Przejdź do treści
Kosvia

Polityka prywatności

Wersja 3 · opublikowana 9 lis 2026

Obowiązuje od 09 listopada 2026 r.

Ta polityka wyjaśnia, jakie dane osobowe przetwarza serwis Kosvia, po co, na jakiej podstawie, komu je udostępniamy i jakie prawa Ci przysługują.

1. Administrator danych

Administratorem Twoich danych osobowych jest Mateusz Wyka Vetch, Jaszczów 11A, 21-020 Milejów, NIP 5050134076. We wszystkich sprawach dotyczących danych osobowych możesz się z nami skontaktować e-mailem: kontakt@kosvia.pl lub telefonicznie: 724 050 102. Nie wyznaczyliśmy inspektora ochrony danych.

2. Jakie dane przetwarzamy

  • Konto: adres e-mail, skrót hasła (nigdy samo hasło), opcjonalnie imię, język konta, data założenia konta, ostatniej aktywności i potwierdzenia adresu e-mail. Datę urodzenia podajesz przy rejestracji wyłącznie po to, żebyśmy sprawdzili, czy masz ukończone 16 lat — nie zapisujemy jej.

  • Profil urodowy i dziennik skóry — tylko za Twoją wyraźną zgodą: typ cery, wrażliwość, problemy i cele pielęgnacyjne, budżet, preferencje zapachowe i etyczne, marki i składniki, których unikasz (z rozróżnieniem alergii i preferencji), wpisy w dzienniku skóry.

  • Rozmowy z Kosvia AI: treść Twoich pytań i odpowiedzi. Jeśli wpiszesz w rozmowie informacje o swojej skórze lub zdrowiu, one również zostaną zapisane i przekazane dostawcy modelu AI (pkt 5) — nie podawaj w rozmowie danych, które nie są potrzebne do pytania.

  • Twoja aktywność w Serwisie: produkty na półce i ulubione, alerty cenowe, porównania, produkty, których pełną analizę dopasowania otwarto na Twoim Koncie, opinia o Serwisie — widoczna publicznie wraz z imieniem, jeśli je podano.

  • Plan: rodzaj planu (Free lub Premium) i liczniki wykorzystania funkcji objętych limitami. Płatności nie są obecnie uruchomione, więc nie przetwarzamy danych płatniczych.

  • Dane techniczne i bezpieczeństwa: aktywne sesje logowania (informacja o przeglądarce, daty), historia udzielonych zgód (której wersji dokumentu dotyczyły, kiedy, informacja o przeglądarce i solony skrót adresu IP), a przy rejestracji, logowaniu i resecie hasła — sygnały techniczne, po których zabezpieczenie Cloudflare Turnstile odróżnia człowieka od automatu (pkt 7).

Adres IP. Nie zapisujemy adresu IP w bazie danych. Serwer przetwarza go chwilowo, żeby obsłużyć połączenie i chronić Serwis przed nadużyciami (np. ograniczać liczbę prób logowania). Przy rejestracji, logowaniu i resecie hasła adres IP trafia też do Cloudflare (pkt 7). W historii zgód przechowujemy tylko solony skrót adresu IP — taki skrót również może być daną osobową, dlatego go tu wymieniamy.

Wyszukiwarka. Wpisywane frazy zapisujemy bez powiązania z kontem i bez adresu IP — służą do pokazywania popularnych wyszukiwań. Nie wpisuj w wyszukiwarkę danych osobowych.

3. Cele i podstawy prawne

  • Prowadzenie Konta i świadczenie usług (półka, alerty cenowe, porównania, opinie, plan) — wykonanie umowy, art. 6 ust. 1 lit. b RODO.

  • Wiadomości systemowe e-mail (potwierdzenie adresu, powitanie, reset i zmiana hasła, informacja o planowanym usunięciu Konta) — wykonanie umowy, art. 6 ust. 1 lit. b RODO. Nie mają charakteru marketingowego i nie można z nich zrezygnować, dopóki Konto istnieje.

  • Profil urodowy, Personal Match i dziennik skóry — Twoja zgoda (art. 6 ust. 1 lit. a RODO), a w zakresie danych dotyczących zdrowia również Twoja wyraźna zgoda (art. 9 ust. 2 lit. a RODO). Zgoda obejmuje zapisywanie informacji o skórze i wykorzystywanie ich do spersonalizowanej oceny kosmetyków.

  • Kosvia AI korzystająca z Twojego profilu, wraz z przekazaniem danych dostawcy modelu AI — osobna zgoda (art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO).

  • Informacje o nowościach wysyłane e-mailem — Twoja zgoda, art. 6 ust. 1 lit. a RODO. Obecnie takich wiadomości nie wysyłamy.

  • Odpowiadanie na wiadomości, rozpatrywanie reklamacji i zgłoszeń treści — wykonanie umowy i obowiązki prawne, art. 6 ust. 1 lit. b i c RODO.

