Polityka prywatności

1. Administrator danych

Administratorem danych osobowych Użytkowników Serwisu CommentTap (dostępnego pod adresem commenttap.com, „Serwis”) jest Michał Kołnierzak prowadzący działalność gospodarczą pod firmą „KOLM MICHAŁ KOŁNIERZAK”, ul. Milenijna 43/2, 03-130 Warszawa, NIP 5361929091, REGON 367735680 („Administrator”, „Operator” lub „my”).

Kontakt w sprawach danych osobowych: privacy@commenttap.com. Kontakt ogólny: support@commenttap.com, hello@commenttap.com, telefon +48 573 210 950.

Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie zachodzą przesłanki z art. 37 RODO.

2. Dwie role Operatora

CommentTap jest usługą typu SaaS i występuje w dwóch różnych rolach:

• Administrator — w odniesieniu do danych Użytkowników Serwisu (dane konta, rozliczeniowe, kontaktowe i techniczne logowania). Zasady w tym zakresie opisuje niniejsza Polityka.
• Podmiot przetwarzający (procesor) — w odniesieniu do danych Kontaktów (Leadów), które Użytkownik gromadzi i przetwarza za pomocą Serwisu, prowadząc własne kampanie. Przetwarzanie w tej roli zaczyna się z chwilą podłączenia konta Instagram do Serwisu (od tego momentu odbieramy komentarze i wiadomości kierowane do tego konta), także przed uruchomieniem kampanii. W tym zakresie administratorem danych kampanii jest podmiot ustalający jej cele i zasadnicze sposoby przetwarzania — Użytkownik albo podmiot, w którego imieniu Użytkownik działa jako upoważniony procesor (np. klient agencji). My działamy odpowiednio jako procesor albo dalszy procesor i przetwarzamy dane wyłącznie na udokumentowane polecenie, na podstawie umowy powierzenia (DPA).

Żądania osób, których dane dotyczą (np. Leadów), w zakresie danych zebranych przez Użytkownika kierowane są do tego Użytkownika jako administratora; przekazujemy je i wspieramy Użytkownika.

3. Jakie dane przetwarzamy (jako administrator)

Jako administrator przetwarzamy dane Użytkowników: dane konta (imię/nazwa, adres e-mail, zahaszowane hasło), dane rozliczeniowe (nazwa firmy, adres, NIP, historia płatności, identyfikatory Stripe oraz zakupów w App Store i Google Play), identyfikatory i tokeny dostępu połączonych kont social, dane techniczne (adres IP, logi, typ urządzenia/przeglądarki, zdarzenia w aplikacji), korespondencję z obsługą oraz — jeśli dotyczy — adres e-mail do komunikacji marketingowej.

Zakup Planu. Przy zakupie Planu zapisujemy informacje potrzebne do zawarcia i wykonania umowy oraz udokumentowania jej warunków: identyfikator Konta i Miejsca pracy, wersję zaakceptowanego Regulaminu, czas akceptacji, platformę (strona internetowa, App Store, Google Play) oraz dane identyfikujące zakup. Przy zakupie w aplikacji rejestrujemy także rozpoczęcie procesu zakupu (intencję zakupu), aby przypisać transakcję do właściwego Miejsca pracy i zapobiegać podwójnym obciążeniom. Przetwarzamy identyfikatory transakcji, kwoty, waluty, okresy i statusy subskrypcji, a także informacje o zwrotach. Jeżeli sklep nie zwróci kwoty należnej po odstąpieniu od umowy albo przy podwójnym zakupie i Operator wypłaci ją z własnych środków (Regulamin §6 ust. 11 i §7 ust. 6), zapisujemy kwotę, walutę, datę i sposób wypłaty oraz notatkę, a przy przelewie — dane rachunku bankowego podane przez odbiorcę. Podstawami przetwarzania są, odpowiednio do celu: wykonanie umowy (art. 6 ust. 1 lit. b RODO), obowiązki prawne dotyczące dokumentacji (art. 6 ust. 1 lit. c RODO) oraz nasz prawnie uzasadniony interes w zapewnieniu prawidłowego rozliczenia i ochronie roszczeń (art. 6 ust. 1 lit. f RODO); wobec osób działających w imieniu klienta, który nie jest osobą fizyczną — art. 6 ust. 1 lit. f RODO.

