Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest MARTIA LABS SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą w Sopocie, pod adresem: ul. Aleja Niepodległości 942, 81-861 Sopot, Polska, wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego, prowadzonego przez Sąd Rejonowy Gdańsk-Północ w Gdańsku, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS: 0001244962, posiadająca numer NIP: 5851511387, numer REGON: 544885885, o kapitale zakładowym 10 000,00 zł.

Nie wyznaczyliśmy inspektora ochrony danych (IOD). We wszystkich sprawach dotyczących Twoich danych oraz tej polityki skontaktuj się z nami pod adresem support@martia.ai.

2. Czym jest Martia

Martia to asystent oparty na sztucznej inteligencji, z którym rozmawiasz o swoich pieniądzach. Dostępny jest jako aplikacja mobilna (iOS i Android), aplikacja webowa (app.martia.ai, martia.ai) oraz interfejs API, w 6 językach. Rozmawiasz z Martią w swoim języku, a odpowiedzi opierają się na Twoich rzeczywistych transakcjach bankowych.

Rozmawiasz z systemem AI

Rozmawiasz z systemem sztucznej inteligencji, a nie z człowiekiem. Odpowiedzi Martii mogą zawierać błędy i nie stanowią profesjonalnej porady finansowej, prawnej ani podatkowej. Zanim dodasz nagranie głosowe lub zdjęcie, pokazujemy w aplikacji krótką informację o tym, jak taki materiał jest przetwarzany.

3. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie

Poniżej opisujemy kategorie danych, które przetwarzamy — wraz z celem, podstawą prawną (art. 6 RODO), okresem przechowywania i odbiorcami. Listę dostawców znajdziesz w sekcji 5, a szczegóły okresów przechowywania w sekcji 8.

Dane konta i tożsamości

• Zakres: adres e-mail, opcjonalnie imię, identyfikator użytkownika w Auth0 (tzw. sub).
• Cel: założenie i prowadzenie konta, logowanie, komunikacja w sprawach konta.
• Podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy).
• Przechowywanie: przez czas istnienia konta.
• Odbiorcy: Auth0 (Okta).

Dane bankowe

• Zakres: lista rachunków, salda oraz historia transakcji.
• Cel: pokazywanie salda, historii wydatków i kategorii oraz odpowiadanie na pytania o Twoje finanse.
• Podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy). Połączenie z bankiem autoryzujesz osobno, wyrażając zgodę bankową w procesie dostawcy usługi dostępu do informacji o rachunku.
• Przechowywanie: przez czas istnienia konta.
• Odbiorcy: Enable Banking (licencjonowany dostawca AIS), GoCardless (dane historyczne części rachunków), Google Cloud, Neon.

Treści, które przekazujesz

• Zakres: wiadomości czatu (w tym zdjęcia i nagrania głosowe, jeśli je dodasz), importy CSV/PDF, notatki.
• Cel: prowadzenie rozmowy, analiza i kategoryzacja Twoich finansów, personalizacja odpowiedzi.
• Podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f) RODO (nasz prawnie uzasadniony interes w personalizowaniu i ulepszaniu odpowiedzi — zob. sekcja 4).
• Przechowywanie: przez czas istnienia konta; pojedyncze rozmowy możesz usunąć samodzielnie.
• Odbiorcy: dostawcy modeli AI za pośrednictwem OpenRouter (m.in. Anthropic, Google, xAI) — dla czatu, kontekstu i kategoryzacji; OpenAI — dla transkrypcji nagrań głosowych; Google Cloud, Neon.

Odpowiedzi z onboardingu i preferencje

• Zakres: odpowiedzi z ankiety wstępnej oraz ustawienia i preferencje.
• Cel: dopasowanie produktu do Twoich potrzeb i konfiguracja aplikacji.
• Podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f) RODO (dopasowanie produktu).
• Przechowywanie: przez czas istnienia konta.
• Odbiorcy: Google Cloud, Neon.

Płatności i subskrypcja

• Zakres: adres e-mail, adres rozliczeniowy, numer identyfikacji podatkowej (jeśli go podasz).
• Cel: obsługa płatności, wystawianie faktur i rozliczenia księgowe.
• Podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. c) RODO (obowiązek prawny — przepisy o rachunkowości).
• Przechowywanie: dokumenty księgowe przez okres wymagany prawem (w Polsce 5 lat, licząc od końca roku podatkowego).
• Odbiorcy: Stripe.

