Polityka prywatności

1.Kto odpowiada za Twoje dane

Administratorem danych jest CRODU sp. z o.o., ul. Szlak 77/222, 31-153 Kraków, Polska, NIP 6762551500. Dalej piszemy o niej „CRODU” albo „my”.

W sprawach danych osobowych pisz na adres hello@crodu.com.

2.Czego dotyczy ta polityka

Polityka opisuje, co dzieje się z Twoimi danymi, gdy korzystasz z aplikacji Crodus połączonej z serwerem CRODU pod adresem matrix.crodus.ai. Dotyczy aplikacji na iPhone'a, iPada, Androida, macOS i Windows.

• Crodus to komunikator firmowy: rozmowy, pliki i agenci AI.
• Konta zakłada CRODU. W aplikacji nie można założyć konta.
• Polityka obejmuje też wersje testowe, np. z TestFlight, w tym osoby spoza CRODU, które zaprosiliśmy do testów.

Wersja pokazowa, dostępna na pierwszym ekranie wersji testowej, działa na przykładowych danych zapisanych w aplikacji. Nie łączy się z serwerem CRODU ani z żadnym innym i nie używa aparatu ani mikrofonu. Zdjęcia i pliki, które w niej wyślesz, nie wychodzą z urządzenia. Jedynym wyjątkiem jest formularz „Porozmawiajmy”: jeśli go wypełnisz i wyślesz, aplikacja przekazuje wpisane w nim dane na stronę crodus.ai (sekcja 4). Jeśli korzystasz tylko z wersji pokazowej i nie wysyłasz formularza, dostajemy o Tobie wyłącznie dane, które przekazuje nam program testów, np. TestFlight (sekcja 4).

Polityka nie dotyczy:

• serwerów, na których Crodus działa u klientów CRODU; tam za dane odpowiada klient, a CRODU może działać na jego zlecenie;
• strony crodus.ai;
• innych aplikacji, którymi łączysz się z tym samym kontem, np. Element.

3.W skrócie

• W aplikacji nie ma reklam, śledzenia, analityki ani narzędzi do automatycznego zbierania raportów o awariach.
• Formularz „Porozmawiajmy”, w którym zostawiasz nam kontakt, wysyła dane dopiero po Twoim kliknięciu i tylko do CRODU (sekcje 4 i 10). Zgoda marketingowa w nim jest osobna i domyślnie odznaczona.
• Rozmowy z jedną osobą i pokoje zakładane w aplikacji Crodus są domyślnie szyfrowane end-to-end. Pokój założony w innej aplikacji albo przez administratora może być bez szyfrowania; aplikacja oznacza go „Bez szyfrowania” (sekcja 6).
• Rozmowy z agentami AI zwykle nie są szyfrowane end-to-end. Czytają je serwer CRODU i agent. Aplikacja pyta przed założeniem takiej rozmowy i oznacza ją „Bez szyfrowania”.
• Agenci Croduś i Karol są ustawieni tak, że korzystają tylko z modeli językowych na komputerach CRODU, a nie u dostawcy modeli w chmurze. Niektóre inne boty na serwerze CRODU mogą korzystać z modeli w chmurze (sekcja 7).
• Nagranie głosu zamieniamy na tekst na komputerach CRODU i nie przechowujemy go (sekcja 8).
• Połączenie aplikacji z serwerem przechodzi przez sieć Cloudflare.

4.Jakie dane przetwarzamy

Nie zbieramy lokalizacji, kontaktów z urządzenia ani danych o reklamach. Nie prosimy o dane szczególnych kategorii, np. o zdrowiu. Jeśli sam je wpiszesz w rozmowie, trafią tam, gdzie reszta tej rozmowy.

5.Uprawnienia w urządzeniu

Na Androidzie kod QR odczytuje biblioteka Google ML Kit, która jest częścią aplikacji i działa w urządzeniu. Google może otrzymywać od niej informacje techniczne o jej działaniu, na własnych zasadach.

Każde uprawnienie możesz cofnąć w ustawieniach systemu. Reszta aplikacji działa dalej.

