Polityka prywatności Ghostberry

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych osób korzystających z https://ghostberry.ai oraz Platformy Ghostberry, w tym osób odwiedzających stronę, zakładających Konto, korzystających z funkcjonalności AI, kupujących Subskrypcje, Doładowania lub Moduły Akademii oraz kontaktujących się z Administratorem.

Ghostberry jest nazwą serwisu. Administratorem danych i stroną umowy jest SONS HOLDING sp. z o.o.

Administrator przetwarza dane zgodnie z RODO oraz innymi właściwymi przepisami prawa.

Administratorem danych osobowych jest SONS HOLDING sp. z o.o., ul. Księcia Józefa Poniatowskiego 2/6, 50-326 Wrocław, Polska.

NIP: 8982320531; REGON: 541763680; KRS: 0001173799; kapitał zakładowy: 5 000 zł, wpłacony w całości.

Sąd rejestrowy: Sąd Rejonowy dla Wrocławia-Fabrycznej we Wrocławiu, VI Wydział Gospodarczy KRS.

Kontakt z Administratorem: support@ghostberry.ai.

Zakres przetwarzanych danych zależy od sposobu korzystania z Ghostberry. Dane karty płatniczej są podawane wyłącznie w domenie dostawcy płatności i Administrator nie ma do nich dostępu.

Administrator może przetwarzać w szczególności: imię i nazwisko, adres e-mail, dane rozliczeniowe i dane niezbędne do wystawienia faktury konsumenckiej, informacje o Subskrypcjach, Doładowaniach i transakcjach, dane Konta, korespondencję z Administratorem, adres IP, informacje o urządzeniu i przeglądarce, dane o korzystaniu z Platformy, prompty i instrukcje, przesyłane zdjęcia, wideo i inne pliki, parametry generacji oraz wygenerowane materiały.

Administrator nie zbiera numeru NIP nabywcy w procesie zakupu.

Administrator może pozyskiwać dane osobowe bezpośrednio od Użytkownika, w szczególności podczas rejestracji, korzystania z Konta, dokonywania zakupu, kontaktowania się z Administratorem, korzystania z formularzy lub korzystania z funkcjonalności Platformy.

Dane mogą być również pozyskiwane automatycznie w związku z korzystaniem ze strony internetowej lub Platformy. Dane dotyczące płatności powstają w domenie dostawcy płatności i trafiają do Administratora w zakresie potrzebnym do rozliczenia.

W określonych sytuacjach dane mogą być otrzymywane od podmiotów współpracujących z Administratorem, w szczególności operatorów płatności lub dostawców usług technologicznych. Jeżeli Użytkownik loguje się kontem Google, Administrator otrzymuje od Google LLC adres e-mail, imię oraz zdjęcie profilowe powiązane z tym kontem.

Administrator może przetwarzać dane osobowe w szczególności w celu:

• a)utworzenia i prowadzenia Konta;
• b)świadczenia usług cyfrowych;
• c)zapewnienia dostępu do Platformy;
• d)obsługi Subskrypcji;
• e)obsługi płatności;
• f)zapewnienia bezpieczeństwa Platformy;
• g)kontaktowania się z Użytkownikiem;
• h)obsługi zgłoszeń i reklamacji;
• i)obsługi zwrotów i rezygnacji z Subskrypcji;
• j)prowadzenia rozliczeń;
• k)wystawiania dokumentów księgowych;
• l)wykonywania obowiązków prawnych;
• m)zapobiegania oszustwom i nadużyciom;
• n)dochodzenia lub obrony przed roszczeniami;
• o)analizowania działania Platformy;
• p)poprawy funkcjonalności Platformy;
• q)prowadzenia marketingu bezpośredniego, w zakresie dozwolonym przez prawo;
• r)prowadzenia analityki;
• s)prowadzenia działań reklamowych i remarketingowych, jeżeli zostały wdrożone i jest to zgodne z obowiązującymi przepisami.

