Polityka prywatności

1Kto jest administratorem

Administratorem danych osobowych przetwarzanych w związku z prowadzeniem serwisu detalapp.pl i udostępnianiem aplikacji DETAL jest Damian Smoliński — osoba fizyczna prowadząca działalność nierejestrowaną, adres do korespondencji: ul. Pułtuska 64/37, 06-400 Ciechanów, kontakt: kontakt@detalapp.pl (dalej: „my”, „DETAL”). Administrator nie posiada numerów NIP i REGON, ponieważ nie prowadzi zarejestrowanej działalności gospodarczej.

Kontakt w sprawach dotyczących danych osobowych: kontakt@detalapp.pl, telefon kontakt wyłącznie mailowy, korespondencyjnie — na adres wskazany powyżej.

Inspektor ochrony danych: nie wyznaczono — nie zachodzi obowiązek z art. 37 RODO; we wszystkich sprawach dotyczących danych piszesz na adres kontaktowy. Jeżeli inspektor nie został powołany, wszystkie sprawy dotyczące danych osobowych obsługujemy pod adresem kontaktowym wskazanym wyżej.

Podstawa prawna dokumentu: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO) oraz ustawa z 10 maja 2018 r. o ochronie danych osobowych.

2Dwie role: administrator i podmiot przetwarzający

To najważniejsza część tego dokumentu i najczęściej pomijana w politykach aplikacji dla firm. W DETAL występują dwa różne strumienie danych osobowych, w których mamy różne role.

a) Dane Twojego konta i Twojej firmy — tu administratorem jesteśmy my

Kiedy zakładasz konto w DETALU, podajesz swój adres e-mail i hasło, a następnie dane studia. Wobec tych danych to my jesteśmy administratorem: decydujemy, po co i jak je przetwarzamy (utrzymanie konta, logowanie, kontakt, rozliczenie usługi). Do tego strumienia stosują się sekcje 4, 5, 9 i 12 niniejszej polityki.

b) Dane klientów studia i pracowników — tu administratorem jesteś Ty

Kiedy wpisujesz do DETALA imię i nazwisko klienta, jego telefon, e-mail lub notatkę, albo dane osoby z zespołu (imię, nazwisko, stanowisko, model współpracy, daty, telefon, koszt pracodawcy, statusy dokumentów) — administratorem tych danych jesteś Ty jako właściciel studia, bo to Ty decydujesz, czyje dane wpisujesz, po co i jak długo je trzymasz. My w tym zakresie działamy wyłącznie jako podmiot przetwarzający (procesor) w rozumieniu art. 28 RODO: dostarczamy narzędzie i przechowujemy dane na Twoje polecenie, nie wykorzystujemy ich do własnych celów, nie sprzedajemy ich, nie budujemy z nich żadnych własnych baz ani modeli.

3Jak DETAL działa technicznie

Opisujemy to szczegółowo, bo od architektury zależy, kto i gdzie faktycznie ma Twoje dane.

• Aplikacja działa w przeglądarce. DETAL to aplikacja jednostronicowa (HTML + JavaScript) uruchamiana lokalnie w Twojej przeglądarce. Nie mamy własnego serwera aplikacyjnego, przez który przechodziłyby Twoje dane — przeglądarka łączy się bezpośrednio z bazą danych po szyfrowanym połączeniu HTTPS.
• Backend: Supabase. Baza danych (PostgreSQL) oraz uwierzytelnianie użytkowników (rejestracja, logowanie, reset hasła, wysyłka wiadomości systemowych związanych z kontem) są obsługiwane przez platformę Supabase, działającą jako nasz podmiot przetwarzający. Region instancji bazy: Unia Europejska.
• Izolacja danych. Dostęp do rekordów jest ograniczony na poziomie bazy danych (mechanizm Row Level Security) do zalogowanego użytkownika i jego studia. Użytkownik jednego studia nie ma dostępu do danych innego studia.
• Hosting strony: Netlify. Pliki serwisu (strona informacyjna i pliki aplikacji) są udostępniane przez sieć CDN Netlify. Netlify przetwarza w tym celu techniczne dane połączenia (adres IP, typ przeglądarki, adres żądanego zasobu, data i godzina) w logach serwera.
• Biblioteka zewnętrzna. Aplikacja pobiera bibliotekę kliencką Supabase z publicznej sieci CDN (esm.sh). Pobranie pliku oznacza, że dostawca tej sieci widzi adres IP Twojego urządzenia i informacje o przeglądarce. Nie przekazujemy tam żadnych danych z Twojego studia.
• Brak analityki i reklam. Nie stosujemy narzędzi analitycznych typu Google Analytics, pikseli reklamowych, map ciepła ani nagrywania sesji. Nie profilujemy Cię do celów marketingowych i nie udostępniamy danych brokerom danych.
• Brak płatności. Na dzień publikacji tego dokumentu w aplikacji nie ma zaimplementowanych płatności online. Nie zbieramy i nie przechowujemy numerów kart płatniczych ani danych rachunków bankowych w celu pobrania opłaty.
• Import plików CSV. Jeżeli wczytujesz plik CSV z przychodami, jest on parsowany lokalnie w przeglądarce; do bazy trafiają wyłącznie odczytane z niego kwoty i daty, a nie sam plik. Nie prowadzimy repozytorium plików — aplikacja nie ma modułu przesyłania i przechowywania załączników.

