Przejdź do treści

INFORMACJE PRAWNE

Polityka prywatności

To tłumaczenie pomocnicze; wersja niemiecka jest wiążąca.

Stan na: październik 2026

KindChat, komunikator szyfrowany end-to-end z ochroną AI na urządzeniu. Hostowany w UE, bez śledzenia, bez profilowania.

Administrator danych: sonrisa ventures GmbH, Kleiststraße 35, 10787 Berlin, Niemcy · hi@kindchat.app

Inspektor ochrony danych: MIRUS Aktiengesellschaft, Unternehmensberatung, Ziegelfichtenweg 44, 14974 Ludwigsfelde, Niemcy, tel. +49 3378 2080727; e-mail przez hi@kindchat.app (temat „Datenschutzbeauftragter”)

1. Informacje ogólne i zasady

Nasze przetwarzanie opiera się na następujących zasadach:

  • Najpierw urządzenie: moderacja AI działa najpierw na Twoim urządzeniu, przy wysyłaniu i przy odbieraniu. Jeśli urządzenie nie ma pewności, a w niektórych językach (np. francuskim i tureckim) przy większości wiadomości, wysyła tekst także do naszego drugiego poziomu kontroli na naszym własnym serwerze w UE (2.3), bez identyfikatora Twojego konta; tekst jest zapisywany tylko za Twoją zgodą (2.2).
  • Szyfrowanie end-to-end (E2EE): wiadomości i media są szyfrowane end-to-end, a połączenia, gdy obie osoby mają KindChat 1.1.14 lub nowszy (ze starszą wersją szyfrowane bez potwierdzenia kluczy). To, jakie dane mimo to możemy odczytać, opisano przede wszystkim w punktach 2.1, 2.2, 2.3, 2.6 i 2.8.
  • Bez śledzenia, bez profilowania.
  • Przejrzystość i minimalizacja danych.
  • Hosting w UE.

Niniejsza polityka odnosi się do art. 13/14 RODO, art. 50 AI Act oraz aktu o usługach cyfrowych (DSA).

2. Jakie dane przetwarzamy i dlaczego

2.1 Rejestracja i konto (dane obowiązkowe)

  • Numer telefonu (identyfikacja i E2EE protokołem Signal)
  • Token urządzenia do powiadomień push (APNs/FCM, standardowa umowa powierzenia)
  • Wersja aplikacji, system operacyjny, model urządzenia
  • Dane profilu i grupy: Twoją nazwę wyświetlaną, wybór Twojego gotowego awatara, Twój tekst „Info”, nazwę, opis, tekst powitalny i obraz grupy oraz reakcje na wiadomości zapisujemy obecnie w postaci czytelnej. Tekst „Info” aplikacja od wersji 1.1.14 zapisuje już tylko na Twoim urządzeniu. Pozostałe dane szyfrujemy end-to-end, każde z nich, gdy tylko to włączymy. Potem już ich nie odczytujemy, z trzema wyjątkami: nazwę grupy zachowujemy w postaci czytelnej, dopóki wszystkie obsługiwane wersje aplikacji nie będą mogły jej odczytać w postaci zaszyfrowanej, a dane, których żadna aktualna aplikacja jeszcze nie zaszyfrowała, do tego czasu; nazwę, którą ktoś przekazuje ze zgłoszeniem, widzimy w tym zgłoszeniu; jeśli urządzenie nie jest pewne co do nazwy, sprawdza ją nasz drugi poziom kontroli bez identyfikatora (zob. 2.3). Czytelne pozostają dla nas: kto jest w której grupie, w jakiej roli, od kiedy i kto go dodał, a także liczba członków i ustawienia grupy.

Cel: świadczenie usługi, uwierzytelnianie, doręczanie. Podstawa prawna: art. 6 ust. 1 lit. b RODO. Okres przechowywania: do usunięcia konta, plus terminy ustawowe.

2.2 Moderacja AI na urządzeniu (funkcja podstawowa)

Tekst i (od wersji 1.1.14) dokumenty są sprawdzane na Twoim urządzeniu, także tekst widoczny na zdjęciu, w klatce wideo lub w dokumencie. Zdjęcia i filmy są sprawdzane na urządzeniu pod kątem nagości, przy wysyłaniu i przy odbieraniu; w filmach pojedyncze nieruchome klatki, nie dźwięk. Treść połączeń nie jest sprawdzana. Wiadomości głosowe są wstrzymane (zob. 2.4). Modele znajdują się lokalnie. W wątpliwych przypadkach, a w niektórych językach (np. francuskim i tureckim) przy większości wiadomości, Twoje urządzenie zwraca się do drugiego poziomu kontroli (zob. 2.3).

