Polityka prywatności

1. Kim jesteśmy

ModelDirectory.org („my", „nas", „nasz") jest otwartą platformą służącą do odkrywania, udostępniania i znakowania czasowego plików modeli 3D. Dla celów RODO UE/Wielkiej Brytanii jesteśmy administratorem danych osobowych gromadzonych za pośrednictwem tej strony internetowej oraz jej API.

Nasz kontakt w sprawach prywatności: [email protected]

Niniejsza polityka ma zastosowanie do wszystkich odwiedzających, zarejestrowanych użytkowników oraz każdej osoby przesyłającej dane za pośrednictwem formularzy lub API platformy.

2. Dane, które gromadzimy

2.1 Dane konta

Podczas rejestracji gromadzimy:

• Adres e-mail: wymagany do uwierzytelniania oraz komunikacji transakcyjnej.
• Nazwa wyświetlana: widoczna na publicznym profilu Użytkownika i przypisana do jego przesłanych treści.
• Dane profilu OAuth: jeśli Użytkownik loguje się za pośrednictwem Google, otrzymujemy nazwę jego konta Google, adres e-mail oraz adres URL zdjęcia profilowego. Nie otrzymujemy hasła do konta Google.
• Skrót hasła: jeśli Użytkownik rejestruje się przy użyciu adresu e-mail i hasła, hasło to jest poddawane funkcji skrótu przez Supabase Auth przy użyciu bcrypt. Nigdy nie przechowujemy haseł w postaci jawnej.

2.2 Dane dotyczące przesyłanych treści

Gdy Użytkownik przesyła model, gromadzimy i przechowujemy trwale:

• sam plik modelu 3D (przechowywany w zaszyfrowanym magazynie obiektów);
• nazwę, rozmiar, format oraz skrót SHA-256 pliku;
• nazwę modelu, opis, kategorię oraz tagi podane przez Użytkownika;
• wybraną przez Użytkownika licencję;
• oświadczenie Użytkownika o prawach (wartość logiczna wraz ze znacznikiem czasu);
• metadane geometrii: liczbę trójkątów, wymiary bryły brzegowej (bounding box);
• wynik skanowania antywirusowego;
• znacznik czasu przesłania;
• metadane klasyfikacji treści: przypisaną automatycznie wartość content_rating (general, mature, adult lub weapon), wartość logiczną age_gate oraz obiekt JSON content_flags rejestrujący sygnały (dopasowanie słów kluczowych, wynik automatycznej analizy obrazu, wynik weryfikacji przez człowieka), które doprowadziły do nadania danej klasyfikacji. Zob. sekcja 13.

2.3 Dane znacznika czasu blockchain

Jeśli Użytkownik zdecyduje się na znakowanie czasowe w blockchainie, przesyłamy skrót SHA-256 jego pliku oraz naszą transakcję kontraktu inteligentnego do blockchaina Polygon (lub innego wybranego). Dane te są trwale publiczne i nie mogą zostać usunięte. Nie zawierają one imienia i nazwiska, adresu e-mail ani żadnego identyfikatora osobowego — jedynie skrót pliku oraz znacznik czasu bloku.

2.4 Dane o użytkowaniu i dane techniczne

Podczas korzystania z platformy nasze serwery oraz Cloudflare automatycznie rejestrują:

• adres IP Użytkownika (wykorzystywany do celów bezpieczeństwa i ograniczania liczby żądań; niepowiązany z jego kontem podczas zwykłego przeglądania);
• ciąg user agent przeglądarki;
• odwiedzone strony, znacznik czasu oraz kod odpowiedzi HTTP;
• zdarzenia pobrania (identyfikator modelu i znacznik czasu, powiązane z kontem Użytkownika, jeśli jest on zalogowany).

Nie korzystamy z narzędzi analitycznych podmiotów trzecich (np. Google Analytics). Rejestry dostępu są przetwarzane przez Cloudflare zgodnie z jego polityką prywatności.

