Polityka prywatności

Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych oraz wykorzystywania plików cookies w serwisie i aplikacji tfgraport.pl. Zależy nam na tym, aby korzystanie z naszego serwisu było bezpieczne i transparentne.

§ 1. Administrator danych

Administratorem danych osobowych jest Recode Software Przemysław Szejna, ul. ks. Jerzego Popiełuszki 11/20, 94-052 Łódź, NIP 8883076795, REGON 385011293.

Kontakt z administratorem we wszystkich sprawach dotyczących przetwarzania danych osobowych jest możliwy pod adresem e-mail: kontakt@tfgraport.pl.

Serwis i aplikacja dostępne są pod adresem tfgraport.pl (w tym w subdomenach). W odniesieniu do danych osobowych zawartych w dokumentach wgrywanych przez Użytkownika do aplikacji administratorem pozostaje Użytkownik, a Recode Software przetwarza te dane jako podmiot przetwarzający (procesor) – szczegóły w § 5.

§ 2. Jakie dane zbieramy

W ramach serwisu i aplikacji możemy zbierać i przetwarzać następujące kategorie danych:

• Adres e-mail – podawany dobrowolnie podczas zapisu na listę oczekujących lub do newslettera.
• Dane konta – adres e-mail oraz dane uwierzytelniające (hasło przechowywane w postaci zahaszowanej, ewentualne klucze API), a także dane firmy Użytkownika.
• Dane rozliczeniowe – nazwa / firma, adres, NIP, adres e-mail oraz dane o zamówieniu i płatności niezbędne do realizacji subskrypcji lub pakietów oraz wystawienia faktury. Pełnych danych kart płatniczych nie przechowujemy – obsługuje je operator płatności (Stripe).
• Dane z wgranych dokumentów – dokumenty wczytywane do analizy (umowy, listy uczestników, faktury itp.) mogą zawierać dane osobowe (np. dane podróżnych). Przetwarzamy je w imieniu Użytkownika wyłącznie w celu realizacji Usługi.
• Dane techniczne – informacje niezbędne do działania i bezpieczeństwa serwisu (np. adres IP, typ przeglądarki, logi bezpieczeństwa).
• Dane analityczne – wyłącznie po wyrażeniu zgody na cookies analityczne: statystyka odwiedzin w Google Analytics (np. odwiedzane podstrony, źródło wejścia, typ urządzenia), z anonimizacją adresu IP.
• Dane marketingowe – wyłącznie po wyrażeniu zgody na cookies marketingowe: identyfikatory z plików cookies Meta (_fbp, _fbc), adres IP, informacje o przeglądarce, odwiedzane podstrony, parametry kampanii reklamowej w adresie strony (np. fbclid, utm_*), a przy założeniu konta także zahaszowane (SHA-256) adres e-mail, imię, nazwisko i identyfikator konta. Służą do pomiaru skuteczności reklam w serwisach Facebook i Instagram.

§ 3. Cele i podstawy prawne przetwarzania (RODO)

Dane osobowe przetwarzamy w następujących celach i na następujących podstawach prawnych:

• Wysyłka informacji o starcie produktu oraz newsletter – na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO).
• Założenie i obsługa konta, świadczenie Usługi oraz obsługa płatności – w celu zawarcia i wykonania umowy (art. 6 ust. 1 lit. b RODO).
• Wystawianie i przechowywanie faktur oraz prowadzenie dokumentacji księgowej i podatkowej – w celu wypełnienia obowiązków prawnych ciążących na administratorze (art. 6 ust. 1 lit. c RODO).
• Statystyka odwiedzin (Google Analytics) – na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO), wyrażonej w banerze cookies zgodnie z ustawą – Prawo komunikacji elektronicznej.
• Pomiar skuteczności reklam i kierowanie reklam w serwisach Meta (Facebook, Instagram) – na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO), wyrażonej w banerze cookies.
• Zapewnienie bezpieczeństwa serwisu oraz ustalenie, dochodzenie lub obrona roszczeń – na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO).
• Dane zawarte we wgranych dokumentach – przetwarzamy jako podmiot przetwarzający w imieniu Użytkownika (administratora), na podstawie powierzenia przetwarzania (art. 28 RODO); podstawę prawną przetwarzania tych danych zapewnia Użytkownik.

§ 4. Podmioty przetwarzające (procesorzy) i odbiorcy danych

W celu świadczenia usług korzystamy z zaufanych dostawców, którzy przetwarzają dane w naszym imieniu na podstawie odpowiednich umów:

• OVHcloud (grupa OVH) – hosting infrastruktury serwerowej (centrum danych we Frankfurcie, Niemcy) oraz przechowywanie wgranych plików w OVH Object Storage (centrum danych w Warszawie, Polska). Oba ośrodki znajdują się w Europejskim Obszarze Gospodarczym.
• Google Ireland Limited (Irlandia, UE) – usługa Google Workspace, przez którą wysyłamy wiadomości e-mail (weryfikacja konta, powiadomienia, newsletter). Listę adresów newslettera i listy oczekujących przechowujemy we własnej bazie danych na serwerach OVHcloud.
• Google Ireland Limited (Irlandia, UE) – statystyka odwiedzin (Google Analytics 4) z anonimizacją adresu IP, wyłącznie po wyrażeniu zgody na cookies analityczne. Dane mogą być przekazywane do Google LLC (USA).
• Meta Platforms Ireland Limited (Irlandia, UE) – pomiar skuteczności reklam w serwisach Facebook i Instagram (Meta Pixel w przeglądarce oraz Conversions API z naszego serwera), wyłącznie po wyrażeniu zgody na cookies marketingowe. W zakresie zbierania tych danych i przekazania ich do Meta jesteśmy współadministratorem razem z Meta (art. 26 RODO); za dalsze przetwarzanie odpowiada Meta zgodnie ze swoją polityką prywatności. Dane mogą być przekazywane do Meta Platforms, Inc. (USA).
• Stripe Payments Europe, Ltd. (Irlandia, UE) oraz podmioty powiązane – obsługa płatności elektronicznych. Dane mogą być przekazywane do Stripe, Inc. (USA) na podstawie standardowych klauzul umownych (SCC). Operator płatności samodzielnie przetwarza dane kart płatniczych zgodnie ze standardem PCI DSS.
• Fakturownia sp. z o.o. (Polska) – wystawianie i udostępnianie faktur VAT; faktury mogą być przekazywane do Krajowego Systemu e-Faktur (KSeF) w zakresie wymaganym przepisami prawa.

