Polityka prywatności

§ 1 Administrator

Administratorem w rozumieniu ogólnego rozporządzenia o ochronie danych (RODO) jest:

Alex Trupp NordvindAI (jednoosobowa działalność gospodarcza) Vahrenwalder Str. 213 30165 Hannover Niemcy Telefon: +49 176 43198566 E-mail: alex.trupp@nordvind-ai.de Strona internetowa: https://community.nordvind-ai.de

Inspektor ochrony danych nie został wyznaczony, ponieważ nie są spełnione przesłanki ustawowe.

§ 2 Przegląd przetwarzania

NordvindAI to studio oparte na AI: na podstawie zdjęcia i nagrania głosu tworzony jest cyfrowy awatar, za pomocą którego generowane są krótkie pionowe filmy („Reels”).

Rodzaje przetwarzanych danych:

• Adres e-mail (rejestracja, logowanie, zamówienie)
• Hasło (przechowywane w postaci zaszyfrowanej; nie dotyczy logowania przez Google)
• Zdjęcie i nagranie głosu w celu utworzenia awatara i klonu głosu
• Pana/Pani zgoda na przetwarzanie zdjęcia/głosu wraz z datą i godziną
• Tematy i scenariusze wprowadzane w celu generowania filmów
• Wygenerowane filmy, scenariusze, napisy
• Dane dotyczące umowy i płatności (plan, status płatności, ID klienta Stripe; dane karty wyłącznie w Stripe)
• Dane o korzystaniu (liczba wygenerowanych filmów, limit)
• w przypadku połączenia kanałów społecznościowych: tokeny dostępu i ID kanału
• po aktywacji: subskrypcja push Pana/Pani przeglądarki
• Dane logów (adres IP, typ przeglądarki, czas dostępu — przez dostawców infrastruktury)

§ 3 Podstawy prawne

• Zgoda (art. 6 ust. 1 lit. a, art. 9 ust. 2 lit. a RODO; § 25 ust. 1 TDDDG): zdjęcie i głos do awatara/klonu głosu, pliki cookie analityczne i marketingowe, powiadomienia push, połączenie kanałów społecznościowych
• Wykonanie umowy (art. 6 ust. 1 lit. b RODO): konto, generowanie filmów, obsługa płatności, wypowiedzenie
• Prawnie uzasadnione interesy (art. 6 ust. 1 lit. f RODO): bezpieczeństwo, zapobieganie nadużyciom, działanie systemu
• Obowiązek prawny (art. 6 ust. 1 lit. c RODO): obowiązki przechowywania wynikające z prawa handlowego i podatkowego

§ 4 Środki bezpieczeństwa

• Szyfrowanie TLS wszystkich połączeń
• Zaszyfrowane przechowywanie haseł
• Row Level Security (RLS) w bazie danych — dostęp wyłącznie do własnych danych
• Ograniczone czasowo, podpisane adresy URL do dostępu do multimediów
• Ograniczony dostęp do infrastruktury i kluczy API

§ 5 Rejestracja i konto użytkownika

Konto można założyć za pomocą adresu e-mail i hasła, przez Google (OAuth; Google Ireland Limited) lub w ramach zamówienia; w tym ostatnim przypadku używany jest adres e-mail podany w procesie zamówienia, a dostęp zapewniany jest za pomocą magic linku.

Przechowujemy: adres e-mail, ewentualnie zaszyfrowane hasło, ID użytkownika, datę rejestracji.

Podstawa prawna: art. 6 ust. 1 lit. b RODO. Może Pan/Pani w każdej chwili usunąć konto w ustawieniach konta; następnie ponowna rejestracja przy użyciu tego samego adresu e-mail jest zablokowana na 30 dni (ochrona przed nadużyciami).

§ 6 Tworzenie awatara i klonu głosu

Na potrzeby awatara AI przesyła Pan/Pani zdjęcie i krótkie nagranie głosu. Przed przesłaniem udziela Pan/Pani wyraźnej zgody, samodzielnie zaznaczając odpowiednie pole; przechowujemy datę i godzinę udzielenia zgody.

