Polityka prywatności Picoon Pre-MVP

1. Administrator danych

Administratorem danych osobowych przetwarzanych w związku z programem testowym Picoon jest:

Projekty Innowacyjne Wojciech Kubiak
ul. Leśna 7, 55-120 Lubnów
NIP: 8992561992
REGON: 020536251
e-mail: kontakt@picoon.ai

dalej „Picoon” lub „Administrator”.

2. Zakres polityki

Polityka dotyczy osób, które:

• zgłaszają firmę lub organizację do programu testowego Picoon;
• uczestniczą w teście lub diagnozie po zakwalifikowaniu;
• kontaktują się z Picoon w związku z programem;
• otrzymują wynik lub raport;
• przekazują feedback dotyczący programu.

Aktualny formularz Pre-MVP nie służy do zapisu na newsletter ani do pozyskiwania zgody marketingowej.

3. Jakie dane przetwarzamy

Dane zgłoszeniowe

Możemy przetwarzać:

• nazwę firmy lub organizacji;
• adres e-mail;
• opcjonalnie imię i nazwisko;
• opcjonalnie rolę w firmie lub organizacji;
• datę i czas zgłoszenia;
• źródło CTA lub formularza, jeżeli jest technicznie rejestrowane.

Dane z testu lub diagnozy

Po zakwalifikowaniu możemy przetwarzać:

• techniczny identyfikator respondenta w systemach wewnętrznych Picoon;
• odpowiedzi dotyczące organizacji, procesów, kompetencji, wykorzystania AI, governance, danych i bezpieczeństwa;
• scoring i wyniki obszarowe;
• flagi;
• bazową rekomendację;
• interpretację;
• raport;
• feedback uczestnika.

Narzędzia diagnostyczne, poza podstawową metryką potrzebną do obsługi zgłoszenia, są oparte przede wszystkim na pytaniach zamkniętych i nie są przeznaczone do przekazywania danych szczególnych kategorii, danych klientów, danych uwierzytelniających ani innych informacji poufnych.

Dane komunikacyjne

Możemy przetwarzać treść korespondencji dotyczącej zgłoszenia, kwalifikacji, testu, wyniku, raportu, pytań lub reklamacji.

Dane techniczne

W minimalnym zakresie wynikającym z działania strony, formularza, hostingu, wysyłki powiadomień lub zabezpieczeń możemy przetwarzać dane techniczne, np. timestamp, informacje o żądaniu, informacje o błędach lub adres IP, jeżeli są faktycznie generowane i potrzebne do działania albo bezpieczeństwa.

4. Skąd pochodzą dane

Dane uzyskujemy:

• bezpośrednio od osoby wypełniającej formularz;
• z odpowiedzi przekazanych w trakcie testu lub diagnozy;
• z korespondencji dotyczącej programu;
• z systemów technicznych używanych do obsługi programu, w minimalnym potrzebnym zakresie;
• poprzez obliczenie scoringu, flag, rekomendacji i raportu na podstawie przekazanych odpowiedzi.

5. Cele i podstawy przetwarzania

A. Obsługa zgłoszenia i ręczna kwalifikacja

Dane wykorzystujemy do przyjęcia zgłoszenia, ręcznej oceny jego dopasowania do aktualnego etapu programu oraz przekazania informacji o wyniku kwalifikacji.

Podstawą przetwarzania jest:

• art. 6 ust. 1 lit. b RODO — w zakresie niezbędnym do podjęcia działań na żądanie osoby zgłaszającej się i realizacji uzgodnionego programu, gdy ta podstawa ma zastosowanie;
• art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Picoon polegający na prowadzeniu i walidacji ograniczonego programu B2B, w szczególności gdy osoba działa w imieniu firmy lub organizacji.

B. Realizacja testu lub diagnozy oraz przygotowanie raportu

Dane wykorzystujemy do przeprowadzenia badania, obliczenia scoringu i flag, przygotowania interpretacji, raportu oraz komunikacji związanej z udziałem.

Podstawą jest art. 6 ust. 1 lit. b lub f RODO, zależnie od charakteru relacji z uczestnikiem.

C. Walidacja Pre-MVP i feedback

Możemy analizować przebieg programu, odpowiedzi i feedback, aby oceniać m.in. zrozumiałość pytań, ukończenie badania, użyteczność wyników i rekomendacji oraz elementy wymagające zmiany przed dalszym rozwojem Picoon.