2.5 Dane dotyczące płatności

Płatności są przetwarzane przez Stripe. Nie przechowujemy numeru karty, kodu CVV ani pełnych danych płatności Użytkownika. Otrzymujemy i przechowujemy numer referencyjny płatności Stripe, kwotę, walutę oraz znacznik czasu. Stripe działa jako podmiot przetwarzający dane na podstawie zawartej z nami umowy powierzenia przetwarzania danych; zob. sekcja 7.

2.6 Dane dotyczące zgłoszeń DMCA i pomocy technicznej

Jeśli Użytkownik przesyła zgłoszenie usunięcia treści DMCA, kontrpowiadomienie lub zapytanie do działu pomocy, gromadzimy dane podane w takim zgłoszeniu, w tym imię i nazwisko, dane kontaktowe oraz treść komunikacji. Dane te są przechowywane przez minimalny okres wymagany przez prawo (zob. sekcja 5).

2.7 Dane, których nie gromadzimy

Nie gromadzimy: informacji o rasie lub pochodzeniu etnicznym, danych dotyczących zdrowia, danych biometrycznych, precyzyjnej geolokalizacji (poza krajem wynikającym z adresu IP), poglądów politycznych ani przekonań religijnych.

3. Jak wykorzystujemy dane Użytkownika

Nie sprzedajemy danych osobowych Użytkownika podmiotom trzecim. Nie wykorzystujemy jego danych do reklamy targetowanej.

4. Podstawa prawna przetwarzania (RODO / UK GDPR)

Jeśli Użytkownik znajduje się w UE lub Wielkiej Brytanii, opieramy się na następujących podstawach prawnych wynikających z art. 6 RODO:

W przypadkach, w których opieramy się na prawnie uzasadnionym interesie, Użytkownikowi przysługuje prawo sprzeciwu (zob. sekcja 6). Przeprowadziliśmy lub przeprowadzimy ocenę prawnie uzasadnionego interesu dla każdej odpowiedniej czynności.

W przypadkach, w których opieramy się na zgodzie, Użytkownik może ją wycofać w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

5. Przechowywanie danych

Przechowujemy dane Użytkownika wyłącznie przez okres niezbędny do realizacji celu, dla którego zostały zgromadzone, lub przez okres wymagany przez prawo.

Po upływie właściwego okresu przechowywania dane są bezpiecznie usuwane lub anonimizowane w taki sposób, aby nie można ich było już powiązać z Użytkownikiem.

6. Prawa Użytkownika

Jeśli Użytkownik znajduje się w UE, Wielkiej Brytanii lub jurysdykcji o podobnych przepisach o ochronie danych, przysługują mu następujące prawa dotyczące jego danych osobowych. Większość z nich Użytkownik może wykonać bezpośrednio z poziomu panelu konta. W przypadku żądań, których nie można obsłużyć automatycznie, prosimy o kontakt pod adresem [email protected].

Jeśli Użytkownik nie jest zadowolony ze sposobu, w jaki obsługujemy jego żądanie dotyczące danych, przysługuje mu prawo do złożenia skargi do właściwego krajowego organu ochrony danych:

• UE: właściwy krajowy organ nadzorczy (można go znaleźć na stronie edpb.europa.eu).
• Wielka Brytania: Information Commissioner's Office (ICO) pod adresem ico.org.uk.

7. Podmioty trzecie i podmioty przetwarzające dane

Udostępniamy dane następującym dostawcom usług będącym podmiotami trzecimi, z których każdy działa jako podmiot przetwarzający na podstawie podpisanej umowy powierzenia przetwarzania danych (DPA), przetwarzając dane wyłącznie zgodnie z naszymi instrukcjami:

Nie udostępniamy danych osobowych Użytkownika podmiotom trzecim do ich własnych celów marketingowych. Możemy ujawnić dane organom ścigania lub organom rządowym, jeśli wymaga tego ważny proces prawny (nakaz sądowy, wezwanie lub obowiązujące przepisy prawa).

