Polityka Prywatności

1. Wprowadzenie

Signuply.io Sp. z o.o. z siedzibą w Łodzi przy ul. Semaforowej 9, 92-632 Łódź, NIP: 7282889300, REGON: 529657839, KRS: 0001127475 (zwany dalej "my", "nasz" lub "Signuply") świadczy usługi automatyzacji biznesowej oparte na sztucznej inteligencji, w tym: chat AI na strony internetowe i pozyskiwanie leadów (Signuply Chat), agentów głosowych AI (Signuply Voice), routing i klasyfikację wiadomości e-mail, automatyzację procesów oraz powiązane narzędzia.

Niniejsza Polityka Prywatności wyjaśnia, w jaki sposób zbieramy, wykorzystujemy i chronimy Twoje dane osobowe podczas korzystania z naszych usług — za pośrednictwem platformy, integracji lub bezpośrednio przez stronę internetową.

Działamy zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (zwanym dalej "RODO").

2. Administrator Danych

Administratorem Twoich danych osobowych jest:

W przypadku pytań dotyczących przetwarzania danych osobowych możesz skontaktować się z nami pod adresem email: contact@signuply.io

3. Jakie Dane Zbieramy

3.1 Autoryzacja OAuth

Podczas łączenia Twojego konta pocztowego za pomocą protokołu OAuth 2.0 otrzymujemy:

3.2 Dane z Wiadomości E-mail

W ramach świadczenia usługi przetwarzamy następujące dane z Twoich wiadomości e-mail:

• Treść wiadomości (temat, ciało wiadomości, nadawca, odbiorcy)
• Metadane wiadomości (data, godzina, rozmiar, identyfikator wiadomości)
• Załączniki do wiadomości (nazwy plików, zawartość)
• Nagłówki wiadomości (From, To, Subject, Date, Message-ID, Reply-To)
• Status wiadomości (przeczytana/nieprzeczytana, oznaczona)

3.3 Dane Techniczne

Automatycznie zbieramy następujące dane techniczne:

• Adres IP
• Typ przeglądarki i system operacyjny
• Znaczniki czasu autoryzacji i działań w systemie
• Logi błędów i aktywności systemu
• User Agent (identyfikator przeglądarki)

3.4 Dane widgetu Signuply Chat

Gdy widget Signuply Chat jest wdrożony na stronie klienta, przetwarzamy następujące dane odwiedzających stronę, którzy wchodzą w interakcję z widgetem (w imieniu klienta — jako podmiot przetwarzający):

• Treść rozmów: wiadomości wysyłane przez odwiedzających i odpowiedzi generowane przez asystenta AI
• Dobrowolnie podane dane kontaktowe: adres e-mail, numer telefonu, imię (gdy odwiedzający je poda)
• Adres IP i przybliżona lokalizacja urządzenia odwiedzającego
• Przeglądarka / User Agent — typ i wersja używanej przeglądarki
• Metadane sesji: znaczniki czasu, czas trwania rozmowy, URL strony z widgetem
• Ocena hot leada: automatyczna klasyfikacja intencji rozmowy przez AI (cold / warm / hot), oparta na sygnałach z rozmowy

Przechowywanie: Dane rozmów chatowych są przechowywane przez czas trwania aktywnej subskrypcji klienta, plus 7 dni po jej zakończeniu w celu eksportu, chyba że wcześniej zażądano usunięcia.

3.5 Dane głosowe AI (Vapi)

W przypadku klientów korzystających z usług Signuply Voice Agent przetwarzamy następujące dane za pośrednictwem naszego dostawcy infrastruktury głosowej AI (Vapi AI, Inc.):

• Numery telefonów: numery dzwoniącego i odbierającego w połączeniach obsługiwanych przez AI
• Nagrania głosowe: nagrania audio rozmów obsługiwanych przez agenta głosowego AI
• Transkrypcje: tekstowe transkrypcje generowane z nagrań rozmów
• Metadane połączeń: znaczniki czasu, czas trwania, status połączenia, klasyfikacja wyniku
• Podsumowania generowane przez AI: krótkie streszczenia treści rozmów i wykrytej intencji

Przechowywanie: Nagrania głosowe są domyślnie przechowywane przez 90 dni. Transkrypcje i metadane są przechowywane przez czas trwania subskrypcji klienta. Klienci mogą zażądać wcześniejszego usunięcia za pośrednictwem contact@signuply.io.

