RODO / AVG, AI Act i NIS2 w Synomi

1. Dwie role — kto czym administruje?

Zgodnie z RODO (w Europie GDPR, a w Holandii AVG) Synomi występuje w dwóch rolach:

• Administrator — dla danych Twojego konta (imię i nazwisko, email, dane firmowe, dane płatności, logi systemowe). Te dane zbieramy, opracowujemy i szyfrujemy, żeby móc w ogóle świadczyć dla Ciebie usługi.
• Procesor — dla wszystkiego, co wprowadzasz do Synomi w ramach swojej firmy (dane Twoich kontrahentów, faktury, dokumenty, trasy GPS). Administratorem tych danych jesteś Ty — my przetwarzamy je wyłącznie na Twoje polecenie. Tymi danymi opiekujemy się w Twoim imieniu i również je szyfrujemy, ale zarządzasz nimi sam.

Umowa powierzenia przetwarzania Twoich danych (verwerkersovereenkomst) jest wbudowana w Regulamin Synomi (sekcja 9) — nie musisz podpisywać osobnego dokumentu.

2. Gdzie mieszkają Twoje dane?

• Na naszym własnym serwerze w holenderskim centrum danych — nie w anonimowej chmurze
• Dane firmowe są szyfrowane (encrypted at rest), połączenia zabezpiecza SSL/TLS
• Regularne kopie zapasowe i aktualizacje bezpieczeństwa
• Zero reklam, zero trackerów, zero handlu danymi — ani w serwisie, ani w aplikacji mobilnej

3. Twoje prawa

Zgodnie z RODO/AVG masz prawo do: dostępu do swoich danych, ich sprostowania, usunięcia („prawo do bycia zapomnianym"), ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu oraz cofnięcia zgody w dowolnym momencie.

Jak skorzystać? Napisz na hello@synomi.ai — to wystarczy. Masz też prawo wnieść skargę do holenderskiego organu nadzorczego: Autoriteit Persoonsgegevens.

4. Usuwanie konta

Konto usuniesz samodzielnie w aplikacji (Profil → Usuń konto). Możesz też zgłosić usunięcie mailem: napisz na support@synomi.ai z adresu e-mail powiązanego z Twoim kontem — zanim uruchomimy procedurę, potwierdzimy Twoje zgłoszenie zwrotną wiadomością.

Od zgłoszenia biegnie 30-dniowy okres karencji — w tym czasie możesz się rozmyślić, logując się ponownie. Po 30 dniach dane są usuwane trwale i nieodwracalnie.

Przed usunięciem pobierz swoje dane (eksporty PDF/XML/Excel) — obowiązek przechowywania własnych dokumentów księgowych przez 7 lat spoczywa na Tobie. Szczegóły: Polityka Prywatności, sekcja 9.

5. Komu i jakie dane udostępniamy?

Tylko zaufanym podprocesorom, tylko w zakresie funkcji, których faktycznie używasz — i tylko te dane, bez których dana funkcja nie zadziała:

• Mollie (płatności) — dane niezbędne do realizacji Twojej płatności. Danych kart nie przechowujemy w ogóle — obsługuje je wyłącznie Mollie.
• Anthropic (funkcje AI) — zdjęcia paragonów i faktur przy skanowaniu OCR, tekst poleceń głosowych (sam transkrypt — nigdy nagranie audio, mowa jest rozpoznawana na Twoim urządzeniu) oraz tylko te pytania do Daisy, które wymagają zewnętrznego przetworzenia. Zapytania nie są powiązane z konkretnym użytkownikiem, a Anthropic nie trenuje modeli na Twoich danych.
• Google — tylko jeśli włączysz: przy logowaniu Google otrzymujemy od Google Twój email i podstawowe dane profilu; przy synchronizacji Google Calendar zapisujemy w Twoim kalendarzu wydarzenia z Synomi (terminy płatności, spotkania) i odczytujemy wydarzenia, żeby je wyświetlić.
• Apple — tylko jeśli włączysz: przy Sign in with Apple otrzymujemy identyfikator i — jeśli tak wybierzesz — email (może być anonimizowany przez Apple); przy synchronizacji kalendarza iCloud analogicznie jak przy Google.

