Ta informacja jest częścią Polityki prywatności DomaAI (madd.im/prywatnosc.html) i dotyczy wyłącznie usługi DomaAI dla firm. W sprawach nieopisanych tutaj, w tym dane kontaktowe administratora, prawa i skarga do Prezesa UODO, stosuje się Polityka prywatności.
Wersja firmy-prywatnosc-2026-10-13. Obowiązuje od 13 października 2026 r.
1. Czego dotyczy ta informacja
Czym jest. DomaAI dla firm to odrębna usługa dla przedsiębiorców: konto firmowe z osobnym logowaniem pod adresem domaai.pl/firmy/, baza informacji firmy i widżet czatu z agentem SI na stronie firmy. Dane kont firmowych przechowujemy w osobnej bazie danych, niepołączonej z kontami aplikacji DomaAI.
Gdy jesteśmy administratorem. Administratorem danych jest MADD (MADD Marcin Kisieliński, ul. Kajki 10-12, 10-547 Olsztyn, NIP 7422297084, prywatnosc@madd.im) w zakresie:
- konta firmowego: adres e-mail, imię, skrót hasła (bcrypt), data potwierdzenia e-maila, data ostatniego logowania, sesje logowania (data, ważność, nagłówek User-Agent przeglądarki), jednorazowe linki weryfikacji i resetu hasła (przechowywane jako skrót);
- członkostwa w zespole firmy: firma, rola, data dołączenia;
- zaproszeń do zespołu: adres e-mail osoby zaproszonej, rola, osoba zapraszająca, data ważności. Dane osoby zaproszonej pochodzą od członka zespołu firmy (art. 14 RODO); wiadomość z zaproszeniem zawiera odesłanie do tej Polityki;
- danych firmy jako klienta: nazwa, rodzaj, dane kontaktowe, NIP albo numer VAT UE (z wynikiem sprawdzenia w VIES), adres do faktury, identyfikatory klienta i subskrypcji w Stripe, historia płatności, Kredytów i faktur;
- akceptacji Regulaminu DomaAI dla firm i zgód przy zakupie: dokument i wersja, data i godzina, konto, firma, NIP albo numer VAT UE, skrót adresu IP i nagłówek User-Agent;
- wiadomości e-mail wysyłanych do zespołu (potwierdzenie adresu, reset hasła, zaproszenie, alert niskiego salda Kredytów, informacje o zmianach usługi);
- danych technicznych: adres IP i nagłówki żądań w dziennikach technicznych, limity prób logowania, weryfikacja antybotowa Cloudflare Turnstile przy rejestracji i logowaniu.
Gdy jesteśmy podmiotem przetwarzającym. Wobec danych osób, które korzystają z widżetu na stronie firmy (Odwiedzający), oraz danych osobowych zawartych w bazie firmy administratorem jest firma, która osadziła widżet. Przetwarzamy je wyłącznie na jej polecenie na podstawie umowy powierzenia (Załącznik nr 1 do Regulaminu DomaAI dla firm). Nie zapisujemy treści rozmów w widżecie; firma widzi wyłącznie liczbę rozmów, tematy pytań i pytania, na które asystent nie znał odpowiedzi (skrócone do 300 znaków, z automatycznie zamaskowanymi adresami e-mail, numerami telefonów i innymi numerami, przez 90 dni). Firma może włączyć przełącznik „Tylko dostawcy z UE”: wtedy odpowiedzi przygotowuje wyłącznie model dostawcy z UE (Mistral AI, Francja), bez modelu zapasowego spoza EOG. Szczegóły dla Odwiedzających: domaai.pl/informacja-dla-rozmowcow.html#widzet-firmy.
Agent widżetu. Agent SI w widżecie korzysta wyłącznie z bazy firmy. Nie ma dostępu do kont aplikacji DomaAI, kont firmowych, zamówień, danych klientów ani poczty firmy. Nie podejmuje decyzji w rozumieniu art. 22 RODO.