Podstawą jest art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na ocenie i ulepszaniu ograniczonego eksperymentu produktowego.

W miarę możliwości informacje wykorzystywane do dłuższej analizy są agregowane lub anonimizowane.

D. Bezpieczeństwo, monitoring techniczny, reklamacje i ochrona praw

Minimalne dane możemy wykorzystywać w celu zapewnienia bezpieczeństwa programu, diagnozowania błędów, monitorowania stabilności aplikacji, wykrywania nadużyć, obsługi reklamacji oraz ustalenia, dochodzenia lub obrony roszczeń.

Podstawą jest art. 6 ust. 1 lit. f RODO, a w zakresie obowiązków wynikających z przepisów również art. 6 ust. 1 lit. c RODO.

6. Podanie danych

Podanie nazwy firmy lub organizacji oraz adresu e-mail jest konieczne do obsługi zgłoszenia.

Imię i nazwisko oraz rola w firmie są opcjonalne.

W formularzu testu lub diagnozy wybrane odpowiedzi mogą być wymagane, jeżeli są potrzebne do przygotowania wyniku.

Picoon nie prosi o dane osobowe innych osób, szczególne kategorie danych, dane klientów, hasła, dane dostępowe ani informacje poufne na potrzeby standardowego Pre-MVP. Uczestnik nie powinien przekazywać takich informacji.

7. Ręczna kwalifikacja i scoring

• Kwalifikacja firmy do programu jest wykonywana przez człowieka.
• Przy kwalifikacji mogą być brane pod uwagę m.in. profil organizacji, jej dopasowanie do aktualnie testowanej hipotezy lub etapu, możliwość uzyskania wartościowego feedbacku i ograniczona liczba miejsc.
• AI nie podejmuje decyzji o przyjęciu do programu.
• W samym teście scoring, flagi i bazowa rekomendacja mogą być obliczane automatycznie według zdefiniowanych reguł.
• Nie wykorzystujemy tego procesu do podejmowania wobec uczestnika decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na osobę fizyczną.

8. Wsparcie AI przy interpretacji odpowiedzi

AI może wspierać interpretację odpowiedzi, w tym wyników wyliczonych deterministycznie, oraz przygotowanie części opisowej raportu.

Do zewnętrznego narzędzia AI przekazywany jest wyłącznie zdeidentyfikowany zestaw odpowiedzi potrzebnych do interpretacji oraz odpowiednie wyniki deterministyczne, scoring i flagi.

W szczególności do AI nie są przekazywane:

• nazwa firmy lub organizacji;
• imię i nazwisko uczestnika;
• adres e-mail;
• rola lub inne dane kontaktowe, jeżeli mogłyby wskazać konkretną osobę;
• wewnętrzne mapowanie pozwalające połączyć zestaw odpowiedzi z konkretnym zgłoszeniem;
• dane klientów;
• dane szczególnych kategorii;
• hasła, dane dostępowe ani inne dane uwierzytelniające.

Narzędzie AI nie potrzebuje informacji pozwalających ustalić, której firmy lub osoby dotyczą odpowiedzi, dlatego Picoon nie przekazuje takich identyfikatorów.

Treść wspierana przez AI jest weryfikowana przez człowieka przed przekazaniem uczestnikowi.

9. Dostawca AI — OpenAI

Jeżeli w Pre-MVP wykorzystywana jest zewnętrzna interpretacja AI, Picoon korzysta wyłącznie z biznesowej usługi OpenAI przeznaczonej dla organizacji i skonfigurowanej zgodnie z przyjętymi wymaganiami dotyczącymi ochrony danych.

W procesie Pre-MVP:

• do OpenAI przekazywany jest wyłącznie zdeidentyfikowany zestaw odpowiedzi opisany w sekcji 8;
• nie są przekazywane dane identyfikujące firmę ani użytkownika;
• wykorzystywana jest konfiguracja z europejską rezydencją danych dla objętej zakresem treści, o ile wybrany produkt OpenAI ją obsługuje;
• dane biznesowe przekazane w ramach usług OpenAI dla firm nie są domyślnie wykorzystywane do trenowania lub ulepszania modeli OpenAI;
• użycie następuje na warunkach biznesowych i właściwym dodatku dotyczącym przetwarzania danych, a nie na prywatnym koncie konsumenckim.

