Polityka prywatności – Witryna

1. Administrator danych

Administratorem danych odpowiedzialnym za przetwarzanie danych osobowych w rozumieniu Ogólnego rozporządzenia o ochronie danych (RODO) oraz innych przepisów o ochronie danych jest:

Aliru GmbH
Julius-Hatry-Straße 1
68163 Mannheim
Niemcy

Prezes zarządu: Julian Kissel
Telefon: +49 621 49088670
E-mail: datenschutz@deepscript.com

Prowadzimy usługę transkrypcji pod marką DeepScript (dalej również „usługa" lub „platforma"). Niniejsza polityka prywatności dotyczy witrynydeepscript.com (w tym wszystkich subdomen) oraz powiązanych interfejsów (API REST, serwer MCP).

2. Inspektor ochrony danych

Obecnie nie jesteśmy prawnie zobowiązani do wyznaczenia inspektora ochrony danych (art. 37 RODO w związku z § 38 BDSG). We wszystkich sprawach dotyczących ochrony danych prosimy o kontakt: datenschutz@deepscript.com.

3. Informacje podstawowe

Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 4 pkt 1 RODO). Przetwarzamy Twoje dane wyłącznie na podstawie przepisów prawa (RODO, BDSG, TDDDG). W niniejszej polityce informujemy o charakterze, zakresie i celu przetwarzania w ramach naszej oferty.

Podstawami prawnymi przetwarzania są w szczególności:

• Art. 6 ust. 1 lit. a RODO – zgoda (np. wyraźna rezygnacja z prawa do odstąpienia przy abonamencie Pro).
• Art. 6 ust. 1 lit. b RODO – wykonanie umowy i działania przedumowne (założenie konta, transkrypcja, rozliczenie).
• Art. 6 ust. 1 lit. c RODO – obowiązek prawny (w szczególności handlowe i podatkowe obowiązki przechowywania zgodnie z § 257 HGB, § 147 AO).
• Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes (bezpieczeństwo, przeciwdziałanie nadużyciom, logi serwera, logi audytu).

4. Przetwarzanie przy odwiedzaniu witryny (logi serwera)

Podczas odwiedzania deepscript.com nasz serwer pośredniczący (Caddy) automatycznie gromadzi następujące informacje przesyłane przez przeglądarkę Twojego urządzenia:

• Adres IP (skrócony lub spseudonimizowany)
• Data i godzina dostępu (UTC)
• Żądany adres URL / metoda HTTP / kod statusu odpowiedzi
• Adres URL strony odsyłającej (jeśli przeglądarka go wysyła)
• Identyfikator user agent (typ przeglądarki i systemu operacyjnego)

Dane te są przechowywane maksymalnie przez 14 dni w celach bezpieczeństwa i stabilności (wykrywanie i odpieranie ataków, analiza błędów), a następnie automatycznie usuwane. Nie następuje łączenie z innymi źródłami danych ani profilowanie.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes w bezpiecznym i stabilnym działaniu.

5. Rejestracja i konto

Aby korzystać z usługi (poza pierwszymi trzema bezpłatnymi transkrypcjami), konieczne jest założenie konta. Przetwarzamy:

• Imię/nazwę (dowolnie wybrane / nazwa wyświetlana)
• Adres e-mail (zweryfikowany)
• Hasło (przechowywane wyłącznie jako hash bcrypt, nigdy w postaci jawnej)
• Opcjonalnie: nazwa firmy, adres rozliczeniowy, NIP/numer VAT (do faktur B2B)
• Przy włączonym uwierzytelnianiu dwuskładnikowym: zaszyfrowany sekret TOTP + zaszyfrowane kody zapasowe
• Ustawienie języka, preferowany wygląd (motyw), ustawienie przechowywania danych

Podstawa prawna: art. 6 ust. 1 lit. b RODO – wykonanie umowy. Bez tych danych nie możemy udzielić dostępu do usługi.

