§1. Administrator danych i kontakt
- Administratorem danych osobowych Użytkowników korzystających z serwisu ksefv.pl jest Kamil Lewandowski, prowadzący działalność gospodarczą pod adresem ul. Pawia 9, 85-309 Bydgoszcz, NIP: 9532517748, REGON: 340257158 (dalej: "Administrator").
- We wszystkich sprawach związanych z ochroną danych osobowych, w tym w celu realizacji swoich praw, Użytkownik może skontaktować się z Administratorem wysyłając wiadomość na adres e-mail: kontakt@ksefv.pl lub pisemnie na adres siedziby.
§2. Rodzaj, cel i podstawa prawna przetwarzania danych Użytkowników
- Administrator przetwarza dane osobowe w następujących celach, opierając się na adekwatnych podstawach prawnych (zgodnie z RODO):
- Rejestracja Konta, zawarcie i wykonanie Umowy o świadczenie usług drogą elektroniczną (art. 6 ust. 1 lit. b RODO): Dotyczy danych podanych podczas rejestracji, tj. adres e-mail, nazwa firmy, NIP, adres siedziby, imię i nazwisko osoby reprezentującej.
- Zarządzanie płatnościami i fakturowaniem (art. 6 ust. 1 lit. b i c RODO): Przetwarzanie w celu pobierania opłat za usługi (np. OCR, abonamenty) oraz wystawiania faktur za zrealizowane usługi, na podstawie przepisów prawa podatkowego i o rachunkowości (przechowywanie dokumentacji księgowej).
- Obsługa funkcji KSeF, JPK, OCR/AI i integracji (art. 6 ust. 1 lit. b RODO oraz art. 28 RODO w zakresie danych powierzonych): Przetwarzanie danych dokumentów, kontrahentów, tokenów, certyfikatów, statusów operacji, logów technicznych i wyników automatycznego odczytu w celu wykonania funkcji zleconych przez Użytkownika.
- Rozpatrywanie reklamacji i wsparcie techniczne (art. 6 ust. 1 lit. f RODO): Wynikające z prawnie uzasadnionego interesu Administratora, którym jest obsługa zapytań, zgłoszeń błędów w działaniu aplikacji oraz wsparcie Użytkowników. Przetwarzane są dane z formularza kontaktowego, systemu ticketów lub komunikacji e-mailowej.
- Utrzymanie bezpieczeństwa Serwisu, obrona lub dochodzenie roszczeń (art. 6 ust. 1 lit. f RODO): Prawnie uzasadnionym interesem Administratora jest zapobieganie oszustwom, zapewnienie bezpieczeństwa danych Użytkowników, monitorowanie ruchu w Serwisie, rejestrowanie logów serwera (adres IP, rodzaj przeglądarki, system operacyjny), a także ewentualne ustalanie, dochodzenie i obrona przed roszczeniami w związku z korzystaniem z Serwisu.
- Podanie danych osobowych jest dobrowolne, ale niezbędne do założenia Konta, korzystania z funkcjonalności Serwisu oraz zrealizowania obowiązków podatkowych (wystawienie faktury przez Administratora).
§3. Okres przechowywania danych
- Dane osobowe Użytkowników przechowywane są przez następujący okres:
- Dane związane z prowadzeniem Konta: Przez czas świadczenia usługi (od momentu rejestracji do momentu usunięcia Konta przez Użytkownika lub Administratora, co stanowi wypowiedzenie Umowy). Z zastrzeżeniem przypadków, w których bezwzględnie obowiązujące przepisy nakazują dalsze ich przechowywanie.
- Dane niezbędne do wystawiania faktur (księgowe, podatkowe): Przez okres 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (zgodnie z przepisami prawa).
- Dane dokumentów, plików, OCR/AI i integracji KSeF: Przez czas potrzebny do świadczenia Usług, obsługi Konta, rozliczeń, eksportu, reklamacji, zabezpieczenia roszczeń oraz wykonania obowiązków prawnych. Pliki techniczne, dane tymczasowe i wyniki przetwarzania mogą być usuwane wcześniej, jeżeli nie są potrzebne do dalszego działania Serwisu.