Aplikacja wysyła wybrane zdjęcie bez zmian. Jeśli plik zawiera informację o miejscu wykonania zdjęcia, mogą ją zobaczyć odbiorcy.

6.Szyfrowanie end-to-end, po ludzku

W rozmowie szyfrowanej end-to-end Twoje urządzenie szyfruje wiadomość, zanim ją wyśle. Odczytać ją mogą tylko urządzenia uczestników rozmowy, bo tylko one mają klucze. Po drodze przez Cloudflare i na serwerze CRODU jest w postaci, której nie da się odczytać.

• Rozmowy z jedną osobą zakładane w aplikacji Crodus są zawsze szyfrowane.
• Pokoje grupowe zakładane w aplikacji są domyślnie szyfrowane. Przy zakładaniu pokoju można szyfrowanie wyłączyć.
• Pokój założony w innej aplikacji (np. Element) albo przez administratora może być bez szyfrowania. Aplikacja oznacza taki pokój „Bez szyfrowania”.
• Rozmowy z agentem AI zakładamy bez szyfrowania, chyba że dany agent umie czytać rozmowy szyfrowane. Aplikacja pyta przed założeniem takiej rozmowy i pokazuje w niej oznaczenie „Bez szyfrowania”.
• Szyfrowanie nie ukrywa informacji o rozmowie. Serwer wie, kto z kim, w którym pokoju i kiedy pisze, jak duże są pliki i kto przeczytał wiadomość.
• Na urządzeniach uczestników wiadomość jest czytelna. Każdy uczestnik może ją skopiować, przekazać dalej albo zrobić zrzut ekranu.
• Jeśli włączyłeś kopię kluczy (np. w aplikacji Element), serwer przechowuje zaszyfrowaną kopię Twoich kluczy. Bez Twojego klucza odzyskiwania nie da się jej odczytać.
• Połączenie aplikacji z serwerem jest zawsze szyfrowane (HTTPS). To szyfrowanie kończy się w sieci Cloudflare, więc rozmowy bez szyfrowania end-to-end i nagrania głosu są tam czytelne dla Cloudflare (sekcja 11).

7.Agenci AI

Agent to uczestnik rozmowy, którego odpowiedzi pisze program z modelem językowym. Agenta, którego serwer CRODU zgłasza jako agenta, aplikacja oznacza jako AI i pokazuje, gdzie działa jego model, według informacji z serwera. Konta botów, których serwer tak nie zgłasza, aplikacja pokazuje jak zwykłych uczestników rozmowy.

Listę agentów aplikacja pobiera z serwera CRODU. Jeśli CRODU korzysta z systemu Core, aplikacja pyta go też, jaką masz rolę w firmie i których agentów ma Ci pokazać. Robi to przez to samo połączenie co komunikator, czyli także przez Cloudflare (sekcja 11). Te ustawienia administratorzy CRODU zmieniają w panelu administracyjnym Core, dostępnym tylko dla nich i tylko przez prywatną sieć CRODU.

• Agent widzi wiadomości w rozmowach, do których go dodano. Nie widzi Twoich pozostałych rozmów.
• Twoja wiadomość do agenta trafia na serwer CRODU i do programu agenta na komputerze CRODU.
• Agenci Croduś i Karol są ustawieni tak, że korzystają tylko z modeli językowych na komputerach CRODU, także wtedy, gdy ich główny model jest niedostępny, i nie wysyłają rozmów do dostawców modeli w chmurze.
• Jeśli agent ma narzędzie do wyszukiwania w internecie, wysyła wyszukiwarce zapytania, które sam układa na podstawie rozmowy.
• Na serwerze CRODU mają konta także boty wewnętrzne, które mogą korzystać z modeli w chmurze, np. OpenAI albo Anthropic (USA). Treść, którą taki bot widzi w rozmowie albo dostaje od innego agenta, może trafić do dostawcy jego modelu (sekcje 11 i 12). Nazwę dostawcy aplikacja pokazuje tylko przy agencie, dla którego podaje ją serwer.
• Agent może korzystać z narzędzi CRODU, np. tablic zadań, na zasadach ustalonych przez administratora. Aplikacja tego nie kontroluje.
• Agent może zapamiętywać przebieg rozmowy, żeby odpowiadać w kontekście. Jak długo, opisuje sekcja 13.
• Pamięć agenta może być wspólna dla wszystkich osób, które z nim rozmawiają. To, co powiesz agentowi, może wtedy pojawić się w jego odpowiedziach dla innych osób z firmy. Nie podawaj agentowi danych, których nie powinny znać inne osoby.
• Odpowiedzi agenta mogą być błędne. Agent nie podejmuje wobec Ciebie decyzji, które wywołują skutki prawne albo w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO).
• Agent odpowiada tylko osobom, które dopuścił do niego administrator.

