Polityka prywatności GlowBase

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób serwis GlowBase dostępny pod adresem https://glowbase.eu przetwarza dane osobowe osób korzystających z serwisu, w szczególności osób:

• przeglądających inspiracje i profile twórczyń;
• wysyłających zapytania dotyczące usług beauty;
• przesyłających zdjęcie referencyjne;
• zgłaszających swój profil jako twórczyni;
• kontaktujących się z administratorem;
• korzystających z serwisu po wyrażeniu zgody na analitykę.

GlowBase jest obecnie prywatnym projektem rozwijanym w formule Early Access. Serwis nie jest platformą do zawierania umów z twórczyniami, nie pobiera prowizji od rezerwacji i nie zastępuje Booksy, Instagrama ani bezpośredniego kontaktu z usługodawcą.

Administratorem danych osobowych jest:

Łukasz Pulit, osoba fizyczna prowadząca prywatny projekt GlowBase

Kontakt w sprawach dotyczących danych osobowych:

kontakt@glowbase.eu

Administrator nie wyznaczył inspektora ochrony danych, ponieważ na obecnym etapie nie ma takiego obowiązku.

Zakres przetwarzanych danych zależy od sposobu korzystania z GlowBase.

Możemy przetwarzać w szczególności:

• imię lub nazwę użytkownika;
• adres e-mail;
• numer telefonu;
• miasto lub obszar zainteresowania usługą;
• kategorię usługi, np. paznokcie, brwi, rzęsy lub włosy;
• preferowany termin;
• orientacyjny budżet;
• treść zapytania lub wiadomości;
• informacje dotyczące wybranej inspiracji lub pracy;
• link do profilu społecznościowego;
• link do portfolio;
• informacje przekazane w formularzu zgłoszenia twórczyni;
• zdjęcie referencyjne przesłane dobrowolnie przez użytkowniczkę;
• publiczny adres URL wybranej pracy lub profilu;
• dane dotyczące statusu i obsługi zgłoszenia;
• dane techniczne, takie jak adres IP, identyfikatory sesji, informacje o urządzeniu, przeglądarce, czasie i sposobie korzystania z serwisu;
• informacje dotyczące udzielonych lub cofniętych zgód cookies i analitycznych.

GlowBase nie wymaga podawania danych szczególnych kategorii, takich jak dane dotyczące zdrowia, poglądów, religii, orientacji seksualnej lub przekonań politycznych.

Użytkowniczka nie powinna przesyłać zdjęć ani opisów zawierających takie informacje, jeżeli nie są one niezbędne do przedstawienia oczekiwanego efektu beauty.

GlowBase nie prowadzi rozpoznawania twarzy, identyfikacji osób na zdjęciach ani wnioskowania o cechach wrażliwych.

Jeżeli użytkowniczka wysyła zapytanie dotyczące podobnej stylizacji lub usługi, dane są przetwarzane w celu:

• zapisania i obsługi zapytania;
• przeanalizowania jego treści przez administratora;
• ustalenia, czy w GlowBase znajduje się odpowiednia inspiracja lub twórczyni;
• skontaktowania się z użytkowniczką;
• przekazania zapytania właściwej twórczyni, jeżeli będzie to potrzebne do obsługi zapytania;
• zabezpieczenia serwisu przed spamem, nadużyciami i fałszywymi zgłoszeniami;
• obrony przed ewentualnymi roszczeniami.

Podanie danych oznaczonych jako wymagane jest dobrowolne, ale niezbędne do skutecznej obsługi zapytania.

Podstawą prawną przetwarzania może być:

• art. 6 ust. 1 lit. b RODO — podjęcie działań na żądanie osoby przed ewentualnym nawiązaniem kontaktu lub współpracy;
• art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora polegający na obsłudze zapytań, prowadzeniu serwisu i ochronie przed nadużyciami;
• art. 6 ust. 1 lit. c RODO — wykonanie obowiązków wynikających z przepisów prawa, jeżeli takie obowiązki mają zastosowanie.

