Polityka prywatności

Wersja 2026-08-08 · obowiązuje od 2026-08-08

1. Wstęp i zakres

Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych w związku z korzystaniem z usługi kobot.chat — wielodostępowego oprogramowania w modelu SaaS, udostępniającego chatbota AI osadzanego na stronach internetowych sklepów prowadzonych przez naszych klientów (dalej „Usługa").

Dokument realizuje obowiązek informacyjny wynikający z art. 13 i art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO).

Polityka odnosi się do dwóch odrębnych grup osób:

  • właścicieli kont w panelu kobot.chat (klienci Usługi — przedsiębiorcy i osoby prowadzące jednoosobową działalność gospodarczą), wobec których działamy jako administrator danych;
  • klientów końcowych sklepów korzystających z naszych klientów, którzy wchodzą w interakcję z chatbotem osadzonym na stronie sklepu — wobec których, co do zasady, działamy jako podmiot przetwarzający na zlecenie właściciela sklepu (zob. sekcja 2).

Rozróżnienie tych dwóch ról jest fundamentem niniejszej Polityki i przekłada się na zakres naszych obowiązków oraz na to, do kogo osoba powinna kierować swoje żądania.

2. Administrator danych i dane kontaktowe

Administratorem danych osobowych w zakresie opisanym w sekcji 3.1 (dane konta klienta panelu) jest:

Kobot sp. z o.o. — jednoosobowa działalność gospodarcza prowadzona przez osobę fizyczną (imię i nazwisko przedsiębiorcy wynika z firmy Kobot sp. z o.o.) wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG).

  • NIP: [NIP]
  • REGON: [REGON]
  • Adres do doręczeń: [adres do doręczeń]
  • Domena Usługi: kobot.chat
  • Adres elektroniczny w sprawach ochrony danych osobowych: rodo@kobot.chat
  • Kontakt ogólny (sprzedaż, rozliczenia): hello@kobot.chat
  • Wsparcie techniczne: hello@kobot.chat

Z uwagi na charakter i skalę przetwarzania administrator nie wyznaczył inspektora ochrony danych (IOD) — nie jest to wymagane na podstawie art. 37 RODO. We wszelkich sprawach dotyczących danych osobowych oraz realizacji praw, o których mowa w sekcji 9, prosimy o kontakt pod adresem rodo@kobot.chat.

3. Rozróżnienie ról: administrator vs podmiot przetwarzający

W ramach świadczenia Usługi przetwarzamy dwa odrębne zbiory danych, w odniesieniu do których pełnimy różne role.

3.1. Dane konta klienta panelu — jesteśmy administratorem

W odniesieniu do danych osób zakładających i prowadzących konto w panelu kobot.chat (właściciele sklepów korzystający z Usługi oraz osoby działające w ich imieniu) jesteśmy administratorem w rozumieniu art. 4 pkt 7 RODO. Dane te przetwarzamy we własnym imieniu i na własne cele związane ze świadczeniem Usługi.

Co do zasady dane te pozyskujemy bezpośrednio od osoby, której dotyczą (podczas rejestracji i korzystania z panelu). W zakresie, w jakim pozyskujemy dane nie bezpośrednio od osoby, której dotyczą — w szczególności dane osób fizycznych działających w imieniu klienta-przedsiębiorcy oraz dane przekazywane w ramach obsługi płatności przez dostawcę usług płatniczych (np. potwierdzenia transakcji, webhooki) — źródłem tych danych jest odpowiednio klient-przedsiębiorca lub dostawca usług płatniczych, a kategorie pozyskiwanych danych obejmują dane identyfikacyjne, kontaktowe oraz dane dotyczące subskrypcji i płatności (art. 14 ust. 2 lit. f RODO).

3.2. Dane klientów końcowych sklepu — jesteśmy podmiotem przetwarzającym

W odniesieniu do danych osób, które wchodzą w interakcję z chatbotem osadzonym na stronie sklepu naszego klienta (treść rozmów, dane kontaktowe, dane zamówień i leadów), administratorem jest właściciel sklepu, a kobot.chat działa jako podmiot przetwarzający (procesor) w rozumieniu art. 4 pkt 8 i art. 28 RODO.