Okres próbny. Do kontroli uprawnienia do bezpłatnego okresu próbnego wykorzystujemy znacznik jego użycia, pseudonimizowany identyfikator adresu e-mail (jednokierunkowy skrót) i identyfikatory powiązanych kont Instagram. Dane te mogą nadal pozwalać nam rozpoznać powracającą osobę; nie traktujemy ich jako anonimowych. Podstawą jest nasz prawnie uzasadniony interes w zapobieganiu nadużyciom promocji (art. 6 ust. 1 lit. f RODO). Przysługuje prawo sprzeciwu z przyczyn związanych ze szczególną sytuacją osoby (sekcja 10).

Podstawy prawne:

• Świadczenie i prowadzenie konta oraz usługi — art. 6 ust. 1 lit. b RODO; wobec osób działających w imieniu klienta, który nie jest osobą fizyczną (np. pracownik spółki) — art. 6 ust. 1 lit. f RODO (obsługa umowy z klientem).
• Rozliczenia, subskrypcje (także kupione w App Store i Google Play), faktury, zwroty i obsługa reklamacji — art. 6 ust. 1 lit. b i c RODO (obowiązki podatkowe/księgowe) oraz art. 6 ust. 1 lit. f RODO (prawidłowe przypisanie zakupu, zapobieganie podwójnym obciążeniom, ochrona roszczeń).
• Bezpieczeństwo, diagnostyka błędów i zapobieganie nadużyciom — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
• Kontrola uprawnienia do bezpłatnego okresu próbnego — art. 6 ust. 1 lit. f RODO (zapobieganie nadużyciom promocji); przysługuje prawo sprzeciwu (sekcja 10).
• Analityka ruchu na stronach marketingowych (Google Analytics) — art. 6 ust. 1 lit. a RODO (zgoda wyrażona w banerze cookies, którą można wycofać).
• Powiadomienia o zdarzeniach w Koncie (e-mail, push) — art. 6 ust. 1 lit. b RODO. Zgoda systemowa na powiadomienia push nie jest zgodą na marketing; nie wysyłamy nimi reklam.
• Komunikacja marketingowa — art. 6 ust. 1 lit. a RODO (odrębna zgoda), jeśli dotyczy.

4. Dane Kontaktów / Leadów (jako procesor)

Za pośrednictwem Serwisu Użytkownik może przetwarzać dane osób wchodzących w interakcję z jego profilami. Zgodnie z modelem danych Serwisu są to: identyfikatory platformowe (ID użytkownika u dostawcy, username, nazwa wyświetlana), adres e-mail (jeśli podany), treść komentarzy, odpowiedzi na relacje i wiadomości, tagi, notatki, pola niestandardowe (lead fields), status leada, status i treść rezygnacji (opt-out), odpowiedzi na pytanie o zgodę marketingową (stan, data i treść pytania), znaczniki czasu interakcji oraz historia dostarczeń i kliknięć w linki. Dane te przetwarzamy w imieniu Użytkownika na podstawie umowy powierzenia.

Indywidualne śledzenie kliknięć z identyfikatorem odbiorcy oraz pixel konwersji nie są obecnie dostępne. Ich uruchomienie będzie wymagać odrębnego wdrożenia prawnego i technicznego oraz aktualizacji informacji dla użytkowników. Dostępna obecnie statystyka linków zlicza kliknięcia bez przypisania do konkretnej osoby i bez zapisu adresu IP, przeglądarki ani strony odsyłającej.

