1. Administrator danych
- Administrator: PUERTO INNOVA SL (dalej: „Pictulab” lub „my”)
- NIF (numer identyfikacji podatkowej): B25904202
- Adres: C/ dels Caus, 6, 46870 Ontinyent, Valencia (Hiszpania)
- Rejestr: rejestr handlowy (Registro Mercantil) w Walencji, Hoja V-231231
- Kontakt w sprawach prywatności: [email protected]
- Telefon: +34 672 38 63 31
Ze względu na skalę i charakter prowadzonego przez nas przetwarzania nie mamy obowiązku wyznaczenia inspektora ochrony danych (art. 37 RODO i art. 34 LOPDGDD). Wszelkie pytania dotyczące prywatności można kierować na wskazany adres kontaktowy — odpowiada na nie bezpośrednio kierownictwo spółki.
2. Kogo dotyczy niniejsza polityka
Niniejsza polityka dotyczy przetwarzania, którego dokonujemy jako administrator w odniesieniu do:
- osób odwiedzających stronę pictulab.com i jej subdomeny;
- zarejestrowanych użytkowników aplikacji internetowej, aplikacji mobilnej na Androida i iOS, API oraz serwera MCP Pictulab, w tym członków zespołów;
- klientów, którzy kupują tokeny lub wykupują plan subskrypcyjny;
- osób, które zapisują się do newslettera lub kontaktują się z pomocą techniczną albo z działem handlowym;
- kontaktów zawodowych w firmach, z którymi utrzymujemy lub chcemy nawiązać relacje handlowe.
Gdy klient korzysta z Pictulab do przetwarzania danych osobowych osób trzecich (na przykład zdjęć osób przesyłanych na platformę lub danych z podłączonego sklepu internetowego), to klient jest administratorem tych danych, a Pictulab działa jako podmiot przetwarzający, przetwarzając je wyłącznie w celu świadczenia usługi i zgodnie z poleceniami klienta, na podstawie art. 28 RODO i postanowień Regulaminu.
3. Jakie dane osobowe przetwarzamy
Przetwarzamy wyłącznie dane niezbędne do realizacji danego celu. W zależności od tego, w jaki sposób się z nami kontaktujesz lub korzystasz z usług, mogą to być:
- Dane konta: imię i nazwisko, adres e-mail, hasło (przechowywane wyłącznie w postaci nieodwracalnego skrótu kryptograficznego, nigdy jawnym tekstem), numer telefonu, jeśli zdecydujesz się go podać, język, strefa czasowa oraz preferencje konta i powiadomień.
- Dane logowania przez usługi zewnętrzne: jeśli logujesz się przez Google lub GitHub, otrzymujemy od tego dostawcy Twój identyfikator, imię i nazwisko oraz adres e-mail. Nie otrzymujemy Twojego hasła do tych usług.
- Dane dotyczące bezpieczeństwa i dostępu: adres IP, przeglądarka i urządzenie (user agent), data i godzina logowań oraz nieudanych prób logowania, aktywne sesje oraz — jeśli włączysz weryfikację dwuetapową — sekret niezbędny do jej sprawdzenia.
- Dane zespołów: przynależność do zespołów, rola, wysłane i otrzymane zaproszenia (w tym adres e-mail osoby zaproszonej).
- Dane rozliczeniowe: imię i nazwisko lub nazwa firmy, numer identyfikacji podatkowej lub numer VAT UE, adres pocztowy, kraj, historia zakupów, subskrypcje i wystawione faktury.
- Dane płatnicze: płatności obsługuje Stripe. Pictulab nie otrzymuje ani nie przechowuje pełnego numeru Twojej karty; przechowujemy jedynie identyfikatory klienta i transakcji, status płatności oraz podstawowe dane o metodzie płatności (na przykład markę karty i cztery ostatnie cyfry).
- Treści, które przesyłasz lub generujesz: prompty, parametry, obrazy, filmy i inne pliki, które przesyłasz lub generujesz, foldery i projekty oraz powiązane metadane (użyty model, data, rozmiar).
