Polityka Prywatności i Ochrony Danych Osobowych
Zgodna z RODO (Rozp. UE 2016/679) | UODO (Dz.U. 2018 poz. 1000) | AI Act (Rozp. UE 2024/1689)
Obowiązuje od: 5 marca 2026
1. Wstęp i zakres stosowania
Niniejsza Polityka Prywatności i Ochrony Danych Osobowych (dalej: "Polityka") określa zasady zbierania, przetwarzania, przechowywania i ochrony danych osobowych przez Syntalith sp. z o.o. (dalej: "Syntalith", "my", "nas").
Syntalith projektuje, tworzy i wdraża systemy sztucznej inteligencji, w tym:
- agentów AI (autonomiczne systemy wykonujące zadania)
- chatbotów AI (konwersacyjne interfejsy tekstowe)
- voicebotów AI (systemy konwersacji głosowej)
- szkolenia AI (warsztaty i programy szkoleniowe z zakresu sztucznej inteligencji)
Przetwarzanie danych osobowych jest nieodłącznym elementem świadczenia tych usług. Polityka opisuje w szczegółowy i przejrzysty sposób, jak postępujemy z danymi osobowymi - zgodnie z wymogami art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
Podstawy prawne tej Polityki
- Rozporządzenie UE 2016/679 (RODO) - główny akt regulujący ochronę danych osobowych
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000) - polska implementacja
- Rozporządzenie UE 2024/1689 (AI Act) - regulacje dotyczące systemów sztucznej inteligencji
- Dyrektywa 2002/58/WE (ePrivacy) i polska ustawa Prawo telekomunikacyjne - w zakresie cookies i komunikacji elektronicznej
2. Administrator danych osobowych
Administratorem Twoich danych osobowych w rozumieniu art. 4 pkt 7 RODO jest:
Syntalith sp. z o.o., Stefana Batorego 18/108, 02-591 Warszawa, KRS: 0001194852
W sprawach związanych z ochroną danych osobowych możesz skontaktować się z nami:
- mailowo: privacy@syntalith.ai (odpowiedź w ciągu 3 dni roboczych)
- pisemnie: na adres siedziby z dopiskiem "Ochrona danych osobowych"
Inspektor Ochrony Danych (IOD)
Syntalith nie ma obowiązku powołania Inspektora Ochrony Danych na podstawie art. 37 RODO, ponieważ na obecnym etapie działalności nie przetwarzamy danych osobowych na wielką skalę ani nie przetwarzamy systematycznie szczególnych kategorii danych jako działalności podstawowej.
W przypadku wzrostu skali przetwarzania danych (w szczególności danych głosowych/biometrycznych) Syntalith dokona ponownej oceny obowiązku powołania IOD i niezwłocznie poinformuje o tym w niniejszej Polityce.
3. Jakie dane osobowe przetwarzamy
Przetwarzamy różne kategorie danych osobowych w zależności od charakteru relacji z Syntalith oraz z jakiego produktu lub usługi korzystasz.
3.1 Dane klientów i użytkowników biznesowych (B2B)
3.2 Dane użytkowników końcowych (interakcje z AI)
Gdy użytkownik wchodzi w interakcje z systemami AI Syntalith (chatboty, voiceboty, agenci AI), przetwarzamy:
UWAGA: Dane głosowe - szczególna kategoria danych
Nagrania głosowe przetwarzane przez voiceboty Syntalith mogą stanowić dane biometryczne w rozumieniu art. 4 pkt 14 RODO, jeśli są wykorzystywane do identyfikacji osoby na podstawie cech głosowych.
W przypadku wdrożenia funkcji identyfikacji głosowej: przetwarzanie odbywa się wyłącznie na podstawie wyraźnej zgody użytkownika (art. 9 ust. 2 lit. a RODO) lub innej wyraźnie określonej podstawy prawnej.
Standardowe nagrania konwersacji (bez identyfikacji biometrycznej) traktujemy jako zwykłe dane osobowe i przetwarzamy na podstawie art. 6 RODO.