Dla podmiotów z EOG właściwym podmiotem umownym jest co do zasady OpenAI Ireland Ltd.

Picoon dobiera konkretny wariant usługi OpenAI tak, aby spełniał wymagania Pre-MVP dotyczące europejskiej rezydencji danych w zakresie obsługiwanym przez dany produkt.

10. Odbiorcy i dostawcy usług

Dane mogą być dostępne dla:

• minimalnej liczby upoważnionych osób pracujących przy programie Picoon;
• Google — w zakresie Google Workspace używanego do formularzy, arkuszy, plików i poczty;
• Vercel — jako dostawcy hostingu landing page'a i infrastruktury technicznej;
• Resend (Plus Five Five, Inc.) — jako dostawcy używanego do wysyłania wewnętrznych powiadomień o zgłoszeniach formularza na skrzynkę Picoon;
• Sentry (Functional Software, Inc. d/b/a Sentry) — jako dostawcy narzędzia do monitorowania błędów, stabilności i działania aplikacji;
• OpenAI Ireland Ltd. — wyłącznie w zakresie zdeidentyfikowanych odpowiedzi i wyników przekazywanych do interpretacji AI, jeżeli AI jest używane;
• podmiotów, którym dane muszą zostać udostępnione na podstawie obowiązujących przepisów.

Picoon nie przekazuje danych z formularza partnerom handlowym w celu ich własnego marketingu.

Resend — powiadomienia operacyjne

Picoon korzysta z Resend do wysyłania wewnętrznych powiadomień dotyczących zgłoszeń formularza na skrzynkę Picoon.

W aktualnym Pre-MVP:

• Resend nie jest wykorzystywany do newslettera ani komunikacji marketingowej;
• funkcje Open Tracking i Click Tracking są wyłączone.

Sentry — monitoring błędów i stabilności

Picoon korzysta z Sentry do wykrywania błędów technicznych i monitorowania stabilności aplikacji.

Data Scrubbing oraz domyślne reguły scrubbingu są włączone. Aplikacja jest skonfigurowana tak, aby nie przesyłać do Sentry treści odpowiedzi formularza, request bodies, cookies, nagłówków, query parameters ani innych danych PII przewidzianych do wyłączenia w konfiguracji aplikacji.

Dodatkowy mechanizm sanitizacji ogranicza przesyłany zakres do danych technicznych potrzebnych do diagnostyki.

W zależności od działania usługi w danych technicznych mogą występować informacje o przybliżonej lokalizacji, takie jak miasto, region lub kraj.

Sentry nie jest wykorzystywany do profilowania uczestników ani analizy treści ich odpowiedzi.

11. Google Workspace i lokalizacja danych

Do realizacji Pre-MVP Picoon korzysta z firmowego Google Workspace, w szczególności Google Forms, Google Sheets, Google Drive i Gmail.

Dla danych objętych funkcją Google Workspace Data Regions ustawiona została polityka regionu Europe dla danych w spoczynku (Data at rest).

Oznacza to, że Picoon skonfigurował przechowywanie danych objętych tą funkcją w regionie europejskim zgodnie z zakresem Google Workspace Data Regions.

Zakres tej polityki zależy od konkretnej usługi, typu danych, edycji Google Workspace i konfiguracji. Polityka Data Regions nie obejmuje wszystkich kategorii danych technicznych, w szczególności części logów lub danych buforowanych.

Dostęp do danych jest ograniczany do osób, które potrzebują go do obsługi programu. Raportów i odpowiedzi dotyczących konkretnego uczestnika nie udostępniamy publicznie jako „Anyone with the link”.

12. Hosting Vercel i transfery danych

Landing page Picoon jest hostowany przy użyciu platformy Vercel.

Vercel może przetwarzać ograniczone dane techniczne niezbędne do dostarczenia strony, takie jak adres IP, informacje o żądaniu, parametry połączenia lub logi techniczne, zależnie od konfiguracji usługi.

Picoon nie używa w Pre-MVP niekoniecznych trackerów reklamowych ani analitycznych.

Google Workspace jest skonfigurowany z polityką Europe dla danych w spoczynku objętych funkcją Data Regions. Nie oznacza to, że wszystkie rodzaje danych technicznych lub całe przetwarzanie wszystkich dostawców odbywa się wyłącznie w EOG.