Tylko za Twoją zgodą: wkład w ulepszanie moderacji. W ustawieniach aplikacji, w sekcji Prywatność, możesz włączyć „Pomóż ulepszyć moderację”. Gdy przełącznik jest włączony, w przypadku decyzji drugiego poziomu kontroli zapisujemy sprawdzany tekst w formie pseudonimizowanej, wraz z językiem, kategorią i decyzją. Te rekordy nie zawierają identyfikatora Twojego konta. Imiona i nazwiska, numery telefonów i adresy e-mail są przed zapisaniem zastępowane, o ile nasza procedura je rozpoznaje. Rekordy są spseudonimizowane, nie zanonimizowane. Służą do sprawdzania i dalszego rozwijania naszego własnego modelu moderacji. Przełącznik jest domyślnie wyłączony i możesz go w każdej chwili ponownie wyłączyć; od tej chwili w odniesieniu do Twoich wiadomości nic więcej nie jest zapisywane. Bez tej zgody sprawdzany tekst jest po podjęciu decyzji usuwany.

Cel: sprawdzanie i dalsze rozwijanie jakości moderacji. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda), odwołalna. Okres przechowywania: 36 miesięcy, następnie automatyczne usunięcie. Miejsce przechowywania: wyłącznie UE.

Zgłoszenie wstrzymania jako błędnego. Jeśli uważasz, że aplikacja niesłusznie wstrzymuje Twoją własną wiadomość, Twój post lub Twój komentarz, w większości przypadków możesz to zgłosić, ale nie w przypadku zdjęć, filmów i dokumentów ani wtedy, gdy chodzi o bezpieczeństwo dzieci lub samookaleczenie. Aplikacja wysyła zgłoszenie tylko wtedy, gdy włączona jest opcja „Pomóż ulepszyć moderację”. Jeśli przełącznik jest wyłączony, możesz go włączyć przy zgłaszaniu; pozostaje on wtedy włączony (zob. wyżej). W przypadku chronionych członków aplikacja nie wysyła zgłoszenia (zob. 2.8).

Wraz ze zgłoszeniem otrzymujemy wstrzymane słowa napisane przez Ciebie, już spseudonimizowane na Twoim urządzeniu. W przypadku wiadomości na czacie dodawanych jest do pięciu Twoich własnych wcześniejszych wierszy z tego czatu, w przypadku posta w Pulse ewentualnie tekst z opisów jego zdjęć i filmów. Do tego dochodzą informacje o tym, która reguła i który poziom kontroli wstrzymał te słowa i jak ocenił je model kontroli, w jakim języku są napisane oraz jakiej wersji aplikacji, jakich reguł kontroli i jakich pakietów językowych używa Twoje urządzenie. Nasz serwer pseudonimizuje teksty jeszcze raz. Nie dodajemy Twojego imienia ani Twojego numeru; imiona i nazwiska, numery telefonów i adresy e-mail w Twoich słowach zastępujemy, o ile nasza procedura je rozpoznaje. Zgłoszenie jest spseudonimizowane, nie zanonimizowane. Same zdjęcia i filmy oraz wszystko, co napisali inni, nie są w nim zawarte. Zgłoszenie jest przechowywane bez identyfikatora Twojego konta; przy odbiorze sprawdzamy Twoje konto wyłącznie po to, aby ograniczać nadużycia i ustalić okres przechowywania. Osoby weryfikujące w KindChat widzą zgłoszenie.

Cel: rozpoznawanie i korygowanie błędnych decyzji moderacji poprzez dostosowywanie reguł lub wykorzystanie zgłoszenia jako przykładu do trenowania naszego własnego modelu moderacji. Podstawa prawna: art. 6 ust. 1 lit. a RODO (Twoje wyraźne zgłoszenie w danym przypadku). Okres przechowywania: 36 miesięcy, następnie automatyczne usunięcie; jeśli mimo to dotrze do nas zgłoszenie chronionego członka, usuwamy je po 12 miesiącach. Ponieważ zgłoszenie nie zawiera identyfikatora Twojego konta, nie możemy go później przypisać do Ciebie; pozostaje ono do końca okresu, także jeśli wyłączysz przełącznik lub usuniesz swoje konto. Miejsce przechowywania: wyłącznie UE.

Cel: ochrona przed szkodliwymi treściami. Podstawa prawna: art. 6 ust. 1 lit. f RODO oraz art. 6 ust. 1 lit. a (zgoda w przypadku Kręgu ochrony). Zob. Przejrzystość AI.

2.3 Drugi poziom kontroli na infrastrukturze w UE (przypadek wątpliwy oraz, w niektórych językach, takich jak francuski i turecki, większość wiadomości)