3.3 Dane odwiedzających stronę internetową
3.5 Dane uczestników szkoleń AI
Gdy pracownicy klienta B2B uczestniczą w szkoleniach AI prowadzonych przez Syntalith, przetwarzamy:
3.4 Dane, których NIE zbieramy
Syntalith zobowiązuje się do NIEPRZETWARZANIA następujących kategorii danych bez wyraźnej podstawy prawnej:
- Danych ujawniających pochodzenie rasowe lub etniczne
- Poglądów politycznych, przekonań religijnych lub światopoglądowych
- Danych genetycznych lub biometrycznych w celach identyfikacji (bez wyraźnej zgody)
- Danych dotyczących stanu zdrowia lub życia seksualnego
- Danych dzieci poniżej 13. roku życia (zgodnie z polską ustawą o ochronie danych)
4. Podstawy prawne przetwarzania danych
Każda operacja przetwarzania danych osobowych przez Syntalith opiera się na jednej z poniższych podstaw prawnych zgodnie z art. 6 RODO:
Realizacja umowy (art. 6 ust. 1 lit. b)
Świadczenie usług AI na podstawie zawartej umowy; obsługa konta klienta; wystawianie faktur; realizacja zamówień na wdrożenie chatbotów/voicebotów/agentów AI; realizacja szkoleń AI na podstawie umowy z klientem B2B; wydawanie certyfikatów ukończenia.
Uzasadniony interes (art. 6 ust. 1 lit. f)
Bezpieczeństwo systemów informatycznych; wykrywanie nadużywania API; analiza jakości i poprawa modeli AI (bez profilowania użytkowników); marketing bezpośredni wobec klientów B2B.
Zgoda użytkownika (art. 6 ust. 1 lit. a)
Wysyłanie newslettera i komunikacji marketingowej; umieszczanie nieobowiązkowych cookies analitycznych i marketingowych; identyfikacja biometryczna głosem (jeśli wdrożona).
Obowiązek prawny (art. 6 ust. 1 lit. c)
Przechowywanie dokumentów księgowych i faktur (5 lat + rok bieżący); obowiązki wynikające z prawa podatkowego i KSH.
Dane wrażliwe (art. 9 ust. 2 lit. a)
Przetwarzanie danych biometrycznych (identyfikacja głosowa) - wyłącznie na podstawie wyraźnej, dobrowolnej i szczegółowej zgody użytkownika.
Jeżeli przetwarzanie opiera się na Twojej zgodzie (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO), możesz ją wycofać w dowolnym momencie bez negatywnych konsekwencji, kontaktując się pod adresem privacy@syntalith.ai. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem.
5. Cele przetwarzania danych osobowych
Dane osobowe przetwarzamy wyłącznie w określonych, wyraźnych i uzasadnionych celach zgodnie z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO):
Uruchamianie i utrzymanie chatbotów, voicebotów i agentów AI dla klientów; przetwarzanie danych wejściowych niezbędnych do generowania odpowiedzi przez model AI.
Odpowiadanie na pytania i zgłoszenia; zarządzanie kontem; wsparcie techniczne przy wdrożeniach.
Analiza wzorców konwersacji w celu trenowania i poprawy modeli AI (wyłącznie na danych zanonimizowanych lub po uzyskaniu zgody).
Wykrywanie i zapobieganie nadużywaniu systemów AI; ochrona przed atakami; logi audytowe.
Wystawianie faktur, ewidencja płatności, obsługa zwrotów.
Informowanie klientów biznesowych o nowych produktach i funkcjach AI (na podstawie uzasadnionego interesu lub zgody).
Realizacja obowiązków wynikających z RODO, AI Act, prawa podatkowego, KSH.
Organizacja i prowadzenie warsztatów AI; wysyłka materiałów szkoleniowych; wydawanie certyfikatów; 30-dniowe wsparcie poszkoleniowe; ewaluacja jakości szkoleń.
