Klauzula informacyjna RODO i informacja o systemach AI BudOS

Nr dokumentu: RODO-AI-BUDOS-2026-001
Wersja: 2.1
Publikacja: 05.10.2026. Informacja dotyczy korzystania z serwisu i przetwarzania od dnia publikacji. Nie zmienia wstecz zawartych umów i nie zastępuje umowy powierzenia danych.
Dokumenty powiązane: Polityka prywatności, PP-BUDOS-2026-001, Polityka cookies, COOKIE-BUDOS-2026-001, DPA, DPA-BUDOS-2026-001, Regulamin, Licencja SaaS.

A. Informacja o danych osobowych

A.1. Administrator, kontakt i role

QA10 spółka z ograniczoną odpowiedzialnością, ul. Mariacka 37, 40-014 Katowice, KRS 0001232199, NIP 9542906279, REGON 544435060, kapitał zakładowy 5 000 zł, jest administratorem danych przetwarzanych we własnych celach: konta, rozliczeń, kontaktu, pomocy, bezpieczeństwa, własnej bazy ogłoszeń, newslettera, analityki i marketingu. Kontakt spółki, prywatność i prawa osób: hello@qa10.io. Zgłoszenia incydentów i błędów usługi: Pomoc@budos.io.

Informacja dotyczy również konsumentów i chronionych JDG. Ich szczególne prawa umowne określają Regulamin i przepisy prawa; RODO chroni wszystkie osoby, których dane są przetwarzane, niezależnie od statusu klienta.

Gdy klient decyduje o celu i istotnych sposobach przetwarzania danych w swoich dokumentach, ofertach lub rejestrach, działa jako administrator, a QA10 jako procesor na jego udokumentowane polecenie. Klient może też przetwarzać dane na zlecenie innego administratora. Role ocenia się osobno dla czynności. Własne opracowanie publicznych źródeł i newsletter QA10 nie są powierzeniem klienta tylko dlatego, że są dostępne w BudOS. Przed przekazaniem danych powierzonych wymagane są skutecznie zawarta DPA i właściwe upoważnienie dalszych procesorów.

A.2. Cele i podstawy prawne

QA10 przetwarza dane we własnych celach na następujących podstawach:

1. Konto, zawarcie i wykonanie usługi dla osoby będącej stroną umowy: art. 6 ust. 1 lit. b RODO. Dla pracownika, reprezentanta lub użytkownika klienta, który nie jest osobiście stroną umowy: lit. f, czyli uzasadniony interes QA10 i klienta w obsłudze relacji oraz bezpieczeństwie dostępu.
2. Rachunkowość i podatki: lit. c w związku z właściwymi przepisami rachunkowymi i podatkowymi.
3. Obsługa pytań i pomocy: lit. f, a lit. b w zakresie działań przed zawarciem własnej umowy lub pomocy potrzebnej do jej wykonania. Bezpieczeństwo, przeciwdziałanie nadużyciom, diagnostyka i obrona roszczeń: lit. f, a lit. c w zakresie konkretnego obowiązku prawnego.
4. Własna baza i opracowania publicznych ogłoszeń: lit. f, czyli interes QA10 i odbiorców w wyszukiwaniu oraz porządkowaniu informacji o zamówieniach, o ile nie przeważają interesy lub prawa osoby.
5. Zamówiony newsletter: lit. a oraz osobny wybór używania e-maila do tego newslettera w zakresie art. 398 Prawa komunikacji elektronicznej (PKE). Ochrona zapisu i wysyłki przed nadużyciami lub powieleniem: lit. f. Minimalny dowód zgody i rezygnacji: lit. c w związku z rozliczalnością RODO; niezbędna obrona roszczeń i respektowanie zakazu ponownego kontaktu: lit. f.
6. Fakultatywna analityka karty i jej etapów, w tym wynik rozpoczętej płatności powiązany po stronie QA10, oraz marketingowe piksele Meta i X: lit. a przy danych osobowych. Nieniezbędny dostęp do urządzenia wymaga uprzedniej zgody z art. 399 PKE.
7. Pozostały marketing własny może opierać się na lit. f, z bezwarunkowym prawem sprzeciwu wobec marketingu bezpośredniego, albo na lit. a, gdy podstawą jest zgoda. Niezależnie od podstawy RODO komunikacja handlowa podlega art. 398 PKE, gdy wymaga zgody.