Jeśli kontrola na urządzeniu nie może rozstrzygnąć z pewnością, a w niektórych językach (np. francuskim i tureckim) przy większości wiadomości, Twoje urządzenie wysyła dany tekst (także tekst, który Twoje urządzenie rozpoznało na zdjęciu, w klatce wideo lub (od wersji 1.1.14) w dokumencie, nigdy samo zdjęcie ani plik) oraz maksymalnie pięć poprzedzających wiadomości z rozmowy do naszej własnej usługi moderacji na infrastrukturze w UE. Dzieje się to przed szyfrowaniem i wykonuje to samo Twoje urządzenie. Nie odszyfrowujemy żadnych wiadomości przesyłanych ani przechowywanych; potrzebne do tego klucze znajdują się na urządzeniach. Istnieją dwa wyjątki. Wiadomości, które Ty piszesz do wsparcia KindChat, odszyfrowuje nasz serwer, a nasz zespół wsparcia je czyta, aby Ci pomóc. A jeśli zgłosisz wiadomość i wyrazisz zgodę w oknie zgłoszenia, Twoje urządzenie przekazuje nam treść albo klucz do dokładnie tej jednej wiadomości; tym kluczem otwieramy co najwyżej tę jedną wiadomość. Zapytanie do drugiego poziomu kontroli jest uwierzytelnione w celu ochrony przed nadużyciami; po jego otrzymaniu nasz serwer rozpoznaje Twoje konto, ale do modelu kontroli przekazuje wyłącznie tekst i poprzedzające wiadomości, bez żadnego identyfikatora osób uczestniczących w rozmowie. Tekst i konto nie są przechowywane razem, a przesłany tekst jest po podjęciu decyzji usuwany.

Cel: ochrona przed poważnymi szkodami; obowiązki zgłaszania przestępstw. Podstawa prawna: art. 6 ust. 1 lit. f oraz ewentualnie lit. c. Termin usunięcia: sprawdzany tekst jest po podjęciu decyzji usuwany. Tylko za Twoją zgodą zachowywana jest wersja pseudonimizowana (zob. 2.2). Protokoły techniczne naszego serwera aplikacji, bez treści wiadomości: maks. 30 dni, chyba że istnieje ustawowy obowiązek przechowywania; w niektórych usługach pomocniczych właśnie wprowadzamy limit 30 dni, do tego czasu są nadpisywane według rozmiaru. Protokół naszego serwera aplikacji nie zawiera ani Twojego adresu IP, ani identyfikatora Twojego konta, z dwoma wyjątkami, które również są usuwane najpóźniej po 30 dniach: jeśli uruchomisz diagnostykę dla naszego zespołu wsparcia, zawiera ona identyfikator Twojego konta, bez adresu, aby zespół wsparcia mógł ją przypisać do Twojego konta; a jeśli przekazania danych organowi nie da się odnotować w naszym rejestrze rozliczalności, protokół odnotowuje, że ono nastąpiło, wraz z identyfikatorem konta osoby, której dotyczy, aby wniosek tej osoby o dostęp do danych mimo to je odnalazł. Bez przekazywania, z wyjątkiem podmiotów przetwarzających z umową powierzenia, wyłącznie w UE.

2.4 Wiadomości głosowe / transkrypcja głosu

Wiadomości głosowe są obecnie wstrzymane: aktualne wersje aplikacji (od 1.1.1) nie mogą już nagrywać, wysyłać ani odtwarzać wiadomości głosowych. Dopóki starsze wersje aplikacji zawierają jeszcze tę funkcję, obowiązuje dla nich: zautomatyzowana transkrypcja wyłącznie na urządzeniu; w razie eskalacji na infrastrukturze w UE sprawdzany jest wyłącznie tekst transkrypcji w celu klasyfikacji treści, nigdy plik audio. Wyłącznie rozpoznawanie treści, bez rozpoznawania emocji (art. 50 ust. 3 AI Act); nie są przechowywane żadne dane biometryczne. Podstawa prawna jak w 2.2/2.3.

2.5 Funkcja Krąg ochrony (opcjonalna)

  • Zgoda osoby chronionej
  • Ustawienia i metadane relacji ochrony (nie treści!)
  • Powiadomienia o środkach ochrony

Cel: wsparcie w zarządzaniu kontaktami i środkami ochrony. Podstawa prawna: art. 6 ust. 1 lit. a (zgoda, odwołalna). Osoby w Kręgu ochrony nie uzyskują wglądu w treści wiadomości; co możemy odczytać, opisano w punkcie 2.1.

2.6 Dane techniczne i dotyczące bezpieczeństwa

  • Adres IP (krótkotrwale, dla bezpieczeństwa i zapobiegania nadużyciom)
  • Raporty o awariach i błędach do naszego własnego systemu śledzenia błędów w Niemczech, bez treści wiadomości. Wyjątek dotyczy wersji aplikacji od 1.1.1 do 1.1.10: mogły one wysłać w raporcie tekst dotkniętych elementów, czyli w przypadku wiadomości czatu jej tekst, a w grupach także nazwę wyświetlaną nadawcy. Mogły też wysyłać techniczne identyfikatory rozmówców i wiadomości, które znajdowały się w zapytaniach do naszego serwera. Od 22 września 2026 r. nasz serwer nie przyjmuje raportów z tych wersji; już otrzymane pozostają zapisane. Od wersji 1.1.11 aplikacja nie wysyła ani dotkniętego tekstu, ani tych identyfikatorów. Na iPhonie aplikacja przy pierwszym uruchomieniu, zanim cokolwiek wyśle, jednorazowo usuwa wszystkie jeszcze niewysłane raporty starszych wersji.
  • zagregowane statystyki użytkowania

Podstawa prawna: art. 6 ust. 1 lit. f.

