Polityka prywatności

Administratorem Twoich danych osobowych jest:

Administrator przetwarza dane osobowe zgodnie z obowiązującymi przepisami prawa, w szczególności z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: „RODO”).

Administrator nie wyznaczył Inspektora Ochrony Danych w rozumieniu art. 37 RODO. We wszelkich sprawach dotyczących przetwarzania danych osobowych oraz korzystania z praw związanych z przetwarzaniem danych prosimy o kontakt:

Kontakt w sprawach ochrony danych: trust@talari.ai

W ramach świadczenia usług za pośrednictwem platformy talari.ai przetwarzamy następujące kategorie danych osobowych:

• Dane identyfikacyjne — imię, nazwisko, adres e-mail, nazwa użytkownika
• Dane uwierzytelniające — skróty haseł (bcrypt), tokeny sesji (JWT), identyfikatory sesji Redis, a po włączeniu uwierzytelniania dwuskładnikowego także zaszyfrowany sekret i kody zapasowe
• Dane sesji NinaSession — transkrypcje sesji i raporty wygenerowane przez AI; nagrania audio służą wyłącznie do transkrypcji i nie są przechowywane
• Dane szczególnych kategorii — dane dotyczące zdrowia przetwarzane w ramach sesji NinaSession (wyłącznie na podstawie Art. 9 ust. 2 lit. h RODO)
• Dane gości sesji zdalnych — pseudonim, odpowiedzi w formularzu, dźwięk sesji (transkrybowany, nieprzechowywany)
• Dokumenty kontekstowe — pliki dołączone do sesji w celu analizy AI
• Czat AI i baza wiedzy — treść rozmów z asystentem AI (historia czatu) oraz dokumenty przesłane do bibliotek (bazy wiedzy)
• Wypełniacz szablonów — szablony dokumentów, wersje robocze i wypełnione dokumenty
• Widżety czatu na stronach klientów — statystyki rozmów (liczba wiadomości, język, domena strony) oraz dane kontaktowe podane w formularzu widżetu (imię, e-mail, telefon)
• Dane rozliczeniowe — informacje o subskrypcji i płatnościach przetwarzane przez Stripe
• Dane techniczne — adres IP, identyfikator urządzenia, dzienniki audytu, metadane sesji
• Rejestr zgód — Twoje decyzje dotyczące zgód (np. w banerze cookies) wraz ze skrótem adresu IP i skróconym oznaczeniem przeglądarki
• Mapowanie anonimizacji PII — tablice przypisań służące do anonimizacji danych osobowych przed przekazaniem do modeli językowych AI, przechowywane w postaci zaszyfrowanej

Poniższa tabela przedstawia cele przetwarzania danych osobowych wraz z odpowiednimi podstawami prawnymi:

Użytkownik jako administrator danych swoich klientów ponosi odpowiedzialność za zapewnienie właściwej podstawy prawnej przetwarzania danych szczególnych kategorii. Talari AI Services P.S.A. występuje w roli podmiotu przetwarzającego dane na zlecenie użytkownika.

Stosowane środki ochrony obejmują: szyfrowanie danych w trakcie przesyłania (TLS 1.2 lub nowszy), anonimizację PII przed przekazaniem do modeli językowych AI, przekazywanie nagrań audio wyłącznie w celu transkrypcji naszemu dostawcy rozpoznawania mowy w UE (bez trwałego przechowywania) oraz trwałe usunięcie danych sesji z chwilą jej finalizacji przez użytkownika.

Platforma talari.ai wykorzystuje zautomatyzowane przetwarzanie danych w następujących celach:

• Transkrypcja mowy na tekst — automatyczna konwersja nagrań audio na tekst pisany
• Analiza AI i generowanie raportów — tworzenie strukturyzowanej dokumentacji na podstawie transkrypcji
• Anonimizacja PII — automatyczne wykrywanie i maskowanie danych osobowych przed przetwarzaniem przez modele językowe AI
• Analiza RAG — wyszukiwanie i analiza dokumentów z wykorzystaniem technologii Retrieval-Augmented Generation

Żaden z powyższych procesów nie stanowi profilowania w rozumieniu Art. 22 RODO i nie prowadzi do podejmowania decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na osoby, których dane dotyczą. Wszystkie wyniki generowane przez AI wymagają weryfikacji i zatwierdzenia przez użytkownika-profesjonalistę.