- Tokeny, certyfikaty i dane autoryzacyjne KSeF: Przez czas konfiguracji integracji przez Użytkownika, do momentu ich usunięcia, zastąpienia, wygaśnięcia, cofnięcia albo zakończenia świadczenia Usług, chyba że dłuższe przechowywanie jest konieczne do rozliczeń, logów bezpieczeństwa lub zabezpieczenia roszczeń.
- Dane niezbędne do celów dowodowych lub dochodzenia roszczeń: Do czasu upływu terminu przedawnienia ewentualnych roszczeń wynikających ze zrealizowanej Umowy.
- Dane zbierane w celach analitycznych/bezpieczeństwa (logi serwera): Przez okres niezbędny do administrowania Serwisem, zwykle nie dłużej niż kilka miesięcy (jeśli nie zaistnieje potrzeba dłuższego przechowywania w celu wyjaśnienia incydentów bezpieczeństwa).
- Kopie zapasowe: Przez okres wynikający z cyklu backupów i potrzeb odtworzeniowych. Usunięcie danych z aktywnej bazy nie zawsze oznacza natychmiastowe usunięcie ich ze wszystkich kopii zapasowych.
§4. Odbiorcy danych (Udostępnianie i powierzanie przetwarzania)
- W związku ze świadczeniem Usług za pośrednictwem ksefv.pl, Administrator może powierzać lub udostępniać dane Użytkowników zewnętrznym podmiotom wyłącznie w zakresie niezbędnym do poprawnego i bezpiecznego działania aplikacji. Należą do nich:
- Dostawcy infrastruktury informatycznej i usług chmurowych (hosting): Przechowywanie bazy danych Serwisu i plików (w tym faktur wprowadzonych przez Użytkowników na serwery).
- Dostawcy usług płatniczych i fakturowania: W celu obsługi procesów płatności za Usługi oferowane w Serwisie, w szczególności operator płatności Przelewy24 / PayPro S.A., oraz podmioty wspierające wystawianie i dostarczanie dokumentów księgowych.
- Podmioty wspierające komunikację elektroniczną i utrzymanie systemu: Narzędzia do wysyłki wiadomości systemowych, powiadomień, kodów autoryzacyjnych lub komunikatów związanych z działaniem Konta oraz dostawcy usług technicznych wspierających utrzymanie Serwisu.
- Dostawcy usług OCR/AI, automatycznego odczytu dokumentów, monitoringu i bezpieczeństwa: Wyłącznie w zakresie niezbędnym do wykonania funkcji zleconych przez Użytkownika, wykrywania błędów, utrzymania jakości działania Serwisu i bezpieczeństwa infrastruktury.
- Biura rachunkowe i doradcy prawni Administratora: W celu prawidłowego prowadzenia księgowości i rozliczeń Administratora.
- Ministerstwo Finansów / Krajowy System e-Faktur (KSeF): Z uwagi na charakter świadczonej usługi (integracja z KSeF), kluczowe dane, w tym dane logowania/autoryzacji (tokeny, certyfikaty) oraz faktury ustrukturyzowane, są przesyłane bezpośrednio do systemów informatycznych Ministerstwa Finansów na zlecenie Użytkownika.
- Administrator zastrzega sobie prawo udostępnienia wybranych informacji organom państwowym (np. policji, prokuraturze, KAS) wyłącznie na podstawie przepisów prawa (gdy wystąpią z odpowiednim wnioskiem).
- W przypadku, gdy podmioty przetwarzające mają siedzibę poza Europejskim Obszarem Gospodarczym (EOG), np. w USA, Administrator dba o to, by przekazywanie odbywało się z zachowaniem odpowiednich zabezpieczeń, np. w oparciu o standardowe klauzule umowne przyjęte przez Komisję Europejską lub program Data Privacy Framework (lub jego następców).
