Polityka Prywatności i Cookies

Polityka Prywatności i Cookies Shept Intelligence

Niniejsza Polityka opisuje przetwarzanie danych w serwisie, aplikacji i Platformie Shept Intelligence. Rozdziela dane, dla których Shept jest administratorem, od danych klientów CRM przetwarzanych przez Shept w imieniu klienta B2B.

§1. Administrator

1. Administratorem danych, w zakresie własnych celów przetwarzania, jest Shept Sp. z o.o. z siedzibą w Rzeszowie, ul. Tadeusza Rejtana 27G, 35-326 Rzeszów, KRS 0001223355, NIP 8133947820, REGON 543968103. Kontakt: kontakt@shept.pl.

2. Kontakt w sprawach ochrony danych: kontakt@shept.pl.

3. Shept nie wyznaczył Inspektora Ochrony Danych, ponieważ nie zachodzą przesłanki określone w art. 37 ust. 1 RODO. We wszystkich sprawach dotyczących przetwarzania danych osobowych należy kontaktować się pod adresem wskazanym w ust. 2.

§2. Role Shept

1. Shept jest administratorem danych związanych z własną obsługą kont, umów, płatności, bezpieczeństwa, reklamacji i własnego marketingu.

2. W zakresie danych klientów i potencjalnych klientów wprowadzanych przez klienta B2B do CRM na jego udokumentowane polecenie, Shept co do zasady działa jako podmiot przetwarzający. Zasady określa DPA.

3. Sam fakt przechowywania danych w Platformie nie oznacza, że Shept staje się administratorem danych klientów użytkownika.

§3. Kategorie danych i źródła

1. Dane mogą obejmować dane identyfikacyjne, kontaktowe, firmowe, zawodowe, dane konta, dane płatnicze i rozliczeniowe, dane dotyczące zgłoszeń oraz dane techniczne.

2. Dane mogą pochodzić bezpośrednio od osoby, od użytkownika Platformy, z formularza, od dostawcy leadów lub z innego zgodnego z prawem źródła.

3. W odniesieniu do danych pozyskiwanych ze źródeł innych niż od osoby, której dane dotyczą, w szczególności danych Leadów, Shept realizuje obowiązek informacyjny wynikający z art. 14 RODO, wskazując źródło pochodzenia danych oraz kategorie odbiorców, do których należą podmioty prowadzące działalność w zakresie pośrednictwa i dystrybucji ubezpieczeń oraz doradztwa finansowego.

4. Podanie danych niezbędnych do zawarcia i wykonania umowy jest dobrowolne, lecz stanowi warunek jej zawarcia. Ich niepodanie uniemożliwia założenie konta lub realizację płatności. Podanie pozostałych danych jest dobrowolne i nie wpływa na możliwość korzystania z Platformy.

§4. Cele i podstawy prawne

1. Zawarcie i wykonanie umowy B2B oraz obsługa konta: art. 6 ust. 1 lit. b RODO.

2. Obowiązki prawne, księgowość, podatki i rozliczenia: art. 6 ust. 1 lit. c RODO.

3. Bezpieczeństwo, zapobieganie nadużyciom, dochodzenie i obrona roszczeń: art. 6 ust. 1 lit. f RODO.

4. Marketing bezpośredni, w zakresie dopuszczalnym prawem: art. 6 ust. 1 lit. f RODO lub art. 6 ust. 1 lit. a RODO, jeżeli zgoda jest wymagana.

5. Giełda Leadów: zakres i podstawa prawna udostępnienia zależą od konkretnego źródła Leada i podstawy prawnej. Nie stosuje się konstrukcji, w której art. 6 ust. 1 lit. f jest opisywany jako działający na podstawie zgody. Są to odrębne podstawy prawne.

6. Dane po zakupie Leada: użytkownik odpowiada za własną podstawę prawną dalszego przetwarzania po okresie działania funkcji Platformy.

§5. AI, transkrypcja i automatyzacja

1. Shept może wykorzystywać AI do analizy pojedynczych notatek, podsumowań, organizacji informacji i innych funkcji wspierających użytkownika.

2. W kluczowych funkcjach analitycznych imię, nazwa firmy i NIP mogą być zastępowane identyfikatorem zastępczym przed przekazaniem do modelu. Jest to pseudonimizacja.

3. System może stosować filtr wybranych słów mogących wskazywać na dane szczególnych kategorii, ale filtr nie gwarantuje wykrycia wszystkich takich danych.

