Polityka prywatności Daidala
Ostatnia aktualizacja: 16 października 2026 r.
1. Administrator i kontakt
Administratorem danych opisanych w tej polityce jest Daidala AI Konrad Makowski, Snopków 20, 21-002 Jastków, Polska, NIP 713-274-23-92, prowadzący serwis Daidala pod adresem https://daidala.tech.
Kontakt we wszystkich sprawach dotyczących prywatności: support@daidala.tech.
Administrator nie wyznaczył inspektora ochrony danych.
2. Dwie role dotyczące danych
Ta polityka dotyczy danych, których cele i sposoby przetwarzania ustala Daidala AI Konrad Makowski. Obejmuje dane osób odwiedzających stronę, zakładających konto, kupujących usługę i kontaktujących się z administratorem, a także właścicieli firm, które ją kupują.
Wobec danych osobowych umieszczonych przez klienta w jego instancji Daidala klient jest administratorem, a Daidala AI Konrad Makowski jest podmiotem przetwarzającym. Zasady tego przetwarzania określa umowa powierzenia zawarta w sekcji 10 Regulaminu świadczenia usługi Daidala. Osoba, której dane znajdują się w instancji klienta, powinna kierować żądania do tego klienta. Żądanie otrzymane przez Daidala AI Konrad Makowski zostanie przekazane klientowi.
3. Dane, cele i podstawy prawne
| Dane | Cel | Podstawa |
|---|---|---|
| adres IP, dane przeglądarki i urządzenia, żądane strony, czas żądania | działanie serwisu, bezpieczeństwo i wykrywanie nadużyć | art. 6 ust. 1 lit. f RODO - uzasadniony interes w zapewnieniu bezpieczeństwa i stabilności |
| niezbędne cookies i podobne informacje | sesja, logowanie, bezpieczeństwo, zapamiętanie wyboru analityki i wyboru języka | art. 6 ust. 1 lit. b lub f RODO; zapisywanie i odczytywanie informacji w urządzeniu bez zgody, bo są niezbędne do świadczenia usługi (art. 399 ust. 3 Prawa komunikacji elektronicznej (PKE) i odpowiednie przepisy innych państw, zob. rozdz. 9) |
| dane wysyłane do Google Analytics 4 po wyrażeniu zgody w karcie „Analityka”: adres IP, adres odwiedzanej strony, strona odsyłająca, dane przeglądarki i urządzenia oraz cookies Google, które rozpoznają powracającą wizytę | pomiar korzystania ze strony | art. 6 ust. 1 lit. a RODO i zgoda na zapisywanie i odczytywanie informacji w urządzeniu (art. 399 ust. 1 PKE i odpowiednie przepisy innych państw, zob. rozdz. 9) |
| imię i nazwisko, e-mail, skrót hasła, firma, adres, NIP i dane konta | założenie i obsługa konta oraz wykonanie umowy | art. 6 ust. 1 lit. b RODO |
| dane zamówienia, subskrypcji, płatności i zwrotów | zawarcie i wykonanie umowy | art. 6 ust. 1 lit. b RODO |
| dane faktury, rozliczeń, kraju i statusu podatkowego | obowiązki rachunkowe i podatkowe | art. 6 ust. 1 lit. c RODO |
| nazwa firmy i imię oraz nazwisko jej właściciela, a także kraj adresu i kraj nadania numeru podatkowego - podane przy zakupie albo zebrane w trakcie trwania umowy, gdy ich nie mamy; jeżeli właścicielem jest osoba inna niż kupujący, jego imię i nazwisko otrzymujemy od kupującego | sprawdzenie nabywcy na skonsolidowanej liście sankcyjnej Unii Europejskiej i na liście prowadzonej na podstawie ustawy z 13 kwietnia 2022 r. oraz powtarzanie tego sprawdzenia przez cały czas trwania umowy z klientem; gdy nazwa firmy albo nazwisko właściciela dopasuje się do wpisu, odmawiamy sprzedaży, a wobec klienta wstrzymujemy świadczenie usługi i zawiadamiamy właściwy organ | art. 6 ust. 1 lit. c RODO - zakaz udostępniania środków finansowych i zasobów gospodarczych osobom i podmiotom z list, wynikający z rozporządzeń (UE) nr 269/2014, (UE) nr 833/2014 i (WE) nr 765/2006 oraz z ustawy z 13 kwietnia 2022 r. |
| wiadomości związane z płatnością, uruchomieniem, zawieszeniem, rozwiązaniem umowy, odbiorem i usunięciem danych | wykonanie umowy i obowiązków prawnych | art. 6 ust. 1 lit. b i c RODO |
