Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Ombroj Sp. z o.o., Wrocław 53-111. Kontakt: biuro@ombroj.pl.

2. Zakres przetwarzanych danych

Serwis Koochnia — Twoja księga przepisów (https://koochnia.pl) gromadzi wyłącznie dane niezbędne do jego działania.

• Konto użytkownika (opcjonalne): adres e-mail, skrót hasła (bcrypt) albo logowanie przez Google (adres e-mail jest wtedy przekazywany do Google), opcjonalna nazwa wyświetlana i awatar.
• Treści użytkownika: przepisy, komentarze i polubienia dodane przez zalogowanych użytkowników.
• Dane techniczne sesji: sesyjne ciasteczko authjs.session-token oraz authjs.csrf-token (wygasają po zamknięciu przeglądarki lub wylogowaniu). Ciasteczko sidebar_state zapamiętuje stan paska bocznego (sesyjne).
• localStorage (tylko Twoje urządzenie): lista wybranych składników i dań, plan tygodnia, zapisane wyszukiwania, preferencja układu wyników, zgoda na notatkę o cookies. Dane nie są przesyłane na serwer (z wyjątkiem zalogowanych użytkowników korzystających z synchronizacji).

3. Podstawa prawna przetwarzania

• Art. 6 ust. 1 lit. b RODO — wykonanie umowy (świadczenie usług serwisu).
• Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora (bezpieczeństwo i prawidłowe działanie techniczne serwisu, w tym analityka ruchu i śledzenie kosztów AI).

4. Podprzetwórcy i przekazywanie danych

Serwis korzysta z następujących podprzetwórców:

• Vercel Inc. — hosting aplikacji i infrastruktura serverless. Dane przetwarzane są w regionie Frankfurt (Unia Europejska, fra1). Vercel posiada certyfikat SOC 2 Type 2.
• Neon (z Vercel Marketplace) — relacyjna baza danych, region Frankfurt (UE). Przechowuje dane kont, przepisów, komentarzy i polubień.
• Vercel Blob — przechowywanie awatarów i zdjęć przepisów, region UE.
• Google — logowanie. Przy wyborze „Kontynuuj z Google” adres e-mail jest przekazywany do Google w celu potwierdzenia tożsamości.
• Resend (Resend, Inc.) — poczta transakcyjna (link aktywacyjny i reset hasła). Adres e-mail oraz treść wiadomości są przekazywane do Resend, żeby dostarczyć te wiadomości.
• Vercel Web Analytics — anonimowa analityka ruchu (odsłony, odwiedzane strony, typ urządzenia). Bez sieci reklamowej, bez ciasteczek śledzących, bez profilowania. Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes — działanie serwisu).

Baza danych (Neon, Frankfurt) pozostaje w Unii Europejskiej. Logowanie przez Google przekazuje adres e-mail do Google. Adres e-mail i treść wiadomości weryfikacyjnej oraz resetu hasła są wysyłane do Resend (Resend, Inc.) w celu ich dostarczenia. Nie korzystamy z sieci reklamowych.

5. Okres przechowywania danych

Dane konta przechowujemy do momentu usunięcia konta przez użytkownika lub przez administratora. Logi techniczne serwera są przechowywane przez Vercel przez standardowy dla tej platformy okres (zazwyczaj do 30 dni).

6. Prawa użytkownika

Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia. Możesz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie. Przysługuje Ci prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Aby skorzystać z tych praw, skontaktuj się z nami: biuro@ombroj.pl.

7. Rozpoznawanie przepisów przez AI

Zalogowani użytkownicy mogą skorzystać z funkcji „Rozpoznaj przepis", która wysyła wklejony tekst do API OpenAI (model gpt-4o-mini) w celu automatycznego wypełnienia formularza. Tekst jest przesyłany wyłącznie do analizy i nie jest używany do trenowania modeli — OpenAI przetwarza go w ramach umowy operatorskiej (Data Processing Agreement), która obejmuje klauzulę Zero Data Retention dla żądań API. Wklejony tekst przepisu nie jest zapisywany przez serwis. Serwis rejestruje wyłącznie metryki wywołania: liczbę tokenów, szacunkowy koszt oraz identyfikator konta — w celu monitorowania kosztów operacyjnych. Operator może przeglądać konta użytkowników i zagregowane dane kosztowe w panelu administracyjnym. Wynik rozpoznania wymaga weryfikacji i zatwierdzenia przez użytkownika przed zapisaniem.

Operator zobowiązany jest do zawarcia z OpenAI Inc. umowy DPA przed uruchomieniem tej funkcji w produkcji. Szczegóły: openai.com/policies/privacy-policy.

8. Zmiany polityki

W przypadku istotnych zmian w polityce prywatności poinformujemy użytkowników przez aktualizację niniejszej strony.