Administrator może przetwarzać dane osobowe na podstawie:

• a)art. 6 ust. 1 lit. a RODO, czyli zgody osoby, której dane dotyczą;
• b)art. 6 ust. 1 lit. b RODO, jeżeli przetwarzanie jest niezbędne do wykonania umowy lub podjęcia działań przed zawarciem umowy;
• c)art. 6 ust. 1 lit. c RODO, jeżeli przetwarzanie jest niezbędne do wykonania obowiązku prawnego;
• d)art. 6 ust. 1 lit. f RODO, jeżeli przetwarzanie jest niezbędne do realizacji prawnie uzasadnionego interesu Administratora lub osoby trzeciej, o ile interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie mają nadrzędnego charakteru.

W celu korzystania z określonych funkcjonalności Ghostberry Użytkownik może być zobowiązany do utworzenia Konta.

Administrator może przetwarzać dane związane z Kontem w celu:

• a)utworzenia Konta;
• b)uwierzytelniania Użytkownika;
• c)zapewnienia bezpieczeństwa Konta;
• d)obsługi ustawień;
• e)zapewnienia dostępu do zakupionych funkcjonalności;
• f)obsługi zgłoszeń dotyczących Konta.

Użytkownik powinien podawać dane prawdziwe i aktualne.

W związku z płatnościami Administrator przetwarza dane dotyczące wybranego produktu, ceny, statusu płatności, dat rozpoczęcia i zakończenia Subskrypcji, historii transakcji i anulowania lub odnowienia.

Płatności są obsługiwane przez Stripe Payments Europe Ltd z siedzibą w Irlandii. Dane karty płatniczej Użytkownik podaje w domenie dostawcy płatności; Administrator ich nie zbiera ani nie przechowuje.

Stripe przekazuje Administratorowi identyfikatory klienta i Subskrypcji oraz informacje niezbędne do obsługi płatności i rozliczeń.

Użytkownik może przekazywać do Platformy prompty, instrukcje, zdjęcia, wideo, pliki, teksty i inne materiały.

Dane te są przetwarzane w zakresie niezbędnym do wykonania wybranej funkcji.

Wszystkie generacje są realizowane przez fal.ai (Features & Labels, Inc., USA), który może przekazywać dane do dostawcy konkretnego modelu.

Ghostberry nie wykorzystuje promptów ani plików Użytkownika do trenowania własnych modeli.

Zgodnie z aktualnymi warunkami fal.ai Customer Input nie jest wykorzystywany przez fal.ai do trenowania modeli. Wykorzystanie danych po stronie właścicieli modeli jest regulowane ich własnymi warunkami i umowami z fal.ai.

Ghostberry może przechowywać wygenerowane materiały w bibliotece Użytkownika.

Materiały pozostają zapisane przez czas istnienia Konta, chyba że Użytkownik usunie je wcześniej.

Usunięcie pliku z galerii usuwa go z magazynu i powiązany wpis w bazie. Usunięcie całego Konta powoduje usunięcie profilu, historii generacji i plików z magazynu, z wyjątkiem danych, które muszą być przechowywane na podstawie prawa lub dla ochrony przed roszczeniami.

Jeżeli Użytkownik kontaktuje się z Administratorem za pośrednictwem poczty elektronicznej lub innego kanału komunikacji, Administrator może przetwarzać dane zawarte w tej komunikacji.

Dane mogą być przetwarzane w celu udzielenia odpowiedzi, prowadzenia korespondencji, rozwiązania problemu oraz ochrony przed roszczeniami.

W zależności od charakteru kontaktu podstawą prawną może być art. 6 ust. 1 lit. b, c lub f RODO.

Wiadomość można wysłać również przez formularz kontaktowy dostępny pod adresem https://ghostberry.ai/kontakt. Administrator przetwarza wówczas imię, adres e-mail, wybrany temat oraz treść wiadomości podane przez osobę wysyłającą.

Celem przetwarzania jest udzielenie odpowiedzi na wiadomość, a podstawą prawną prawnie uzasadniony interes Administratora polegający na obsłudze kierowanych do niego zapytań (art. 6 ust. 1 lit. f RODO). Jeżeli wiadomość dotyczy reklamacji lub realizacji umowy, podstawą jest odpowiednio art. 6 ust. 1 lit. b lub c RODO.