Zgoda na newsletter, zgoda na piksele i zgoda na analitykę nie są zamienne. Założenie konta, logowanie, akceptacja Regulaminu i zapoznanie z polityką nie udzielają tych zgód. Zgoda na zapis lub odczyt w urządzeniu nie jest zgodą na kontakt e-mail, SMS lub telefoniczny. Trwała identyfikacja urządzenia na potrzeby ochrony API jest odrębna od statystyk i nie staje się anonimowa przez użycie skrótu. Jej działanie i ograniczenia opisuje Polityka cookies.

A.3. Zakres danych, źródła i newsletter

Zakres zależy od wybranej funkcji. Obejmuje dane identyfikacyjne i kontaktowe konta, dane organizacji, uprawnienia, rozliczenia, korespondencję i pytania pomocy, metadane bezpieczeństwa oraz, po odpowiednim wyborze, dane wizyt i interakcji. Treści klienta mogą obejmować dokumenty przetargowe, oferty, kosztorysy, kontrakty, bazę wiedzy firmy, kwalifikacje personelu, dane pracowników i kontrahentów oraz historię realizacji. Podłączona przez użytkownika integracja Google ma odrębny zakres obejmujący wydarzenia Kalendarza i wysyłkę Gmail.

Dane przekazuje osoba lub upoważniona organizacja, a metadane są pozyskiwane podczas używania serwisu. Własne opracowania QA10 korzystają z publicznych źródeł, w tym BZP, TED i BIP. Dane osób mogą występować także w nazwie przedsiębiorcy, tytule lub opisie ogłoszenia. Publiczny dokument nie jest automatycznie anonimowy. Przy pozyskaniu pośrednim QA10 jako administrator przekazuje informację o źródle i kategoriach w terminach z art. 14 ust. 3 RODO, chyba że zachodzi konkretny, udokumentowany wyjątek z ust. 5. Publiczność źródła sama go nie tworzy.

Newsletter można zamówić bez konta po osobnym wyborze i potwierdzeniu wiadomości albo włączyć osobno na aktywnym koncie ze zweryfikowanym adresem. Publiczny zapis nie tworzy konta ani organizacji. Link potwierdzenia działa przez 24 godziny; otwarcie strony z linku nie zmienia zgody bez zatwierdzenia czynności. Włączenie newslettera na zweryfikowanym koncie nie wysyła kolejnego linku potwierdzającego subskrypcję. Dane newslettera obejmują adres e-mail, wybrane branże lub wybór wszystkich branż z zakresu newslettera, stan i czas wyborów, identyfikator oraz generację subskrypcji, skrót wyzwania i metadane wysyłki. W publicznym zapisie wybór branż służy filtrowaniu ogłoszeń według kodów CPV i dopasowaniu treści wysyłki; zakres dostępnych ogłoszeń wskazuje formularz zapisu. Kluczowane skróty e-maila i IP służą ochronie przed nadużyciami i powieleniem; nie są z definicji anonimowe.

Rezygnacja jest dostępna w wiadomości, a dla subskrypcji kontowej także w ustawieniach. Należy potwierdzić ją na stronie rezygnacji, chyba że korzysta się z funkcji jednoklikowego wypisania programu pocztowego. Przy zapisie tego samego adresu w obu kanałach rezygnacja obejmuje dalszą wysyłkę newslettera w obu kanałach na ten adres. Newsletter jest odrębny od alertów operacyjnych, zgody na piksele i pozostałych zgód marketingowych. Zamknięcie konta nie usuwa automatycznie publicznej subskrypcji. Przyjęcie wiadomości przez transport pocztowy nie gwarantuje doręczenia.