Zdjęcie jest przekazywane do HeyGen (HeyGen Technology Inc., USA) w celu utworzenia awatara ze zdjęcia, a nagranie głosu do ElevenLabs (Eleven Labs Inc., USA) w celu utworzenia klonu głosu. Do syntezy mowy może być dodatkowo wykorzystywany Google Gemini (Google Ireland Limited); przekazywany jest wówczas wyłącznie tekst scenariusza.

Zdjęcie i głos mogą umożliwiać jednoznaczną identyfikację Pana/Pani; przetwarzanie odbywa się wyłącznie na podstawie Pana/Pani zgody (art. 9 ust. 2 lit. a RODO). Zgodę można w każdej chwili wycofać ze skutkiem na przyszłość — e-mailem lub przez usunięcie awatara albo konta; wówczas zlecimy usunięcie danych u usługodawców, o ile jest to technicznie możliwe.

HeyGen: https://www.heygen.com/privacy-policy ElevenLabs: https://elevenlabs.io/privacy Google: https://policies.google.com/privacy

§ 7 Generowanie filmów i wyszukiwanie B-rolli

W celu tworzenia filmów przetwarzamy wprowadzone przez Pana/Panią tematy i scenariusze. Hooki, scenariusze oraz kontrolę jakości materiału wizualnego tworzy Anthropic (Anthropic Ireland, Limited / Anthropic, PBC, USA); materiał tła generowany przez AI tworzy xAI (SpaceXAI LLC, USA).

Podczas automatycznego wyszukiwania B-rolli nasze serwery wyszukują publicznie dostępne materiały wideo (np. w YouTube lub X) na podstawie haseł wynikających z tematu i pobierają odpowiednie fragmenty; przy tym nie są przekazywane tym platformom żadne Pana/Pani dane osobowe.

Gotowe filmy są przechowywane w Cloudflare R2, dopóki pozostają w Pana/Pani galerii; można je w każdej chwili usunąć.

Podstawa prawna: art. 6 ust. 1 lit. b RODO.

Anthropic: https://www.anthropic.com/legal/privacy xAI: https://x.ai/legal/privacy-policy

§ 8 Obsługa płatności

Płatności obsługujemy za pośrednictwem Stripe (Stripe Payments Europe, Ltd., Dublin, Irlandia; Stripe, Inc., USA). Oferujemy zakupy jednorazowe i miesięczne subskrypcje.

Do Stripe przekazywane są: adres e-mail, ewentualnie ID użytkownika oraz plan i zgody złożone przy zamówieniu (data i godzina, wersja Regulaminu). Dane płatnicze (np. dane karty) przetwarza wyłącznie Stripe; u nas przechowywane są ID klienta Stripe oraz status subskrypcji i płatności. Stripe.js jest ładowany wyłącznie na stronach zamówienia i płatności i ustawia tam pliki cookie w celu wykrywania oszustw (§ 25 ust. 2 pkt 2 TDDDG).

Podstawa prawna: art. 6 ust. 1 lit. b i lit. c RODO (przechowywanie dowodów księgowych: 8 lub 10 lat).

Stripe: https://stripe.com/pl/privacy

§ 9 Pliki cookie i podobne technologie

Niezbędne technicznie (§ 25 ust. 2 pkt 2 TDDDG — zgoda nie jest wymagana):

• Pliki cookie uwierzytelniania Supabase (sb-*-auth-token): logowanie i sesja
• NEXT_LOCALE: wybrany język interfejsu
• nv_consent: Pana/Pani decyzja dotycząca plików cookie wraz z datą i godziną, okres ważności sześć miesięcy
• Stripe (__stripe_mid, __stripe_sid): wykrywanie oszustw, wyłącznie na stronach zamówienia i płatności

Wymagające zgody (§ 25 ust. 1 TDDDG, art. 6 ust. 1 lit. a RODO):

• Analityka: Google Analytics za pośrednictwem Google Tag Manager
• Marketing: Google Ads za pośrednictwem Google Tag Manager, w tym konwersje rozszerzone (adres e-mail jest przekazywany do Google wyłącznie jako skrót SHA-256)

Google Tag Manager jest ładowany dopiero po wyrażeniu przez Pana/Panią zgody w banerze cookie. Dodatkowo stosujemy Google Consent Mode v2 z ustawieniem domyślnym „odmowa”. Dostawca: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia.

