Polityka prywatności
Ta polityka wyjaśnia, jakie dane osobowe przetwarzamy w związku z korzystaniem z FakturaO, w jakim celu, komu je przekazujemy i jakie prawa Ci przysługują. Stosujemy rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
1. Administrator danych
Administratorem Twoich danych jest FakturaO, [do uzupełnienia: adres siedziby], NIP [do uzupełnienia: NIP], REGON [do uzupełnienia: REGON] (dalej: „my”). We wszystkich sprawach dotyczących danych osobowych możesz pisać na adres [do uzupełnienia: adres e-mail].
2. Twoje faktury i dane Twoich kontrahentów
Dane, które wpisujesz do FakturaO o swoich klientach i kontrahentach, są Twoimi danymi — to Ty jesteś ich administratorem. My przetwarzamy je w Twoim imieniu jako podmiot przetwarzający, na zasadach z § 11 Regulaminu.
Bez konta i w Planie Free te dane są zapisywane wyłącznie w Twojej przeglądarce i do nas nie trafiają. Na nasze serwery trafiają tylko wtedy, gdy korzystasz z funkcji, które tego wymagają: synchronizacji w Planie Pro, połączenia z KSeF (wysyłane i pobierane faktury) albo linku do faktury dla klienta.
3. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie
| Cel | Dane | Podstawa prawna | Jak długo |
|---|---|---|---|
| Założenie i prowadzenie konta | adres e-mail, hasło (przechowywane wyłącznie jako skrót), daty logowania | art. 6 ust. 1 lit. b RODO — wykonanie umowy | do usunięcia konta |
| Plan Pro i płatności | identyfikator klienta i subskrypcji w Stripe, plan, okres rozliczeniowy, status płatności (danych karty nie widzimy) | art. 6 ust. 1 lit. b RODO; art. 6 ust. 1 lit. c RODO — obowiązki podatkowe i rachunkowe | do usunięcia konta; dokumenty księgowe — 5 lat od końca roku podatkowego |
| Połączenie z KSeF | NIP, zaszyfrowany token lub certyfikat KSeF, dane wysłanych i pobranych faktur | art. 6 ust. 1 lit. b RODO | do odłączenia KSeF lub usunięcia konta |
| Linki do faktur dla klientów | kopia udostępnionego dokumentu, liczba i czas wyświetleń, akceptacja oferty, płatności online | art. 6 ust. 1 lit. b RODO | do usunięcia konta |
| Kontakt, wsparcie i reklamacje | adres e-mail, treść korespondencji | art. 6 ust. 1 lit. b i f RODO — odpowiedź na zgłoszenie | do 3 lat od zakończenia sprawy |
| Bezpieczeństwo i działanie serwisu | adres IP, typ przeglądarki, czas i adres żądania w logach serwerów | art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes: ochrona przed nadużyciami i usuwanie błędów | zgodnie z okresami przechowywania logów u dostawców hostingu, zwykle do 30 dni |
| Statystyki odwiedzin (Google Analytics) | identyfikator w plikach cookies, odwiedzone strony, przybliżona lokalizacja, typ urządzenia i przeglądarki | art. 6 ust. 1 lit. a RODO — Twoja zgoda | do wycofania zgody; dane w Google Analytics — 14 miesięcy |
| Ustalenie, dochodzenie i obrona roszczeń | dane potrzebne w danej sprawie | art. 6 ust. 1 lit. f RODO | do upływu terminów przedawnienia |
Podanie danych jest dobrowolne, ale bez adresu e-mail nie założysz konta, a bez danych płatności nie kupisz Planu Pro. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu.
4. Komu przekazujemy dane
Korzystamy z zaufanych dostawców, którzy przetwarzają dane na nasze polecenie albo jako odrębni administratorzy:
- Vercel Inc. (USA) — hosting strony i aplikacji.
- Supabase Inc. (USA; dane przechowywane na serwerach Amazon Web Services we Frankfurcie, w Unii Europejskiej) — baza danych, logowanie, wysyłka e-maili związanych z kontem i funkcje serwerowe (m.in. połączenie z KSeF).
- Stripe Payments Europe, Ltd. (Irlandia) i Stripe, Inc. (USA) — płatności za Plan Pro; przy płatnościach kartą za Twoje faktury — Twoje własne konto Stripe.