W odniesieniu do danych kampanii przetwarzamy dane na udokumentowane polecenie właściwego administratora. Użytkownik może być tym administratorem albo jego upoważnionym procesorem, np. agencją — wtedy CommentTap działa jako dalszy procesor na warunkach umowy powierzenia. Informacja dla uczestnika kampanii (w pierwszej wiadomości kampanii) wskazuje rzeczywistego administratora — markę, dla której prowadzona jest kampania — oraz link do jego informacji o przetwarzaniu danych.

5. Źródła danych

Dane pozyskujemy: (a) bezpośrednio od Użytkownika; (b) automatycznie podczas korzystania z Serwisu (logi, cookies); (c) od platform społecznościowych za pośrednictwem oficjalnych API (Meta/Instagram) — w zakresie, na który Użytkownik wyraził zgodę podczas łączenia konta.

6. Integracja z Meta / Instagram

Serwis korzysta z oficjalnych API Meta (Instagram). Przetwarzamy wyłącznie dane niezbędne do funkcji, na które Użytkownik udzielił uprawnień (m.in. odczyt komentarzy, wysyłka wiadomości w odpowiedzi na interakcje zainicjowane przez użytkownika końcowego). W tym celu przechowujemy tokeny dostępu do połączonych kont (szyfrowane, z ograniczonym zakresem). Dane z platform Meta wykorzystujemy zgodnie z Meta Platform Terms i Developer Policies; nie sprzedajemy ich ani nie wykorzystujemy do celów innych niż świadczenie usługi.

Użytkownik może w każdej chwili odłączyć konto, co przerywa dostęp do danych platformy. Serwis obsługuje również żądania usunięcia danych zgodnie z wymogami Meta (Data Deletion Request Callback). Status i instrukcje dostępne są na stronie usuwania danych.

Opcjonalne funkcje AI. Serwis może pomagać w redagowaniu treści wiadomości kampanii i opisów postów (Użytkownik sprawdza i zatwierdza wynik przed użyciem). Funkcja klasyfikacji intencji komentarzy przez AI nie jest obecnie dostępna — kampanie reagują wyłącznie na słowa kluczowe. Do dostawcy właściwego dla wywołanej funkcji (Google — Gemini API, dostawca podstawowy; OpenAI — dostawca zapasowy; patrz lista podprocesorów) wysyłamy wyłącznie treść tekstową potrzebną do tej funkcji: tekst wpisany przez Użytkownika (wraz z profilem stylu marki i nazwą kampanii) oraz opis posta wskazanego przez Użytkownika — bez danych profilowych osób; treść może jednak zawierać dane, które ktoś sam w niej wpisał. W stosowanych płatnych usługach warunki dostawców ograniczają używanie przesłanych treści do trenowania modeli; nie oznacza to braku wszelkiego przechowywania — retencja związana z bezpieczeństwem, wykrywaniem nadużyć i obowiązkami prawnymi zależy od dostawcy, interfejsu i konfiguracji (np. OpenAI — co do zasady do 30 dni). Nie korzystamy z opcji „zero retention”. Wyników AI nie zapisujemy poza samą kampanią; rejestrujemy dane rozliczeniowe użycia (rodzaj funkcji, liczba tokenów, koszt).

6a. Integracja z Google Sheets (opcjonalna)

Użytkownik może opcjonalnie połączyć własny arkusz Google Sheets jako miejsce docelowe dla zebranych leadów. Połączenie odbywa się przez OAuth Google z zakresem „drive.file”, czyli dostępem wyłącznie do plików, które Użytkownik sam wskaże w oknie wyboru Google (Google Picker) lub które utworzy przez CommentTap — nie mamy dostępu do pozostałych plików na Dysku Użytkownika. Otrzymany token odświeżania przechowujemy wyłącznie w postaci zaszyfrowanej (AES-256-GCM) i używamy go tylko do uzyskania krótkotrwałego tokenu dostępu w momencie zapisu oraz do otwarcia okna wyboru pliku.

Przy otwieraniu okna wyboru arkusza przeglądarka Użytkownika ładuje skrypt Google z „apis.google.com”. Jest to element funkcjonalny, uruchamiany dopiero po kliknięciu przez Użytkownika, i nie służy do celów analitycznych ani marketingowych.

