Prywatność
Polityka prywatności PromptBlock AI
Wyjaśniamy, kto przetwarza Twoje dane, jakie dane zbieramy, po co, jak długo je przechowujemy, komu je przekazujemy i jakie masz prawa. Dokument jest zgodny z RODO (rozporządzenie (UE) 2016/679).
1. Administrator i kontakt
Administratorem Twoich danych osobowych jest KOMBA Maciej Włodarczak, ul. Bławatkowa 11, 62-080 Tarnowo Podgórne, Polska, NIP PL777-288-21-91 („my”, „Administrator”). W sprawach danych osobowych napisz na privacy@promptblock.app lub pocztą na adres siedziby.
2. Zakres polityki
Polityka dotyczy strony internetowej PromptBlock AI oraz aplikacji z Kontem, generowaniem konstrukcji i płatnościami. Poszczególne części dotyczą tylko tych funkcji, z których faktycznie korzystasz.
3. Jakie dane zbieramy i skąd
| Sytuacja | Dane | Źródło |
|---|---|---|
| Konto | adres e-mail (logowanie jednorazowym linkiem, bez hasła), nazwa wyświetlana, język, historia generacji i operacji na kredytach | Ty |
| Płatności | identyfikator transakcji, pakiet, kwota, waluta i status; dane do faktury oraz dane karty podajesz sprzedawcy rozliczeniowemu (Paddle) i my ich nie otrzymujemy | Ty; Paddle |
| Generowanie konstrukcji | prompty, parametry, instrukcje poprawek, wygenerowane konstrukcje i pliki, logi zadań (czas, zużycie kredytów, błędy walidatora) | Ty; nasze systemy |
| Dane techniczne | adres IP, identyfikatory przeglądarki (user agent), adresy odwiedzanych podstron, znaczniki czasu i kody błędów w logach serwerów, informacje z cookies i pamięci przeglądarki opisane w Polityce cookies; nie prowadzimy analityki ani profilowania | automatycznie, z Twojej przeglądarki |
| Kontakt, reklamacje, zgłoszenia | treść korespondencji, dane kontaktowe, załączniki | Ty |
4. Cele, podstawy prawne i okresy przechowywania
| Cel | Podstawa prawna (RODO) | Okres przechowywania |
|---|---|---|
| Zawarcie i wykonanie umowy: Konto, kredyty, generowanie, eksport, podgląd, wsparcie | art. 6 ust. 1 lit. b – wykonanie umowy | przez czas posiadania Konta; projekty i pliki co najmniej 24 miesiące od ostatniej aktywności projektu |
| Rozliczenia, faktury, księgowość | art. 6 ust. 1 lit. c – obowiązek prawny (przepisy podatkowe i rachunkowe) | 5 lat od końca roku podatkowego, w którym wystawiono dokument |
| Reklamacje, odstąpienie od umowy, obrona przed roszczeniami | art. 6 ust. 1 lit. c oraz lit. f – prawnie uzasadniony interes (ustalenie i obrona roszczeń) | do upływu terminów przedawnienia roszczeń (co do zasady 6 lat, dla świadczeń okresowych i roszczeń przedsiębiorców 3 lata) |
| Bezpieczeństwo, zapobieganie nadużyciom, logi serwera, limity, wykrywanie ataków, ochrona antybotowa przy logowaniu | art. 6 ust. 1 lit. f – prawnie uzasadniony interes (bezpieczeństwo usługi) | logi techniczne do 12 miesięcy; dane o nadużyciach do czasu wyjaśnienia sprawy i upływu przedawnienia |
| Moderacja treści promptów i obsługa zgłoszeń naruszeń | art. 6 ust. 1 lit. c (akt o usługach cyfrowych) oraz lit. f | 12 miesięcy po zakończeniu sprawy |
| Ulepszanie jakości generowania (statystyki zbiorcze, analiza błędów walidatora) | art. 6 ust. 1 lit. f – prawnie uzasadniony interes; tam, gdzie to możliwe, na danych zanonimizowanych | dane zbiorcze bezterminowo, dane jednostkowe do 12 miesięcy |
| Odpowiedź na wiadomości i kontakt | art. 6 ust. 1 lit. f – prawnie uzasadniony interes (komunikacja) | 12 miesięcy od zakończenia korespondencji |
Nie wykorzystujemy Twoich promptów ani wyników do trenowania modeli AI. Nie sprzedajemy danych i nie wyświetlamy reklam.