4Jakie dane przetwarzamy

Nie zbieramy danych, o które aplikacja nie pyta. W szczególności DETAL nie prosi o numer PESEL, numer dowodu, dane rachunku bankowego ani dane o zdrowiu — jeżeli takie dane znajdą się w polach opisowych, trafiają tam wyłącznie z Twojej decyzji.

5Cele i podstawy prawne

6Dane wprowadzane przez Ciebie o innych osobach

W zakresie danych klientów i osób z zespołu, które wprowadzasz do DETALA, obowiązują następujące zasady powierzenia:

• Przetwarzamy wyłącznie na Twoje polecenie — poleceniem jest korzystanie z funkcji aplikacji. Nie analizujemy Twoich danych do własnych celów, nie wykorzystujemy ich do trenowania modeli i nie udostępniamy ich osobom trzecim poza podmiotami przetwarzającymi wymienionymi w sekcji 7.
• Poufność — osoby mające dostęp techniczny do infrastruktury są zobowiązane do zachowania poufności. Dostęp do danych produkcyjnych ma charakter wyjątkowy i następuje wyłącznie w celu usunięcia awarii lub obsługi Twojego zgłoszenia.
• Podprzetwarzający — korzystamy z dostawców wymienionych w sekcji 7. O zamiarze zmiany lub dodania podprzetwarzającego poinformujemy z wyprzedzeniem; możesz wtedy wnieść sprzeciw i rozwiązać umowę.
• Pomoc w realizacji praw — w miarę możliwości pomożemy Ci odpowiedzieć na żądania osób, których dane dotyczą, oraz spełnić obowiązki z art. 32–36 RODO.
• Po zakończeniu współpracy — na Twoje żądanie usuwamy powierzone dane albo je zwracamy w postaci eksportu, zgodnie z sekcjami 9 i 13.
• Twoje obowiązki — to Ty odpowiadasz za legalność wpisania danych do systemu, spełnienie obowiązku informacyjnego wobec klientów i pracowników oraz za to, żeby zakres wpisywanych danych był adekwatny do celu.

7Odbiorcy i powierzenie przetwarzania

Nie sprzedajemy danych i nie udostępniamy ich w celach marketingowych. Dane mogą być przetwarzane przez następujące podmioty, wyłącznie w zakresie niezbędnym do świadczenia usługi:

Z każdym podmiotem przetwarzającym zawierana jest umowa powierzenia przetwarzania danych — powierzenie odbywa się na podstawie Data Processing Addendum wbudowanego w regulamin Supabase. Aktualną listę podprzetwarzających udostępniamy na żądanie pod adresem kontaktowym.

8Przekazywanie danych poza EOG

Dążymy do tego, aby dane były przechowywane na terenie Europejskiego Obszaru Gospodarczego. Region instancji bazy danych to Unia Europejska — jest to informacja do potwierdzenia w konfiguracji projektu przed publikacją dokumentu i nie należy jej podawać „na oko”.

Dostawcy hostingu i sieci CDN działają w modelu globalnym, co oznacza, że techniczne dane połączenia (np. adres IP) mogą być przetwarzane także poza EOG, w tym w Stanach Zjednoczonych. W takim przypadku transfer odbywa się na podstawie mechanizmu: standardowe klauzule umowne Komisji Europejskiej (SCC) stosowane przez dostawców infrastruktury. Kopię lub informację o zastosowanych zabezpieczeniach udostępniamy na żądanie.

9Jak długo przechowujemy dane

• Dane konta i dane wprowadzone w aplikacji — przez czas posiadania konta. Po rezygnacji z usługi i zgłoszeniu żądania usunięcia konta dane są usuwane w terminie 30 dni.
• Konta założone na okres próbny i nieprzedłużone — usuwane po 24 miesiące bezczynności, po wcześniejszym powiadomieniu na adres e-mail przypisany do konta.
• Kopie zapasowe — dane usunięte z bazy produkcyjnej mogą pozostawać w kopiach zapasowych przez 7 dni, po czym są nadpisywane. W tym okresie kopie nie są wykorzystywane do żadnych bieżących operacji.
• Logi techniczne — przez okres retencji stosowany przez dostawców infrastruktury, zwykle liczony w dniach lub tygodniach; nie wykorzystujemy ich do analizy zachowań użytkowników.
• Korespondencja — przez czas potrzebny do obsługi sprawy, a następnie przez okres przedawnienia ewentualnych roszczeń.
• Dokumenty księgowe (po uruchomieniu płatności) — przez 5 lat licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy.

