Polityka prywatności Nova Creative

Obowiązuje od i ostatnia aktualizacja: 30 września 2026 r.

English version

Administratorem danych jest Uladzimir Pranevich, prowadzący jednoosobową działalność gospodarczą ULADZIMIR PRANEVICH, ul. Kabacki Dukt 14 lok. 56, 02-798 Warszawa, NIP 8992922668, REGON 521728250, oferujący Nova Creative pod marką Novastorm („Nova”, „my”). Polityka opisuje przetwarzanie danych w stronie, aplikacji, API, agencie GPU, wsparciu i usługach powiązanych.

Kontakt w sprawach prywatności i praw: privacy@novastorm.ai.

Połączenia MCP z ChatGPT i Codex

Przy połączeniu z ChatGPT użytkownik loguje się i potwierdza jedno istniejące konto Nova przez OAuth. Nie używamy adresu e-mail z ChatGPT do wyszukiwania, łączenia ani tworzenia konta Nova. OpenAI otrzymuje wyniki narzędzi wywołanych dla wybranego konta oraz dane protokołu niezbędne do połączenia. Hasło Nova, dane logowania Google, sesja przeglądarki i osobisty token nova_mcp_* nie są przekazywane do ChatGPT.

Gdy użytkownik wybiera plik referencyjny z ChatGPT do importu, Nova pobiera ten konkretny obraz lub film i zapisuje go na wybranym koncie. Obowiązują te same zasady przechowywania i usuwania co dla innych przesłanych plików. Generacja wymaga osobnego uprawnienia oraz potwierdzenia szacowanego wykorzystania zasobów zapisanego workflow. Wybrani dostawcy modeli otrzymują dane potrzebne do wykonania polecenia. Wyniki mogą zawierać wygenerowane pliki i krótkotrwałe linki do pobrania; osoba posiadająca link może go użyć do czasu wygaśnięcia.

Jeśli pomiar jest włączony zgodnie z właściwymi ustawieniami analityki, własne rekordy aktywacji mierzą połączenie, pierwszy wygenerowany plik i ponowne wykonanie zmienionego workflow w ciągu siedmiu dni. Zawierają wewnętrzne identyfikatory konta, projektu i zadania, czas oraz skrót treści workflow. Nie zawierają promptów, nazw plików, adresów mediów, zawartości plików ani kluczy dostawców i nie nadpisują pierwotnej atrybucji marketingowej.

Połączenie OAuth można odwołać w Nova Creative; ponowne połączenie wymaga nowego wyboru konta. Osobiste tokeny MCP dla Codex są osobnymi danymi dostępowymi i mogą być odwoływane indywidualnie.

1. Jakie dane przetwarzamy

Konto i uwierzytelnianie

Przetwarzamy identyfikator konta, e-mail, nazwę, sposób logowania, skrót hasła, Google account ID przy logowaniu Google, rolę, daty, status sesji, tokeny resetu wyłącznie w postaci skrótu i informacje niezbędne do ochrony logowania.

Projekty, treści i AI

Przetwarzamy prompty, czaty, grafy workflow, projekty i ich wersje, pliki wejściowe, wyniki tekstowe, graficzne, wideo, audio i 3D, szablony, kod, parametry modeli, historię zadań, statusy i błędy. Treści mogą zawierać dane osobowe przekazane przez użytkownika. Nie należy przesyłać danych wrażliwych ani poufnych, jeżeli wybrany dostawca, region i publiczny charakter URL nie są odpowiednie.

Klucze dostawców i GPU

Przetwarzamy zaszyfrowane osobiste klucze API, endpoint, region i konfigurację dostawcy. Przetwarzamy identyfikatory GPU, token agenta w postaci skrótu, adresy połączenia, informacje o sprzęcie, sterownikach, stanie, obciążeniu, zadaniach, wynajmie, cenie i czasie. Klucz może zostać odszyfrowany przez serwer wyłącznie w celu wykonania polecenia użytkownika.