GlowBase nie wysyła obecnie automatycznie pełnej treści zapytań, danych kontaktowych ani zdjęć przez Resend lub innego automatycznego dostawcę poczty elektronicznej.

Jeżeli twórczyni zgłasza swój profil do GlowBase, jej dane i materiały mogą być przetwarzane w celu:

• przyjęcia i oceny zgłoszenia;
• skontaktowania się z twórczynią;
• przygotowania profilu w ramach Early Access;
• weryfikacji informacji i materiałów;
• opublikowania profilu i wybranych prac, jeżeli twórczyni wyrazi na to zgodę;
• prowadzenia korespondencji dotyczącej profilu;
• ochrony przed nadużyciami i roszczeniami.

Twórczyni może przekazać między innymi:

• imię, nazwę marki lub nazwę profilu;
• miasto i obszar działania;
• linki do Instagrama, Booksy lub innych profili;
• link do portfolio;
• informacje o oferowanych usługach;
• zdjęcia i materiały portfolio;
• opis działalności;
• dane kontaktowe.

Na obecnym etapie twórczynie nie posiadają samoobsługowych kont użytkownika. Profile są przygotowywane i zarządzane w ramach procesu Early Access.

Materiały portfolio przesłane przez twórczynię i opublikowane w GlowBase mogą zostać poddane analizie przez system sztucznej inteligencji (patrz sekcja „Sztuczna inteligencja i analiza zdjęć”) w celu ich skategoryzowania i lepszego dopasowywania do zapytań użytkowniczek. Analiza jest inicjowana ręcznie przez administratora dla pojedynczego zdjęcia — nie odbywa się automatycznie ani masowo dla wszystkich materiałów jednocześnie.

W formularzu zapytania użytkowniczka może dobrowolnie przesłać jedno zdjęcie referencyjne w formacie JPEG, PNG lub WebP.

Maksymalny rozmiar pliku wynosi obecnie 10 MB.

Zdjęcie:

• jest przechowywane w prywatnym magazynie danych;
• nie jest publikowane automatycznie w GlowBase;
• nie jest przekazywane do Google Analytics ani Microsoft Clarity;
• może zostać obejrzane przez administratora w celu obsługi zapytania;
• może zostać udostępnione właściwej twórczyni, jeżeli jest to potrzebne do przedstawienia oczekiwanego efektu;
• może zostać usunięte na żądanie osoby, która je przesłała, z zastrzeżeniem wyjątków wynikających z prawa lub konieczności obrony przed roszczeniami;
• od momentu otrzymania żądania usunięcia, zdjęcie nie jest już wykorzystywane do żadnej dalszej analizy, w tym analizy AI.

Użytkowniczka powinna przesyłać wyłącznie zdjęcia, do których posiada odpowiednie prawa lub zgodę na ich wykorzystanie w celu obsługi zapytania.

GlowBase nie wykorzystuje przesłanych zdjęć do publikowania ich jako własnych materiałów marketingowych ani do trenowania modeli sztucznej inteligencji.

GlowBase wykorzystuje automatyczną analizę obrazu w celu wspierania dopasowywania zgłoszeń użytkowniczek do prac portfolio oraz w celu kategoryzowania materiałów portfolio twórczyń.

Zdjęcia referencyjne użytkowniczek

Jeżeli użytkowniczka prześle zdjęcie referencyjne w formularzu zapytania i odrębnie zaznaczy zgodę na jego automatyczną analizę przy polu przesyłania zdjęcia, zdjęcie może zostać przekazane skonfigurowanemu dostawcy technologii AI — obecnie OpenAI — w celu:

• rozpoznania ogólnych cech wizualnych stylizacji;
• określenia cech takich jak kolor, długość, forma lub styl;
• przygotowania uporządkowanych sugestii dopasowania;
• dopasowania zdjęcia do opublikowanych prac twórczyń w GlowBase.