Nie przesyłaj do AI danych osobowych i poufnych ponad niezbędny zakres. Dane szczególnych kategorii, np. o zdrowiu lub niepełnosprawności, oraz informacje o wyrokach i niekaralności wymagają odpowiednich warunków z art. 9 i 10 RODO. Usuń je lub zredaguj przed przesłaniem, jeżeli nie są niezbędne i nie masz właściwej podstawy oraz instrukcji. Sam publiczny charakter dokumentu albo przypadkowe otrzymanie nie zastępują tych warunków.

A.4. Odbiorcy, trasy AI i transfery

Odbiorcami, zależnie od funkcji, są upoważnione osoby QA10 oraz dostawcy infrastruktury, przechowywania, poczty, płatności, ochrony antybotowej, podłączonych integracji i inferencji. Interfejs korzysta z Vercel, płatności ze Stripe, a poczta z transportu SMTP pod domeną postal.budos.io. Postal jest systemem pocztowym, nie identyfikacją odrębnej strony umowy. Google otrzymuje dane w zakresie wybranego logowania lub integracji. Cloudflare Turnstile zabezpiecza logowanie hasłem, prośbę o zmianę hasła, rejestrację hasłem, ponowną prośbę o weryfikację adresu oraz publiczną wyszukiwarkę. Obejmuje token, IP i sygnały zbierane przez skrypt dostawcy; Cloudflare rozróżnia ochronę witryny jako procesor i własne ulepszanie wykrywania botów jako administrator.

Ogólna trasa AI jest skonfigurowana przez OpenRouter, Inc.: Grok 4.7 (x-ai/grok-4.7) do analizy, rozumowania, rozmowy i tworzenia dokumentów oraz zadań mogących zawierać dane osobowe; DeepSeek V4.1 Flash (deepseek/deepseek-v4.1-flash) do klasyfikacji przewidzianej dla treści nieobejmujących danych osobowych. Mechanizm przewiduje także alternatywne trasy bezpośrednie xAI i Amazon Bedrock, a w określonych zadaniach DeepSeek. Wybór trasy zależy od zadania. Przed przekazaniem danych osobowych każda trasa, w tym alternatywna, wymaga spełnienia warunków ochrony danych opisanych poniżej. Twórca modelu i operator inferencji nie zawsze są tym samym podmiotem.

Pomoc AI ma odrębną trasę OpenRouter → DeepInfra, Inc. → model DeepSeek V4.1 Flash. Przekazuje pytanie i fragmenty publicznego centrum pomocy. Dla tej funkcji żądany jest ZDR, wybrany operator DeepInfra i brak przejścia na innych operatorów. Te ustawienia dotyczą wyłącznie pomocy AI. ZDR nie jest zapewniony dla wszystkich funkcji BudOS. Przetwarzanie danych wymagających powierzenia wymaga skutecznych umów i upoważnień w całym łańcuchu.

Warunkami przetwarzania danych powierzonych przez AI pozostają brak treningu na danych klienta, zatwierdzony reżim nieutrwalania treści, skuteczne umowy, upoważnienie odbiorców i zgodne transfery. Gdy brak zgodnej trasy, QA10 ma zatrzymać operację. Ogólny tor AI nie zapewnia ZDR ani automatycznego zatrzymania dla wszystkich alternatywnych tras. Dane powierzone lub poufne nie powinny trafić do takiego toru bez uprzedniego spełnienia warunków. QA10 pozostaje odpowiedzialna za spełnienie tych warunków; korzystanie z funkcji nie upoważnia do przetwarzania przez niezgodną trasę zastępczą.

Brak treningu nie jest ZDR. Preferencja data_collection=deny sama nie zapewnia nieutrwalania treści. ZDR operatora inferencji nie obejmuje automatycznie metadanych, logów QA10, plików, narzędzi i wtyczek ani lokalnej historii rozmowy.