Płatności i dowody prawne

Przetwarzamy saldo i księgę kredytów, zakupy, wykorzystanie, rezerwacje, zwroty, wynajmy Cloud GPU, identyfikatory Stripe customer, subscription, Checkout Session, PaymentIntent i dispute, status, cenę, podatek, kraj rozliczeniowy, walutę oraz daty. Przechowujemy dowód akceptacji dokumentu lub żądania natychmiastowego rozpoczęcia usługi: wersję dokumentu, działanie, źródło, identyfikator żądania, czas, IP i user-agent.

Stripe zbiera bezpośrednio dane karty, adres rozliczeniowy, identyfikator podatkowy i dane metody płatności. Nova nie otrzymuje pełnego numeru karty ani kodu bezpieczeństwa.

Wsparcie, urządzenie i logi

Przetwarzamy korespondencję, dane kontaktowe, przekazany kontekst diagnostyczny, IP, datę i czas, endpoint, status odpowiedzi, user-agent, referrer, identyfikatory sesji, błędy, stack trace, limity i logi bezpieczeństwa. Nie należy wysyłać wsparciu haseł, kluczy ani pełnych danych karty.

Cookies i storage

Używamy niezbędnego HttpOnly cookie uwierzytelniania oraz lokalnego storage dla ustawień, stanu przestrzeni roboczej, sesji czatu i danych tymczasowych. Obecnie nie używamy cookies reklamowych ani zewnętrznej analityki reklamowej. Google Identity Services i hostowane strony Stripe mogą używać własnych cookies zgodnie z ich politykami.

2. Źródła danych

Dane otrzymujemy od użytkownika i jego urządzenia lub agenta GPU; od Google przy wybranym logowaniu; od Stripe; od wybranego dostawcy AI, GPU, storage, wyszukiwarki lub zdalnego hosta; od autoryzowanej usługi Nova inicjującej zadanie; oraz od innej osoby, gdy udostępnia GPU lub przekazuje treść dotyczącą danej osoby.

3. Cele i podstawy prawne

Gdy ma zastosowanie RODO, przetwarzamy dane:

• w celu utworzenia i zabezpieczenia konta, wykonania projektów, generacji, storage, relay, wynajmów, eksportów i integracji — w celu wykonania umowy lub podjęcia działań na żądanie przed umową;
• w celu wysłania treści do wybranej trasy, GPU lub dostawcy — dla wykonania umowy i wyraźnego polecenia użytkownika;
• w celu płatności, subskrypcji, podatku, faktury, wykorzystania kredytów, zwrotu i sporu — dla wykonania umowy oraz obowiązków prawnych, podatkowych, księgowych i konsumenckich;
• w celu ochrony systemu, przeciwdziałania oszustwom i nadużyciom oraz dochodzenia roszczeń — na podstawie naszego uzasadnionego interesu i obowiązku prawnego, zależnie od sytuacji;
• w celu wsparcia, diagnostyki i niezawodności — dla wykonania umowy oraz uzasadnionego interesu w utrzymaniu produktu;
• w celu komunikacji serwisowej i bezpieczeństwa — dla umowy, obowiązku prawnego lub administracji kontem;
• na podstawie zgody tylko wtedy, gdy określona nowa funkcja prawnie jej wymaga; zgodę można wycofać bez wpływu na wcześniejsze zgodne z prawem przetwarzanie.

Podanie danych konta jest wymagane do konta, a danych rozliczeniowych do zakupu. Profil opcjonalny i zewnętrzne klucze są dobrowolne.

4. Dokąd trafiają treści AI

• Własny GPU: dane są dostarczane do połączonego węzła; w relay przechodzą przez uwierzytelnioną infrastrukturę Nova.
• Cloud GPU: dane i wyniki są przetwarzane na zewnętrznej instancji centrum danych.
• Zarządzane AI: prompt, media, parametry i identyfikatory routingu trafiają do dostawcy potrzebnego dla wybranego modelu.
• BYOK: dane trafiają do dostawcy związanego z osobistym kluczem; jego umowa i polityka określają dalsze użycie.
• Wyszukiwanie i zdalne media: zapytanie trafia do wyszukiwarki, a przy imporcie serwer kontaktuje zdalny host.
• Callback lub połączona usługa: status, identyfikator, wynik i URL mogą wrócić do autoryzowanego inicjatora.

