Polityka prywatności HejMarta

1. Kto jest administratorem Twoich danych

Administratorem danych osobowych przetwarzanych w związku z serwisem hejmarta.com i demonstracją produktu HejMarta jest Dawid Glapiak, prowadzący działalność gospodarczą pod firmą Dawid Glapiak Projektowanie stron internetowych i aplikacji biznesowych (marka Webfast Studio), NIP 8393259956, REGON 543181797.

Adres miejsca wykonywania działalności: ul. Jaśminowa 41, 76-200 Słupsk, Polska. Dane rejestrowe są jawne w Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG).

Kontakt w sprawach danych osobowych: d.glapiak@webfast.com.pl.

2. Czego dotyczy ta Polityka

Polityka dotyczy dwóch różnych sytuacji.

• Nasz własny serwis i nasza demonstracja. Gdy odwiedzasz hejmarta.com, prosisz o telefon od Marty, dzwonisz do niej lub umawiasz z nami konsultację, jesteśmy administratorem Twoich danych.
• Marta pracująca dla naszych klientów. Gdy firma wdroży HejMarta i Marta odbiera telefony jej klientów, to firma decyduje, po co i jak te dane są przetwarzane. W takim przypadku działamy jako podmiot przetwarzający, a informacje o przetwarzaniu przekazuje Ci ta firma (patrz sekcja 12).

3. Odwiedzasz serwis

Serwis jest hostowany przez Vercel. Przy każdym wejściu serwer przetwarza dane techniczne niezbędne do dostarczenia strony, takie jak adres IP, adres żądanej strony, czas, informacje o przeglądarce i urządzeniu oraz adres strony odsyłającej. Dane te trafiają do logów dostawcy hostingu.

Do statystyk odwiedzin używamy Vercel Web Analytics. Według opisu dostawcy działa ono bez plików cookie, a odwiedzającego rozpoznaje skrót tworzony z żądania, który jest automatycznie usuwany po 24 godzinach. Zapisywane są zagregowane informacje: adres strony, adres odsyłający, przybliżona lokalizacja (kraj, region), system, przeglądarka i typ urządzenia. Nie łączymy tych danych z numerem telefonu ani z rozmowami.

Cel: dostarczenie i zabezpieczenie serwisu oraz zrozumienie, które strony są odwiedzane. Podstawa prawna: nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Okres: logi przechowuje dostawca hostingu według własnych ustawień. Nie używamy ich do identyfikowania pojedynczych osób.

4. Prosisz o telefon od Marty (formularz na stronie)

Na komputerze możesz wpisać własny numer telefonu, a Marta do Ciebie zadzwoni. Przetwarzamy wtedy numer telefonu (z numerem kierunkowym kraju). Podanie numeru jest dobrowolne, ale bez niego nie możemy wykonać połączenia.

Numer jest przekazywany dostawcy usługi głosowej (ElevenLabs), który inicjuje połączenie przez operatora telekomunikacyjnego (Twilio). W naszych dziennikach technicznych zapisujemy tylko trzy ostatnie cyfry numeru i informację, czy połączenie zostało zlecone.

Cel: wykonanie jednorazowego połączenia demonstracyjnego, o które prosisz. Podstawa prawna: podjęcie działań na Twoje żądanie (art. 6 ust. 1 lit. b RODO), a w zakresie zabezpieczenia formularza przed nadużyciami nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Aby chronić formularz przed nadużyciami (np. wielokrotnym zlecaniem połączeń na cudzy numer) i ograniczyć koszty, zapisujemy w naszej bazie (Supabase) wyłącznie kluczowane skróty numeru telefonu i adresu IP wraz z czasem prośby. Skrótu nie da się odczytać jako numeru bez tajnego klucza przechowywanego po stronie serwera, ale traktujemy go jako dane osobowe. Usuwamy go automatycznie po 24 godzinach, w cyklicznym czyszczeniu bazy uruchamianym co kilka minut, więc rekord może zniknąć z niewielkim opóźnieniem. Przy przekroczeniu limitu połączenie nie zostanie wykonane. Podstawa prawna: nasz uzasadniony interes w zabezpieczeniu usługi i ochronie osób trzecich przed niechcianymi połączeniami (art. 6 ust. 1 lit. f RODO).

Prośba o telefon nie jest zgodą na kontakt handlowy. Nie użyjemy Twojego numeru do reklamy ani do późniejszych telefonów marketingowych. Dalsza rozmowa o wdrożeniu odbywa się tylko wtedy, gdy sam o to poprosisz.