Po łącznym włączeniu marketingu i usług zewnętrznych publiczne strony budos.io i www.budos.io używają Meta Pixel i X Website Tag. Przekazywane mogą być identyfikatory, dane urządzenia i przeglądarki, IP, adres strony oraz zdarzenia interakcji. Dla zbierania i przekazywania danych objętych Meta Business Tools warunki Meta opisują współadministrowanie z Meta Platforms Ireland Limited; dalsze własne przetwarzanie Meta jest odrębne. X jest odbiorcą danych własnego marketingu QA10. Przekazanie treści klienta dalszym procesorom wymaga odrębnie właściwego upoważnienia na zasadach DPA. Szczegóły oraz prawa wobec QA10 i dostawców podaje pkt 4 Polityki prywatności.

Po wyborze analityki klucz karty może łączyć zdarzenia wizyty, skuteczne utworzenie konta i wynik płatności po stronie QA10. QA10 wiąże go ze skrótem identyfikatora sesji płatności. Klucz karty nie jest wysyłany do Stripe w metadanych ani adresie przekierowania. Takie powiązania nie są anonimowe, a pomiar obejmuje wyłącznie obserwowane karty z odpowiednim wyborem analityki. Dane wymagane do rozliczenia płatności mają odrębny cel.

Nie obowiązuje ograniczenie przetwarzania do EOG. Transfer poza EOG wymaga odpowiedniego mechanizmu z rozdziału V RODO dla konkretnego odbiorcy i zakresu. Decyzja o adekwatności, w tym DPF, działa tylko w objętym nią zakresie; SCC wymagają skutecznego związania stron i oceny transferu, a w razie potrzeby środków uzupełniających. Lokalizacje i mechanizmy transferu mogą różnić się pomiędzy usługami. Przed transferem QA10 musi ustalić właściwą podstawę dla konkretnego odbiorcy i zakresu oraz zapewnić wymagane zabezpieczenia, w tym skuteczne umowy, gdy są wymagane. Informację o odbiorcach, zastosowanych zabezpieczeniach i sposobie uzyskania ich kopii można uzyskać przez hello@qa10.io.

A.5. Przechowywanie i zakończenie usługi

Dane konta są potrzebne przez czas trwania całej usługi. Samo zakończenie abonamentu nie rozpoczyna kasowania, jeśli trwa konto lub prawo korzystania ze skutecznie nabytych bezterminowych Dodatków. Dostępność nowych Dodatków i warunki ich zamówienia określa Regulamin. Po zakończeniu całej usługi umowny harmonogram obejmuje 30 dni dostępu do eksportu, do 30 kolejnych dni usunięcia produkcyjnego i do następnych 30 dni usunięcia z kopii, z zachowaniem DPA, wyboru administratora i wyjątków prawnych. Przy zmianie dostawcy Data Act wymaga właściwego okresu przejściowego, zasadniczo nie dłuższego niż 30 dni z wyjątkami ustawowymi, a następnie co najmniej 30 dni odzyskania danych. Zwykłe okno eksportu nie skraca tego późniejszego okresu.

Dla zwykłych logów zdarzeń przyjęto 30 dni, niepodjętych leadów 12 miesięcy od ostatniego kontaktu, a surowych zdarzeń analitycznych i powiązań wyniku płatności z kartą 90 dni. Dokumenty rachunkowe i podatkowe mają własne terminy wynikające z prawa; materiał incydentu i roszczeń przechowuje się tylko w niezbędnym, udokumentowanym zakresie. Kopie i logi podlegają okresom lub kryteriom właściwym dla ich kategorii i celów; nie mają jednego wspólnego terminu automatycznego usunięcia.

Newsletter ma odrębne kryteria: adres jest potrzebny przez aktywną subskrypcję, a po rezygnacji dalsze zachowanie pełnego adresu lub historii wymaga odrębnej potrzeby. Dane niedokończonego zapisu, skróty ograniczania prób i metadane wysyłki są ograniczone do obsługi potwierdzenia, ochrony przed konkretnym nadużyciem i wyjaśnienia wysyłki lub zgłoszenia. Minimalny dowód wyboru i zakazu ponownego kontaktu może pozostać dla rozliczalności i roszczeń. Wygaśnięcie linku po 24 godzinach nie oznacza usunięcia rekordu. Okresy i kryteria wszystkich celów rozwija pkt 3 Polityki prywatności. Tylko rzeczywiście anonimowe agregaty nie podlegają RODO.

