Polityka prywatności
Obowiązuje od [DATA UDOSTĘPNIENIA]. Wersja 1.
Ten dokument opisuje, co ksef.plus robi z danymi — bez ogólników. Jeśli coś jest tu napisane, to znaczy, że tak działa aplikacja, a nie że tak bywa w podobnych serwisach.
1. Kto odpowiada za dane
Administratorem danych jest [NAZWA FIRMY], NIP [NIP], [ADRES].
W sprawach danych osobowych napisz na jakobnowak@gmail.com albo przez formularz na stronie głównej. Nie wyznaczyliśmy inspektora ochrony danych — nie mamy takiego obowiązku.
2. Jakie dane przetwarzamy
2.1. Dane Twojego konta
Adres e-mail, imię i nazwisko lub nazwa wyświetlana, zaszyfrowane hasło, wybrany język, data założenia konta, znacznik potwierdzenia adresu. Hasło przechowuje nasz serwer tożsamości i nigdy nie widzimy go w postaci jawnej.
2.2. Dane podłączenia do KSeF
NIP, nazwa nadana podłączeniu, token KSeF oraz tokeny dostępowe wystawione przez KSeF. Token KSeF jest w bazie zaszyfrowany, a klucz szyfrujący leży poza bazą i nie trafia do kopii zapasowych. Przechowujemy też datę ostatniego pobrania faktur i treść ostatniego błędu synchronizacji.
2.3. Dane z faktur
To największy zbiór i wymaga osobnego zdania, bo nie dotyczy tylko Ciebie. Pobieramy z KSeF i przechowujemy:
- numer KSeF i numer faktury, rodzaj i kod formularza,
- daty: wystawienia, przyjęcia do KSeF, otrzymania, terminu płatności,
- nazwę i NIP sprzedawcy oraz nazwę i NIP nabywcy,
- kwoty netto, brutto i VAT, walutę,
- formę i warunki płatności, numery rachunków bankowych wskazane na fakturze,
- pełny dokument XML faktury,
- to, co dodajesz sam: etykiety, oznaczenie zapłaty wraz z datą i notatką, oznaczenie przeczytania.
Dane sprzedawców to nie są Twoje dane. Jeśli sprzedawcą jest osoba prowadząca jednoosobową działalność, jej imię, nazwisko, NIP i numer rachunku są danymi osobowymi — tyle że jej, nie Twoimi. Wobec nich administratorem jesteś Ty, a ksef.plus jest podmiotem przetwarzającym, który robi z nimi wyłącznie to, co mu zlecisz. Zasady tego powierzenia opisuje rozdział 8 regulaminu.
2.4. Korespondencja
Treść wiadomości wysłanych przez czat w aplikacji oraz przez formularz kontaktowy na stronie głównej, wraz z adresem e-mail i imieniem podanym w formularzu i datą wysłania.
2.5. Dane techniczne
Nasz serwer zapisuje standardowe logi: adres IP, czas żądania, adres strony, rodzaj przeglądarki. Są potrzebne do utrzymania usługi i wykrywania nadużyć.
3. Po co i na jakiej podstawie
| Co robimy | Podstawa prawna |
|---|---|
| Prowadzimy konto, pobieramy faktury z KSeF, pokazujemy je i pozwalamy nimi zarządzać | wykonanie umowy — art. 6 ust. 1 lit. b RODO |
| Wysyłamy powiadomienia o nowych fakturach i odpowiadamy na wiadomości | wykonanie umowy — art. 6 ust. 1 lit. b RODO |
| Rozliczamy płatności i wystawiamy dokumenty księgowe | obowiązek prawny — art. 6 ust. 1 lit. c RODO |
| Zabezpieczamy serwis, prowadzimy logi, bronimy się przed nadużyciami | prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO |
| Przechowujemy dane z faktur, w tym dane sprzedawców | powierzenie przez Ciebie — art. 28 RODO |
Nie wysyłamy reklam i nie przekazujemy nikomu Twojego adresu w celach marketingowych. Nie profilujemy i nie podejmujemy decyzji automatycznie.