4. Notatki i dyktowanie mogą być przetwarzane przez AI w zakresie koniecznym do wykonania funkcji. Dostawca nie otrzymuje dostępu do pełnej bazy CRM ani zbiorczych eksportów.

5. Nagranie rozmowy lub dyktowanej notatki jest przekazywane dostawcy usługi transkrypcji wyłącznie w celu zamiany mowy na tekst. Po otrzymaniu wyniku transkrypcji nagranie jest usuwane z systemów Shept i nie jest przechowywane. Przechowywaniu podlega wyłącznie tekst transkrypcji, na zasadach właściwych dla notatki, do której został przypisany.

6. Dostawcy AI nie wykorzystują danych przesyłanych przez API do trenowania modeli w zakresie wynikającym z aktualnych warunków usługi. Ewentualne krótkookresowe przechowywanie po stronie dostawcy może występować zgodnie z jego warunkami bezpieczeństwa.

7. Dane i dokumenty KYC oraz AML nie są przeznaczone do analizy przez AI. Funkcja ta jest technicznie wyłączona.

8. AI nie ma dostępu do pełnej bazy danych użytkownika. Wyniki AI mają charakter pomocniczy.

§6. Dostawcy i zakres dostępu

1. Zewnętrzni dostawcy otrzymują wyłącznie zakres danych potrzebny do konkretnej funkcji.

2. W zależności od konfiguracji usług mogą występować: Google Cloud i Firebase, Fakturownia, PayU, JustSend, Resend oraz dostawcy AI: Anthropic, OpenAI i Google Gemini. Aktualny wykaz z opisem roli każdego dostawcy znajduje się w wykazie podprocesorów.

3. Każdego dostawcę kwalifikuje się według jego rzeczywistej roli. Nie każdy dostawca jest podmiotem przetwarzającym w każdym zakresie.

§7. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Część danych jest przekazywana do państw trzecich, w szczególności do Stanów Zjednoczonych, w związku z korzystaniem z usług dostawców funkcji sztucznej inteligencji, transkrypcji oraz komunikacji.

2. Przekazanie odbywa się na podstawie:

• decyzji wykonawczej Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w ramach EU-U.S. Data Privacy Framework, w odniesieniu do odbiorców objętych aktywną certyfikacją, której status Shept weryfikuje na oficjalnej liście prowadzonej przez Departament Handlu Stanów Zjednoczonych, albo
• Standardowych Klauzul Umownych przyjętych decyzją wykonawczą Komisji Europejskiej 2021/914, wraz z oceną skutków przekazania i zastosowaniem środków uzupełniających, w pozostałych przypadkach.

3. Do państw trzecich nie są przekazywane zbiorcze eksporty bazy CRM. Zakres przekazywanych danych jest każdorazowo ograniczony do treści niezbędnej do wykonania pojedynczego zadania.

4. Informację o mechanizmie legalizującym przekazanie, właściwym dla konkretnego dostawcy, można uzyskać pod adresem kontakt@shept.pl.

§8. Retencja

1. Dane konta są przechowywane przez czas trwania umowy, a następnie przez okres potrzebny do realizacji obowiązków prawnych i roszczeń.

2. Dane księgowe i podatkowe są przechowywane przez okres wymagany przepisami.

3. Dane reklamacyjne są przechowywane do zakończenia sprawy i przez okres potrzebny do obrony roszczeń.

4. Lead zakupiony na Platformie może być przechowywany w panelu maksymalnie 90 dni od zakupu. Dalsze przechowywanie wymaga podstawy prawnej użytkownika.

5. Kopie zapasowe są przechowywane przez 30 dni, a następnie nadpisywane w cyklu rotacyjnym. Usunięcie danych z systemu produkcyjnego nie powoduje ich natychmiastowego usunięcia z kopii zapasowych. Dane te nie są w tym okresie wykorzystywane operacyjnie i podlegają usunięciu wraz z cyklem rotacji.

6. Dzienniki zdarzeń systemowych i zdarzeń bezpieczeństwa są przechowywane przez 12 miesięcy, a historia logowań przez 12 miesięcy od daty zdarzenia.

7. Dane konta usuniętego przez użytkownika lub w związku z zakończeniem umowy są usuwane albo anonimizowane w terminie 30 dni od zakończenia okresu przeznaczonego na eksport danych.