5. Prompty i modele AI
Aby wygenerować konstrukcję, przekazujemy prompt, parametry i instrukcję poprawki dostawcy modelu AI: OpenAI, L.L.C. (San Francisco, USA; zasady prywatności dla API), który działa jako nasz podmiot przetwarzający na podstawie umowy powierzenia. Zgodnie z warunkami OpenAI dla API dane te nie są używane do trenowania modeli; OpenAI może przechowywać je do 30 dni w celu wykrywania nadużyć, a następnie je usuwa. Prompt jest też sprawdzany automatycznym filtrem treści OpenAI przed uruchomieniem generacji. Nie umieszczaj w promptach danych osobowych, których nie chcesz przekazać (np. imion i nazwisk innych osób).
6. Odbiorcy danych
Dane mogą być przekazywane wyłącznie podmiotom, które wspierają świadczenie usługi i działają na nasze polecenie (podmioty przetwarzające) albo są samodzielnymi administratorami w zakresie swoich usług:
- baza danych, logowanie i magazyn plików: Supabase, Inc. (USA); Twoje dane są przechowywane w centrum danych w Irlandii (region eu-west-1);
- serwery aplikacji i generowania: Railway Corp. (USA); przetwarzanie odbywa się na serwerach w Stanach Zjednoczonych;
- sprzedawca rozliczeniowy i operator płatności: Paddle.com Market Ltd (Londyn, Wielka Brytania; polityka prywatności Paddle) – samodzielny administrator w zakresie realizacji płatności, faktur i VAT;
- wysyłka wiadomości e-mail (linki logowania): Resend, Inc. (USA); wiadomości z naszej domeny są wysyłane z serwerów w Irlandii; obsługa domeny i przekierowanie poczty przychodzącej: Cloudflare, Inc. (USA);
- dostawca modelu AI: OpenAI, L.L.C. (USA) – patrz pkt 5;
- ochrona antybotowa formularza logowania: Cloudflare Turnstile (Cloudflare, Inc., USA) – przetwarza adres IP i dane przeglądarki wyłącznie w celu odróżnienia człowieka od bota;
- Google (Google Fonts): przy wczytywaniu czcionek przeglądarka łączy się z serwerami Google, które otrzymują adres IP i dane przeglądarki. Google deklaruje, że nie używa tych żądań do profilowania i nie ustawia w tym celu cookies; planujemy udostępniać czcionki z własnego serwera, aby to połączenie wyeliminować;
- biuro rachunkowe, doradcy prawni, organy publiczne – gdy wymaga tego prawo.
7. Przekazywanie danych poza EOG
Część dostawców (OpenAI, Railway, Resend, Cloudflare, Google) może przetwarzać dane w Stanach Zjednoczonych lub innych krajach poza Europejskim Obszarem Gospodarczym. Przekazanie odbywa się wtedy na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym ram ochrony danych UE–USA w odniesieniu do certyfikowanych podmiotów) albo standardowych klauzul umownych zatwierdzonych przez Komisję, z dodatkowymi środkami ochrony. Kopię stosowanych zabezpieczeń możesz uzyskać, pisząc na adres podany w pkt 1.
8. Twoje prawa
Masz prawo do: dostępu do danych i uzyskania ich kopii; sprostowania; usunięcia („prawo do bycia zapomnianym”); ograniczenia przetwarzania; przenoszenia danych (dane przetwarzane na podstawie zgody lub umowy, w formacie nadającym się do odczytu maszynowego, np. eksport projektów); sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie; cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.
Aby skorzystać z praw, napisz na privacy@promptblock.app. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (w skomplikowanych sprawach termin może być wydłużony o kolejne dwa miesiące, o czym poinformujemy).