2.7 Żadnych innych danych

Twoja książka adresowa nie jest przesyłana na serwer. Jeśli chcesz zaprosić znajomych przez funkcję zapraszania, aplikacja może na Twoje życzenie odczytać Twoją listę kontaktów, wyłącznie lokalnie na Twoim urządzeniu i tylko po to, aby umożliwić Ci wybór osób, które chcesz zaprosić. Książka adresowa nie jest przesyłana ani zapisywana; wyłącznie numery wyraźnie potwierdzonych przez Ciebie odbiorców są przekazywane na nasz serwer w Niemczech i wykorzystywane tylko do wysłania SMS-a z zaproszeniem; sam numer nie jest zapisywany. W celu ochrony przed nadużyciami (najwyżej trzy zaproszenia od Ciebie na ten sam numer dziennie) przechowujemy wartości kontrolne numeru, utworzone za pomocą tajnego klucza, jedną z nich razem z Twoim kontem, najwyżej przez 24 godziny. Podstawa prawna: art. 6 ust. 1 lit. f RODO. Bez danych o lokalizacji, bez treści do celów reklamowych ani do trenowania zewnętrznych modeli.

2.8 Dzieci i młodzież w Kręgu ochrony

Osoby poniżej 16 lat mogą korzystać z KindChat jako chroniony członek Kręgu ochrony; w jakich krajach, określa punkt 1.4 Warunków korzystania z usługi. Podstawą prawną konta jest umowa chronionego członka o korzystanie z usługi, którą pełnoletni właściciel Kręgu ochrony zawiera w jego imieniu (art. 6 ust. 1 lit. b RODO). Funkcje opieki, czyli zatwierdzanie nowych kontaktów i dołączeń do grup, są częścią tej umowy (art. 6 ust. 1 lit. b RODO). O ile przetwarzanie opiera się na zgodzie, właściciel udziela jej w imieniu chronionego członka i wyraźnie ją oświadcza przy tworzeniu kodu rodzica (art. 6 ust. 1 lit. a w związku z art. 8 RODO). Pytamy o przedział wiekowy, a nie o datę urodzenia: przy rejestracji oraz przy logowaniu na nowym urządzeniu, o ile przedział wiekowy konta nie jest już zapisany. Zapisujemy wyłącznie wynikający z niego przedział wiekowy, moment podania i kraj. W przypadku chronionych członków dochodzą: moment i wersja oświadczenia właściciela, identyfikatory Kręgu ochrony i właściciela, status obowiązku zatwierdzania oraz ewentualnie data uśpienia konta. Przedział wiekowy z systemu operacyjnego: w przypadku kont w USA (decyduje numer telefonu lub podane miejsce zamieszkania) aplikacja dodatkowo pobiera przedział wiekowy udostępniany przez system operacyjny lub sklep z aplikacjami na urządzeniu, o ile jest tam zapisany; w kilku stanach USA takie zapytanie jest obowiązkowe od 2026 r. Do nas przekazywany jest wyłącznie sam przedział wiekowy, bez daty urodzenia, bez imienia i nazwiska opiekuna oraz bez identyfikatora platformy. Nie jest on przechowywany osobno, lecz jest uwzględniany w przedziale wiekowym konta i wywiera skutek tylko wtedy, gdy jest niższy niż własne oświadczenie osoby; nigdy nie może podnieść przedziału wiekowego. Celem jest ochrona małoletnich. Podstawą prawną jest art. 6 ust. 1 lit. f RODO (uzasadniony interes w skutecznej ochronie małoletnich) oraz, jeśli istnieje ustawowy obowiązek takiego zapytania, art. 6 ust. 1 lit. c RODO. Właściciel zatwierdza nowe kontakty i dołączenia do grup. Widzi przy tym nazwę wyświetlaną osoby proszącej o kontakt; w przypadku grup nazwę grupy, osobę zapraszającą i liczbę członków. Nie ma dostępu do wiadomości, połączeń ani lokalizacji. Chroniony członek w każdej chwili widzi w aplikacji, że obowiązek zatwierdzania jest aktywny i jakie funkcje opieki przyznał właściciel; nie istnieje ukryty nadzór. Kto wysyła prośbę o kontakt do chronionego członka lub zaprasza go do grupy, powinien wiedzieć: nazwa wyświetlana, a w grupach nazwa grupy i liczba członków, są pokazywane właścicielowi kręgu ochronnego do zatwierdzenia; niczego więcej o osobie proszącej właściciel się nie dowiaduje. Rozstrzygnięte prośby o zatwierdzenie są usuwane 90 dni po decyzji. Jeśli właściciel odrzuci prośbę, nazwa grupy lub społeczności zostaje przy tym natychmiast usunięta. Podstawą prawną pokazywania danych osoby proszącej jest art. 6 ust. 1 lit. f RODO (uzasadniony interes w ochronie chronionego członka). Dobrowolna zgoda „Pomóż ulepszać moderację" nie jest dostępna dla chronionych członków. Przy pierwszym uruchomieniu chronieni członkowie otrzymują przystępne streszczenie niniejszej informacji (art. 12 RODO).