Dane te przetwarzamy wyłącznie na udokumentowane polecenie administratora (właściciela sklepu) i zgodnie z umową powierzenia przetwarzania danych osobowych (DPA), która stanowi załącznik do Regulaminu i jest akceptowana wraz z nim. Zasady tego powierzenia, w tym obowiązki obu stron, środki bezpieczeństwa i tryb obsługi żądań osób, opisuje DPA.

W zakresie wyłącznie dotyczącym przetwarzania danych klientów końcowych sklepu (rola podmiotu przetwarzającego), w razie sprzeczności pomiędzy postanowieniami niniejszej Polityki a postanowieniami DPA — pierwszeństwo mają postanowienia DPA. Postanowienie to nie ogranicza praw przysługujących osobom, których dane dotyczą, na podstawie RODO, ani obowiązków informacyjnych administratora-właściciela sklepu.

W praktyce oznacza to, że jeżeli jesteś klientem końcowym sklepu i chcesz zrealizować swoje prawa wobec danych przetwarzanych w trakcie rozmowy z chatbotem, powinieneś skierować swoje żądanie do właściciela sklepu, na którego stronie korzystałeś z chatbota. Przekażemy takie żądanie administratorowi lub — na jego polecenie — udzielimy mu wsparcia w jego realizacji.

4. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie

Poniższa tabela dotyczy danych, w odniesieniu do których jesteśmy administratorem (dane konta klienta panelu). Dla danych klientów końcowych sklepu, wobec których jesteśmy procesorem, cele i podstawy prawne określa administrator (właściciel sklepu) — zob. sekcja 3.2 i DPA.

Kategoria danych Cel przetwarzania Podstawa prawna (art. 6 ust. 1 RODO) Okres przechowywania
Dane rejestracyjne i konta (imię, adres e-mail, hash hasła) Założenie i prowadzenie konta, uwierzytelnianie, świadczenie Usługi lit. b (wykonanie umowy) Do usunięcia konta
Dane subskrypcji i płatności (plan, status subskrypcji, identyfikatory płatności, webhooki) Obsługa subskrypcji i płatności cyklicznych, zarządzanie planem lit. b (wykonanie umowy) Do końca okresu retencji księgowej
Dane rozliczeniowe i dokumentacja faktur Wystawianie i przechowywanie faktur, realizacja obowiązków podatkowo-księgowych lit. c (obowiązek prawny) 5 lat licząc od końca roku, w którym powstał obowiązek podatkowy
Dane techniczne i logi (adres IP, logi serwera i bezpieczeństwa) Zapewnienie bezpieczeństwa Usługi, przeciwdziałanie nadużyciom i atakom, diagnostyka lit. f (prawnie uzasadniony interes) Do 12 miesięcy od zdarzenia; dłużej wyłącznie w razie incydentu bezpieczeństwa lub na potrzeby dochodzenia i obrony roszczeń
Dane kontaktowe w sprawach obsługi i reklamacji Obsługa zapytań, reklamacji oraz dochodzenie i obrona roszczeń lit. f (prawnie uzasadniony interes) Do przedawnienia roszczeń
Adres e-mail w celach marketingu własnego (np. newsletter) Przesyłanie informacji handlowych i marketingowych lit. a (zgoda) — w zakresie komunikacji elektronicznej; lit. f (uzasadniony interes — marketing własny prowadzony innymi kanałami) Do cofnięcia zgody lub wniesienia sprzeciwu

Prawnie uzasadnionym interesem administratora, o którym mowa powyżej, jest zapewnienie bezpieczeństwa i ciągłości Usługi, ochrona przed nadużyciami i atakami, dochodzenie oraz obrona przed roszczeniami, a także promocja własnych usług. W każdym przypadku przetwarzania na podstawie art. 6 ust. 1 lit. f RODO przysługuje prawo wniesienia sprzeciwu (zob. sekcja 9).

Przesyłanie informacji handlowych drogą elektroniczną (np. newsletter na podany adres e-mail) odbywa się na podstawie odrębnej zgody — zgodnie z art. 10 ustawy o świadczeniu usług drogą elektroniczną oraz przepisami Prawa komunikacji elektronicznej dotyczącymi komunikacji marketingowej. Podstawą przetwarzania danych w rozumieniu RODO jest wówczas art. 6 ust. 1 lit. a (zgoda), natomiast dla marketingu własnego prowadzonego innymi kanałami podstawą może być art. 6 ust. 1 lit. f (uzasadniony interes).