Logi techniczne i bezpieczeństwa

• Zakres: logi techniczne, które mogą zawierać identyfikator konta oraz informacje o wykonywanych operacjach.
• Cel: bezpieczeństwo, wykrywanie nadużyć i diagnostyka.
• Podstawa prawna: art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes — bezpieczeństwo i niezawodność usługi).
• Przechowywanie: do 12 miesięcy.
• Odbiorcy: Google Cloud.

Opcjonalna analityka produktowa

• Zakres: pseudonimowy identyfikator konta oraz zdarzenia użytkowania z zamkniętej listy (allowlist). Nie obejmuje treści czatu, transakcji ani odpowiedzi z onboardingu.
• Cel: zrozumienie, jak korzystasz z aplikacji, aby ją ulepszać.
• Podstawa prawna: art. 6 ust. 1 lit. a) RODO (zgoda), o którą pytamy podczas onboardingu. Zgodę możesz wycofać w każdej chwili w Ustawieniach — wycofanie natychmiast zatrzymuje zbieranie danych i nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
• Przechowywanie: do 12 miesięcy.
• Odbiorcy: PostHog (chmura w UE).

E-maile powiadomień i wsparcia

• Zakres: powiadomienia serwisowe trafiające na wewnętrzne firmowe skrzynki (np. rejestracja, ukończenie onboardingu, zakup, żądanie usunięcia konta) oraz korespondencja ze wsparciem.
• Cel: obsługa i prawidłowe działanie usługi oraz kontakt z Tobą.
• Podstawa prawna: art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes — prowadzenie usługi).
• Przechowywanie: czyszczone w cyklu 12-miesięcznym.
• Odbiorcy: Resend (dostarczanie e-maili), wewnętrzne skrzynki zespołu.

4. Profil finansowy, pamięć i brak automatycznych decyzji

Aby odpowiadać trafniej, Martia tworzy na podstawie Twoich danych profil sytuacji finansowej oraz „pamięć” — zapamiętuje kontekst wcześniejszych rozmów, żeby personalizować odpowiedzi. Robimy to w celu wykonania umowy (art. 6 ust. 1 lit. b RODO) oraz w naszym prawnie uzasadnionym interesie polegającym na dostarczaniu użytecznego, spersonalizowanego asystenta (art. 6 ust. 1 lit. f RODO). Pojedyncze rozmowy możesz w każdej chwili usunąć w aplikacji.

Nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne lub w podobny sposób istotnie na Ciebie wpływających w rozumieniu art. 22 RODO. Martia nie prowadzi scoringu kredytowego, nie podejmuje decyzji kredytowych ani nie udziela regulowanego doradztwa inwestycyjnego.

5. Komu powierzamy dane

Nie sprzedajemy Twoich danych osobowych ani finansowych i nie udostępniamy ich reklamodawcom. Korzystamy z poniższych dostawców — jako podmiotów przetwarzających, a w odpowiednich przypadkach niezależnych administratorów — aby świadczyć usługę:

• Auth0 (Okta) — tożsamość i logowanie.
• Enable Banking — licencjonowany dostawca usługi dostępu do informacji o rachunku (AIS); niezależny, regulowany podmiot.
• GoCardless — dane bankowe części rachunków (rozwiązanie starsze/historyczne).
• Google Cloud — hosting, przechowywanie danych i logi; region w UE.
• Neon — baza danych PostgreSQL.
• OpenRouter oraz dostawcy modeli AI (m.in. Anthropic, Google, xAI) — przetwarzanie czatu, kontekstu i kategoryzacji.
• OpenAI — transkrypcja nagrań głosowych.
• PostHog — analityka produktowa (chmura w UE, tylko po wyrażeniu zgody).
• Stripe — płatności.
• Resend — dostarczanie wiadomości e-mail.
• Serper — wzbogacanie informacji o sprzedawcach: do wyszukiwarki trafia wyłącznie publiczna nazwa sprzedawcy z transakcji, bez Twojego identyfikatora ani kwot.
• Wewnętrzne skrzynki zespołu — powiadomienia serwisowe.

Z dostawcami zawieramy wymagane umowy powierzenia przetwarzania danych.

6. Przekazywanie danych poza EOG

Część dostawców — zwłaszcza dostawcy modeli AI oraz podmioty z USA — może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Tam, gdzie to następuje, opieramy przekazywanie na przewidzianych prawem mechanizmach transferu: standardowych klauzulach umownych lub decyzji o odpowiednim stopniu ochrony (w tym Ramach Ochrony Danych UE–USA, gdy mają zastosowanie).