3. Odbiorcy / podmioty przetwarzające

  • Hosting: Hetzner Online GmbH w Niemczech, z umową powierzenia; bez przekazywania danych treści do państw trzecich
  • Push: Apple/Google (standardowa umowa powierzenia, minimalizacja danych). Przesyłany jest sygnał wybudzenia na adres push urządzenia. W zależności od rodzaju zawiera stały tekst, taki jak „Nowa wiadomość”, liczbę nieprzeczytanych wiadomości, identyfikatory, które tylko KindChat może przypisać, a przy połączeniu przychodzącym rodzaj połączenia (audio lub wideo) i czas jego rozpoczęcia. Jeśli urządzenie zostaje wylogowane, sygnał podaje powód tylko jako kategorię (bezpieczeństwo, brak aktywności lub wylogowanie lub nowe zalogowanie na innym urządzeniu). Jeśli w czacie indywidualnym pisze do Ciebie kontakt oznaczony przez Ciebie gwiazdką, sygnał zawiera tę informację jako wskazówkę (trzy gwiazdki w tekście powiadomienia lub, gdy Android wybudza aplikację, znacznik); sama wskazówka nikogo nie wymienia. Apple lub Google otrzymują te dane i dowiadują się, że i kiedy urządzenie zostało wybudzone. Treści wiadomości nie otrzymują.
  • Weryfikacja urządzenia przy logowaniu i przy SMS-ach z zaproszeniem (od wersji aplikacji 1.1.11, przy SMS-ach z zaproszeniem od wersji 1.1.13 i dopiero gdy ją włączymy): gdy prosisz o kod logowania, aplikacja zleca Apple (App Attest) lub Google (Play Integrity) potwierdzenie, że żądanie pochodzi z prawdziwej aplikacji KindChat na prawdziwym urządzeniu. W systemie iOS aplikacja tworzy w tym celu na początku logowania klucz urządzenia, jeśli jeszcze go nie ma, i jednorazowo zleca Apple jego potwierdzenie. Klucz starszy niż 80 dni jest wymieniany przy następnym logowaniu; dopóki nowy nie zostanie potwierdzony, obowiązuje stary. Apple dowiaduje się przy tym, że i kiedy na urządzeniu utworzono klucz dla KindChat, i otrzymuje wartość kontrolną obliczoną z liczby losowej naszego serwera, bez Twojego numeru telefonu. W systemie Android Google przy każdym żądaniu kodu logowania sprawdza urządzenie, aplikację i jej status licencji dla kont Google zalogowanych na urządzeniu oraz otrzymuje wartość kontrolną obliczoną z liczby losowej naszego serwera, rodzaju żądania i Twojego numeru telefonu. Ponieważ Google nigdy nie otrzymuje liczby losowej, numeru nie da się odtworzyć z wartości kontrolnej. Jeśli Twoje konto nie ma jeszcze potwierdzenia urządzenia, na przykład dlatego, że od wprowadzenia weryfikacji urządzenia nie nastąpiło ponowne logowanie, aplikacja sprawdza urządzenie w ten sam sposób, gdy zapraszasz kogoś przez SMS; w systemie iOS tworzy w tym celu klucz urządzenia, jeśli jeszcze go nie ma. W systemie Android Google otrzymuje wtedy wartość kontrolną, która przy każdym żądaniu jest tworzona na nowo z liczby losowej naszego serwera i nie zawiera żadnego numeru telefonu, ani numeru zapraszanej osoby; nie da się jej powiązać z Twoim kontem ani z innymi żądaniami. Google według własnych informacji przechowuje zebrane przy tym dane, także wartość kontrolną, przez stały okres. Apple i Google nie otrzymują treści wiadomości ani identyfikatorów Twojego konta KindChat. Przetwarzanie przez Apple i Google może odbywać się w USA; odpowiedź sprawdza sam nasz serwer, w UE. Podstawą prawną jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w przeciwdziałaniu nadużyciom SMS-ów z kodami logowania i SMS-ów z zaproszeniem).
  • w razie eskalacji wyłącznie przeszkoleni pracownicy wewnętrzni lub wyspecjalizowani usługodawcy z UE z umową powierzenia
  • bez przekazywania sieciom reklamowym, brokerom danych ani do trenowania generatywnej AI
  • SMS: numery telefonów komórkowych i zgoda na otrzymywanie SMS-ów nigdy nie są przekazywane osobom trzecim ani podmiotom powiązanym w celach marketingowych lub reklamowych, a Twojej zgody na otrzymywanie SMS-ów nie przekazujemy nikomu. KindChat wysyła na Twój numer wyłącznie SMS-y z kodami logowania i powiadomieniami serwisowymi; dostawcy, którzy je doręczają, działają w naszym imieniu na podstawie umowy powierzenia. Zazwyczaj jest to seven.io (Kilonia, Niemcy), które otrzymuje numer telefonu komórkowego i treść SMS-a w przypadku kodów logowania, powiadomień serwisowych i SMS-ów z zaproszeniem, i przechowuje dzienniki wysyłki zgodnie z własnymi terminami. W przypadku niektórych krajów (początkowo Turcji) SMS dostarcza Twilio Inc. z siedzibą w USA, która w tym celu otrzymuje numer telefonu komórkowego i treść SMS-a; dotyczy to również SMS-ów z zaproszeniem na numery w tych krajach. Przekazanie danych do USA opiera się na Ramach ochrony danych UE-USA (Data Privacy Framework), w ramach których Twilio posiada certyfikację, a w pozostałych przypadkach na standardowych klauzulach umownych UE; kopię można otrzymać na żądanie pod adresem hi@kindchat.app.