Okres przechowywania: do usunięcia konta przez Ciebie. Konto możesz usunąć w dowolnym momencie w ustawieniach – wszystkie powiązane dane (z wyjątkiem wymienionych poniżej dokumentów księgowych przechowywanych zgodnie z prawem) zostaną wówczas natychmiast i całkowicie usunięte.

6. Logowanie przez zewnętrznych dostawców (OAuth)

Opcjonalnie możesz zalogować się za pomocą procedur OAuth firmy Google lub Microsoft. W takim przypadku przekazywane są wyłącznie informacje profilowe niezbędne do utworzenia konta (imię/nazwa, adres e-mail, adres URL zdjęcia profilowego). Nie uzyskujemy dostępu do pozostałej zawartości Twojego konta Google ani Microsoft.

Dany dostawca OAuth (Google Ireland Limited lub Microsoft Ireland Operations Limited) jest niezależnym administratorem w rozumieniu RODO w zakresie przetwarzania w ramach procedury logowania. Polityki prywatności znajdziesz pod adresem:

• Google
• Microsoft

Podstawa prawna: art. 6 ust. 1 lit. b RODO.

7. Przesyłanie plików audio/wideo i transkrypcje

Istotą naszej usługi jest konwersja plików audio lub wideo na tekst. Przetwarzamy przy tym:

• Przesłany plik (audio/wideo)
• Metadane (nazwa pliku, rozmiar, czas trwania, typ MIME, wybrany model, wybrany język)
• Wynik transkrypcji (tekst, znaczniki czasu słów, przypisanie mówców, wykryty język)
• Opcjonalnie zapisany przez Ciebie słownik niestandardowy

Przetwarzanie odbywa się w całości na naszej własnej infrastrukturze serwerowej w Hetzner Online GmbH w Niemczech. Plik audio/wideo nie jest w żadnym momencie przekazywany zewnętrznym usługom przetwarzania mowy (np. OpenAI, Google, AWS).

Okres przechowywania: Bez aktywnego abonamentu Pro automatycznie usuwamy transkrypcje i powiązane pliki audio 30 dni po ich utworzeniu. Przy abonamencie Pro przechowujemy dane trwale, aż do rezygnacji lub wyraźnego usunięcia. Każdą transkrypcję możesz usunąć ręcznie w dowolnym momencie.

Brak wykorzystania do trenowania AI: Nigdy nie wykorzystujemy Twoich danych audio/wideo ani transkrypcji do trenowania lub ulepszania naszych modeli ani modeli osób trzecich. Przetwarzanie odbywa się wyłącznie w celu umownie uzgodnionej usługi transkrypcji.

Podstawa prawna: art. 6 ust. 1 lit. b RODO. Dla klientów biznesowych, którzy zlecają przetwarzanie danych osobowych osób trzecich (np. nagrań wywiadów), na żądanie zawieramy umowę powierzenia przetwarzania zgodnie z art. 28 RODO; zob. Trust Center.

8. Bezpłatne narzędzie / transkrypcje gościa

Pod adresem /free-transcription oferujemy bezpłatną możliwość transkrypcji bez rejestracji. W tym celu w Twojej przeglądarce ustawiany jest anonimowy token sesji (losowy ciąg znaków) jako plik cookie HttpOnly, aby umożliwić Ci dostęp do wyniku do momentu ukończenia.

Nie gromadzimy od Ciebie żadnych danych osobowych. Plik i wynik są automatycznie usuwane po 24 godzinach, chyba że w międzyczasie założysz konto i przypiszesz transkrypcję do swojego konta.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (działanie przedumowne).

9. Obsługa płatności (Stripe)

Do obsługi doładowań salda (pay-per-use) oraz abonamentu Pro korzystamy z usługodawcy Stripe. Po przejściu na stronę płatności Stripe lub do portalu klienta zostajesz przekierowany do interfejsu należącego do Stripe; dane płatnicze (dane karty, banku, portfela) wprowadzasz wyłącznie bezpośrednio w Stripe i nie są one w żadnym momencie przekazywane do nas ani przez nas przechowywane.