Jeżeli dostawca usług technicznych przetwarza dane poza EOG, stosowane są mechanizmy przewidziane przez przepisy o ochronie danych, takie jak decyzja stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne, zgodnie z warunkami właściwego dostawcy.

Dla OpenAI Picoon używa wariantu biznesowego skonfigurowanego dla europejskiej rezydencji objętej zakresem treści. Niezależnie od tego do OpenAI nie są przekazywane dane identyfikujące firmę ani użytkownika.

13. Jak długo przechowujemy dane

Dla Pre-MVP stosujemy prosty model retencji:

• niezakwalifikowane zgłoszenia — do 90 dni od decyzji o niezakwalifikowaniu;
• dane kontaktowe zakwalifikowanych uczestników — do 6 miesięcy od przekazania raportu lub zakończenia udziału, zależnie od tego, co nastąpi później;
• odpowiedzi z testu lub diagnozy, scoring, flagi i raporty — do 6 miesięcy od przekazania raportu;
• zwykła korespondencja dotycząca programu — do 6 miesięcy od zakończenia udziału;
• minimalne logi techniczne, jeżeli są faktycznie generowane i pozostają pod kontrolą Picoon — co do zasady do 30 dni;
• dane potrzebne do obsługi konkretnej reklamacji, sporu lub dochodzenia praw — przez okres niezbędny do obsługi takiej sprawy;
• po zakończeniu okresu retencji Picoon może zachować dane skutecznie zanonimizowane lub zagregowane, które nie pozwalają już na identyfikację osoby.

Jeżeli dostawca techniczny stosuje własny cykl usuwania kopii zapasowych, fizyczne usunięcie z kopii może nastąpić zgodnie z jego standardowym cyklem backupowym.

14. Bezpieczeństwo i dostęp

W Pre-MVP:

• korzystamy z firmowego Google Workspace, a nie prywatnych kont;
• ograniczamy dostęp do odpowiedzi i raportów do minimalnej liczby osób;
• raporty dotyczące konkretnego uczestnika nie są publikowane przez publiczny link;
• przed wysłaniem lub udostępnieniem raportu sprawdzamy odbiorcę;
• do AI przekazujemy wyłącznie zdeidentyfikowane odpowiedzi i wyniki potrzebne do interpretacji;
• nie udostępniamy AI mapowania pozwalającego połączyć odpowiedzi z konkretną firmą lub osobą;
• narzędzia diagnostyczne opierają się przede wszystkim na pytaniach zamkniętych;
• w Resend funkcje śledzenia otwarć i kliknięć są wyłączone;
• Sentry jest skonfigurowany z Data Scrubbing, domyślnymi regułami scrubbingu i dodatkową sanitizacją ograniczającą zakres danych technicznych.

15. Cookies i podobne technologie

W aktualnym modelu Pre-MVP nie używamy na landing page'u niekoniecznych narzędzi reklamowych ani trackerów analitycznych.

Mogą być używane wyłącznie mechanizmy techniczne potrzebne do działania, bezpieczeństwa lub dostarczenia funkcji żądanej przez użytkownika.

Jeżeli w przyszłości zostaną dodane narzędzia analityczne, reklamowe lub inne technologie wymagające zgody, zostaną one ocenione przed aktywacją, a niniejsza polityka i mechanizm zgód zostaną odpowiednio zaktualizowane.

16. Twoje prawa

W przypadkach przewidzianych przez RODO możesz żądać:

• dostępu do swoich danych;
• ich sprostowania;
• usunięcia;
• ograniczenia przetwarzania;
• przeniesienia danych, jeżeli prawo to ma zastosowanie;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Aby skorzystać z praw, skontaktuj się z nami: kontakt@picoon.ai.

17. Prawo wniesienia skargi

Jeżeli uważasz, że Twoje dane są przetwarzane niezgodnie z przepisami, możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.

18. Zmiany polityki

Niniejsza Polityka dotyczy wyłącznie ograniczonego programu Pre-MVP / Validation PoC.

Przed uruchomieniem produkcyjnego produktu Picoon polityka zostanie ponownie zweryfikowana i odpowiednio rozszerzona lub zastąpiona.

Każda zmiana opublikowanej treści polityki otrzymuje nowy identyfikator wersji. Wersja 1.1 pozostaje archiwalna i nie jest modyfikowana wstecz.