# MERKAD — POLITYKA PRYWATNOŚCI

## 1. Administrator
Administratorem danych przetwarzanych dla własnych celów Platformy jest 4AM sp. z o.o. Kontakt we wszystkich sprawach dotyczących przetwarzania danych osobowych: **kontakt@merkad.pl**.

4AM sp. z o.o. nie wyznaczyła Inspektora Ochrony Danych (IOD) — działalność Operatora nie polega na przetwarzaniu na dużą skalę szczególnych kategorii danych ani na systematycznym monitorowaniu osób na dużą skalę jako głównym przedmiocie działalności, co jest przesłanką obowiązkowego wyznaczenia IOD na podstawie art. 37 RODO. Funkcję punktu kontaktowego w sprawach ochrony danych pełni Administrator pod adresem wskazanym powyżej.

## 2. Zakres
Polityka obejmuje dane Kupujących, Sprzedawców, osób reprezentujących Sprzedawców, odwiedzających, reklamodawców, osób kontaktujących się z MERKAD oraz użytkowników MERK AI.

## 3. Kategorie danych
W zależności od funkcji MERKAD może przetwarzać: dane konta i kontaktowe; identyfikatory techniczne; historię logowania i bezpieczeństwa; dane transakcyjne i zamówień; adresy dostawy; komunikację; reklamacje i zwroty; opinie; dane Seller/KYB; dane podatkowe/DAC7; dane płatnicze otrzymywane od PSP; dane reklamowe i MERKads; zgłoszenia DSA/GPSR; dane dotyczące preferencji, wyszukiwania i interakcji; dane przekazane do funkcji AI.

## 4. Cele i podstawy
Dane są przetwarzane odpowiednio w celu: zawarcia i wykonania umowy o usługi MERKAD — art. 6 ust. 1 lit. b RODO; wykonania obowiązków prawnych — lit. c; zapewnienia bezpieczeństwa, przeciwdziałania nadużyciom, dochodzenia/obrony roszczeń, rozwoju i analityki nieopartej na zgodzie — lit. f po przeprowadzeniu wymaganej oceny; marketingu wymagającego zgody — lit. a wraz z właściwymi przepisami komunikacji elektronicznej; ochrony żywotnych interesów — lit. d wyłącznie w odpowiednich przypadkach.

## 5. Marketplace
MERKAD i Sprzedawca mogą być odrębnymi administratorami w odniesieniu do własnych celów. Sprzedawca otrzymujący dane Kupującego do wykonania umowy sprzedaży odpowiada za własne obowiązki RODO. Nie należy automatycznie traktować Sprzedawcy jako procesora MERKAD.

## 6. Konto i Seller Center
Dane są używane do rejestracji, uwierzytelniania, obsługi konta, historii usług, komunikacji, kontroli uprawnień i bezpieczeństwa.

## 7. KYB i DSA trader traceability
MERKAD gromadzi i weryfikuje dane przedsiębiorcy, reprezentacji i inne informacje wymagane prawem. Źródłem jest sam Sprzedawca (dane zadeklarowane przy zakładaniu profilu firmy) oraz — dla automatycznego sprawdzenia zgodności zadeklarowanych danych — oficjalne polskie rejestry publiczne: REGON (GUS), CEIDG (dla jednoosobowych działalności gospodarczych) oraz Wykaz podatników VAT prowadzony przez Ministerstwo Finansów ("Biała Lista", w tym opcjonalne sprawdzenie zgłoszonego rachunku bankowego). Wynik takiego automatycznego sprawdzenia rejestrowego jest odrębny od ostatecznej decyzji o zatwierdzeniu weryfikacji Sprzedawcy — sam fakt zgodności lub niezgodności z rejestrem nie zmienia automatycznie statusu konta. MERKAD nie wymaga w tym celu płatnego, zewnętrznego dostawcy weryfikacji — korzystanie z takich oficjalnych rejestrów nie wiąże się z opłatą ani z przekazaniem danych podmiotowi komercyjnemu.

## 8. DAC7
Jeżeli obowiązek ma zastosowanie, MERKAD gromadzi, weryfikuje, przechowuje i raportuje dane wymagane przepisami dotyczącymi operatorów platform. Podstawą jest obowiązek prawny. Szczegółowa retencja musi odpowiadać finalnej mapie DAC7.

## 9. Zamówienia i płatności
MERKAD przetwarza dane potrzebne do złożenia Zamówienia, statusu realizacji, refundu, rozliczeń i obsługi sporów. Obsługa płatności za Zamówienia za pośrednictwem Platformy nie jest obecnie aktywna produkcyjnie — MERKAD nie przetwarza dziś danych instrumentu płatniczego (np. numeru karty). Po aktywacji tej funkcji dane instrumentu płatniczego będą przetwarzane bezpośrednio przez zewnętrznego dostawcę usług płatniczych (PSP) jako odrębnego administratora w zakresie tego przetwarzania; nazwa PSP i szczegółowy podział ról zostaną wskazane w niniejszej Polityce przed aktywacją funkcji płatności.