Nova nie podejmuje na własny rachunek wyłącznie zautomatyzowanych decyzji o zatrudnieniu, kredycie, ubezpieczeniu, mieszkaniu, edukacji, zdrowiu ani innych istotnych prawach osoby.

5. Odbiorcy

W niezbędnym zakresie odbiorcami mogą być:

• Hetzner i inni dostawcy hostingu, bazy, logów i infrastruktury;
• Bunny.net lub skonfigurowany origin/CDN plików;
• Stripe dla płatności, subskrypcji, podatku, fraud prevention i potwierdzeń;
• Google przy logowaniu Google;
• infrastruktura pocztowa do wiadomości transakcyjnych i wsparcia;
• Atlas Cloud oraz dostawca/model wybrany w aplikacji, a także bezpośrednio skonfigurowani dostawcy wskazani w interfejsie;
• dostawca BYOK wskazany przez użytkownika;
• vast.ai, inny operator GPU, host modelu lub operator udostępnionego węzła;
• Serper oraz strony i CDN pobieranych materiałów;
• autoryzowana usługa lub callback odbierający wynik;
• audytor, ubezpieczyciel, księgowy, doradca, organ, sąd lub kontrahent transakcji korporacyjnej, gdy jest to konieczne i zgodne z prawem.

Nie sprzedajemy danych brokerom i nie udostępniamy ich do reklamy behawioralnej między kontekstami.

6. Transfery międzynarodowe

Podstawowa infrastruktura aplikacji znajduje się w UE. Dostawca AI, GPU, wsparcia lub endpoint wybrany przez użytkownika może działać w USA albo innym państwie. Transfer procesora podlegający ograniczeniom RODO, EOG, Wielkiej Brytanii lub Szwajcarii wykonujemy tylko wtedy, gdy dla danego transferu został wdrożony właściwy mechanizm prawny. Zależnie od dostawcy i państwa może to być decyzja stwierdzająca odpowiedni stopień ochrony, zawarte standardowe klauzule umowne, zawarty UK International Data Transfer Addendum lub Agreement albo inne uznane zabezpieczenie. Transfer do odrębnego administratora może też nastąpić na wyraźne żądanie użytkownika, gdy jest potrzebny do wykonania umowy. Aktualny mechanizm dla konkretnego dostawcy można uzyskać na żądanie; nie należy zakładać, że każdy wymieniony mechanizm dotyczy każdego dostawcy.

Żaden mechanizm nie usuwa wszystkich ryzyk wynikających z prawa państwa odbiorcy. Przed przesłaniem danych wrażliwych użytkownik powinien sprawdzić dostawcę i region.

7. Publiczne URL plików

Media produkcyjne są zazwyczaj przechowywane pod publicznym, trudnym do odgadnięcia URL. Osoba posiadająca adres może pobrać i udostępnić plik, a cache może zachować kopię. Usunięcie rekordu Library lub konta może nie usunąć natychmiast obiektu CDN, kopii dostawcy, backupu ani kopii pobranej przez osobę trzecią. Żądanie usunięcia obiektu kontrolowanego przez Nova można wysłać na support@novastorm.ai z dokładnym URL.

8. Okresy przechowywania

• Dane konta, aktywne projekty, zapisane czaty, oznaczone pliki, ustawienia i węzły są zasadniczo przechowywane podczas aktywności konta lub elementu.
• Historia projektu zachowuje ograniczoną liczbę wersji.
• Zwykłe nieoznaczone rekordy historii generacji są co do zasady usuwane po 90 dniach, a zakończone rekordy zadań po 30 dniach.
• Logi błędów aplikacji są co do zasady przechowywane 30 dni; logi bezpieczeństwa i infrastruktury mogą mieć inne krótkie terminy operacyjne.
• Rezerwacje billingowe są uzgadniane po około godzinie, pliki tymczasowe zwykle po jednym dniu, a token resetu wygasa po godzinie.
• Księga kredytów, płatności, podatki, faktury, spory, dowody akceptacji i przeciwdziałania fraud są przechowywane przez okres wymagany przez prawo podatkowe, księgowe, konsumenckie, terminy roszczeń i ochronę przed nadużyciami.
• Korespondencję wsparcia przechowujemy przez okres potrzebny do odpowiedzi, dokumentacji i roszczeń.
• Backup, CDN i cache dostawcy pozostają do nadpisania lub wygaśnięcia.