  • Bezpieczeństwo Serwisu, zapobieganie nadużyciom (w tym weryfikacja Cloudflare Turnstile przy rejestracji, logowaniu i resecie hasła), wykazanie udzielenia zgód, ustalenie i obrona roszczeń — nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.

4. Dane o zdrowiu

Typ cery, trądzik, zaczerwienienia, wrażliwość czy alergie opisują stan Twojego zdrowia. Zapisujemy je dopiero po zaznaczeniu osobnego, domyślnie niezaznaczonego pola zgody. Zgodę możesz w każdej chwili wycofać w profilu — wtedy od razu usuwamy profil urodowy i dziennik skóry, a reszta Konta działa dalej. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.

5. Kosvia AI

Kosvia AI odpowiada z pomocą modelu językowego Claude firmy Anthropic. Za Twoją osobną zgodą przy każdym pytaniu przekazujemy do Anthropic: treść pytania, kilka ostatnich wiadomości z tej rozmowy, tę część profilu, która jest potrzebna do odpowiedzi (typ cery, wrażliwość, problemy, cele, budżet i preferencje), nazwy produktów z Twojej półki oraz dane produktów, które Kosvia wyszukała w katalogu. Nigdy nie przekazujemy imienia, adresu e-mail ani identyfikatora Konta. Fakty o produktach — ceny, składy, wyniki dopasowania — liczy i wyszukuje Kosvia; model jedynie opisuje je słowami.

Anthropic przetwarza te dane na nasze zlecenie jako podmiot przetwarzający, na podstawie umowy powierzenia przetwarzania danych. Nie wykorzystuje ich do trenowania modeli i usuwa je ze swoich systemów w ciągu 30 dni — dłużej wyłącznie wtedy, gdy wymaga tego wykrywanie naruszeń zasad korzystania z usługi albo przepisy prawa. Przetwarzanie odbywa się w Stanach Zjednoczonych; podstawą przekazania danych poza Europejski Obszar Gospodarczy są standardowe klauzule umowne przyjęte przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Kopię klauzul otrzymasz, pisząc na adres z pkt 1.

Bez tej zgody Kosvia AI jest niedostępna, a reszta Serwisu działa normalnie. Zgodę możesz wycofać w profilu — od tej chwili żadne Twoje dane nie trafią do Anthropic. Rozmowy przechowujemy na Twoim Koncie do czasu jego usunięcia.

6. Personal Match — automatyczna ocena

Wynik dopasowania produktu liczy własny, deterministyczny algorytm Kosvii na podstawie składu produktu i Twojego profilu: dopasowania do typu cery, problemów i celów, jakości formuły, zapachu, budżetu, preferencji etycznych i produktów, które już masz. Każdy element wyniku ma nazwany powód, który widzisz pod „Dlaczego taki wynik?”. Wynik jest rekomendacją kosmetyczną, a nie diagnozą dermatologiczną. Nie wywołuje wobec Ciebie skutków prawnych ani w podobny sposób istotnie na Ciebie nie wpływa.

7. Odbiorcy danych

  • Dostawca serwerów (OVHcloud) — serwery na terenie Unii Europejskiej; przetwarza dane na nasze zlecenie jako podmiot przetwarzający.

  • Open Beauty Facts (Francja) — zdjęcia produktów wyświetlamy bezpośrednio z serwerów Open Beauty Facts, więc przy oglądaniu katalogu Twoja przeglądarka łączy się z nimi i przekazuje im swój adres IP oraz informacje o przeglądarce. Nie przekazujemy im żadnych danych z Twojego Konta.

  • Dostawcy poczty e-mail — wiadomości systemowe wysyłamy przez netserwer.pl, dostawcę naszej skrzynki w domenie kosvia.pl (adres e-mail i treść wiadomości).

  • Anthropic (dostawca modelu językowego Claude, Stany Zjednoczone) — wyłącznie gdy za Twoją zgodą korzystasz z Kosvia AI; przetwarza dane na nasze zlecenie jako podmiot przetwarzający, szczegóły w pkt 5.

  • Cloudflare (Cloudflare, Inc., Stany Zjednoczone) — na stronach rejestracji, logowania i resetu hasła działa zabezpieczenie Cloudflare Turnstile, które odróżnia ludzi od automatów. Twoja przeglądarka przekazuje wtedy Cloudflare adres IP, informacje o przeglądarce (nagłówek User-Agent, odcisk połączenia TLS) i sygnały techniczne potrzebne do tej oceny. Cloudflare przetwarza je na nasze zlecenie jako podmiot przetwarzający, a w zakresie ulepszania swojego systemu wykrywania automatów — jako odrębny administrator, na podstawie własnego prawnie uzasadnionego interesu (informacja Cloudflare o prywatności w Turnstile). Dane trafiają do USA na podstawie certyfikacji Cloudflare w ramach EU-U.S. Data Privacy Framework (art. 45 RODO), a gdyby ją utraciła — standardowych klauzul umownych.