W razie obowiązku prawnego (np. nakaz sądowy) przekazanie następuje wyłącznie w dopuszczalnym zakresie.

4. Okres przechowywania i usuwanie

  • Konto/profil do usunięcia plus 30 dni
  • Zgłoszenia wstrzymania jako błędnego (zob. 2.2): 36 miesięcy; zgłoszenia chronionych członków, które mimo to do nas dotrą: 12 miesięcy
  • Treści wiadomości znajdują się na naszych serwerach zaszyfrowane end-to-end (wyjątki: czat ze wsparciem i zgłoszenia, zob. 2.3). Usuwamy je tam wraz z załącznikami 30 dni po wysłaniu; jeśli w czacie indywidualnym jedna ze stron albo w grupie aktualny członek jest członkiem Plus lub Kręgu ochrony, pozostają tam, dopóki to trwa, z wyjątkiem czatów z organizacjami. Wiadomość w czacie indywidualnym, której nie udało się doręczyć w ciągu 30 dni, usuwamy wraz z załącznikami 30 dni po wysłaniu, także wtedy, gdy jedna ze stron jest członkiem Plus lub Kręgu ochrony; wyjątkiem są wiadomości, które zgłoszenie zachowuje jako dowód, oraz wiadomości do wsparcia KindChat, dopóki nasz zespół ich nie otrzyma. Szyfrowana kopia zapasowa historii została już opracowana, ale nie jest jeszcze dostępna; obecnie nie przechowujemy na naszych serwerach żadnej kopii zapasowej Twojej historii. Uzupełnimy niniejszą politykę, zanim włączymy kopię zapasową
  • Tekst wysłany do drugiego poziomu kontroli jest po podjęciu decyzji usuwany; tylko za zgodą wersja pseudonimizowana pozostaje zachowana przez 36 miesięcy (zob. 2.2)
  • Klucz urządzenia z weryfikacji urządzenia przy logowaniu (iOS): zapisywane są jego identyfikator, jego klucz publiczny, licznik, środowisko (deweloperskie lub produkcyjne) i trzy daty bez godziny, bez identyfikatora konta i bez adresu IP; w sprawie powiązania z numerem telefonu zob. następny punkt. Nigdy nieużyty klucz jest usuwany 7 dni po tym, jak go zapisaliśmy, a użyty 90 dni po ostatnim użyciu; ponieważ zapisujemy tylko dni i usuwamy raz dziennie, może to potrwać nawet około dwóch dni dłużej. W systemie Android odpowiedź Google jest sprawdzana i nie jest zapisywana.
  • Powiązanie klucza urządzenia z numerem telefonu (iOS, dopiero gdy je włączymy): gdy w systemie iOS ktoś prosi o kod logowania lub odzyskiwania, zapisujemy wartość kontrolną identyfikatora klucza urządzenia, wartość kontrolną numeru telefonu, dla którego żądany jest kod, rodzaj żądania (logowanie lub odzyskiwanie), informację, czy zostało dopuszczone, czy skierowane do ograniczonej puli, oraz dzień (bez godziny). Wartości kontrolne tworzymy za pomocą osobnego tajnego klucza. Jest to pseudonimizacja, a nie anonimizacja: kto miałby te wpisy razem z tym kluczem, mógłby odtworzyć numery, dlatego klucz przechowujemy wyłącznie w naszym magazynie sekretów, nigdy w bazie danych ani w jej kopiach zapasowych. Nie zapisujemy przy tym numeru w postaci jawnej, adresu IP ani identyfikatora Twojego konta. Wpisów używamy wyłącznie do zapobiegania nadużyciom SMS-ów i fałszywym kontom: ograniczamy, dla ilu numerów jedno urządzenie może dziennie prosić o kody. Powyżej tego limitu numer bez konta KindChat otrzymuje kod już tylko z wąsko ograniczonej puli, czyli być może później albo tego dnia wcale; numer z kontem nadal otrzymuje kod. To samo dotyczy numeru bez konta, gdy zawiedzie nasza własna kontrola. W potwierdzonym przypadku nadużycia możemy objąć klucz urządzenia tą pulą na maksymalnie 180 dni i odnaleźć numery, których to dotyczy; to przypisanie (wartość kontrolną klucza, dzień, koniec i odniesienie do sprawy) usuwamy, gdy się kończy. O działaniach wobec konta zawsze decyduje człowiek. Wpisy są usuwane po 30 dniach; ponieważ zapisujemy tylko dni, może to potrwać nawet około jednego dnia dłużej. Jeśli wpis należy do potwierdzonego przez nas przypadku nadużycia, przechowujemy go jako dowód przez maksymalnie 180 dni. Jeśli usuniesz konto, usuniemy wpisy dotyczące numeru Twojego konta, chyba że należą do takiego przypadku. W systemie Android takie powiązanie nie powstaje. Podstawa prawna: art. 6 ust. 1 lit. f RODO (zapobieganie nadużyciom SMS-ów z kodem logowania i fałszywym kontom).
  • Potwierdzenie urządzenia Twojego konta: przy Twoim koncie zapisujemy moment, w którym po raz pierwszy przedstawiło ono ważne potwierdzenie urządzenia, przy logowaniu lub, od wersji aplikacji 1.1.13, przy SMS-ie z zaproszeniem. SMS-y z zaproszeniem z kont bez tego potwierdzenia są wstrzymywane; zaproszenia przez link lub przez menu udostępniania nie są tym objęte. Ten moment jest usuwany wraz z Twoim kontem, a informacje, które otrzymujesz w ramach prawa dostępu (art. 15 RODO), go zawierają. Podstawa prawna: art. 6 ust. 1 lit. f RODO (zapobieganie nadużyciom SMS-ów z zaproszeniem).
