Niniejsza Polityka prywatności określa najistotniejsze zasady przetwarzania danych osobowych pozyskiwanych w związku z korzystaniem z serwisu Luminto, dostępnego pod adresami luminto.pl oraz www.luminto.pl (dalej: „Serwis").
Dokładamy wszelkich starań, by zebrane dane osobowe były odpowiednio chronione i wykorzystywane wyłącznie zgodnie z przepisami prawa, w szczególności RODO, ustawą o ochronie danych osobowych, ustawą o świadczeniu usług drogą elektroniczną oraz ustawą prawo telekomunikacyjne.
I. Definicje
- Polityka — niniejsza Polityka prywatności Serwisu Luminto.
- RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych).
- Serwis — aplikacja internetowa Luminto.
- Użytkownik — osoba fizyczna korzystająca z Serwisu, w tym posiadająca Konto.
- Konto — indywidualny profil Użytkownika utworzony po rejestracji w Serwisie.
- Materiały wejściowe — pliki graficzne (zdjęcia) oraz opisy tekstowe wprowadzane przez Użytkownika do Serwisu w celu ich przetworzenia.
- Materiały wyjściowe — grafiki, opisy ofert i inne treści wygenerowane przez Serwis na podstawie Materiałów wejściowych Użytkownika.
- Dostawcy AI — zewnętrzne podmioty świadczące usługi modeli sztucznej inteligencji wykorzystywanych w Serwisie, w szczególności Google LLC (modele Gemini) oraz OpenAI, L.L.C. (modele GPT), działające jako dalsi podprocesorzy.
II. Administrator danych
Administratorem Państwa danych osobowych jest Piotr Włodarczyk, prowadzący jednoosobową działalność gospodarczą pod firmą „Piotr Włodarczyk", NIP 8381704913, REGON 015343518, ul. Ludwika Pasteura 6A lok. 33, 02-093 Warszawa.
Kontakt z Administratorem:
- e-mail: kontakt@luminto.pl
- adres: ul. Ludwika Pasteura 6A lok. 33, 02-093 Warszawa
III. Zakres i cele przetwarzania danych osobowych
1. Rejestracja i prowadzenie Konta
Przetwarzane dane: adres e-mail, imię i nazwisko (jeśli podane), hasło w formie zaszyfrowanej (hash), identyfikator dostawcy tożsamości (Google OAuth — jeśli wybrano).
Podstawa prawna: art. 6 ust. 1 lit. b) RODO — wykonanie umowy o świadczenie usług drogą elektroniczną.
2. Świadczenie usługi (przetwarzanie zdjęć i generowanie treści)
Przetwarzane dane: Materiały wejściowe (zdjęcia, opisy), Materiały wyjściowe, parametry użytych operacji, historia projektów, metadane techniczne plików.
Materiały wejściowe mogą zawierać dane osobowe osób trzecich (np. wizerunek osób przypadkowo widocznych na zdjęciu nieruchomości, tablice rejestracyjne pojazdów). W tym zakresie zastosowanie ma sekcja V-A poniżej (powierzenie przetwarzania).
Podstawa prawna: art. 6 ust. 1 lit. b) RODO — wykonanie umowy.
3. Przetwarzanie przez modele AI
W ramach świadczenia usługi Materiały wejściowe oraz prompty są przekazywane do Dostawców AI wyłącznie w trybie inference (jednorazowe wygenerowanie odpowiedzi).
Administrator nie trenuje własnych modeli AI na danych Użytkowników. Dostawcy AI, z którymi współpracujemy, na podstawie warunków korzystania z ich API również nie wykorzystują danych przesyłanych przez Administratora do trenowania swoich modeli.
Podstawa prawna: art. 6 ust. 1 lit. b) RODO — wykonanie umowy.
4. Komunikacja z Użytkownikiem
Przetwarzane dane: adres e-mail, treść wiadomości przesłanych przez formularz kontaktowy.
