Polityka prywatności Soblogic Start

1. Kto odpowiada za dane

Administratorem danych związanych z kontem, kontaktem, bezpieczeństwem i utrzymaniem usługi jest Arkadiusz Sobczak, działający pod marką Soblogic. Soblogic jest nazwą handlową, a nie odrębną osobą prawną. Kontakt: kontakt@soblogic.pl, telefon +48 515 130 680.

Ten dokument dotyczy start.soblogic.pl. Główna strona soblogic.pl ma odrębną politykę prywatności. Wersja Windows przechowuje ewidencję na komputerze użytkownika; jej zainstalowanie nie przesyła automatycznie danych do Soblogic. Instalacja na serwerze innego operatora wymaga jego własnych informacji o przetwarzaniu danych.

Kontakt w sprawie danych osobowych

2. Dane konta i dane Twoich klientów — różne role

Dla danych konta i obsługi usługi Soblogic sam określa cele przetwarzania. Jeżeli organizacja dodaje konto swojemu współpracownikowi, dane logowania, adres e-mail i uprawnienia otrzymujemy od administratora tej organizacji. Pozostałe dane otrzymujemy od użytkownika albo podczas korzystania z aplikacji.

O celach wykorzystania danych klientów, kontrahentów i osób wskazanych w ewidencjach oraz dokumentach decyduje użytkownik lub jego organizacja. W tym zakresie Soblogic przetwarza dane na ich zlecenie. Polityka prywatności nie zastępuje umowy z art. 28 RODO. W aplikacji jest dostępna procedura elektronicznego zawarcia umowy oraz pobrania jej treści, wykazu podprocesorów i potwierdzenia wersji oraz daty. Do czasu uzupełnienia i publikacji wykazu umowa pozostaje projektem, którego nie można zaakceptować. Projekt nie stanowi podstawy powierzenia danych; warunki powierzenia wymagają zakończenia przed przekazaniem danych innych osób.

Jeżeli Twoje dane zostały wpisane do dokumentów przez użytkownika aplikacji, w sprawie treści dokumentu i realizacji praw zwróć się przede wszystkim do tego użytkownika. Zgłoszenie otrzymane przez Soblogic przekażemy właściwemu administratorowi, o ile będzie można go ustalić.

Umowa powierzenia i stan publikacji

Wykaz podprocesorów

3. Jakie dane przetwarzamy i dlaczego

Podanie danych konta jest dobrowolne, ale bez loginu, hasła i adresu e-mail nie można utworzyć własnego konta WEB. Uwierzytelnianie dwustopniowe (2FA) jest zalecane i dobrowolne. Możesz je włączyć lub wyłączyć w ustawieniach po potwierdzeniu swojej tożsamości. Dodatkowe pola uzupełniasz w zakresie potrzebnym do wybranych funkcji. Nie wpisuj do notatek ani załączników zbędnych danych, w szczególności danych o zdrowiu, innych danych szczególnych kategorii oraz informacji o wyrokach skazujących.

• Utworzenie i obsługa konta: login, adres e-mail, identyfikator konta i organizacji, uprawnienia, zabezpieczenia logowania oraz data i wersja zaakceptowanego regulaminu. Podstawa: wykonanie umowy lub działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO). W przypadku kont przedstawicieli organizacji — uzasadniony interes polegający na obsłudze tej organizacji i zarządzaniu dostępem (art. 6 ust. 1 lit. f).
• Ewidencje i dokumenty: dane działalności, klientów i kontrahentów, adresy, NIP, e-mail, opcjonalny telefon, pozycje sprzedaży i kosztów, płatności, rachunki, załączniki, korespondencja i historia operacji — w zakresie wprowadzonym przez użytkownika. Przetwarzamy je w celu wykonania zleconych funkcji aplikacji; za podstawę prawną zebrania danych klientów odpowiada ich administrator.
• Bezpieczeństwo: informacje o logowaniu, sesjach, próbach dostępu, operacjach administracyjnych i zdarzeniach technicznych. Adres IP jest używany do ograniczania nadużyć; identyfikatory limitów prób w bazie są skrótami kryptograficznymi. Podstawa: uzasadniony interes ochrony kont i danych (art. 6 ust. 1 lit. f).
• Kontakt, reklamacje i żądania dotyczące danych: dane kontaktowe oraz treść zgłoszenia. Podstawa: wykonanie umowy, właściwe obowiązki prawne, a dla pozostałej korespondencji — uzasadniony interes udzielenia odpowiedzi (odpowiednio art. 6 ust. 1 lit. b, c lub f).
• Wewnętrzne statystyki: identyfikator użytkownika, dzień, nazwa obszaru aplikacji, liczba żądań i zapisów oraz czas ostatniej aktywności. Pozwalają oceniać wykorzystanie i niezawodność funkcji. Podstawa: uzasadniony interes utrzymania i poprawy usługi (art. 6 ust. 1 lit. f).
• W razie konkretnego sporu — dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń, na podstawie art. 6 ust. 1 lit. f. Obowiązek prawny wskazujemy wtedy, gdy rzeczywiście wynika z przepisu; bezpłatne konto nie powoduje samo w sobie obowiązku podatkowego archiwizowania całej ewidencji przez Soblogic.