  • Organy publiczne — wyłącznie wtedy, gdy wymagają tego przepisy prawa.

Czcionki i pozostałe pliki Serwisu pobierasz z naszego serwera. Nie korzystamy z narzędzi analitycznych, reklamowych ani zewnętrznych systemów monitorowania błędów. Nie sprzedajemy danych. Poza Europejski Obszar Gospodarczy trafiają wyłącznie dane przekazywane do Anthropic przy korzystaniu z Kosvia AI (pkt 5) oraz do Cloudflare przy rejestracji, logowaniu i resecie hasła. Gdy uruchomimy płatności, uzupełnimy tę listę o operatora płatności.

8. Jak długo przechowujemy dane

  • Konto, aktywność i rozmowy z Kosvia AI — do usunięcia Konta. Usunięcie następuje 7 dni po zleceniu — do tego czasu możesz je cofnąć linkiem z wiadomości e-mail albo w profilu („Zachowaj konto”); po nim zachowujemy wyłącznie skrót identyfikatora Konta jako dowód, że usunięcie zostało wykonane.

  • Dane przekazane do Anthropic przy korzystaniu z Kosvia AI — u Anthropic do 30 dni, na zasadach z pkt 5.

  • Profil urodowy i dziennik skóry — do wycofania zgody albo usunięcia Konta; w obu przypadkach usuwamy je od razu.

  • Historia zgód — przez czas istnienia Konta, żeby móc wykazać, na co i kiedy została udzielona zgoda.

  • Sesje logowania — do wylogowania albo wygaśnięcia sesji, najpóźniej 30 dni od ostatniego użycia.

  • Linki wysyłane e-mailem — w bazie tylko ich skrót, do wygaśnięcia: reset hasła 1 godzina, potwierdzenie adresu 7 dni, zachowanie Konta do dnia usunięcia.

  • Korespondencja, reklamacje i zgłoszenia treści — przez czas potrzebny do załatwienia sprawy, a następnie do upływu terminu przedawnienia związanych z nią roszczeń.

  • Kopie zapasowe — dane znikają z nich najpóźniej po 30 dniach.

  • Konta nieaktywne — Konto nieaktywne przez 24 miesiące możemy usunąć po wcześniejszym powiadomieniu.

9. Twoje prawa

  • Dostęp i przenoszenie danych — w profilu pobierzesz wszystkie dane powiązane z Twoim Kontem w formacie JSON.

  • Sprostowanie — dane Konta i profilu możesz edytować w każdej chwili.

  • Usunięcie — Konto usuniesz w profilu.

  • Ograniczenie przetwarzania i sprzeciw wobec przetwarzania opartego na naszym uzasadnionym interesie — napisz do nas.

  • Wycofanie zgody — każdą zgodę wyłączysz w profilu.

  • Skarga do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Każde żądanie dotyczące danych możesz też wysłać na kontakt@kosvia.pl. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca.

10. Czy musisz podać dane

Podanie adresu e-mail i hasła oraz potwierdzenie wieku datą urodzenia są dobrowolne, ale bez nich nie założysz Konta. Profil urodowy, imię i pozostałe dane są całkowicie dobrowolne — katalog, wyszukiwarka i porównywarka działają bez Konta.

11. Pliki cookies i pamięć przeglądarki

Serwis zapisuje w Twojej przeglądarce wyłącznie informacje niezbędne do działania funkcji, z których korzystasz:

  • kosvia_at — potwierdzenie zalogowania, ważne 15 minut;

  • kosvia_rt — utrzymanie sesji logowania, ważne 30 dni;

  • kosvia_locale — wybrany język, ważne 12 miesięcy;

  • pamięć przeglądarki (localStorage) — lista produktów, które dodajesz do porównania; możesz ją wyczyścić w porównywarce;

  • Cloudflare Turnstile — na stronach rejestracji, logowania i resetu hasła zabezpieczenie może zapisać w pamięci przeglądarki techniczny identyfikator potrzebny do odróżnienia człowieka od automatu.

Ciasteczka logowania są niedostępne dla skryptów na stronie. Ponieważ wszystkie te mechanizmy są niezbędne do świadczenia usługi, o którą prosisz, zgodnie z Prawem komunikacji elektronicznej nie wymagają Twojej zgody, dlatego nie wyświetlamy banera cookies. Nie używamy ciasteczek analitycznych ani reklamowych.

12. Zmiany polityki

Każdą zmianę publikujemy na tej stronie jako nową wersję z datą obowiązywania. O istotnych zmianach poinformujemy użytkowników posiadających Konto w Serwisie lub e-mailem, a jeśli zmiana wymaga Twojej zgody — poprosimy o nią.