Jeden klik — bez przepisywania kodu z e-maila.
Jak chcesz korzystać z aplikacji w tej sesji?
hjuman
Aplikacja nie stoi na jednym komputerze w piwnicy. Korzystamy z firm, które dostarczają bazę danych, model rozmowy, głos i płatności. Każda z nich dostaje tylko tę część danych, której potrzebuje do swojej roboty.
Skąd wiadomo, że to poważne firmy. Każda z nich ma certyfikat SOC 2 albo ISO 27001 — a większość oba. To nie jest deklaracja firmy o sobie samej: niezależny audytor przez kilka miesięcy sprawdza, czy naprawdę tak robi. Kto ma dostęp do serwerów, co się dzieje przy awarii, jak reagują na włamanie. Certyfikat trzeba odnawiać, więc nie da się go zdobyć raz i zapomnieć.
Płatności — Stripe. Stripe ma certyfikat PCI Service Provider Level 1, czyli najwyższy stopień, jaki w ogóle istnieje w branży płatniczej — ten sam, którego wymaga się od największych operatorów kart. Numery kart są u nich szyfrowane, trzymane w osobnym, odciętym środowisku, a klucze do ich odczytania leżą na innych maszynach niż same dane. Żaden zwykły serwer Stripe’a nie jest w stanie zobaczyć numeru Twojej karty. Twojej karty nie widzę też ja — nigdy nie przechodzi przez naszą aplikację.
Warstwa sieciowa — Cloudflare. Przez Cloudflare przechodzi ruch ogromnej części internetu. Firma ma certyfikat ISO 27001 od 2019 roku, a także ISO 27701 — norma dotycząca ochrony prywatności, w której Cloudflare był jedną z pierwszych firm na świecie z certyfikatem zarówno jako przetwarzający dane, jak i jako ich administrator.
Baza danych — Supabase. Certyfikat SOC 2 Type 2 oraz zgodność z amerykańską normą ochrony danych medycznych HIPAA, czyli standardem pisanym dla szpitali i przychodni. Twoje dane leżą fizycznie w centrum danych we Frankfurcie, w Unii Europejskiej.
Model rozmowy — Anthropic. Poza zwykłymi certyfikatami bezpieczeństwa (ISO 27001, SOC 2 Type I i Type II) Anthropic ma coś, czego nie ma większość firm na rynku: ISO 42001, czyli międzynarodową normę zarządzania samą sztuczną inteligencją. Jest też przygotowany pod HIPAA — ten sam standard co przy danych medycznych.
Głos — ElevenLabs. Certyfikat SOC 2 Type 2, z możliwością przetwarzania danych na serwerach w Unii Europejskiej.
Odpowiadam ja, nie oni. W świetle prawa to ja jestem administratorem Twoich danych. Jeśli coś pójdzie nie tak u któregokolwiek dostawcy, nie zostaniesz odesłana do firmy w Kalifornii — rozliczasz mnie.
Z każdym z dziewięciu dostawców mam podpisaną umowę, w której zobowiązują się przetwarzać Twoje dane wyłącznie po to, żeby przygotować odpowiedź dla Ciebie. Nikt nie ma prawa wykorzystać Twoich treści do własnych celów — ani do trenowania modeli, ani do marketingu, ani do udostępnienia komukolwiek innemu. Dostawca modelu rozmowy mówi to wprost w swojej dokumentacji: dane nigdy nie są używane do trenowania modeli bez wyraźnej zgody klienta.
Twoje zapisane fragmenty, notatki i ustalenia leżą w bazie zaszyfrowane, a klucz trzymam poza nią. Gdyby ktoś wykradł sam zbiór danych albo kopię zapasową, zobaczyłby ciąg znaków bez znaczenia. Firma, która dla mnie hostuje bazę, także tego nie odczyta.
Nie zapisujemy nigdzie treści Twoich zapytań „na boku”. Warstwa sieciowa, przez którą przechodzą, ma wyłączone zapisywanie i wyłączony eksport — sprawdziłem to osobiście w panelu, nie założyłem.
Dane wysyłane poza Unię zabezpieczają klauzule ochronne zatwierdzone przez Komisję Europejską. To z góry ustalony zestaw zobowiązań, którego nie da się negocjować w dół — firma spoza Unii albo go przyjmuje, albo nie dostaje danych.