Od Stripe otrzymujemy następujące informacje zwrotne:

• Identyfikator klienta Stripe (pseudonim)
• Status płatności / abonamentu
• Adres rozliczeniowy + ew. numer VAT (jeśli podano przy płatności)
• Przy abonamencie Pro: początek umowy, następny termin rozliczenia, status rezygnacji

Dostawcą Stripe na obszarze UE jest Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlandia. Stripe jest niezależnym administratorem w zakresie obsługi płatności; politykę prywatności znajdziesz pod adresem stripe.com/de/privacy. Przekazanie danych do USA następuje w ramach poszczególnych transakcji płatniczych na podstawie certyfikacji Stripe w ramach EU-US Data Privacy Framework oraz na podstawie standardowych klauzul umownych UE.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. c RODO (przechowywanie dokumentów rozliczeniowych zgodnie z § 147 AO, 10 lat).

10. Wysyłka wiadomości e-mail

Do wiadomości transakcyjnych (potwierdzenie rejestracji, reset hasła, powiadomienia, faktury) używamy Microsoft Graph firmy Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlandia) za pośrednictwem udostępnionego dostępu do skrzynki pocztowej. Wiadomości e-mail są wysyłane za pośrednictwem infrastruktury Microsoft 365 w UE.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy) lub art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w prawidłowej wysyłce).

11. Zgłoszenia do pomocy technicznej

Gdy otwierasz zgłoszenie do pomocy technicznej, przetwarzamy temat, opis, kategorię, priorytet, ewentualnie odniesienie do transkrypcji oraz późniejszą historię wiadomości. Dane są wykorzystywane wyłącznie do obsługi sprawy i pozostają powiązane z kontem do czasu usunięcia zgłoszenia lub konta.

Podstawa prawna: art. 6 ust. 1 lit. b RODO.

12. Dziennik bezpieczeństwa / audytu

Zdarzenia istotne dla bezpieczeństwa Twojego konta (logowanie, wylogowanie, zmiana konfiguracji 2FA, utworzenie/odwołanie kluczy API, eksporty danych, usunięcie konta) rejestrujemy wraz z adresem IP i user agentem. Logi te służą wyłącznie zapewnieniu możliwości prześledzenia dostępów do konta i możesz je w każdej chwili przeglądać w ustawieniach.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes w możliwości prześledzenia i zabezpieczeniu dostępów do konta.

13. Pliki cookie i porównywalne technologie

Stosujemy wyłącznie technicznie niezbędne pliki cookie lub wpisy w pamięci lokalnej:

Nie stosujemy żadnych marketingowych ani profilujących plików cookie i nie używamy żadnego Meta Pixel, Hotjar, Mixpanel itp. W przypadku wymienionych powyżej plików cookie zgoda w rozumieniu § 25 ust. 2 TDDDG nie jest wymagana, ponieważ są one technicznie niezbędne.

Opcjonalnie – Google Tag Manager / Google Analytics 4

Na deepscript.com (środowisko produkcyjne) po Twojej wyraźnej zgodzie stosujemy Google Tag Manager (identyfikator konteneraGTM-WJVPJMDT). Tag Manager ładuje Google Analytics 4 (GA4), aby anonimowo analizować korzystanie (odsłony, ścieżki kliknięć, stabilność techniczna). Aktywacja następuje wyłącznie po kliknięciu „Akceptuj" w banerze cookie. Wcześniej nie następuje żadne połączenie z Google.

Po zaakceptowaniu Google ustawia następujące pliki cookie (przykłady; dokładna lista zależy od tagów aktywnych w Tag Managerze):

• _ga, _ga_* – pseudonimowy identyfikator urządzenia, okres przechowywania 24 miesiące
• _gid – pseudonimowy identyfikator sesji, okres przechowywania 24 godziny
• _gat – ogranicza częstotliwość żądań do serwerów Google, okres przechowywania 1 minuta

Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) w związku z § 25 ust. 1 TDDDG. Odbiorca: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia (partner umowny w UE); pomocnicze przekazanie danych do Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Podstawa transferu do państwa trzeciego: standardowe klauzule umowne zgodnie z art. 46 ust. 2 lit. c RODO oraz certyfikacja Google w ramach EU-US Data Privacy Framework.