Podanie danych rejestracyjnych i konta jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy o świadczenie Usługi — bez ich podania założenie konta i korzystanie z Usługi nie jest możliwe. Podanie danych w celach marketingowych jest w pełni dobrowolne.

5. Konto panelu

W ramach prowadzenia konta w panelu kobot.chat przetwarzamy:

  • dane identyfikacyjne i kontaktowe: imię oraz adres e-mail;
  • dane uwierzytelniające: hasło przechowywane wyłącznie w postaci skrótu kryptograficznego (hash) — nie przechowujemy hasła w postaci jawnej;
  • dane techniczne: adres IP oraz logi serwera związane z bezpieczeństwem i diagnostyką;
  • dane subskrypcji i płatności: wybrany plan, status subskrypcji, identyfikatory transakcji oraz rekordy zdarzeń płatniczych (webhooki).

Logowanie społecznościowe. Jeżeli rejestrujesz się lub logujesz za pośrednictwem zewnętrznego dostawcy logowania (Google lub Facebook), otrzymujemy od tego dostawcy Twoje imię oraz potwierdzony adres e-mail (art. 14 ust. 2 lit. f RODO — źródłem danych jest dostawca logowania). Nie otrzymujemy Twojego hasła do konta u tego dostawcy; konto utworzone w ten sposób może nie posiadać odrębnego hasła w naszej Usłudze. Zakres danych udostępnianych nam przez dostawcę logowania kontrolujesz w ustawieniach konta u tego dostawcy, który pozostaje odrębnym administratorem Twoich danych.

Dane te przetwarzamy jako administrator, na podstawach i w celach opisanych w sekcji 4.

6. Dane z widgetu i rozmów z chatbotem

W odniesieniu do danych przetwarzanych w trakcie korzystania z chatbota osadzonego na stronie sklepu działamy jako podmiot przetwarzający na zlecenie właściciela sklepu (zob. sekcja 3.2). Dla pełnej przejrzystości wskazujemy, jakie dane są przetwarzane w ramach Usługi:

  • treść rozmów prowadzonych przez klienta końcowego z chatbotem;
  • dane tożsamości klienta końcowego (pole customer_identity): imię, numer telefonu, adres e-mail — pozyskiwane wyłącznie z formularzy oraz mechanizmu prefill, nigdy z treści generowanej przez model językowy;
  • dane leadów i zamówień: lista produktów, dane kontaktowe niezbędne do realizacji zamówienia lub kontaktu;
  • adres IP klienta końcowego — pseudonimizowany po upływie 30 dni (ostatni oktet zastępowany zerem, np. XXX.XXX.XXX.0), w celu ograniczenia możliwości identyfikacji (pseudonimizacja w rozumieniu art. 4 pkt 5 RODO);
  • user-agent (informacja o przeglądarce/urządzeniu) — po upływie 30 dni zastępowany skrótem (hash).

Treść rozmów widgetu jest przechowywana przez okres 12 miesięcy, po czym podlega trwałemu usunięciu. Szczegółowe okresy retencji w roli podmiotu przetwarzającego określa DPA.

Model językowy wykorzystywany do generowania odpowiedzi chatbota nie jest trenowany na danych przetwarzanych w ramach Usługi. Odpowiedzi chatbota powstają w oparciu o technikę RAG (generowanie wspomagane wyszukiwaniem) na katalogu produktów danego sklepu, a nie w wyniku uczenia modelu na danych klienta. Dostawca modelu językowego jest umownie zobowiązany do nieużywania przekazywanych danych do trenowania swoich modeli; dane mogą być przejściowo przechowywane przez dostawcę wyłącznie w zakresie i przez okres niezbędny do świadczenia usługi oraz wykrywania nadużyć, zgodnie z jego polityką, po czym są usuwane (training OFF).

7. Odbiorcy danych i podprocesorzy

W celu świadczenia Usługi korzystamy z usług zaufanych dostawców zewnętrznych (podmiotów przetwarzających), którzy przetwarzają dane wyłącznie na podstawie zawartych z nami umów powierzenia, w naszym imieniu i zgodnie z naszymi poleceniami. Każdy z podprocesorów objęty jest odpowiednimi zabezpieczeniami umownymi (umowa powierzenia oraz, w razie potrzeby, standardowe klauzule umowne).