Z danych użytkownika Google odczytujemy wyłącznie metadane wskazanego arkusza (tytuł oraz nazwy zakładek) — aby potwierdzić dostęp i umożliwić wybór zakładki docelowej — a następnie dopisujemy wiersze z danymi leadów (data zdarzenia, typ zdarzenia, pola leada) do arkusza i zakładki wskazanych przez Użytkownika. Na życzenie Użytkownika możemy też utworzyć nowy arkusz wraz z wierszem nagłówków. Nie odczytujemy zawartości komórek, nie przeglądamy listy plików Użytkownika, niczego poza dopisywaniem wierszy nie modyfikujemy ani nie usuwamy.

Integrację można odłączyć w każdej chwili w ustawieniach Serwisu (usunięcie integracji trwale usuwa zapisany token); dostęp można też cofnąć z poziomu konta Google (myaccount.google.com/permissions). Korzystanie przez CommentTap z informacji otrzymanych z interfejsów API Google jest zgodne z Google API Services User Data Policy, w tym z wymogami Limited Use — danych z Google API używamy wyłącznie do świadczenia widocznej dla Użytkownika funkcji eksportu leadów, nie przekazujemy ich podmiotom trzecim (poza niezbędną infrastrukturą hostingową) i nie wykorzystujemy do reklamy.

6b. Aplikacja mobilna

Aplikacja mobilna CommentTap (iOS, Android) korzysta z tego samego Konta co Serwis. Dodatkowo przetwarzamy w niej:

• Logowanie przez Apple lub Google — otrzymujemy od dostawcy adres e-mail (w przypadku Apple może to być adres przekazujący) i identyfikator konta; podstawa: art. 6 ust. 1 lit. b RODO.
• Powiadomienia push — token urządzenia przechowujemy, by wysyłać wybrane przez Ciebie powiadomienia. Powiadomienia wysyłamy przez usługę Expo (Expo Push), która przekazuje je do Apple Push Notification service lub Firebase Cloud Messaging (Google). Treść powiadomienia może zawierać nazwę Kontaktu (np. username osoby, która napisała wiadomość). Zgodę na powiadomienia można wycofać w ustawieniach systemu lub aplikacji.
• Zakupy w aplikacji — płatność przyjmuje Apple (App Store) lub Google (Google Play), które przetwarzają dane płatności jako odrębni administratorzy według własnych polityk. Status subskrypcji otrzymujemy przez RevenueCat, który na nasze zlecenie (jako podmiot przetwarzający) przetwarza identyfikator Twojego Konta i dane transakcji w sklepie, abyśmy mogli przypisać subskrypcję do Miejsca pracy. Nie przekazujemy RevenueCat danych Kontaktów. Zakres danych zakupu i podstawy przetwarzania opisuje sekcja 3, a okresy przechowywania — sekcja 9.
• Diagnostyka — raporty o awariach aplikacji trafiają do Sentry wraz z identyfikatorem Konta (bez adresu e-mail i bez treści Kontaktów).
• Pamięć urządzenia — aplikacja przechowuje lokalnie sesję logowania oraz kopię ostatnio wyświetlonych danych, aby działać przy słabym zasięgu; dane te są usuwane przy wylogowaniu.

Aplikacja nie śledzi Cię w aplikacjach i serwisach innych firm i nie zawiera reklam. Zdjęcia i filmy wybierane z urządzenia są przesyłane wyłącznie wtedy, gdy sam je dodasz do posta lub kampanii.