W celu świadczenia usług korzystamy z następujących podwykonawców przetwarzania (podmiotów przetwarzających):

Na naszej stronie Trust & Compliance podajemy, z których dostawców korzystamy i z którymi umowa powierzenia przetwarzania (art. 28 RODO) nie została jeszcze zawarta. Podmioty z USA nie otrzymują treści sesji, a wyłącznie dane konta, dane rozliczeniowe lub dane służące ochronie formularzy.

Dane osobowe mogą być również udostępniane organom publicznym lub podmiotom uprawnionym na podstawie obowiązujących przepisów prawa, w szczególności na żądanie sądów, prokuratury lub organów regulacyjnych.

Niektóre podmioty przetwarzające dane mają siedzibę poza Europejskim Obszarem Gospodarczym (EOG). W przypadku przekazywania danych osobowych do państw trzecich stosujemy następujące zabezpieczenia zgodnie z rozdziałem V RODO:

• Standardowe klauzule umowne (SCC) — zatwierdzone decyzją wykonawczą Komisji Europejskiej (UE) 2021/914 z dnia 4 czerwca 2021 r., zgodnie z Art. 46 ust. 2 lit. c RODO
• Decyzja stwierdzająca odpowiedni stopień ochrony — Ramy ochrony danych UE–USA (decyzja wykonawcza Komisji (UE) 2023/1795), w odniesieniu do podmiotów certyfikowanych (Stripe, Google)
• Przetwarzanie AI wyłącznie w UE — rozpoznawanie mowy i modele językowe AI zapewniają podmioty przetwarzające z Unii Europejskiej (zob. pkt 7). Treści sesji nie są przekazywane do państw trzecich; podmioty z USA otrzymują wyłącznie dane konta, dane rozliczeniowe lub dane służące ochronie formularzy
• Ocena wpływu transferu (TIA) — przeprowadzamy ocenę wpływu każdego transferu danych do państwa trzeciego na ochronę danych osobowych

Dane osobowe przechowywane są przez okresy niezbędne do realizacji celów przetwarzania:

• Dane konta użytkownika — do momentu usunięcia konta przez użytkownika lub administratora
• Dane sesji NinaSession (transkrypcja, raporty, dołączone dokumenty) — do momentu, w którym sfinalizujesz lub usuniesz sesję albo usuniesz konto. Nie usuwamy ich automatycznie po upływie określonego czasu. Finalizacja powoduje trwałe i nieodwracalne usunięcie transkrypcji, dokumentów, raportów i mapowania anonimizacji; pozostają jedynie metadane sesji (np. data, czas trwania, pseudonim gościa sesji zdalnej)
• Nagrania audio — nie są przechowywane; służą wyłącznie do transkrypcji i są usuwane zaraz po niej
• Dokumenty kontekstowe — do momentu usunięcia dokumentu albo finalizacji lub usunięcia sesji
• Historia czatu AI — 180 dni od ostatniej aktywności w rozmowie; administrator organizacji może ustawić okres od 30 do 365 dni
• Dokumenty w bibliotekach (baza wiedzy) — do momentu usunięcia dokumentu lub konta
• Wypełniacz szablonów — wersje robocze: 30 dni od ostatniego zapisu; wypełnione dokumenty: przez okres wybrany przy zamknięciu dokumentu, nie dłużej niż 30 dni
• Dzienniki audytu — 24 miesiące od daty utworzenia
• Dane rozliczeniowe — zgodnie z obowiązującymi przepisami podatkowymi (zazwyczaj 5-10 lat)
• Sesja logowania — do 8 godzin
• Dane anonimizacji PII — przechowywane w postaci zaszyfrowanej razem z sesją; usuwane przy jej finalizacji lub usunięciu
• Rejestr zgód — przez czas obowiązywania zgody i 7 lat po jej wycofaniu (w celu wykazania zgody)
• Kopie zapasowe — zaszyfrowane kopie bazy danych i plików przechowujemy do 30 dni; dane usunięte z platformy znikają z kopii najpóźniej po tym czasie

Po upływie okresu przechowywania dane są trwale usuwane lub anonimizowane w sposób uniemożliwiający identyfikację osób, których dane dotyczą.