Pamiętaj, że połączenie wychodzi na numer, który wpiszesz. Podawaj wyłącznie swój numer lub numer, do którego masz prawo. Jeśli Marta zadzwoniła do Ciebie, bo ktoś podał Twój numer bez Twojej wiedzy, napisz do nas, a usuniemy dane z takiej rozmowy. Samo oświadczenie przy formularzu nie jest techniczną blokadą nieuprawnionych połączeń.

5. Rozmawiasz z Martą

Marta jest asystentką AI i przedstawia się jako wirtualna recepcjonistka AI na początku rozmowy. To dotyczy zarówno rozmów, które sam rozpoczynasz, dzwoniąc do niej, jak i rozmów po prośbie z formularza.

Podczas rozmowy możemy przetwarzać: numer telefonu rozmówcy (jeśli jest widoczny), treść rozmowy (to, co mówisz, w tym imię lub nazwę firmy i opis działalności, jeśli je podasz), zapis dźwięku, transkrypcję, identyfikator i czas rozmowy oraz informację o tym, jakie narzędzia Marta wykorzystała (np. sprawdzenie terminów, rezerwacja). Zakres zależy od przebiegu rozmowy i nie każda rozmowa zawiera wszystkie te dane. Rozmowa jest dobrowolna, a dane o sobie podajesz wyłącznie z własnej woli.

Rozmowy z Martą są nagrywane, a ich transkrypcje zapisywane. Nagrania i transkrypcje przechowuje u siebie dostawca usługi głosowej (ElevenLabs). Nie używamy dźwięku do identyfikowania Cię po głosie. Nie wysyłamy nagrań do naszych własnych systemów, a po zakończeniu rozmowy dostajemy zapis jej przebiegu w postaci transkrypcji wraz z informacjami technicznymi. Używamy go wyłącznie do ustalenia, czy umówiono konsultację, i do wysłania potwierdzenia SMS (sekcja 7). Treści rozmowy nie zapisujemy w naszej bazie danych ani w dziennikach.

Cel: przeprowadzenie demonstracji, odpowiedź na Twoje pytania i umówienie konsultacji. Podstawa prawna: art. 6 ust. 1 lit. b RODO (rozmowa, o którą prosisz). Osobny cel: nagrywanie i przechowywanie nagrań oraz transkrypcji w celu zapewnienia jakości i bezpieczeństwa usługi, wykrywania nadużyć i wykazania przebiegu rozmowy. Podstawa prawna: nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO), z prawem sprzeciwu opisanym w sekcji „Twoje prawa”.

Na początku rozmowy Marta informuje, że rozmowa jest nagrywana. To informacja, a nie Twoja zgoda: nie opieramy nagrywania na tym, że kontynuujesz rozmowę. Informacja pada już po rozpoczęciu rozmowy, więc nagranie obejmuje także jej pierwsze sekundy. Jeśli nie chcesz rozmawiać z nagrywaną asystentką, rozłącz się albo napisz do nas na adres e-mail z sekcji 1. Nagrywane są także rozmowy, które sam rozpoczynasz, dzwoniąc do Marty.

Dla rozmów przeprowadzonych od 28 października 2026 nagrania audio i transkrypcje przechowujemy przez 30 dni od dnia rozmowy, po czym dostawca (ElevenLabs) je usuwa. To jedno ustawienie dostawcy obejmuje zarówno dźwięk, jak i transkrypcje. Ustawienie nie działa wstecz: rozmowy wcześniejsze nie są nim objęte i mogą być nadal przechowywane, dopóki nie zostaną usunięte w odrębnie przeprowadzonym porządkowaniu danych lub na Twój wniosek. Okres 30 dni dotyczy tylko nagrań i transkrypcji u ElevenLabs. Rezerwacje w Cal.com, rekordy techniczne w Supabase, rejestry u Twilio i dzienniki hostingu mają osobne zasady (sekcja „Jak długo przechowujemy dane”).

Prosimy, nie podawaj Marcie danych szczególnych kategorii (np. dotyczących zdrowia) ani numerów dokumentów, haseł czy kart płatniczych. Marta ich nie potrzebuje.

Marta nie podejmuje wobec Ciebie decyzji wywołujących skutki prawne ani w podobny sposób istotnie na Ciebie wpływających. Nie profilujemy rozmówców.

6. Umawiasz konsultację

Marta może umówić konsultację z nami w kalendarzu Cal.com. Do rezerwacji przekazywane są: imię (tak, jak je podasz), numer telefonu, strefa czasowa, język oraz wybrany termin. Adresu e-mail nie wymagamy. Jeśli sam go podasz, może zostać zapisany w rezerwacji.

Cel: umówienie i obsługa konsultacji. Podstawa prawna: art. 6 ust. 1 lit. b RODO.

Dane rezerwacji przechowujemy w kalendarzu Cal.com tak długo, jak to potrzebne do obsługi konsultacji, a następnie do czasu przedawnienia ewentualnych roszczeń, jeżeli będzie to uzasadnione.

