Informacja o przetwarzaniu danych osobowych (RODO)

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest Sunaura sp. z o.o. (marka Kydi), ul. Szlak 77/222, 31-153 Kraków, KRS 0001130877, NIP 6762678620, REGON 529854422.

Email do kontaktu w sprawach danych osobowych: info@kydi.pl (obecni Klienci: pomoc@kydi.pl)

Nie jesteśmy zobowiązani do wyznaczenia Inspektora Ochrony Danych. W razie pytań — piszcie bezpośrednio.

2. Kategorie przetwarzanych danych

Przetwarzamy następujące kategorie danych, w zależności od podstawy relacji:

• Dane identyfikacyjne (imię, nazwisko, nazwa firmy)
• Dane kontaktowe (email, telefon)
• Dane rozliczeniowe (NIP, adres, dane fakturowe)
• Dane techniczne (IP, user agent, ciasteczka sesji)
• Treść zgłoszeń, odpowiedzi z ankiety i rozmów w czacie na kydi.pl
• Materiały przekazane przez Klienta (zakres usług, ceny, zdjęcia realizacji), z których przygotowujemy stronę i dokumenty dla Kydi
• Dane osób trzecich przetwarzane przez Agentów AI w imieniu Klienta (wiadomości z Instagrama i Messengera, a gdy kanał zostanie udostępniony — z WhatsAppa; komentarze pod postami, dane z formularzy reklam, potwierdzenia zlecenia)
• Wyniki reklam Klienta z konta reklamowego, które wskazał (tylko odczyt)

3. Cele i podstawy prawne przetwarzania

a) Klienci Kydi (Klienci usług)

• Zawarcie i wykonanie umowy — art. 6 ust. 1 lit. b RODO
• Wystawianie faktur i rozliczenia — art. 6 ust. 1 lit. c RODO (obowiązek prawny)
• Marketing własnych usług — art. 6 ust. 1 lit. f RODO (uzasadniony interes)
• Dochodzenie roszczeń — art. 6 ust. 1 lit. f RODO

b) Osoby kontaktujące się przez zgłoszenie, formularz, czat na kydi.pl albo email

• Odpowiedź na zapytanie i rozmowa przed zawarciem umowy — art. 6 ust. 1 lit. b RODO
• Ochrona czatu przed spamem i botami (adres IP, Cloudflare Turnstile) — art. 6 ust. 1 lit. f RODO (uzasadniony interes)

c) Dane przetwarzane przez Agentów AI w imieniu Klienta

• Kydi przetwarza te dane jako Podmiot Przetwarzający (Procesor) na podstawie umowy powierzenia z Klientem
• Klient jest Administratorem danych swoich klientów
• Dane nie są używane do celów własnych Kydi ani do trenowania modeli

4. Odbiorcy danych

Dane mogą być przekazywane:

• OVH Sp. z o.o. (Wrocław, NIP 8992520556) — hosting aplikacji i bazy danych; serwerownia w Niemczech (EOG)
• Backblaze B2 — zaszyfrowane kopie zapasowe (USA, SCC, szyfrowane przed wysłaniem)
• Stripe — obsługa płatności za usługę Kydi (Irlandia/USA, SCC)
• Cloudflare Inc. — strony internetowe, CDN, ochrona DDoS i Turnstile w czacie (USA, SCC)
• Resend, Inc. — wysyłka naszych maili oraz kanał e-mail firm Klientów (USA, SCC)
• Anthropic, OpenAI — modele AI używane przez Kydi (USA, SCC, brak treningu na danych klienta)
• Meta, Telegram, SMSAPI — operatorzy kanałów (Messenger/IG/WhatsApp/Telegram/SMS), gdy klient korzysta z odpowiedniego kanału
• Główny Urząd Geodezji i Kartografii (GUGiK) — zamiana adresu oględzin na punkt na mapie; dostaje sam adres (Polska, EOG)
• TAX4YOU GRUPA sp. z o.o. (Kraków, NIP 6762676093) — nasze biuro rachunkowe; prowadzi księgowość i dostaje dane z faktur za usługę (nazwa firmy, NIP, adres, kwoty) (Polska, EOG)
• Organy publiczne — wyłącznie na podstawie obowiązujących przepisów prawa

Pełna lista podwykonawców wraz z lokalizacją i podstawą prawną transferu: kydi.pl/subprocesorzy. Biura rachunkowego na niej nie ma, bo dostaje tylko nasze faktury, a nie dane, które powierzają nam Klienci.

