Polityka prywatności

1. Kto odpowiada za Twoje dane

Administratorem danych osób korzystających z Spedo (Użytkowników) jest [OPERATOR: nazwa, adres, NIP, e-mail] (Operator). W sprawach danych osobowych pisz na adres e-mail Operatora.

Dane, które Firmy wgrywają i tworzą w usłudze — listę przewoźników, wysłane zapytania i transporty — przetwarzamy w imieniu tych Firm, na podstawie umowy powierzenia (Załącznik nr 1 do Regulaminu). Ich administratorem jest Firma. Jeśli jesteś przewoźnikiem albo klientem Firmy i chcesz skorzystać ze swoich praw, napisz do tej Firmy; jeśli napiszesz do nas, przekażemy prośbę Firmie.

2. Jakie dane przetwarzamy, po co i jak długo

Konto

• Dane: adres e-mail, imię i nazwisko (jeśli je podasz), skrót hasła (samego hasła nie znamy), język, informacja o potwierdzeniu adresu, Firma i rola w niej, data założenia, wersja i data akceptacji Regulaminu.
• Cel i podstawa: założenie i prowadzenie konta, świadczenie usługi (art. 6 ust. 1 lit. b RODO); zapis akceptacji Regulaminu — wykazanie zawarcia umowy (art. 6 ust. 1 lit. f RODO).
• Okres: do usunięcia konta. Konto bez potwierdzonego adresu i bez Firmy usuwamy po upływie 30 dni od założenia.

Logowanie i jednorazowe linki

• Dane: skrót identyfikatora sesji (ważny 30 dni), linki potwierdzające adres (ważne 48 godzin), linki do zmiany hasła (1 godzina) i zaproszenia do Firmy (7 dni; zawierają adres e-mail osoby zaproszonej).
• Cel i podstawa: logowanie i bezpieczeństwo konta (art. 6 ust. 1 lit. b i f RODO).
• Okres: sesje usuwamy po wygaśnięciu, linki — 7 dni po wygaśnięciu.

Profil Firmy

• Dane: NIP, nazwa, adres, REGON, status VAT i identyfikator sprawdzenia w Białej Liście, termin płatności, telefon, e-mail do odpowiedzi, stopka wiadomości, opcjonalnie dane własnej skrzynki SMTP (hasło zaszyfrowane). Przy jednoosobowej działalności to dane osobowe przedsiębiorcy. Źródło: Użytkownik i Wykaz podatników VAT Ministerstwa Finansów.
• Cel i podstawa: świadczenie usługi Firmie (art. 6 ust. 1 lit. b RODO), weryfikacja, że Firma jest prawdziwa (art. 6 ust. 1 lit. f RODO).
• Okres: do usunięcia Firmy. Firmę niepotwierdzoną przez Operatora usuwamy po upływie 14 dni.

Zgłoszenia „to moja firma”

• Dane: adres e-mail, telefon i opis podane w zgłoszeniu.
• Cel i podstawa: sprawdzenie, kto reprezentuje Firmę (art. 6 ust. 1 lit. f RODO).
• Okres: do rozstrzygnięcia, potem przez 90 dni; zgłoszenia usuwamy też razem z kontem.

Bezpieczeństwo i limity

• Adres IP: używamy go tylko w pamięci serwera do limitów prób logowania, rejestracji, zmiany hasła i hasła dostępu (najdłużej przez godzinę); aplikacja nie zapisuje go na dysku.
• Dzienne liczniki użycia Firmy (analizy AI, wysłane wiadomości): przechowujemy przez 90 dni.
• Odpowiedzi Białej Listy dla sprawdzanych numerów NIP: używamy ich przez 24 godziny, usuwamy po upływie 7 dni.
• Podstawa: uzasadniony interes Operatora — ochrona usługi przed nadużyciami i przestrzeganie limitu zapytań Ministerstwa Finansów (art. 6 ust. 1 lit. f RODO).

