Polityka Prywatności

Zasady przetwarzania danych osobowych i wykorzystywania plików cookies w serwisie i aplikacji Complaia ERP

1. Postanowienia ogólne

1. Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych oraz wykorzystywania plików cookies i podobnych technologii w związku z korzystaniem z serwisu internetowego, aplikacji Complaia ERP oraz aplikacji mobilnej Complaia ERP (dalej łącznie „Serwis").

2. Administratorem danych osobowych w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej „RODO") jest podmiot wskazany w tabeli powyżej (dalej „Administrator").

3. Administrator przetwarza dane zgodnie z RODO, ustawą o ochronie danych osobowych, ustawą o świadczeniu usług drogą elektroniczną oraz ustawą — Prawo komunikacji elektronicznej.

2. Dwie role Administratora — dane własne oraz dane powierzone

Rozróżnienie istotne dla klientów biznesowych korzystających z aplikacji.

1. Jako administrator — Administrator przetwarza dane osób odwiedzających Serwis, osób zakładających i prowadzących konto, osób reprezentujących klientów i kontaktowych, osób kierujących zapytania oraz odbiorców komunikacji marketingowej. Tych danych dotyczy niniejsza Polityka. Administrator przetwarza również dane Użytkowników Konta — pracowników i współpracowników klientów biznesowych, którym klient nadał dostęp — w zakresie logowania, bezpieczeństwa i kontaktu z obsługą. Dane te (imię, nazwisko, adres e-mail, numer telefonu, rola) pochodzą od klienta biznesowego, który założył konto Użytkownika, albo od samego Użytkownika.

2. Jako podmiot przetwarzający — w odniesieniu do danych osobowych wprowadzanych przez klienta biznesowego do aplikacji w ramach jego działalności (np. dane jego kontrahentów, pracowników, odbiorców) administratorem jest klient, a Complaia ERP przetwarza te dane w jego imieniu na podstawie umowy powierzenia przetwarzania (art. 28 RODO). Zasad tego przetwarzania nie reguluje niniejsza Polityka, lecz umowa powierzenia.

3. Jeżeli osoba, której dane zostały wprowadzone do aplikacji przez klienta biznesowego, skieruje do Administratora żądanie dotyczące swoich danych, Administrator nie rozpatruje go samodzielnie, lecz przekazuje je właściwemu administratorowi, tj. temu klientowi, i informuje o tym osobę składającą żądanie.

3. Cele, podstawy prawne i okresy przetwarzania

4. Kategorie przetwarzanych danych

• Dane identyfikacyjne i firmowe: imię i nazwisko osoby kontaktowej/reprezentanta, firma, NIP, REGON, adres.
• Dane kontaktowe: adres e-mail, numer telefonu.
• Dane konta i rozliczeniowe: login, dane o planie i płatnościach (Administrator nie przechowuje pełnych danych karty płatniczej — obsługuje je operator płatności).
• Dane techniczne: adres IP, identyfikatory urządzenia i sesji, dane o przeglądarce, logi systemowe.
• Dane z rejestrów publicznych: przy rejestracji formularz może zostać uzupełniony na podstawie numeru NIP danymi z Wykazu podatników VAT (Minister Finansów) i CEIDG; zapisujemy nazwę firmy, NIP i adres.
• Dane z plików cookies i podobnych technologii — zgodnie z § 12.
• Dane z urządzenia mobilnego — zgodnie z § 4a.
• Dane pozyskane z innych źródeł — dane kontaktowe i firmowe potencjalnych klientów biznesowych, zgodnie z § 4b.

§ 4a. Aplikacja mobilna — uprawnienia i dane z urządzenia

1. Aplikacja mobilna może żądać dostępu do wskazanych poniżej funkcji urządzenia. Każde uprawnienie jest opcjonalne, udzielane przez użytkownika na poziomie systemu operacyjnego i może zostać w każdej chwili odwołane w ustawieniach urządzenia. Aplikacja żąda danego uprawnienia w chwili pierwszego użycia funkcji, która go wymaga, a uprawnienia do powiadomień — po pierwszym zalogowaniu; odmowa uniemożliwia korzystanie jedynie z tej funkcji. Poszczególne uprawnienia wykorzystywane są w zakresie, w jakim odpowiadająca im funkcja jest dostępna w danej wersji aplikacji oraz w wybranym Planie.

