Wersja z dnia 16.10.2026 · ← Powrót do strony głównej

POLITYKA PRYWATNOŚCI ULGIO

Wersja 0.4 — 16.10.2026

0. Jak czytać tę politykę

Ten dokument opisuje, co dzieje się z danymi osobowymi w usłudze Ulgio (panel app.ulgio.com, strony informacyjne ulgio.com i garage.ulgio.com, kanały: WhatsApp, e-mail, telefon).

Ulgio występuje w dwóch różnych rolach — to jest najważniejsze zdanie tej polityki i od niego zależy, do kogo masz się zwrócić ze swoim żądaniem. Rozdział ról opisuje sekcja 2.

1. Kto odpowiada za dane — tożsamość i kontakt

Mietec GmbH - adres rejestrowy (siedziba): Tychbodenstrasse 3, 4665 Oftringen, Szwajcaria - adres prowadzenia działalności i korespondencyjny: Chemin du Gors 3, 1786 Bas-Vully (Sugiez), Szwajcaria - numer w rejestrze handlowym: CHE-364.036.829 - kontakt we wszystkich sprawach dotyczących danych osobowych: [email protected]

Usługę Ulgio świadczy Mietec GmbH.

Jaki reżim prawny Cię obejmuje: - Jeśli przebywasz w Szwajcarii — stosujemy szwajcarską ustawę o ochronie danych (nDSG, w brzmieniu obowiązującym od 1.09.2023) wraz z rozporządzeniem wykonawczym (DSV). - Jeśli przebywasz w Unii Europejskiej — stosujemy dodatkowo RODO (rozporządzenie 2016/679). - Tam, gdzie oba reżimy różnią się co do Twoich praw, stosujemy rozwiązanie korzystniejsze dla Ciebie.

Usługa jest kierowana wyłącznie do przedsiębiorców (model B2B). Naszymi Klientami są warsztaty i inne firmy usługowe, nie konsumenci.

2. Dwie role — administrator i podmiot przetwarzający

a) Jesteśmy ADMINISTRATOREM Twoich danych, gdy: - jesteś naszym Klientem (warsztat, firma) albo osobą działającą po jego stronie — konto w panelu, rozliczenia, faktury, korespondencja z nami, - odwiedzasz nasze strony (ulgio.com, garage.ulgio.com, app.ulgio.com), - zapisałeś się na listę oczekujących (waitlist) albo skontaktowałeś się z nami w sprawie oferty.

W tym zakresie sami decydujemy o celach i środkach przetwarzania i sami odpowiadamy za Twoje dane.

b) Jesteśmy PODMIOTEM PRZETWARZAJĄCYM (Auftragsbearbeiter), gdy: - jesteś klientem końcowym naszego Klienta — np. piszesz na WhatsApp do warsztatu, dzwonisz do niego albo wysyłasz mu zdjęcie dowodu rejestracyjnego, a warsztat obsługuje Cię w Ulgio.

W tym zakresie administratorem Twoich danych jest ten warsztat, a my działamy wyłącznie na jego udokumentowane polecenie i na jego rachunek. Ze swoim żądaniem zwróć się w pierwszej kolejności do warsztatu. Jeśli trafi ono do nas, przekażemy je warsztatowi niezwłocznie i pomożemy mu je wykonać (sekcja 7).

Nie używamy powierzonych danych do własnych celów. Danych, które warsztat nam powierzył, nie wykorzystujemy do żadnego celu własnego. W szczególności nie używamy ich do: - trenowania, dostrajania ani testowania modeli sztucznej inteligencji, - porównań jakości (benchmark) i „poprawiania bota na prawdziwych rozmowach", - budowania własnych statystyk, analiz rynkowych ani produktów pochodnych, - sprzedaży lub udostępniania komukolwiek poza podprocesorami z sekcji 5, którzy działają wyłącznie na nasze polecenie.

Nie jest to wyłącznie deklaracja handlowa: każde użycie powierzonych danych do własnego celu przesunęłoby nas z roli podmiotu przetwarzającego do roli (współ)administratora — z własną odpowiedzialnością wobec osób, których nigdy nie obsługiwaliśmy. Zakaz jest wpisany także do Załącznika 1 (AVV) i zabezpieczony ograniczeniem dostępu do danych produkcyjnych najemców. Do rozwoju usługi używamy wyłącznie danych nieodwracalnie zanonimizowanych i zagregowanych, z których nie da się odtworzyć osoby, Klienta ani jego klienta końcowego (Regulamin pkt 11.5).