7. SMS z potwierdzeniem

Po rozmowie, w której konsultacja została faktycznie zarezerwowana, możemy wysłać na numer rozmówcy jeden SMS z potwierdzeniem terminu. Zawiera on markę HejMarta oraz datę i godzinę konsultacji. To wiadomość związana z umówioną wizytą, a nie reklama. Wiadomości reklamowych nie wysyłamy.

SMS wysyłamy przez Twilio. Aby nie wysłać dwóch takich samych wiadomości, w bazie danych Supabase zapisujemy techniczny identyfikator rozmowy, status wysyłki i znaczniki czasu. Nie zapisujemy tam numeru telefonu, treści SMS ani treści rozmowy.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (potwierdzenie umówionej konsultacji). Rekordy techniczne w bazie przechowujemy, dopóki są potrzebne do zapobiegania duplikatom i rozliczenia wysyłek. Okres przechowywania wiadomości w logach Twilio wynika z ustawień dostawcy.

8. Piszesz do nas

Jeśli napiszesz na d.glapiak@webfast.com.pl, przetwarzamy Twój adres e-mail i treść wiadomości, aby odpowiedzieć. Podstawa prawna: art. 6 ust. 1 lit. b lub f RODO. Korespondencję przechowujemy tak długo, jak to potrzebne do obsługi sprawy, a następnie do czasu przedawnienia roszczeń, jeśli jest to uzasadnione.

9. Komu przekazujemy dane

Do działania serwisu i demonstracji korzystamy z poniższych dostawców. Ich role są różne i zależą od rodzaju danych: przy większości operacji przetwarzają dane na nasze zlecenie, a przy własnych usługach (np. rozliczenia, bezpieczeństwo sieci, konto) mogą być odrębnymi administratorami. Standardowe warunki przetwarzania danych (DPA) dostawcy publikują sami. Nie twierdzimy, że z każdym z nich zawarto odrębną, podpisaną umowę.

• ElevenLabs: prowadzenie rozmowy głosowej przez asystentkę AI, rozpoznawanie mowy, nagrania i transkrypcje oraz inicjowanie połączenia z prośby z formularza.
• Twilio: łączność telefoniczna (połączenia głosowe) i wysyłka SMS z potwierdzeniem. Jako operator telekomunikacyjny przetwarza też dane o połączeniach na własne potrzeby techniczne i rozliczeniowe.
• Cal.com: kalendarz i rezerwacje konsultacji, w tym powiadomienia związane z rezerwacją.
• Supabase: baza danych z technicznymi rekordami wysyłki SMS (identyfikator rozmowy, status, znaczniki czasu).
• Vercel: hosting serwisu i naszego backendu oraz statystyki odwiedzin (Vercel Web Analytics).

Niektórzy dostawcy działają również jako niezależni administratorzy w zakresie własnych danych, np. danych o korzystaniu ze swoich usług. Dane możemy ujawnić także organom publicznym, jeśli wymaga tego prawo.

Nie sprzedajemy danych osobowych i nie udostępniamy ich w celach reklamowych.

10. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część naszych dostawców przetwarza dane poza EOG, w szczególności w Stanach Zjednoczonych. Dotyczy to m.in. hostingu naszego backendu (Vercel), usługi głosowej (ElevenLabs) i telekomunikacji (Twilio). Nie twierdzimy, że wszystkie dane pozostają w UE.

Funkcje naszego backendu (m.in. odbieranie powiadomień po rozmowie i wysyłka SMS) działają obecnie w centrum danych Vercel w Stanach Zjednoczonych. Dostawca usługi głosowej (ElevenLabs) przechowuje i przetwarza dane rozmów w naszej obecnej konfiguracji domyślnie w Stanach Zjednoczonych. Lokalizacji przetwarzania i przechowywania danych u pozostałych dostawców (Twilio, Cal.com, Supabase) nie potwierdziliśmy jednoznacznie, dlatego nie zapewniamy, że ich dane pozostają w UE.

Zgodnie z dokumentacją dostawców, przekazania poza EOG opierają się na zabezpieczeniach przewidzianych w RODO, takich jak decyzja Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) dla certyfikowanych podmiotów, standardowe klauzule umowne albo wiążące reguły korporacyjne. Zależy to od dostawcy. Nie weryfikowaliśmy każdego z tych zabezpieczeń osobno ani nie twierdzimy, że wszystkie są w pełni wdrożone. Listy podwykonawców dostawców są publikowane przez nich samych.

Jeśli chcesz uzyskać więcej informacji o zabezpieczeniach, napisz na d.glapiak@webfast.com.pl.