2. Cele i podstawy prawne
| Cel | Dane | Podstawa prawna |
|---|---|---|
| Prowadzenie konta firmowego i świadczenie usługi DomaAI dla firm na rzecz klienta | konto, członkostwo, dane firmy | art. 6 ust. 1 lit. b RODO wobec osoby zawierającej umowę (np. właściciela jednoosobowej działalności); wobec pozostałych członków zespołu art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes: wykonanie umowy z firmą, w imieniu której działają) |
| Zaproszenia do zespołu | e-mail osoby zaproszonej | art. 6 ust. 1 lit. f RODO (umożliwienie firmie budowy zespołu) |
| Płatności, faktury VAT i KSeF, weryfikacja numeru VAT UE w VIES i odwrotne obciążenie | dane firmy, NIP albo numer VAT UE, adres, historia płatności | art. 6 ust. 1 lit. b i lit. c RODO (ustawa o VAT, Ordynacja podatkowa) |
| Bezpieczeństwo, zapobieganie nadużyciom, dowód akceptacji Regulaminu, dochodzenie i obrona roszczeń | dane techniczne, akceptacje, historia działań | art. 6 ust. 1 lit. f RODO |
| Wiadomości o usłudze (alerty salda, zmiany Regulaminu i cen) | art. 6 ust. 1 lit. b i lit. f RODO |
3. Odbiorcy danych
Dla DomaAI dla firm: OVHcloud (hosting w UE), Komisja Europejska i administracje podatkowe państw UE (sprawdzenie numeru VAT UE w systemie VIES), Stripe Payments Europe Ltd (płatności), inFakt sp. z o.o. (faktury) i Krajowy System e-Faktur prowadzony przez Ministerstwo Finansów (odbiorca faktur z mocy prawa), Google (Gmail, wysyłka e-maili), Cloudflare (Turnstile), Sentry (błędy) oraz dostawcy modeli SI wybrani przez firmę, wyłącznie wobec danych z widżetu, w których jesteśmy podmiotem przetwarzającym (Lista podprocesorów, część „DomaAI dla firm”).
4. Okres przechowywania
| Kategoria | Okres |
|---|---|
| Konto firmowe i członkostwa | do usunięcia konta albo firmy (usunięcie natychmiastowe; kopie zapasowe do 14 dni) |
| Sesje logowania konta firmowego | do wygaśnięcia (30 dni) albo wylogowania |
| Linki weryfikacji i resetu hasła | do 7 dni po wygaśnięciu |
| Zaproszenia nieprzyjęte | 30 dni po wygaśnięciu (ważność 7 dni) |
| Akceptacje Regulaminu DomaAI dla firm i zgody przy zakupie | w osobnym rejestrze akceptacji, także po usunięciu konta firmowego albo firmy, do upływu terminu przedawnienia roszczeń z umowy (co do zasady 6 lat od jej zakończenia) |
| Faktury i dane rozliczeniowe firm | 5 lat od końca roku podatkowego |
| Dane widżetu (jako podmiot przetwarzający) | jak w umowie powierzenia: pytania bez odpowiedzi 90 dni, skróty identyfikatorów rozmów do 2 miesięcy, liczniki i tematy do usunięcia firmy, dzienniki techniczne serwera 14 dni |
5. Twoje prawa
Członek zespołu firmy może pobrać kopię danych swojego konta firmowego w panelu (eksport danych) i usunąć konto firmowe. Usunięcie konta właściciela usuwa także firmy, których jest właścicielem. Po usunięciu zachowujemy wyłącznie dowód akceptacji Regulaminu i zgód (pkt 4) oraz faktury. Żądania Odwiedzających dotyczące danych z widżetu przekazujemy firmie, która jest ich administratorem, w ciągu 3 dni roboczych.
6. Pliki cookie
Panel firmy używa niezbędnego pliku cookie sesji dfa_sesja (httpOnly, ścieżka /api/firmy, ważność 30 dni), wyłącznie do utrzymania zalogowania. Widżet na stronach firm nie używa plików cookie i nie zapisuje niczego w pamięci przeglądarki (localStorage, sessionStorage): identyfikator rozmowy istnieje tylko w pamięci otwartej strony widżetu i znika po jej zamknięciu, dlatego nie wymaga zgody (art. 399 ust. 1 Prawa komunikacji elektronicznej).