8. Międzynarodowe przekazywanie danych

Niektórzy z naszych podmiotów przetwarzających (Stripe, Resend, Cloudflare) mają siedzibę w Stanach Zjednoczonych. Gdy przekazujemy dane osobowe osób, których dane dotyczą, z UE/Wielkiej Brytanii poza EOG/Wielką Brytanię, zapewniamy odpowiednie zabezpieczenia, takie jak:

• standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską;
• brytyjskie umowy o międzynarodowym przekazywaniu danych (IDTA), tam gdzie ma to zastosowanie;
• decyzje stwierdzające odpowiedni stopień ochrony, jeśli kraj docelowy zapewnia równoważną ochronę.

Użytkownik może zażądać kopii odpowiedniego mechanizmu przekazywania danych, kontaktując się z [email protected].

9. Pliki cookie i śledzenie

9.1 Co wykorzystujemy

Wykorzystujemy minimalną liczbę plików cookie oraz wpisów w pamięci lokalnej, ściśle niezbędnych do funkcjonowania platformy:

9.2 Czego nie wykorzystujemy

Nie wykorzystujemy plików cookie reklamowych, plików cookie śledzących między witrynami ani plików cookie analitycznych pochodzących od Google, Meta lub podobnych podmiotów trzecich. Nie wyświetlamy reklam.

9.3 Zarządzanie plikami cookie

Użytkownik może kontrolować pliki cookie za pomocą ustawień przeglądarki. Usunięcie tokena sesji Supabase spowoduje wylogowanie. Zablokowanie plików cookie bezpieczeństwa Cloudflare może wpłynąć na możliwość obsługi stron przez witrynę w warunkach ataku DDoS.

10. Prywatność dzieci

Platforma nie jest kierowana do dzieci poniżej 13. roku życia. Świadomie nie gromadzimy danych osobowych dzieci poniżej 13. roku życia. Jeśli ktoś uważa, że dziecko poniżej 13. roku życia przekazało nam dane osobowe, prosimy o kontakt pod adresem [email protected] — niezwłocznie je usuniemy.

Użytkownicy w wieku od 13 do 16 lat w UE wymagają możliwej do zweryfikowania zgody rodzica lub opiekuna prawnego na podstawie art. 8 RODO. Jeśli komuś wiadomo o użytkowniku w tym przedziale wiekowym, który zarejestrował się bez takiej zgody, prosimy o kontakt.

11. Zmiany niniejszej polityki

Możemy okresowo aktualizować niniejszą Politykę prywatności. W przypadku wprowadzenia istotnych zmian:

• opublikujemy zaktualizowaną politykę na tej stronie z nową datą „Ostatnia aktualizacja";
• powiadomimy zarejestrowanych użytkowników pocztą elektroniczną co najmniej 14 dni przed wejściem w życie istotnych zmian.

Dalsze korzystanie z platformy po dacie wejścia w życie zmienionej polityki stanowi akceptację nowej polityki.

12. Kontakt i ochrona danych

W przypadku jakichkolwiek pytań dotyczących prywatności, żądań dostępu do danych osobowych lub w celu skorzystania z któregokolwiek z przysługujących praw, prosimy o kontakt:

Jeśli będziemy zobowiązani do wyznaczenia formalnego Inspektora Ochrony Danych (IOD) na podstawie RODO (art. 37), zaktualizujemy niniejszą sekcję o dane kontaktowe IOD. Na obecnym etapie funkcję ochrony prywatności pełni bezpośrednio zespół prawny/ds. zgodności.

Zobacz także: Regulamin

13. Klasyfikacja treści, weryfikacja wieku i obowiązki w zakresie prowadzenia dokumentacji

13.1 Metadane klasyfikacji treści

Każdemu plikowi modelu hostowanemu na platformie przypisywana jest klasyfikacja treści wywodząca się z czteropoziomowej taksonomii: general, mature, adult lub weapon. Klasyfikacja ta jest przechowywana w naszej bazie danych wraz z rekordem modelu. Nie stanowi ona sama w sobie danych osobowych, lecz jest powiązana z kontem Użytkownika oraz rekordem proweniencji przesłanej treści.