Infrastrukturę głosową zapewnia Vapi AI, Inc. (USA). Transfery danych objęte są Standardowymi Klauzulami Umownymi. Zobacz naszą Listę podprocesorów.

3.6 Dane uwierzytelniania (Clerk)

Uwierzytelnianie użytkowników i zarządzanie kontami dla produktów SaaS Signuply zapewnia Clerk, Inc. Przetwarzane są następujące dane:

• Adres e-mail i nazwa użytkownika podane podczas rejestracji
• Hash hasła (Clerk przechowuje zasalony hash — nie mamy dostępu do haseł w postaci jawnej)
• Dane uwierzytelniania wieloskładnikowego (MFA): sekrety TOTP, kody zapasowe (szyfrowane)
• Tokeny sesji: używane do utrzymywania uwierzytelnionych sesji; przechowywane bezpiecznie i rotowane przy każdym logowaniu
• Tokeny logowania społecznościowego OAuth: jeśli logujesz się przez Google lub innych dostawców
• Historia logowań: znaczniki czasu i adresy IP zdarzeń uwierzytelniania

Przechowywanie: Dane uwierzytelniania są przechowywane przez czas trwania konta. Po usunięciu konta Clerk usuwa rekordy uwierzytelniania w ciągu 30 dni.

Infrastrukturę uwierzytelniania zapewnia Clerk, Inc. (USA). Zobacz naszą Listę podprocesorów.

3.7 Dane płatności (Stripe)

Przetwarzanie płatności za subskrypcje Signuply realizowane jest w całości przez Stripe, Inc. Nie przechowujemy danych kart płatniczych. Następujące dane są przetwarzane przez Stripe w naszym imieniu:

• Dane karty płatniczej (numer karty, data ważności, CVV) — zbierane i tokenizowane bezpośrednio przez Stripe; Signuply nigdy nie ma dostępu do surowych danych karty
• Imię, nazwisko i adres rozliczeniowy
• Historia transakcji: płatności subskrypcyjne, zwroty, nieudane obciążenia
• ID klienta Stripe — token referencyjny przechowywany przez Signuply łączący konto z rekordami Stripe
• Dane faktur: kwoty, daty, szczegóły planu subskrypcji

Przechowywanie: Dane transakcji i faktury są przechowywane przez 5 lat zgodnie z polskim prawem rachunkowym. Stripe może przechowywać dane dłużej zgodnie z własnymi politykami i obowiązującymi przepisami.

Stripe, Inc. posiada certyfikat PCI-DSS Level 1. Zobacz Politykę prywatności Stripe i naszą Listę podprocesorów.

3.8 Dane Analityczne (Cookies)

Za pomocą Google Analytics 4 (GA4) zbieramy dane analityczne dotyczące korzystania ze strony:

• Źródło ruchu (skąd przyszedłeś na stronę)
• Czas spędzony na stronie
• Akcje użytkownika (kliknięcia, przewijanie)
• Anonimowe ID sesji
• Przybliżona lokalizacja geograficzna (kraj, miasto)

Dane GA4 są przetwarzane przez Google LLC z siedzibą w USA. Więcej informacji:Google Privacy Policy

4. Cel i Podstawa Prawna Przetwarzania Danych

4.1 Świadczenie Usługi (Art. 6 ust. 1 lit. b RODO)

Cel: Automatyczna kategoryzacja przychodzących wiadomości e-mail, wysyłanie automatycznych odpowiedzi, zapisywanie załączników, generowanie raportów.

Podstawa prawna: Wykonanie umowy o świadczenie usług.

Okres przechowywania: Przez czas trwania umowy oraz do czasu przedawnienia roszczeń (zgodnie z przepisami Kodeksu Cywilnego).