7. Czy Twoje rozmowy trenują modele AI

Nie wykorzystujemy Twoich danych do trenowania własnych modeli. Dostawców modeli AI angażujemy na warunkach API, które — zgodnie z ich aktualnymi zasadami — nie dają im prawa do trenowania na treściach klientów. Nie sprzedajemy danych, nie współpracujemy z reklamodawcami i nie stosujemy reklamowych plików cookie.

8. Jak długo przechowujemy dane

Przechowujemy dane tylko tak długo, jak to potrzebne:

• Dane konta, transakcje i treści (czat, importy) — przez czas istnienia konta; usuwane po usunięciu konta.
• Logi techniczne — do 12 miesięcy.
• Dane analityczne — do 12 miesięcy.
• Surowe archiwa synchronizacji bankowej — do 90 dni.
• Kopie zapasowe — wygasają w cyklu do 30 dni; nie przywracamy ich do systemów produkcyjnych bez sprawdzenia wcześniejszych żądań usunięcia.
• Dokumenty księgowe — przez okres wymagany prawem (w Polsce 5 lat od końca roku podatkowego).
• E-maile powiadomień — czyszczone w cyklu 12-miesięcznym.

9. Twoje prawa (RODO)

W związku z przetwarzaniem Twoich danych przysługują Ci następujące prawa:

• Prawo dostępu — możesz zażądać kopii przetwarzanych przez nas danych.
• Prawo do sprostowania — możesz poprosić o korektę nieprawidłowych danych.
• Prawo do usunięcia — możesz zażądać usunięcia swoich danych (prawo do bycia zapomnianym).
• Prawo do przenoszenia danych — możesz otrzymać swoje dane w formacie nadającym się do odczytu maszynowego.
• Prawo do ograniczenia przetwarzania — w określonych sytuacjach.
• Prawo do sprzeciwu — możesz sprzeciwić się przetwarzaniu opartemu na prawnie uzasadnionym interesie.
• Prawo do wycofania zgody — w każdej chwili, tam gdzie przetwarzamy dane na podstawie zgody (np. analityka); wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Aby skorzystać z tych praw, napisz na support@martia.ai albo skorzystaj z opcji w aplikacji. Odbiór żądania potwierdzamy w ciągu 24 godzin, a realizujemy je bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Masz również prawo złożyć skargę do organu nadzorczego — w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO).

10. Usunięcie konta i danych

Konto i dane usuniesz samodzielnie w aplikacji (Ustawienia → Usuń konto i dane) albo na stronie https://martia.ai/delete-account.

Po otrzymaniu żądania blokujemy konto, anulujemy aktywną subskrypcję i trwale usuwamy dane z naszych aktywnych systemów oraz u dostawców: z Auth0, z PostHog, z magazynu Google Cloud, a sesję u dostawcy bankowego unieważniamy. Faktury w Stripe zachowujemy przez okres wymagany przepisami podatkowymi. Kopie zapasowe wygasają w cyklu do 30 dni.

11. Bezpieczeństwo

Stosujemy odpowiednie środki techniczne i organizacyjne, aby chronić Twoje dane przed nieuprawnionym dostępem, utratą lub zniszczeniem. Dane przesyłamy wyłącznie przez szyfrowane połączenie HTTPS.

Połączenie z bankiem działa w trybie tylko do odczytu — nie znamy Twojego hasła bankowego i nie możemy wykonywać operacji na Twoim koncie.

12. Pliki cookie i analityka

Używamy technicznych plików cookie oraz pamięci przeglądarki niezbędnych do działania sesji i logowania. Dodatkowo, tylko po wyrażeniu przez Ciebie zgody, korzystamy z analityki produktowej (PostHog, chmura w UE), którą włączysz lub wyłączysz w aplikacji. Nie stosujemy reklamowych ani śledzących plików cookie i nie sprzedajemy danych.

13. Zmiany tej polityki

O istotnych zmianach poinformujemy Cię z wyprzedzeniem — w aplikacji lub e-mailem — wyjaśniając, czego zmiana dotyczy. Ta polityka ma charakter informacyjny i nie jest umową; dalsze korzystanie z aplikacji nie oznacza „akceptacji” jej treści.

Wersja 2026-07-11 zastępuje dokument z 2025-01-01.