Bez zaznaczenia tej odrębnej zgody zdjęcie referencyjne nie jest przekazywane do dostawcy AI — pozostaje jedynie w prywatnym magazynie GlowBase i może zostać obsłużone ręcznie przez administratora.

Do dostawcy AI nie są przekazywane wraz ze zdjęciem:

• imię i nazwisko;
• adres e-mail;
• numer telefonu;
• miasto;
• opis zapytania;
• adres IP;
• identyfikator użytkowniczki;
• identyfikator zgłoszenia;
• ścieżka pliku w magazynie GlowBase;
• notatki administratora.

Zakres danych przekazywanych dostawcy obejmuje wyłącznie zdjęcie, jego typ techniczny, kategorię usługi, techniczny prompt oraz skonfigurowany model AI.

Materiały portfolio twórczyń

Administrator może ręcznie zainicjować analizę AI opublikowanego zdjęcia portfolio twórczyni w celu jego skategoryzowania i poprawy trafności dopasowań. Analiza nie odbywa się automatycznie ani masowo — każde zdjęcie jest przekazywane do analizy pojedynczo, na decyzję administratora.

Przechowywanie danych przez dostawcę AI

Zapytania do dostawcy AI są wysyłane z parametrem technicznym wyłączającym zapisywanie danych wejściowych po stronie interfejsu API dostawcy (store=false). Zgodnie z aktualną, publicznie dostępną polityką API OpenAI (stan na dzień ostatniej aktualizacji niniejszej Polityki), dane przesyłane przez interfejs API nie są wykorzystywane do trenowania modeli OpenAI. Dostawca, jako niezależny podmiot przetwarzający, może krótkookresowo przechowywać dane w celu wykrywania nadużyć i zapewnienia bezpieczeństwa, zgodnie z własnymi zasadami operacyjnymi publikowanymi przez dostawcę.

Użytkowniczka lub twórczyni może zażądać usunięcia zdjęcia oraz wyniku jego analizy AI, kontaktując się z administratorem pod adresem kontakt@glowbase.eu. Ponieważ dostawca AI nie zachowuje przekazanych danych poza krótkookresowym przetwarzaniem technicznym opisanym powyżej, żądanie usunięcia jest realizowane poprzez usunięcie danych po stronie GlowBase (magazyn zdjęć, wynik analizy, powiązane sugestie).

Analiza AI nie służy do:

• identyfikacji osoby na zdjęciu;
• oceny osobowości lub wiarygodności użytkowniczki;
• podejmowania decyzji wywołujących skutki prawne;
• podejmowania decyzji w podobny sposób istotnie wpływających na użytkowniczkę;
• automatycznego zawierania umów;
• automatycznego kontaktowania się z twórczynią lub użytkowniczką.

Wynik AI ma charakter pomocniczy i może podlegać weryfikacji przez administratora. Żadna sugestia AI nie prowadzi automatycznie do kontaktu z twórczynią ani do potwierdzenia dostępności terminu.

Dane osobowe mogą być przetwarzane w następujących celach:

Cel

Podstawa prawna

Obsługa zapytania użytkowniczki

art. 6 ust. 1 lit. b lub f RODO

Obsługa zgłoszenia twórczyni

art. 6 ust. 1 lit. b lub f RODO

Przyjęcie i ocena zgłoszenia twórczyni

art. 6 ust. 1 lit. b RODO — jeżeli przetwarzanie jest niezbędne do podjęcia działań na żądanie twórczyni przed rozpoczęciem współpracy; w pozostałym zakresie art. 6 ust. 1 lit. f RODO