Podstawa powierzenia. Powierzenie przetwarzania odbywa się na podstawie umowy powierzenia przetwarzania danych (art. 9 nDSG, art. 28 RODO), która stanowi Załącznik 1 do Regulaminu Ulgio (umowa powierzenia przetwarzania) i obowiązuje od dnia rejestracji Klienta, również w okresie próbnym. Umowa ta określa m.in. przedmiot i cel przetwarzania, kategorie danych i osób, zakaz przetwarzania poza poleceniem, zakaz opisany akapit wyżej, obowiązek poufności, środki bezpieczeństwa, zasady korzystania z podprocesorów wraz z prawem sprzeciwu, wsparcie przy realizacji praw osób, terminy zgłaszania naruszeń, zasady przechowywania i usuwania danych (sekcja 6) oraz zwrot lub usunięcie danych po zakończeniu umowy.

2a. Informacja w chwili pozyskania danych (w kanale)

Dane przekazywane w kanałach komunikacji (WhatsApp, telefon) są przetwarzane w celu obsługi zgłoszenia klienta końcowego u warsztatu, w sposób opisany w tej polityce. Polityka jest dostępna na stronie ulgio.com.

3. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie

3.1 Jako administrator (nasi Klienci, osoby po ich stronie, odwiedzający strony)

Uwaga o różnicy między reżimami. Prawo szwajcarskie nie wymaga wskazania „podstawy przetwarzania" w takim układzie, w jakim robi to art. 6 RODO: przetwarzanie danych zwykłych przez podmiot prywatny jest co do zasady dopuszczalne, dopóki nie narusza osobowości osoby, której dane dotyczą, a zgoda albo inny uzasadniony powód są wymagane w sytuacjach wskazanych w ustawie. Kolumna „Szwajcaria" ma więc charakter informacyjny — tłumaczy, dlaczego przetwarzamy dane, a nie wskazuje formalnej podstawy w rozumieniu RODO.

3.2 Jako podmiot przetwarzający (dane klientów końcowych naszego Klienta)

Przetwarzamy je wyłącznie w zakresie, w jakim warsztat skonfigurował usługę, i wyłącznie w celu obsługi jego zgłoszeń, zleceń, kosztorysów i komunikacji z klientem:

• treść rozmów i wiadomości (WhatsApp, e-mail, formularz),
• numer telefonu, adres e-mail, imię i nazwisko, adres — jeśli zostały podane,
• przesłane zdjęcia i dokumenty, w tym dokumenty pojazdu: marka, model, numer VIN, numer rejestracyjny, Typenschein/Stammnummer, dane właściciela widoczne na dowodzie,
• dane zlecenia: opis usterki, przebieg, terminy, wycena,
• dane połączenia telefonicznego — numer, data, godzina i czas trwania rozmowy — gdy warsztat korzysta z kanału telefonicznego,
• nagrania i transkrypcje rozmów telefonicznych — wyłącznie jeśli warsztat korzysta z kanału telefonicznego (voicebot w planie Plus); rozmowy z asystentką są nagrywane (sekcja 10).

Nie przetwarzamy w tym kanale danych szczególnie chronionych w rozumieniu art. 5 lit. c nDSG / art. 9 RODO w sposób zamierzony. Jeśli klient końcowy sam prześle taką informację w treści wiadomości, podlega ona tym samym zasadom przechowywania i usuwania co reszta sprawy.

4. Gdzie fizycznie leżą dane

Przechowywanie to nie to samo co przetwarzanie w locie. Dane przechowujemy w Unii Europejskiej — serwer produkcyjny, baza i kopie zapasowe leżą w Niemczech, rozliczenia kartowe w Irlandii. Część przetwarzania odbywa się przejściowo poza UE i Szwajcarią — dotyczy to treści przekazywanej do modeli językowych, rozpoznawania i syntezy mowy oraz odczytu dokumentów (OCR), opisanych w sekcji 5. Okres przechowywania treści u dostawców wynika z warunków danego dostawcy; lista na żądanie.

Powiadomienia push. Do aplikacji mobilnej warsztatu wysyłamy wyłącznie sygnał „nowe zgłoszenie" wraz z nazwą kanału (WhatsApp / telefon / formularz / mail). Powiadomienie nie zawiera treści zgłoszenia ani danych klienta końcowego — Google nie dowiaduje się z niego, kto i w jakiej sprawie się zgłosił.