Usunięcie konta usuwa lub anonimizuje główną tożsamość aplikacji i dane użytkowe po zatrzymaniu aktywnych wynajmów i anulowaniu powiązanej subskrypcji. Minimalne pseudonimowe zapisy transakcyjne, bezpieczeństwa i dowodowe mogą zostać zachowane, gdy wymaga tego prawo lub obrona roszczeń. Nie przywracamy celowo usuniętych danych do zwykłego użycia z backupu.

9. Bezpieczeństwo

Stosujemy między innymi szyfrowanie transmisji, saltowane hashowanie haseł, szyfrowanie kluczy BYOK, hashowane krótkotrwałe tokeny, uwierzytelniony relay, kontrolę dostępu, rate limits, walidację i ograniczanie sekretów w logach. Dostęp otrzymują tylko osoby i dostawcy potrzebujący go do roli.

Żaden system ani publiczny URL nie jest całkowicie bezpieczny. Użytkownik odpowiada za konto, klucze, urządzenia, eksport i udostępniane linki. Incydent należy pilnie zgłosić na abuse@novastorm.ai.

10. Prawa osoby

Zależnie od prawa i wyjątków można żądać informacji i dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu, przenoszenia danych oraz wycofać zgodę. Można złożyć skargę do organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (UODO).

Żądanie należy wysłać z adresu konta na privacy@novastorm.ai, opisując prawo i dane. Możemy poprosić o rozsądne potwierdzenie tożsamości lub umocowania pełnomocnika. Odpowiadamy w terminie ustawowym, wyjaśniamy odmowę i dostępne odwołanie. Żądania są co do zasady bezpłatne; opłata może być dopuszczalna dla żądań ewidentnie nieuzasadnionych, nadmiernych lub powtarzalnych.

Mieszkańcy niektórych stanów USA mogą mieć podobne prawa, w tym odwołanie od odmowy. W ostatnich 12 miesiącach przetwarzaliśmy kategorie opisane powyżej dla wskazanych celów i ujawnialiśmy je wskazanym kategoriom odbiorców. Nie sprzedawaliśmy ani nie udostępnialiśmy danych do reklamy behawioralnej między kontekstami.

11. Dzieci

Usługa jest wyłącznie dla osób pełnoletnich i nie jest oferowana dzieciom. Nie zbieramy świadomie danych dzieci. Informację o takim przypadku należy przesłać na adres wsparcia, abyśmy mogli zbadać i usunąć dane, gdy jest to wymagane.

12. Zmiany i kontakt

Możemy aktualizować Politykę wraz ze zmianą Usługi, dostawcy lub prawa. Zmienimy datę i przekażemy rozsądne powiadomienie o istotnej zmianie; poprosimy o zgodę, jeżeli nowe wykorzystanie danych jej wymaga.

ULADZIMIR PRANEVICH

jednoosobowa działalność gospodarcza

ul. Kabacki Dukt 14 lok. 56

02-798 Warszawa, Polska

NIP 8992922668 · REGON 521728250

• Prywatność i prawa: privacy@novastorm.ai
• Wsparcie i usuwanie plików: support@novastorm.ai
• Bezpieczeństwo i nadużycia: abuse@novastorm.ai

Nie wysyłaj zwykłym e-mailem haseł, kluczy API, pełnych danych karty ani wrażliwych mediów. Poproś o bezpieczny kanał, jeżeli dokumentacja żądania zawiera takie dane.