§5. Prawa osób, których dane dotyczą
- Każdy Użytkownik ma prawo do:
- dostępu do swoich danych osobowych, uzyskania informacji o ich przetwarzaniu oraz otrzymania ich kopii;
- sprostowania danych nieprawidłowych lub uzupełnienia danych niekompletnych (można to wykonać samodzielnie w panelu Użytkownika);
- usunięcia danych osobowych (tzw. "prawo do bycia zapomnianym"), jeśli nie ma innych podstaw prawnych do ich dalszego przetwarzania (np. księgowych);
- ograniczenia przetwarzania danych osobowych;
- przenoszenia danych osobowych (otrzymania ich w ustrukturyzowanym formacie i przesłania innemu administratorowi);
- wniesienia sprzeciwu wobec przetwarzania danych na podstawie uzasadnionego interesu Administratora (np. wobec profilowania);
- wycofania w każdym momencie zgody na przetwarzanie, jeśli dane były przetwarzane na podstawie takiej zgody (nie wpływa to na zgodność z prawem przetwarzania dokonanego przed wycofaniem);
- wniesienia skargi do organu nadzorczego zajmującego się ochroną danych osobowych (Prezesa Urzędu Ochrony Danych Osobowych w Polsce), jeśli uzna, że przetwarzanie narusza przepisy RODO.
§6. Powierzenie przetwarzania danych Użytkowników (Administrator - Użytkownik, Procesor - Operator ksefv.pl)
- Narzędzie ksefv.pl służy Użytkownikom (przedsiębiorcom) do zarządzania własnymi danymi oraz danymi podmiotów trzecich (kontrahentów, nabywców, dostawców, pracowników uwidocznionych na wprowadzanych fakturach kosztowych i sprzedażowych).
- W odniesieniu do tych danych (wprowadzanych przez Użytkownika na serwery Serwisu, poddawanych OCR lub wysyłanych do/odbieranych z KSeF) Administratorem Danych Osobowych jest Użytkownik Serwisu.
- Operator serwisu ksefv.pl (Administrator w rozumieniu §1) działa w tym zakresie wyłącznie jako Podmiot Przetwarzający (Procesor), który przetwarza powierzone mu przez Użytkownika dane na jego polecenie i w jego imieniu, zgodnie z zapisami Regulaminu stanowiącymi umowę powierzenia przetwarzania danych (zgodnie z art. 28 RODO).
- Wyłączną odpowiedzialność za podstawę prawną przetwarzania danych wstawionych na faktury oraz za powiadomienie o tym osób, których dane dotyczą, ponosi Użytkownik. Operator nie weryfikuje poprawności ani legalności tych danych.
- Operator zobowiązuje się do stosowania odpowiednich środków bezpieczeństwa chroniących powierzone dane i do nieudostępniania ich podmiotom trzecim poza zakresem niezbędnym do świadczenia Usług, obsługi podprocesorów, wykonania obowiązków prawnych lub realizacji polecenia Użytkownika.
- Zakres powierzenia obejmuje w szczególności dane identyfikacyjne, kontaktowe, adresowe, podatkowe, rozliczeniowe, dane kontrahentów, dane osób reprezentujących, dane widoczne na fakturach, kosztach, plikach, załącznikach, komunikacji, logach operacyjnych oraz dane techniczne potrzebne do działania Serwisu.
- Kategorie osób, których dane mogą być przetwarzane, obejmują Użytkownika, jego reprezentantów, pracowników, współpracowników, kontrahentów, nabywców, dostawców oraz inne osoby ujawnione w dokumentach lub danych przekazanych do Serwisu.
- Operator może korzystać z podprocesorów takich jak dostawcy hostingu, infrastruktury, poczty elektronicznej, bezpieczeństwa, backupów, płatności, OCR/AI, monitoringu, obsługi technicznej i integracji. Użytkownik wyraża ogólną zgodę na korzystanie z takich podprocesorów, o ile działają oni w zakresie niezbędnym do świadczenia Usług i są związani odpowiednimi zobowiązaniami dotyczącymi ochrony danych.
- Operator pomaga Użytkownikowi w realizacji obowiązków wynikających z RODO w zakresie, w jakim jest to możliwe przy charakterze Usług i posiadanych przez Operatora informacjach. W przypadku żądań wymagających ponadstandardowych działań technicznych Operator może uzależnić ich wykonanie od uzgodnienia zakresu i kosztów.
- Operator informuje Użytkownika o znanym naruszeniu ochrony powierzonych danych osobowych bez zbędnej zwłoki, w zakresie umożliwiającym ocenę obowiązków Użytkownika wynikających z RODO, o ile przepisy prawa lub względy bezpieczeństwa nie ograniczają zakresu przekazywanej informacji.