- Dane o korzystaniu z usługi: zużycie tokenów, wykonane operacje oraz — jeśli korzystasz z API — logi żądań (w tym adres IP, user agent i przesłane parametry) na potrzeby rozliczeń, limitów korzystania, bezpieczeństwa i pomocy technicznej.
- Podłączone integracje: jeśli połączysz usługi zewnętrzne (na przykład Google Drive, Dropbox, magazyn S3/FTP/SFTP albo sklep WooCommerce lub PrestaShop), niezbędne dane uwierzytelniające lub autoryzacje oraz dane, które zdecydujesz się z nimi wymieniać.
- Korespondencja: wiadomości i załączniki wysyłane przez Ciebie do pomocy technicznej lub e-mailem oraz techniczne dane o doręczeniu wysyłanych przez nas wiadomości e-mail (doręczenie, odbicie, otwarcie i kliknięcie).
- Program poleceń: użyty kod zaproszenia oraz powiązanie między osobą polecającą a osobą poleconą, w celu przyznania nagród.
- Pochodzenie konta: gdy tworzysz konto, zapisujemy, skąd trafiłeś do Pictulab (np. z wyszukiwarki, linku z zaproszeniem lub bezpłatnego narzędzia), bez plików cookie, aby wiedzieć, które kanały działają. Ta informacja nie jest udostępniana osobom trzecim ani wykorzystywana do reklamy.
- Dane o przeglądaniu: informacje uzyskiwane za pomocą plików cookie i podobnych technologii, zgodnie z opisem w Polityce plików cookie.
- Aplikacja mobilna: w aplikacji przetwarzamy te same dane konta, treści i korzystania co w wersji internetowej. Prosi ona jedynie o zgodę na zapisywanie obrazów w galerii i tylko wtedy, gdy o to poprosisz; nie ma dostępu do kontaktów ani lokalizacji i nie używa identyfikatorów reklamowych. Jeśli zgłosisz obraz z aplikacji, traktujemy to jako kontakt z pomocą techniczną.
Nie zbieramy szczególnych kategorii danych (art. 9 RODO). Prosimy, abyś nie umieszczał ich w promptach, plikach ani wiadomościach do pomocy technicznej, jeśli nie jest to absolutnie konieczne.
Dane oznaczone w formularzach jako obowiązkowe są niezbędne do świadczenia usługi; jeśli ich nie podasz, nie będziemy mogli zrealizować Twojego żądania. Gwarantujesz, że przekazywane nam dane są prawdziwe oraz że — jeśli podajesz dane osób trzecich (na przykład zapraszając współpracownika) — masz do tego uprawnienie.
4. Cele i podstawy prawne
Dla każdego celu wskazujemy podstawę prawną zgodnie z art. 6 RODO:
| Cel | Podstawa prawna |
|---|---|
| Tworzenie konta i zarządzanie nim, uwierzytelnianie (w tym logowanie przez Google lub GitHub) oraz zarządzanie zespołami. | Wykonanie umowy (art. 6 ust. 1 lit. b)). |
| Świadczenie usługi: generowanie i edycja obrazów i filmów, przechowywanie i porządkowanie Twoich treści, linki do udostępniania, API, MCP i integracje. | Wykonanie umowy (art. 6 ust. 1 lit. b)). |
| Obsługa zakupów, subskrypcji, płatności, odnowień, weryfikacji numeru VAT UE i wystawiania faktur. | Wykonanie umowy (art. 6 ust. 1 lit. b)) oraz obowiązek prawny w zakresie podatków i rachunkowości (art. 6 ust. 1 lit. c)). |
| Wysyłanie komunikatów operacyjnych: weryfikacja, bezpieczeństwo, potwierdzenia płatności, powiadomienia o płatnościach, zmiany w usłudze. | Wykonanie umowy (art. 6 ust. 1 lit. b)). |
| Odpowiadanie na zapytania, zgłoszenia problemów i prośby o pomoc techniczną. | Wykonanie umowy lub działania przed zawarciem umowy (art. 6 ust. 1 lit. b)) oraz prawnie uzasadniony interes w udzieleniu odpowiedzi osobie, która do nas pisze (art. 6 ust. 1 lit. f)). |