Do kategorii odbiorców danych należą w szczególności:

  • dostawca modeli językowych (LLM) — generowanie odpowiedzi chatbota;
  • dostawca infrastruktury i hostingu — serwery aplikacji, baza danych, kopie zapasowe;
  • dostawca obsługi płatności — realizacja płatności subskrypcyjnych panelu;
  • dostawca poczty transakcyjnej — wysyłka wiadomości e-mail (potwierdzenia, reset hasła).

Pełne nazwy podmiotów wraz z określeniem zakresu przetwarzania, lokalizacji i podstaw transferu zawiera wyłącznie lista dostępna pod adresem /sub-processors — jedyne źródło aktualnego wykazu podprocesorów. Lista ta stanowi integralną część niniejszej Polityki oraz realizowanego obowiązku informacyjnego i jest na bieżąco aktualizowana. Zmiana podprocesora w zakresie danych klientów końcowych sklepu odbywa się w trybie przewidzianym w DPA.

Dane mogą być ponadto udostępniane organom publicznym uprawnionym do ich uzyskania na podstawie przepisów prawa, a także — w niezbędnym zakresie — podmiotom świadczącym nam usługi księgowe, prawne lub doradcze.

8. Transfer poza Europejski Obszar Gospodarczy (EOG)

Część podprocesorów przetwarza dane poza Europejskim Obszarem Gospodarczym, w szczególności na terenie Stanów Zjednoczonych. W każdym takim przypadku transfer odbywa się przy zastosowaniu odpowiednich zabezpieczeń wymaganych przez rozdział V RODO:

  • standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską (art. 46 ust. 2 lit. c RODO);
  • w odniesieniu do podmiotów certyfikowanych w ramach EU-US Data Privacy Framework — decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych (art. 45 RODO).

Dostawca infrastruktury i hostingu przetwarza dane wyłącznie na terenie EOG, bez transferu poza EOG. Informacja o tym, którzy dostawcy przetwarzają dane poza EOG oraz na jakiej podstawie, znajduje się na liście /sub-processors.

Mają Państwo prawo do uzyskania kopii stosowanych zabezpieczeń — w tym celu prosimy o kontakt pod adresem rodo@kobot.chat.

9. Prawa osób, których dane dotyczą

Każdej osobie, której dane dotyczą, przysługują następujące prawa wynikające z RODO:

  • prawo dostępu do danych oraz uzyskania ich kopii (art. 15);
  • prawo do sprostowania danych nieprawidłowych lub uzupełnienia niekompletnych (art. 16);
  • prawo do usunięcia danych („prawo do bycia zapomnianym") (art. 17);
  • prawo do ograniczenia przetwarzania (art. 18);
  • prawo do przenoszenia danych — otrzymania ich w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (art. 20);
  • prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec marketingu bezpośredniego (art. 21);
  • prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem — w zakresie, w jakim przetwarzanie odbywa się na podstawie zgody.

W odniesieniu do danych konta panelu (gdzie jesteśmy administratorem) prawa te można realizować w następujący sposób:

  • dostęp i przenoszenie: część danych jest dostępna bezpośrednio w panelu; pełen eksport danych w formacie JSON realizujemy na żądanie skierowane na adres rodo@kobot.chat;
  • sprostowanie: samodzielnie w ustawieniach profilu;
  • usunięcie: samodzielnie poprzez funkcję usunięcia konta w strefie niebezpiecznej ustawień profilu lub na żądanie skierowane na rodo@kobot.chat;
  • ograniczenie, sprzeciw, cofnięcie zgody: poprzez kontakt pod adresem rodo@kobot.chat.

Żądania realizujemy bez zbędnej zwłoki, nie później niż w terminie miesiąca od ich otrzymania; w przypadkach szczególnie skomplikowanych lub przy znacznej liczbie żądań termin ten może zostać przedłużony o kolejne dwa miesiące, o czym osobę informujemy (art. 12 ust. 3 RODO). W razie uzasadnionych wątpliwości co do tożsamości osoby składającej żądanie możemy zwrócić się o dodatkowe informacje niezbędne do jej potwierdzenia (art. 12 ust. 6 RODO).