2. Aplikacja przetwarza ponadto: losowy identyfikator instalacji, informacje o modelu urządzenia i wersji systemu przekazywane w nagłówku User-Agent, ustawienia języka, identyfikatory sesji oraz token powiadomień.

3. Aplikacja mobilna nie wykorzystuje identyfikatora reklamowego urządzenia ani nie prowadzi śledzenia międzyaplikacyjnego. Pomiar skuteczności kampanii reklamowych odbywa się wyłącznie w serwisach internetowych complaia.com i getcomplaia.com, na podstawie zgody na cookies marketingowe (§ 12), i obejmuje działania w tych serwisach, a nie pobrania aplikacji ani korzystanie z niej.

4. Zmiana zakresu uprawnień w kolejnych wersjach aplikacji nie wymaga zmiany niniejszej Polityki, jeżeli mieści się w zakresie wskazanym w ust. 1. O rozszerzeniu zakresu przetwarzanych danych poza ten zakres Administrator poinformuje przez aktualizację Polityki; niezależnie od tego zgoda na każde uprawnienie udzielana jest przez użytkownika na poziomie systemu operacyjnego urządzenia.

5. Uwierzytelnianie biometryczne. Weryfikacja odcisku palca lub rozpoznawanie twarzy realizowane są w całości przez system operacyjny urządzenia. Administrator nie otrzymuje, nie przetwarza ani nie przechowuje danych biometrycznych; aplikacja uzyskuje wyłącznie informację o pozytywnym albo negatywnym wyniku weryfikacji.

6. Lokalizacja w tle. Dostęp do lokalizacji w tle wykorzystywany jest wyłącznie w module transportu: rejestrowanie włącza się, gdy kierowca rozpocznie realizację trasy, i wyłącza po jej zakończeniu, anulowaniu albo wylogowaniu. Rejestrowane są współrzędne, dokładność pomiaru i czas. Historia punktów trasy jest przechowywana przez 14 dni, a ostatnia znana pozycja — wraz z danymi trasy. Jeżeli funkcja służy monitorowaniu pracowników lub współpracowników klienta biznesowego, administratorem tych danych jest ten klient i na nim spoczywają obowiązki wynikające z przepisów prawa pracy oraz obowiązek informacyjny wobec tych osób.

7. Tryb offline. Gdy urządzenie traci połączenie z Internetem, aplikacja przechowuje w swojej prywatnej pamięci, niedostępnej dla innych aplikacji, dane czynności wykonanych bez połączenia (punkty trasy, potwierdzenia dostaw ze zdjęciami i podpisami, skany) i przesyła je do Platformy po odzyskaniu połączenia, po czym usuwa je z urządzenia. Dane oczekujące na wysłanie pozostają na urządzeniu także po wylogowaniu i są wysyłane po ponownym zalogowaniu tego samego Użytkownika. Dane sesji przechowywane są w zaszyfrowanym magazynie systemu operacyjnego (Keychain / Keystore).

§ 4b. Dane pozyskane z innych źródeł — informacja na podstawie art. 14 RODO

1. Źródła. Administrator może pozyskiwać dane kontaktowe i firmowe potencjalnych klientów biznesowych ze źródeł powszechnie dostępnych, w szczególności: Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), Krajowego Rejestru Sądowego (KRS), publicznych stron internetowych przedsiębiorców oraz serwisów o charakterze zawodowym i branżowym.

2. Zakres danych. Firma (nazwa), imię i nazwisko osoby reprezentującej lub kontaktowej, stanowisko, służbowy adres poczty elektronicznej, służbowy numer telefonu, adres, NIP, REGON.

3. Cel i podstawa prawna. Kontakt handlowy oraz marketing bezpośredni własnych usług Administratora — art. 6 ust. 1 lit. f RODO (uzasadniony interes). Kontakt przy użyciu telekomunikacyjnych urządzeń końcowych, w tym kontakt telefoniczny oraz za pomocą poczty elektronicznej, odbywa się z uwzględnieniem wymogów zgody wynikających z Prawa komunikacji elektronicznej oraz ustawy o świadczeniu usług drogą elektroniczną.

4. Okres przechowywania. Do wniesienia sprzeciwu, nie dłużej niż 24 miesiące od ostatniego kontaktu. W razie zawarcia umowy dalsze przetwarzanie odbywa się na zasadach określonych w § 3.