Kontakt z użytkowniczką lub twórczynią

art. 6 ust. 1 lit. b lub f RODO

Zapobieganie spamowi i nadużyciom

art. 6 ust. 1 lit. f RODO

Prowadzenie dokumentacji i obrona przed roszczeniami

art. 6 ust. 1 lit. f RODO

Wykonanie obowiązków prawnych

art. 6 ust. 1 lit. c RODO

Analityka strony

zgoda użytkowniczki, art. 6 ust. 1 lit. a RODO

Automatyczna analiza zdjęcia referencyjnego przez AI

zgoda użytkowniczki (odrębny checkbox przy przesyłaniu zdjęcia), art. 6 ust. 1 lit. a RODO

Analiza AI materiałów portfolio twórczyni

art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes w postaci lepszego dopasowywania zgłoszeń do opublikowanych prac

GlowBase nie podejmuje wobec użytkowniczek decyzji wyłącznie automatycznie, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nie wpływały.

Dane mogą być przetwarzane przez dostawców technologicznych wspierających działanie GlowBase, w szczególności:

• Vercel — hosting, uruchamianie aplikacji i infrastruktura techniczna;
• Supabase — baza danych, prywatny magazyn zdjęć, autoryzacja infrastruktury i usługi backendowe;
• OpenAI (Stany Zjednoczone) — dostawca technologii AI wykorzystywany do analizy zdjęć referencyjnych (za zgodą użytkowniczki) oraz materiałów portfolio (na decyzję administratora), zgodnie z opisem w sekcji „Sztuczna inteligencja i analiza zdjęć”;
• Google Analytics 4 — wyłącznie po wyrażeniu zgody analitycznej;
• Microsoft Clarity — wyłącznie po wyrażeniu zgody analitycznej;
• inni dostawcy infrastruktury lub bezpieczeństwa, jeżeli będzie to niezbędne do działania serwisu.

Twórczynie, którym zgłoszenie zostanie przekazane w celu jego obsługi, mogą otrzymać wyłącznie dane niezbędne do odpowiedzi na konkretne zapytanie, w szczególności dane kontaktowe, treść zapytania oraz — jeżeli jest to potrzebne — zdjęcie referencyjne. W zakresie, w jakim po otrzymaniu danych przetwarzają je dla własnych celów związanych z prowadzoną działalnością i bezpośrednim kontaktem z użytkowniczką, działają jako niezależni administratorzy danych. GlowBase nie odpowiada za dalsze przetwarzanie danych przez twórczynię po ich zgodnym z prawem przekazaniu, z zastrzeżeniem obowiązków wynikających z RODO.

GlowBase nie wykorzystuje obecnie Resend do automatycznej wysyłki pełnych zgłoszeń, danych kontaktowych ani zdjęć.

Administrator może ręcznie skontaktować się z użytkowniczką lub twórczynią przy użyciu danych kontaktowych przekazanych w formularzu, w tym telefonu lub wiadomości SMS, jeżeli jest to potrzebne do obsługi konkretnego zgłoszenia.

Dostawcy zewnętrzni mogą przetwarzać dane jako podmioty przetwarzające na podstawie odpowiednich umów lub w zakresie, w którym samodzielnie określają cele i sposoby przetwarzania.

Na dzień aktualizacji niniejszej Polityki przekazanie zgłoszenia twórczyni nie odbywa się automatycznie za pośrednictwem poczty elektronicznej. Może nastąpić ręcznie przez administratora, jeżeli jest to potrzebne do obsługi konkretnego zgłoszenia.

Dane są przechowywane nie dłużej, niż jest to konieczne do realizacji celu, dla którego zostały zebrane, chyba że dalsze przechowywanie jest wymagane przez przepisy prawa lub niezbędne do obrony przed roszczeniami.