8. Dłuższe przechowywanie dotyczy wyłącznie:

• dokumentów księgowych i podatkowych, przez okres 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku;
• danych niezbędnych do ustalenia, dochodzenia lub obrony roszczeń, do upływu okresu przedawnienia właściwego dla danego roszczenia.

§9. Prawa osób

1. W zakresie przewidzianym RODO osoba ma prawo dostępu, kopii, sprostowania, usunięcia, ograniczenia, przenoszenia danych, sprzeciwu oraz cofnięcia zgody, gdy podstawą jest zgoda.

2. Żądania można kierować na adres kontakt@shept.pl.

3. Jeżeli Shept działa wyłącznie jako podmiot przetwarzający, żądanie może zostać przekazane właściwemu administratorowi zgodnie z DPA.

4. Przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

§10. Profilowanie i zautomatyzowane decyzje

1. System może wykorzystywać AI do kategoryzacji lub analizy zapytań i notatek.

2. Funkcje opisane w niniejszej Polityce nie są przeznaczone do podejmowania wyłącznie zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne skutki wobec osoby.

3. Jeżeli w przyszłości funkcja będzie powodować takie skutki, Shept wdroży odpowiednie informacje i zabezpieczenia wymagane prawem.

§11. Cookies

1. Cookies niezbędne są wykorzystywane do działania serwisu, sesji i bezpiecznego logowania.

2. Cookies analityczne i statystyczne są uruchamiane po uzyskaniu wymaganej zgody.

3. Cookies marketingowe i remarketingowe są uruchamiane wyłącznie po wymaganej uprzedniej zgodzie.

4. Użytkownik może zarządzać preferencjami za pomocą banera cookies i ustawień przeglądarki.

5. Poniżej znajduje się wykaz stosowanych plików cookies i podobnych technologii (w tym danych zapisywanych lokalnie w przeglądarce), obejmujący nazwę, dostawcę, cel oraz okres przechowywania:

6. Zgodę na cookies inne niż niezbędne można wycofać w każdym czasie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem, za pomocą odnośnika „Ustawienia cookies" dostępnego w stopce serwisu.

7. Odmowa udzielenia zgody na cookies analityczne lub marketingowe nie ogranicza dostępu do serwisu ani do Platformy.

8. Niezależnie od cookies prowadzimy własne, zbiorcze statystyki serwisów shept.pl, sheptcrm.com i webinary.shept.pl: z jakiej strony lub kampanii nastąpiło wejście, które podstrony zostały obejrzane, jak długo były widoczne na ekranie i które przyciski kliknięto. Bez zgody na cookies analityczne nie zapisujemy w tym celu niczego w przeglądarce, a wizyty rozróżniamy jednorazowym skrótem obliczanym na serwerze z adresu IP i rodzaju przeglądarki oraz losowej wartości zmienianej codziennie. Samego adresu IP nie zapisujemy, a skrót nie pozwala rozpoznać osoby ani połączyć jej wizyt z różnych dni. Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na mierzeniu skuteczności serwisu. Szczegółowe zapisy wizyt przechowujemy przez 90 dni, potem zostają wyłącznie zbiorcze liczby bez danych o pojedynczych wizytach.

9. Jeżeli sam przekażesz nam swoje dane kontaktowe (formularz prezentacji, czat, zgłoszenie do programu testowego, rejestracja konta), do zgłoszenia dołączamy informację o przebiegu tej wizyty (źródło wejścia i obejrzane podstrony), aby lepiej odpowiedzieć na Twoje potrzeby. Dane te przechowujemy razem ze zgłoszeniem w naszym systemie CRM na zasadach opisanych w niniejszej Polityce. Możesz w każdej chwili zażądać ich usunięcia, pisząc na kontakt@shept.pl.

§12. Bezpieczeństwo

1. Shept stosuje odpowiednie środki techniczne i organizacyjne adekwatne do ryzyka.

2. Obejmują one kontrolę dostępu, ograniczenie uprawnień, zabezpieczenia infrastruktury, uwierzytelnianie oraz mechanizmy reagowania na incydenty.

3. Szczegółowe obowiązki Shept jako podmiotu przetwarzającego określa DPA wraz z załącznikiem opisującym środki techniczne i organizacyjne.

§13. Zmiany i data wejścia w życie

1. Polityka jest aktualizowana w przypadku zmian prawa, funkcji, dostawców lub sposobów przetwarzania.

2. Aktualna wersja obowiązuje od 12 października 2026 r.