Polityka prywatności

1. Kto odpowiada za Twoje dane

Administratorem Twoich danych osobowych jest Solid Code Jakub Jabłoński, ul. Przybyszewskiego 209C/49, 93-120 Łódź, NIP 7282888619 („my”). W każdej sprawie dotyczącej tej polityki pisz na contact@twish.ink.

2. Co zbieramy

• Twoje konto, jeśli je zakładasz: adres e-mail, podane imię i hasło, które przechowujemy wyłącznie jako jednokierunkowy skrót (hash), więc nigdy nie możemy go odczytać.
• Twoje projekty: to, co wpisujesz (polecenia, napisy do nadruku, polecenia zmian), obrazy przesłane jako inspiracja oraz projekty, które dla Ciebie rysujemy, z ich wersjami.
• Twoje zamówienia: co zamówiłeś, podane imię i nazwisko oraz adres dostawy, Twój adres e-mail oraz informację, czy i ile zapłaciłeś. Dane karty trafiają bezpośrednio do operatora płatności; nigdy nie widzimy numeru Twojej karty.
• Dane techniczne: Twój adres IP, czas oraz strona lub działanie, o które prosisz, zapisywane w logach bezpieczeństwa i serwera. Jeśli trafiłeś do nas z linku kampanii (parametr ?source= w linku reklamy), zapisujemy nazwę tej kampanii przy Twoim koncie lub sesji gościa, aby wiedzieć, które kampanie prowadzą do projektów i zamówień.
• E-maile, które do Ciebie wysyłamy: kopia wiadomości dotyczących konta i zamówień (potwierdzenia, resety hasła), żebyśmy widzieli, że zostały wysłane.
• Wiadomości, które do nas wysyłasz przez formularz kontaktowy: ich treść, temat, adres e-mail do odpowiedzi, strona, z której piszesz, oraz konto lub sesja gościa, z której wysłano wiadomość.

Bez konta korzystasz z Twish jako gość: Twoje projekty są wtedy powiązane z plikiem cookie w przeglądarce, a nie z adresem e-mail.

Osoby na przesłanych zdjęciach. Jeżeli przesyłasz zdjęcie przedstawiające inne osoby, przetwarzamy ich wizerunek, aby wykonać zamówiony projekt i sprawdzić go z naszymi zasadami – w naszym i Twoim prawnie uzasadnionym interesie wykonania zamówionego projektu (art. 6 ust. 1 lit. f RODO) – z udziałem wskazanych niżej dostawców. Zdjęcie usuwamy po 24 godzinach, chyba że zostało użyte w projekcie – wtedy przechowujemy je tak długo jak projekt. Sprawdzamy jedynie, czy zdjęcie przedstawia osobę powszechnie znaną (takich wizerunków nie drukujemy); nie próbujemy identyfikować innych osób. Jeżeli jesteś na zdjęciu przesłanym do Twish, możesz skorzystać ze swoich praw, pisząc na contact@twish.ink.

3. W jakim celu i na jakiej podstawie

• Świadczenie usługi Twish (rysowanie i zmienianie projektów, konto, logowanie, e-maile dotyczące konta): wykonanie zawartej z Tobą umowy, art. 6 ust. 1 lit. b RODO.
• Wykonanie, wysyłka i obsługa zamówień, w tym płatności i reklamacji: art. 6 ust. 1 lit. b RODO.
• Prowadzenie dokumentacji księgowej i podatkowej zamówień i płatności, jak wymaga prawo polskie: art. 6 ust. 1 lit. c RODO.
• Bezpieczeństwo i uczciwe korzystanie z serwisu: limity, sprawdzanie, czy użytkownik jest człowiekiem, zapobieganie nadużyciom i oszustwom, sprawdzanie poleceń i przesłanych plików z naszymi zasadami treści oraz obrona przed roszczeniami. To nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.
• Odpowiadanie na Twoje wiadomości z formularza kontaktowego: nasz prawnie uzasadniony interes w udzieleniu Ci pomocy i ulepszaniu Twish, art. 6 ust. 1 lit. f RODO, a gdy piszesz w sprawie zamówienia – wykonanie umowy, art. 6 ust. 1 lit. b RODO.
• Zrozumienie, co działa: liczenie wizyt i zamówień na link kampanii, aby wiedzieć, które reklamy przyprowadzają ludzi, oraz zapisanie pierwszej kampanii przy koncie lub sesji gościa. To także nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO. Liczby wizyt to sumy, które nikogo nie identyfikują.

