Polityka prywatności Postfly

1. Administrator danych

Administratorem danych osobowych jest Paweł Sawczuk, osoba fizyczna, adres: Barczewko 126B, 11-010 Barczewo, e-mail: hello@postfly.pl.

2. Zakres zbieranych danych

W związku z korzystaniem z Postfly możemy przetwarzać następujące dane:

• dane konta użytkownika (np. adres e-mail, identyfikator użytkownika),
• dane kont społecznościowych z OAuth (np. Meta (Facebook, Instagram)/LinkedIn/TikTok/YouTube user ID, username, tokeny dostępowe i odświeżające),
• przesłane przez Użytkownika materiały (zdjęcia, filmy) oraz przygotowane opisy publikacji,
• jeśli Użytkownik korzysta z obsługi komentarzy: treść publicznych komentarzy pod jego postami i nazwę ich autorów, pobrane z platformy w celu przygotowania odpowiedzi,
• opcjonalny identyfikator czatu Telegram, jeśli Użytkownik połączy bota Postfly ze swoim kontem Telegram - używany wyłącznie do wysyłania powiadomień i obsługi komend zainicjowanych przez Użytkownika,
• opcjonalne dane wprowadzone samodzielnie przez Użytkownika w ramach funkcji społeczności/ monetyzacji (np. adresy e-mail i imiona jego fanów/klientów zapisane przez funkcję "Fani", zapisy sprzedaży) - patrz punkt 13 poniżej,
• metadane korzystania z usługi (np. limity użycia, historia zadań publikacji, informacje diagnostyczne i bezpieczeństwa),
• dane techniczne sesji (np. identyfikatory sesji, logi bezpieczeństwa, adres IP, user-agent).

3. Cele i podstawy prawne przetwarzania (RODO)

Dane przetwarzamy w następujących celach:

• świadczenie usługi i realizacja umowy (art. 6 ust. 1 lit. b RODO),
• bezpieczeństwo, zapobieganie nadużyciom i utrzymanie stabilności systemu (art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora),
• wysyłka wiadomości e-mail związanych z kontem (potwierdzenie adresu, reset hasła, powiadomienia o usłudze) (art. 6 ust. 1 lit. b RODO),

4. Płatności i Stripe

Obecnie Postfly jest bezpłatny i nie przetwarza żadnych danych płatniczych. Przed wprowadzeniem płatnych planów ten punkt zostanie zaktualizowany.

5. Odbiorcy danych i podmioty przetwarzające

Dane mogą być powierzane zaufanym dostawcom infrastruktury i usług:

• Vercel – hosting i infrastruktura aplikacji oraz przechowywanie przesłanych plików (Vercel Blob),
• Supabase (PostgreSQL) – bezpieczne przechowywanie danych aplikacji,
• Resend – wysyłka wiadomości e-mail (potwierdzenie adresu, reset hasła, powiadomienia),
• Sentry – monitorowanie błędów aplikacji (dane techniczne błędu; hasła, tokeny i dane logowania są usuwane z raportów przed wysłaniem),
• Upstash – ochrona przed nadużyciami (liczniki limitów zapytań powiązane z adresem IP lub kontem),
• Meta (Facebook, Instagram) / LinkedIn / TikTok / YouTube – publikacja treści i autoryzacja OAuth,
• Telegram – wyłącznie dla Użytkowników, którzy sami połączą bota Postfly ze swoim kontem Telegram; przekazywane są wtedy treść wiadomości wysyłanych do bota oraz identyfikator czatu,
• Anthropic (dostawca modelu AI "Claude") – patrz punkt 6 poniżej, opisujący dokładnie jakie dane i w jakim celu są przetwarzane przez AI.