6. Przetwarzanie danych w systemach AI - wymogi AI Act
Informacja zgodna z art. 50 Rozporządzenia UE 2024/1689 (AI Act): Syntalith tworzy i wdraża systemy sztucznej inteligencji. Jeśli korzystasz z naszych produktów (chatbotu, voicebotu lub agenta AI), informujemy Cię o następujących kwestiach:
Obowiązek informacyjny AI Act - co musisz wiedzieć jako użytkownik
6.1 Zewnętrzne modele AI (subprocesory)
W celu świadczenia usług AI korzystamy z zewnętrznych modeli i platform sztucznej inteligencji. Dane wejściowe użytkownika (treści konwersacji) mogą być przekazywane do następujących podprocesorów:
Modele GPT (generowanie tekstu, chatboty). Siedziba: San Francisco, USA. Transfer danych: SCC + DPA. Dane przetwarzane wyłącznie zgodnie z API Data Usage Policy.
Modele Claude (agenci AI, analiza tekstu). Siedziba: San Francisco, USA. Transfer danych: SCC + DPA. Dane nie są używane do trenowania modeli bez zgody.
Modele Gemini i platforma Vertex AI (przetwarzanie języka, automatyzacja). Siedziba: Mountain View, USA. Transfer danych: SCC + Google Cloud DPA. Certyfikaty: ISO 27001, SOC 2 Type II.
Każdy z powyższych dostawców jest zobowiązany umownie (Data Processing Agreement + Standard Contractual Clauses) do przetwarzania danych osobowych wyłącznie zgodnie z instrukcjami Syntalith i w zgodzie z RODO. Pełna lista podprocesorów dostępna na żądanie: privacy@syntalith.ai
7. Okresy przechowywania danych (retencja)
Dane osobowe przechowujemy nie dłużej niż jest to konieczne do realizacji celu, dla którego zostały zebrane (art. 5 ust. 1 lit. e RODO):
8. Odbiorcy danych i transfery międzynarodowe
8.1 Kategorie odbiorców danych
Dane osobowe mogą być udostępniane następującym kategoriom odbiorców:
- Dostawcy modeli AI: OpenAI, Anthropic, Google - jako podprocesory (patrz sekcja 6.1)
- Dostawcy infrastruktury: dostawcy hostingu i cloud - wyłącznie na podstawie umów DPA
- Dostawcy narzędzi SaaS: systemy CRM, helpdesk, e-mail marketing - wyłącznie po zawarciu umów powierzenia
- Organy państwowe: UODO, sądy, organy podatkowe - wyłącznie na podstawie obowiązku prawnego i w wymaganym zakresie
- Audytorzy i doradcy: kancelarie prawne, biegli rewidenci - objęci tajemnicą zawodową
8.2 Transfery poza Europejski Obszar Gospodarczy (EOG)
Korzystanie z dostawców AI (OpenAI, Anthropic, Google) oznacza przekazywanie danych do Stanów Zjednoczonych. Dla każdego takiego transferu stosujemy następujące zabezpieczenia:
- Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską (decyzja 2021/914) - zawarte ze wszystkimi dostawcami AI
- Data Processing Agreements (DPA) z każdym dostawcą AI, określające zakres i cel przetwarzania
- Transfer Impact Assessment (TIA) - ocena ryzyka dla konkretnych transferów do USA
- OpenAI i Google posiadają certyfikat EU-US Data Privacy Framework (DPF) - dodatkowy mechanizm ochrony
- Dane są przetwarzane w europejskich regionach serwerów tam, gdzie jest to dostępne (np. Google Cloud region europe-west)
9. Twoje prawa jako podmiotu danych
Na podstawie RODO przysługują Ci następujące prawa. Realizujemy je bezpłatnie w ciągu 30 dni od otrzymania żądania (art. 12 ust. 3 RODO). W przypadku szczególnie złożonych żądań termin może zostać przedłużony o kolejne 60 dni.
Prawo dostępu (art. 15)
Możesz żądać informacji o tym, czy przetwarzamy Twoje dane, jakie to dane, w jakim celu, komu je udostępniamy i jak długo je przechowujemy. Masz prawo do kopii przetwarzanych danych.
Prawo do sprostowania (art. 16)
Możesz żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych osobowych.
Prawo do usunięcia (art. 17)
Możesz żądać usunięcia danych, jeśli: cel przetwarzania ustanął; wycofałeś zgodę; dane były przetwarzane niezgodnie z prawem. Prawo nie dotyczy danych, które musimy zachować z uwagi na obowiązek prawny.
