1. Administrator danych osobowych
Administratorem Twoich danych osobowych jest Sunaura sp. z o.o. (marka Kydi), ul. Szlak 77/222, 31-153 Kraków, KRS 0001130877, NIP 6762678620, REGON 529854422.
Email do kontaktu w sprawach danych osobowych: pomoc@kydi.pl
Nie jesteśmy zobowiązani do wyznaczenia Inspektora Ochrony Danych. W razie pytań — piszcie bezpośrednio.
2. Kategorie przetwarzanych danych
Przetwarzamy następujące kategorie danych, w zależności od podstawy relacji:
- Dane identyfikacyjne (imię, nazwisko, nazwa firmy)
- Dane kontaktowe (email, telefon)
- Dane rozliczeniowe (NIP, adres, dane fakturowe)
- Dane techniczne (IP, user agent, ciasteczka sesji)
- Dane konfiguracyjne przekazane do Agentów AI
- Dane osób trzecich przetwarzane przez Agentów AI w imieniu Klienta
3. Cele i podstawy prawne przetwarzania
a) Klienci Kydi (Klienci usług)
- Zawarcie i wykonanie umowy — art. 6 ust. 1 lit. b RODO
- Wystawianie faktur i rozliczenia — art. 6 ust. 1 lit. c RODO (obowiązek prawny)
- Marketing własnych usług — art. 6 ust. 1 lit. f RODO (uzasadniony interes)
- Dochodzenie roszczeń — art. 6 ust. 1 lit. f RODO
b) Osoby kontaktujące się przez formularz / email
- Odpowiedź na zapytanie — art. 6 ust. 1 lit. f RODO (uzasadniony interes)
c) Dane przetwarzane przez Agentów AI w imieniu Klienta
- Kydi przetwarza te dane jako Podmiot Przetwarzający (Procesor) na podstawie umowy powierzenia z Klientem
- Klient jest Administratorem danych swoich klientów
- Dane nie są używane do celów własnych Kydi ani do trenowania modeli
4. Odbiorcy danych
Dane mogą być przekazywane:
- OVH Sp. z o.o. (Wrocław, NIP 8992520556) — hosting aplikacji i bazy danych; serwerownia w Niemczech (EOG)
- Backblaze B2 — zaszyfrowane kopie zapasowe (USA, SCC, szyfrowane przed wysłaniem)
- Stripe — obsługa płatności za usługę Kydi (Irlandia/USA, SCC)
- Cloudflare Inc. — CDN i ochrona DDoS (USA, SCC)
- Resend, Inc. — wysyłka emaili systemowych (USA, SCC)
- Anthropic, OpenAI — modele AI używane przez Kydi (USA, SCC, brak treningu na danych klienta)
- Meta, Telegram, SMSAPI — operatorzy kanałów (Messenger/IG/WhatsApp/Telegram/SMS), gdy klient korzysta z odpowiedniego kanału
- Organy publiczne — wyłącznie na podstawie obowiązujących przepisów prawa
Pełna lista podwykonawców wraz z lokalizacją i podstawą prawną transferu: kydi.pl/subprocesorzy.
5. Przekazywanie danych poza EOG
Część infrastruktury (Cloudflare) jest zlokalizowana poza Europejskim Obszarem Gospodarczym. Przekazywanie opieramy na:
- Standardowych klauzulach umownych (SCCs) zatwierdzonych przez Komisję Europejską
- Decyzjach o adekwatności wydanych przez Komisję
6. Okresy retencji
- Dokumentacja fakturowa — 5 lat od końca roku podatkowego (art. 74 ust. 2 ustawy o rachunkowości)
- Dane konfiguracyjne Agentów — czas trwania umowy + 30 dni
- Rozmowy z podłączonych kanałów (Instagram, Messenger): treść wiadomości i komentarzy, identyfikator i nazwa profilu nadawcy — czas trwania umowy, usuwane w ciągu 30 dni od jej zakończenia lub od odłączenia kanału przez Klienta (wcześniej na żądanie — Usunięcie danych)
- Korespondencja handlowa — 3 lata od zakończenia relacji (dochodzenie roszczeń)
- Logi techniczne — 90 dni
7. Twoje prawa jako osoby, której dane dotyczą
Na podstawie RODO przysługują Ci następujące prawa:
- Prawo dostępu (art. 15 RODO) — możesz uzyskać kopię przetwarzanych danych
- Prawo sprostowania (art. 16 RODO) — możesz żądać poprawienia błędnych danych
- Prawo do usunięcia (art. 17 RODO) — możesz żądać usunięcia danych, gdy nie są już niezbędne
- Prawo do ograniczenia przetwarzania (art. 18 RODO)
- Prawo do przenoszenia danych (art. 20 RODO) — w formacie JSON lub CSV
- Prawo sprzeciwu (art. 21 RODO) — w szczególności wobec marketingu bezpośredniego
- Prawo do niepodlegania zautomatyzowanym decyzjom (art. 22 RODO)
8. Jak realizować prawa
Wyślij maila na pomoc@kydi.pl z tematem „RODO — [Twoje imię]" i opisem żądania. Odpowiemy w ciągu 30 dni. W uzasadnionych przypadkach termin może być przedłużony o kolejne 60 dni — poinformujemy o tym wcześniej.