  • Prośby o kontakt: prośba, na którą nikt nie odpowiedział, jest usuwana 30 dni po wysłaniu. Przyjęta prośba jest usuwana 30 dni po przyjęciu, jeśli ta osoba jest wtedy wśród Twoich kontaktów. Jeśli prośba została przez Ciebie odrzucona albo kontakt został przez Ciebie usunięty, lub jeśli z przyjętej prośby nie powstał kontakt, zostaje adnotacja, dopóki istnieją oba konta, aby ta sama osoba nie mogła ponownie wysłać Ci prośby (art. 6 ust. 1 lit. f RODO, ochrona przed powtarzającymi się niechcianymi próbami kontaktu). Tekst dołączony do prośby oraz informację o grupie, przez którą ją wysłano, usuwamy 30 dni po decyzji. Wpisy w dzienniku o tym, kto do kogo wysłał prośbę i jak zdecydowała osoba, która ją otrzymała, bez żadnej treści, są usuwane po 12 miesiącach.
  • Blokowanie: jeśli kogoś zablokujesz, zapisujemy też moment zablokowania. Służy on do tego, by przed dołączeniem do grupy w społeczności powiedzieć Ci, czy jest w niej osoba zablokowana przez Ciebie przed wysłaniem prośby; ta funkcja nie jest jeszcze włączona. Jeśli odblokujesz tę osobę, usuwamy ten moment, ale zachowujemy zakończony okres (początek i koniec), dopóki istnieją oba konta, także po ponownym dodaniu usuniętej osoby. Dzięki temu pozostaje ukryte przed Tobą to, co ta osoba skomentowała lub oznaczyła w Pulse w tym czasie, a przed nią to, co zostało przez Ciebie przeczytane w tym czasie. Jeśli usuniesz zablokowaną osobę z kontaktów, adnotacja o usunięciu przejmuje ten moment i pozostaje tak, jak opisano powyżej (art. 6 ust. 1 lit. f RODO, ochrona przed niechcianym kontaktem). Informacje, które otrzymujesz w ramach prawa dostępu (art. 15 RODO), zawierają ten moment oraz Twoje własne zakończone okresy.
  • Wiadomości do osób, z którymi nie możesz się już skontaktować: jeśli wiadomości nie da się dostarczyć, na przykład dlatego, że druga osoba nie ma Cię (już) w kontaktach albo nie możesz się już z nią skontaktować, przechowujemy o tej wiadomości tylko to, co widzisz o niej Ty: do kogo była skierowana, kiedy i czy miała załącznik. Nie przechowujemy jej treści, a druga osoba nic z niej nie otrzymuje; dla Ciebie wygląda jak każda inna wiadomość, która nie została jeszcze dostarczona. Usuwamy te dane po 30 dniach, najpóźniej po 12 miesiącach, jeśli jedna ze stron ma Plus, i natychmiast po usunięciu któregokolwiek z obu kont. Do tego czasu załącznik jest przechowywany w postaci zaszyfrowanej end-to-end; nie możemy go odczytać, a druga osoba nie może go pobrać (art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes obu stron, aby zablokowanie lub usunięcie nie było rozpoznawalne).
  • Wiadomości usunięte dla wszystkich: jeśli ktoś usuwa własną wiadomość dla wszystkich albo nasz zespół usuwa wiadomość, usuwamy jej treść z serwera, chyba że zgłoszenie przechowuje ją jako dowód. Przechowujemy dowód bez treści: sumy kontrolne zaszyfrowanej wiadomości grupowej i załącznika, ich znaczniki weryfikacyjne, dane o doręczeniu (kto wysłał ją do kogo i kiedy oraz kto ją otrzymał lub odczytał i kiedy) oraz kto ją usunął i kiedy (sama osoba lub nasz zespół). Pozwala to sprawdzić, czy zgłoszenie rzeczywiście pokazuje tę wiadomość. Bez zgłoszenia usuwamy dowód po końcu 90. dnia po dniu usunięcia (UTC), z reguły w ciągu jednego dnia; ze zgłoszeniem obowiązuje przechowywanie zgłoszenia. Jeśli historia czatu pozostaje na serwerze z powodu Plus lub Kręgu ochrony (zob. wyżej), pozostaje tam w historii tylko usunięta wiadomość wraz z danymi o doręczeniu. Gdy tylko aplikacja zacznie oferować zgłaszanie usuniętych wiadomości, w przypadku wiadomości, którą nadawca sam usunął, urządzenie każdej osoby, której ją wyświetlono, przechowuje przez te same 90 dni ukrytą kopię; „Usuń dla mnie” usuwa ją ostatecznie. Zgłoszenia, którego nie da się zweryfikować, nikomu nie przypisujemy. Jeśli nadawca usunie konto, usuwamy jego wiadomości wraz z dowodem; przez 90 dni, liczonych od usunięcia wiadomości lub konta, pozostaje tylko adnotacja, do kogo trafiły, a zgłoszenia nie da się wtedy już nikomu przypisać. Podstawą prawną jest art. 6 ust. 1 lit. f RODO (ochrona odbiorców i obsługa zgłoszeń na podstawie art. 16 DSA).
  • Protokoły techniczne naszego serwera aplikacji: maksymalnie 30 dni, bez treści wiadomości; w niektórych usługach pomocniczych właśnie wprowadzamy limit 30 dni, do tego czasu są nadpisywane według rozmiaru.