A.6. Prawa osób i dobrowolność

Na warunkach RODO można żądać dostępu i kopii (art. 15), sprostowania (16), usunięcia (17), ograniczenia (18), informacji o odbiorcach zawiadamianych o sprostowaniu, usunięciu lub ograniczeniu (19) oraz przenoszenia w przypadkach art. 20. Przysługuje sprzeciw z art. 21, w tym bezwarunkowy wobec marketingu bezpośredniego i związanego z nim profilowania, oraz ochrona przed decyzjami objętymi art. 22. Zgodę można cofnąć w każdym czasie, bez wpływu na zgodność wcześniejszego przetwarzania. Można złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Wnioski: hello@qa10.io, także bez konta. Odpowiedź co do zasady w miesiąc, z możliwością przedłużenia o dwa miesiące na zasadach art. 12 ust. 3 i informacją o przyczynie w pierwszym miesiącu. Niezbędna weryfikacja tożsamości chroni dane przed wydaniem osobie nieuprawnionej. Techniczny eksport konta jest częściowy, a usunięcie konta obejmuje dezaktywację, unieważnienie uprawnień i pseudonimizację właściwych zapisów, nie automatyczne usunięcie całej organizacji, newslettera i kopii. Nie ogranicza to pełnego wniosku RODO, zwrotu danych powierzonych i praw Data Act. Gdy QA10 jest tylko procesorem, przekazuje żądanie właściwemu administratorowi i pomaga zgodnie z DPA.

Dane konieczne do konta i wykonania umowy są dobrowolne, lecz bez nich nie można zrealizować tej czynności. Dane faktury są wymagane w niezbędnym zakresie przez prawo. Dane analityczne, newsletter i marketingowe technologie zewnętrzne są fakultatywne i nie warunkują podstawowej usługi.

A.7. Decyzje, bezpieczeństwo i naruszenia

BudOS wspiera decyzje biznesowe, nie ma służyć samodzielnemu podejmowaniu przez QA10 wobec osoby fizycznej decyzji o skutkach prawnych lub podobnie istotnych z art. 22 RODO. Konkretny proces klienta wymaga osobnej oceny. Udział człowieka musi polegać na rzeczywistej ocenie wyniku; sama etykieta rekomendacji lub formalne zatwierdzenie nie wystarczają. Nowy taki proces wymaga podstawy, gwarancji i informacji właściwych dla art. 22 oraz art. 13 lub 14 RODO.

QA10 ma zapewniać środki odpowiednie do ryzyka z art. 25 i 32 RODO. Zakres ochrony transmisji, przechowywania i kopii musi odpowiadać danym oraz ryzyku konkretnej operacji. Zasady retencji rozwija pkt 3 Polityki prywatności, a wymagania dla danych powierzonych określa DPA. Dla własnych danych QA10 ocenia zgłoszenie naruszenia organowi bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia, i zawiadomienie osób bez zbędnej zwłoki przy wysokim ryzyku. Dla danych powierzonych DPA przewiduje zawiadomienie klienta bez zbędnej zwłoki, najpóźniej w 24 godziny od stwierdzenia. Zgłoszenia: Pomoc@budos.io.

B. Co robi AI i jakie są granice

B.1. Funkcje i odpowiedzialne użycie

BudOS wykorzystuje AI do wspomagania wyszukiwania i wydobywania informacji z ogłoszeń i SWZ, analizy, kosztorysu, projektu oferty oraz oceny postępowań, np. GO/ANALIZA/NO-GO. Dostęp do konkretnej funkcji zależy od zakresu i warunków zamówionej usługi.

Wynik jest materiałem pomocniczym. Może pomijać warunki, błędnie odczytać dokument, obliczenie lub termin, zawierać nieprawdziwą informację albo korzystać z nieaktualnego źródła. Nie jest gwarancją ceny, kompletnej wykładni SWZ, wygranej przetargu, decyzji zamawiającego ani zastępstwem zawodowej oceny prawnej lub kosztorysowej. Przed użyciem lub wysłaniem sprawdź dokument źródłowy, dane wejściowe, obliczenia, terminy, aktualność, zgodność z wymaganiami i umocowanie osób.