Podstawa prawna: art. 6 ust. 1 lit. b) i f) RODO — wykonanie umowy i prawnie uzasadniony interes Administratora (obsługa zgłoszeń).
5. Cele analityczne i doskonalenie usług
Administrator przetwarza zanonimizowane dane o sposobie korzystania z Serwisu (logi zdarzeń, czasy generacji, parametry użytych operacji, statystyki użycia funkcji) w celu doskonalenia usług i wykrywania błędów. Z tekstów wprowadzanych przez Użytkownika usuwane są automatycznie dane osobowe (adresy e-mail, numery telefonów, IBAN, adresy URL) przed zapisem analitycznym.
Podstawa prawna: art. 6 ust. 1 lit. f) RODO — prawnie uzasadniony interes Administratora.
6. Bezpieczeństwo i audyt
Przetwarzane dane: adresy IP, identyfikator sesji, logi logowań i zdarzeń bezpieczeństwa.
Podstawa prawna: art. 6 ust. 1 lit. f) RODO — prawnie uzasadniony interes Administratora (bezpieczeństwo Serwisu).
IV. Okres przechowywania danych
- Dane Konta — przez czas posiadania aktywnego Konta i 30 dni po jego usunięciu (na potrzeby ewentualnego przywrócenia i obsługi reklamacji).
- Materiały wejściowe i wyjściowe oraz historia projektów — przez czas posiadania aktywnego Konta. Po usunięciu Konta są usuwane w terminie do 30 dni.
- Logi bezpieczeństwa — 12 miesięcy od daty zdarzenia.
- Dane analityczne — w formie zanonimizowanej bezterminowo; identyfikatory powiązane z Użytkownikiem nie dłużej niż 180 dni.
- Dane przekazane do Dostawców AI — wyłącznie na czas wygenerowania odpowiedzi (inference); zgodnie z warunkami dostawców API logi mogą być retencjonowane do 30 dni w celach wykrywania nadużyć.
- Dane wymagane przepisami (np. dokumentacja księgowa płatności) — przez okres wymagany prawem podatkowym (co najmniej 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku).
V. Odbiorcy danych
Administrator powierza przetwarzanie danych osobowych następującym kategoriom odbiorców:
- dostawcom infrastruktury chmurowej i bazodanowej (hosting, backendowa baza danych, magazyn plików);
- Dostawcom AI (Google LLC, OpenAI, L.L.C.) — w zakresie niezbędnym do wygenerowania Materiałów wyjściowych;
- dostawcom usług e-mailowych i transakcyjnych (np. Resend) — w celu wysyłki potwierdzeń, powiadomień i odpowiedzi na zgłoszenia;
- operatorom płatności — jeśli korzystają Państwo z planów płatnych (Administrator nie przechowuje danych kart);
- podmiotom współpracującym z Administratorem (obsługa prawna, księgowa) — w zakresie niezbędnym do realizacji ich zadań;
- organom uprawnionym na podstawie przepisów prawa (sądy, organy ścigania, organy podatkowe).
V-A. Powierzenie przetwarzania danych osób trzecich
W przypadku gdy Użytkownik wprowadza do Serwisu Materiały wejściowe zawierające dane osobowe osób trzecich (np. wizerunek osób na zdjęciach, tablice rejestracyjne, dane na widocznych dokumentach), Użytkownik pełni rolę administratora tych danych, a Administrator (Luminto) — podmiotu przetwarzającego (procesora) w rozumieniu art. 28 RODO.
Szczegółowe warunki powierzenia oraz lista dalszych podprocesorów (Dostawców AI) określone są w Regulaminie (§ 10a i § 10b).
W ramach powierzenia Administrator stosuje:
- szyfrowanie transmisji (TLS 1.2+) i danych w spoczynku;
- kontrolę dostępu opartą na rolach oraz Row Level Security w bazie danych — Materiały innych Użytkowników nie są dla Państwa dostępne;
- współpracę z Dostawcami AI wyłącznie w trybie inference (bez trenowania modeli);
- usunięcie Materiałów po zakończeniu świadczenia usługi zgodnie z sekcją IV.