11. Jak długo przechowujemy dane

• Logi hostingu (Vercel): okres przechowywania wynika z ustawień dostawcy i nie został przez nas zweryfikowany. Statystyki odwiedzin: według ustawień dostawcy. Identyfikator odwiedzającego w statystykach jest usuwany po 24 godzinach.
• Numer z formularza: nie zapisujemy go w naszej bazie. W dziennikach technicznych zapisywane są tylko trzy ostatnie cyfry. Do ochrony przed nadużyciami przechowujemy wyłącznie kluczowane skróty numeru i adresu IP, usuwane automatycznie po 24 godzinach (cykliczne czyszczenie bazy).
• Nagrania i transkrypcje rozmów: 30 dni od rozmowy dla rozmów po 28 października 2026; rozmowy wcześniejsze nie są tym ustawieniem objęte automatycznie.
• Rezerwacje konsultacji (Cal.com): osobny okres, tak długo jak to potrzebne do obsługi konsultacji i ewentualnych roszczeń. Ustawienie 30 dni ich nie obejmuje.
• Rekordy techniczne SMS (identyfikator rozmowy, status): dopóki są potrzebne do zapobiegania duplikatom.
• Rejestry połączeń i wiadomości u operatora (Twilio): według ustawień dostawcy, których nie ograniczamy.
• Korespondencja e-mail: do zakończenia obsługi sprawy, a następnie do przedawnienia roszczeń, jeśli jest to uzasadnione.

12. Marta w firmach naszych klientów

Gdy firma korzysta z HejMarta, to ona co do zasady jest administratorem danych swoich rozmówców, a my przetwarzamy te dane na jej polecenie, na podstawie odrębnej umowy powierzenia przetwarzania (art. 28 RODO). Niektóre dane (np. dotyczące bezpieczeństwa i rozliczeń usługi) możemy przetwarzać również we własnych celach jako administrator. Dotyczy to treści rozmów, nagrań, transkrypcji, rezerwacji i wiadomości w ramach takiego wdrożenia.

Zasady dla konkretnego klienta, w tym okresy przechowywania, informacje dla rozmówców i lista podwykonawców, ustala umowa z tym klientem. Ta Polityka nie zastępuje takiej umowy ani informacji, które firma przekazuje swoim klientom. Jeśli rozmawiasz z Martą w imieniu jakiejś firmy, w sprawie swoich danych zwróć się najpierw do tej firmy.

13. Bezpieczeństwo

Stosujemy środki dostosowane do ryzyka. Serwis działa przez szyfrowane połączenie HTTPS. Powiadomienia od dostawcy usługi głosowej weryfikujemy podpisem kryptograficznym przed ich przetworzeniem. Klucze dostępowe przechowujemy wyłącznie po stronie serwera. Baza danych z rekordami SMS nie jest dostępna z przeglądarki. Dzienniki techniczne ograniczamy do minimum i nie zapisujemy w nich treści rozmów, imion ani pełnych numerów telefonu.

14. Twoje prawa

Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, a w przypadku przetwarzania na podstawie umowy także przenoszenia danych. Możesz też sprzeciwić się przetwarzaniu opartemu na naszym uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją.

Aby z nich skorzystać, napisz na d.glapiak@webfast.com.pl. Jeśli chodzi o rozmowę, podaj datę, przybliżoną godzinę i numer telefonu, z którego lub na który rozmowa się odbyła, abyśmy mogli ją odnaleźć. Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca.

Masz prawo wnieść skargę do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych (UODO, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

15. Pliki cookie i narzędzia analityczne

Serwis nie ustawia plików cookie ani nie zapisuje danych w pamięci przeglądarki (localStorage, sessionStorage) i nie ładuje zasobów z serwerów podmiotów trzecich, takich jak czcionki czy skrypty reklamowe. Czcionki i materiały graficzne są serwowane z naszej domeny.

Nie korzystamy z Google Analytics ani z narzędzi reklamowych i remarketingowych. Statystyki odwiedzin zapewnia Vercel Web Analytics w opisanym wyżej zakresie.

Nasza ocena na podstawie art. 399 Prawa komunikacji elektronicznej: na dziś serwis nie zapisuje informacji w urządzeniu użytkownika ani nie uzyskuje dostępu do informacji już w nim zapisanych w celach analitycznych lub reklamowych, dlatego nie prosimy o zgodę i nie pokazujemy banera cookie. Jeśli to się zmieni, poprosimy o zgodę przed uruchomieniem takiego narzędzia i zaktualizujemy tę Politykę.

16. Zmiany Polityki

Politykę aktualizujemy, gdy zmienia się sposób przetwarzania danych. Aktualna wersja jest zawsze pod tym adresem, z datą wersji na początku strony.