Nie wysyłamy e-maili marketingowych. Podanie danych jest dobrowolne, ale bez adresu e-mail nie można mieć konta ani złożyć zamówienia, a bez adresu dostawy nie możemy niczego dostarczyć.

4. Kto otrzymuje dane

Twish działa na naszych własnych komputerach w Polsce. Część pracy wykonują dla nas poniższe usługi. Większość z nich działa na nasze polecenie na podstawie umowy powierzenia przetwarzania danych; jeśli któraś działa na własny rachunek, piszemy o tym wyraźnie:

• Cloudflare, Inc. przesyła cały ruch między Twoją przeglądarką a nami i chroni serwis przed atakami, więc widzi Twój adres IP i strony, o które prosisz. Gdy z Twojej sieci powstaje w ciągu dnia dużo projektów albo dla jednego adresu e-mail wpisano wiele błędnych haseł, Cloudflare Turnstile sprawdza w Twojej przeglądarce, czy jesteś człowiekiem: widzi Twój adres IP i dane techniczne przeglądarki i urządzenia, a nam przekazuje tylko, czy sprawdzenie się powiodło. Cloudflare wykorzystuje te sygnały także jako odrębny administrator, aby ulepszać wykrywanie botów.
• Google (modele Gemini): odczytuje Twoje polecenie i zamienia je na instrukcje rysunku, sprawdza je z naszymi zasadami treści oraz odczytuje, co pokazują i co mówią nasze projekty. Gdy OpenAI jest niedostępne, sprawdza też przesłane obrazy. W płatnej usłudze, z której korzystamy, Google nie wykorzystuje tych danych do ulepszania swoich produktów; przechowuje je przez 55 dni wyłącznie w celu wykrywania nadużyć.
• OpenAI sprawdza przesłane obrazy z naszymi zasadami treści i je opisuje, wymienia, co pokazują nasze projekty, oraz zastępuje Google, gdy Google jest niedostępne. Zgodnie z warunkami API tych danych nie wykorzystuje do trenowania swoich modeli.
• OpenRouter, Inc. przekazuje Twoje polecenie do modelu Google tylko wtedy, gdy niedostępne są zarówno Google, jak i OpenAI. Otrzymuje tekst polecenia, a nie Twoje obrazy ani konto, i w naszych ustawieniach nie przechowuje poleceń.
• Replicate, Inc. rysuje projekty, gdy nasza maszyna jest zajęta. Otrzymuje instrukcje rysunku i obrazy do danego zadania i usuwa je w ciągu godziny.
• Wyszukiwarki internetowe (Microsoft Bing, Yahoo, Google): gdy Twoje polecenie zawiera imię i nazwisko, markę lub postać, wysyłamy samą tę nazwę do wyszukiwarek, aby sprawdzić, czy chodzi o osobę publiczną lub cudzą własność. Wyszukiwarki działają jako odrębni administratorzy na podstawie własnych polityk prywatności. Nie wyszukujemy osób, które przedstawiasz jako znajome („moja siostra Anna”), i nigdy nie wysyłamy Twojego konta ani reszty polecenia.
• Gelato i jego lokalny partner drukarski wykonują i wysyłają zamówienie. Otrzymują projekt, produkty oraz Twoje imię i nazwisko, adres dostawy i adres e-mail.
• Stripe obsługuje płatność. Otrzymuje Twoje imię i nazwisko, adres e-mail, adres dostawy (do obliczenia VAT) i kwotę, a dane karty zbiera samodzielnie. W zakresie zapobiegania oszustwom i własnych obowiązków prawnych Stripe działa jako odrębny administrator (stripe.com/privacy).
• Resend doręcza e-maile dotyczące konta i zamówień na Twój adres. Otrzymuje Twój adres e-mail i treść wiadomości.
• Nasza skrzynka pocztowa (contact@twish.ink, obsługiwana przez Google): trafiają do niej kopie wiadomości z formularza kontaktowego oraz powiadomień o zamówieniach i problemach, żebyśmy mogli odpowiedzieć i działać. Powiadomienia na telefon właściciela (Telegram) nie zawierają danych osobowych: tylko informację, że coś się wydarzyło, z linkiem do naszego panelu administracyjnego.

Udostępniamy dane organom tylko wtedy, gdy wymaga tego prawo.

