Polityka prywatności

1. Zakres dokumentu

Polityka dotyczy dwóch sytuacji. Po pierwsze — korzystania z aplikacji Ala AI BOT, której dostawcą jest APIF Sp. z o.o. z siedzibą w Katowicach (dalej: „Administrator”), przez osoby reprezentujące sklep (konta w panelu). Po drugie — przetwarzania danych wizytorów sklepu, w którym zainstalowano asystentkę.

W pierwszym przypadku jesteśmy administratorem danych. W drugim działamy na polecenie sklepu jako podmiot przetwarzający; szczegóły tej roli opisuje osobny dokument dotyczący powierzenia przetwarzania.

2. Jakie dane przetwarzamy

Zakres danych wynika wprost z działania systemu i jest ograniczony do tego, co potrzebne do prowadzenia rozmowy i analityki zachowania.

• Dane konta w panelu: imię i nazwisko, adres e-mail, rola w przestrzeni, ustawienia bezpieczeństwa konta.
• Zdarzenia zachowania w sklepie: odsłony, kliknięcia, przewinięcia, czas aktywny, zdarzenia ecommerce.
• Identyfikatory pseudonimowe przypisane przeglądarce oraz identyfikator klienta przekazany przez sklep.
• Treść rozmów z asystentką oraz metadane rozmowy (czas, kanał, przejęcie przez operatora).
• Dane zamówień i zwrotów przekazane przez backend sklepu.
• Dane techniczne sesji: język przeglądarki, rozmiar okna, strefa czasowa, typ urządzenia.

3. Cele i podstawy przetwarzania

• Świadczenie usługi na rzecz sklepu — wykonanie umowy z klientem biznesowym.
• Obsługa konta w panelu i jego bezpieczeństwo — wykonanie umowy oraz uzasadniony interes administratora.
• Analityka zachowania i personalizacja rozmowy — na podstawie zgody wizytora zebranej przez sklep.
• Nagrania sesji — wyłącznie przy zgodzie na analitykę i nagrania.
• Rozliczenia i dokumentacja księgowa — obowiązek prawny administratora.
• Rozpatrywanie żądań dotyczących danych i zapewnienie bezpieczeństwa systemu — obowiązek prawny i uzasadniony interes.

4. Zgody i sygnały prywatności

Moduły analityki, nagrań, personalizacji i marketingu są uruchamiane zgodnie z konfiguracją zgód po stronie sklepu. Do czasu uzyskania zgody moduł, który jej wymaga, nie jest ładowany.

Jeśli sklep wybrał tryb respektowania sygnałów prywatności przeglądarki, włączony Do Not Track lub Global Privacy Control wyłącza analitykę, nagrania, personalizację i marketing.

5. Ciasteczka w tym serwisie

Ta sekcja dotyczy wyłącznie serwisu alabot.app, na którym właśnie jesteś — nie ciasteczek sklepu, w którym zainstalowano asystentkę. Przy pierwszej wizycie wyświetlamy baner zgody i do czasu dokonania wyboru nie uruchamiamy statystyk ani narzędzi marketingowych.

Zgodę obsługujemy w standardzie Google Consent Mode v2: dopóki jej nie wyrazisz, sygnały „analytics_storage” i „ad_storage” pozostają ustawione na „denied”, a narzędzia respektujące ten standard nie zapisują ciasteczek. Meta Pixel go nie obsługuje, dlatego w ogóle nie jest ładowany przed uzyskaniem zgody marketingowej.

Wybór możesz zmienić lub cofnąć w każdej chwili — odnośnik „Ustawienia” w stopce otwiera baner ponownie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na jej podstawie przed wycofaniem.

Poniżej ciasteczka i dane zapisywane w przeglądarce, w podziale na kategorie z banera:

• Niezbędne — „NEXT_LOCALE” zapamiętuje wybrany język, „ala.session_token” (na połączeniu szyfrowanym „__Secure-ala.session_token”) utrzymuje sesję po zalogowaniu do panelu, a „ala.consent” przechowuje Twój wybór z banera przez rok. Są konieczne do działania serwisu i nie wymagają zgody.
• Statystyki — Google Analytics 4 („_ga”, „_ga_*”) mierzy ruch w serwisie i skuteczność treści. Ładuje się dopiero po wyrażeniu zgody.
• Marketing — Meta Pixel („_fbp”, a przy wejściu z reklamy także „_fbc”) mierzy skuteczność kampanii reklamowych. Ładuje się dopiero po wyrażeniu zgody.
• Demonstracja asystentki — jeżeli na stronie działa widget Ala, zapisuje w pamięci przeglądarki identyfikator wizytora i sesji („ala_visitor”, „ala_session”) oraz stan rozmowy („ala_chat_conv”). Obejmuje go zgoda na statystyki.

6. Odbiorcy danych i podmioty przetwarzające

Dane mogą być przetwarzane przez dostawców infrastruktury, dostawców modeli językowych, operatora płatności oraz dostawcę usług pocztowych, w zakresie niezbędnym do działania usługi.

Aktualną listę podmiotów przetwarzających wraz z informacją o lokalizacji przetwarzania udostępniamy klientom biznesowym na żądanie.

7. Okres przechowywania

Okres przechowywania zdarzeń i nagrań wynika z planu sklepu oraz jego ustawień; obowiązuje wartość surowsza z tych dwóch. Rozmowy i dziennik audytu mają własne, dłuższe minimum wynikające z potrzeby rozliczalności.

Po upływie okresu dane są usuwane lub anonimizowane przez cykliczne zadanie systemowe, którego przebieg jest rejestrowany.

8. Prawa osób, których dane dotyczą

• Prawo dostępu do danych i otrzymania ich kopii.
• Prawo do sprostowania danych nieprawidłowych.
• Prawo do usunięcia danych lub ich anonimizacji.
• Prawo do ograniczenia przetwarzania i sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie.
• Prawo do przenoszenia danych w ustrukturyzowanym formacie.
• Prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.
• Prawo wniesienia skargi do organu nadzorczego.

9. Jak złożyć żądanie

Żądanie można złożyć przez publiczny portal dostępny pod adresem /privacy/request. Po jego wysłaniu wysyłamy na podany adres link potwierdzający — bez jego otwarcia żądanie nie jest realizowane, co chroni przed składaniem wniosków w cudzym imieniu.

Nie ujawniamy w odpowiedzi, czy posiadamy dane danej osoby, zanim żądanie nie zostanie potwierdzone.

10. Bezpieczeństwo

Stosujemy środki techniczne opisane na stronie poświęconej bezpieczeństwu: szyfrowanie danych dostępowych, podpisy żądań wychodzących, dwuskładnikowe logowanie dla ról uprzywilejowanych, izolację danych między sklepami oraz maskowanie danych wrażliwych w nagraniach.

11. Zmiany polityki

O istotnych zmianach dokumentu informujemy klientów biznesowych z wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod tym adresem.