Polityka prywatności usługi Należy się

Ta polityka wyjaśnia, jakie dane osobowe przetwarzamy w usłudze Należy się, po co, jak długo i jakie masz prawa (art. 13 i 14 RODO). Piszemy „my” o Usługodawcy, a „Firma” o przedsiębiorcy, który ma konto w Usłudze.

§ 1. Kto odpowiada za dane#

1. My jako administrator. Kamil Sobkowicz prowadzący działalność gospodarczą pod firmą Mooning Charts Research Kamil Sobkowicz [do potwierdzenia w CEIDG], adres: [do uzupełnienia], NIP: 7133061369, REGON: 362010370, e-mail w sprawach danych: [do uzupełnienia]. Nie wyznaczyliśmy inspektora ochrony danych. Jesteśmy administratorem danych:
   1. osób korzystających z Diagnozy publicznej (bez konta);
   2. osób z rejestrów publicznych, których dane pobieramy i przechowujemy w pamięci podręcznej Usługi, w Diagnozie publicznej i przy sprawdzeniach wykonywanych z kont Firm (§ 3);
   3. użytkowników kont: logowanie, konto, rozliczenia, bezpieczeństwo, kontakt, reklamacje;
   4. osób, które zgłaszają treści nielegalne lub kontaktują się z nami;
   5. osób zapisujących się na listę oczekujących.
2. Firma jako administrator. Dane kontrahentów Firmy (np. nabywców, dłużników, sprzedawców z faktur), jej pracowników, do których Firma wysyła pytanie o fakturę, jej księgowej (adres, na który Firma zleca wysyłkę zestawień) i innych osób, których dane Firma wprowadza do Usługi, przetwarza Firma jako administrator. My przetwarzamy je wyłącznie w imieniu Firmy, na podstawie umowy powierzenia (art. 28 RODO), i tylko po to, żeby świadczyć jej Usługę (§ 4).

§ 2. Dane, które przetwarzamy jako administrator#

Podanie numeru telefonu i NIP jest warunkiem założenia konta. Bez nich nie możemy wysłać kodu logowania i przypisać danych do firmy. Diagnoza publiczna nie wymaga podawania danych osobowych.

§ 3. Dane z rejestrów publicznych (art. 14 RODO)#

1. W Diagnozie publicznej, a także w koncie Firmy (sprawdzenie kontrahenta i rachunku), pobieramy dane z ogólnodostępnych rejestrów: wykazu podatników VAT prowadzonego przez Szefa Krajowej Administracji Skarbowej (biała lista), systemu VIES Komisji Europejskiej i Krajowego Rejestru Sądowego [do potwierdzenia: czy także CEIDG lub REGON]. Źródłem danych nie jest osoba, której dotyczą; są to źródła publicznie dostępne (art. 14 ust. 2 lit. f RODO). Wspólną pamięć podręczną tych danych prowadzimy jako administrator; wynik sprawdzenia zapisany przy fakturze lub płatności Firmy przetwarzamy w imieniu Firmy (§ 4). Kursy walut i stopy procentowe pobieramy z Narodowego Banku Polskiego.
2. Mogą to być dane osobowe: imię i nazwisko lub firma przedsiębiorcy będącego osobą fizyczną, NIP, REGON, adres prowadzenia działalności lub zamieszkania (jeśli rejestr go podaje), numery rachunków bankowych zgłoszone do wykazu, status VAT, a z KRS imiona i nazwiska osób wchodzących w skład organów reprezentacji.
3. Cel: pokazanie osobie, która o to prosi, stanu jej firmy albo kontrahenta w rejestrach publicznych oraz sprawdzenie rachunku przed przelewem. Podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes nasz i osoby sprawdzającej w rzetelnym obrocie gospodarczym, zbieżny z celem jawności tych rejestrów, w tym z obowiązkiem sprawdzenia rachunku w wykazie przed przelewem powyżej 15 000 zł). Odbiorcą danych jest wyłącznie osoba, która wykonała sprawdzenie.
4. Dane trzymamy w pamięci podręcznej krótko: wynik z wykazu VAT i VIES do 6 godzin, z KRS do 24 godzin, a po tym czasie usuwamy [usuwanie wygasłych wpisów do wdrożenia]. Nie budujemy z nich bazy, nie łączymy ich z danymi z faktur innych firm, nie oceniamy na ich podstawie osób (brak scoringu i oceny wiarygodności płatniczej), nie trenujemy na nich modeli AI, nie ujawniamy, kto kogo sprawdzał, i nie udostępniamy ich nikomu poza osobą, która pyta.
5. Możesz wnieść sprzeciw wobec takiego przetwarzania (§ 8 ust. 2). Informację tę podajemy publicznie w tej polityce, ponieważ indywidualne powiadomienie każdej osoby z rejestru wymagałoby niewspółmiernie dużego wysiłku, a dane przechowujemy tylko kilka godzin i nie mamy danych kontaktowych tych osób (art. 14 ust. 5 lit. b RODO). Pozostałe informacje z art. 14 (odbiorcy, transfery, prawa, skarga) znajdziesz w § 5-8. [do weryfikacji przez prawnika: rola i podstawa, PYTANIA-DO-DECYZJI.md]