W zakresie danych powierzonych (klienci, pracownicy) to Ty decydujesz o okresie przechowywania — usuwając lub archiwizując rekordy w aplikacji. Zwróć uwagę, że część operacji w DETALU to miękkie usunięcie: rekord jest oznaczany jako zarchiwizowany i znika z widoków, ale pozostaje w bazie, żeby nie rozspójnić historii finansowej. Trwałe usunięcie rekordów wymaga zgłoszenia na adres kontaktowy.

10Cookies i pamięć przeglądarki

DETAL nie stosuje plików cookies do celów analitycznych ani marketingowych. Nie wyświetlamy banera zgody na cookies, ponieważ nie używamy technologii wymagających takiej zgody. Korzystamy natomiast z pamięci lokalnej przeglądarki (localStorage) w zakresie niezbędnym do działania aplikacji:

Wszystkie te dane pozostają wyłącznie na Twoim urządzeniu — nie są wysyłane na nasze serwery ani nikomu udostępniane. Możesz je w każdej chwili usunąć, czyszcząc dane witryny w ustawieniach przeglądarki; skutkiem będzie wylogowanie i przywrócenie ustawień domyślnych.

Serwer hostingu może stosować techniczne pliki cookie niezbędne do prawidłowego dostarczania treści i ochrony przed nadużyciami. Nie służą one identyfikacji Twojej osoby w celach marketingowych.

11Brak profilowania i decyzji automatycznych

Nie profilujemy Cię i nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na Twoją sytuację, w rozumieniu art. 22 RODO.

Dla jasności: DETAL wykonuje obliczenia na danych, które sam wprowadzasz — liczy wynik miesiąca, marżę usług, koszt zespołu, bezpieczną wypłatę i wyświetla wynikające z tych liczb podpowiedzi oraz zalecenia. Są to wyliczenia dotyczące Twojej firmy, prezentowane Tobie, a nie ocena ani klasyfikacja osób fizycznych. Żadna z tych podpowiedzi nie jest automatycznie wykonywana — każdą decyzję podejmujesz Ty. DETAL nie ocenia zdolności kredytowej, nie tworzy scoringu klientów ani pracowników i nie przekazuje wyników żadnym podmiotom trzecim.

DETAL nie jest biurem rachunkowym ani doradcą podatkowym, a wyniki obliczeń nie stanowią porady księgowej, prawnej ani podatkowej.

12Twoje prawa

W zakresie danych, których jesteśmy administratorem, przysługuje Ci prawo do:

• Dostępu do danych (art. 15 RODO) — uzyskania informacji, jakie dane przetwarzamy, i otrzymania ich kopii.
• Sprostowania (art. 16) — poprawienia danych nieprawidłowych i uzupełnienia niekompletnych. Większość danych możesz poprawić samodzielnie w aplikacji.
• Usunięcia danych (art. 17) — „prawo do bycia zapomnianym”, o ile nie stoi temu na przeszkodzie obowiązek prawny lub konieczność obrony roszczeń.
• Ograniczenia przetwarzania (art. 18) — na przykład na czas weryfikacji poprawności danych.
• Przenoszenia danych (art. 20) — otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.
• Sprzeciwu (art. 21) — wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją.
• Cofnięcia zgody w dowolnym momencie, tam gdzie przetwarzanie odbywa się na podstawie zgody; cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia.
• Wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uznasz, że przetwarzanie narusza RODO.

Jeżeli jesteś klientem lub pracownikiem studia korzystającego z DETALA, powyższe prawa realizujesz wobec właściciela studia, który jest administratorem Twoich danych. Zgłoszenie skierowane do nas przekażemy właścicielowi studia i poinformujemy Cię o tym.

13Jak zrealizować prawa w praktyce

Co możesz zrobić samodzielnie już teraz:

• Poprawić i uzupełnić dane konta, studia, klientów, pracowników i wszystkie dane finansowe — bezpośrednio w aplikacji.
• Zarchiwizować klienta, pakiet lub inny rekord (miękkie usunięcie — rekord znika z widoków, zostaje w bazie ze względu na spójność historii finansowej).
• Usunąć dane zapisane lokalnie w przeglądarce — czyszcząc dane witryny w ustawieniach przeglądarki.
• Zmienić hasło i zresetować je z poziomu ekranu logowania.