| Ochrona platformy: zapobieganie oszustwom, nadużyciom i nieuprawnionemu dostępowi; stosowanie limitów korzystania; moderowanie treści niezgodnych z prawem. | Prawnie uzasadniony interes w zapewnieniu bezpieczeństwa usługi i jej użytkowników (art. 6 ust. 1 lit. f)) oraz, w stosownych przypadkach, obowiązek prawny (art. 6 ust. 1 lit. c)). |
| Wysyłanie klientom i zarejestrowanym użytkownikom wskazówek i nowości Pictulab podobnych do tego, z czego już korzystają, oraz pytanie ich o doświadczenia z usługą. | Prawnie uzasadniony interes oraz art. 21.2 LSSI-CE. Możesz w każdej chwili wnieść sprzeciw z poziomu każdej wiadomości e-mail lub w ustawieniach konta. |
| Wysyłanie newslettera i ofert osobom, które zapisały się przez stronę internetową. | Zgoda (art. 6 ust. 1 lit. a)), którą możesz w każdej chwili wycofać. |
| Kontakt z przedstawicielami firm w celu zaproponowania usług B2B. | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)), przy użyciu służbowych danych kontaktowych i zawsze z możliwością rezygnacji. |
| Pomiar korzystania ze strony internetowej i aplikacji za pomocą narzędzi analitycznych, w tym zrealizowanych zakupów. | Zgoda (art. 6 ust. 1 lit. a)), wyrażona za pośrednictwem panelu plików cookie. |
| Ustalenie, skąd trafiło każde konto (wyszukiwarka, link z zaproszeniem, bezpłatne narzędzie), bez plików cookie, aby mierzyć, które kanały działają. Nie jest udostępniane osobom trzecim ani wykorzystywane do reklamy. | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f). |
| Ulepszanie i poprawianie usługi na podstawie danych zagregowanych lub technicznych (błędy, wydajność). | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)). |
| Prowadzenie programu poleceń. | Wykonanie warunków programu (art. 6 ust. 1 lit. b)). |
| Ustalanie, dochodzenie lub obrona roszczeń oraz odpowiadanie na żądania organów. | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)) oraz obowiązek prawny (art. 6 ust. 1 lit. c)). |
Jeżeli przetwarzanie opiera się na prawnie uzasadnionym interesie, zważyliśmy ten interes z Twoimi prawami i rozsądnymi oczekiwaniami. Możesz poprosić nas o informacje na temat tej oceny i w każdej chwili wnieść sprzeciw wobec przetwarzania (zob. punkt 10).
5. Sztuczna inteligencja a Twoje treści
Aby wykonać generowanie lub edycję, przesyłamy Twój prompt, parametry i ewentualnie obrazy referencyjne do dostawcy wybranego przez Ciebie modelu (zob. punkt 7). Wynik trafia z powrotem do Pictulab i jest zapisywany w Twojej bibliotece.
- Nie trenujemy modeli na Twoich promptach, obrazach ani plikach. Pictulab nie rozwija własnych modeli AI.
- Dostawcy modeli działają jako podmioty przetwarzające lub dalsze podmioty przetwarzające i mogą wykorzystywać dane wyłącznie w celu zwrócenia wyniku, zgodnie ze swoimi warunkami korzystania z API dla firm. Niektórzy z nich mogą przez pewien czas przechowywać żądania w celu wykrywania nadużyć, zgodnie z własnymi zasadami.
- Funkcja ulepszania promptu przesyła Twój tekst do modelu językowego w celu jego przeredagowania; jest uruchamiana wyłącznie na Twoje żądanie.