Wiadomości z formularza są dostarczane na skrzynkę Administratora za pośrednictwem Brevo (Sendinblue SAS, Francja) jako dostawcy poczty. Dane są przechowywane do czasu zamknięcia sprawy, nie dłużej niż 12 miesięcy od ostatniej wiadomości w danej sprawie, chyba że dłuższy okres wynika z obsługi reklamacji lub ochrony przed roszczeniami.

Administrator może prowadzić marketing własnych produktów i usług w zakresie dozwolonym przez obowiązujące przepisy.

Jeżeli określona forma marketingu wymaga zgody, Administrator uzyska ją przed rozpoczęciem odpowiednich działań.

Użytkownik może w dowolnym momencie zrezygnować z otrzymywania komunikacji marketingowej.

Użytkownik może również wnieść sprzeciw wobec przetwarzania danych dla celów marketingu bezpośredniego.

Ghostberry prowadzi newsletter. Zapis wymaga odrębnej, dobrowolnej zgody, a pole zgody nie jest zaznaczone domyślnie.

Wiadomości systemowe (potwierdzenie rejestracji, reset hasła) oraz newsletter są wysyłane przez Brevo (Sendinblue SAS, Francja).

Użytkownik może wycofać zgodę i wypisać się z newslettera jednym kliknięciem w każdej wiadomości.

Ghostberry korzysta z narzędzia analityki produktowej PostHog, wyłącznie po wyrażeniu przez Użytkownika zgody na cookies analityczne. Narzędzie mierzy ruch w serwisie, ścieżki poruszania się między podstronami oraz korzystanie z funkcji Platformy. Dane są przetwarzane na serwerach w Unii Europejskiej (region eu-central-1, Frankfurt) i nie są przekazywane poza Europejski Obszar Gospodarczy.

Dane techniczne mogą być rejestrowane w logach infrastruktury hostingowej na potrzeby bezpieczeństwa, diagnostyki i prawidłowego działania Platformy.

Zgoda analityczna jest odrębna od zgody marketingowej. Odmowa zgody marketingowej nie wyłącza analityki i odwrotnie; narzędzia opisane w rozdziale 15 służą wyłącznie pomiarowi skuteczności reklam i działają tylko po uzyskaniu zgody marketingowej.

Administrator prowadzi własny pomiar skuteczności kampanii reklamowych. Jeżeli Użytkownik wejdzie na stronę z linku kampanijnego, w jego przeglądarce zapisywana jest informacja o źródle wejścia: parametry kampanii (utm_source, utm_medium, utm_campaign, utm_content, utm_term), identyfikatory kliknięcia w reklamę (fbclid, ttclid, gclid), adres strony wejścia oraz domena strony odsyłającej. Zapis następuje wyłącznie po wyrażeniu zgody na cookies marketingowe.

Celem tego przetwarzania jest ustalenie, które kampanie i które strony wejścia prowadzą do założenia Konta i do zakupu, a w konsekwencji racjonalne wydatkowanie budżetu reklamowego. Podstawą przechowywania i odczytu tych informacji w urządzeniu końcowym jest zgoda Użytkownika (art. 6 ust. 1 lit. a RODO w związku z art. 399 Prawa komunikacji elektronicznej).

Po założeniu Konta informacje te są zapisywane w bazie Administratora i przypisane do Konta. Dane te nie są przekazywane podmiotom trzecim w celach analitycznych; identyfikator kliknięcia w reklamę może natomiast zostać wykorzystany przy przekazaniu informacji o zakupie do Meta na zasadach opisanych w rozdziale 15.

Wycofanie zgody na cookies marketingowe powoduje usunięcie tych informacji z przeglądarki Użytkownika. Informacje wcześniej przypisane do Konta są usuwane wraz z Kontem albo na żądanie Użytkownika.

W ramach analityki może być rejestrowany przebieg wizyty na stronach informacyjnych i sprzedażowych (tak zwane nagrywanie sesji). Nagrywanie nie obejmuje zalogowanej części Platformy dostępnej pod adresem /tworz, a więc nie obejmuje treści poleceń kierowanych do modeli AI, wygenerowanych materiałów ani danych Konta. Treść pól formularzy oraz tekst na stronie są maskowane przed zapisem; nagranie odtwarza układ strony i miejsca kliknięć, a nie wpisywane informacje.

