PROJEKT – wymaga weryfikacji prawnika
Ten dokument jest projektem i nie został jeszcze zweryfikowany przez prawnika. Treść może się zmienić przed uruchomieniem płatnej usługi.
Polityka prywatności KaiLedger
Kto przetwarza dane osobowe w KaiLedger, w jakim celu, jak długo i jakie prawa Ci przysługują (art. 13 i 14 RODO).
- Wersja:
- 2026-10-16-draft
- Data:
1. Kto jest administratorem
Administratorem danych osobowych opisanych w punkcie 3 jest [Operator: nazwa spółki, adres siedziby, NIP, KRS] („Operator”, „my”). Kontakt w sprawach danych osobowych: [adres e-mail ds. prywatności], [adres korespondencyjny]. [Jeśli zostanie wyznaczony inspektor ochrony danych: dane kontaktowe IOD.]
Polityka dotyczy serwisu KaiLedger (strony publiczne i aplikacja) oraz kontaktu z nami.
2. Dwie role: administrator i podmiot przetwarzający
KaiLedger przetwarza dwa rodzaje danych osobowych:
- Dane, które przetwarzamy jako administrator — dane osób korzystających z serwisu (Użytkowników), danych kontaktowych i rozliczeniowych klientów oraz dane techniczne. Ich dotyczy ta Polityka.
- Dane, które klient wprowadza do aplikacji o swojej firmie — np. imiona i nazwiska pracowników, godziny pracy i wynagrodzenia, dane kontrahentów na fakturach i w wyciągach bankowych. Administratorem tych danych jest klient (pracodawca, nabywca), a my przetwarzamy je wyłącznie w jego imieniu na podstawie Umowy powierzenia (/legal/dpa, art. 28 RODO). W sprawie tych danych należy kontaktować się z klientem — przekażemy mu każde otrzymane żądanie.
3. Jakie dane, w jakim celu i na jakiej podstawie
| Dane | Cel | Podstawa prawna (RODO) |
|---|---|---|
| Adres e-mail, imię i nazwisko, rola Użytkownika, firma, do której ma dostęp | Założenie i prowadzenie konta, logowanie linkiem e-mail, zarządzanie dostępem | Art. 6 ust. 1 lit. b (umowa) — dla osoby zawierającej umowę; art. 6 ust. 1 lit. f (prawnie uzasadniony interes klienta i nasz: umożliwienie dostępu osobom wskazanym przez klienta) |
| Dane firmy klienta i osoby kontaktowej, dane do faktur, historia płatności (bez danych karty) | Rozliczenia, wystawianie faktur, windykacja | Art. 6 ust. 1 lit. b i c (obowiązki podatkowe i rachunkowe); art. 6 ust. 1 lit. f (dochodzenie roszczeń) |
| Wersje zaakceptowanych dokumentów (Regulamin, Polityka, Umowa powierzenia), data i Użytkownik | Wykazanie zawarcia umowy i treści zgód | Art. 6 ust. 1 lit. f (dowód zawarcia umowy) |
| Logi techniczne: adres IP, przeglądarka, czas i rodzaj operacji, dziennik zmian w aplikacji (audit log) | Bezpieczeństwo, wykrywanie nadużyć, diagnozowanie błędów, rozliczalność zmian | Art. 6 ust. 1 lit. f (bezpieczeństwo i ciągłość usługi) |
| Treść korespondencji ze wsparciem i reklamacji | Obsługa zapytań i reklamacji | Art. 6 ust. 1 lit. b i f |
| Pytania zadane asystentowi „Zapytaj” i odpowiedzi | Udzielenie odpowiedzi; diagnozowanie błędów asystenta | Art. 6 ust. 1 lit. b; dane klienta w pytaniach — na podstawie Umowy powierzenia |
| Adres e-mail osoby kontaktowej klienta | Informacje o zmianach usługi i dokumentów; [informacje handlowe o KaiLedger — jeśli Operator zdecyduje, z możliwością rezygnacji] | Art. 6 ust. 1 lit. f; przy komunikacji handlowej także przepisy ustawy – Prawo komunikacji elektronicznej |
Podanie danych jest dobrowolne, ale bez adresu e-mail nie można założyć konta ani się zalogować, a bez danych firmy nie można zawrzeć umowy.
4. Skąd mamy dane
Większość danych podajesz sam. Jeśli dostęp nadał Ci właściciel konta firmy (np. jako księgowej lub kierownikowi lokalu), Twój adres e-mail, imię i rolę otrzymaliśmy od niego. Dane techniczne powstają podczas korzystania z serwisu.