Prawo do ograniczenia (art. 18)
Możesz żądać wstrzymania przetwarzania danych w określonych sytuacjach (np. kwestionujesz prawidłowość danych lub złożyłeś sprzeciw - na czas jego rozpatrzenia).
Prawo do sprzeciwu (art. 21)
Możesz sprzeciwić się przetwarzaniu Twoich danych w oparciu o uzasadniony interes (w tym profilowaniu) lub na cele marketingu bezpośredniego. Sprzeciw wobec marketingu jest bezwzględny.
Prawo do przenoszenia (art. 20)
Jeśli przetwarzamy Twoje dane na podstawie zgody lub umowy w sposób zautomatyzowany - możesz otrzymać je w ustrukturyzowanym, maszynowo czytelnym formacie (JSON, CSV) lub zażądać przeniesienia do innego administratora.
Prawo do skargi (art. 77)
Masz prawo wnieść skargę do Prezesa UODO (uodo.gov.pl) lub do organów nadzorczych w innych państwach członkowskich UE, jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem.
Prawo do niepodlegania automatycznym decyzjom (art. 22)
Masz prawo nie podlegać decyzjom podejmowanym wyłącznie w sposób zautomatyzowany (w tym profilowaniu), które wywołują wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływają.
Jak złożyć wniosek o realizację praw?
- ›E-mail: privacy@syntalith.ai (tytułem: RODO - [rodzaj żądania])
- ›Pismo: na adres siedziby Syntalith sp. z o.o. z dopiskiem "Ochrona danych"
- ›Odpowiemy w ciągu 30 dni od otrzymania kompletnego wniosku
- ›Możemy poprosić o weryfikację tożsamości, aby chronić Twoje dane przed nieuprawnionym dostępem
- ›Realizacja praw jest bezpłatna; w przypadku ewidentnie nieuzasadnionych lub nadmiernych żądań możemy pobrać opłatę administracyjną (art. 12 ust. 5 RODO)
10. Pliki cookies i technologie śledzące
Nasza strona internetowa (www.syntalith.ai) oraz aplikacje Syntalith używają plików cookies i podobnych technologii śledzących:
Logowanie do panelu klienta, sesja użytkownika, bezpieczeństwo (CSRF token), zapamiętywanie preferencji cookies. Podstawa: uzasadniony interes / niezbędność techniczna.
Google Analytics - analiza ruchu, popularności stron, źródeł odwiedzin. Przechowywane do 13 miesięcy. Możesz odmówić zgody lub wycofać ją w ustawieniach cookies.
Remarketing i reklamy spersonalizowane (jeśli wdrożone). Możesz odmówić w panelu zarządzania cookies na stronie.
Wtyczki społecznościowe (LinkedIn, Twitter/X) mogą umieszczać własne cookies. Zapoznaj się z ich politykami prywatności.
Zarządzać swoimi preferencjami dotyczącymi cookies możesz w dowolnym momencie klikając "Ustawienia cookies" w stopce naszej strony lub zmieniając ustawienia przeglądarki.
11. Bezpieczeństwo danych osobowych
Stosujemy odpowiednie środki techniczne i organizacyjne (art. 32 RODO) zapewniające poziom bezpieczeństwa odpowiedni do ryzyka:
11.1 Środki techniczne
Szyfrowanie danych w transmisji: TLS 1.2 lub wyższy dla wszystkich połączeń
Szyfrowanie danych w spoczynku: AES-256 dla przechowywanych danych osobowych
Uwierzytelnianie dwuskładnikowe (2FA) dla dostępu do systemów administracyjnych
Kontrola dostępu na zasadzie "need-to-know" - dostęp wyłącznie dla uprawnionych pracowników
Regularne testy bezpieczeństwa i skanowanie podatności systemów AI i infrastruktury
Monitoring i alertowanie w czasie rzeczywistym pod kątem nieautoryzowanego dostępu
Automatyczne kopie zapasowe z szyfrowanym przechowywaniem
11.2 Środki organizacyjne
- Szkolenia pracowników z zakresu ochrony danych i AI literacy (zgodnie z AI Act art. 4)
- Polityka czystego biurka i ekranu dla pracowników mających dostęp do danych
- Procedura obsługi incydentów bezpieczeństwa (patrz sekcja 12)
- Regularne przeglądy i audyty wewnętrzne polityki ochrony danych
- Umowy o poufności (NDA) z pracownikami i kontrahentami mającymi dostęp do danych osobowych
12. Naruszenia ochrony danych - procedura incydentów
Syntalith utrzymuje wewnętrzną procedurę reagowania na naruszenia ochrony danych osobowych zgodnie z wymogami art. 33 i 34 RODO:
Procedura po wykryciu naruszenia bezpieczeństwa danych
KROK 1 - Wykrycie i eskalacja
Pracownik wykrywający incydent niezwłocznie informuje osobę odpowiedzialną za ochronę danych w Syntalith.