Decyzję można w każdej chwili zmienić lub wycofać za pomocą „Ustawienia cookie” w stopce każdej strony; wycofanie zgody działa ze skutkiem na przyszłość.

§ 10 Hosting i infrastruktura

Aplikacja działa w Cloudflare (Cloudflare, Inc., USA): Cloudflare Workers i Containers (wykonywanie i renderowanie wideo), Cloudflare R2 (przechowywanie multimediów), CDN i ochrona przed atakami DDoS. Przy każdym dostępie Cloudflare przetwarza dane logów serwera (adres IP, znacznik czasu, wywołany adres URL, kod statusu, referrer, przeglądarka/system operacyjny).

Podstawa prawna: art. 6 ust. 1 lit. f RODO (bezpieczne i stabilne działanie).

Cloudflare: https://www.cloudflare.com/privacypolicy/

§ 11 Baza danych, e-mail i powiadomienia

Kontami, profilami, metadanymi filmów i uwierzytelnianiem zarządza Supabase (Supabase Pte. Ltd., Singapur; serwery bazy danych w UE: AWS, region Sztokholm). E-maile transakcyjne (np. linki do logowania, potwierdzenia zamówień, powiadomienia o gotowych filmach) wysyłamy za pośrednictwem Resend (Resend, Inc., USA).

Powiadomienia push otrzymuje Pan/Pani tylko wtedy, gdy zezwoli Pan/Pani na nie w przeglądarce. W tym celu przechowujemy subskrypcję push przeglądarki; dostarczanie odbywa się za pośrednictwem usługi push producenta przeglądarki (np. Google, Mozilla, Apple). Zgodę można w każdej chwili cofnąć w ustawieniach lub w przeglądarce.

Podstawa prawna: art. 6 ust. 1 lit. b RODO; w przypadku powiadomień push art. 6 ust. 1 lit. a RODO, § 25 ust. 1 TDDDG.

Supabase: https://supabase.com/privacy Resend: https://resend.com/legal/privacy-policy

§ 12 Połączenie kanałów społecznościowych

Na życzenie może Pan/Pani połączyć konto Instagram (Meta Platforms Ireland Limited) lub kanał YouTube (Google Ireland Limited), aby publikować filmy bezpośrednio. Przechowujemy przy tym tokeny dostępu wydane przez dostawcę oraz ID kanału, a film wraz z opisem przekazujemy danemu dostawcy wyłącznie na Pana/Pani polecenie. Połączenie można w każdej chwili rozłączyć w zakładce „Połączenia”.

Podstawa prawna: art. 6 ust. 1 lit. a i lit. b RODO.

Meta: https://www.facebook.com/privacy/policy Google: https://policies.google.com/privacy

§ 13 Odbiorcy i podmioty przetwarzające

Korzystamy z następujących usługodawców:

• Cloudflare, Inc. (USA): hosting, renderowanie, CDN, przechowywanie multimediów
• Supabase Pte. Ltd. (Singapur; serwery w UE): baza danych, uwierzytelnianie
• Stripe Payments Europe, Ltd. / Stripe, Inc.: obsługa płatności
• HeyGen Technology Inc. (USA): awatar ze zdjęcia i wideo z awatarem
• Eleven Labs Inc. (USA): klon głosu i synteza mowy
• Google Ireland Limited: synteza mowy (Gemini), logowanie przez Google, publikacja w YouTube; Tag Manager, Analytics i Ads wyłącznie po wyrażeniu zgody
• Anthropic Ireland, Limited / Anthropic, PBC (USA): tworzenie tekstów przez AI, weryfikacja obrazów
• SpaceXAI LLC (xAI, USA): generowanie materiału tła przez AI
• Resend, Inc. (USA): wysyłka e-maili
• Meta Platforms Ireland Limited: wyłącznie w przypadku połączenia konta Instagram

Z podmiotami przetwarzającymi zawarto umowy zgodnie z art. 28 RODO.