5. Przekazywanie danych poza EOG

Serwer i baza danych Kydi stoją w Niemczech (EOG). Poza EOG dane trafiają do: dostawców modeli językowych (OpenAI, Anthropic — treść wiadomości, żeby ułożyć odpowiedź), Meta (wiadomości z Instagrama i Messengera, a gdy kanał zostanie udostępniony — z WhatsAppa; komentarze, dane z formularzy reklam), Resend (maile), Cloudflare (strony i Turnstile), Stripe (płatności) oraz Backblaze (zaszyfrowane kopie zapasowe). Przekazywanie opieramy na:

• Standardowych klauzulach umownych (SCCs) zatwierdzonych przez Komisję Europejską
• Decyzjach o adekwatności wydanych przez Komisję

6. Okresy retencji

• Dokumentacja fakturowa — 5 lat od końca roku podatkowego (art. 74 ust. 2 ustawy o rachunkowości)
• Dane konfiguracyjne Agentów — czas trwania umowy + 30 dni
• Rozmowy z podłączonych kanałów (Instagram, Messenger, WhatsApp) i zapytania z formularzy reklam: treść wiadomości i komentarzy, identyfikator i nazwa profilu nadawcy, na WhatsAppie numer telefonu, dane wpisane w formularz reklamy — czas trwania umowy, usuwane w ciągu 30 dni od jej zakończenia (wcześniej na żądanie — Usunięcie danych). Odłączenie kanału zatrzymuje odbieranie nowych wiadomości; rozmowy, które już są, zostają u Klienta do końca umowy.
• Wyniki reklam Klienta i podsumowania miesiąca — czas trwania umowy, usuwane w ciągu 30 dni od jej zakończenia
• Zgłoszenia z formularzy i rozmowy w czacie na kydi.pl, gdy nie doszło do współpracy — do 12 miesięcy od ostatniego kontaktu
• Dane kontaktowe i korespondencja z Klientami — czas trwania umowy + do 3 lat od jej zakończenia (dochodzenie roszczeń)
• Pliki cookie, statystyka odwiedzin i Meta Pixel — zasady w Polityce prywatności, pkt 9
• Logi techniczne — 90 dni

Okres po rezygnacji. Czas trwania umowy obejmuje też okres po rezygnacji z Pakietu (3 miesiące, regulamin §6). Strona i aplikacja z listą zapytań działają wtedy bez opłat, umowa trwa dalej, a dane zostają. Umowa kończy się z końcem tego okresu i od tego dnia liczymy 30 dni na usunięcie danych.

Brak płatności to nie rezygnacja. Wstrzymanie Strony i Kydi do czasu opłacenia (regulamin §4a) nie kończy umowy od razu — dane zostają nietknięte. Jeśli opłata nie wpłynie w ciągu 3 miesięcy od wstrzymania, umowa się kończy.

Kiedy kończy się umowa. Umowa kończy się z końcem okresu po rezygnacji, po 3 miesiącach wstrzymania za brak płatności albo 30 dni po usunięciu konta w aplikacji (przez te 30 dni konto da się przywrócić). Od końca umowy mamy 30 dni na usunięcie danych.

Wcześniej usuwamy dane na żądanie (punkt 9). Usunięte dane znikają z zaszyfrowanych kopii zapasowych same, najpóźniej po 90 dniach.

7. Twoje prawa jako osoby, której dane dotyczą

Na podstawie RODO przysługują Ci następujące prawa:

• Prawo dostępu (art. 15 RODO) — możesz uzyskać kopię przetwarzanych danych
• Prawo sprostowania (art. 16 RODO) — możesz żądać poprawienia błędnych danych
• Prawo do usunięcia (art. 17 RODO) — możesz żądać usunięcia danych, gdy nie są już niezbędne
• Prawo do ograniczenia przetwarzania (art. 18 RODO)
• Prawo do przenoszenia danych (art. 20 RODO) — w formacie JSON lub CSV
• Prawo sprzeciwu (art. 21 RODO) — w szczególności wobec marketingu bezpośredniego
• Prawo do niepodlegania zautomatyzowanym decyzjom (art. 22 RODO)

8. Jak realizować prawa

Wyślij maila na pomoc@kydi.pl z tematem „RODO — [Twoje imię]" i opisem żądania. Odpowiemy w ciągu 30 dni. W uzasadnionych przypadkach termin może być przedłużony o kolejne 60 dni — poinformujemy o tym wcześniej.

Jeśli uważasz że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.

9. Usunięcie danych

Możesz w każdej chwili poprosić o usunięcie swoich danych. Po zgłoszeniu robimy to w ciągu 30 dni.

a) Jesteś Klientem Kydi (masz u nas konto)

1. Napisz na pomoc@kydi.pl z tematem „Usunięcie danych".
2. Podaj adres e-mail, na który założone jest konto (żebyśmy wiedzieli, co usunąć).
3. Potwierdzimy przyjęcie zgłoszenia i usuniemy dane w ciągu 30 dni. Dostaniesz maila, gdy będzie zrobione.

Możesz też usunąć konto sam w aplikacji: Ustawienia → Konto → Usuń konto. Przez 30 dni da się je przywrócić — wystarczy do nas napisać. Potem umowa się kończy i usuwamy dane w ciągu 30 dni.

