Polityka Prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Sunaura sp. z o.o. (marka Kydi), ul. Szlak 77/222, 31-153 Kraków, wpisana do rejestru przedsiębiorców KRS prowadzonego przez Sąd Rejonowy dla Krakowa-Śródmieścia w Krakowie, XI Wydział Gospodarczy KRS, KRS 0001130877, NIP 6762678620, REGON 529854422, kapitał zakładowy 5 000 zł.

Kontakt: info@kydi.pl (obecni Klienci: pomoc@kydi.pl)

2. Jakie dane zbieramy

W zależności od sposobu korzystania z serwisu, możemy przetwarzać następujące dane:

• Dane kontaktowe — imię, nazwisko, email, numer telefonu, miejscowość (przy zgłoszeniu na kydi.pl/zacznij, formularzu kontaktowym i zamówieniu)
• Dane firmy z formularzy na kydi.pl (umówienie rozmowy, kontakt, /zacznij) — branża, nazwa firmy, NIP, adres, strona i profil w mediach społecznościowych (jeśli je podasz) — po to, żeby przygotować rozmowę albo wystawić fakturę i uruchomić usługę
• Rozmowa w czacie na kydi.pl — treść tego, co piszesz w czacie z Kydi, losowy identyfikator rozmowy zapisany w Twojej przeglądarce i adres IP (do limitu wiadomości chroniącego przed spamem). Rozmowę prowadzi Kydi — asystentka AI, co jest widoczne w oknie czatu. Przed pierwszą wiadomością usługa Cloudflare Turnstile może sprawdzić, czy nie jesteś botem.
• Formularz „Odbierz listę” (kydi.pl/wizytowka) — imię, e-mail, treść i data zgody, źródło wejścia (np. Instagram), adres IP i przeglądarka w chwili zgody
• Dane firmowe — nazwa firmy, NIP, adres (do wystawienia faktury VAT)
• Dane techniczne — adres IP, typ przeglądarki, czas wizyty (za pośrednictwem plików cookie i logów serwera)
• Dane konfiguracyjne — Materiały przekazane przez Klienta (zakres usług, ceny, zdjęcia realizacji, zasady), z których przygotowujemy stronę firmy i dokumenty dla Kydi
• Dane z Facebooka, Instagrama i Messengera — gdy Klient podłączy swoje konto, odbieramy: treść wiadomości wysłanych do firmy Klienta, identyfikator i nazwę profilu osoby piszącej, treść komentarzy pod postami Klienta wraz z imieniem i identyfikatorem osoby komentującej oraz podstawowe dane podłączonego konta (nazwa profilu/strony, identyfikator). Szczegóły: sekcja 6.
• Dane z WhatsAppa — gdy kanał zostanie udostępniony i Klient podłączy swój numer WhatsApp: numer telefonu i nazwa profilu osoby piszącej oraz treść wiadomości wysłanych do firmy Klienta.
• Dane z formularzy reklam na Facebooku i Instagramie (a gdy Klient je podłączy — także w Google Ads): imię, telefon, e-mail i inne odpowiedzi, które osoba wpisała w formularz reklamy Klienta.
• Wyniki reklam Klienta — wydatki, liczba wyświetleń, kliknięć i zapytań, nazwy kampanii oraz stan konta reklamowego i reklam (np. że reklama została odrzucona) — z konta reklamowego, które wskazał Klient. Tylko je odczytujemy: nie tworzymy, nie zmieniamy i nie wyłączamy reklam.

Danych z Facebooka, Instagrama, Messengera i WhatsAppa (także z formularzy reklam i wyników reklam) nie używamy do własnych reklam, nie sprzedajemy ich, nie łączymy z danymi z innych źródeł i nie wykorzystujemy do trenowania modeli AI.

