Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest IVM FIRMA HANDLOWA SP. Z O.O., al. Tadeusza Kościuszki 101, 90-441 Łódź, Polska, NIP: 7272865829, KRS: 0001012820. Kontakt: kontakt@intrafakt.pl, tel. +48 888 976 159.

2. Jakie dane zbieramy

W ramach świadczenia usługi intrafakt.pl zbieramy następujące kategorie danych:

• Dane rejestracyjne konta: adres e-mail, hasło (przechowywane w formie zaszyfrowanej), nazwa firmy, NIP, REGON, adres siedziby.
• Dane z formularza kontaktowego: nazwa firmy, NIP, adres e-mail, imię i nazwisko, treść wiadomości.
• Dane faktur i dokumentów handlowych: treść faktur, dane kontrahentów, kody CN, wartości transakcji — importowane z podłączonych systemów (BaseLinker, Comarch Optima, Subiekt GT, enova365) lub przesyłane ręcznie (CSV/Excel).
• Dane uwierzytelniające do systemów zewnętrznych: tokeny API, loginy i hasła do integracji (np. BaseLinker, PUESC) — przechowywane w formie zaszyfrowanej (AES-256).
• Dane deklaracji Intrastat: wygenerowane deklaracje, numery referencyjne, statusy złożenia w PUESC.
• Dane płatności: identyfikator transakcji Autopay, historia płatności. Nie przechowujemy danych karty płatniczej.
• Dane techniczne: adres IP, typ przeglądarki, znaczniki czasu, logi aktywności w panelu.

3. Cel i podstawa przetwarzania

• Art. 6 ust. 1 lit. b RODO — wykonanie umowy: świadczenie usługi intrafakt.pl, w tym generowanie i składanie deklaracji Intrastat, zarządzanie kontem użytkownika, obsługa subskrypcji i płatności.
• Art. 6 ust. 1 lit. c RODO — obowiązek prawny: przechowywanie dokumentacji księgowej i podatkowej zgodnie z przepisami polskiego prawa.
• Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora: analityka, bezpieczeństwo usługi, obsługa zgłoszeń, marketing bezpośredni usług własnych.
• Art. 6 ust. 1 lit. a RODO — zgoda: analityczne i marketingowe pliki cookies (Google Analytics 4, pomiar konwersji Google Ads), stosowane wyłącznie po wyrażeniu zgody w banerze cookies; zgodę można wycofać w każdej chwili.

4. Odbiorcy danych

Dane mogą być przekazywane podmiotom przetwarzającym na zlecenie administratora:

• Vercel Inc. (hosting aplikacji) — USA, Standard Contractual Clauses
• Supabase Inc. (baza danych, uwierzytelnianie) — USA, Standard Contractual Clauses
• Resend Inc. (dostarczanie wiadomości e-mail) — USA, Standard Contractual Clauses
• Autopay S.A., ul. Powstańców Warszawy 6, 81-718 Sopot (obsługa płatności) — Polska/UE
• Platforma Usług Elektronicznych Służby Celnej (PUESC) — Polska, w zakresie niezbędnym do złożenia deklaracji Intrastat w imieniu użytkownika na podstawie udzielonego pełnomocnictwa
• Google Ireland Ltd. (Google Analytics 4, Google Ads — pomiar konwersji) — UE/USA, Data Privacy Framework / Standard Contractual Clauses; wyłącznie za zgodą użytkownika wyrażoną w banerze cookies

5. Okres przechowywania

• Dane konta: przez czas trwania umowy i 30 dni po usunięciu konta.
• Dane faktur i deklaracji: przez 5 lat od końca roku kalendarzowego, w którym złożono deklarację (wymóg Ordynacji podatkowej).
• Dane uwierzytelniające do integracji: do momentu usunięcia integracji przez użytkownika.
• Dane z formularza kontaktowego: do czasu żądania usunięcia lub 3 lata od ostatniego kontaktu.
• Logi serwera: 14 dni.
• Dane płatności Autopay: zgodnie z polityką retencji Autopay i wymogami księgowymi (5 lat).