Docelowe okresy retencji GlowBase są następujące:

• dane zgłoszenia i dane kontaktowe — maksymalnie 12 miesięcy;
• zdjęcia referencyjne — maksymalnie 90 dni;
• wyniki analizy AI, joby AI, tagi i sugestie — maksymalnie 90 dni;
• hashe IP i identyfikatorów sesji wykorzystywane do limitów i ochrony przed nadużyciami — maksymalnie 30 dni;
• techniczne logi mechanizmu retencji — maksymalnie 90 dni;
• dane niezbędne do ustalenia, dochodzenia lub obrony przed roszczeniami — do upływu odpowiednich terminów przedawnienia;
• publiczne profile twórczyń i publiczne zdjęcia portfolio — do czasu ich usunięcia, wycofania zgody lub zakończenia współpracy/procesu Early Access.

Administrator może usunąć dane wcześniej, jeżeli nie są już potrzebne.

Uwaga techniczna do wdrożenia: mechanizm automatycznego usuwania jest obecnie skonfigurowany w trybie audytowym i nie usuwa jeszcze danych automatycznie. Do czasu aktywacji automatycznego usuwania administrator stosuje ręczne usuwanie danych oraz zasadę przechowywania ich wyłącznie tak długo, jak jest to niezbędne.

Po aktywacji automatycznego mechanizmu usuwania będzie on działał zgodnie z okresami wskazanymi powyżej.

Usunięcie danych z aktywnej bazy danych i magazynu plików nie musi oznaczać natychmiastowego usunięcia wszystkich technicznych kopii zapasowych dostawców infrastruktury. Kopie zapasowe mogą być przechowywane przez ograniczony czas zgodnie z cyklem nadpisywania i zasadami danego dostawcy, pozostają niedostępne w ramach bieżącego przetwarzania i nie są wykorzystywane do zwykłej obsługi zgłoszeń. Po upływie właściwego cyklu backupu zostają automatycznie zastąpione lub usunięte, z zastrzeżeniem sytuacji awaryjnego odtworzenia systemu.

GlowBase stosuje odpowiednie środki techniczne i organizacyjne mające na celu ochronę danych przed:

• przypadkową utratą;
• nieuprawnionym dostępem;
• nieuprawnionym ujawnieniem;
• zmianą;
• zniszczeniem;
• innymi formami niezgodnego z prawem przetwarzania.

Zdjęcia referencyjne są przechowywane w prywatnym magazynie i nie są publicznie dostępne przez zwykły adres URL.

Dostęp administracyjny do danych jest ograniczony i zabezpieczony mechanizmami kontroli dostępu.

Żaden system internetowy nie gwarantuje jednak absolutnego bezpieczeństwa. W przypadku stwierdzenia naruszenia ochrony danych administrator podejmie działania wymagane przez przepisy prawa.

W przypadku naruszenia ochrony danych osobowych administrator dokumentuje naruszenie, ocenia ryzyko dla praw i wolności osób, których dane dotyczą, oraz — jeżeli wymagają tego przepisy RODO — zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Jeżeli naruszenie może powodować wysokie ryzyko dla osoby, której dane dotyczą, administrator zawiadamia ją bez zbędnej zwłoki.

GlowBase może korzystać z Google Analytics 4 w celu analizowania korzystania z serwisu, między innymi:

• liczby odwiedzin;
• przejść między stronami;
• korzystania z formularzy;
• podstawowych zdarzeń produktowych;
• skuteczności poszczególnych elementów serwisu.

Google Analytics 4 jest ładowane dopiero po wyrażeniu przez użytkowniczkę zgody na analitykę.

Przed wyrażeniem zgody:

• skrypt GA4 nie jest ładowany;
• nie są wysyłane zdarzenia ani wyświetlenia stron;
• nie są zapisywane analityczne pliki cookies.

GlowBase nie wysyła do GA4 między innymi:

• imienia;
• adresu e-mail;
• telefonu;
• treści zapytania;
• budżetu;
• opisu użytkowniczki;
• zdjęcia;
• linku do portfolio;
• pełnych parametrów zapytania.

W konfiguracji GlowBase wyłączone są funkcje Google Signals, personalizacja reklam oraz Google advertising storage.