Wycofanie zgody: możliwe w każdej chwili za pomocą linku „Ustawienia plików cookie" w stopce. Po wycofaniu zgody nowe dane nie są już przekazywane do Google; dane zebrane już przez Google w bieżącej sesji przeglądarki pozostają objęte własnymi zasadami przechowywania Google (domyślnie: 14 miesięcy). Nadev.deepscript.com Google Tag Manager jest całkowicie nieaktywny – kontener celowo nie jest osadzany w procesie budowania.

14. Atrybucja marketingowa i pomiar konwersji

Abyśmy mogli mierzyć skuteczność naszych własnych płatnych kanałów marketingowych (w szczególności Google Ads), podczas odwiedzania witryny marketingowej rejestrujemy określone parametry adresu URL przekazywane przez platformy reklamowe oraz odsyłacz (referrer). Nie dochodzi przy tym do żadnej komunikacji z Google ani innymi platformami reklamowymi – jedynie odczytujemy przesłane wartości i zapisujemy je w Twojej przeglądarce (pamięć lokalna).

Rejestrowane są następujące parametry, o ile znajdują się w wywołanym adresie URL:

• Google Ads: gclid, gad_source, gbraid, wbraid (identyfikatory kliknięć)
• Parametry UTM (oznaczenie kampanii): utm_source, utm_medium, utm_campaign, utm_term, utm_content
• Inne sieci reklamowe: msclkid (Microsoft Ads), fbclid (Meta), ttclid (TikTok), li_fat_id (LinkedIn)
• Kontekst: referrer (poprzednia strona), strona docelowa, user agent (identyfikator przeglądarki)

Miejsce przechowywania: początkowo wyłącznie w pamięci lokalnej Twojej przeglądarki (kluczds_attribution_v1, okres przechowywania 30 dni kroczących). Nie są ustawiane pliki cookie. Jeśli po tym okresie założysz konto, zawartość zostanie jednorazowo przeniesiona do naszej bazy danych i powiązana z Twoim kontem (tabela UserAttribution).

Ręczne przesyłanie konwersji do Google Ads: W celu pomiaru skuteczności marketingu okresowo (w cyklu tygodniowym do miesięcznego) przesyłamy do interfejsu Google Ads plik CSV zawierający następujące pola: nazwa konwersji, czas konwersji (UTC), wartość konwersji w €, identyfikator kliknięcia (gclid), hash SHA-256 adresu e-mail. Hash adresu e-mail umożliwia Google anonimowe dopasowanie do odpowiedniego kliknięcia („Enhanced Conversions for Leads"). Google nie otrzymuje niezaszyfrowanego adresu e-mail. To przesyłanie jest wykonywane ręcznie przez nasz zespół marketingowy, a nie automatycznie przez Twoją przeglądarkę.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes w ekonomicznym zarządzaniu naszymi własnymi płatnymi kanałami marketingowymi. Dane nie są wykorzystywane do profilowania, retargetingu ani wyświetlania reklam.

Prawo do sprzeciwu: Możesz w każdej chwili wnieść sprzeciw wobec przetwarzania, bez zachowania szczególnej formy, e-mailem na adres datenschutz@deepscript.com. Na żądanie usuwamy dane atrybucji przypisane do Twojego konta i wykluczamy Cię z przyszłych przesyłek CSV. Pamięć lokalną w przeglądarce możesz samodzielnie usunąć w dowolnym momencie w ustawieniach przeglądarki → „Usuń dane tej witryny".