Procedura zgłoszenia (eksport danych, trwałe usunięcie, pozostałe prawa):

1. Wyślij wiadomość na adres kontakt@detalapp.pl z adresu e-mail przypisanego do konta — to podstawowy sposób potwierdzenia tożsamości.
2. W temacie wpisz rodzaj żądania, na przykład „RODO — eksport danych” albo „RODO — usunięcie konta”. W treści wskaż nazwę studia i zakres żądania (całe konto czy konkretne rekordy).
3. Potwierdzamy przyjęcie zgłoszenia. Jeżeli mamy uzasadnione wątpliwości co do tożsamości, możemy poprosić o dodatkowe informacje pozwalające na weryfikację — nie prosimy o skany dokumentów tożsamości.
4. Realizujemy żądanie bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania. W skomplikowanych przypadkach termin może zostać przedłużony o kolejne dwa miesiące — wtedy poinformujemy Cię o tym wraz z uzasadnieniem w ciągu pierwszego miesiąca.
5. Eksport przekazujemy w formacie nadającym się do odczytu maszynowego (CSV lub JSON), na adres e-mail przypisany do konta.
6. Usunięcie konta jest nieodwracalne i obejmuje dane studia wraz z historią finansową. Przed usunięciem zalecamy pobranie eksportu. Pamiętaj, że część danych możesz mieć obowiązek zachować na potrzeby księgowe — kopia po Twojej stronie jest wtedy Twoją odpowiedzialnością.

Realizacja praw jest bezpłatna. W przypadku żądań ewidentnie nieuzasadnionych lub nadmiernych, w szczególności ze względu na ich ustawiczny charakter, możemy pobrać rozsądną opłatę albo odmówić podjęcia działań — zgodnie z art. 12 ust. 5 RODO.

14Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

• Szyfrowanie transmisji — całość komunikacji między przeglądarką a bazą danych odbywa się po HTTPS/TLS.
• Hasła w postaci skrótu — hasła są przechowywane wyłącznie jako skróty kryptograficzne po stronie mechanizmu uwierzytelniania. Nie mamy dostępu do haseł w postaci jawnej i nigdy nie poprosimy Cię o podanie hasła w wiadomości e-mail ani telefonicznie.
• Izolacja danych między studiami — reguły dostępu na poziomie bazy danych (Row Level Security) ograniczają widoczność rekordów do zalogowanego użytkownika i jego studia.
• Szyfrowanie danych w spoczynku i kopie zapasowe — realizowane przez dostawcę bazy danych.
• Ograniczony dostęp administracyjny — dostęp do infrastruktury ma minimalna liczba osób, wyłącznie w celach utrzymaniowych i serwisowych.
• Minimalizacja — nie zbieramy danych, których nie potrzebujemy, i nie kopiujemy Twoich danych do narzędzi zewnętrznych.

Żaden system nie jest w stu procentach odporny na incydenty. Po Twojej stronie leży używanie mocnego, unikalnego hasła, nieudostępnianie go innym osobom oraz zabezpieczenie urządzenia, na którym korzystasz z DETALA. Jeżeli podejrzewasz, że ktoś uzyskał dostęp do Twojego konta, zmień hasło i skontaktuj się z nami.

15Naruszenia ochrony danych

W przypadku naruszenia ochrony danych osobowych, wobec których jesteśmy administratorem, zgłaszamy je Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli naruszenie może powodować wysokie ryzyko, zawiadamiamy również osoby, których dane dotyczą.

W przypadku naruszenia dotyczącego danych powierzonych przez Ciebie (dane klientów i pracowników Twojego studia) — zawiadamiamy bez zbędnej zwłoki Ciebie jako administratora tych danych, przekazując informacje potrzebne do dokonania własnego zgłoszenia do organu nadzorczego, i pomagamy w wypełnieniu tych obowiązków.

16Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do korzystania z DETALA. Bez adresu e-mail i hasła nie utworzysz konta i nie zalogujesz się. Bez wprowadzenia danych finansowych aplikacja nie wykona obliczeń — sama z siebie nie pobiera żadnych danych z innych systemów. Zakres danych klientów i pracowników, które wpisujesz, zależy wyłącznie od Twojej decyzji; aplikacja działa również, jeśli ograniczysz się do samych imion.

17Zmiany polityki

Możemy aktualizować tę politykę, gdy zmieni się sposób działania aplikacji, zakres przetwarzanych danych, lista dostawców albo przepisy prawa. Aktualna wersja jest zawsze dostępna pod tym adresem, wraz z datą wejścia w życie i numerem wersji podanymi na górze dokumentu. O istotnych zmianach — w szczególności o dodaniu nowego podmiotu przetwarzającego lub nowego celu przetwarzania — poinformujemy z wyprzedzeniem na adres e-mail przypisany do konta lub komunikatem w aplikacji.