Masz również prawo wnieść skargę do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl – lub do organu nadzorczego w państwie Twojego zwykłego pobytu.
9. Dobrowolność, automatyczne decyzje, dzieci
Podanie danych jest dobrowolne, ale niezbędne do założenia Konta lub zakupu kredytów. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały; automatyczne filtry bezpieczeństwa (walidator plików, filtry treści) są weryfikowane przez człowieka na Twój wniosek. Usługa jest przeznaczona dla osób, które ukończyły 16 lat; jeżeli dowiemy się, że przetwarzamy dane młodszego dziecka bez zgody rodzica, usuniemy je.
10. Bezpieczeństwo
Stosujemy m.in. szyfrowanie transmisji (HTTPS), logowanie bez hasła jednorazowym linkiem, kontrolę dostępu do danych na poziomie bazy (każdy użytkownik widzi wyłącznie własne projekty), prywatny magazyn plików z podpisanymi linkami, ograniczenie modelu AI do symulatora bez dostępu do serwera oraz walidację wygenerowanych plików. Żadna metoda nie daje pełnej gwarancji bezpieczeństwa – jeżeli podejrzewasz naruszenie, napisz na security@promptblock.app.
11. Zmiany polityki
Politykę możemy aktualizować, gdy zmienią się przepisy, nasi dostawcy lub funkcje usługi. O istotnych zmianach poinformujemy e-mailem (jeśli masz Konto) i w Serwisie; datę ostatniej aktualizacji podajemy na górze strony.
Privacy
PromptBlock AI Privacy Policy
This policy explains who processes your data, what data we collect, why, how long we keep it, who we share it with and what rights you have. It follows the GDPR (Regulation (EU) 2016/679).
1. Controller and contact
The controller of your personal data is KOMBA Maciej Włodarczak, ul. Bławatkowa 11, 62-080 Tarnowo Podgórne, Poland, tax ID (NIP) PL777-288-21-91 ("we", the "Controller"). For data protection matters write to privacy@promptblock.app or by post to the registered address.
2. Scope
This policy covers the PromptBlock AI website and the application with Accounts, build generation and payments. Individual sections apply only to the features you actually use.
3. What data we collect and where it comes from
| Situation | Data | Source |
|---|---|---|
| Account | e-mail address (sign-in with a one-time link, no password), display name, language, generation and credit history | you |
| Payments | transaction identifier, pack, amount, currency and status; invoice details and card data are provided to the Merchant of Record (Paddle) and never reach us | you; Paddle |
| Build generation | prompts, parameters, fix instructions, generated builds and files, job logs (time, credit usage, validator errors) | you; our systems |
| Technical data | IP address, browser identifiers (user agent), pages visited, timestamps and error codes in server logs, information from cookies and browser storage described in the Cookie Policy; we run no analytics and no profiling | automatically, from your browser |
| Contact, complaints, reports | correspondence content, contact details, attachments | you |
4. Purposes, legal bases and retention
| Purpose | Legal basis (GDPR) | Retention |
|---|---|---|
| Concluding and performing the contract: Account, credits, generation, export, preview, support | Art. 6(1)(b) – performance of a contract | for as long as you hold the Account; projects and files for at least 24 months from the project's last activity |
| Billing, invoices, accounting | Art. 6(1)(c) – legal obligation (tax and accounting law) | 5 years from the end of the tax year in which the document was issued |
| Complaints, withdrawal, defending against claims | Art. 6(1)(c) and (f) – legitimate interest (establishing and defending claims) | until the limitation periods for claims expire (as a rule 6 years; 3 years for periodic performance and business claims) |
| Security, abuse prevention, server logs, limits, attack detection, bot protection at sign-in | Art. 6(1)(f) – legitimate interest (service security) | technical logs up to 12 months; abuse data until the case is resolved and limitation periods expire |
| Moderation of prompt content and handling of reports | Art. 6(1)(c) (Digital Services Act) and (f) | 12 months after the case is closed |
| Improving generation quality (aggregate statistics, validator error analysis) | Art. 6(1)(f) – legitimate interest; on anonymised data where possible | aggregate data indefinitely, individual data up to 12 months |
| Replying to messages and contact | Art. 6(1)(f) – legitimate interest (communication) | 12 months after the correspondence ends |
We do not use your prompts or results to train AI models. We do not sell data and we show no advertising.