§ 4. Dane, które przetwarzamy w imieniu Firm#

1. Jeśli Twoje dane są na fakturze Firmy, dostałeś od Firmy przypomnienie o płatności albo pytanie o fakturę jako jej pracownik, albo Firma podała Twój adres jako adres księgowej, administratorem Twoich danych jest ta Firma. Firma jest wskazana w treści wiadomości. Z pytaniami i żądaniami (dostęp, sprostowanie, usunięcie, sprzeciw) zwróć się do niej.
2. Możesz też napisać do nas. Przekażemy Twoje żądanie Firmie i pomożemy jej je wykonać.
3. Te dane przetwarzamy wyłącznie na polecenie Firmy, w zakresie potrzebnym do świadczenia jej Usługi: wczytanie faktur, wyliczenia, wysłanie przypomnienia zatwierdzonego przez Firmę, wysłanie jednorazowego linku z pytaniem o fakturę. Nie trenujemy na nich modeli AI, nie sprzedajemy ich, nie używamy do własnych celów i nie tworzymy z nich baz dłużników. Jedyne wyjątki to bezpieczeństwo i zapobieganie nadużyciom, obowiązki prawne, obsługa zgłoszeń Firmy oraz zagregowane statystyki techniczne bez treści danych (§ 16 Regulaminu).
4. Numer telefonu pracownika i jego odpowiedź trafiają wyłącznie do Firmy, która zadała pytanie. Link jest jednorazowy i ważny 14 dni.

§ 5. Komu przekazujemy dane#

1. Dane przekazujemy wyłącznie dostawcom, bez których Usługa nie działa, na podstawie umów powierzenia [do wdrożenia: ZMIANY-W-PRODUKCIE-PRZED-PUBLIKACJA.md, A9]. Żaden z nich, działając na nasze polecenie, nie wykorzystuje danych do trenowania modeli (wyjątek dotyczący Twilio jako odrębnego administratora: ust. 3).

2. Pełny wykaz dostawców przetwarzających dane Firm, z adresami, jest w Załączniku nr 1 do umowy powierzenia pod adresem [adres]/umowa-powierzenia. Te same podmioty (poza operatorem płatności) przetwarzają dane, których jesteśmy administratorem.
3. Twilio (jeśli używamy go do SMS) przetwarza część danych wiadomości także jako odrębny administrator, w celu zapobiegania nadużyciom i spamowi, na zasadach własnej polityki prywatności (twilio.com/legal/privacy).
4. Dane możemy przekazać organom publicznym, gdy wymaga tego prawo.
5. Nie sprzedajemy danych i nie przekazujemy ich reklamodawcom.

§ 6. Przekazywanie poza Europejski Obszar Gospodarczy#

Dane przechowujemy w UE. Niektórzy dostawcy (Vercel, Supabase, Resend, Twilio) należą do grup z siedzibą w USA i mogą mieć dostęp do danych z USA. Odbywa się to na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) dla certyfikowanych podmiotów, a jako zabezpieczenie zapasowe na podstawie standardowych klauzul umownych (decyzja Komisji (UE) 2021/914). Kopię zabezpieczeń możesz otrzymać, pisząc do nas.

§ 7. Jak długo przechowujemy dane#

Okresy przechowywania danych, które przetwarzamy w imieniu Firm, określa umowa powierzenia (§ 10).

§ 8. Twoje prawa#

1. Masz prawo do: dostępu do swoich danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (dla danych przetwarzanych na podstawie umowy lub zgody) oraz do wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem.
2. Prawo sprzeciwu (art. 21 RODO). W każdej chwili możesz wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie naszego uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), z przyczyn związanych z Twoją szczególną sytuacją. Dotyczy to w szczególności danych z rejestrów publicznych (§ 3). Po sprzeciwie przestaniemy przetwarzać te dane, chyba że wykażemy ważne, prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów, praw i wolności albo podstawy do ustalenia, dochodzenia lub obrony roszczeń.
3. Żądanie wyślij na [e-mail]. Odpowiadamy w ciągu miesiąca; w sprawach złożonych możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o tym w pierwszym miesiącu. Możemy poprosić o potwierdzenie, że numer telefonu lub konto należy do Ciebie.
4. Użytkownik konta może pobrać swoje dane i usunąć konto w aplikacji [funkcje do wdrożenia].
5. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem.

§ 9. Profilowanie i decyzje automatyczne#

Nie profilujemy osób i nie podejmujemy wobec nikogo decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, wywołujących skutki prawne lub w podobny sposób istotnie wpływających (art. 22 RODO). Usługa nie ocenia zdolności kredytowej ani wiarygodności płatniczej osób. Wyliczenia (należności, rekompensaty, odsetki, terminy) wykonuje kod według jawnych reguł, a każdą wiadomość i decyzję zatwierdza Firma. Szczegóły: Informacja o AI ([adres]/ai).

§ 10. Bezpieczeństwo#

Stosujemy szyfrowanie połączeń, szyfrowanie kluczy dostępu, przechowywanie kodów i tokenów wyłącznie jako skrótów, izolację danych każdej firmy, limity prób i wysyłek oraz dziennik zmian. Opis środków: Załącznik nr 2 do umowy powierzenia.

§ 11. Pliki cookies#

Używamy wyłącznie niezbędnych plików cookies i pamięci przeglądarki. Szczegóły: Polityka cookies ([adres]/cookies).

§ 12. Zmiany polityki#

O zmianach informujemy w aplikacji, a użytkowników kont także SMS-em lub e-mailem, jeśli zmiana dotyczy ich praw. Aktualna wersja jest zawsze pod adresem [adres]/prywatnosc, z datą i numerem wersji.