Przygotowanie lub „publikacja” paczki w warsztacie oznacza opracowanie eksportu ze wskazanej rewizji, nie publiczne udostępnienie danych klienta ani złożenie oferty do zamawiającego. Użytkownik sam weryfikuje, podpisuje i składa ofertę poza BudOS. Status „złożona” zapisuje deklarację użytkownika, nie gwarancję doręczenia przez QA10.

Pomoc AI dobiera fragmenty centrum pomocy do pytania o używanie serwisu. Odpowiedź opiera się na tych fragmentach, nie na dowolnie wygenerowanej poradzie. Nie analizuje danych organizacji, nie wykonuje działań na koncie i nie zastępuje upoważnionego pracownika. Nie służy do wyceny robót, decyzji GO/NO-GO ani porady prawnej. Filtr pytania nie gwarantuje wykrycia wszystkich danych osobowych lub sekretów. W razie braku odpowiedzi lub niedostępności korzystaj z Pomoc@budos.io.

Newsletter zestawia ogłoszenia i ich źródłowe fragmenty według reguł doboru. Pomoc AI używa modelu do wyboru fragmentów publicznego centrum pomocy, a generowanie projektu oferty służy tworzeniu dokumentu. Obowiązki przejrzystości i oznaczania zależą od sposobu działania każdej z tych funkcji, w tym od tego, czy generuje ona treści syntetyczne.

B.2. Przejrzystość i oznaczanie

Przy bezpośredniej interakcji z AI osoba powinna otrzymać jasną, rozpoznawalną informację, najpóźniej przy pierwszej interakcji, zgodnie z art. 50 ust. 1 i 5 AI Act. Wyjątek dotyczy sytuacji, gdy charakter interakcji jest oczywisty z perspektywy dostatecznie poinformowanej, uważnej i ostrożnej osoby, z uwzględnieniem kontekstu. Informacja o interakcji z AI musi być dostępna również w konkretnej funkcji, w której dochodzi do tej interakcji.

Dla generowania treści syntetycznych art. 50 ust. 2 wymaga od dostawcy oznaczania wyjść w formacie maszynowo odczytywalnym i wykrywalnym jako sztucznie wygenerowane lub zmodyfikowane, w zakresie technicznie wykonalnym i z wyjątkami wskazanymi w przepisie. Wyjątek dotyczący standardowej pomocy redakcyjnej lub braku istotnej zmiany danych wejściowych i ich znaczenia trzeba ocenić dla danej funkcji. Widoczna etykieta AI i oznaczenie maszynowo odczytywalne pełnią odrębne funkcje. Dla plików PDF, DOCX, innych eksportów i odpowiedzi API nie ma zapewnionego jednolitego znacznika AI. Wymagane oznaczenia trzeba zapewnić w formie właściwej dla danego wyjścia. Brak widocznej etykiety nie świadczy, że treść była tworzona wyłącznie przez człowieka.

Podmiot publikujący tekst AI w celu informowania społeczeństwa o sprawach interesu publicznego ocenia odrębnie obowiązek ujawnienia z art. 50 ust. 4. Ustawowy wyjątek dotyczy kontroli lub przeglądu redakcyjnego przez człowieka i odpowiedzialności redakcyjnej osoby fizycznej lub prawnej. Prywatny kosztorys nie staje się automatycznie taką publikacją. Własne publiczne syntetyczne opracowanie QA10 lub późniejsza publikacja klienta wymagają oceny rzeczywistego sposobu użycia.

C. Kwalifikacja, przepisy i zgłoszenia

C.1. Role i kwalifikacja ryzyka

QA10 może być dostawcą własnego systemu integrującego cudzy model, a klient używający go w swojej działalności podmiotem wdrażającym. Role dostawcy systemu, dostawcy modelu ogólnego przeznaczenia i operatora inferencji są odrębne. Zastosowanie AI Act, w tym art. 6 i załączników I i III, ocenia się według przeznaczenia i konkretnej funkcji.