- Kilka bezpłatnych narzędzi na stronie (usuwanie tła, konwersja lub zmiana rozmiaru obrazów, narzędzia PDF, konwersja wideo do GIF) działa w całości w Twojej przeglądarce: pliki nie opuszczają Twojego urządzenia i nie trafiają na nasze serwery.
- Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Automatyczne systemy wykrywania nadużyć mogą zablokować konkretne żądanie, a Ty zawsze możesz poprosić o jego weryfikację przez człowieka.
6. Treści, które udostępniasz
Twoje treści są domyślnie prywatne i widzisz je tylko Ty oraz członkowie Twojego zespołu. Osoby trzecie uzyskują do nich dostęp wyłącznie wtedy, gdy Ty o tym zdecydujesz:
- Gdy tworzysz link do udostępniania projektu, folderu lub obrazu, każda osoba mająca link może go wyświetlić i — o ile tego nie wyłączysz — pobrać. Możesz ustawić datę wygaśnięcia i w każdej chwili unieważnić link; rejestrujemy liczbę wyświetleń.
- Gdy oznaczysz obraz jako publiczny, będzie on dostępny pod swoim adresem.
- Jeżeli publikujesz lub eksportujesz treści do usług osób trzecich za pomocą integracji, te osoby trzecie będą je przetwarzać zgodnie z własnymi zasadami.
Zachowaj szczególną ostrożność przy udostępnianiu obrazów przedstawiających osoby możliwe do zidentyfikowania: potrzebujesz ich zgody.
7. Odbiorcy i podmioty przetwarzające
Nie sprzedajemy ani nie przekazujemy Twoich danych osobowych osobom trzecim do ich własnych celów. Udostępniamy je wyłącznie:
- Dostawcom usług (podmiotom przetwarzającym), których potrzebujemy do świadczenia usługi i z którymi zawarliśmy umowy wymagane przez art. 28 RODO.
- Organom administracji publicznej i sądom, jeżeli wymaga tego obowiązek prawny (na przykład hiszpańskiej administracji podatkowej — Agencia Tributaria).
- Innym członkom Twojego zespołu, którzy widzą treści i aktywność udostępnione w tym zespole, a także osobom trzecim, którym sam przyznasz dostęp za pomocą linków lub integracji.
- Doradcom zawodowym (biuro rachunkowe, prawnicy), związanym obowiązkiem zachowania poufności, jeśli jest to konieczne.
- W razie reorganizacji, połączenia lub sprzedaży przedsiębiorstwa — nabywcy, który przejąłby te same zobowiązania wynikające z niniejszej polityki.
Dostawcy mający dostęp do danych osobowych, pogrupowani według kategorii, to:
| Kategoria | Cel | Lokalizacja i zabezpieczenia |
|---|---|---|
| Hosting, baza danych i sieć | Serwery aplikacji, baza danych, przechowywanie plików, DNS i ochrona przed atakami | Unia Europejska; jeśli dostawca lub jego wsparcie znajduje się w USA, Data Privacy Framework lub standardowe klauzule umowne |
| Dostawcy modeli sztucznej inteligencji (Google, OpenAI, xAI, Cloudflare i fal.ai) | Wykonywanie zleconych przez Ciebie generacji i edycji obrazów i wideo, skalowania oraz ulepszania promptów | UE i USA; Data Privacy Framework lub standardowe klauzule umowne |
| Wysyłka poczty e-mail (Resend) | Wiadomości serwisowe, dotyczące bezpieczeństwa oraz, w stosownych przypadkach, marketingowe | USA; standardowe klauzule umowne |
| Stripe Payments Europe, Ltd. | Obsługa płatności i subskrypcji | Irlandia; USA na podstawie Data Privacy Framework i standardowych klauzul umownych |
| Google Ireland Ltd. / Google LLC | Logowanie przez Google (jeśli z niego korzystasz) i Google Analytics (jeśli wyrazisz zgodę) | UE i USA; Data Privacy Framework i standardowe klauzule umowne |
| GitHub, Inc. | Logowanie przez GitHub (jeśli z niego korzystasz) | USA; Data Privacy Framework |
Z nazwy wskazujemy dostawców, z którymi masz bezpośredni kontakt podczas płatności lub logowania. W każdej chwili możesz zapytać nas o tożsamość pozostałych podmiotów przetwarzających i dalszych podmiotów przetwarzających, pisząc na adres [email protected]; jeśli jesteś klientem, a Pictulab przetwarza dane w Twoim imieniu, poinformujemy Cię ponadto o każdej zmianie.