4.2 Wypełnienie Obowiązków Prawnych (Art. 6 ust. 1 lit. c RODO)

Cel: Wystawianie faktur, prowadzenie księgowości, archiwizacja dokumentów.

Podstawa prawna: Wypełnienie obowiązków prawnych (ustawa o rachunkowości, przepisy podatkowe).

Okres przechowywania: 5 lat od końca roku, w którym powstał obowiązek podatkowy.

4.3 Prawnie Uzasadniony Interes (Art. 6 ust. 1 lit. f RODO)

Cele:

• Dochodzenie i obrona przed roszczeniami
• Zapewnienie bezpieczeństwa IT (monitoring, logi bezpieczeństwa)
• Analiza użytkowania usługi w celu jej ulepszenia (GA4)
• Marketing bezpośredni naszych usług (dla obecnych klientów)

Okres przechowywania: Do czasu przedawnienia roszczeń lub do momentu zgłoszenia skutecznego sprzeciwu.

4.4 Zgoda (Art. 6 ust. 1 lit. a RODO)

Cel: Newsletter, marketing produktów partnerów, cookies analityczne (GA4), profilowanie.

Okres przechowywania: Do momentu wycofania zgody.

Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

5. Jak Używamy Twoich Danych

Twoje dane wykorzystujemy wyłącznie w zakresie niezbędnym do świadczenia usługi:

• Automatyczna kategoryzacja: Analiza treści wiadomości przy użyciu sztucznej inteligencji (AI) w celu przypisania odpowiedniej kategorii
• Automatyczne odpowiedzi: Wysyłanie wstępnych odpowiedzi na podstawie rozpoznanej kategorii
• Zarządzanie załącznikami: Automatyczne zapisywanie załączników w wyznaczonych lokalizacjach (np. Google Drive, OneDrive)
• Raportowanie: Generowanie zestawień i statystyk dotyczących przetworzonych wiadomości
• Ulepszanie usługi: Analiza anonimowych danych w celu optymalizacji algorytmów kategoryzacji
• Analityka strony: Śledzenie ruchu na stronie connect.signuply.io za pomocą Google Analytics 4

6. Udostępnianie Danych Podmiotom Trzecim (Podprocesory)

W celu świadczenia usług korzystamy z podmiotów trzecich — zwanych podprocesorami — które przetwarzają dane osobowe w naszym imieniu. Zgodnie z art. 28 RODO zawieramy z każdym podprocesorem Umowę Powierzenia Przetwarzania Danych (DPA), zapewniając odpowiedni poziom bezpieczeństwa.

Korzystamy z podprocesorów w następujących kategoriach:

• Infrastruktura chmurowa i hosting — hosting aplikacji, baza danych, CDN (np. Vercel, Supabase, Hostinger)
• Przetwarzanie AI — analiza rozmów i wiadomości, automatyczne generowanie odpowiedzi (np. OpenAI, Google Gemini, Anthropic)
• Widget AI Chat — przetwarzanie rozmów odwiedzających, scoring leadów (infrastruktura Signuply Chat)
• Infrastruktura głosowa AI — połączenia telefoniczne AI, nagrywanie, transkrypcja (Vapi AI, Inc., USA)
• Uwierzytelnianie — zarządzanie kontami użytkowników, tokeny sesji, MFA (Clerk, Inc., USA)
• Przetwarzanie płatności — rozliczenia subskrypcji, fakturowanie (Stripe, Inc., USA)
• Automatyzacja procesów — orkiestracja integracji między systemami (np. Make, n8n)
• Integracje e-mail i kalendarza — dostęp OAuth do Gmail i Outlook (Google LLC, Microsoft)
• Analityka — anonimowa analiza ruchu na stronie (Google Analytics 4)

Wszyscy podprocesorzy działają na podstawie umów powierzenia przetwarzania danych zgodnie z art. 28 RODO. W przypadku transferu danych poza Europejski Obszar Gospodarczy (EOG) stosujemy Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską oraz dodatkowe środki techniczne (szyfrowanie, pseudonimizacja) zgodnie z Rozdziałem V RODO.