Administrator mierzy również wydajność techniczną serwisu (czas ładowania i stabilność wyświetlania) za pomocą narzędzia Vercel Speed Insights. Pomiar ten nie wykorzystuje plików cookies, nie identyfikuje Użytkownika i dotyczy działania kodu Platformy, a nie zachowania osoby korzystającej z serwisu; jego podstawą jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).

Administrator korzysta z narzędzia Sentry do wykrywania błędów technicznych Platformy. Narzędzie rejestruje treść błędu, adres podstrony, na której wystąpił, oraz informacje o przeglądarce. Jest skonfigurowane tak, aby nie przekazywać adresu IP, nagłówków żądania ani plików cookies, i nie służy do obserwowania zachowania Użytkownika. Nie wykorzystuje plików cookies i działa niezależnie od zgód na cookies. Podstawą jest prawnie uzasadniony interes Administratora polegający na zapewnieniu prawidłowego i bezpiecznego działania Platformy (art. 6 ust. 1 lit. f RODO). Dane są przetwarzane w regionie unijnym.

Administrator prowadzi dziennik decyzji dotyczących zgód na cookies. Zapisywane są: losowy identyfikator przeglądarki, wersja zestawu celów, treść decyzji (zgoda albo odmowa dla każdej kategorii), znacznik czasu oraz identyfikator Konta, jeżeli decyzja zapadła po zalogowaniu. Nie są zapisywane adres IP ani informacje o przeglądarce. Dziennik obejmuje również odmowy i wycofania zgody. Celem jest wykazanie, że zgoda została wyrażona albo że jej nie było; obowiązek ten spoczywa na Administratorze na podstawie art. 7 ust. 1 RODO.

Administrator liczy anonimowo, ile razy wyświetlił się baner zgód na cookies i jaką decyzję podjęto, bez zapisywania czegokolwiek na urządzeniu Użytkownika i bez danych pozwalających rozpoznać osobę. Zapisywane są wyłącznie dzienne sumy z podziałem na rodzaj decyzji, przybliżony czas jej podjęcia, rodzaj urządzenia (telefon albo komputer), rodzaj przeglądarki (zwykła albo wbudowana w aplikację Facebook lub Instagram) oraz informację, czy wejście nastąpiło z reklamy Meta. Podstawą jest prawnie uzasadniony interes Administratora polegający na ocenie czytelności mechanizmu zgód (art. 6 ust. 1 lit. f RODO).

Ghostberry wykorzystuje narzędzia pomiarowe Meta do oceny skuteczności reklam, tworzenia grup odbiorców i remarketingu na Facebooku i Instagramie. Są to: Meta Pixel działający w przeglądarce oraz API konwersji (Conversions API), które przekazuje informacje o zdarzeniach bezpośrednio z serwera Administratora.

Oba narzędzia działają wyłącznie po uzyskaniu zgody na cookies marketingowe. Dotyczy to również przekazywania danych z serwera: jeżeli Użytkownik nie wyraził zgody albo ją wycofał, żadne zdarzenie nie jest wysyłane. Do API konwersji przekazywane są adres e-mail i identyfikator Konta wyłącznie w postaci skrótu kryptograficznego (SHA-256), a ponadto adres IP, informacja o przeglądarce oraz identyfikatory kliknięcia w reklamę.

W zakresie zbierania danych o zdarzeniach za pomocą narzędzi Meta i ich przekazywania do Meta Platforms Ireland Ltd Administrator i Meta są współadministratorami w rozumieniu art. 26 RODO. Zasadnicza treść uzgodnień jest następująca: Meta odpowiada za realizację praw osób, których dane dotyczą, w odniesieniu do danych przetwarzanych przez Meta po ich otrzymaniu, oraz za zapewnienie bezpieczeństwa tych danych; Administrator odpowiada za zgodne z prawem zebranie danych, w tym za uzyskanie zgody, oraz za wykonanie obowiązku informacyjnego. Po przekazaniu danych do Meta podmiot ten przetwarza je również jako niezależny administrator na własne cele, opisane w jego polityce prywatności. Użytkownik może realizować swoje prawa zarówno wobec Administratora (dane kontaktowe w rozdziale 2), jak i bezpośrednio wobec Meta.