Jeżeli uruchomimy dodatkowe miejsce przechowywania plików lub kopii, jego kraj wpisujemy do tej tabeli przed uruchomieniem, a nie po — na zasadach zmiany polityki z sekcji 13.

5. Komu przekazujemy dane — podprocesorzy, kraje i podstawy transferu

Kolumna „Podstawa transferu" wskazuje zabezpieczenie stosowane wobec przekazania poza Szwajcarię i UE. Tam, gdzie certyfikacja dostawcy w programie Swiss-U.S. Data Privacy Framework nie jest potwierdzona, stosujemy standardowe klauzule umowne (SCC) wraz z klauzulami szwajcarskimi lub równoważny mechanizm. Lista dostawców jest dostępna na żądanie.

Stripe Payments Europe, Ltd. i Meta Platforms Ireland Ltd. działają jako odrębni administratorzy, nie jako nasi podprocesorzy.

Transfer poza Szwajcarię i Unię Europejską występuje. Treść rozmów, wypowiedzi w kanale telefonicznym oraz przesłane dokumenty mogą być przetwarzane przez dostawców w Stanach Zjednoczonych. Transfer opieramy — odrębnie dla każdego dostawcy — na jednej z dwóch podstaw: (a) certyfikacji dostawcy w programie Swiss-U.S. Data Privacy Framework (a wobec osób z UE — również EU-U.S. Data Privacy Framework), uznanym przez Radę Federalną jako zapewniający odpowiednią ochronę, albo (b) standardowych klauzulach umownych Komisji Europejskiej (SCC) wraz z klauzulami szwajcarskimi — jako zabezpieczeniu w rozumieniu art. 16 ust. 2 nDSG.

Trzy rzeczy, o których mówimy wprost, bo bywają mylone: 1. Certyfikacja unijna to nie jest certyfikacja szwajcarska. EU-U.S. DPF i Swiss-U.S. DPF to dwa osobne programy. Dostawca certyfikowany dla UE może nie być certyfikowany dla Szwajcarii — a my jesteśmy podmiotem szwajcarskim. Oceniamy obie listy osobno, dla każdego dostawcy. 2. Certyfikacja obejmuje tylko spółkę figurującą na liście, nie całą grupę kapitałową. Obecność jednej spółki z USA nie załatwia pozostałych spółek tej samej grupy. 3. DPF nie zwalnia z oceny ryzyka transferu. Tam, gdzie realny jest dostęp organów państwa trzeciego, uwzględniamy to przy doborze zabezpieczeń.

Trenowanie modeli. Z dostawcami modeli językowych i przetwarzania mowy korzystamy z interfejsów biznesowych (API) i nie zlecamy wykorzystywania przekazywanych treści do trenowania modeli. Informacje o warunkach poszczególnych dostawców udostępniamy na żądanie.

Lista podprocesorów i jej zmiany. Aktualną listę udostępniamy na żądanie ([email protected]). O zamiarze dodania lub zmiany podprocesora informujemy Klientów z 30-dniowym wyprzedzeniem; Klientowi przysługuje prawo sprzeciwu, a w razie jego zgłoszenia — prawo wypowiedzenia umowy bez negatywnych konsekwencji, na zasadach opisanych w Regulaminie (pkt 12.3) i w Załączniku 1.

5a. Zautomatyzowane podejmowanie decyzji i profilowanie (art. 21 nDSG, art. 22 RODO)

Zgodnie z założeniami usługi nie podejmujemy wobec Ciebie decyzji wyłącznie w sposób zautomatyzowany, które wywoływałyby wobec Ciebie skutek prawny lub dotykały Cię w porównywalnie istotny sposób.

System przygotowuje propozycje odpowiedzi, porządkuje zgłoszenia, prowadzi wstępną rozmowę i odczytuje treść dokumentów (OCR). Decyzje wobec Ciebie — wycena, przyjęcie albo odmowa zlecenia, warunki naprawy — podejmuje człowiek po stronie warsztatu.

Jeżeli warsztat włączy funkcję samodzielnego umawiania terminu przez bota (rezerwacja wolnego okna w kalendarzu warsztatu), taka rezerwacja jest czynnością organizacyjną, nie decyzją o Twoich prawach — a mimo to masz prawo żądać, aby sprawę przejął człowiek: wystarczy o to poprosić w rozmowie lub wiadomości.

Nie tworzymy profili osobowościowych, nie oceniamy zdolności kredytowej ani wiarygodności płatniczej i nie prowadzimy profilowania wysokiego ryzyka w rozumieniu nDSG.