4. Statystyki, marketing i decyzje automatyczne

Statystyki są tworzone wewnątrz systemu. Nie są anonimowe na etapie zapisu, ponieważ zawierają identyfikator konta. Panel właściciela pokazuje liczby użytkowników, aktywność i wykorzystanie obszarów aplikacji; statystyki nie zawierają treści faktur, kwot sprzedaży ani załączników.

Aplikacja nie korzysta z reklamowych trackerów, Google Analytics ani nagrywania sesji użytkownika. Nie śledzi aktywności na innych stronach. Rejestracja nie zapisuje do newslettera i nie stanowi zgody marketingowej. Zgody klientów zapisane przez użytkownika dotyczą jego własnej komunikacji, a nie marketingu Soblogic.

Nie podejmujemy wobec użytkowników decyzji wyłącznie automatycznych, które wywołują skutki prawne lub podobnie istotnie na nich wpływają. OCR, wyliczenia i AI są pomocą wymagającą sprawdzenia.

5. Gdzie znajdują się dane i kto może je otrzymać

Baza danych i pliki aplikacji WEB znajdują się na serwerze w Polsce. Z infrastruktury może korzystać dostawca usług VPS i centrum danych, w zakresie niezbędnym do hostingu i utrzymania infrastruktury.

Pocztę systemową dotyczącą rejestracji, odzyskiwania dostępu i bezpieczeństwa kont obsługuje Resend (Plus Five Five, Inc.). Usługa otrzymuje adres odbiorcy, treść wiadomości, w tym jednorazowy link lub kod, oraz dane techniczne wysyłki. Wiadomości otrzymuje również dostawca skrzynki odbiorcy. Nadawcą pozostaje Soblogic <noreply@soblogic.pl>. W sprawach zgłoszeń używaj kontakt@soblogic.pl.

Dostęp mogą mieć upoważnione osoby utrzymujące usługę, wyłącznie w związku z obsługą, bezpieczeństwem lub zgłoszeniem. Dane udostępniamy też podmiotom uprawnionym na podstawie prawa, gdy istnieje obowiązek ich przekazania.

Włączenie własnego SMTP powoduje przekazanie wybranych wiadomości i dokumentów dostawcy poczty wskazanemu przez użytkownika i adresatom wiadomości. Wysyłka do KSeF lub JPK przekazuje wybrany dokument systemom Ministerstwa Finansów. Zapytania o kurs waluty do NBP obejmują walutę i datę; nie wymagają przekazywania dokumentów klienta.

Według dokumentacji Resend dane usługi są przechowywane w Stanach Zjednoczonych; wybranie europejskiego regionu wysyłki nie zmienia miejsca ich przechowywania. Standardowe warunki powierzenia Resend (DPA) zawierają standardowe klauzule umowne Komisji Europejskiej dotyczące transferów danych. Możesz zwrócić się na kontakt@soblogic.pl o informacje o zastosowanych zabezpieczeniach transferu. Ta integracja poczty systemowej nie przekazuje do Resend ewidencji ani dokumentów klientów zapisanych w aplikacji.