## 10. Dostawa
Dane niezbędne do dostawy mogą być przekazywane Sprzedawcy, przewoźnikowi i dostawcy Delivery Hub. Zakres ograniczamy do danych potrzebnych do realizacji i obsługi przesyłki.

## 11. Opinie
Dane dotyczące transakcji mogą być używane do oznaczania opinii jako powiązanej z zakupem, jeżeli taki model zostanie wdrożony. Nie publikujemy danych prywatnych użytkownika bez podstawy.

## 12. Rekomendacje i personalizacja
Wyniki wyszukiwania i listy kategorii są porządkowane według kryteriów opisanych w `RANKING-RECOMMENDER-INFORMATION.md` (dopasowanie do zapytania, wybrane przez Kupującego sortowanie i inne jawne kryteria). MERKAD nie tworzy obecnie profilu behawioralnego Kupującego na podstawie historii przeglądania w celu personalizacji wyników — żadna funkcja Platformy nie podejmuje decyzji wywołującej skutki prawne lub podobnie istotnie wpływające na Kupującego wyłącznie na podstawie takiego profilowania.

## 13. Reklama
Dane reklamowe mogą służyć do pomiaru, frequency capping, rozliczeń i — gdy prawnie dopuszczalne — personalizacji. MERKAD nie może opierać reklam profilowanych na szczególnych kategoriach danych w sposób zakazany DSA.

## 14. MERK AI
MERKAD udostępnia funkcje wykorzystujące AI (wyszukiwanie AI Search, Asystent AI). Wywołanie rzeczywistego, zewnętrznego dostawcy modeli AI (OpenAI) dla tych funkcji podlega wewnętrznej, technicznej bramce zatwierdzenia produkcyjnej konfiguracji prywatności — dopóki takie zatwierdzenie nie zostanie udzielone, funkcje te działają wyłącznie w oparciu o lokalny, regułowy mechanizm opisany w §14a, **bez przekazywania treści zapytań ani wiadomości poza infrastrukturę MERKAD**. Na dzień aktualizacji niniejszej Polityki takie zatwierdzenie nie zostało udzielone.

Docelowym dostawcą modeli AI dla funkcji produkcyjnych MERKAD, z chwilą udzielenia zatwierdzenia, będzie OpenAI. Zgodnie z warunkami API OpenAI, dane biznesowe przekazywane przez API nie są domyślnie wykorzystywane do trenowania modeli dostawcy, chyba że klient świadomie i odrębnie wyrazi na to zgodę (opt-in) — MERKAD takiej zgody nie wyraża. Standardowe API dostawcy może przechowywać logi w celu wykrywania nadużyć (abuse monitoring) przez okres do 30 dni; szczegóły retencji opisano w §18. Rolę OpenAI Ireland Ltd. wobec klientów z EOG oraz mechanizm transferu danych poza EOG opisano w §17. Do chwili faktycznego uruchomienia wywołań do OpenAI w produkcji MERKAD nie oświadcza, że dane są przetwarzane wyłącznie w UE ani że aktywne jest Zero Data Retention — te ustawienia wymagają odrębnego, realnego potwierdzenia przez OpenAI dla właściwego konta/projektu i zostaną potwierdzone w niniejszej Polityce przed uruchomieniem.

### 14a. AI Search (wyszukiwanie tekstowe)
Zapytanie wyszukiwania jest zawsze najpierw przetwarzane lokalnym mechanizmem MERKAD (usuwanie fraz cenowych, słów wypełniających i dopasowanie do katalogu ofert), bez przekazywania go poza MERKAD. Wyłącznie po udzieleniu zatwierdzenia opisanego w §14 treść zapytania — i wyłącznie treść zapytania, bez profilu użytkownika, historii zamówień czy innych danych ponad to, co niezbędne do wyszukiwania — może zostać dodatkowo przekazana modelowi AI w celu poprawy trafności wyniku.