8.Głos

Do agenta, który ma włączony głos, możesz mówić zamiast pisać, jeśli CRODU udostępniło Ci tę funkcję.

1. Nagranie zaczyna się dopiero, gdy naciśniesz mikrofon, i trwa najwyżej 60 sekund. Urządzenie trzyma je w pamięci i nie zapisuje go w pliku.
2. Nagranie trafia przez Cloudflare do bramki mowy na serwerze CRODU. Bramka sprawdza, czy Twoje konto ma dostęp do głosu, i przekazuje nagranie do programu rozpoznawania mowy na komputerze CRODU.
3. Wraca tekst. Widzisz go, możesz go poprawić i sam decydujesz, czy go wysłać. Agent dostaje tylko tekst, jako zwykłą wiadomość.
4. Bramka nie zapisuje nagrania ani tekstu. W jej dzienniku zostaje tylko, kto i kiedy mówił, jak długo trwało nagranie, który komputer rozpoznawał mowę i ile to trwało. Jeśli program rozpoznawania mowy zapisuje rozpoznany tekst w swoim dzienniku technicznym, ten zapis zostaje na komputerze CRODU i dotyczy go termin dla dzienników serwerów (sekcja 13).
5. Nie rozpoznajemy osób po głosie.
6. Jeśli włączysz czytanie odpowiedzi na głos, czyta je głos wbudowany w urządzenie. Aplikacja wybiera tylko głosy, które działają bez internetu, więc tekst nie wychodzi przy tym z urządzenia.

Głos jest funkcją dodatkową. Bez niego aplikacja działa tak samo.

9.Powiadomienia i rozmowy audio i wideo

Powiadomienia. Na iPhonie i iPadzie aplikacja powiadamia o nowych wiadomościach, jeśli ma tę funkcję Twoja wersja aplikacji, serwer CRODU ją włączył, a Ty się na nią zgodzisz.

• Serwer CRODU wysyła wtedy przez usługę powiadomień Apple tylko identyfikatory pokoju i wiadomości oraz liczbę nieprzeczytanych wiadomości, bez treści i bez nadawcy.
• Treść aplikacja pobiera sama z serwera CRODU i odszyfrowuje w urządzeniu. Apple jej nie dostaje.
• Serwer CRODU przechowuje token powiadomień Twojego urządzenia do wylogowania albo do usunięcia urządzenia z konta.
• W ustawieniach aplikacji możesz wyłączyć pokazywanie treści w powiadomieniach, a w ustawieniach systemu same powiadomienia.
• Na innych systemach aplikacja nie korzysta z zewnętrznych usług powiadomień. Zanim to zmienimy, uzupełnimy tę politykę.

Rozmowy audio i wideo. Rozmowy audio i wideo przechodzą przez serwer rozmów CRODU w Niemczech (rtc.crodus.ai), wynajęty od Hetzner Online GmbH. Jeśli Twoja wersja aplikacji Crodus ma rozmowy audio i wideo:

• rozmowę można zacząć tylko w pokoju szyfrowanym end-to-end;
• dźwięk i obraz szyfruje Twoje urządzenie, a serwer rozmów przekazuje je dalej w postaci zaszyfrowanej i ich nie przechowuje;
• serwer rozmów widzi identyfikator Twojego konta, adres IP oraz czas i długość udziału w rozmowie;
• klucze do rozmowy dostają wszystkie urządzenia uczestników pokoju, także te, których ich właściciele nie zweryfikowali.