15. Wykaz podmiotów przetwarzających

Poniższi usługodawcy przetwarzają dane osobowe na nasze zlecenie na podstawie umowy powierzenia przetwarzania (art. 28 RODO). Zawsze aktualną listę znajdziesz również w Trust Center.

16. Przekazywanie danych do państw trzecich

Twoje dane są co do zasady przetwarzane wyłącznie na terenie Unii Europejskiej. Przekazanie do USA następuje w dwóch następujących przypadkach:

• Obsługa płatności za pośrednictwem Stripe (zawsze, wykonanie umowy) – podstawa: certyfikacja Stripe w ramach EU-US Data Privacy Framework oraz dodatkowo standardowe klauzule umowne UE zgodnie z art. 46 ust. 2 lit. c RODO.
• Pomiar zasięgu za pośrednictwem Google Tag Manager / GA4 – wyłącznie po Twojej wyraźnej zgodzie (art. 6 ust. 1 lit. a RODO). Podstawa: certyfikacja DPF Google + SCC. Bez kliknięcia „Akceptuj" w banerze cookie nie następuje żadne przekazanie.

17. Terminy przechowywania i archiwizacji

• Dane podstawowe konta: do usunięcia konta przez Ciebie
• Transkrypcje + pliki audio bez abonamentu Pro: 30 dni, następnie automatyczne usunięcie
• Transkrypcje + pliki audio z abonamentem Pro: do ręcznego usunięcia lub usunięcia konta
• Logi serwera: 14 dni
• Logi audytu: 12 miesięcy
• Dokumenty rozliczeniowe i księgowe: 10 lat (§ 147 AO, § 257 HGB)
• Transkrypcje gościa (bezpłatne narzędzie bez konta): 24 godziny

18. Twoje prawa wynikające z RODO

• Art. 15 – Prawo dostępu: jakie dane o Tobie przetwarzamy.
• Art. 16 – Sprostowanie: poprawienie nieprawidłowych lub niekompletnych danych.
• Art. 17 – Usunięcie („prawo do bycia zapomnianym"). Konto wraz ze wszystkimi powiązanymi danymi możesz usunąć w każdej chwili w ustawieniach.
• Art. 18 – Ograniczenie przetwarzania.
• Art. 20 – Przenoszenie danych: pełny eksport JSON Twoich danych jest dostępny w każdej chwili w ustawieniach.
• Art. 21 – Sprzeciw wobec przetwarzania opartego na prawnie uzasadnionych interesach.
• Art. 7 ust. 3 – Wycofanie udzielonych zgód ze skutkiem na przyszłość.
• Art. 77 – Skarga do organu nadzorczego.

Do skorzystania z przysługujących Ci praw wystarczy nieformalna wiadomość e-mail na adres datenschutz@deepscript.com. Odpowiadamy w ustawowym terminie jednego miesiąca (art. 12 ust. 3 RODO).

19. Organ nadzorczy

Masz prawo wnieść skargę do wybranego organu nadzorczego ds. ochrony danych. Organem właściwym miejscowo dla Aliru GmbH jest:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Telefon: +49 711 615541-0
Web: baden-wuerttemberg.datenschutz.de

20. Zautomatyzowane podejmowanie decyzji

Nie stosujemy zautomatyzowanych procesów w rozumieniu art. 22 RODO, które wywołują wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływają.

21. Zmiany niniejszej polityki prywatności

Dostosowujemy niniejszą politykę prywatności, gdy zmieniają się techniczne lub prawne warunki ramowe. Aktualna wersja jest dostępna pod tym adresem URL. W przypadku istotnych zmian informujemy aktywnych użytkowników e-mailem.

22. Powierzenie przetwarzania dla klientów biznesowych

Klienci biznesowi, którzy na własną odpowiedzialność przekazują do transkrypcji dane osobowe osób trzecich (np. pracowników, rozmówców), zawierają z nami umowę powierzenia przetwarzania zgodnie z art. 28 RODO. Umowę można podpisać cyfrowo w Trust Center.