5. Poza Europejskim Obszarem Gospodarczym

Cloudflare, Google, OpenAI, OpenRouter, Replicate, Resend i Stripe mogą przetwarzać dane w Stanach Zjednoczonych. Takie przekazanie opiera się na Ramach ochrony danych UE–USA (EU–US Data Privacy Framework), jeśli dostawca ma certyfikat, a w pozostałych przypadkach na standardowych klauzulach umownych Komisji Europejskiej. Możesz poprosić nas o kopię zabezpieczeń, które mają zastosowanie.

6. Jak długo przechowujemy dane

• Twoje konto i jego projekty: do czasu, gdy poprosisz o ich usunięcie.
• Projekty gościa: do czasu, gdy poprosisz o ich usunięcie. Gościa, który nic nie stworzył, zapominamy po 14 dniach.
• Przesłane obrazy, których nie używa żaden projekt: 24 godziny.
• Zamówienia i dokumenty płatności: do upływu okresu przedawnienia zobowiązania podatkowego, tj. 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 70 i 86 Ordynacji podatkowej); dłużej tylko wtedy, gdy trwa reklamacja lub spór dotyczący zamówienia.
• Sesje logowania: 60 dni od ostatniej wizyty albo do wylogowania.
• Logi bezpieczeństwa (logowania, odmowy i inne zdarzenia z adresem IP): 90 dni.
• Logi serwera: rotowane automatycznie i przechowywane tylko tak długo, jak to potrzebne do działania i zabezpieczenia serwisu.
• Kopie e-maili, które do Ciebie wysyłamy: 30 dni.
• Wiadomości z formularza kontaktowego: 1 rok. Kopia trafia też do naszej skrzynki, gdzie przechowujemy ją do czasu załatwienia sprawy.
• Liczby wizyt na link kampanii: wyłącznie jako sumy, bez adresów IP, do 2 lat.
• Kopie zapasowe powyższych danych przechowujemy ze względów bezpieczeństwa i zastępujemy na bieżąco.

7. Pliki cookie

Używamy jednego własnego pliku cookie: __Host-twish_session, który utrzymuje Twoje logowanie albo – jako gościa – łączy Twoje projekty, przez maksymalnie 60 dni. Jest niezbędny do działania serwisu, więc nie wymaga Twojej zgody. Cloudflare może też ustawiać własne, niezbędne pliki cookie bezpieczeństwa. Nie używamy plików cookie analitycznych, reklamowych ani śledzących ani pikseli śledzących. Przeglądarka przechowuje też wyłącznie na Twoim urządzeniu ostatnio wybrany styl, produkt i język oraz – jeśli zaznaczysz „Zapamiętaj ten adres na tym urządzeniu” – adres dostawy. Możesz je usunąć w ustawieniach przeglądarki.

8. Kontrole automatyczne

Każde polecenie, przesłany obraz i projekt jest automatycznie sprawdzany z naszymi zasadami treści, zanim zostanie narysowany lub wydrukowany, a polecenie łamiące te zasady jest odrzucane. Kontrole te nie wywołują wobec Ciebie skutków prawnych ani w podobny sposób istotnie na Ciebie nie wpływają, a jeśli uważasz, że któraś się pomyliła, napisz do nas z linkiem do projektu – sprawdzi to człowiek.

9. Twoje prawa

Na podstawie RODO możesz żądać od nas dostępu do swoich danych i ich kopii, ich sprostowania, usunięcia, ograniczenia przetwarzania oraz przeniesienia danych, które nam przekazałeś. Napisz na contact@twish.ink z adresu powiązanego z kontem albo – jako gość – dołącz link do swojego projektu. Odpowiadamy w ciągu miesiąca.

Prawo sprzeciwu. W dowolnym momencie możesz wnieść sprzeciw – z przyczyn związanych z Twoją szczególną sytuacją – wobec przetwarzania, które opieramy na naszym prawnie uzasadnionym interesie (art. 21 RODO); wtedy przestajemy, chyba że mamy ważne prawnie uzasadnione podstawy albo dane są nam potrzebne do dochodzenia lub obrony roszczeń.

Możesz też złożyć skargę do organu ochrony danych: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Z Twish mogą korzystać wyłącznie osoby pełnoletnie (które ukończyły 18 lat).

10. Zmiany

Zaktualizujemy tę politykę, gdy zmieni się to, co robimy z danymi, a istotne zmiany ogłosimy w serwisie, zanim zaczną obowiązywać. Data na górze strony wskazuje aktualną wersję. Zobacz też nasz Regulamin i zasady treści.