Masz do kogo pójść. Jeśli uznasz, że coś jest nie tak, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. To bezpłatne i nie wymaga prawnika.
Asystent musi przeczytać, co piszesz. Odpowiada model językowy dostarczany przez firmę zewnętrzną i Twoje słowa trafiają do niej na czas wygenerowania odpowiedzi. Nie da się zbudować asystenta, który odpowiada, nie czytając. W trybie głosowym tak samo działa zamiana mowy na tekst.
Co ta firma robi z Twoją treścią. Nic poza przygotowaniem odpowiedzi. Nie trenuje na niej modeli, nie udostępnia jej dalej, nie używa do własnych celów — zobowiązuje ją do tego umowa podpisana ze mną, a jej własna dokumentacja mówi to samo wprost. Treść nie trafia też do nikogo innego: żaden pracownik tej firmy nie przegląda rozmów klientek dla ciekawości ani dla statystyki.
Klucz do szyfrowania jest u mnie i tak ma być. Leży poza bazą danych, w osobnym miejscu u dostawcy warstwy sieciowej, gdzie jest przechowywany w postaci zaszyfrowanej. Po zapisaniu nie da się go już odczytać — ani z panelu, ani żadną komendą, także mnie. Jego zapasowa kopia leży w moim menedżerze haseł, za osobnym hasłem i drugim składnikiem logowania. W bazie go nie ma, w kopiach zapasowych go nie ma, w kodzie aplikacji go nie ma — więc sama baza, sama kopia zapasowa ani sam kod nikomu nic nie dadzą.
Klucza nie oddaję nikomu — ale sam go mam. To znaczy, że technicznie jestem w stanie sięgnąć po treść, i robię to wyłącznie wtedy, gdy jest to potrzebne do działania usługi albo gdy sama o to poprosisz. Mówię Ci to wprost, bo jedyną alternatywą byłoby szyfrowanie, którego nie potrafi otworzyć nawet właściciel — a wtedy asystent nie mógłby przeczytać Twojego pytania, więc nie mógłby na nie odpowiedzieć. Gdyby ktokolwiek obiecywał Ci jedno i drugie naraz przy usłudze z asystentem AI, obiecywałby rzecz niemożliwą.
RODO. Europejskie przepisy o ochronie danych, najostrzejsze na świecie. Masz z nich cztery prawa, z których możesz skorzystać w każdej chwili, pisząc jedną wiadomość: zobaczyć wszystko, co o Tobie mamy; poprawić to, co jest błędne; zabrać swoje dane ze sobą; kazać je trwale usunąć.
Jakie kryteria spełniamy. Dane przechowujemy w Unii Europejskiej. Każdy dostawca, któremu je powierzam, ma niezależnie zbadane bezpieczeństwo — SOC 2 albo ISO 27001, a zwykle oba. Z każdym mam podpisaną umowę zakazującą używania Twoich treści do czegokolwiek poza obsługą Ciebie. To, co wyjeżdża poza Unię, jedzie na klauzulach zatwierdzonych przez Komisję Europejską. Zapisane fragmenty i notatki są w bazie zaszyfrowane, a klucz trzymam poza nią.
Akt o sztucznej inteligencji. Od sierpnia 2026 wymaga, żeby każdy system rozmawiający z człowiekiem jasno mówił, że jest maszyną, a nie osobą. Stąd zdanie o tym na powitaniu — to nie jest nasza skromność, to obowiązek.
Polska ustawa o systemach sztucznej inteligencji. Powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji — krajowy urząd, do którego możesz zgłosić, że coś w działaniu systemu AI jest nie tak. Komisja rozpatruje takie zgłoszenia i ma prawo nakładać kary. Mówiąc prościej: jeśli uznasz, że hjuman zachował się wobec Ciebie niewłaściwie, istnieje w Polsce instytucja, do której możesz z tym pójść, i nie musisz iść tam przeze mnie.
Ustawa o prawach konsumenta. Z niej wynika Twoje prawo do odstąpienia od umowy w czternaście dni oraz zasady reklamacji i zwrotów.