5. Prawa. Osobie, której dane pozyskano w sposób opisany w ust. 1, przysługują wszystkie prawa wskazane w § 8, w szczególności prawo sprzeciwu wobec przetwarzania w celach marketingu bezpośredniego. Uwzględnienie sprzeciwu oznacza zaprzestanie kontaktu oraz usunięcie danych z bazy kontaktów handlowych, z zachowaniem informacji niezbędnych do respektowania sprzeciwu w przyszłości.

6. Obowiązek informacyjny. Administrator przekazuje informację o pozyskaniu danych oraz o źródle ich pozyskania najpóźniej przy pierwszym kontakcie z osobą, której dane dotyczą, wraz z odesłaniem do niniejszej Polityki.

5. Dobrowolność podania danych

1. Podanie danych jest dobrowolne, jednak podanie danych niezbędnych do zawarcia i wykonania umowy oraz do wystawienia dokumentów rozliczeniowych jest warunkiem korzystania z usługi — ich niepodanie uniemożliwia jej świadczenie. Podanie danych do celów marketingowych jest w pełni dobrowolne.

6. Odbiorcy danych i podmioty przetwarzające

1. Dane mogą być udostępniane lub powierzane podmiotom wspierającym Administratora w świadczeniu usługi, wyłącznie w niezbędnym zakresie i na podstawie odpowiednich umów. Do kategorii odbiorców należą:

2. Platformy reklamowe. W zakresie prowadzenia kampanii reklamowych i pomiaru ich skuteczności w serwisach complaia.com i getcomplaia.com Administrator korzysta z narzędzi Google Ireland Limited (Google Ads) oraz Meta Platforms Ireland Limited (Facebook, Instagram). Podmioty te nie działają jako podmioty przetwarzające — w odniesieniu do danych zbieranych za pomocą ich narzędzi pomiarowych i list odbiorców są odrębnymi administratorami, a w zakresie niektórych funkcji (w szczególności znaczników pomiarowych umieszczanych w Serwisie) Administrator i te podmioty występują jako współadministratorzy w rozumieniu art. 26 RODO. Zasadnicza treść uzgodnień między współadministratorami wynika z warunków udostępnianych przez te podmioty (Google Ads Controller-Controller Data Protection Terms, Meta Controller Addendum): każdy ze współadministratorów odpowiada za przetwarzanie po swojej stronie, a osoba, której dane dotyczą, może wykonywać swoje prawa wobec każdego z nich. Narzędzia te uruchamiane są wyłącznie po wyrażeniu zgody na cookies marketingowe (§ 12).

3. Integracje uruchamiane przez klienta. Podmioty, z którymi klient biznesowy samodzielnie uruchamia integracje w aplikacji przy użyciu własnych poświadczeń dostępowych (operatorzy pocztowi i kurierscy, platformy sprzedażowe, systemy zewnętrzne), nie są podmiotami przetwarzającymi Administratora. Przekazanie danych takim podmiotom następuje na polecenie i odpowiedzialność klienta biznesowego, na podstawie jego własnych umów z tymi podmiotami.

4. Cloudflare Turnstile. Formularz zakładania konta chroni usługa Cloudflare Turnstile. Sprawdza ona w tle, bez żadnego zadania dla osoby wypełniającej formularz, czy wypełnia go człowiek. W tym celu Cloudflare, Inc. przetwarza w imieniu Administratora adres IP, informacje o przeglądarce, urządzeniu i połączeniu oraz adres strony z formularzem, na podstawie uzasadnionego interesu Administratora w ochronie Serwisu przed nadużyciami (art. 6 ust. 1 lit. f RODO, § 3). Te same dane Cloudflare wykorzystuje również jako odrębny administrator, w celu ulepszania wykrywania botów, na zasadach opisanych w Turnstile Privacy Addendum.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

1. Dane przechowywane są na terenie Europejskiego Obszaru Gospodarczego. Niektórzy dostawcy — w szczególności dostawca poczty elektronicznej, dostawca powiadomień push, operator płatności, dostawca ochrony przed botami (Cloudflare) oraz platformy reklamowe — mogą przetwarzać dane również poza EOG. Przekazanie następuje wówczas wyłącznie przy zapewnieniu zabezpieczeń wymaganych przez rozdział V RODO. Serwery map OpenStreetMap znajdują się w Wielkiej Brytanii, wobec której Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony.