10.Po co przetwarzamy dane i na jakiej podstawie

Podanie danych konta jest potrzebne do korzystania z aplikacji: bez nich nie założymy konta. Dane w formularzu „Porozmawiajmy” podajesz dobrowolnie; imię i nazwisko, adres e-mail i nazwa firmy są potrzebne, żebyśmy mogli odpowiedzieć na zgłoszenie. Aparat, mikrofon, dostęp do zdjęć i plików oraz powiadomienia są potrzebne tylko do funkcji z sekcji 5.

11.Kto jeszcze ma dostęp do danych

• Uczestnicy rozmów, także dodani do nich agenci AI, widzą to, co jest w danej rozmowie.
• Osoby w CRODU, które administrują serwerami, mają techniczny dostęp do serwerów, a więc do rozmów bez szyfrowania end-to-end, do informacji o rozmowach, do zgłoszeń wiadomości i do danych w panelu Core. Część prac na serwerach wykonuje na ich polecenie agent administracyjny CRODU. Jeśli korzysta on przy tym z modelu w chmurze, dane, które odczyta przy pracy, np. fragmenty dzienników serwerów, mogą trafić do dostawcy tego modelu.
• Cloudflare, Inc. (tunel i DNS). Całe połączenie aplikacji z serwerem komunikatora przechodzi przez sieć Cloudflare, gdzie kończy się szyfrowanie HTTPS. Cloudflare może więc widzieć treść rozmów bez szyfrowania end-to-end, nagrania głosu, rozpoznany tekst, informacje o rozmowach i adresy IP. Rozmowy szyfrowane end-to-end widzi tylko w postaci zaszyfrowanej. Cloudflare działa jako nasz dostawca usług.
• Google. Jeśli logujesz się kontem Google, Google dowiaduje się o logowaniu i przekazuje nam podstawowe dane konta, np. imię, nazwisko i e-mail. W tym zakresie Google działa na własnych zasadach. Google obsługuje też pocztę CRODU, więc przechowuje wiadomości, które wysyłasz na adres hello@crodu.com. Zaszyfrowane kopie zapasowe serwera przechowujemy na Dysku Google; Google nie ma klucza do tych kopii. Na Androidzie Google może też otrzymywać informacje techniczne od biblioteki ML Kit (sekcja 5).
• Apple i inne sklepy z aplikacjami. Apple rozprowadza aplikację przez App Store i TestFlight i przetwarza dane testerów na własnych zasadach. Tak samo sklep albo program testów, z którego pobierasz aplikację na innym systemie. Przez usługę powiadomień Apple przechodzą powiadomienia bez treści wiadomości (sekcja 9).
• Zgłoszenia z formularza „Porozmawiajmy”. Dane z formularza przyjmuje serwer na stronie crodus.ai, który działa w Cloudflare (Cloudflare Workers i baza danych D1), i zapisuje je w bazie zgłoszeń. Powiadomienie o zgłoszeniu wysyłamy e-mailem do CRODU przez dostawcę poczty (Resend, Inc., USA); odbiera je poczta CRODU w Google. Dane ze zgłoszenia trafiają też do wewnętrznych systemów CRODU (system Sprawy i wewnętrzny kanał komunikatora), gdzie widzą je osoby zajmujące się kontaktami z klientami.
• Hetzner Online GmbH (Niemcy), od której wynajmujemy serwer rozmów audio i wideo (sekcja 9).
• Dostawcy modeli w chmurze, np. OpenAI i Anthropic. Dostają tylko treść, którą przekaże im bot wewnętrzny korzystający z ich modeli (sekcja 7) albo agent administracyjny CRODU.
• Wyszukiwarki internetowe, jeśli agent korzysta z wyszukiwania. Dostają zapytania ułożone przez agenta.
• Serwery innych organizacji w sieci Matrix. Jeśli w rozmowie biorą udział użytkownicy innych serwerów Matrix, ich serwery otrzymują kopię tej rozmowy i odpowiadają za nią ich administratorzy.
• Organy publiczne, gdy wymaga tego prawo.