Resend — warunki powierzenia danych (DPA)

Resend — bezpieczeństwo i lokalizacja danych

6. OCR i opcjonalne AI

Odczyt OCR jest wykonywany w instalacji aplikacji: w wersji WEB na serwerze, a w wersji Windows na komputerze użytkownika. Sam odczyt OCR nie wysyła dokumentu do chmurowego modelu AI.

Chmurowe AI jest osobną, opcjonalną funkcją. Przed wysłaniem aplikacja pokazuje zakres zapytania, który użytkownik zatwierdza. Przy wyborze dostawcy OpenAI zapytanie trafia do jego API z użyciem skonfigurowanego klucza. Nie oznacza to przesyłania całej bazy danych.

Dostawca AI lub poczty wybrany przez użytkownika może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Przed włączeniem takiej integracji administrator danych powinien sprawdzić umowę z dostawcą, lokalizację przetwarzania i właściwy mechanizm z rozdziału V RODO, np. decyzję o odpowiednim stopniu ochrony lub standardowe klauzule umowne. Samo kliknięcie zgody na wysłanie zapytania nie zastępuje tych wymagań. Szczegóły zależą od wybranej usługi i jej konfiguracji; nie deklarujemy, że wszystkie opcjonalne integracje przechowują dane wyłącznie w Polsce.

Informacje OpenAI o danych w API

7. Jak długo przechowujemy dane

• Dane konta, ewidencja, dokumenty i historia operacji — przez czas korzystania z usługi. W ustawieniach konta możesz zlecić ich usunięcie po ponownym uwierzytelnieniu. Dostęp i sesje są odbierane od razu; dane z aktywnej bazy są usuwane w tej operacji, a w razie przerwania technicznego proces jest ponawiany co minutę oraz przy starcie usługi. Wylogowanie ani wyłączenie loginu nie jest usunięciem. Gdy w organizacji pozostają inni użytkownicy, usuwane są dane konta, a wspólna ewidencja pozostaje; dokładny zakres pokazujemy przed zatwierdzeniem. Usunięcie ostatniego konta usuwa również całą organizację, jej dokumenty, załączniki i sekrety integracji.
• Niedokończona rejestracja — link jest ważny 30 minut; wygasły rekord jest usuwany podczas najbliższego cyklu porządkowania. Nowa prośba zastępuje poprzedni link.
• Sesja demo — maksymalnie 60 minut. Dane są usuwane po jej zakończeniu albo podczas porządkowania wygasłych sesji. Nie wpisuj do demo rzeczywistych danych klientów.
• Przejściowe pliki i propozycje odczytu OCR — do 24 godzin, następnie do najbliższego czyszczenia zadań. Dokument zapisany jako załącznik wydatku pozostaje w ewidencji i nie jest usuwany razem z propozycją OCR.
• Szczegółowe statystyki użycia w panelu właściciela — bieżący dzień i 89 poprzednich dni; dziennik operacji właściciela — 365 dni. Czyszczenie jest wykonywane przy obsłudze systemu; nieaktywny, wyłączony serwer nie wykonuje tych operacji.
• Techniczne dzienniki kontenerów — rotowane po osiągnięciu 10 MB, maksymalnie trzy pliki na usługę. Standardowy dziennik każdego żądania HTTP jest wyłączony. Dane dotyczące konkretnego incydentu mogą zostać zabezpieczone na czas jego wyjaśnienia.
• Zapis akceptacji regulaminu i korespondencja dotycząca umowy — przez okres umowy, a w niezbędnym zakresie do upływu właściwego terminu przedawnienia roszczeń (co do zasady 3 lata dla roszczeń związanych z działalnością gospodarczą lub 6 lat w pozostałych przypadkach; bieg terminu może ulec zmianie na podstawie prawa). Nie uzasadnia to zatrzymywania całej dokumentacji finansowej klienta.
• Kopie serwerowe i migracyjne pod kontrolą Soblogic — zaszyfrowane, tworzone codziennie i przechowywane maksymalnie 30 dni od utworzenia. Harmonogram sprawdza wygasłe pliki co minutę i usuwa je. Po usunięciu konta dane mogą jeszcze znajdować się w takich kopiach do ich wygaśnięcia; nie służą bieżącej pracy. Odtworzenie wymaga aktualnego, podpisanego rejestru usunięć i ponownie usuwa wskazane konta przed udostępnieniem aplikacji. Rejestr zawiera losowe identyfikatory, zakres, datę usunięcia i identyfikator wykonawcy; wpis przechowujemy przez 31 dni, aby objąć cały okres życia kopii. Nie zawiera dokumentów, haseł ani adresów e-mail. Kopie wyeksportowane przez użytkownika na jego urządzenie pozostają pod jego kontrolą i wymagają odrębnego usunięcia.