Usuwamy: konto, dane firmy, konfigurację Kydi, rozmowy z podłączonych kanałów (Instagram, Messenger, WhatsApp), zapytania z formularzy reklam, potwierdzenia zlecenia, wyniki reklam i dane osób, które do Ciebie pisały. Zostają wyłącznie faktury — musimy je trzymać 5 lat (przepisy podatkowe, art. 74 ustawy o rachunkowości). Nie da się z tego zrezygnować.

Chcesz tylko przerwać odbieranie wiadomości, bez kasowania konta? Napisz do nas — odłączymy wskazany kanał (Instagram, Messenger, WhatsApp, e-mail).

b) Pisałeś do firmy, którą obsługuje Kydi (DM, WhatsApp, komentarz pod postem albo formularz reklamy)

Wtedy administratorem Twoich danych jest ta firma, a my jesteśmy tylko wykonawcą, który przetwarza dane na jej zlecenie. Masz dwie drogi — obie działają:

1. Napisz do firmy, z którą prowadzisz rozmowę (to najszybsze — to ona decyduje o swoich danych).
2. Albo napisz do nas na pomoc@kydi.pl. Podaj nazwę firmy (np. profil na Instagramie), z którą prowadzisz rozmowę, i nazwę swojego profilu. Przekażemy żądanie tej firmie i usuniemy dane z naszych systemów w ciągu 30 dni.

Nie musisz mieć u nas konta, żeby o to poprosić. Nie pobieramy za to opłat.

c) Przez ustawienia Facebooka (dla osoby, która połączyła Kydi ze swoim kontem na Facebooku)

1. Na Facebooku wejdź w: Ustawienia i prywatność → Ustawienia → Aplikacje i witryny.
2. Wybierz Kydi i kliknij „Usuń”. Możesz też poprosić o usunięcie danych, które Kydi dostała z Facebooka.
3. Facebook pokaże Ci numer potwierdzenia i link. Pod tym linkiem sprawdzisz, na jakim etapie jest usuwanie.

Połączenie z Facebookiem wyłączamy od razu. Dane, które dostaliśmy przez to połączenie, usuwamy w ciągu 30 dni. Pod linkiem od Facebooka zobaczysz, kiedy to zrobimy.

10. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do korzystania z usług Kydi. Brak podania danych wymaganych do realizacji umowy uniemożliwia świadczenie usługi.

11. Zautomatyzowane podejmowanie decyzji + AI Act

W stosunku do Klientów (firm korzystających z Kydi) NIE stosujemy zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywoływałoby wobec nich skutki prawne.

W ramach usługi Kydi stosujemy zautomatyzowane generowanie odpowiedzi na wiadomości klientów Klienta. Zgodnie z art. 50 Rozporządzenia o sztucznej inteligencji (AI Act, obowiązuje od 2 sierpnia 2026):

• Kydi przedstawia się jako asystentka AI na początku rozmowy — nie czeka, aż ktoś zapyta. Osoba pisząca od razu wie, że rozmawia z systemem AI, a nie z człowiekiem;
• Klient ma obowiązek poinformować swoich klientów, że obsługuje ich częściowo system AI — wzór klauzuli udostępniamy pod adresem kydi.pl/klauzula-dla-klientow;
• Decyzje o charakterze prawnym (np. przyjęcie zlecenia, cena usługi) podejmuje Klient, nie system.

12. Umowa powierzenia (DPA)

Dla danych klientów końcowych przetwarzanych przez Kydi w imieniu Klienta obowiązuje odrębna umowa powierzenia (Data Processing Agreement), stanowiąca część umowy o Pakiet (Regulamin, §7). Aktualna wersja: kydi.pl/dpa.

13. Rekrutacja (zgłoszenia ze strony /kariera)

Dane z formularza zgłoszenia do pracy (imię i nazwisko, e-mail, telefon, linki do prac, opis, CV) przetwarzamy, żeby przeprowadzić rekrutację na wybrane stanowisko — na podstawie art. 6 ust. 1 lit. b i c RODO w związku z art. 22¹ Kodeksu pracy, a dane podane ponad to, co wymagają przepisy — na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO), wyrażonej wysłaniem zgłoszenia.

• Dostęp do zgłoszeń mamy tylko my (osoby prowadzące rekrutację). Zgłoszenia nie trafiają do asystentki AI Kydi.
• Dane usuwamy najpóźniej 90 dni po zakończeniu rekrutacji.
• Jeśli zaznaczysz zgodę na udział w kolejnych rekrutacjach — przechowujemy dane do czasu jej wycofania, nie dłużej niż 12 miesięcy.
• Zgodę możesz wycofać w każdej chwili, pisząc na praca@kydi.pl — nie wpływa to na zgodność z prawem przetwarzania przed jej wycofaniem.
• Podanie danych jest dobrowolne, ale bez nich nie weźmiemy Cię pod uwagę w rekrutacji.

Dokument sporządzony zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz Rozporządzeniem (UE) 2024/1689 (AI Act). W razie pytań: pomoc@kydi.pl