- Google Ireland Ltd. (Irlandia) i Google LLC (USA) — Google Analytics, wyłącznie po wyrażeniu zgody.
- Ministerstwo Finansów — faktury, które wysyłasz do KSeF, i zapytania o faktury wystawione na Twój NIP (na Twoje polecenie).
- Narodowy Bank Polski — Twoja przeglądarka pobiera kursy walut bezpośrednio z api.nbp.pl, co ujawnia NBP Twój adres IP.
- jsDelivr — przy pierwszym odczycie zdjęcia paragonu przeglądarka pobiera z tej sieci CDN model rozpoznawania tekstu; samo zdjęcie nie opuszcza Twojego urządzenia.
- Organy publiczne — gdy wymagają tego przepisy.
5. Przekazywanie danych poza Europejski Obszar Gospodarczy
Baza danych FakturaO znajduje się w Unii Europejskiej (Frankfurt). Część dostawców (Vercel, Stripe, Google) przetwarza jednak dane w Stanach Zjednoczonych, a Supabase jako spółka amerykańska może mieć do nich dostęp, np. przy wsparciu technicznym. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. w sprawie ram ochrony danych UE–USA (Data Privacy Framework) — wobec podmiotów certyfikowanych — albo na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń możesz otrzymać, pisząc na [do uzupełnienia: adres e-mail].
6. Twoje prawa
Masz prawo:
- dostępu do swoich danych i otrzymania ich kopii,
- sprostowania danych,
- usunięcia danych,
- ograniczenia przetwarzania,
- przenoszenia danych,
- wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
- wycofania zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem (zgodę na Google Analytics zmienisz w ),
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Aby skorzystać z praw, napisz na [do uzupełnienia: adres e-mail]. Odpowiemy w ciągu miesiąca. Dane z Twojej przeglądarki możesz w każdej chwili pobrać jako kopię zapasową w Ustawieniach aplikacji.
7. Pliki cookies i pamięć przeglądarki
FakturaO zapisuje informacje na Twoim urządzeniu. Te niezbędne do działania aplikacji nie wymagają zgody (art. 399 ust. 3 ustawy Prawo komunikacji elektronicznej). Google Analytics uruchamiamy dopiero po wyrażeniu zgody w okienku, które pojawia się przy pierwszej wizycie. Na stronach faktur udostępnianych klientom pod linkiem nie używamy Google Analytics.
| Nazwa | Rodzaj | Cel | Okres |
|---|---|---|---|
| baza IndexedDB „invoicr” | niezbędne | Twoje faktury, kontrahenci i ustawienia zapisane w przeglądarce | do usunięcia przez Ciebie |
| localStorage „invoicr-auth” | niezbędne | sesja logowania | do wylogowania |
| localStorage „invoicr:plan”, „invoicr:lastReminderNotice” | niezbędne | zapamiętanie planu i przypomnień, aby aplikacja działała offline | do usunięcia przez Ciebie |
| localStorage „fakturao:consent” | niezbędne | zapamiętanie Twojego wyboru dotyczącego cookies | 12 miesięcy |
| pamięć podręczna aplikacji (service worker) | niezbędne | działanie aplikacji bez internetu | do aktualizacji lub usunięcia |
| cookies „_ga”, „_ga_*” | analityczne (za zgodą) | Google Analytics: rozróżnianie odwiedzających i sesji | do 2 lat |
Zgodę możesz zmienić w każdej chwili w . Możesz też usunąć zapisane dane w ustawieniach przeglądarki — pamiętaj jednak, że bez kopii zapasowej usuniesz wtedy również faktury zapisane tylko na tym urządzeniu.
8. Bezpieczeństwo
Połączenia są szyfrowane (HTTPS). Tokeny i certyfikaty KSeF przechowujemy zaszyfrowane, a dostęp do danych w bazie jest ograniczony regułami, które pozwalają każdemu użytkownikowi widzieć wyłącznie własne dane.
9. Zmiany polityki
Gdy zmienimy sposób przetwarzania danych, zaktualizujemy tę politykę i datę na górze strony. O istotnych zmianach poinformujemy w aplikacji lub e-mailem.