GlowBase może korzystać z Microsoft Clarity w celu analizy sposobu korzystania z interfejsu, w tym:

• układu kliknięć;
• przewijania;
• problemów z użytecznością;
• anonimowych nagrań interakcji z serwisem;
• map cieplnych.

Microsoft Clarity jest uruchamiany dopiero po wyrażeniu zgody analitycznej.

W Clarity włączone jest maskowanie danych na poziomie Balanced. Dane wpisywane w formularzach oraz informacje mogące zawierać dane kontaktowe powinny być automatycznie maskowane.

GlowBase nie przekazuje do Clarity:

• zdjęć referencyjnych;
• treści zapytań;
• adresów e-mail;
• numerów telefonów;
• danych formularzy w niezamaskowanej formie.

Po wycofaniu zgody analitycznej przyszłe nagrywanie i analityka są blokowane, a mechanizmy zgody i cookies są aktualizowane zgodnie z konfiguracją dostawcy.

GlowBase może wykorzystywać:

• niezbędne technologie wymagane do działania serwisu;
• pliki cookies związane z zapamiętaniem ustawień zgód;
• technologie analityczne Google Analytics 4 i Microsoft Clarity — wyłącznie po zgodzie.

Użytkowniczka może:

• zaakceptować analitykę;
• odrzucić analitykę;
• zmienić decyzję w późniejszym czasie;
• wycofać zgodę za pomocą ustawień cookies dostępnych w serwisie lub przez wyczyszczenie ustawień cookies w przeglądarce.

Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Szczegółowe informacje znajdują się w Polityce cookies.

Niektórzy dostawcy technologiczni mogą korzystać z infrastruktury znajdującej się poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych.

Jeżeli dane są przekazywane poza EOG, administrator stosuje mechanizmy wymagane przez RODO, takie jak:

• decyzja stwierdzająca odpowiedni stopień ochrony, jeżeli ma zastosowanie;
• standardowe klauzule umowne;
• dodatkowe środki organizacyjne i techniczne;
• inne prawnie dopuszczalne zabezpieczenia.

Zakres oraz miejsce przetwarzania mogą zależeć od aktualnych usług i konfiguracji dostawców.

Użytkowniczce może przysługiwać prawo do:

• uzyskania dostępu do swoich danych;
• otrzymania kopii danych;
• sprostowania danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przenoszenia danych, jeżeli ma zastosowanie;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
• wycofania zgody w dowolnym momencie;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Żądanie dotyczące danych można przesłać na adres:

kontakt@glowbase.eu

Administrator odpowiada bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. W przypadku skomplikowanego charakteru żądania termin może zostać przedłużony o kolejne dwa miesiące, o czym administrator poinformuje osobę składającą żądanie.

Administrator może poprosić o dodatkowe informacje pozwalające potwierdzić tożsamość osoby składającej żądanie, jeżeli będzie to konieczne dla bezpieczeństwa danych.

Jeżeli osoba, której dane dotyczą, uzna, że dane są przetwarzane niezgodnie z przepisami, może złożyć skargę do:

Prezesa Urzędu Ochrony Danych Osobowych

ul. Stanisława Moniuszki 1A

00-014 Warszawa

Informacje dotyczące składania skarg są dostępne na stronie:

https://uodo.gov.pl

Administrator może aktualizować niniejszą Politykę prywatności w szczególności w przypadku:

• zmiany funkcji GlowBase;
• uruchomienia automatycznej analizy AI;
• zmiany dostawców technologicznych;
• zmiany sposobu przetwarzania danych;
• zmiany przepisów prawa;
• uruchomienia nowych formularzy, kont lub metod kontaktu.

O istotnych zmianach administrator poinformuje przez publikację nowej wersji dokumentu w serwisie.

Data ostatniej aktualizacji znajduje się na początku dokumentu.