Odbiorcami danych mogą być: Stripe Payments Europe Ltd, fal.ai (Features & Labels, Inc.), Vercel Inc., Supabase Inc., Brevo (Sendinblue SAS), Google LLC (logowanie kontem Google), Meta Platforms Ireland Ltd, PostHog Inc. oraz Functional Software, Inc. (Sentry), oba w zakresie przetwarzania w regionie unijnym, a także dostawcy modeli AI wykorzystywanych za pośrednictwem fal.ai. Odbiorcą jest również Google LLC w zakresie narzędzia pomiarowego Google Analytics 4, wyłącznie po uzyskaniu zgody analitycznej. Jeżeli zostanie wdrożony TikTok Pixel, odbiorcą będzie również TikTok Technology Ltd, wyłącznie po uzyskaniu zgody marketingowej.

W zakresie obsługi Platformy dane mogą być również dostępne podmiotom świadczącym usługi bezpieczeństwa, IT, księgowe lub prawne, jeżeli jest to niezbędne do prowadzenia działalności i zgodne z prawem.

Dane mogą być przekazywane poza Europejski Obszar Gospodarczy, w szczególności do Stanów Zjednoczonych, w związku z korzystaniem z Vercel, fal.ai, Supabase, dostawców modeli AI, Google oraz Meta.

W przypadku określonych modeli wideo dane mogą być również przekazywane do podmiotów lub infrastruktury związanej z Kuaishou, ByteDance lub Alibaba, w tym do podmiotów w Chinach lub Singapurze, zależnie od wybranego modelu i sposobu jego realizacji. W odniesieniu do Chin nie została wydana decyzja stwierdzająca odpowiedni stopień ochrony, w związku z czym transfer opiera się na standardowych klauzulach umownych stosowanych przez dostawcę; Użytkownik, który nie chce, aby jego dane były przekazywane do tych podmiotów, może nie korzystać z modeli wideo oznaczonych tymi dostawcami. W ramach narzędzia pomiarowego Google Analytics 4 dane są przekazywane do Google LLC, wyłącznie po uzyskaniu zgody analitycznej. Jeżeli zostanie wdrożony TikTok Pixel (TikTok Technology Ltd), dane będą przekazywane również do tego podmiotu, wyłącznie po uzyskaniu zgody marketingowej.

Transfery odbywają się na podstawie następujących mechanizmów: w odniesieniu do odbiorców z siedzibą w Stanach Zjednoczonych, którzy przystąpili do programu EU-U.S. Data Privacy Framework: na podstawie decyzji wykonawczej Komisji Europejskiej (UE) 2023/1795 z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony; w pozostałych przypadkach: na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, uzupełnionych o ocenę skutków transferu. Aktualny status certyfikacji poszczególnych odbiorców jest dostępny w publicznym rejestrze programu.

Dane Konta i informacje potrzebne do świadczenia usługi są przechowywane przez okres istnienia Konta, a następnie usuwane z zastrzeżeniem danych, które muszą pozostać przez okres wymagany prawem lub dla ochrony przed roszczeniami.

Pliki i Outputy są przechowywane bezterminowo do czasu ich usunięcia przez Użytkownika albo usunięcia Konta.

Kopie zapasowe danych związanych z usuniętym Kontem wygasają najpóźniej w ciągu 30 dni.

Dane dotyczące faktur i transakcji są przechowywane przez 5 lat lub przez okres wynikający z obowiązujących przepisów podatkowych i rachunkowych.

Dane przekazane do fal.ai są przechowywane zgodnie z zasadami tego dostawcy; zgodnie z jego aktualnymi warunkami dane związane z Kontem są usuwane w ciągu 30 dni od zamknięcia Konta, a przy braku aktywności po dwóch latach.

Informacje o źródle wejścia z kampanii reklamowej są przechowywane w przeglądarce przez 90 dni od wejścia, a po przypisaniu do Konta przez okres istnienia Konta.