Dzienniki (logi)

• Dziennik aplikacji: błędy i zdarzenia, np. usunięcie niepotwierdzonej Firmy (NIP i nazwa) albo nieudana wysyłka e-maila (może zawierać adres odbiorcy); ponieważ usługa nie wysyła teraz e-maili, trafiają tu też adres odbiorcy, temat i linki z wiadomości systemowych (potwierdzenia, zaproszenia, zmiana hasła). Dziennik ma stały rozmiar (3 × 10 MB): najstarsze wpisy są nadpisywane, a cały dziennik znika przy każdej aktualizacji aplikacji.
• Dziennik błędów serwera WWW: adres IP, adres strony i opis błędu — tylko gdy wystąpi błąd; przechowujemy go przez 30 dni. Nie prowadzimy dziennika odwiedzin.
• Podstawa: utrzymanie i bezpieczeństwo usługi (art. 6 ust. 1 lit. f RODO).

Wiadomości niewysyłane

• W wersji demonstracyjnej zapytania do przewoźników nie są wysyłane. Wiadomości systemowe (potwierdzenia, zaproszenia, zmiana hasła) też nie są wysyłane. Ich nadawcę, odbiorcę, temat i treść zapisujemy w bazie i usuwamy po upływie 30 dni.

Dane Firm (powierzone)

• Lista przewoźników, wysłane zapytania (usuwane po upływie 12 miesięcy) i transporty — przetwarzamy je w imieniu Firmy, na jej polecenie i przez czas trwania umowy powierzenia; szczegóły w Załączniku nr 1 do Regulaminu.
• Treść wklejona do pola zapytania przed wysyłką nie jest zapisywana na serwerze. Na czas zmiany języka strony przeglądarka przechowuje jej szkic w pamięci karty (zob. punkt 5).

3. Komu przekazujemy dane

Korzystamy z dalszych podmiotów przetwarzających:

• OVH SAS (OVHcloud), Francja — serwer, na którym działa usługa i jest przechowywana baza danych (centrum danych we Francji).
• Cloudflare, Inc., USA — pośredniczy w całym ruchu do usługi (szyfrowane połączenie, ochrona przed atakami). Widzi adres IP, przeglądarkę i przesyłane dane.

• Ministerstwo Finansów — przy sprawdzaniu Firmy wysyłamy numer NIP do API Wykazu podatników VAT.
• Zespół Firmy — osoby z tej samej Firmy widzą adresy e-mail i imiona pozostałych osób oraz to, kto wysłał zapytanie.
• Operator — przy rozpatrywaniu zgłoszeń i potwierdzaniu Firm widzi dane zgłoszenia i profilu Firmy.

4. Przekazywanie danych poza EOG

Cloudflare ma siedzibę w USA. Dane trafiają tam na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję. Kopię zabezpieczeń możesz otrzymać od Operatora.

5. Ciasteczka i pamięć przeglądarki

Używamy tylko ciasteczek i pamięci przeglądarki potrzebnych do działania usługi, więc nie prosimy o zgodę. Nie używamy narzędzi analitycznych, ciasteczek reklamowych ani śledzących.

Cloudflare może prosić przeglądarkę o anonimowe raporty o błędach połączenia (Network Error Logging).

6. Twoje prawa

• Dostęp i przenoszenie: „Pobierz moje dane” w Ustawieniach → Konto (plik JSON); Właściciel pobiera też dane Firmy („Pobierz dane firmy”, plik ZIP).
• Usunięcie: „Usuń konto” w Ustawieniach → Konto; Właściciel może usunąć Firmę.
• Sprostowanie: dane Firmy poprawia Właściciel w Ustawieniach; inne zmiany (np. adresu e-mail) — napisz do Operatora.
• Ograniczenie przetwarzania i sprzeciw wobec przetwarzania opartego na uzasadnionym interesie — napisz do Operatora.
• Skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem.

7. Czy musisz podać dane

Podanie adresu e-mail i hasła (albo zalogowanie przez dostawcę) jest warunkiem założenia konta. Podanie NIP jest warunkiem utworzenia profilu Firmy. Pozostałe dane są dobrowolne.

8. Zautomatyzowane decyzje

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują wobec Ciebie skutki prawne (art. 22 RODO). Ranking przewoźników są tylko podpowiedzią dla Użytkownika.

9. Bezpieczeństwo

Środki bezpieczeństwa opisuje § 5 Umowy powierzenia (Załącznik nr 1 do Regulaminu).

10. Zmiany polityki

Po zmianie Polityki prywatności zobaczysz przy wejściu do aplikacji prośbę o akceptację nowej wersji. Numer wersji i datę jej obowiązywania podajemy na górze tej strony.