8. Bezpieczeństwo

Wersja WEB używa połączenia HTTPS, haseł przechowywanych jako odporne na odwrócenie skróty, opcjonalnego 2FA, jednorazowych kodów awaryjnych i limitów prób dostępu. Zapytania do danych są ograniczane do organizacji użytkownika i jego uprawnień.

Sekrety integracji i uwierzytelniania są chronione szyfrowaniem z kluczem instalacji. To nie oznacza szyfrowania całej bazy w sposób niedostępny operatorowi: upoważniony operator serwera ma techniczną możliwość dostępu potrzebnego do utrzymania i wsparcia. Kopie migracyjne są szyfrowane odrębnym hasłem. Żaden system nie eliminuje całkowicie ryzyka.

Chroń urządzenie, hasło i kody 2FA; nie przekazuj ich w zgłoszeniu. Podejrzenie naruszenia zgłoś na kontakt@soblogic.pl.

9. Twoje prawa i kontakt

Możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz — w przypadkach przewidzianych w RODO — przeniesienia danych. Możesz wnieść sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu, w tym statystyk. Jeżeli przetwarzanie opiera się na zgodzie, możesz ją wycofać bez wpływu na zgodność wcześniejszego przetwarzania z prawem.

Napisz na kontakt@soblogic.pl z adresu powiązanego z kontem. Możemy poprosić o proporcjonalne potwierdzenie tożsamości lub uprawnienia do działania za organizację. Nie prosimy o hasło ani kod z aplikacji uwierzytelniającej. Odpowiadamy co do zasady w ciągu miesiąca; o prawnie dopuszczalnym przedłużeniu i jego przyczynach informujemy w tym terminie.

Prawo do usunięcia nie jest bezwarunkowe, np. gdy dalsze przechowanie określonych danych wynika z prawa albo jest potrzebne do obrony konkretnego roszczenia. Obowiązek przechowywania dokumentacji przez użytkownika nie oznacza automatycznie, że musi on utrzymywać konto w Soblogic. Przed jego zamknięciem pobierz potrzebne dokumenty.

Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Urząd Ochrony Danych Osobowych

10. Zmiany dokumentu

Data i wersja znajdują się na początku dokumentu. Istotne zmiany sposobu przetwarzania wymagają poinformowania użytkowników przed ich zastosowaniem, jeżeli wymaga tego prawo. Samo zastąpienie treści strony nie zastępuje wymaganej zgody ani obowiązków związanych ze zmianą dalszego podmiotu przetwarzającego.

Cookies i dane przeglądarki

Regulamin Soblogic Start

11. Potwierdzenie umowy powierzenia

Zapis zawarcia umowy zawiera dane administratora i jego adres, imię i nazwisko osoby upoważnionej, adres e-mail jej konta, identyfikatory organizacji i konta, wersję dokumentów, skrót edycji i datę w UTC. Nie zapisujemy na potrzeby tego potwierdzenia adresu IP, odcisku przeglądarki ani hasła. Podstawą jest wykonanie umowy i wykazanie uprawnionego działania, odpowiednio art. 6 ust. 1 lit. b i f RODO.

Potwierdzenie jest częścią dokumentacji organizacji. Pozostaje dostępne również po usunięciu pojedynczego loginu, jeżeli organizacja nadal korzysta z usługi, i jest usuwane przy zamknięciu całej organizacji. Eksportowane potwierdzenia użytkownik przechowuje według własnych zasad. Kopie podlegają opisanej retencji.