VI. Prawa Użytkownika
W zakresie przewidzianym RODO posiadają Państwo prawo do:
- dostępu do treści swoich danych osobowych (art. 15 RODO);
- sprostowania danych (art. 16 RODO);
- usunięcia danych — „prawa do bycia zapomnianym" (art. 17 RODO), z zastrzeżeniem obowiązków wynikających z przepisów prawa;
- ograniczenia przetwarzania (art. 18 RODO);
- przenoszenia danych (art. 20 RODO) — Serwis umożliwia eksport projektów i wygenerowanych grafik;
- wniesienia sprzeciwu wobec przetwarzania (art. 21 RODO);
- wycofania zgody w dowolnym momencie (art. 7 ust. 3 RODO);
- wniesienia skargi do organu nadzorczego — Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
VII. Zautomatyzowane przetwarzanie i profilowanie
Serwis wykorzystuje zautomatyzowane przetwarzanie w ramach modułów AI (generowanie i edycja grafik, generowanie opisów, klasyfikacja). Przetwarzanie to ma charakter wspomagający i nie podejmuje wobec Użytkownika decyzji wywołujących skutki prawne bez jego wyraźnej akceptacji (Użytkownik samodzielnie decyduje o wygenerowaniu, zapisaniu i wykorzystaniu Materiałów wyjściowych).
VIII. Środki techniczne i organizacyjne
- szyfrowanie transmisji (TLS) i danych w spoczynku;
- uwierzytelnianie z hashowaniem haseł i opcjonalnym OAuth (Google);
- kontrola dostępu oparta na rolach (RBAC) i Row Level Security;
- separacja danych Użytkowników na poziomie bazy danych;
- monitorowanie zdarzeń bezpieczeństwa i logowanie dostępu;
- rate limiting, ochrona przed spamem (honeypot, timing) w formularzach;
- automatyczne usuwanie danych osobowych z tekstów zapisywanych w analityce (sanitizacja PII);
- polityka minimalnych uprawnień (least privilege) dla personelu Administratora.
IX. Przekazywanie danych poza EOG
W ramach świadczenia usługi dane mogą być przetwarzane przez dostawców infrastruktury i Dostawców AI z siedzibą w Stanach Zjednoczonych (Google LLC, OpenAI, L.L.C., dostawcy chmury). Transfer odbywa się na podstawie:
- decyzji o adekwatności EU–US Data Privacy Framework (art. 45 RODO) — dla dostawców certyfikowanych w DPF;
- standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) — w pozostałych przypadkach.
X. Pliki cookies i magazyn lokalny
Serwis wykorzystuje:
- Niezbędne pliki cookies / wpisy w localStorage — wymagane do działania Serwisu (uwierzytelnianie, sesja, język interfejsu);
- Funkcjonalne — zapamiętywanie preferencji Użytkownika (np. ostatnio wybrana kategoria, ustawienia studia);
- Analityczne — anonimowe statystyki użycia.
Użytkownik może zarządzać plikami cookies w ustawieniach przeglądarki. Wyłączenie plików niezbędnych może uniemożliwić korzystanie z Serwisu.
XI. Linki do innych stron
Serwis może zawierać linki do zewnętrznych stron (np. portali ogłoszeniowych, dostawców AI). Strony te działają niezależnie i podlegają własnym politykom prywatności.
XII. Zmiany Polityki prywatności
Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki. O istotnych zmianach Użytkownicy zostaną poinformowani drogą elektroniczną na adres e-mail przypisany do Konta z co najmniej 14-dniowym wyprzedzeniem.
XIII. Kontakt
W sprawach dotyczących przetwarzania danych osobowych prosimy o kontakt:
- e-mail: kontakt@luminto.pl
- adres: ul. Ludwika Pasteura 6A lok. 33, 02-093 Warszawa