6. Prawa osoby, której dane dotyczą

Przysługuje Państwu prawo do:

• dostępu do danych (art. 15 RODO),
• sprostowania danych (art. 16 RODO),
• usunięcia danych (art. 17 RODO),
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych (art. 20 RODO),
• sprzeciwu wobec przetwarzania (art. 21 RODO).

W celu realizacji powyższych praw prosimy o kontakt: kontakt@intrafakt.pl.

7. Prawo do skargi

Przysługuje Państwu prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.

8. Bezpieczeństwo danych

Dane uwierzytelniające do systemów zewnętrznych (tokeny API, hasła do integracji, dane dostępowe PUESC) są szyfrowane algorytmem AES-256 w spoczynku. Komunikacja z aplikacją odbywa się wyłącznie przez szyfrowane połączenie HTTPS. Dostęp do danych jest ograniczony na poziomie bazy danych (Row Level Security).

9. Pliki cookies

Strona wykorzystuje trzy kategorie plików cookies. Po pierwsze, funkcjonalne pliki cookies niezbędne do działania aplikacji (sesja użytkownika, preferencje językowe, zapamiętanie decyzji dotyczącej zgody) — stosowane zawsze, nie wymagają zgody. Do tej samej, własnej (first-party) kategorii należy jeden wpis w pamięci lokalnej przeglądarki (localStorage) o nazwie "intrafakt_attr", przechowywany przez 90 dni: zawiera on wyłącznie informację o tym, skąd nastąpiło wejście na naszą stronę — parametry kampanii z adresu URL (utm_*), domenę strony odsyłającej oraz adres podstrony wejścia — nie zawiera żadnego identyfikatora użytkownika i nie jest dostępny dla innych witryn. Dane te są przesyłane na nasz serwer wyłącznie w momencie dobrowolnego wysłania formularza kontaktowego lub rejestracyjnego i służą nam do ustalenia, które treści są przydatne; wpis można w każdej chwili usunąć, czyszcząc dane strony w przeglądarce. Po drugie, Vercel Analytics — pomiar wydajności bez plików cookies i bez śledzenia użytkowników. Po trzecie, analityczne i marketingowe pliki cookies, które możemy stosować wyłącznie za zgodą użytkownika wyrażoną w banerze cookies: Google Analytics 4 (pliki _ga oraz _ga_*, przechowywane około 13 miesięcy) oraz pomiar konwersji Google Ads (pliki _gcl_*). Bez wyrażenia zgody te pliki nie są zapisywane, a narzędzia Google nie są w ogóle ładowane. Zgodę można w każdej chwili wycofać, usuwając zapisany wybór (dane witryny / localStorage w ustawieniach przeglądarki) — baner zgody pojawi się wtedy ponownie i pliki nie będą stosowane do czasu ponownej zgody.

10. Dobrowolność podania danych i kontakt

Podanie danych jest dobrowolne, jednak niezbędne do zawarcia i wykonania umowy: bez danych firmy (nazwa, NIP, adres) i adresu e-mail nie jest możliwe założenie konta ani złożenie deklaracji Intrastat w imieniu Organizacji. Podanie danych wymaganych przepisami podatkowymi i celnymi jest obowiązkiem ustawowym. Administrator nie wyznaczył inspektora ochrony danych; we wszystkich sprawach dotyczących danych osobowych prosimy o kontakt na kontakt@intrafakt.pl. Dane nie są wykorzystywane do zautomatyzowanego podejmowania decyzji wywołujących skutki prawne. Wyłącznie za zgodą użytkownika stosujemy pomiar skuteczności reklam (Google Analytics 4, Google Ads), który może obejmować proste profilowanie na potrzeby pomiaru — nie wywołuje ono skutków prawnych ani nie wpływa w podobny istotny sposób na sytuację użytkownika.

11. Zmiany polityki prywatności

Administrator zastrzega sobie prawo do aktualizacji niniejszej polityki prywatności. O istotnych zmianach użytkownicy z kontem zostaną poinformowani drogą e-mailową. Zmiany wchodzą w życie z chwilą publikacji na stronie.