8. Przekazywanie danych do państw trzecich
Niektórzy z wymienionych dostawców mają siedzibę poza Europejskim Obszarem Gospodarczym, głównie w Stanach Zjednoczonych, lub mogą mieć stamtąd dostęp do danych. W takich przypadkach przekazanie danych odbywa się na podstawie:
- decyzji stwierdzającej odpowiedni stopień ochrony wydanej przez Komisję Europejską w odniesieniu do Ramowego porozumienia UE-USA dotyczącego ochrony danych (EU-US Data Privacy Framework) — w przypadku podmiotów posiadających certyfikację w jego ramach;
- standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (decyzja 2021/914), wraz z niezbędnymi środkami uzupełniającymi.
Możesz uzyskać informacje o stosowanych zabezpieczeniach oraz ich kopię, pisząc na adres [email protected].
9. Okresy przechowywania
Przechowujemy dane tylko przez czas niezbędny do realizacji celu, w jakim zostały zebrane. Następnie utrzymujemy je w stanie zablokowanym (art. 32 LOPDGDD), wyłącznie do dyspozycji sądów i organów, przez okres przedawnienia ewentualnych roszczeń, po czym je usuwamy.
| Dane | Okres |
|---|---|
| Dane konta i treści | Przez cały okres aktywności konta. Po usunięciu konta są usuwane, z wyjątkiem treści należących do wspólnego zespołu, które pozostają pod kontrolą tego zespołu. |
| Usunięte pliki (kosz) | Są trwale usuwane po 30 dniach od przeniesienia do kosza. |
| Faktury i dane rozliczeniowe | 6 lat (art. 30 hiszpańskiego kodeksu handlowego, Código de Comercio), a w każdym razie przez okres przedawnienia zobowiązań podatkowych (4 lata, hiszpańska ordynacja podatkowa, Ley General Tributaria). |
| Logi bezpieczeństwa i dostępu | Do 12 miesięcy, chyba że są potrzebne do zbadania konkretnego incydentu. |
| Logi żądań do API | Do 90 dni. |
| Korespondencja z pomocą techniczną | Przez czas obsługi zgłoszenia i do 3 lat po jej zakończeniu, na wypadek ewentualnych roszczeń. |
| Newsletter i informacje handlowe | Do czasu wycofania zgody lub rezygnacji z subskrypcji. Przechowujemy Twój adres e-mail na liście wykluczeń, aby respektować Twoją rezygnację. |
| Dane analityczne | Okres przechowywania skonfigurowany w Google Analytics, maksymalnie 14 miesięcy. |
| Kontakty handlowe B2B | Do czasu zgłoszenia rezygnacji lub, jeśli nie ma odpowiedzi ani relacji, maksymalnie 2 lata. |
10. Twoje prawa
W każdej chwili możesz bezpłatnie skorzystać z następujących praw:
- Dostęp: prawo do informacji, czy przetwarzamy Twoje dane, i do uzyskania ich kopii.
- Sprostowanie: poprawienie danych nieprawidłowych lub niekompletnych. Wiele z nich możesz zmienić samodzielnie w ustawieniach konta.
- Usunięcie: żądanie usunięcia Twoich danych. Możesz usunąć konto w ustawieniach konta, w wersji internetowej lub w aplikacji mobilnej (Konto → Usuń konto), lub pisząc na adres [email protected] z adresu e-mail przypisanego do konta, również jeśli logujesz się przez Google lub GitHub. Więcej informacji w Usuwanie konta.