KROK 2 - Ocena ryzyka (do 12 godzin)
Ocena czy naruszenie może skutkować ryzykiem naruszenia praw lub wolności osób fizycznych.
KROK 3 - Zgłoszenie do UODO (do 72 godzin)
Jeśli naruszenie stanowi ryzyko - Syntalith zgłasza incydent do Prezesa UODO przez portal uodo.gov.pl (art. 33 RODO).
KROK 4 - Poinformowanie podmiotów danych
Jeśli naruszenie stanowi WYSOKIE ryzyko - niezwłocznie informujemy bezpośrednio dotknięte osoby (art. 34 RODO).
KROK 5 - Dokumentacja
Każde naruszenie jest dokumentowane w rejestrze naruszeń (art. 33 ust. 5 RODO) niezależnie od tego, czy podlega zgłoszeniu do UODO.
Jeśli podejrzewasz, że Twoje dane zostały naruszone lub masz informacje o incydencie bezpieczeństwa - prosimy o niezwłoczny kontakt: privacy@syntalith.ai
13. Ochrona danych dzieci
Wiek minimalny: 13 lat (zgodnie z polskim prawem)
Zgodnie z art. 8 RODO i art. 7a polskiej ustawy o ochronie danych osobowych, usługi Syntalith są skierowane do osób, które ukończyły 13. rok życia.
Osoby w wieku 13-16 lat mogą korzystać z naszych usług wyłącznie za zgodą rodzica lub opiekuna prawnego.
Jeśli dowiadujemy się, że zebraliśmy dane dziecka poniżej 13. roku życia bez weryfikowalnej zgody rodzica - niezwłocznie usuwamy te dane.
Prosimy rodziców i opiekunów o kontakt pod adresem privacy@syntalith.ai jeśli podejrzewają, że ich dziecko udostępniło swoje dane bez zgody.
14. Zmiany w Polityce Prywatności
Syntalith zastrzega sobie prawo do aktualizacji niniejszej Polityki w następujących przypadkach:
- Zmiany przepisów prawa (RODO, AI Act, UODO, prawo telekomunikacyjne)
- Wprowadzenia nowych produktów lub usług AI przetwarzających dane w nowy sposób
- Zmiany dostawców technologicznych lub podprocesorów
- Zaleceń organów nadzorczych (UODO, EROD)
O istotnych zmianach poinformujemy:
- Klientów B2B: e-mailem na adres kontaktowy z 30-dniowym wyprzedzeniem
- Użytkowników strony: banerem informacyjnym na www.syntalith.ai
- Wszystkich: przez aktualizację daty "Ostatnia aktualizacja" w nagłówku dokumentu
Archiwalne wersje Polityki są dostępne na żądanie: privacy@syntalith.ai
15. Dane kontaktowe i organ nadzorczy
W sprawach dotyczących ochrony danych osobowych skontaktuj się z nami:
Syntalith sp. z o.o., Stefana Batorego 18/108, 02-591 Warszawa, Polska
www.syntalith.ai
Prezes Urzędu Ochrony Danych Osobowych (PUODO)
ul. Stawki 2, 00-193 Warszawa
22 531 03 00
kancelaria@uodo.gov.pl
Niniejszy dokument został sporządzony w języku polskim i stanowi wiążącą wersję Polityki Prywatności Syntalith sp. z o.o. Wersja 2.0 zastępuje wszystkie poprzednie wersje dokumentu.