3. Cel i podstawa prawna przetwarzania

• Realizacja umowy i działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO) — odpowiedź na Twoje zgłoszenie i rozmowę w czacie, świadczenie zamówionych usług, obsługa zamówień
• Obowiązek prawny (art. 6 ust. 1 lit. c RODO) — przechowywanie dokumentacji księgowej przez wymagany prawem okres
• Uzasadniony interes (art. 6 ust. 1 lit. f RODO) — odpowiedź na Twoje zgłoszenie i kontakt w jego sprawie, statystyka działania serwisu, bezpieczeństwo systemu. Ofert handlowych mailem ani SMS-em nie wysyłamy bez Twojej osobnej zgody.
• Zgoda (art. 6 ust. 1 lit. a RODO) — narzędzia reklamowe Mety na kydi.pl: sprawdzanie, która reklama przyprowadziła Cię na stronę, i pokazywanie Ci później naszych reklam (punkt 9); także inne sytuacje, w których poprosimy o zgodę, np. newsletter

Zgoda na maile z poradami i informacjami o ofercie

Wysyłka maili z poradami i informacjami o ofercie Kydi — na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO; art. 398 Prawa komunikacji elektronicznej). Zgoda zaczyna działać, gdy klikniesz link w mailu potwierdzającym. Wycofasz ją linkiem w każdym mailu — bez wpływu na to, co wysłaliśmy wcześniej.

4. Komu udostępniamy dane

Twoich danych nie sprzedajemy. Do celów marketingowych przekazujemy je jednej firmie — Meta, i tylko za Twoją zgodą (punkt 9).

Korzystamy z podwykonawców, bez których usługa nie mogłaby działać. Każdy z nich dostaje tylko te dane, które są mu potrzebne:

• OVH Sp. z o.o. (Wrocław, NIP 8992520556) — serwer aplikacji i baza danych Kydi; serwerownia w Niemczech (EOG)
• Cloudflare, Inc. — strona kydi.pl i strony firm Klientów, CDN, ochrona przed atakami oraz Turnstile (sprawdzenie, czy w czacie pisze człowiek) (USA + sieć edge, SCC)
• OpenAI, L.L.C. i Anthropic, PBC — modele językowe układające treść odpowiedzi; jeden pełni rolę podstawowego, drugi zapasowego (USA, SCC)
• Meta — kanały Instagram i Messenger (WhatsApp — gdy kanał zostanie udostępniony), odpowiedzi pod komentarzami na Facebooku i Instagramie, odbiór zapytań z formularzy reklam i odczyt wyników reklam Klienta, a za Twoją zgodą także Meta Pixel na stronie kydi.pl: mierzenie skuteczności reklam i pokazywanie naszych reklam osobom, które odwiedziły stronę (Irlandia/USA, SCC; przy Pixelu — współadministrowanie, punkt 9)
• Resend, Inc. — wysyłka naszych maili (faktury, linki, powiadomienia) oraz kanał e-mail firm Klientów: odbiór i wysyłka wiadomości ich klientów (USA, SCC)
• Stripe — obsługa płatności i faktur za usługę (Irlandia/USA, SCC)
• Backblaze B2 — zaszyfrowane kopie zapasowe poza serwerem głównym (USA, SCC)
• Główny Urząd Geodezji i Kartografii (GUGiK) — zamiana adresu oględzin na punkt na mapie i odległość od firmy; dostaje sam adres, bez imienia i telefonu (Polska, EOG)
• SMSAPI sp. z o.o. — wysyłka SMS, gdy Klient korzysta z tego kanału (Polska, EOG)
• TAX4YOU GRUPA sp. z o.o. (Kraków, NIP 6762676093) — nasze biuro rachunkowe; prowadzi księgowość i dostaje dane z faktur za usługę (nazwa firmy, NIP, adres, kwoty) (Polska, EOG)
• Telegram — kanał Telegram, gdy zostanie udostępniony i Klient go podłączy
• Organy państwowe — wyłącznie wtedy, gdy wymaga tego prawo

Aktualną i pełną listę utrzymujemy pod adresem kydi.pl/subprocesorzy. O zmianach na niej informujemy z 14-dniowym wyprzedzeniem. Biura rachunkowego na niej nie ma, bo dostaje tylko nasze faktury, a nie dane, które powierzają nam Klienci. Wszyscy podwykonawcy są zobowiązani do ochrony Twoich danych zgodnie z RODO.