Transfery poza Europejski Obszar Gospodarczy odbywają się w oparciu o Standardowe Klauzule Umowne (SCC). Nie sprzedajemy danych. Pełna lista i szczegóły: Polityka Prywatności, sekcja 6.

6. Cookies

Używamy wyłącznie niezbędnych cookies technicznych (logowanie, bezpieczeństwo, preferencje) — żadnych analitycznych ani reklamowych. Szczegóły: Polityka Prywatności, sekcja 5.

7. Sztuczna inteligencja w Synomi (AI Act)

Od 2 sierpnia 2026 w całej Unii będą obowiązywać przepisy o przejrzystości AI (AI Act) — Synomi spełnia te wymogi już dziś. W Synomi sztuczna inteligencja pracuje w kilku miejscach: Daisy odpowiada na pytania i podpowiada kategorie kosztów, Voice-to-Invoice zamienia Twój głos na fakturę, a OCR odczytuje paragony i faktury ze zdjęcia.

Zasada naczelna we wszystkich procesach to Human in the loop — ostatnie słowo zawsze ma człowiek i wszystko wymaga Twojej świadomej akceptacji. W praktyce:

• AI podpowiada — Ty decydujesz. Żadna funkcja AI nie podejmuje decyzji za Ciebie i sama nie wystawia dokumentów. OCR wypełnia formularz, który sprawdzasz; Daisy sugeruje, ale nie blokuje; faktura głosowa to szkic, który zatwierdzasz.
• Zawsze wiesz, że to AI. Daisy nie udaje człowieka — jest jawnie asystentką AI i tak się przedstawia.
• Sugestia to nie porada. Podpowiedzi Daisy (np. „ten koszt może nie podlegać odliczeniu") to wskazówki, nie porada podatkowa. Pamiętaj: wszystkie wiążące decyzje dotyczące Twojej firmy podejmujesz samodzielnie lub wspólnie z Twoim Księgowym.

Według klasyfikacji AI Act funkcje Synomi to systemy ograniczonego ryzyka — żadna nie ocenia ludzi, nie decyduje o kredycie, zatrudnieniu ani niczym podobnym. O tym, jakie dane trafiają do przetworzenia przy funkcjach AI (i że nie są powiązane z Tobą), przeczytasz w sekcji 5.

8. Cyberbezpieczeństwo (NIS2 / Cyberbeveiligingswet)

NIS2 to unijna dyrektywa o cyberbezpieczeństwie — w Holandii wdrożona jako Cyberbeveiligingswet, która będzie obowiązywać od 15 sierpnia 2026. Obejmuje bezpośrednio średnie i duże organizacje z kluczowych sektorów. Synomi, jako mała firma, nie podlega jej bezpośrednio — i mówimy to wprost, zamiast przyklejać sobie modną etykietę.

Jest jednak druga strona: firmy objęte NIS2 muszą pilnować bezpieczeństwa u swoich dostawców. Jeśli Ty albo Twój klient podlegacie NIS2 i potrzebujecie dostawcy, który nie będzie słabym ogniwem — oto co znajdziecie u nas:

• Własny serwer w Holandii — Twoje dane nie krążą po cudzych chmurach.
• Szyfrowanie z osobnym kluczem dla każdej firmy — jeden klucz nie otwiera cudzych danych.
• Weryfikacja dwuetapowa (2FA) i kopie zapasowe.
• Zero trackerów i krótka lista podprocesorów (sekcja 5).

Pytania o bezpieczeństwo do łańcucha dostaw? Napisz: support@synomi.ai.

9. Kontakt