7. Transfer Danych do Państw Trzecich

Część naszych podprocesorów ma siedziby lub serwery w Stanach Zjednoczonych lub innych państwach spoza Europejskiego Obszaru Gospodarczego (EOG), które są państwami trzecimi w rozumieniu RODO.

W celu zapewnienia odpowiedniego poziomu ochrony wszystkich takich transferów stosujemy:

• Standardowe Klauzule Umowne (SCC) przyjęte przez Komisję Europejską na podstawie Art. 46 ust. 2 lit. c RODO
• Dodatkowe techniczne i organizacyjne środki ochrony (szyfrowanie, pseudonimizacja, kontrola dostępu)
• Umowy Powierzenia Przetwarzania Danych (DPA) z każdym podprocesorem, obejmujące wymagania Rozdziału V RODO

Szczegółowe informacje o zabezpieczeniach stosowanych przez poszczególnych podprocesorów — w tym ich siedziba, certyfikaty (ISO 27001, SOC 2 itp.) oraz stosowane mechanizmy transferu — są dostępne w naszej Liście Podprocesorów.

8. Pliki Cookies i Technologie Śledzące

8.1 Czym są Cookies?

Cookies to małe pliki tekstowe zapisywane na Twoim urządzeniu (komputer, telefon, tablet) podczas odwiedzania strony internetowej. Pozwalają one stronie "zapamiętać" Twoje działania i preferencje.

8.2 Jakie Cookies Używamy?

8.3 Zarządzanie Cookies

Banner Cookies: Przy pierwszej wizycie wyświetlamy banner z możliwością wyboru, które cookies zaakceptować.

Ustawienia przeglądarki: Możesz zablokować cookies w ustawieniach swojej przeglądarki:

• Chrome: Ustawienia → Prywatność i bezpieczeństwo → Pliki cookie
• Firefox: Ustawienia → Prywatność i bezpieczeństwo → Ciasteczka
• Safari: Preferencje → Prywatność → Zarządzaj danymi
• Edge: Ustawienia → Pliki cookie i uprawnienia witryny

Uwaga: Zablokowanie niezbędnych cookies może uniemożliwić autoryzację OAuth.

8.4 Google Analytics 4 - Szczegóły

Google Analytics 4 zbiera następujące dane:

• Anonimowy identyfikator użytkownika (nie przypisany do konkretnej osoby)
• Typ urządzenia i przeglądarki
• Przybliżona lokalizacja (kraj, miasto)
• Źródło ruchu (skąd przyszedłeś)
• Odwiedzane podstrony i czas spędzony
• Kliknięcia w przyciski i linki

Anonimizacja IP: Adresy IP są anonimizowane (ostatni oktet maskowany).

Opt-out: Możesz zrezygnować z GA4 instalując:

• Google Analytics Opt-out Browser Add-on
• Lub odrzucając cookies analityczne w naszym bannerze

9. Przechowywanie i Bezpieczeństwo Danych

9.1 Okres Przechowywania

• Tokeny OAuth (Google/Microsoft): Do momentu odwołania autoryzacji lub zakończenia umowy
• Treść wiadomości: Nie przechowujemy na stałe - przetwarzanie w czasie rzeczywistym
• Logi systemowe: 30 dni (do celów diagnostyki i bezpieczeństwa)
• Metadane kategoryzacji: 12 miesięcy (do celów raportowania)
• Faktury i dokumenty księgowe: 5 lat (wymóg prawny)
• Dane GA4: 14 miesięcy (ustawienie domyślne Google)

9.2 Środki Bezpieczeństwa

Stosujemy następujące środki techniczne i organizacyjne:

• Szyfrowanie: TLS 1.3 dla przesyłania danych, AES-256 dla przechowywania tokenów
• Kontrola dostępu: Dostęp do danych tylko dla upoważnionych pracowników (principle of least privilege)
• Monitoring: Całodobowy monitoring bezpieczeństwa infrastruktury
• Kopie zapasowe: Automatyczne backupy tokenów OAuth (zaszyfrowane)
• Testy bezpieczeństwa: Regularne audyty i testy penetracyjne
• Procedury: Dokumentowane procedury reagowania na incydenty bezpieczeństwa
• Multi-factor authentication (MFA): Wymagane dla dostępu administracyjnego

10. Twoje Prawa (RODO)

Jako osoba, której dane dotyczą, przysługują Ci następujące prawa:

Jak skorzystać z praw?