W granicach określonych przepisami prawa osobie, której dane dotyczą, przysługuje:

• a)prawo dostępu do danych;
• b)prawo do sprostowania danych;
• c)prawo do usunięcia danych;
• d)prawo do ograniczenia przetwarzania;
• e)prawo do przenoszenia danych;
• f)prawo do wniesienia sprzeciwu;
• g)prawo do wycofania zgody;
• h)prawo do wniesienia skargi do organu nadzorczego.

Użytkownik może żądać usunięcia danych osobowych w przypadkach przewidzianych przepisami prawa.

Prawo do usunięcia danych nie ma charakteru bezwzględnego i może zostać ograniczone w szczególności przez obowiązki prawne Administratora lub konieczność ustalenia, dochodzenia lub obrony roszczeń.

W przypadkach przewidzianych w RODO Użytkownik może wnieść sprzeciw wobec przetwarzania danych.

W przypadku marketingu bezpośredniego Użytkownik może wnieść sprzeciw w dowolnym momencie.

Żądania dotyczące praw osób, których dane dotyczą, można przesyłać na adres support@ghostberry.ai.

Administrator może podjąć działania w celu potwierdzenia tożsamości osoby składającej żądanie, jeżeli jest to konieczne dla bezpieczeństwa danych.

Administrator udziela odpowiedzi bez zbędnej zwłoki i co do zasady w terminie miesiąca, z uwzględnieniem zasad przewidzianych w RODO.

Osoba, której dane dotyczą, ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.

W samej usłudze Ghostberry nie stosuje profilowania użytkownika powodującego skutki prawne ani podobnie istotne skutki.

W marketingu stosowane jest profilowanie przy użyciu Meta Pixel i remarketingu, wyłącznie po uzyskaniu odpowiedniej zgody i bez podejmowania decyzji wywołujących skutki prawne.

Ghostberry nie podejmuje wobec Użytkowników decyzji wywołujących skutki prawne lub podobnie istotne wyłącznie w wyniku zautomatyzowanego przetwarzania w rozumieniu art. 22 RODO.

Dostawcy modeli mogą stosować automatyczne filtry bezpieczeństwa i moderacji, które mogą odrzucić prompt lub wynik. Użytkownik może zakwestionować taką odmowę przez support@ghostberry.ai.

Administrator stosuje odpowiednie środki techniczne i organizacyjne mające na celu ochronę danych przed utratą, zniszczeniem, zmianą, nieuprawnionym dostępem lub ujawnieniem.

Administrator może stosować między innymi szyfrowanie transmisji danych, kontrolę dostępu, mechanizmy uwierzytelniania, kopie zapasowe oraz zabezpieczenia infrastruktury informatycznej.

Ghostberry jest przeznaczone wyłącznie dla osób, które ukończyły 18 lat.

Osoby poniżej 18. roku życia nie mogą zakładać Kont ani korzystać z usługi.

Jeżeli Administrator ustali, że Konto zostało założone przez osobę poniżej 18. roku życia, Konto może zostać usunięte zgodnie z obowiązującymi przepisami.

Strona może zawierać linki do zewnętrznych stron internetowych.

Administrator nie odpowiada za sposób przetwarzania danych przez niezależnych operatorów zewnętrznych stron.

Administrator może zmieniać niniejszą Politykę Prywatności w szczególności w przypadku zmian prawa, zmian funkcjonalności Platformy, zmiany dostawców technologii lub sposobu przetwarzania danych.

Aktualna wersja Polityki Prywatności jest publikowana pod adresem https://ghostberry.ai/prywatnosc.

Każda wersja dokumentu zawiera datę ostatniej aktualizacji.

Niniejsza Polityka Prywatności obowiązuje od dnia 24.08.2026.

Polityka Prywatności stanowi dokument informacyjny dotyczący przetwarzania danych osobowych i nie zastępuje Regulaminu Platformy ani Polityki Cookies.

W przypadku rozbieżności pomiędzy Polityką Prywatności a bezwzględnie obowiązującymi przepisami prawa pierwszeństwo mają właściwe przepisy prawa.