6. Wykorzystanie sztucznej inteligencji (AI)

Postfly wykorzystuje model AI "Claude" (dostawca: Anthropic) do wspomagania Użytkownika - m.in. generowania i sugerowania opisów/hashtagów pod publikacje, cotygodniowych podsumowań wyników, pomysłów na kolejne materiały oraz sugerowanych odpowiedzi na komentarze pod postami Użytkownika. W tym celu do Anthropic mogą być przekazywane: treść wprowadzona przez Użytkownika (np. notatka do posta, krótki opis jego działalności), zdjęcie dodane do publikacji albo miniatura filmu (żeby opis dotyczył tego, co faktycznie widać na materiale), zagregowane dane o wynikach publikacji (z wyłączeniem danych otrzymanych z YouTube, które nie są przekazywane do AI), oraz - wyłącznie w module moderacji komentarzy - treść komentarza osoby trzeciej widoczna publicznie pod postem Użytkownika. Numery telefonów i adresy e-mail z notatek do postów są przed wysłaniem zastępowane znacznikami i uzupełniane z powrotem dopiero w gotowym tekście, więc nie trafiają do Anthropic. Anthropic przetwarza te dane jako podmiot przetwarzający, wyłącznie w celu wygenerowania odpowiedzi, i zgodnie ze swoimi warunkami komercyjnymi nie wykorzystuje ich do trenowania modeli. Dane otrzymane z platform (YouTube, TikTok, Meta) nigdy nie są wykorzystywane do trenowania modeli AI. Treści te są przetwarzane przez AI jako dane wejściowe do wygenerowania sugestii, nigdy jako polecenia wykonywane automatycznie - żadna sugestia AI nie jest publikowana ani wysyłana bez wyraźnego zatwierdzenia przez Użytkownika. Korzystanie z funkcji AI jest opcjonalne i można je wyłączyć (np. tryb "Autopilot" jest domyślnie wyłączony i wymaga świadomego włączenia przez Użytkownika).

7. Cookies i sesje

Używamy niezbędnych plików cookie w celu umożliwienia logowania, utrzymania sesji, zapewnienia bezpieczeństwa oraz prawidłowego działania podstawowych funkcji serwisu.

8. Okres przechowywania danych

Dane przechowujemy przez okres niezbędny do świadczenia usługi oraz przez czas wymagany przepisami prawa (np. dla celów prowadzenia uproszczonej ewidencji sprzedaży). Dane OAuth i dane konta są usuwane niezwłocznie po żądaniu usunięcia konta przez użytkownika, o ile prawo nie nakazuje ich dalszego archiwizowania.

9. Prawa osób, których dane dotyczą

Zgodnie z RODO przysługuje Ci prawo do: dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu oraz wniesienia skargi do organu nadzorczego (Prezesa UODO). Prawo dostępu i przenoszenia danych realizujemy dziś na żądanie mailowe (adres w punkcie 15) — przygotowujemy i przekazujemy kopię danych konta w ustrukturyzowanym formacie w terminie do 30 dni.

10. Usunięcie konta i tokenów OAuth

Użytkownik może samodzielnie i w każdej chwili usunąć konto w ustawieniach aplikacji (Ustawienia konta → Usuń konto), po potwierdzeniu hasłem (a przy koncie zakładanym przez Google - adresem e-mail konta). Usunięcie konta jest natychmiastowe i trwale kasuje dane konta, połączone konta social media (tokeny dostępowe TikTok i YouTube są przy tym odwoływane u platformy), przesłane pliki oraz historię zadań publikacji. Usunięcie pojedynczego materiału w bibliotece kasuje też jego plik. Kopie zapasowe bazy danych są nadpisywane cyklicznie, więc usunięte dane znikają z nich najpóźniej po 30 dniach. Alternatywnie można zażądać usunięcia konta, kontaktując się z administratorem pod adresem e-mail wskazanym w punkcie 15 — takie żądanie realizujemy niezwłocznie, nie później niż w ciągu 30 dni.

11. Bezpieczeństwo danych

Stosujemy środki techniczne adekwatne do zagrożeń, w tym szyfrowanie SSL, bezpieczne przechowywanie tokenów (encryption at rest) oraz rygorystyczną kontrolę dostępu do bazy danych.

12. Transfer danych poza EOG

W związku z wykorzystaniem globalnych dostawców (m.in. Vercel, Supabase, Anthropic, Resend, Sentry), dane mogą być przekazywane poza Europejski Obszar Gospodarczy na podstawie standardowych klauzul umownych zapewniających ochronę danych.

13. Dane fanów/klientów Użytkownika (rola Postfly jako Procesora)

Funkcje "Fani" i "Sprzedaże" pozwalają Użytkownikowi zapisywać w Postfly dane osobowe osób trzecich (np. adres e-mail, imię fana lub klienta) wyłącznie z jego własnej inicjatywy i na jego własną odpowiedzialność. W tym zakresie to Użytkownik jest Administratorem danych swoich fanów/klientów, a Postfly pełni wyłącznie rolę podmiotu przetwarzającego (Procesora) - przechowuje te dane w jego imieniu i nie wykorzystuje ich do żadnych własnych celów (w tym: nie przekazuje ich z własnej inicjatywy do modelu AI opisanego w punkcie 6 - trafiają tam tylko wtedy, gdy Użytkownik sam wpisze je w wiadomości do asystenta - i nie wysyła do nich żadnej komunikacji marketingowej). Użytkownik korzystający z tych funkcji odpowiada za posiadanie własnej podstawy prawnej do przetwarzania danych swoich fanów/klientów (np. ich zgoda) oraz za realizację ich praw wynikających z RODO. Postfly udostępnia zapisane dane wyłącznie samemu Użytkownikowi i usuwa je trwale wraz z usunięciem jego konta (punkt 10).