| korespondencja z pomocą techniczną | obsługa zgłoszenia i ochrona przed roszczeniami | art. 6 ust. 1 lit. b i f RODO |
| imię i nazwisko, adres e-mail oraz termin i strefa czasowa podane w formularzu rezerwacji konsultacji | umówienie i przeprowadzenie rozmowy o usłudze, w tym potwierdzenie rezerwacji i link do spotkania | art. 6 ust. 1 lit. b RODO - działania na żądanie osoby przed zawarciem umowy; art. 6 ust. 1 lit. f RODO - uzasadniony interes w odpowiedzi na kontakt, gdy rozmowa nie prowadzi do umowy |
| dane umowne i rozliczeniowe po zakończeniu umowy | ustalenie, dochodzenie lub obrona roszczeń | art. 6 ust. 1 lit. f RODO |
Podanie danych wymaganych przy koncie i zakupie jest dobrowolne, ale bez nich nie można zawrzeć ani wykonać umowy. Rezerwacja rozmowy również jest dobrowolna: bez imienia i nazwiska, adresu e-mail i terminu nie da się jej umówić. Nazwa firmy oraz imię i nazwisko właściciela są potrzebne do sprawdzenia sankcyjnego, którego wymagają przepisy - bez nich nie możemy sprzedać.
4. Odbiorcy danych
Dane mogą otrzymywać:
- Google Ireland Limited - Google Analytics 4, tylko po wyrażeniu zgody na analitykę;
- Google Ireland Limited - kalendarz i formularz rezerwacji konsultacji;
- Stripe Payments Europe, Limited i podmioty Stripe uczestniczące w płatności - obsługa płatności; dane karty trafiają bezpośrednio do Stripe;
- dostawcy infrastruktury chmurowej, na których serwerach działają instancje klientów, w centrach danych w Unii Europejskiej, w zakresie danych przetwarzanych na polecenie klienta;
- dostawca AI, którego dostęp klient podpiął do swojej instancji, w zakresie treści z tej instancji, której potrzebuje praca agentów AI: zagadnień, not, stron wiki i wszystkiego innego, co agent przy tej pracy czyta albo pisze;
- dostawca księgowości lub fakturowania, jeżeli zostanie użyty przy danym rozliczeniu;
- organy publiczne, gdy wymagają tego przepisy.
Storefront, poczta transakcyjna, pliki promocyjne i paczki danych po rozwiązaniu umowy korzystają z własnej infrastruktury administratora w Polsce. Cloudflare, Inc. utrzymuje DNS domeny daidala.tech, Śląsk Data Center - DNS domeny snopkow.eu używanej dla poczty transakcyjnej, a Let's Encrypt wystawia certyfikaty TLS. Dostawcy DNS nie pośredniczą w ruchu do serwisu i nie otrzymują danych konta ani zamówienia.
Daidala wysyła treść z instancji klienta do dostawcy AI, wykonując polecenia klienta: klient wybiera dostawcę i konto, a podpięcie tego dostępu jest poleceniem, żeby praca jego agentów szła na tym koncie (art. 28 ust. 3 lit. a RODO, sekcja 10 Regulaminu). Jest to dostawca klienta, przetwarza to, co Daidala mu wysyła, na podstawie własnej umowy klienta z nim i nie jest jedną z firm, które przetwarzają dane dla administratora.
Lista odbiorców zostanie zaktualizowana przed uruchomieniem nowego dostawcy.
5. Przekazywanie danych poza EOG
Storefront i jego baza działają w Polsce. Instancje klientów i ich dane są hostowane w Unii Europejskiej.
Treść z instancji klienta, której potrzebuje praca agentów AI, wychodzi z tej instancji i trafia do dostawcy AI, którego dostęp klient podpiął, w tym poza Europejski Obszar Gospodarczy, jeśli dostawca tam pracuje. Trafia tam na polecenie klienta. Klient jest administratorem danych ze swojej instancji (rozdz. 2) i to on decyduje, czy wolno te dane tam wysyłać.
Google i Stripe mogą przetwarzać dane także poza Europejskim Obszarem Gospodarczym. W takim przypadku stosują podstawę transferu wymaganą przez rozdział V RODO, w szczególności decyzję stwierdzającą odpowiedni stopień ochrony albo standardowe klauzule umowne. Informację o właściwym zabezpieczeniu można uzyskać pod adresem support@daidala.tech.