5. Komu przekazujemy dane
Dane powierzamy wyłącznie dostawcom, którzy pomagają nam świadczyć usługę, na podstawie umów powierzenia i tylko w niezbędnym zakresie:
| Podmiot | Cel | Lokalizacja danych | Podstawa transferu poza EOG |
|---|---|---|---|
| Supabase, Inc. (USA) — [podmiot umowny do potwierdzenia] | Baza danych, uwierzytelnianie, przechowywanie plików, kopie zapasowe | UE — [region, np. Frankfurt (eu-central-1)] | Dane przechowywane w UE; dostęp serwisowy z USA na podstawie standardowych klauzul umownych (SCC) / EU-US Data Privacy Framework |
| Vercel Inc. (USA) | Hosting aplikacji internetowej, przetwarzanie żądań | [region funkcji, np. UE — Frankfurt (fra1)]; sieć CDN globalna | SCC / EU-US Data Privacy Framework |
| Anthropic, PBC (USA) — [lub Anthropic Ireland, Ltd., do potwierdzenia] | Asystent „Zapytaj” (opcjonalny): pytanie Użytkownika i potrzebne do odpowiedzi dane liczbowe | USA | SCC / EU-US Data Privacy Framework; dane nie są używane do trenowania modeli zgodnie z warunkami komercyjnymi API |
| Stripe Payments Europe, Ltd. (Irlandia) | Obsługa płatności za abonament (karta, BLIK) | UE; możliwy transfer do Stripe, Inc. (USA) | SCC / EU-US Data Privacy Framework |
| [Resend, Inc. (USA) lub inny dostawca e-mail] | Wysyłka e-maili z linkiem do logowania i powiadomień | [USA / UE — do potwierdzenia] | SCC / EU-US Data Privacy Framework |
Dane mogą też otrzymać: nasza księgowość i doradcy (prawni, podatkowi) w zakresie niezbędnym do rozliczeń i obsługi prawnej, a także organy publiczne, gdy wymaga tego prawo. Nie sprzedajemy danych i nie udostępniamy ich w celach reklamowych.
6. Przekazywanie danych poza EOG
Baza danych aplikacji znajduje się w Unii Europejskiej. Niektórzy dostawcy (wskazani w tabeli powyżej) mają siedzibę w USA lub mogą uzyskiwać dostęp do danych z USA. W takim przypadku transfer odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework), jeżeli dostawca jest certyfikowany, lub standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń można otrzymać, pisząc na adres z punktu 1.
7. Jak długo przechowujemy dane
- Dane konta Użytkownika — przez czas, w którym Użytkownik ma dostęp do konta firmy; po odebraniu dostępu lub usunięciu konta — usuwamy je, z wyjątkiem wpisów w dzienniku zmian (punkt niżej).
- Dziennik zmian (audit log) i logi bezpieczeństwa — [do 12 miesięcy] lub do usunięcia konta firmy, jeśli nastąpi wcześniej; logi techniczne dostawców hostingu — zgodnie z ich okresami retencji [do 30 dni].
- Dane rozliczeniowe i faktury — 5 lat od końca roku, w którym upłynął termin płatności podatku (art. 86 Ordynacji podatkowej, art. 74 ustawy o rachunkowości).
- Dowody akceptacji dokumentów i korespondencja — do upływu terminu przedawnienia roszczeń (co do zasady 6 lat, dla roszczeń okresowych i związanych z działalnością gospodarczą 3 lata, art. 118 Kodeksu cywilnego).
- Dane klienta przetwarzane na podstawie Umowy powierzenia — do usunięcia na żądanie klienta po 30 dniach karencji lub zgodnie z Regulaminem po zakończeniu umowy; kopie zapasowe są nadpisywane w ciągu kolejnych [30] dni.
8. Twoje prawa
Masz prawo do: dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21). Aby skorzystać z praw, napisz na adres z punktu 1. Odpowiemy w ciągu miesiąca.
Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Jeżeli jesteś pracownikiem lub kontrahentem naszego klienta, a Twoje dane znalazły się w aplikacji (np. w ewidencji godzin), administratorem jest klient — z prawami zwróć się do niego. Jeśli napiszesz do nas, przekażemy żądanie klientowi.
9. Zautomatyzowane decyzje
Nie podejmujemy decyzji wywołujących wobec Ciebie skutki prawne ani w podobny sposób istotnie na Ciebie wpływających wyłącznie w sposób zautomatyzowany, w tym w drodze profilowania (art. 22 RODO). Alerty i odpowiedzi asystenta „Zapytaj” dotyczą wyników finansowych firmy i mają charakter informacyjny.
10. Bezpieczeństwo
Dane każdej firmy są odizolowane w bazie danych regułami Row Level Security; połączenia są szyfrowane (TLS), dane w spoczynku — szyfrowane przez dostawcę bazy; tokeny integracji (np. KSeF) przechowujemy w sejfie (Vault); logowanie odbywa się jednorazowym linkiem e-mail, bez haseł. Szczegóły: Załącznik 1 do Umowy powierzenia (/legal/dpa).
12. Zmiany Polityki
O istotnych zmianach Polityki poinformujemy w serwisie i e-mailem. Każda wersja ma oznaczenie wersji i datę widoczne na górze strony.