7. Odbiorcy i podprocesorzy

Powierzamy przetwarzanie danych zaufanym dostawcom (podmiotom przetwarzającym), wyłącznie w zakresie niezbędnym do świadczenia usługi. Przy odbiorcach, którzy w danym zakresie działają jako odrębni administratorzy — nie na nasze zlecenie, lecz według własnych polityk — zaznaczamy to wprost:

• Supabase — baza danych, uwierzytelnianie, przechowywanie plików — UE/EOG, Frankfurt (Niemcy).
• Railway — hosting API, procesów w tle i bazy pamięci podręcznej/kolejek (Redis) — UE/EOG, EU West, Amsterdam (Holandia); operator z USA, możliwy zdalny dostęp z USA (patrz sekcja 8).
• Vercel — hosting aplikacji webowej (frontend) — UE + USA (patrz sekcja 8).
• Stripe — płatności i subskrypcje — UE + USA (patrz sekcja 8).
• inFakt — wystawianie i synchronizacja dokumentów księgowych — Polska/UE.
• Brevo — e-maile transakcyjne i powiadomienia — UE/EOG.
• Meta Platforms — integracja z Instagram/Facebook API — UE + USA (patrz sekcja 8).
• Sentry — monitorowanie błędów i wydajności (aktywne, gdy skonfigurowany DSN) — UE + USA (patrz sekcja 8).
• Google (Google Analytics, Google Search Console, Gemini API, Google Sheets — gdy Użytkownik podłączy arkusz) — analityka ruchu, pomiar widoczności w wyszukiwarce oraz funkcje AI (patrz sekcja 6) — UE + USA (patrz sekcja 8).
• OpenAI — funkcje AI (dostawca zapasowy, patrz sekcja 6) — USA (patrz sekcja 8).
• Expo (650 Industries) — dostarczanie powiadomień push w aplikacji mobilnej (dalej przez Apple i Google) — USA (patrz sekcja 8).
• RevenueCat — podmiot przetwarzający: obsługa statusu subskrypcji kupionych w App Store i Google Play (identyfikator Konta, dane transakcji w sklepie) — USA (patrz sekcja 8).
• Apple, Google — sklepy z aplikacjami i logowanie przez Apple/Google; dane płatności w App Store i Google Play przetwarzają jako odrębni administratorzy według własnych polityk (w tym zakresie nie są naszymi podmiotami przetwarzającymi) — UE + USA (patrz sekcja 8).
• Biuro rachunkowe / doradca / kancelaria — Polska.

Listę podprocesorów przetwarzających dane Kontaktów publikujemy na stronie Podprocesorzy. Gdy udostępnienie danych organom publicznym wynika z przepisów prawa, weryfikujemy legalność każdego żądania, kwestionujemy żądania, które uznamy za niezgodne z prawem, ujawniamy wyłącznie niezbędne minimum i prowadzimy rejestr żądań, naszych odpowiedzi oraz podstaw prawnych.

8. Przekazywanie danych poza EOG

Podstawowa infrastruktura działa w UE/EOG: baza danych i pliki (Supabase) — Frankfurt (Niemcy); hosting API i procesów w tle (Railway) — EU West, Amsterdam (Holandia). Niektórzy odbiorcy (Stripe, Meta, Google, OpenAI, Vercel, Sentry, Expo, RevenueCat, Apple — a w zakresie zdalnego dostępu zespołów z USA także Supabase i Railway) mogą przetwarzać dane również w USA. Transfer taki odbywa się na podstawie zabezpieczeń zgodnych z rozdziałem V RODO — w szczególności standardowych klauzul umownych (SCC) oraz, jeśli dotyczy, EU-U.S. Data Privacy Framework (DPF). Apple i Google w zakresie płatności w sklepach działają jako odrębni administratorzy i stosują własne podstawy transferu. Kopię zabezpieczeń można uzyskać pod adresem privacy@commenttap.com.