Konto można usunąć w każdej chwili w ustawieniach aplikacji; usunięcie następuje wtedy w ciągu 30 dni, o ile nie stoją temu na przeszkodzie obowiązki prawne.

5. Przejrzystość AI zgodnie z art. 50 AI Act

AI jest wykorzystywana wyłącznie do klasyfikacji, nie do generowania; przede wszystkim na urządzeniu. Informujemy podczas rejestracji, przy decyzji moderacyjnej (wskazówka „Kontrola automatyczna” plus link do skargi) oraz na stronie internetowej i w aplikacji. Ponieważ nie są tworzone treści syntetyczne, nie ma obowiązku oznaczania zgodnie z art. 50 ust. 2.

Szczegóły: strona Przejrzystość AI i Warunki korzystania z usługi, punkt 3.

6. Twoje prawa (art. 15 do 22 RODO)

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu oraz wycofania zgody. Przysługuje Ci także prawo wniesienia skargi do organu nadzorczego, np. do Berliner Beauftragte für Datenschutz und Informationsfreiheit (berlińskiego organu ochrony danych i wolności informacji) (https://www.datenschutz-berlin.de).

Kontakt: hi@kindchat.app; odpowiedź w ciągu miesiąca (ewentualnie plus 2 miesiące).

7. Bezpieczeństwo przetwarzania

Stosujemy środki techniczne i organizacyjne zgodne ze stanem techniki (E2EE protokołem Signal, AI na urządzeniu, szyfrowana zewnętrzna kopia bazy danych, szyfrowanie szczególnie wrażliwych pól własnymi kluczami, kontrola dostępu). Ryzyka resztkowego nie da się całkowicie wykluczyć.

8. Zmiany niniejszej Polityki prywatności

Dostosowujemy niniejszą politykę w razie potrzeby. O istotnych zmianach informujemy powiadomieniem w aplikacji lub e-mailem z odpowiednim wyprzedzeniem. Aktualna wersja jest zawsze dostępna na tej stronie (/pl/prywatnosc/).

9. Przetwarzanie danych na tej stronie internetowej (kindchat.app)

Lista oczekujących (zakończona): lista oczekujących z fazy beta nie jest już prowadzona, a zapis przez tę stronę internetową nie jest już możliwy. Adresy, które jeszcze posiadamy, przetwarzamy wyłącznie po to, aby obsłużyć link rezygnacji z już wysłanych e-maili. Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO). Wycofanie w każdej chwili przez ten link; adres jest wtedy usuwany.

Hosting strony internetowej: Hetzner Online GmbH w Niemczech (Falkenstein), z umową powierzenia przetwarzania.

E-mail: nasze skrzynki pocztowe w domenie kindchat.app, np. hi@kindchat.app, oraz wysyłane przez nas e-maile obsługuje united-domains AG.

Pomiar zasięgu (analityka): korzystamy z Umami, hostowanego przez nas w UE i przyjaznego prywatności. Nie ustawia plików cookie, niczego nie zapisuje na urządzeniu, nie tworzy profili osobowych i nie umożliwia śledzenia między stronami. Rejestrowane są wyłącznie zagregowane, anonimowe liczby odsłon. Google Analytics nie jest używany. Podstawa prawna: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Organ nadzorczy: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstraße 219, 10969 Berlin.

10. Kontakt

sonrisa ventures GmbH, Ochrona danych, e-mail hi@kindchat.app.

← Powrót na stronę główną