5. Przekazywanie danych poza EOG

Serwer, na którym działa Kydi, oraz baza danych z treścią rozmów stoją w serwerowni w Niemczech, czyli w EOG.

Poza EOG dane trafiają w tych sytuacjach:

• treść wiadomości (także z czatu na kydi.pl) — przekazujemy ją dostawcy modelu językowego (OpenAI, Anthropic), żeby model ułożył odpowiedź
• wiadomości z Instagrama i Messengera (a gdy kanał zostanie udostępniony — także z WhatsAppa), komentarze i dane z formularzy reklam — przechodzą przez infrastrukturę Meta
• maile — nasze maile oraz wiadomości w kanale e-mail firm Klientów wysyła i odbiera Resend
• ruch na stronach — adres IP i dane techniczne przechodzą przez Cloudflare (strona kydi.pl, strony firm Klientów, Turnstile w czacie)
• płatności — dane do płatności i faktur za usługę obsługuje Stripe
• kopie zapasowe — zaszyfrowane przed wysłaniem, przechowywane u Backblaze
• zdarzenia z Meta Pixel — jeśli wyrazisz zgodę (punkt 9); trafia tam nazwa zdarzenia, identyfikator pliku cookie, adres IP i dane techniczne przeglądarki — bez Twojego imienia, maila, telefonu i treści wiadomości

W każdym z tych przypadków transfer opiera się na standardowych klauzulach umownych zatwierdzonych decyzją wykonawczą Komisji Europejskiej 2021/914, uzupełnionych o szyfrowanie w tranzycie i ograniczenie zakresu danych do niezbędnego minimum.

6. Dane klientów końcowych (klientów Klienta)

W ramach działania usługi Kydi, Kydi przetwarza dane osób, z którymi Kydi komunikuje się w imieniu Klienta (klientów jego firmy). W tym zakresie:

• Klient (firma korzystająca z Kydi) jest Administratorem tych danych
• Kydi jest Podmiotem Przetwarzającym (Procesorem)
• Szczegóły reguluje umowa powierzenia (DPA): kydi.pl/dpa
• Lista podwykonawców: kydi.pl/subprocesorzy
• Wzór klauzuli informacyjnej dla klientów: kydi.pl/klauzula-dla-klientow

Dane klientów końcowych nie są używane do trenowania modeli AI ani do żadnych celów własnych Kydi. Potwierdza to konfiguracja naszych kont u obu dostawców, sprawdzona 10 sierpnia 2026 r. — wszystkie ustawienia, które dopuszczałyby wykorzystanie danych do trenowania, są wyłączone.

Niezależnie od tego dostawcy modeli mogą przechowywać przekazane zapytania i odpowiedzi przez okres do 30 dni na potrzeby nadzoru nad nadużyciami. To nie jest trening modeli — to osobny, krótki okres przechowywania u dostawcy, niezależny od tego, jak długo dane trzymamy my (sekcje 6.2 i 7).

6.1. Dane z Facebooka, Instagrama, Messengera i WhatsAppa — po co je przetwarzamy

Kydi to asystentka, która odpisuje na wiadomości w imieniu firmy Klienta. Żeby to było możliwe, po podłączeniu konta przez Klienta przetwarzamy:

• Treść wiadomości wysłanych do firmy Klienta (DM na Instagramie, Messenger, WhatsApp) — po to, żeby Kydi zrozumiała pytanie i na nie odpowiedziała. Wiadomości głosowe zamieniamy na tekst, żeby Kydi mogła na nie odpowiedzieć.
• Identyfikator i nazwę profilu osoby piszącej, a na WhatsAppie jej numer telefonu — po to, żeby prowadzić ciągłą rozmowę z tą samą osobą i żeby Klient wiedział, kto do niego napisał.
• Treść komentarzy pod postami, które wskazał Klient, oraz imię i identyfikator osoby komentującej — tylko gdy Klient włączy odpowiadanie na komentarze. Kydi publikuje pod komentarzem, w imieniu strony Klienta, odpowiedź, którą Klient sam ustawił, i wysyła tej osobie wiadomość prywatną. Komentarzy nie ukrywamy, nie usuwamy i nie oznaczamy „Lubię to”.
• Dane z formularzy reklam (imię, telefon, e-mail, odpowiedzi z formularza) — po to, żeby zapisać zapytanie jako nowego klienta w aplikacji firmy i powiadomić Klienta, że ma oddzwonić. Widzi je tylko firma, do której należy formularz.
• Wyniki reklam z konta reklamowego wskazanego przez Klienta — po to, żeby pokazać Klientowi w aplikacji, ile wydał i ile zapytań przyniosły reklamy, i przygotować mu podsumowanie miesiąca. To dane o reklamach firmy, nie o konkretnych osobach.

To wszystko służy wyłącznie obsłudze zapytań i rozmów w imieniu firmy Klienta. Nie profilujemy tych osób, nie kierujemy do nich reklam i nie udostępniamy tych danych nikomu poza dostawcami wymienionymi w sekcji 4.

6.2. Jak długo trzymamy rozmowy i jak je usunąć

Rozmowy (wiadomości i komentarze) i zapytania z formularzy reklam przechowujemy, dopóki trwa umowa z Klientem, i usuwamy w ciągu 30 dni od jej zakończenia. Kiedy umowa się kończy — w tym po rezygnacji z Pakietu — opisuje sekcja 7.

Klient może w każdej chwili odłączyć Facebooka, Instagrama albo WhatsAppa w aplikacji. Wtedy przestajemy odbierać nowe wiadomości, komentarze i zapytania z formularzy reklam oraz odczytywać wyniki reklam. Rozmowy, które już są w aplikacji, zostają na liście klientów firmy do końca umowy, chyba że Klient poprosi o ich usunięcie.

Chcesz, żeby Twoje dane zostały usunięte wcześniej? Opisujemy to krok po kroku tutaj: Usunięcie danych. Dotyczy to zarówno Klienta (firmy), jak i osoby, która napisała do firmy, skomentowała jej post albo wypełniła jej formularz reklamy. Kto połączył Kydi ze swoim kontem na Facebooku, może też usunąć Kydi w ustawieniach Facebooka (Ustawienia i prywatność → Ustawienia → Aplikacje i witryny → Kydi → Usuń) — wtedy od razu przestajemy korzystać z tego połączenia, a Facebook pokaże numer potwierdzenia i link, pod którym widać stan usuwania danych.

6.3. Klient końcowy zawsze wie, że pisze z AI

Kydi przy pierwszym kontakcie przedstawia się jako asystentka AI. Nie udaje człowieka i nasz Klient nie może tego wyłączyć.

Od 2 sierpnia 2026 r. wymaga tego również art. 50 rozporządzenia (UE) 2024/1689 (AI Act) — osoba, która rozmawia z systemem AI, musi zostać o tym poinformowana. U nas było to zasadą od początku, niezależnie od przepisów.