9. Okres przechowywania danych

• Dane konta i dane niezbędne do świadczenia usługi — przez czas trwania umowy oraz 30 dni po jej zakończeniu (okres na eksport/odzyskanie), po czym są usuwane lub anonimizowane. W procedurze zmiany dostawcy (Regulamin §12a) — po okresie przejścia i okresie pobrania właściwych dla tej procedury.
• Dokumentacja podatkowa i rachunkowa — przez okres wymagany przepisami, co do zasady do upływu przedawnienia zobowiązania podatkowego (5 lat od końca roku, w którym upłynął termin płatności podatku, z uwzględnieniem zdarzeń wpływających na ten termin); ewidencja sprzedaży rozliczanej w procedurze VAT OSS — 10 lat od końca roku transakcji.
• Zapisy transakcji ze sklepów z aplikacjami (identyfikator transakcji, produkt, kwota, waluta, data, status, zwroty), sprawy rozliczeniowe (zwroty, odstąpienia, podwójne zakupy) oraz dopłaty wypłacone przez Operatora z własnych środków (kwota, waluta, data, sposób wypłaty, notatka, a przy przelewie — dane rachunku bankowego odbiorcy) — tak jak dokumentacja podatkowa i rachunkowa: do upływu przedawnienia zobowiązania podatkowego (5 lat od końca roku, w którym upłynął termin płatności podatku), a w razie sporu lub reklamacji — do ich zakończenia; zapisy te przeżywają usunięcie Konta. Podstawa: art. 6 ust. 1 lit. c i f RODO.
• Dane przetwarzane na podstawie zgody (marketing) — do czasu wycofania zgody.
• Logi techniczne i dane bezpieczeństwa — do 12 miesięcy.
• Statystyka kliknięć w linki kampanii (liczba kliknięć, czas, oznaczenie ruchu automatycznego) — 12 miesięcy; bez adresu IP, danych przeglądarki i strony odsyłającej.
• Identyfikator odłączonego konta Instagram (bez nazwy profilu) — do usunięcia workspace'u; pozwala ponownie podłączyć to samo konto i chroni przed przypisaniem go jednocześnie do dwóch workspace'ów.
• Surowe zdarzenia przekazywane przez Instagram (pełna treść komentarzy i wiadomości przed przetworzeniem) — 30 dni. Zdarzenia dotyczące kont, których nie obsługujemy (np. odłączonych), usuwamy od razu.
• Kopie zapasowe — w cyklu rotacyjnym do 30 dni.
• Znacznik wykorzystania okresu próbnego (jednokierunkowy skrót adresu e-mail właściciela oraz identyfikatory kont Instagram, które skorzystały z próby) — przez czas istnienia Konta i 24 miesiące po jego zamknięciu (usunięciu Konta); podstawa: art. 6 ust. 1 lit. f RODO. Dane te nie są anonimowe.
• Rejestr rozpoczęcia procesu zakupu w aplikacji (intencja zakupu: identyfikator Konta i Miejsca pracy, czas) — 24 godziny, niezależnie od wyniku: zakup, który doszedł do skutku, jest już wtedy przypisany do Miejsca pracy, a dowód akceptacji Regulaminu przechowujemy osobno (punkt niżej).
• Minimalne dowody zawarcia umowy i złożonych oświadczeń (wersja dokumentu, data i godzina, kontekst, identyfikator konta lub zakupu) przechowujemy po usunięciu konta przez czas niezbędny do wykazania ich treści oraz ustalenia, dochodzenia lub obrony roszczeń: konto bez kampanii i płatności — 12 miesięcy (bez adresu e-mail); konto Free z kampaniami — do końca 3. roku kalendarzowego po usunięciu; konto z płatnym Planem — do końca 6. roku kalendarzowego po usunięciu. W razie konkretnego sporu, reklamacji lub incydentu — do zakończenia sprawy. Dowody zgód marketingowych Kontaktów i wyborów cookies mają odrębne okresy związane z ich celem.
• Rejestr rezygnacji Kontaktów (opt-out) — jako jednokierunkowy skrót identyfikatora, także po usunięciu Kontaktu, aby rezygnacja była respektowana; przez czas korzystania z Serwisu przez Użytkownika.
• Powiadomienia w aplikacji (mogą zawierać nazwę Kontaktu lub konta) — 12 miesięcy.
• Log dostaw danych do integracji Użytkownika (webhooki, arkusze) — 90 dni.
• Pełna treść powiadomień od operatorów płatności (Stripe, RevenueCat) — 90 dni; potem zostaje sam identyfikator zdarzenia.
• Rejestr żądań usunięcia danych otrzymanych od Meta — 3 lata (dowód realizacji żądania: data, status, kod potwierdzenia); identyfikator konta Instagram usuwamy z rejestru 30 dni po wykonaniu żądania.
• Zrzut wezwania z opisu posta (CTA), na który odpowiedział Kontakt — dowód, o co poprosił, pisząc komentarz — 24 miesiące od ostatniego wystąpienia tej treści; przeżywa usunięcie kampanii, a usuwamy go razem z workspace'em.
• Konta w planie Free bez logowania i aktywnych kampanii przez 24 miesiące obejmujemy przeglądem retencji. Powiadamiamy o planowanym zakończeniu umowy i usunięciu danych co najmniej 30 dni wcześniej; w tym czasie można zachować Konto przez zalogowanie albo wyeksportować dane. Po tym terminie usuwamy dane operacyjne, chyba że istnieje konkretna, udokumentowana podstawa ich dalszego przechowywania. Do oceny aktywności zapisujemy datę ostatniego wejścia do Serwisu.
• Dane Kontaktów/Leadów (jako procesor) — kontakt bez żadnej interakcji przez 24 miesiące usuwamy automatycznie razem z rozmowami; pozostałe dane — w ciągu 30 dni po zakończeniu usługi lub wcześniej na żądanie Użytkownika.