Klasyfikacje są ustalane za pomocą jednej lub kilku z poniższych metod zautomatyzowanych, których wyniki są przechowywane w polu JSON content_flags:

• Wykrywanie słów kluczowych: nazwa, opis i tagi modelu są porównywane z wyselekcjonowanymi zestawami słów kluczowych w momencie wprowadzania danych.
• Automatyczna analiza obrazu: lokalnie hostowany model analizy obrazu (minicpm-v) analizuje miniaturę modelu i zwraca rekomendację klasyfikacji treści. Żadne dane miniatury nie są przekazywane w tym celu zewnętrznym podmiotom trzecim.
• Weryfikacja przez moderatora: moderator może zmienić lub potwierdzić automatyczną klasyfikację. Rejestrowana jest decyzja weryfikującego oraz znacznik czasu.

Pole content_flags rejestruje, które sygnały zostały uruchomione (np. {"source_platform_nsfw": true, "ai_detected": true, "human_reviewed": false}). Pole to nie jest ujawniane publicznie. Jest ono widoczne dla moderatorów, zespołu prawnego oraz — na żądanie — dla twórcy, który przesłał daną treść.

13.2 Weryfikacja wieku

Modele sklasyfikowane jako adult podlegają bramce wiekowej (age-gate): nie są one dostępne dla niezalogowanych odwiedzających ani dla kont, które nie przeszły weryfikacji wieku. Po wdrożeniu weryfikacji wieku będziemy gromadzić minimalny zakres danych niezbędny do potwierdzenia, że Użytkownik ma ukończone 18 lat. Może to obejmować:

• deklarację daty urodzenia (samodzielnie potwierdzoną), przechowywaną w postaci logicznego potwierdzenia („Użytkownik potwierdził wiek ≥ 18 lat"), a nie samej daty;
• w przypadku wykorzystania w przyszłości usługi weryfikacji wieku podmiotu trzeciego — przechowywanie przez nas wyłącznie tokena weryfikacyjnego lub wyniku pozytywny/negatywny; bazowe dane dokumentu tożsamości będą przechowywane przez tę usługę i podlegać jej własnej polityce prywatności.

Podstawą prawną gromadzenia danych weryfikacji wieku jest obowiązek prawny (art. 6 ust. 1 lit. c) RODO), tam gdzie ma to zastosowanie, oraz prawnie uzasadniony interes (art. 6 ust. 1 lit. f)) polegający na ochronie małoletnich przed dostępem do treści o ograniczeniach wiekowych.

Rekordy weryfikacji wieku są przechowywane przez czas trwania zweryfikowanej sesji lub przez 12 miesięcy w przypadku weryfikacji trwałej, po czym może być wymagana ponowna weryfikacja.

13.3 Prowadzenie dokumentacji zgodnie z 18 U.S.C. § 2257

Jeśli treści przesłane na platformę przedstawiają rzeczywiste, jednoznacznie seksualne zachowania w rozumieniu 18 U.S.C. § 2257 (prawo Stanów Zjednoczonych), osoba przesyłająca treść odpowiada za prowadzenie wymaganej dokumentacji oraz za udostępnienie jej nam na żądanie. Przesyłając takie treści, osoba przesyłająca oświadcza, że wszyscy przedstawieni wykonawcy są dorośli (mają ukończone 18 lat), że wymagana dokumentacja istnieje i jest prowadzona oraz że jest ona dostępna do wglądu zgodnie z wymogami prawa.

Prowadzimy pomocniczy rejestr powierniczy krzyżowo odnoszący się do adresu URL treści, identyfikatora konta osoby przesyłającej oraz daty złożenia przez nią oświadczenia. Rekordy te są przechowywane przez okres co najmniej 7 lat lub przez okres wymagany przez obowiązujące prawo.

Z naszym wyznaczonym powiernikiem dokumentacji w zakresie zgodności z § 2257 można się skontaktować pod adresem: [email protected]

13.4 Podsumowanie podstawy prawnej dla niniejszej sekcji