7. Jak długo przechowujemy dane

• Dane fakturowe — 5 lat od końca roku podatkowego (wymóg przepisów podatkowych)
• Dane konfiguracyjne Agentów — przez okres trwania umowy + 30 dni po jej zakończeniu
• Rozmowy z Instagrama, Messengera i WhatsAppa (treść wiadomości, komentarze, identyfikator i nazwa profilu nadawcy, na WhatsAppie numer telefonu) oraz zapytania z formularzy reklam — przez okres trwania umowy, usuwane w ciągu 30 dni od jej zakończenia
• Wyniki reklam Klienta i podsumowania miesiąca — przez okres trwania umowy, usuwane w ciągu 30 dni od jej zakończenia
• Zgłoszenia z formularzy i rozmowy w czacie na kydi.pl, gdy nie doszło do współpracy — do 12 miesięcy od ostatniego kontaktu
• Dane kontaktowe i korespondencja z Klientami — przez czas trwania umowy, a potem do 3 lat od jej zakończenia (dochodzenie i obrona roszczeń)
• Dane techniczne (logi) — 90 dni
• Formularz „Odbierz listę”: niepotwierdzone zgłoszenie — 30 dni. Zgoda — do jej wycofania; po wycofaniu przechowujemy zapis zgody i wycofania jako dowód, do czasu przedawnienia roszczeń.
• Imię i e-mail na naszej liście kontaktów (po potwierdzeniu) — dopóki nie poprosisz o ich usunięcie (pomoc@kydi.pl). Wycofanie zgody zatrzymuje maile.

Okres po rezygnacji. Po rezygnacji z Pakietu przez 3 miesiące Strona i aplikacja z listą zapytań i klientów działają bez opłat, a Kydi, reklamy i przypomnienia są wyłączone (regulamin §6). Przez ten czas umowa trwa dalej, bez opłat, i dane zostają. Umowa kończy się z końcem tego okresu — od tego dnia liczymy 30 dni na usunięcie danych.

Brak płatności to nie rezygnacja. Gdy opłata nie przejdzie, przez 7 dni ponawiamy próbę, a potem możemy wstrzymać Stronę i Kydi do czasu opłacenia (regulamin §4a). Dane zostają wtedy nietknięte. Jeśli opłata nie wpłynie w ciągu 3 miesięcy od wstrzymania, umowa się kończy.

Kiedy kończy się umowa. Umowa kończy się z końcem okresu po rezygnacji, po 3 miesiącach wstrzymania za brak płatności albo 30 dni po usunięciu konta w aplikacji (przez te 30 dni konto da się przywrócić). Od końca umowy mamy 30 dni na usunięcie danych.

Wcześniej usuwamy dane na żądanie — jak to zrobić: Usunięcie danych. Faktury zostają 5 lat, bo wymagają tego przepisy.

Kopie zapasowe. Usunięte dane znikają z zaszyfrowanych kopii zapasowych same, najpóźniej po 90 dniach.

8. Twoje prawa

Masz prawo do:

• Dostępu — uzyskania informacji o przetwarzanych danych
• Sprostowania — poprawienia nieprawidłowych danych
• Usunięcia — żądania usunięcia danych ("prawo do bycia zapomnianym")
• Ograniczenia — ograniczenia zakresu przetwarzania
• Przenoszenia — otrzymania danych w formacie nadającym się do odczytu maszynowego
• Sprzeciwu — sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu
• Skargi — wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO)

Aby skorzystać z praw, napisz na: info@kydi.pl albo pomoc@kydi.pl. Odpowiemy w ciągu 30 dni.

9. Pliki cookie, źródło wejścia i reklamy

Dzielimy to na cztery rzeczy, bo działają inaczej.