Dane usuwamy po upływie tych okresów automatycznymi zadaniami retencji oraz procedurami usuwania wykonywanymi przy zakończeniu umowy i na żądanie.

10. Prawa osób, których dane dotyczą

Przysługuje Ci prawo do: dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania przed wycofaniem). Żądania realizujemy pod adresem privacy@commenttap.com bez zbędnej zwłoki, co do zasady w ciągu miesiąca (z możliwością przedłużenia w przypadkach przewidzianych w art. 12 ust. 3 RODO — wtedy poinformujemy o tym i o przyczynach). Masz też prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa.

Jeżeli żądanie dotyczy danych zebranych przez Użytkownika w ramach jego kampanii (Leady), administratorem jest Użytkownik albo podmiot, w którego imieniu Użytkownik prowadzi kampanię (np. klient agencji) — przekażemy żądanie Użytkownikowi i wskażemy Ci administratora podanego w informacji o kampanii.

Dane swojego konta możesz w każdej chwili pobrać samodzielnie: Ustawienia → Twoje dane (plik JSON). Konto usuniesz w Ustawieniach → Strefa ryzyka. Pozostałe żądania realizujemy pod adresem privacy@commenttap.com.

11. Zautomatyzowane podejmowanie decyzji

Kampanie wykorzystują reguły i słowa kluczowe ustawione przez Użytkownika. Klasyfikacja intencji komentarzy przez AI nie jest obecnie dostępna. Funkcje AI opisane w sekcji 6 służą przygotowaniu propozycji treści, które Użytkownik sprawdza przed użyciem. Skutkiem automatyzacji kampanii jest wyłącznie wysłanie albo niewysłanie wiadomości w ramach kampanii Użytkownika. Nie podejmujemy wobec Użytkowników ani Kontaktów zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne w rozumieniu art. 22 RODO.

13. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka: szyfrowanie połączeń (TLS), kontrolę dostępu, hashowanie haseł, kopie zapasowe, ograniczenie dostępu zgodnie z zasadą wiedzy koniecznej oraz przetwarzanie u dostawców o odpowiednim poziomie bezpieczeństwa. Zgłoszenia bezpieczeństwa: security@commenttap.com.

14. Zmiany Polityki

Możemy aktualizować niniejszą Politykę. O istotnych zmianach poinformujemy Użytkowników drogą elektroniczną lub w Serwisie z wyprzedzeniem. Data ostatniej aktualizacji wskazana jest na początku.

15. Kontakt

Sprawy danych osobowych: privacy@commenttap.com. Operator: KOLM MICHAŁ KOŁNIERZAK, ul. Milenijna 43/2, 03-130 Warszawa, NIP 5361929091.