6. Okresy przechowywania
| Dane | Okres |
|---|---|
| logi dostępowe nginx z adresami IP | 90 dni |
| logi aplikacji | bez stałego okresu; znikają wraz z wymianą poda podczas wdrożenia |
| dane konta | przez czas umowy i następujący po nim okres odbioru danych - co najmniej 30 dni od zakończenia umowy, a jeżeli udostępniana jest paczka danych, do ostatniego dnia pobrania wskazanego przy niej na koncie, a jeżeli zgłosisz nam, że paczka jest niepełna albo poprosisz nas o wydanie swoich danych, do czasu zamknięcia tej sprawy, a jeżeli w ogóle nie udało się nam zbudować paczki, tak długo, jak stoi serwer, na którym działała Twoja instancja; dane usuwamy w ciągu 9 dni po ostatnim dniu pobrania, a jeżeli do tego czasu Twoja sprawa jest nadal otwarta - po jej zamknięciu; później tylko w zakresie potrzebnym do obowiązków prawnych lub roszczeń |
| paczka danych po zakończeniu umowy | do ostatniego dnia pobrania wskazanego przy paczce na koncie - co najmniej 30 dni od dnia, w którym się tam pojawiła; jest to dzień zakończenia umowy, chyba że przygotowanie danych trwało dłużej; jeżeli zgłosisz nam, że paczka jest niepełna albo poprosisz nas o wydanie swoich danych, trzymamy ją do czasu zamknięcia tej sprawy, a na koncie nie ma wtedy przy niej ostatniego dnia pobrania; pliki usuwamy w ciągu 9 dni po ostatnim dniu pobrania, a jeżeli do tego czasu Twoja sprawa jest nadal otwarta - po jej zamknięciu |
| paczka danych na Twoją prośbę w trakcie trwania umowy | do ostatniego dnia pobrania wskazanego przy paczce na koncie; pliki usuwamy najpóźniej dwa dni po tym dniu, a jeżeli poprosisz o kolejną paczkę, zastąpi ona tę i wtedy usuwamy te pliki |
| kopie bazy storefrontu | 14 dni |
| dane instancji klienta | przez czas umowy dostawca hostingu kopiuje serwer raz dziennie i trzyma siedem ostatnich kopii; każda zostaje do czasu, aż zastąpi ją nowsza, a wszystkie usuwamy razem z serwerem; serwer usuwamy, gdy umowa się kończy, a jeżeli w ogóle nie udało się nam zbudować paczki danych - stoi dalej, razem z kopiami, dopóki go nie usuniemy |
| faktury i dokumenty podatkowe | przez okres wymagany przez prawo podatkowe i rachunkowe |
| dane potrzebne do roszczeń | do upływu właściwego terminu przedawnienia |
| korespondencja wsparcia | 12 miesięcy od zakończenia sprawy, dłużej tylko gdy jest potrzebna do roszczeń |
| wpis w kalendarzu i wiadomości o umówionej rozmowie | 12 miesięcy od dnia rozmowy, a jeżeli z kontaktu powstaje umowa, tak długo jak dane konta wyżej |
| zapis wyboru analityki | 12 miesięcy |
| zapis sprawdzenia sankcyjnego | tak długo, jak musimy być w stanie wykazać, że sprawdzenie zostało wykonane - jeżeli dotyczy sprzedaży albo naszego klienta, tak długo jak dokumentacja księgowa tej sprzedaży albo umowy z tym klientem; jeżeli zakup został zatrzymany i zamówienie nie powstało, 5 lat od sprawdzenia |
| Google Analytics | dane analityczne przesyłane z tej strony Google przechowuje przez 2 miesiące od ich zebrania (tyle wynosi ustawienie retencji w naszym koncie Google Analytics), a po tym okresie usuwa je automatycznie. Dłużej mogą pozostać jedynie dane zagregowane w raportach, których nie da się powiązać z konkretnym odwiedzającym. |
7. Prawa osoby
W granicach określonych w RODO osoba może żądać dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia. Może sprzeciwić się przetwarzaniu opartemu na uzasadnionym interesie. Zgodę można wycofać w każdej chwili bez wpływu na zgodność wcześniejszego przetwarzania.