4. Komu powierzamy dane
Lista jest krótka i to jest zamierzone — im mniej podmiotów, tym mniej miejsc, w których coś może wyciec.
| Kto | Po co | Co dostaje |
|---|---|---|
| [DOSTAWCA SERWERA] | serwer, na którym działa aplikacja i baza | wszystko, co przechowujemy |
| Brevo (Sendinblue, Francja) | wysyłka poczty | adres e-mail i treść wiadomości, którą wysyłamy |
| OVH (Francja / Polska) | domena i poczta firmowa | korespondencja kierowana na adresy w domenie |
Serwer tożsamości, który przechowuje hasła, prowadzimy sami, na własnym serwerze — hasła nie trafiają do żadnej usługi zewnętrznej.
Dane przechowujemy i przetwarzamy w Europejskim Obszarze Gospodarczym.
Dane udostępnimy organom państwa tylko wtedy, gdy obowiązek wynika z przepisów.
5. KSeF to nie my
Krajowy System e-Faktur prowadzi Ministerstwo Finansów. ksef.plus tylko pobiera z niego Twoje faktury — przy użyciu tokenu, który sam nam dałeś. Nie mamy wpływu na to, co i jak długo przechowuje KSeF ani na zasady, które tam obowiązują. Usunięcie danych u nas nie usuwa niczego w KSeF.
6. Jak długo trzymamy dane
| Co | Jak długo |
|---|---|
| Dane konta i dane z faktur | do usunięcia konta |
| Token KSeF | do odłączenia NIP-u albo usunięcia konta |
| Wiadomości z czatu | usuwane razem z kontem |
| Wiadomości z formularza kontaktowego | do [OKRES] od załatwienia sprawy |
| Dokumenty księgowe | przez okres wymagany przepisami podatkowymi |
| Kopie zapasowe bazy | 14 dni |
| Logi serwera | [OKRES] |
Po usunięciu konta dane znikają z działającej bazy od razu, ale przez 14 dni pozostają w kopiach zapasowych, które są wymieniane codziennie. To nie jest zwłoka z wygody — kopia, z której nie da się odtworzyć stanu sprzed awarii, nie jest kopią.
7. Jak chronimy dane
- Połączenie ze stroną i aplikacją jest szyfrowane (HTTPS).
- Token KSeF jest szyfrowany w bazie, a klucz leży poza nią i nie wchodzi do kopii zapasowych. Sam zrzut bazy nie wystarczy, żeby go odczytać.
- Baza rozdziela dane kont na poziomie silnika bazy danych, nie tylko w kodzie aplikacji.
- Kopie zapasowe powstają codziennie i trafiają na drugi serwer, na który pierwszy może wyłącznie dopisywać — przejęcie jednego serwera nie kasuje historii.
- Hasła przechowuje serwer tożsamości w postaci skrótów; nie znamy ich.
- Dostęp do serwera ma wyłącznie [NAZWA FIRMY].
8. Ciasteczka i pamięć przeglądarki
Nie używamy analityki ani narzędzi śledzących. Nie ma tu Google Analytics, pikseli reklamowych ani niczego podobnego — i dlatego nie zobaczysz na tej stronie okienka o ciasteczkach.
W przeglądarce zapisujemy dwie rzeczy, obie będące Twoim wyborem i obie bez znaczenia dla kogokolwiek poza Tobą: język i jasny albo ciemny motyw.
Po zalogowaniu serwer tożsamości ustawia ciasteczka sesji. Bez nich logowanie nie działa — nie da się ich wyłączyć i nie służą do niczego innego.
Strona nie pobiera niczego z serwerów innych firm. Krój pisma leży na naszym serwerze, więc otwarcie ksef.plus nie wysyła Twojego adresu IP nigdzie poza nas — także zanim cokolwiek klikniesz.
9. Twoje prawa
Masz prawo: dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.
Napisz na jakobnowak@gmail.com — odpowiadamy najpóźniej w ciągu miesiąca.
Konto i wszystkie dane możesz usunąć sam, z poziomu aplikacji. Faktury da się pobrać jako PDF i XML w każdej chwili, bez pytania nas o zgodę.
Jeśli uznasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
10. Czy musisz podawać dane
Podanie adresu e-mail i hasła jest konieczne do założenia konta. Podanie tokenu KSeF jest konieczne, żeby aplikacja mogła pobrać Twoje faktury — bez niego konto działa, ale jest puste. Niczego poza tym nie wymagamy.
11. Zmiany
O zmianach w tym dokumencie powiadomimy pocztą na adres przypisany do konta, najpóźniej na [LICZBA] dni przed wejściem w życie. Poprzednie wersje udostępniamy na żądanie.