Jeśli uważasz że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.
9. Usunięcie danych
Możesz w każdej chwili poprosić o usunięcie swoich danych. Robimy to w ciągu 30 dni.
a) Jesteś Klientem Kydi (masz u nas konto)
- Napisz na pomoc@kydi.pl z tematem „Usunięcie danych".
- Podaj adres e-mail, na który założone jest konto (żebyśmy wiedzieli, co usunąć).
- Potwierdzimy przyjęcie zgłoszenia i usuniemy dane w ciągu 30 dni. Dostaniesz maila, gdy będzie zrobione.
Usuwamy: konto, dane firmy, konfigurację Kydi, rozmowy z podłączonych kanałów (Instagram, Messenger) i dane osób, które do Ciebie pisały. Zostają wyłącznie faktury — musimy je trzymać 5 lat (przepisy podatkowe, art. 74 ustawy o rachunkowości). Nie da się z tego zrezygnować.
Chcesz tylko przerwać odbieranie wiadomości, bez kasowania konta? Odłącz Instagrama/Messengera w panelu: Ustawienia → Kanały → Odłącz kanał.
b) Twoja wiadomość w DM do firmy, którą obsługuje Kydi
Wtedy administratorem Twoich danych jest ta firma, a my jesteśmy tylko wykonawcą, który przetwarza dane na jej zlecenie. Masz dwie drogi — obie działają:
- Napisz do firmy, z którą prowadzisz rozmowę (to najszybsze — to ona decyduje o swoich danych).
- Albo napisz do nas na pomoc@kydi.pl. Podaj nazwę firmy (np. profil na Instagramie), z którą prowadzisz rozmowę, i nazwę swojego profilu. Przekażemy żądanie tej firmie i usuniemy dane z naszych systemów w ciągu 30 dni.
Nie musisz mieć u nas konta, żeby o to poprosić. Nie pobieramy za to opłat.
10. Dobrowolność podania danych
Podanie danych jest dobrowolne, ale niezbędne do korzystania z usług Kydi. Brak podania danych wymaganych do realizacji umowy uniemożliwia świadczenie usługi.
11. Zautomatyzowane podejmowanie decyzji + AI Act
W stosunku do Klientów (firm korzystających z Kydi) NIE stosujemy zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywoływałoby wobec nich skutki prawne.
W ramach usługi Kydi stosujemy zautomatyzowane generowanie odpowiedzi na wiadomości klientów Klienta. Zgodnie z art. 50 Rozporządzenia o sztucznej inteligencji (AI Act, obowiązuje od 2 sierpnia 2026):
- Kydi przedstawia się jako asystentka AI na początku rozmowy — nie czeka, aż ktoś zapyta. Osoba pisząca od razu wie, że rozmawia z systemem AI, a nie z człowiekiem;
- Klient ma obowiązek poinformować swoich klientów, że obsługuje ich częściowo system AI — wzór klauzuli udostępniamy pod adresem kydi.pl/klauzula-klientki;
- Decyzje o charakterze prawnym (np. przyjęcie zlecenia, cena usługi) podejmuje Klient, nie system.
12. Umowa powierzenia (DPA)
Dla danych klientów końcowych przetwarzanych przez Kydi w imieniu Klienta obowiązuje odrębna umowa powierzenia (Data Processing Agreement), akceptowana przy rejestracji w usłudze. Aktualna wersja: kydi.pl/dpa.
Dokument sporządzony zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz Rozporządzeniem (UE) 2024/1689 (AI Act). W razie pytań: pomoc@kydi.pl