Dane klientów końcowych sklepu (rola procesora). Jeżeli żądanie dotyczy danych przetwarzanych w trakcie rozmowy z chatbotem osadzonym na stronie sklepu, administratorem tych danych jest właściciel sklepu. Nie zmieniamy ani nie usuwamy takich danych bez polecenia administratora — żądanie przekazujemy właścicielowi sklepu lub realizujemy je na jego polecenie i przy jego współudziale (zob. DPA). W takim przypadku prosimy o kierowanie żądań bezpośrednio do właściciela sklepu, na którego stronie korzystałeś z chatbota.

Prawo skargi do organu nadzorczego

Niezależnie od powyższych praw, każdej osobie przysługuje prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), jeżeli uzna, że przetwarzanie jej danych narusza przepisy RODO.

10. Cookies i pamięć przeglądarki

10.1. Panel kobot.chat

W panelu wykorzystujemy wyłącznie pliki niezbędne do prawidłowego świadczenia Usługi: pliki sesji zalogowanego użytkownika oraz token zabezpieczający przed atakami CSRF. Zgodnie z art. 397 ust. 3 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej pliki niezbędne do świadczenia usługi żądanej przez użytkownika nie wymagają jego odrębnej zgody. Nie stosujemy w panelu plików o charakterze marketingowym ani śledzącym.

10.2. Widget chatbota

Widget chatbota osadzany na stronie sklepu wykorzystuje wyłącznie niezbędną pamięć przeglądarki do podtrzymania stanu rozmowy:

  • conversationId — przechowywany w localStorage, z czasem życia (TTL) ok. 24 godzin, umożliwiający kontynuację rozmowy po odświeżeniu strony;
  • panel_open — przechowywany w sessionStorage, zapamiętujący, czy okno czatu jest otwarte.

Powyższe elementy są niezbędne do działania chatbota i nie pełnią funkcji śledzących. Widget nie posiada własnego bannera zgody na cookies. Obowiązek informacyjny oraz ewentualne uzyskanie zgody wobec odwiedzających stronę sklepu spoczywa na właścicielu sklepu, który jest administratorem danych odwiedzających i korzysta z własnej platformy zarządzania zgodami (CMP) w ramach swojej strony.

11. Zautomatyzowane podejmowanie decyzji i profilowanie

Chatbot generuje odpowiedzi oraz rekomendacje produktowe w sposób zautomatyzowany. Nie podejmujemy jednak wobec osób decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na osobę w rozumieniu art. 22 ust. 1 RODO.

Rekomendacja produktowa przedstawiana przez chatbota ma charakter wyłącznie niewiążącej sugestii — ostateczną decyzję (np. o zakupie lub kontakcie) podejmuje samodzielnie użytkownik. Tym samym nie znajduje zastosowania reżim art. 22 RODO.

12. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych, adekwatne do ryzyka — obejmujące m.in. izolację sieciową baz danych, kontrolę dostępu opartą na rolach, przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych, pseudonimizację (sekcja 6), rejestrowanie działań administracyjnych w dzienniku zdarzeń (audit log) oraz automatyczne kopie zapasowe.

Szczegółowy wykaz stosowanych środków technicznych i organizacyjnych zawiera sekcja 8 DPA i jest to jedyne miejsce, w którym wykaz ten jest utrzymywany; te same środki stosujemy do danych, dla których jesteśmy administratorem. Środki podlegają okresowemu przeglądowi i aktualizacji.

13. Zmiany Polityki

Zastrzegamy sobie prawo do zmiany niniejszej Polityki prywatności, w szczególności w razie zmiany przepisów prawa, zakresu Usługi lub stosowanych rozwiązań technicznych. O istotnych zmianach poinformujemy z odpowiednim wyprzedzeniem — za pośrednictwem panelu lub wiadomości e-mail. Aktualna wersja Polityki jest zawsze dostępna pod adresem /privacy, wraz ze wskazaniem daty jej ostatniej aktualizacji podanej na początku dokumentu.

14. Kontakt

We wszelkich sprawach dotyczących ochrony danych osobowych oraz realizacji praw opisanych w niniejszej Polityce prosimy o kontakt:

Powiązane dokumenty: Regulamin, Umowa powierzenia przetwarzania danych (DPA) oraz Lista podprocesorów.