§ 14 Przekazywanie danych do państw trzecich

Kilku usługodawców ma siedzibę poza Europejskim Obszarem Gospodarczym. Podstawa przekazania dla poszczególnych odbiorców:

• EU-U.S. Data Privacy Framework (decyzja stwierdzająca odpowiedni stopień ochrony, art. 45 RODO), uzupełniająco standardowe klauzule umowne: Cloudflare, Stripe, HeyGen, ElevenLabs, Google, Resend, Meta, Microsoft
• Standardowe klauzule umowne Komisji Europejskiej (art. 46 ust. 2 lit. c RODO), będące częścią odpowiednich umów powierzenia przetwarzania: Anthropic, SpaceXAI (xAI), Supabase (Singapur; sama baza danych znajduje się w UE)

Zdjęcie i głos przekazujemy wyłącznie do HeyGen i ElevenLabs, które posiadają certyfikację Data Privacy Framework. Dane są szyfrowane podczas przesyłania i przechowywania.

§ 15 Okres przechowywania

• Zdjęcie, nagranie głosu i dowód zgody: do wycofania zgody, usunięcia awatara lub konta
• Wygenerowane filmy: do ich usunięcia przez Pana/Panią lub do usunięcia konta
• Dane konta: przez okres korzystania; są usuwane wraz z usunięciem konta
• Dane rozliczeniowe i księgowe: zgodnie z okresami przechowywania wynikającymi z prawa handlowego i podatkowego (8 lub 10 lat)
• Oświadczenia o wypowiedzeniu i potwierdzenia: do upływu terminu przedawnienia (3 lata)
• Logi serwera i aplikacji (Cloudflare): maksymalnie 7 dni

Po usunięciu konta ponowna rejestracja przy użyciu tego samego adresu e-mail jest zablokowana na 30 dni.

§ 16 Pana/Pani prawa

• Dostęp do danych (art. 15 RODO)
• Sprostowanie (art. 16 RODO)
• Usunięcie (art. 17 RODO) — również za pomocą „Usuń konto” w ustawieniach konta
• Ograniczenie przetwarzania (art. 18 RODO)
• Przenoszenie danych (art. 20 RODO)
• Sprzeciw wobec przetwarzania na podstawie prawnie uzasadnionych interesów (art. 21 RODO)
• Wycofanie udzielonych zgód ze skutkiem na przyszłość (art. 7 ust. 3 RODO)

Wystarczy nieformalna wiadomość na adres alex.trupp@nordvind-ai.de.

§ 17 Prawo do wniesienia skargi

Ma Pan/Pani prawo wnieść skargę do organu nadzorczego ds. ochrony danych (art. 77 RODO). Właściwym organem dla nas jest: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, https://www.lfd.niedersachsen.de

§ 18 Osoby niepełnoletnie

Nasza usługa nie jest skierowana do osób poniżej 18. roku życia. Nie zbieramy świadomie danych osób niepełnoletnich.

§ 19 Oznaczanie treści AI (AI Act UE)

Filmy tworzone za pomocą naszej usługi zawierają treści wygenerowane przez AI (wideo z awatarem, głos, ewentualnie B-roll wygenerowany przez AI). Zgodnie z art. 50 rozporządzenia (UE) 2024/1689 w sprawie sztucznej inteligencji oznaczamy je w sposób widoczny w filmie oraz w formacie nadającym się do odczytu maszynowego w metadanych pliku wideo.

§ 20 Brak zautomatyzowanego podejmowania decyzji

Nie stosujemy zautomatyzowanego podejmowania decyzji, w tym profilowania, wywołującego skutki prawne (art. 22 RODO).

§ 21 Zmiany

Dostosowujemy niniejszą politykę prywatności w przypadku zmiany stanu prawnego lub usługi. Aktualna wersja jest zawsze dostępna pod adresem https://community.nordvind-ai.de/privacy.