Na podstawie RODO przysługują Ci następujące prawa w odniesieniu do Twoich danych osobowych:

• Prawo dostępu (Art. 15) — prawo do uzyskania potwierdzenia, czy Twoje dane osobowe są przetwarzane, oraz do uzyskania dostępu do tych danych
• Prawo do sprostowania (Art. 16) — prawo do żądania niezwłocznego sprostowania nieprawidłowych danych osobowych
• Prawo do usunięcia danych (Art. 17) — prawo do żądania usunięcia danych osobowych. Finalizacja sesji NinaSession powoduje trwałe i nieodwracalne usunięcie wszystkich danych sesji
• Prawo do ograniczenia przetwarzania (Art. 18) — prawo do żądania ograniczenia przetwarzania danych w określonych okolicznościach
• Prawo do przenoszenia danych (Art. 20) — prawo do otrzymania danych osobowych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego
• Prawo do sprzeciwu (Art. 21) — prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych opartego na prawnie uzasadnionym interesie
• Prawo do cofnięcia zgody (Art. 7 ust. 3) — w przypadku przetwarzania opartego na zgodzie, prawo do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem

Jeżeli uważasz, że przetwarzanie Twoich danych osobowych narusza przepisy RODO, przysługuje Ci prawo do wniesienia skargi do organu nadzorczego właściwego ze względu na Twoje miejsce zwykłego pobytu, miejsce pracy lub miejsce popełnienia domniemanego naruszenia.

Dla osób zamieszkałych w Polsce właściwym organem nadzorczym jest:

Organem nadzorczym właściwym ze względu na siedzibę administratora jest Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

Platforma talari.ai wykorzystuje następujące rodzaje plików cookies i podobnych technologii:

• Cookies niezbędne (funkcjonalne) — wymagane do prawidłowego działania platformy, w tym uwierzytelniania użytkownika (tokeny JWT w HttpOnly cookies) i zarządzania sesjami. Podstawa prawna: Art. 6 ust. 1 lit. b RODO.
• Cookies bezpieczeństwa — służące do ochrony przed atakami CSRF i zapewnienia bezpieczeństwa sesji. Podstawa prawna: Art. 6 ust. 1 lit. c RODO.
• Zapis Twojej decyzji z banera cookies— gdy odpowiesz na baner cookies, zapisujemy Twój wybór w pamięci przeglądarki oraz ustawiamy plik cookie „anon_cookie_id” (ważny 13 miesięcy), który pozwala nam wykazać, jaką decyzję podjęto. Podstawa prawna: Art. 6 ust. 1 lit. c RODO.

Platforma nie wykorzystuje plików cookies marketingowych ani śledzących. Obecnie nie ładujemy też żadnych narzędzi analitycznych (np. Google Analytics). Baner cookies pyta o zgodę na analitykę na przyszłość: jeśli włączymy takie narzędzie, zostanie ono załadowane dopiero po Twojej zgodzie, a tę politykę wcześniej zaktualizujemy.

Formularze rejestracji i zgłoszeń chroni Google reCAPTCHA. Po otwarciu takiego formularza reCAPTCHA jest ładowana z serwerów Google, może zapisywać własne pliki cookies oraz przetwarza adres IP, dane przeglądarki i urządzenia, a także sposób korzystania z formularza, aby odróżnić ludzi od botów. Podstawą prawną jest nasz prawnie uzasadniony interes polegający na ochronie formularzy przed nadużyciami (art. 6 ust. 1 lit. f RODO). Google może przekazywać te dane do USA na podstawie Ram ochrony danych UE–USA (Data Privacy Framework). Na pozostałych stronach reCAPTCHA nie jest ładowana.

Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej polityce prywatności. O istotnych zmianach użytkownicy zostaną powiadomieni za pośrednictwem wiadomości e-mail lub komunikatu w interfejsie platformy, z co najmniej 14-dniowym wyprzedzeniem.

Dalsze korzystanie z platformy po wejściu zmian w życie oznacza akceptację zaktualizowanej polityki prywatności. W przypadku braku akceptacji zmian użytkownik ma prawo do usunięcia swojego konta.

Aktualna wersja polityki prywatności jest zawsze dostępna na stronie psychotherapy.talari.ai/legal/pl/polityka-prywatnosci.