14. Dane z platform społecznościowych: Google/YouTube, TikTok, Meta (Platform data)

YouTube. Postfly korzysta z usług YouTube API (YouTube API Services). Łącząc kanał YouTube, akceptujesz Warunki korzystania z YouTube oraz Politykę prywatności Google. Po połączeniu kanału Postfly otrzymuje i przechowuje (zaszyfrowane) tokeny OAuth, identyfikator i nazwę kanału, a także statystyki kanału (liczba subskrybentów) i opublikowanych przez Postfly filmów (wyświetlenia, polubienia, komentarze). Dane te służą wyłącznie do publikowania filmów, które sam przygotujesz i zatwierdzisz (z wybranym przez Ciebie tytułem, opisem i widocznością), oraz do pokazania Ci wyników Twoich publikacji. Nie udostępniamy ich osobom trzecim ani nie wykorzystujemy do reklam. Statystyki YouTube są odświeżane lub usuwane najpóźniej po 30 dniach. Dostęp możesz cofnąć w każdej chwili: w Postfly (Połączone konta → Rozłącz; token jest wtedy natychmiast odwoływany, a dane z YouTube usuwane) lub na stronie ustawień bezpieczeństwa Google: https://security.google.com/settings/security/permissions (dane usuwamy wtedy najpóźniej w ciągu 30 dni). Usunięcia danych możesz też zażądać mailowo (punkt 15); realizujemy je niezwłocznie, nie później niż w ciągu 30 dni.

Google. Wykorzystanie i przekazywanie przez Postfly informacji otrzymanych z interfejsów API Google jest zgodne z Google API Services User Data Policy, w tym z wymogami Limited Use. Logowanie przez Google wykorzystuje wyłącznie adres e-mail, imię i nazwisko oraz identyfikator konta Google w celu utworzenia konta i zalogowania.

TikTok, Meta (Facebook, Instagram) i LinkedIn. Po połączeniu konta przechowujemy zaszyfrowane tokeny OAuth, identyfikator i nazwę konta/Strony, statystyki konta (liczba obserwujących) oraz statystyki opublikowanych przez Postfly postów. Jeśli korzystasz z obsługi komentarzy (Facebook, Instagram), pobieramy też treść komentarzy pod postami opublikowanymi przez Postfly i nazwę ich autorów - wyłącznie po to, by pokazać je Tobie i przygotować propozycję odpowiedzi, którą wysyłasz sam. Treści publikujemy wyłącznie po Twoim zatwierdzeniu, z ustawieniami, które wybierzesz. Rozłączenie konta w Postfly usuwa jego tokeny i powiązane dane; TikTok odwołuje też dostęp aplikacji. Instrukcja usunięcia danych: postfly.pl/data-deletion.

English summary. Postfly uses YouTube API Services. By connecting a YouTube channel you agree to the YouTube Terms of Service and the Google Privacy Policy. We store encrypted OAuth tokens, your channel ID/name and statistics of your channel and of videos published through Postfly, used only to publish the videos you prepare and approve (title, description and visibility chosen by you) and to show you their results. We never sell or share this data or use it for advertising. YouTube statistics are refreshed or deleted within 30 days. You can revoke access in Postfly (Connected accounts → Disconnect: the token is revoked immediately and YouTube data deleted) or at https://security.google.com/settings/security/permissions (data deleted within 30 days); deletion requests by email are completed within 30 days. Postfly's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. TikTok and Meta data (tokens, account name, follower and post statistics) is used only to publish content you approve and show you its results, and is deleted when you disconnect the account. AI features (Anthropic Claude) receive the user's own notes, the photo or video thumbnail of the post being prepared and aggregated post statistics (never data received from YouTube API Services), only to generate suggestions the user reviews and approves; phone numbers and email addresses in post notes are masked before sending, and no platform data is used to train AI models. Contact: hello@postfly.pl.

15. Kontakt

W sprawach dotyczących prywatności możesz skontaktować się bezpośrednio z Administratorem: Paweł Sawczuk, e-mail: hello@postfly.pl.

16. Zmiany polityki prywatności

Niniejsza polityka może być aktualizowana. Aktualna wersja jest zawsze dostępna pod tym adresem, a data ostatniej modyfikacji widnieje na początku dokumentu.