- Sprzeciw: sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym marketingu, które niezwłocznie zaprzestaniemy.
- Ograniczenie: żądanie wstrzymania przetwarzania na czas rozpatrywania reklamacji.
- Przenoszenie: otrzymanie przekazanych nam danych w ustrukturyzowanym, powszechnie używanym formacie oraz przesłanie ich innemu administratorowi. Swoje obrazy i pliki możesz w każdej chwili pobrać z aplikacji.
- Wycofanie zgody, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
- Prawo do niepodlegania zautomatyzowanym decyzjom indywidualnym wywołującym skutki prawne lub w podobny sposób istotnie wpływającym na Ciebie.
Aby z nich skorzystać, napisz na adres [email protected] z adresu e-mail powiązanego z Twoim kontem lub listownie na adres naszej siedziby, wskazując, z którego prawa korzystasz. Dodatkowych informacji zażądamy tylko wtedy, gdy będą niezbędne do potwierdzenia Twojej tożsamości. Odpowiemy w terminie jednego miesiąca, który w złożonych przypadkach może zostać przedłużony o kolejne dwa miesiące — wówczas Cię o tym poinformujemy.
Jeżeli uważasz, że nie zrealizowaliśmy należycie Twoich praw, możesz złożyć skargę do Agencia Española de Protección de Datos (AEPD, hiszpański organ nadzorczy ds. ochrony danych; C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es) lub do organu nadzorczego państwa UE, w którym mieszkasz (w Polsce — Prezesa Urzędu Ochrony Danych Osobowych). Będziemy wdzięczni, jeśli najpierw napiszesz do nas, abyśmy mogli spróbować rozwiązać sprawę.
11. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w tym:
- szyfrowanie komunikacji za pomocą HTTPS/TLS;
- hasła przechowywane z użyciem silnych funkcji skrótu (bcrypt) oraz klucze API przechowywane wyłącznie w postaci skrótu;
- chronione pliki cookie sesji (HttpOnly, Secure i SameSite) oraz sesje z określonym czasem ważności;
- izolacja danych poszczególnych zespołów, kontrola dostępu oparta na rolach oraz rejestrowanie czynności administracyjnych;
- linki do udostępniania z losowymi, niemożliwymi do odgadnięcia identyfikatorami, które można unieważnić i którym można nadać termin ważności;
- kopie zapasowe bazy danych i monitorowanie infrastruktury.
W razie naruszenia ochrony danych osobowych zgłosimy je AEPD w ciągu maksymalnie 72 godzin, a jeśli będzie ono powodować wysokie ryzyko dla Twoich praw, poinformujemy Cię o nim bez zbędnej zwłoki (art. 33 i 34 RODO).
12. Osoby niepełnoletnie
Pictulab jest przeznaczony wyłącznie dla osób, które ukończyły 18 lat. Nie zbieramy świadomie danych osób niepełnoletnich. Jeśli stwierdzimy, że osoba niepełnoletnia założyła konto, usuniemy je wraz z jej danymi. Jeśli jesteś rodzicem lub opiekunem prawnym i uważasz, że osoba niepełnoletnia przekazała nam dane, napisz do nas na adres [email protected].
13. Pliki cookie
Używamy niezbędnych plików cookie technicznych, a analitycznych — tylko jeśli wyrazisz na to zgodę. Wszystkie informacje, listę plików cookie i sposób zmiany decyzji znajdziesz w Polityce plików cookie.
14. Zmiany niniejszej polityki
Możemy aktualizować niniejszą politykę, aby uwzględnić zmiany przepisów lub usługi (na przykład dodanie nowego dostawcy). Zawsze wskażemy datę ostatniej aktualizacji, a jeśli zmiana będzie istotna, poinformujemy Cię o niej e-mailem lub za pomocą powiadomienia w aplikacji przed jej wejściem w życie.