W przetwarzaniu danych zawartych w dokumentach wgrywanych do aplikacji biorą udział:

• Mistral AI (Francja, UE) – rozpoznawanie tekstu (OCR).
• OpenAI (Irlandia / USA, transfer na podstawie standardowych klauzul umownych – SCC) – strukturyzacja danych z wgranych dokumentów.

§ 5. Dane w aplikacji i bezpieczeństwo

Dokumenty wgrywane do analizy mogą zawierać dane osobowe. W związku z tym stosujemy następujące zabezpieczenia:

• hosting infrastruktury serwerowej w OVHcloud (centrum danych we Frankfurcie, Niemcy), a wgrane pliki z dokumentami przechowywane w OVH Object Storage w Warszawie (Polska),
• szyfrowanie danych algorytmem AES-256,
• umowa powierzenia przetwarzania danych z dostawcami,
• audyt dostępu do danych,
• brak trenowania modeli publicznych na plikach klienta.

W zakresie danych osobowych zawartych we wgranych dokumentach Użytkownik pozostaje administratorem, a Recode Software przetwarza je jako podmiot przetwarzający – wyłącznie w celu realizacji Usługi i zgodnie z udokumentowanymi poleceniami Użytkownika.

§ 6. Okres przechowywania danych

• Adres e-mail (newsletter / lista oczekujących) – do czasu wycofania zgody lub wniesienia sprzeciwu.
• Dane konta i dane rozliczeniowe – przez czas obowiązywania umowy, a po jej zakończeniu przez okres przedawnienia roszczeń.
• Pliki źródłowe oraz wyniki OCR – usuwane po 12 miesiącach; po tym czasie pozostają wyłącznie rekordy sprawozdawcze niezbędne do realizacji obowiązków wynikających z usługi.
• Faktury i dokumentacja księgowa – przez okres wymagany przepisami prawa podatkowego (co do zasady 5 lat licząc od końca roku, w którym powstał obowiązek podatkowy).
• Dane z cookies analitycznych i marketingowych – do czasu wycofania zgody albo wygaśnięcia pliku cookie (np. _fbp – 90 dni, _ga – do 2 lat). Twój wybór w banerze zapamiętujemy przez 12 miesięcy, potem zapytamy ponownie.

§ 7. Przekazywanie danych poza EOG

Co do zasady dane przetwarzane są na terenie Europejskiego Obszaru Gospodarczego (EOG). W przypadku niektórych dostawców (m.in. Stripe, OpenAI, Google, Meta) dane mogą być przekazywane do państw trzecich (w tym USA) – odbywa się to na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) w odniesieniu do podmiotów nim objętych albo na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (SCC) wraz z dodatkowymi zabezpieczeniami.

§ 8. Cookies i localStorage

Serwis (tfgraport.pl) i aplikacja (app.tfgraport.pl) wykorzystują pliki cookies oraz mechanizm localStorage. Dzielimy je na trzy kategorie:

• Niezbędne (zawsze aktywne) – logowanie i utrzymanie sesji w aplikacji, zapamiętanie języka, bezpieczeństwo oraz zapamiętanie Twojego wyboru w banerze cookies (plik tfg_consent, 12 miesięcy, wspólny dla serwisu i aplikacji).
• Analityczne (tylko za zgodą) – Google Analytics (_ga, _ga_*): statystyka odwiedzin, która pomaga nam ulepszać serwis.
• Marketingowe (tylko za zgodą) – Meta Pixel (_fbp, _fbc) oraz Conversions API: pomiar skuteczności naszych reklam w serwisach Facebook i Instagram, np. czy reklama doprowadziła do założenia konta.

Pliki analityczne i marketingowe zapisujemy dopiero po wyrażeniu zgody w banerze cookies. Zgodę możesz w każdej chwili zmienić lub wycofać przez link „Ustawienia cookies” w stopce serwisu oraz w aplikacji – po wycofaniu zgody usuwamy pliki cookies danej kategorii. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed jej wycofania. Pliki cookies możesz też usunąć lub zablokować w ustawieniach przeglądarki.

§ 9. Prawa użytkownika (RODO)

W związku z przetwarzaniem danych osobowych przysługują Ci następujące prawa:

• prawo dostępu do danych,
• prawo do sprostowania danych,
• prawo do usunięcia danych,
• prawo do ograniczenia przetwarzania,
• prawo do wniesienia sprzeciwu,
• prawo do przenoszenia danych,
• prawo do wycofania zgody w każdej chwili – bez wpływu na zgodność z prawem przetwarzania sprzed jej wycofania,
• prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

§ 10. Zmiany polityki

Zastrzegamy sobie prawo do zmiany niniejszej Polityki prywatności. O istotnych zmianach poinformujemy na stronie serwisu, a Użytkowników posiadających konto – drogą elektroniczną.

§ 11. Kontakt

We wszystkich sprawach dotyczących ochrony danych osobowych skontaktuj się z nami pod adresem: kontakt@tfgraport.pl.