5. Prompts and AI models
To generate a build we pass the prompt, parameters and fix instruction to the AI model provider: OpenAI, L.L.C. (San Francisco, USA; API privacy commitments), which acts as our processor under a data processing agreement. Under OpenAI's API terms this data is not used to train models; OpenAI may retain it for up to 30 days to detect abuse and then deletes it. The prompt is also checked by OpenAI's automated content filter before generation starts. Do not include in prompts personal data you do not want to share (e.g. other people's names).
6. Recipients
Data may be shared only with entities that support the provision of the service and act on our instructions (processors) or are independent controllers within their own services:
- database, authentication and file storage: Supabase, Inc. (USA); your data is stored in a data centre in Ireland (region eu-west-1);
- application and generation servers: Railway Corp. (USA); processing takes place on servers in the United States;
- Merchant of Record and payment operator: Paddle.com Market Ltd (London, United Kingdom; Paddle privacy policy) – an independent controller for payments, invoices and VAT;
- e-mail delivery (sign-in links): Resend, Inc. (USA); messages from our domain are sent from servers in Ireland; domain and inbound e-mail routing: Cloudflare, Inc. (USA);
- AI model provider: OpenAI, L.L.C. (USA) – see section 5;
- bot protection on the sign-in form: Cloudflare Turnstile (Cloudflare, Inc., USA) – processes the IP address and browser data solely to tell humans from bots;
- Google (Google Fonts): when fonts are loaded, your browser connects to Google's servers, which receive your IP address and browser data. Google states that it does not use these requests for profiling and sets no cookies for this purpose; we plan to serve the fonts from our own server to eliminate this connection;
- accountants, legal advisers, public authorities – where required by law.
7. Transfers outside the EEA
Some providers (OpenAI, Railway, Resend, Cloudflare, Google) may process data in the United States or other countries outside the European Economic Area. Such transfers rely on an adequacy decision of the European Commission (including the EU-U.S. Data Privacy Framework for certified organisations) or on the Commission's standard contractual clauses with additional safeguards. You can obtain a copy of the safeguards by writing to the address in section 1.
8. Your rights
You have the right to: access your data and obtain a copy; rectification; erasure ("right to be forgotten"); restriction of processing; data portability (data processed on the basis of consent or a contract, in a machine-readable format, e.g. project export); object to processing based on legitimate interest; withdraw consent at any time without affecting the lawfulness of processing before withdrawal.
To exercise your rights, write to privacy@promptblock.app. We respond without undue delay and at the latest within one month (in complex cases this may be extended by two further months, of which we will inform you).
You also have the right to lodge a complaint with a supervisory authority: in Poland, the President of the Personal Data Protection Office (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warsaw, uodo.gov.pl – or with the supervisory authority of the country of your habitual residence.
9. Voluntariness, automated decisions, children
Providing data is voluntary but necessary to create an Account or buy credits. We do not make decisions about you based solely on automated processing that would produce legal effects or similarly significantly affect you; automated safety filters (file validator, content filters) are reviewed by a human at your request. The service is intended for persons aged 16 or over; if we learn that we process data of a younger child without parental consent, we will delete it.
10. Security
We use, among other things, encrypted transmission (HTTPS), passwordless sign-in with a one-time link, database-level access control (every user sees only their own projects), private file storage with signed links, confinement of the AI model to a simulator with no server access, and validation of generated files. No method provides an absolute guarantee of security – if you suspect a breach, write to security@promptblock.app.
11. Changes to this policy
We may update this policy when the law, our providers or the service's features change. We will inform you of material changes by e-mail (if you have an Account) and on the Website; the date of the last update is shown at the top of the page.