### 14b. Visual AI Search (wyszukiwanie po zdjęciu)
Kupujący może przesłać zdjęcie w celu wyszukania podobnych ofert. Zdjęcie jest przekazywane bezpośrednio dostawcy modelu AI (OpenAI, w konfiguracji produkcyjnej) w celu rozpoznania cech produktu — MERKAD nie zapisuje przesłanego zdjęcia w trwałym magazynie plików. Wynik analizy (rozpoznane cechy produktu oraz wektor embeddingu) jest przechowywany wyłącznie tymczasowo, przez krótki, ograniczony czas (rzędu kilku minut) potrzebny do obsłużenia sesji wyszukiwania, a następnie usuwany — nie jest zapisywany trwale ani wykorzystywany do budowy profilu użytkownika. Funkcja nie identyfikuje osób ani wizerunków — analizowane są wyłącznie cechy produktu widoczne na zdjęciu.

Przekazanie zdjęcia dostawcy modelu AI stanowi udostępnienie danych podmiotowi przetwarzającemu (OpenAI) — rzeczywista lokalizacja przetwarzania oraz zastosowany mechanizm transferu (rozdział V RODO) zależą od faktycznej konfiguracji produkcyjnego konta/projektu OpenAI używanego przez MERKAD w danym momencie (zob. §17), a nie z góry, wyłącznie z samej siedziby dostawcy poza EOG. Funkcje przetwarzające zdjęcia (w tym Visual AI Search oraz Photo Studio) dodatkowo wymagają osobno potwierdzonych ustawień ochrony danych obrazu (Enhanced ZDR/MAM) — dopóki takie potwierdzenie nie zostanie uzyskane, przesyłanie zdjęć do dostawcy AI pozostaje technicznie zablokowane w produkcji (fail-closed, zob. §18). Na dzień aktualizacji niniejszej Polityki funkcja generowania/edycji zdjęć Produktu przez AI (Photo Studio) nie jest aktywna produkcyjnie.

## 15. Moderacja i safety
Dane zgłoszeń, decyzji, odwołań, dowodów i komunikacji mogą być przetwarzane dla DSA, GPSR, egzekwowania Regulaminu, bezpieczeństwa i obowiązków wobec organów.

## 16. Odbiorcy
Kategorie odbiorców mogą obejmować: Sprzedawców; PSP; KYB; przewoźników; hosting/cloud/CDN; e-mail/SMS/push; support; security/fraud; analytics/CMP; AI; dostawców integracji; doradców i organy uprawnione prawem. Finalna lista kategorii musi odpowiadać Vendor Registry.

Kategoria „AI” obejmuje w szczególności OpenAI Ireland Ltd. (1 Airport Business Park, Swords, Co. Dublin, Irlandia) — podmiot OpenAI odpowiedzialny za klientów z siedzibą w EOG — działającą jako podmiot przetwarzający (processor) dla funkcji opisanych w §14/§14a/§14b (MERK AI, AI Search, Visual AI Search), w zakresie faktycznie aktywnym w danej konfiguracji produkcyjnej. Podstawą jest Data Processing Addendum (DPA) OpenAI, obowiązujący od 2026-01-01. Rzeczywisty zakres przekazywanych danych, lokalizacja przetwarzania i ustawienia retencji odpowiadają aktualnej konfiguracji produkcyjnej (§17/§18), a nie maksymalnemu zakresowi technicznie możliwemu.

## 17. Transfery poza EOG
Jeżeli dane są przekazywane poza EOG, MERKAD stosuje właściwy mechanizm rozdziału V RODO, np. decyzję o adekwatności lub SCC wraz z dodatkowymi środkami, jeśli wymagane. Sam wybór „EU region” nie przesądza braku transferu.

Dla funkcji korzystających z OpenAI: klient MERKAD z siedzibą w EOG zawiera zobowiązania dotyczące przetwarzania danych z OpenAI Ireland Ltd. na podstawie DPA OpenAI (§16). Sama umowa z podmiotem OpenAI z siedzibą w Irlandii nie oznacza automatycznie, że przetwarzanie odbywa się wyłącznie w UE — jest to ustalenie techniczne, zależne od tego, czy dane MERKAD konto/projekt API OpenAI ma rzeczywiście skonfigurowaną i potwierdzoną EU Data Residency (przetwarzanie przez `https://eu.api.openai.com/v1`), a nie od samej siedziby kontraktowej dostawcy. Jeżeli infrastruktura przetwarzająca dane znajduje się poza EOG, zastosowanie ma właściwy mechanizm rozdziału V RODO (SCC z dodatkowymi środkami, ewentualnie decyzja o adekwatności) — nigdy sama siedziba dostawcy jako jedyne uzasadnienie transferu.

MERKAD oświadcza, że Customer Content przekazywany funkcjom AI jest przetwarzany regionalnie w Europie zgodnie z konfiguracją WYŁĄCZNIE wtedy, gdy produkcyjna konfiguracja MERKAD jest jednocześnie: (a) oznaczona jako zatwierdzona do produkcji (production-approved) oraz (b) rzeczywiście skonfigurowana na EU Data Residency z potwierdzonym europejskim punktem końcowym API. Do czasu spełnienia obu warunków takie oświadczenie nie jest składane, a zastosowanie ma ogólny mechanizm transferu opisany powyżej.