Odczyt dokumentu przez OCR oraz treści generowane przez modele językowe mogą zawierać błędy. Masz prawo żądać sprostowania danych oraz weryfikacji przez człowieka.

6. Jak długo przechowujemy dane

6.1 Dane, których jesteśmy administratorem

6.2 Dane, których jesteśmy podmiotem przetwarzającym (klienci końcowi warsztatu)

Dane klientów końcowych przechowujemy przez czas trwania umowy. Po jej zakończeniu Klient może wyeksportować dane przez 30 dni; po upływie 30 dni dane są trwale usuwane, z wyjątkiem danych, które Mietec musi przechowywać z mocy prawa (dokumentacja księgowa Mietec: 10 lat, art. 958f OR). Klient sam archiwizuje własne dokumenty księgowe.

Okres przechowywania w trakcie umowy ustala Klient w uzgodnieniu z Mietec; jako podmiot przetwarzający realizujemy to uzgodnienie.

7. Twoje prawa

Jeśli przebywasz w Szwajcarii (nDSG): masz prawo do informacji o przetwarzaniu, dostępu do swoich danych (art. 25 nDSG), sprostowania danych nieprawidłowych, żądania usunięcia danych lub zaprzestania przetwarzania, sprzeciwu wobec konkretnego przetwarzania, a także prawo do wydania lub przekazania Twoich danych w powszechnie używanym formacie elektronicznym (art. 28 nDSG).

Jeśli przebywasz w Unii Europejskiej (RODO): przysługują Ci dodatkowo prawo do ograniczenia przetwarzania (art. 18 RODO), przenoszenia danych (art. 20 RODO), sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO) oraz prawo wycofania zgody w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem.

Zakres prawa do przenoszenia danych. Prawo do wydania lub przeniesienia danych obejmuje dane, które nam podałeś i które przetwarzamy w sposób zautomatyzowany na podstawie Twojej zgody lub umowy. Nie obejmuje danych wytworzonych przez nas (np. wewnętrznych ocen, notatek serwisowych) ani sytuacji, w których wydanie naruszałoby prawa osób trzecich. Jeżeli jednak możemy wydać więcej bez szkody dla innych osób — robimy to, zgodnie z zasadą rozwiązania korzystniejszego dla Ciebie (sekcja 1).

Jak to zrobić: napisz na [email protected]. Odpowiadamy bez zbędnej zwłoki, najpóźniej w terminie 30 dni (Szwajcaria) albo jednego miesiąca (Unia Europejska) od otrzymania żądania. W sprawach szczególnie złożonych lub przy dużej liczbie żądań możemy ten termin przedłużyć o maksymalnie dwa miesiące, informując Cię o przedłużeniu i jego przyczynie jeszcze w terminie pierwotnym. Możemy poprosić o potwierdzenie tożsamości, jeśli mamy uzasadnione wątpliwości, kto składa żądanie.

Jeśli jesteś klientem końcowym warsztatu — skieruj żądanie do tego warsztatu; to on jest administratorem Twoich danych. Jeśli żądanie trafi do nas, przekażemy je warsztatowi bez zbędnej zwłoki, najpóźniej w ciągu 5 dni roboczych, i udzielimy mu wsparcia technicznego przy jego wykonaniu. Sami nie możemy rozstrzygnąć takiego żądania — decyduje administrator.

8. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym rozdzielenie danych najemców, kontrolę dostępu, szyfrowanie transmisji i regularne kopie zapasowe. Opis aktualnych środków udostępniamy Klientowi na żądanie.

Żaden system nie jest w 100% odporny na incydenty. Zasady postępowania w razie naruszenia opisuje sekcja 11.

9. Pliki cookies i piksele reklamowe

Na stronach ulgio.com, garage.ulgio.com oraz w panelu app.ulgio.com używamy wyłącznie plików niezbędnych do działania serwisu i utrzymania sesji zalogowanego użytkownika (pliki techniczne i bezpieczeństwa).

Nie stosujemy plików śledzących ani narzędzi analitycznych stron trzecich — w szczególności nie używamy pikseli reklamowych Meta, Google Ads ani Google Analytics.

Jeśli to się zmieni, najpierw uruchomimy baner zgody na cookies i poprosimy Cię o zgodę, a następnie zaktualizujemy tę politykę. Piksel Meta zostanie uruchomiony wyłącznie po spełnieniu obu warunków łącznie: uzyskaniu zgody przez baner oraz wpisaniu prawdziwego identyfikatora Pixela.