Serwer komunikatora, programy agentów Croduś i Karol i rozpoznawanie mowy działają na komputerach CRODU, a nie w chmurze zewnętrznego dostawcy. Croduś i Karol są ustawieni tak, że korzystają tylko z modeli językowych na komputerach CRODU (sekcja 7). Nie sprzedajemy danych i nie przekazujemy ich reklamodawcom.

12.Przekazywanie danych poza Europejski Obszar Gospodarczy

Serwer rozmów audio i wideo stoi w Niemczech, czyli w Europejskim Obszarze Gospodarczym (EOG). Poza EOG dane mogą trafić przez:

• Cloudflare, Inc. (USA). Cloudflare deklaruje udział w programie EU-U.S. Data Privacy Framework, a jego umowa powierzenia dla klientów zawiera standardowe klauzule umowne UE.
• Google (USA): logowanie kontem Google, poczta CRODU, zaszyfrowane kopie zapasowe, a na Androidzie biblioteka ML Kit.
• Resend, Inc. (USA): wysyłka e-maila o zgłoszeniu z formularza „Porozmawiajmy” do CRODU (sekcja 11).
• Apple (USA): App Store, TestFlight i powiadomienia.
• Dostawców modeli w chmurze, np. OpenAI i Anthropic (USA), w przypadkach opisanych w sekcjach 7 i 11.
• Wyszukiwarki internetowe, jeśli agent z nich korzysta.
• Serwery innych organizacji w sieci Matrix, jeśli ich użytkownicy biorą udział w rozmowie, a te serwery stoją poza EOG (sekcja 11).

Na prośbę wysłaną na adres z sekcji 1 powiemy, na jakiej podstawie odbywa się dane przekazanie.

13.Jak długo przechowujemy dane

Jeśli masz włączoną kopię zapasową urządzenia (np. w iCloud albo kopię zapasową Google na Androidzie), mogą do niej trafić pliki aplikacji, w tym zaszyfrowana baza rozmów. Taką kopię przechowuje wybrany przez Ciebie dostawca, na swoich zasadach.

14.Twoje prawa

Masz prawo:

• dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO);
• sprostowania danych (art. 16);
• usunięcia danych (art. 17);
• ograniczenia przetwarzania (art. 18);
• przeniesienia danych (art. 20);
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21).

Napisz na adres z sekcji 1. Odpowiemy w ciągu miesiąca.

Zgodę marketingową z formularza „Porozmawiajmy” możesz cofnąć w każdej chwili, pisząc na ten sam adres. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej cofnięciem (art. 7 ust. 3 RODO).

Wiadomości, które wysłałeś innym osobom, mają także one. Usunięcie Twojego konta nie usuwa kopii na ich urządzeniach, a do treści rozmów szyfrowanych end-to-end nie mamy dostępu.

Możesz też złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

15.Bezpieczeństwo

• Szyfrowanie end-to-end rozmów i szyfrowane połączenia z serwerem.
• Dane logowania w bezpiecznym magazynie systemu (na iPhonie, iPadzie i Macu w pęku kluczy); lokalna baza aplikacji zaszyfrowana kluczem z tego magazynu.
• Dostęp do serwerów tylko dla wskazanych osób i agenta administracyjnego CRODU, przez szyfrowaną sieć prywatną. Panel Core jest dostępny tylko w tej sieci.
• Kopie zapasowe na dysku USB i na Dysku Google są zaszyfrowane.

16.Dzieci

Crodus jest narzędziem do pracy. Nie jest przeznaczony dla osób poniżej 16 lat i nie zakładamy im kont.

17.Zmiany polityki

Aktualna wersja jest pod adresem https://crodus.ai/prywatnosc/, a wersja angielska pod adresem https://crodus.ai/privacy/. Wiążąca jest wersja polska. O istotnych zmianach powiadomimy w aplikacji albo e-mailem, zanim wejdą w życie.