## 18. Retencja
Dane przechowujemy nie dłużej niż jest to potrzebne dla celu, dla którego zostały zebrane, z uwzględnieniem obowiązków prawnych, rozliczeniowych, bezpieczeństwa i obrony roszczeń. W szczególności:

- dane Konta — przez czas korzystania z Konta; po jego zamknięciu dane, dla których nie ma dalszej podstawy, są usuwane lub anonimizowane;
- dokumentacja podatkowa i księgowa — zgodnie z obowiązującymi przepisami podatkowymi i o rachunkowości (aktualnie: co do zasady 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku związanego z danym dokumentem);
- dane identyfikacyjne Sprzedawcy gromadzone w ramach obowiązków identyfikowalności DSA (art. 30 DSA) — przez 6 miesięcy po zakończeniu stosunku umownego ze Sprzedawcą, z zastrzeżeniem dłuższego okresu wynikającego z innej podstawy prawnej;
- dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń — przez okres odpowiadający właściwym terminom przedawnienia;
- w przypadku sporu, postępowania, kontroli lub realnie przewidywalnego roszczenia dotyczącego konkretnych rekordów — do czasu jego zakończenia (legal hold), niezależnie od terminów wskazanych powyżej.

W odniesieniu do funkcji korzystających z OpenAI: MERKAD nie przechowuje treści przesłanych do dostawcy AI poza tym, co opisano w §14a/§14b (np. przesłane zdjęcie w Visual AI Search nigdy nie trafia do trwałego magazynu plików MERKAD). Sam dostawca (OpenAI) może przechowywać dane w ramach standardowego monitorowania nadużyć (abuse monitoring) przez okres do 30 dni — jest to przyjmowany, domyślny okres retencji po stronie dostawcy. Zero Data Retention (ZDR) nie jest oświadczane jako aktywne, dopóki nie zostanie ono rzeczywiście potwierdzone przez OpenAI dla właściwego konta/projektu — samo ustawienie po stronie MERKAD nie może wywołać ani zasymulować ZDR.

## 19. Prawa
Osobie mogą przysługiwać prawa dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia, sprzeciwu oraz cofnięcia zgody. Zakres zależy od podstawy i przepisów. Cofnięcie zgody nie wpływa na zgodność wcześniejszego przetwarzania.

## 20. Skarga
Osoba może złożyć skargę do właściwego organu nadzorczego, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych.

## 21. Zautomatyzowane decyzje
MERKAD wykorzystuje automatyczne mechanizmy wspierające moderację treści (np. wstępne odrzucenie pojedynczej wiadomości lub opinii naruszającej jawne zasady). Żaden proces MERKAD nie podejmuje jednak decyzji wywołującej skutki prawne wobec Użytkownika lub podobnie istotnie na niego wpływającej (np. ograniczenie, zawieszenie lub zamknięcie Konta) wyłącznie na podstawie zautomatyzowanego przetwarzania w rozumieniu art. 22 RODO — decyzje o takich skutkach są podejmowane albo z udziałem człowieka, albo podlegają możliwości uzyskania interwencji człowieka i zakwestionowania decyzji zgodnie z `APPEALS-COMPLAINTS-PROCEDURE.md`.

## 22. Źródła danych
Dane mogą pochodzić od użytkownika, Sprzedawcy, osoby reprezentującej, urządzenia/przeglądarki, partnerów płatniczych/logistycznych, integracji wybranej przez użytkownika, rejestrów publicznych oraz systemów bezpieczeństwa.

## 23. Obowiązek podania
W formularzu należy rozróżnić dane wymagane umową/prawem od opcjonalnych oraz wskazać konsekwencje niepodania.

## 24. Dzieci
Konto w MERKAD może samodzielnie założyć wyłącznie osoba, która ukończyła 18 lat — MERKAD nie oferuje kont dla osób niepełnoletnich ani mechanizmu zgody rodzicielskiej. Szczegóły: `AGE-ATTESTATION.md`.

## 25. Bezpieczeństwo
MERKAD stosuje środki odpowiednie do ryzyka, w tym kontrolę dostępu, ochronę sekretów, logowanie, monitoring i procedury incydentowe.

## 26. Cookies
Szczegóły zawiera COOKIE-POLICY.md i panel zarządzania zgodami.

## 27. Zmiany
Polityka jest wersjonowana. Istotna zmiana celu lub podstawy przetwarzania wymaga właściwej analizy; sama aktualizacja tekstu nie legalizuje nowego celu.