• Niezbędne — sesja zalogowania w panelu, identyfikator rozmowy w czacie (zapisany w pamięci przeglądarki, żeby rozmowa nie znikała przy przejściu na inną podstronę) oraz Twój wybór z okienka zgody. Bez nich panel i czat nie działają, a okienko pokazywałoby się na każdej stronie. Nie pytamy o zgodę, bo nie ma tu wyboru.
• Statystyka odwiedzin (Umami) — liczymy odsłony i kliknięcia, żeby wiedzieć, które strony są używane. Nie stawia plików cookie i nie pozwala rozpoznać osoby. Działa na naszym serwerze w EOG (analityka.kydi.pl), dane nie trafiają do nikogo innego.
• Źródło wejścia i kod polecenia — gdy wchodzisz z linku z oznaczeniem (np. z naszego posta, reklamy albo od partnera: kydi.pl/?ref=…), zapisujemy to oznaczenie w pamięci przeglądarki, żeby wiedzieć, który kanał przyprowadza zgłoszenia i komu należy się wynagrodzenie za polecenie. Bez Twojej zgody trzymamy je tylko do zamknięcia karty (sessionStorage) — tyle, żeby zgłoszenie albo zamówienie z tej wizyty było dobrze przypisane. Za Twoją zgodą pamiętamy je 60 dni (localStorage), więc liczy się także, gdy wrócisz później. Po odmowie albo wycofaniu zgody kasujemy je z tej długiej pamięci.
• Meta Pixel — tylko za Twoją zgodą. Stawia pliki cookie i służy do dwóch rzeczy: (1) sprawdzamy, która reklama doprowadziła do zgłoszenia, rozmowy albo zakupu; (2) możemy później pokazywać nasze reklamy na Facebooku i Instagramie osobom, które odwiedziły kydi.pl (tzw. retargeting). Meta dopisuje takie osoby do grupy odbiorców, którą widzimy wyłącznie jako liczbę — bez nazwisk i profili.

Co trafia do Meta: nazwa zdarzenia (np. „wysłano zgłoszenie”, „wysłano wiadomość”, a przy zakupie także jego kwota), adres odwiedzanej strony, adres IP, dane techniczne przeglądarki i identyfikator pliku cookie (_fbp, _fbc). Według RODO to też są dane osobowe — ale nie ma wśród nich Twojego imienia, adresu e-mail, telefonu ani treści wiadomości, także wtedy, gdy wpiszesz je w formularz.

Dlaczego to zbieramy: bez tego nie wiemy, które reklamy przyprowadzają klientów, a które palą budżet, i nie możemy przypomnieć się osobom, które już nas oglądały. Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO oraz art. 399 Prawa komunikacji elektronicznej).

Współadministrowanie z Metą: przy zbieraniu tych danych na naszej stronie i przekazaniu ich do Mety jesteśmy współadministratorem razem z Meta Platforms Ireland Ltd. (wyrok TSUE w sprawie Fashion ID, C‑40/17). Za to, co Meta robi z danymi dalej, odpowiada Meta — opisuje to polityka prywatności Mety, a podział obowiązków między nami — umowa Mety o współadministrowaniu. Z praw z punktu 8 możesz skorzystać u nas albo u Mety.

Jak długo żyją: ciasteczko sesji panelu znika po wylogowaniu albo zamknięciu przeglądarki. Ciasteczka Meta Pixel (_fbp, _fbc) są ważne do 90 dni od ostatniej wizyty. Źródło wejścia i kod polecenia — do zamknięcia karty, a za zgodą 60 dni. Twój wybór z okienka zgody trzymamy w pamięci przeglądarki (localStorage), nie w ciasteczku.

Jak wycofać zgodę: w każdej chwili — kliknij Ustawienia cookies (też na dole każdej strony) i wybierz „Nie zgadzam się”. Wtedy kasujemy ciasteczka Mety i długą pamięć źródła wejścia. Wycofanie nie wpływa na legalność tego, co zebraliśmy wcześniej. Możesz też napisać na pomoc@kydi.pl.

Ustawienia przeglądarki: pliki cookie możesz blokować i kasować także w samej przeglądarce — w Chrome, Safari, Firefox i Edge służą do tego ustawienia prywatności witryn. Zablokowanie ciasteczek niezbędnych uniemożliwi zalogowanie się do panelu.

Bez zgody strona działa normalnie — nie blokujemy niczego.

10. Zmiany Polityki

O istotnych zmianach Polityki Prywatności poinformujemy mailowo lub poprzez wyraźny komunikat na stronie. Data ostatniej aktualizacji jest widoczna na górze tego dokumentu.