§7. Ciasteczka (Cookies) i technologie śledzące
- Serwis wykorzystuje pliki cookies (niewielkie informacje tekstowe zapisywane na urządzeniu końcowym Użytkownika) w celach:
- Niezbędnych technicznie (Funkcjonalne): Zapewnienia prawidłowego działania Serwisu, utrzymania sesji po zalogowaniu, zapamiętywania preferencji bezpieczeństwa (np. ochrony przed atakami CSRF). Serwis nie może funkcjonować poprawnie bez tych ciasteczek. Ich użycie opiera się na prawnie uzasadnionym interesie Administratora (art. 6 ust. 1 lit. f RODO).
- Analitycznych i wydajnościowych (Opcjonalne): Zbierania zagregowanych statystyk odwiedzin, analizy zachowań na stronie (np. Google Analytics), monitorowania czasu ładowania i ewentualnych błędów działania aplikacji po to, aby poprawiać jakość i wygodę korzystania z Usług.
- Podczas pierwszej wizyty w Serwisie, Użytkownik jest proszony o wyrażenie zgody na stosowanie cookies innych niż niezbędne (opcjonalne), o ile takie narzędzia są w danym momencie aktywne. Brak zgody nie zablokuje dostępu do podstawowych funkcji Serwisu, ale może ograniczyć analitykę.
- Jeżeli statystyki są włączone, Serwis korzysta z Google Analytics 4 (dostawca: Google Ireland Limited) wyłącznie po wyrażeniu zgody w banerze: skrypt Google nie jest ładowany przed zgodą, cookies reklamowe i funkcje Google Signals pozostają wyłączone, a do statystyk trafia adres strony bez parametrów zapytania. Zgodę można w każdej chwili wycofać przyciskiem „Ustawienia cookies” w stopce; po wycofaniu zapisane cookies Google Analytics są usuwane.
- Użytkownik może samodzielnie zarządzać ustawieniami plików cookies bezpośrednio z poziomu ustawień swojej przeglądarki internetowej (blokując ich przyjmowanie lub usuwając te już zapisane).
§8. Bezpieczeństwo danych i szyfrowanie
- Administrator dokłada najwyższej staranności w celu zabezpieczenia danych Użytkowników przed dostępem osób nieuprawnionych, ich modyfikacją, utratą czy uszkodzeniem.
- Serwis stosuje nowoczesne mechanizmy ochrony, w szczególności:
- Szyfrowane połączenie TLS na stronach i usługach Serwisu, co zabezpiecza przesyłanie danych (w tym haseł, tokenów KSeF, faktur) między urządzeniem Użytkownika a serwerem.
- Haszowanie haseł, kontrolę dostępu do infrastruktury informatycznej, ograniczanie dostępu do danych oraz mechanizmy logowania i monitoringu zdarzeń bezpieczeństwa.
- Regularne kopie zapasowe (backupy) bazy danych i plików Użytkowników chroniące przed przypadkową utratą kluczowych informacji biznesowych.
- Żaden system informatyczny nie zapewnia absolutnej ochrony przed wszystkimi możliwymi zagrożeniami. Użytkownik jest zobowiązany do stosowania bezpiecznych haseł, ochrony dostępu do poczty, urządzeń, tokenów, certyfikatów KSeF i kont użytkowników oraz do niezwłocznego zgłaszania podejrzeń naruszenia bezpieczeństwa.
§9. Zmiany Polityki Prywatności
- Polityka Prywatności może ulegać zmianom lub aktualizacjom, wynikającym ze zmian w przepisach prawa (szczególnie podatkowego i o ochronie danych), a także z rozwoju funkcjonalności Serwisu (wdrażania nowych usług i podwykonawców).
- Nowe brzmienie Polityki obowiązuje od momentu jej publikacji na stronie internetowej ksefv.pl. O istotnych zmianach Użytkownicy posiadający Konta będą informowani z odpowiednim wyprzedzeniem drogą elektroniczną. Dalsze korzystanie z Serwisu po wprowadzeniu zmian traktowane będzie jako zapoznanie się z nowymi zasadami.