Kwalifikacja ryzyka i zakres obowiązków BudOS zależą od przeznaczenia oraz sposobu użycia konkretnej funkcji. Sam scoring przetargu nie przesądza wysokiego ryzyka, a zatwierdzanie wyniku przez człowieka nie wyłącza go automatycznie. Użycie do rekrutacji, oceny pracowników, dostępu osoby fizycznej do usług objętych załącznikiem III lub wspomagania wymiaru sprawiedliwości wymaga osobnej oceny przed zastosowaniem. Prawa RODO, przepisy konsumenckie i inne obowiązki pozostają niezależne od klasyfikacji AI Act.

C.2. Aktualne przepisy AI Act

Rozporządzenie (UE) 2024/1689, zmienione rozporządzeniem (UE) 2026/1744, przewiduje odrębne obowiązki i terminy:

1. Art. 4 w aktualnym brzmieniu zobowiązuje dostawców i podmioty wdrażające do podejmowania środków wspierających rozwój kompetencji AI pracowników i osób działających w ich imieniu, odpowiednio do wiedzy, doświadczenia i kontekstu. Obowiązek dotyczy zapewnienia odpowiednich środków wspierających kompetencje, bez wymogu zagwarantowania konkretnego poziomu kompetencji każdej osoby.
2. Art. 50 stosuje się zasadniczo od 2.08.2026. Art. 111 ust. 4 przewiduje dla dostawców systemów generujących treści syntetyczne wprowadzonych do obrotu przed 2.08.2026 dostosowanie do art. 50 ust. 2 do 2.12.2026. Przepis przejściowy dotyczy tylko systemów spełniających jego przesłanki. Obowiązek informacji o bezpośredniej interakcji z AI z art. 50 ust. 1 oraz pozostałe obowiązki stosuje się według właściwych dla nich terminów.
3. Aktualny art. 113 przewiduje stosowanie rozdziału III sekcji 1, 2 i 3, z wyjątkiem art. 6 ust. 5, od 2.12.2027 dla systemów wysokiego ryzyka z art. 6 ust. 2 i załącznika III, a od 2.08.2028 dla systemów z art. 6 ust. 1 i załącznika I. Terminy te dotyczą wskazanych kategorii systemów wysokiego ryzyka; inne obowiązki stosuje się w ich własnym zakresie i terminach.

C.3. Błędy, reklamacje i prawa osób

Błąd wyniku AI można zgłosić dostępnym przyciskiem w aplikacji albo na Pomoc@budos.io. Podaj funkcję, opis błędu, czas zdarzenia i niezbędny identyfikator. Nie wysyłaj haseł, kluczy ani danych osób trzecich niepotrzebnych do wyjaśnienia. Jeżeli funkcja zgłoszenia AI podaje termin 48 godzin, jest to komunikowana obietnica rozpatrzenia tego zgłoszenia, nie powszechny termin ustawowy ani gwarancja usunięcia każdej usterki w tym czasie.

Reklamacje usługi mają odrębny tryb w § 20 Regulaminu i termin odpowiedzi 14 dni od otrzymania. Wniosek o prawa osoby skierowany na hello@qa10.io podlega terminom RODO, co do zasady miesiącowi, z ustawową możliwością przedłużenia. Rozmowa z pomocą AI sama nie zastępuje doręczenia reklamacji ani korespondencji z upoważnioną osobą. Tryby zgłoszeń nie ograniczają praw ustawowych, prawa do sądu i skargi do Prezesa UODO.

Informacja jest dostępna na /ai-info i służy również osobom bez konta. Istotne zmiany przetwarzania, celu lub odbiorców wymagają aktualizacji i przekazania informacji. Nową zgodę uzyskuje się, gdy jest potrzebna i wcześniejsza nie obejmowała zmiany; zmiany istniejących umów podlegają właściwym warunkom umownym i przepisom prawa.