10. Kanały komunikacji — WhatsApp, e-mail, telefon

WhatsApp. Kanał działa przez WhatsApp Business API (Meta Platforms Ireland Ltd.). Korzystanie z WhatsAppa podlega regulaminowi i polityce prywatności Meta, na które nie mamy wpływu — zapoznaj się z nimi. Metadane rozmowy — numer telefonu, czas i fakt wysłania wiadomości — trafiają do Meta niezależnie od nas i podlegają zasadom Meta. Treść wiadomości trafia do systemu Ulgio i jest przetwarzana na zasadach opisanych wyżej.

E-mail. Wiadomości przychodzące i wychodzące przechowujemy w ramach obsługi sprawy. Poczta elektroniczna nie jest kanałem w pełni bezpiecznym — nie przesyłaj nią dokumentów, których nie musisz przesyłać.

Telefon (voicebot, plan Plus). Rozmowy z asystentką są nagrywane; warsztat jest zobowiązany poinformować o tym swoich rozmówców zgodnie z prawem. Możesz poprosić o kontakt innym kanałem. Niezależnie od nagrywania zapisujemy dane połączenia (numer, data, czas trwania) oraz — jeśli warsztat tak skonfigurował usługę — transkrypcję rozmowy potrzebną do obsługi zgłoszenia.

11. Naruszenia ochrony danych

Role przy zgłaszaniu naruszeń wynikają wprost z sekcji 2 i nie są wymienne.

a) Naruszenie dotyczące danych, których jesteśmy ADMINISTRATOREM (dane naszych Klientów, osób po ich stronie, waitlisty, logi): powiadamiamy niezwłocznie EDÖB (szwajcarski Federalny Pełnomocnik ds. Ochrony Danych i Jawności), gdy naruszenie może powodować wysokie ryzyko dla osób, których dane dotyczą, a wobec osób z UE — właściwy organ nadzorczy zgodnie z art. 33 RODO. Osoby dotknięte naruszeniem informujemy, gdy wymaga tego prawo.

b) Naruszenie dotyczące danych, których jesteśmy PODMIOTEM PRZETWARZAJĄCYM (dane klientów końcowych warsztatu): powiadamiamy warsztat, który jest ich administratorem — nie później niż w ciągu 48 godzin od stwierdzenia naruszenia — i przekazujemy mu wszystkie informacje potrzebne do wykonania jego własnych obowiązków. Zgłoszenia do organu nadzorczego oraz powiadomienia osób dokonuje wtedy warsztat, nie my; my go w tym wspieramy. Sami zgłaszamy naruszenie organowi wyłącznie w zakresie danych, których jesteśmy administratorem (lit. a).

Naruszenia dokumentujemy i zgłaszamy zgodnie z art. 24 nDSG / art. 33 RODO.

12. Kontakt i skargi

We wszystkich sprawach dotyczących danych: [email protected] Adres pocztowy: Mietec GmbH, Chemin du Gors 3, 1786 Bas-Vully, Szwajcaria

Masz prawo wniesienia skargi do organu nadzorczego: - w Szwajcarii — EDÖB, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Feldeggweg 1, 3003 Bern (edoeb.admin.ch); - w Unii Europejskiej — do organu nadzorczego właściwego dla Twojego miejsca zamieszkania, miejsca pracy lub miejsca naruszenia.

Sąd właściwy. Spory ze stosunku umownego między Mietec GmbH a Klientem rozpatruje sąd w Bernie — zgodnie z pkt 22.2 Regulaminu Ulgio (umowa o sąd właściwy między przedsiębiorcami, art. 17 ZPO), którą Klient akceptuje przy rejestracji (pkt 22.5 Regulaminu). Nie ogranicza to Twojego prawa do wniesienia skargi do organu nadzorczego ani dochodzenia roszczeń z tytułu ochrony danych i dóbr osobistych, dla których właściwość wynika z przepisów bezwzględnie obowiązujących (pkt 22.4 Regulaminu). Jeśli jesteś klientem końcowym warsztatu — ta klauzula Cię nie dotyczy: nie łączy Cię z nami umowa, a swoje prawa realizujesz wobec warsztatu (sekcja 2b) i przed organem nadzorczym.

13. Zmiany polityki

O istotnych zmianach informujemy Klientów pocztą elektroniczną i w panelu z 30-dniowym wyprzedzeniem. Data ostatniej zmiany oraz numer wersji widnieją na początku dokumentu. Poprzednie wersje archiwizujemy i udostępniamy na żądanie.