Możemy poprosić o potwierdzenie kontroli nad adresem e-mail Portfela, aby nie ujawnić danych osobie nieuprawnionej. Odpowiadamy bez zbędnej zwłoki, zasadniczo w ciągu miesiąca.

• dostęp do danych i otrzymanie ich kopii;
• sprostowanie danych nieprawidłowych lub uzupełnienie niekompletnych;
• usunięcie danych, gdy zachodzą warunki prawne;
• ograniczenie przetwarzania;
• przeniesienie danych dostarczonych na podstawie umowy w ustrukturyzowanym formacie, gdy ma zastosowanie;
• sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie z przyczyn związanych ze szczególną sytuacją;
• wycofanie zgody w dowolnym momencie, jeżeli określone przetwarzanie będzie oparte na zgodzie, bez wpływu na wcześniejszą zgodność z prawem;
• wniesienie skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl, albo do organu nadzorczego w państwie zwykłego pobytu.

11. Bezpieczeństwo

Stosujemy środki odpowiednie do ryzyka, w tym HTTPS, kontrolę dostępu, szyfrowanie wybranych pól, skróty tokenów i IP, ograniczenia liczby żądań, kopie zapasowe, rejestrowanie błędów oraz rozdzielenie uprawnień kluczy API.

Żaden system nie gwarantuje absolutnego bezpieczeństwa. Użytkownik powinien chronić skrzynkę e-mail i urządzenie oraz nie udostępniać magicznych linków. Podejrzenie naruszenia należy zgłosić na gdpr@tales4kids.ai.

12. Źródło danych i osoby trzecie

Dane otrzymujemy bezpośrednio od Użytkownika, z jego urządzenia, od operatora płatności i automatycznie z działania Serwisu. Jeżeli Użytkownik wpisuje dane innej osoby, w tym dziecka, powinien mieć podstawę do ich przekazania i przekazać tej osobie lub jej opiekunowi niniejszą informację w odpowiednim zakresie.

Nie pozyskujemy celowo danych dzieci od brokerów ani źródeł publicznych. Przybliżoną lokalizację wyliczamy z adresu IP przy użyciu lokalnej bazy GeoLite2.

13. Zmiany Polityki

Polityka może zostać zmieniona z powodu zmian prawa, technologii, dostawców lub funkcji. Aktualna wersja zawsze zawiera numer i datę obowiązywania. O zmianach istotnie wpływających na prawa lub sposób wykorzystania danych poinformujemy w Serwisie lub e-mailem.

Jeśli nowy cel wymaga zgody, poprosimy o nią osobno. Brak zgody nie będzie traktowany jako zgoda milcząca.