Żądania należy wysyłać na support@daidala.tech. Odpowiedź zostanie udzielona co do zasady w ciągu miesiąca. Skargę można wnieść do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa - organu nadzorczego właściwego dla administratora. Można ją też wnieść do organu nadzorczego w państwie UE lub EOG, w którym osoba mieszka lub pracuje albo w którym miało dojść do naruszenia (art. 77 RODO). Europejska Rada Ochrony Danych publikuje wykaz organów nadzorczych.
8. Zautomatyzowane decyzje
Przy zakupie trzy sprawdzenia mogą zakończyć się automatyczną odmową, bez udziału człowieka:
- kraj Twojego adresu albo kraj nadania Twojego numeru podatkowego jest objęty embargiem Unii Europejskiej;
- kraj nie należy do tych, do których sprzedajemy;
- podana nazwa firmy albo imię i nazwisko właściciela dopasowują się do wpisu na listach sankcyjnych wymienionych w rozdz. 3.
Porównujemy podane nazwy z naszymi kopiami obu list. Najpierw sprowadzamy obie strony do wspólnej postaci - bez znaków diakrytycznych, bez interpunkcji, bez oznaczenia formy prawnej, takiego jak sp. z o.o. albo GmbH - a potem za dopasowanie uznajemy nazwę identyczną albo złożoną z tych samych słów w innej kolejności. Odmowa oznacza, że zamówienie nie powstaje, nic nie jest pobierane i instancja nie jest zakładana. Nie oznacza, że uznajemy Cię za osobę z listy: porównujemy nazwy, a nie tożsamość.
Nazwa tylko zbliżona do wpisu oraz kopia listy zbyt stara, żeby na niej sprawdzać, nie kończą zakupu automatyczną odmową - zatrzymują go do obejrzenia przez człowieka.
Tak decydować wolno nam dlatego, że sprawdzenia wymagają unijne i polskie przepisy sankcyjne (art. 22 ust. 2 lit. b RODO), a te same przepisy przewidują drogę do wykreślenia z listy. Jeżeli uważasz, że odmowa jest niesłuszna, napisz na support@daidala.tech: sprawę obejrzy człowiek, możesz przedstawić swoje stanowisko i zakwestionować decyzję. Jedyna odmowa, której nie możemy uchylić, to ta z powodu kraju objętego embargiem - zakaz nie zostawia nam miejsca.
9. Cookies i analityka
Serwis używa:
| Nazwa | Dostawca | Cel | Czas | Kategoria |
|---|---|---|---|---|
_storefront_session | Daidala | utrzymanie sesji | do zamknięcia sesji | niezbędne |
analytics_consent | Daidala | zapis wyboru analityki | 12 miesięcy | niezbędne |
storefront_language | Daidala | zapamiętanie wybranego języka strony | 12 miesięcy | niezbędne |
_ga | rozróżnianie użytkowników w GA4 | do 12 miesięcy | analityczne | |
_ga_P0DEB3C6XG | utrzymanie stanu sesji GA4 | do 12 miesięcy | analityczne |
Skrypt gtag.js ładuje się dopiero wtedy, gdy wyrazisz zgodę w karcie „Analityka”. Zanim odpowiesz, a także po odmowie, strona nie łączy się z Google: nic nie trafia do Google i nie powstaje żadne ciasteczko Google ani identyfikator. Po zgodzie Google dostaje Twój adres IP, adres odwiedzanej strony, stronę odsyłającą oraz dane przeglądarki i urządzenia, a w przeglądarce powstają cookies Google z tabeli powyżej. Wycofanie zgody usuwa te cookies i zatrzymuje pomiar. Zgodę można odrzucić bez utraty dostępu do serwisu i zmienić przez link „Analityka” w stopce. Zamknięcie okna bez wyboru nie oznacza zgody.
Zapisywanie i odczytywanie informacji w Twoim urządzeniu podlega prawu państwa, w którym korzystasz ze strony: w Polsce art. 399 Prawa komunikacji elektronicznej (PKE), we Francji art. 82 ustawy nr 78-17 (Informatique et Libertés), w Niemczech § 25 TDDDG, w Hiszpanii art. 22 ust. 2 ustawy 34/2002 (LSSI), a w pozostałych państwach UE przepisy wdrażające art. 5 ust. 3 dyrektywy 2002/58/WE.
10. Bezpieczeństwo i zmiany
Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka. Polityka może zostać zmieniona, gdy zmienią się usługi, dostawcy lub prawo. Aktualna wersja i data są publikowane na stronie. O istotnej zmianie dotyczącej aktywnego klienta administrator poinformuje e-mailem, gdy wymagają tego przepisy lub charakter zmiany.