Aby skorzystać z powyższych praw, skontaktuj się z nami:

• Email: contact@signuply.io
• Temat wiadomości: "RODO - [rodzaj żądania]"

Odpowiemy na Twoje żądanie bez zbędnej zwłoki, nie później jednak niż w ciągu miesiąca od jego otrzymania. W przypadku złożonych żądań możemy przedłużyć ten termin o kolejne 2 miesiące, informując Cię o tym z podaniem przyczyn.

11. Odwołanie Dostępu do Poczty E-mail

Możesz w każdej chwili odwołać naszą autoryzację do Twojego konta pocztowego:

Po odwołaniu dostępu:

• Natychmiast przestaniemy przetwarzać Twoje wiadomości e-mail
• Usuniemy przechowywane tokeny OAuth w ciągu 24 godzin
• Usługa przestanie działać
• Zachowamy dane księgowe (faktury) przez wymagany prawnie okres

Odwołanie dostępu OAuth jest równoznaczne z wypowiedzeniem umowy o świadczenie usług.

12. Profilowanie i Zautomatyzowane Decyzje

W ramach naszych usług stosujemy zautomatyzowane przetwarzanie (AI) w następujący sposób:

Kategoryzacja e-mail

Używamy AI do automatycznej kategoryzacji przychodzących wiadomości e-mail. Jest to funkcja czysto operacyjna i nie ma wpływu na warunki umowy, dostęp do usług ani prawa i obowiązki żadnej ze stron.

Scoring hot leadów (Signuply Chat)

Signuply Chat używa AI do automatycznej klasyfikacji rozmów odwiedzających jako cold, warm lub hotna podstawie sygnałów intencji wykrytych podczas rozmowy (np. pytania o cenę, prośba o kontakt, podanie danych).

Klasyfikacja ta jest narzędziem wspomagającym klientów w priorytetyzacji działań następczych. Nie podejmujemy zautomatyzowanych decyzji wywołujących bezpośrednie skutki prawne wobec odwiedzających (Art. 22 RODO). Ocena leada jest rekomendacją — wszelkie ostateczne decyzje dotyczące follow-upu lub działań biznesowych podejmuje zespół klienta.

Klienci wdrażający Signuply Chat są odpowiedzialni za poinformowanie odwiedzających strony o zautomatyzowanym przetwarzaniu oraz za zapewnienie odpowiedniej podstawy prawnej takiego przetwarzania zgodnie z RODO.

Profilowanie przez Google Analytics 4

GA4 może tworzyć profile użytkowników na podstawie zachowania na stronie (tzw. "audience segments"). Dane te są anonimowe (nie przypisane do konkretnych osób), używane tylko do optymalizacji strony i nie wpływają na warunki świadczenia usług. Możesz wycofać zgodę w każdej chwili (patrz sekcja 8.3).

13. Kontakt z Organem Nadzorczym

Jeśli uważasz, że przetwarzanie Twoich danych osobowych narusza przepisy RODO, możesz wnieść skargę do organu nadzorczego:

14. Zmiany w Polityce Prywatności

Możemy okresowo aktualizować niniejszą Politykę Prywatności w celu odzwierciedlenia zmian w naszych praktykach lub z powodów prawnych.

O istotnych zmianach poinformujemy Cię:

• Poprzez powiadomienie email (wysłane na adres email powiązany z usługą)
• Poprzez informację na stronie signuply.io
• Conajmniej 14 dni przed wejściem w życie zmian

Data ostatniej aktualizacji jest zawsze widoczna na górze tego dokumentu.

15. Kontakt

W przypadku pytań dotyczących niniejszej Polityki Prywatności lub przetwarzania Twoich danych osobowych, skontaktuj się z nami: