Agent AI

Polityka prywatności

Ten dokument opisuje, jakie dane przetwarza Agent AI, po co, komu je przekazujemy i co możesz z nimi zrobić. Opisuje stan faktyczny działania aplikacji.

Kto prowadzi usługę

MP Marek Patyna, jednoosobowa działalność gospodarcza
Adres działalności: ul. Bergera 18, 89-400 Sępólno Krajeńskie, Polska
NIP: 5040082768
Kontakt: brokzaiagent@gmail.com

Kto za co odpowiada

Agent AI jest platformą wielofirmową: każda firma korzystająca z usługi pracuje we własnej, odseparowanej przestrzeni roboczej i nie widzi danych innej. Dlatego rola operatora platformy nie jest taka sama dla wszystkich danych i ten podział jest tu opisany wprost, zamiast być wrzucony do jednego worka.

Rodzaj danychKto decyduje, po co są przetwarzane
Dane biznesowe firmy korzystającej z usługi — klienci, spotkania, zadania, notatki, propozycje i szkice wiadomości, które powstają w jej przestrzeni roboczej. Firma, która korzysta z platformy. To ona prowadzi swoją działalność i decyduje, jakie dane w niej gromadzi i po co. Operator platformy przetwarza je po to, żeby dostarczyć usługę, oraz w zakresie potrzebnym do jej utrzymania i zabezpieczenia.
Dane potrzebne do prowadzenia samej usługi — konto i dostęp, przynależność do przestrzeni roboczej, sesje logowania, dziennik zdarzeń i metadane bezpieczeństwa, korespondencja w sprawie wsparcia oraz dane potrzebne do wypełnienia obowiązków prawnych operatora. Operator platformy, we własnych celach: udostępnianie usługi, jej bezpieczeństwo, obsługa zgłoszeń i wymogi prawne.
Dane integracji Google — opisane w osobnej sekcji niżej. Użytkownik, który dobrowolnie łączy własne konto Google. Operator używa tego połączenia do obsługi samego połączenia — rozpoznania i pokazania, które konto jest połączone — oraz do opisanej niżej funkcji kalendarza. Do niczego innego.

Szczegółowe zasady powierzenia przetwarzania danych mogą zostać ustalone odrębnie z firmą korzystającą z usługi, w zakresie, w jakim są wymagane. Ten dokument opisuje, jak platforma działa; nie zastępuje takich ustaleń.

Jakie dane przetwarzamy

Dane z konta Google

Integracja z Google jest dobrowolna i uruchamia się tylko wtedy, gdy sam ją połączysz. Aplikacja prosi o trzy uprawnienia i o żadne inne:

UprawnienieDo czego jest używane
openid Trwały identyfikator konta Google. Dzięki niemu aplikacja rozpoznaje, że połączenie dotyczy tego samego konta, i nie dopuszcza do cichej podmiany na inne.
userinfo.email Odczyt adresu e-mail połączonego konta, aby pokazać Ci — w skróconej postaci — które konto jest podłączone.
calendar.events.owned Utworzenie w Twoim głównym kalendarzu wydarzenia wynikającego z zatwierdzonego przez Ciebie spotkania.

Czego aplikacja nie robi

Co wysyłamy do Google

Wyłącznie to, co jest potrzebne do utworzenia jednego wpisu w kalendarzu: tytuł spotkania, termin wraz ze strefą czasową, miejsce oraz techniczny identyfikator wpisu — wartość wyliczana przez aplikację, która zapobiega utworzeniu tego samego wydarzenia dwa razy i nie zawiera Twoich danych. Opis spotkania nie jest wysyłany. Wydarzenie powstaje dopiero po Twoim potwierdzeniu i tylko wtedy, gdy przed potwierdzeniem pokazaliśmy Ci, że zostanie utworzone.

Zgodność z zasadami Google

Korzystanie przez Agent AI z informacji otrzymanych z interfejsów Google API jest zgodne z Google API Services User Data Policy, w tym z wymaganiami Limited Use. Danych z Google używamy wyłącznie do dostarczenia opisanej wyżej funkcji kalendarza, nie wykorzystujemy ich do reklamy, nie sprzedajemy ich i nie udostępniamy ich osobom trzecim w innym celu niż realizacja tej funkcji.

Sztuczna inteligencja

Aplikacja korzysta z zewnętrznego dostawcy modelu językowego; obecnie jest nim Anthropic. Dostawca jest elementem konfiguracji usługi i może się zmienić. Dane trafiają do niego w trzech sytuacjach, opisanych niżej — i tylko w nich.

Wyodrębnianie danych z notatki

Aby wyodrębnić uporządkowane dane z Twojej notatki, jej treść jest przesyłana do dostawcy modelu. To jest podstawowe działanie aplikacji.

Odpowiadanie na pytania

Jeżeli zadasz asystentowi pytanie — poleceniem /zapytaj (albo jego odpowiednikiem /agent lub /ask) w komunikatorze, albo w panelu po zalogowaniu — do dostawcy modelu trafia treść Twojego pytania oraz te dane z Twojej przestrzeni roboczej, które są potrzebne do udzielenia odpowiedzi. W komunikatorze pytanie zadaje się wyłącznie w prywatnym czacie z botem — w grupie asystent odmawia, zanim odczyta jakiekolwiek dane Twojej firmy i zanim cokolwiek wyśle do dostawcy. W panelu pytanie zadaje zalogowany Użytkownik i tylko on otrzymuje odpowiedź.

Niezależnie od tego, gdzie zadasz pytanie, asystent odczytuje domyślnie wyłącznie Twoje własne rekordy — nie rekordy innych osób z Twojej przestrzeni roboczej.

Jedynym wyjątkiem jest przegląd zespołu opisany niżej. Jest domyślnie wyłączony, a po włączeniu pozwala wyłącznie właścicielowi obszaru roboczego poprosić o ograniczony przegląd pracy zespołu, w którym liczby nie są przypisane do konkretnych osób — bez imion, nazwisk, adresów e-mail i identyfikatorów.

Zakres tych danych jest ograniczony do sześciu odczytów, które asystent może wykonać (siódmy, opisany niżej, jest domyślnie wyłączony), i do pól, które one zwracają:

Asystent nie sięga do treści notatek — żaden z tych odczytów nie czyta notatek. Wartości wymienione wyżej to pola rekordów klienta, spotkania, zadania i propozycji; tekst w nich zwykle pochodzi z notatki, którą wcześniej wprowadzono — bo tak te rekordy powstają — ale sama notatka nie jest tą drogą przekazywana.

Asystent tylko czyta: nie tworzy ani nie zmienia żadnych danych Twojej firmy — klientów, spotkań, zadań ani propozycji — niczego nie zatwierdza i nic nie wysyła. Zapytanie zostawia ślad w dzienniku zdarzeń i w liczniku wykorzystania AI, tak jak inne istotne operacje.

Asystent może tymczasowo zachować kontekst bieżącej rozmowy, żeby rozumieć pytania uzupełniające. Kontekst jest przechowywany nietrwale, w pamięci procesu aplikacji, przez ograniczony czas, i nie jest zapisywany w bazie danych ani w osobnych plikach. Nie przechowujemy w nim surowych wyników odczytów opisanych wyżej ani tego, czego asystent w nich szukał. Kontekst zawiera natomiast treść wcześniejszych pytań i odpowiedzi asystenta — w tym informacje, które zostały Ci już pokazane, takie jak dane klientów czy publiczne kody propozycji, jeżeli pojawiły się w odpowiedzi.

Zachowany kontekst jest przesyłany do dostawcy modelu razem z każdym kolejnym pytaniem — bez tego asystent nie mógłby zrozumieć pytania uzupełniającego. Trafia więc tam ta sama kategoria danych co przy pierwszym pytaniu, tylko w większej ilości. Rozmowę możesz w dowolnym momencie rozpocząć od nowa, a ponowne uruchomienie usługi usuwa jej kontekst.

Przegląd zespołu dla właściciela

Ta funkcja jest domyślnie wyłączona i włącza się ją osobno dla całej instalacji. Dopóki nikt jej nie włączył, asystent odczytuje wyłącznie Twoje własne rekordy i nic z opisanego niżej nie zachodzi.

Po włączeniu o przegląd zespołu może poprosić wyłącznie właściciel obszaru roboczego. Administrator i agent otrzymują odmowę, a odmowa następuje przed odczytaniem jakichkolwiek danych. Do dostawcy modelu trafiają wtedy, dla każdej osoby w obszarze roboczym, wyłącznie rola, liczby i jedna data — i nic poza tym:

Nie trafiają tam imiona, nazwiska, adresy e-mail ani identyfikatory osób — ani treść notatek, ani żadne dane klientów, ani tytuły zadań i spotkań. Dla każdej osoby przekazujemy rolę, liczby i jedną datę — i nic więcej o niej. Oprócz tego samo zapytanie nosi swoją ramę: dzisiejszą datę, strefę czasową obszaru roboczego, długości okien, których dotyczą liczby, liczbę osób w zestawieniu oraz — jeżeli lista została skrócona — informację o tym skróceniu. Wiersze są numerowane pozycyjnie, a dopóki nie zmieni się skład zespołu ani niczyja rola, ta sama pozycja dotyczy tej samej osoby w kolejnych zapytaniach. W małym zespole rola może jednak wystarczyć, by rozpoznać, kogo dotyczą liczby, i piszemy o tym wprost. Przegląd obejmuje najwyżej dwadzieścia osób.

Te liczby mogą trafić do tymczasowego kontekstu kolejnych pytań w tej samej rozmowie — ale tylko wtedy, gdy pojawiły się w odpowiedzi, którą Ci pokazaliśmy; samego wyniku odczytu nie zachowujemy. Kontekst działa tak, jak opisano wyżej: nietrwale i bez zapisu w bazie danych.

Każde wykonanie przeglądu zapisujemy w dzienniku zdarzeń obszaru roboczego, i ten zapis musi się udać, zanim pokażemy odpowiedź.

Przy odmowie system również próbuje zapisać zdarzenie audytowe. Niepowodzenie tego zapisu nie może jednak odblokować odczytu ani spowodować ujawnienia danych.

Podsumowanie dla właściciela w panelu

Właściciel i administrator mają w panelu ekran z zestawieniem pracy biura za ostatnie siedem dni. Wszystkie liczby na tym ekranie wylicza nasza baza danych i nie bierze w tym udziału żaden model językowy. Ekran działa w całości bez AI.

Osobno, po naciśnięciu przycisku, można poprosić o słowne podsumowanie tych liczb. Dopiero wtedy do dostawcy modelu trafiają:

Nie trafiają tam nazwy zadań ani spotkań, treść notatek, nazwiska klientów, numery telefonów, adresy, adresy e-mail ani identyfikatory rekordów. Każdy tekst w tym zestawieniu poza Twoim pytaniem jest tekstem, który napisaliśmy my — nazwą wskaźnika albo oznaczeniem reguły — a nie treścią wprowadzoną przez Ciebie lub Twój zespół.

Odpowiedzi nie przechowujemy. Powstaje ona na czas wyświetlenia i nie jest zapisywana w bazie; nie ma jej w żadnym archiwum i nie można jej później odtworzyć. Zapytanie zostawia ślad w liczniku wykorzystania AI, tak jak inne operacje płatne.

Ta funkcja jest domyślnie wyłączona i włącza się ją osobno dla każdego obszaru roboczego. Obszar, dla którego nikt jej nie włączył, nie wysyła do dostawcy modelu niczego — niezależnie od ustawień całej instalacji. Nie włączamy jej automatycznie nowym klientom.

Dane z Kalendarza Google nie trafiają do dostawcy modelu w żadnej z tych trzech sytuacji. Wynika to z budowy aplikacji, a nie z ustawienia: aplikacja nigdy nie pobiera zawartości kalendarza, więc nie ma czego przekazać.

Przechowywanie i zabezpieczenia

Świadomie nie składamy ogólnego zapewnienia, że każda dana jest zaszyfrowana — piszemy dokładnie to, co jest prawdą: zaszyfrowane są poświadczenia integracji, a transmisja jest zabezpieczona.

Komu przekazujemy dane

Nie sprzedajemy danych i nie przekazujemy ich w celach reklamowych. W działaniu usługi biorą udział poniżsi dostawcy. Ich role nie są jednakowe, dlatego nie opisujemy ich jednym zdaniem. Telegram jest wśród nich przypadkiem szczególnym: to zewnętrzna platforma komunikacyjna, z której korzystasz również na własnych warunkach. Opisujemy ją w osobnej sekcji poniżej.

DostawcaRola
OVHcloudHosting aplikacji i bazy danych (Unia Europejska). Ten sam dostawca przechowuje zaszyfrowaną kopię zapasową bazy w usłudze Object Storage — również w Unii Europejskiej, u tego samego dostawcy. Prowadzi też usługę pocztową dla skrzynki, którą łączysz sam, jeśli włączysz tę funkcję: aplikacja zapisuje w niej szkic wiadomości — adresata, temat i treść — i nigdy nie wysyła poczty. Wiadomość wysyłasz sam, ze swojego programu pocztowego.
AnthropicPrzetwarzanie treści notatek w celu wyodrębnienia danych; gdy korzystasz z asystenta — także treści pytania i tych danych przestrzeni roboczej, które są potrzebne do odpowiedzi; a gdy właściciel włączy podsumowanie w panelu — także zestawień liczbowych z tego podsumowania wraz z jego pytaniem. Pełny zakres wszystkich trzech sytuacji opisuje sekcja „Sztuczna inteligencja”.
TelegramKanał, którym przesyłasz notatki i otrzymujesz odpowiedzi — także notatki głosowe: nagranie trafia na serwery Telegrama, zanim dotrze do nas, i pozostaje tam na warunkach Telegrama. Zewnętrzna platforma komunikacyjna, działająca również według własnych warunków i własnej polityki prywatności. Opisujemy to w sekcji „Telegram jako kanał zewnętrzny” poniżej.
GoogleUtworzenie wydarzenia w Twoim kalendarzu, jeśli połączysz konto. Jeśli operator włączy notatki głosowe — także zamiana nagrania na tekst (usługa Google Cloud Speech-to-Text, przetwarzanie w Unii Europejskiej); do Google trafia wtedy samo nagranie, a nie Twoje pozostałe dane. Google prowadzi też skrzynkę pocztową pod adresem kontaktowym podanym niżej, więc obsługuje korespondencję wysłaną na ten adres.

Notatki głosowe

Jeśli operator włączy tę funkcję, zamiast pisać możesz nagrać notatkę głosową w komunikatorze. Nagranie jest zamieniane na tekst, a dalej dzieje się z nim dokładnie to samo, co z notatką napisaną: powstaje propozycja, którą zatwierdzasz sam.

Telegram jako kanał zewnętrzny

Telegram nie jest częścią tej aplikacji. To osobna platforma komunikacyjna, z której korzystasz samodzielnie — dlatego opisujemy ją dokładniej niż jednym wierszem w tabeli wyżej.

Świadomie nie piszemy, że Telegram przetwarza te dane wyłącznie na nasze polecenie — nie dysponujemy dowodem, który by to potwierdzał, a wpisanie tego byłoby wygodne i nieprawdziwe.

Jak długo przechowujemy dane

Dane przechowujemy tak długo, jak długo Twoja przestrzeń robocza korzysta z usługi, oraz przez czas potrzebny do rozliczalności operacji zapisanych w dzienniku zdarzeń. Nie stosujemy dziś z góry określonego, sztywnego okresu usuwania — jeśli go wprowadzimy, opiszemy go w tym dokumencie. Możesz w każdej chwili poprosić o usunięcie danych, pisząc na adres kontaktowy.

Powyższe dotyczy przechowywania po naszej stronie. Wymienione wyżej firmy mogą przechowywać dane, które do nich trafiły, przez własne okresy wynikające z ich warunków. Nie ustalamy ich, nie kontrolujemy i nie przedstawiamy ich tutaj jako naszych: usunięcie danych u nas nie usuwa kopii, którą ma dostawca.

Twoja kontrola

Kontakt

W sprawach dotyczących danych i tej polityki: brokzaiagent@gmail.com.