2. Podstawowym stosowanym mechanizmem transferu są standardowe klauzule umowne zatwierdzone przez Komisję Europejską. Decyzja stwierdzająca odpowiedni stopień ochrony (np. EU–US Data Privacy Framework) ma charakter uzupełniający, a jej ewentualne uchylenie lub unieważnienie nie wpływa na skuteczność standardowych klauzul umownych.

3. Informację o konkretnych transferach oraz kopię zabezpieczeń można uzyskać, kontaktując się pod adresem hello@complaia.systems. Wykaz dostawców oraz lokalizacji przetwarzania zawiera § 6 ust. 1 niniejszej Polityki, a w odniesieniu do danych powierzonych przez klientów biznesowych — Załącznik nr 3 do umowy powierzenia przetwarzania danych.

8. Prawa osób, których dane dotyczą

1. Osobie, której dane dotyczą, przysługuje prawo do: dostępu do danych i uzyskania ich kopii; sprostowania; usunięcia („prawo do bycia zapomnianym"); ograniczenia przetwarzania; przenoszenia danych; wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, w tym sprzeciwu wobec marketingu bezpośredniego; a także — w przypadku przetwarzania na podstawie zgody — wycofania zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

2. Realizacja praw następuje na wniosek kierowany na adres hello@complaia.systems.

3. Osobie przysługuje prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

9. Zautomatyzowane podejmowanie decyzji i profilowanie

1. Dane nie są wykorzystywane do zautomatyzowanego podejmowania decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na osobę, w rozumieniu art. 22 RODO.

2. Administrator stosuje natomiast profilowanie w celach marketingowych — polegające na dopasowaniu treści reklamowych na podstawie danych o korzystaniu z serwisów complaia.com i getcomplaia.com, w tym na tworzeniu list odbiorców w narzędziach reklamowych wskazanych w § 6 ust. 2. Profilowanie to nie wywołuje wobec osoby skutków prawnych ani nie wpływa na nią w podobnie istotny sposób, a odbywa się wyłącznie po wyrażeniu zgody na cookies marketingowe. Zgodę można w każdej chwili wycofać, a wobec profilowania opartego na uzasadnionym interesie — wnieść sprzeciw.

10. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych adekwatne do ryzyka, w tym m.in. szyfrowanie transmisji (TLS), szyfrowanie poświadczeń integracji, kontrolę dostępu i politykę haseł, odrębną bazę danych dla każdego klienta oraz automatyczne kopie zapasowe przechowywane nie dłużej niż 7 dni i służące wyłącznie odtworzeniu Serwisu po awarii. Żadne zabezpieczenia nie dają jednak całkowitej gwarancji bezpieczeństwa przesyłu danych w sieci Internet.

11. Powierzenie danych klientów biznesowych

1. W zakresie danych wprowadzanych do aplikacji przez klienta biznesowego (zob. § 2 ust. 2) zasady przetwarzania, w tym kategorie danych, czas trwania, prawa i obowiązki stron oraz wykaz podprocesorów, określa umowa powierzenia przetwarzania danych osobowych (DPA) zawierana z klientem.

2. DPA stanowi integralną część umowy o świadczenie usługi i jest zawierana z chwilą rejestracji konta — jest udostępniana przed rejestracją i akceptowana łącznie z Regulaminem. Aktualna treść DPA jest stale dostępna w Serwisie.

12. Pliki cookies i podobne technologie

1. Serwis wykorzystuje pliki cookies oraz podobne technologie. Aplikacja Complaia ERP, terminal POS i aplikacja mobilna korzystają wyłącznie z technologii niezbędnych, które nie wymagają zgody. Cookies analityczne i marketingowe stosowane są wyłącznie w serwisach complaia.com i getcomplaia.com i instalowane są dopiero po wyrażeniu zgody za pośrednictwem panelu zgód (baner cookies); zgodę można w każdej chwili zmienić lub wycofać, korzystając z odnośnika „Ustawienia cookies” w stopce serwisu.

2. Użytkownik może zarządzać cookies również z poziomu ustawień przeglądarki, w tym je blokować lub usuwać; może to wpłynąć na działanie niektórych funkcji.

13. Zmiany Polityki Prywatności

1. Administrator może aktualizować Politykę Prywatności. Aktualna wersja jest zawsze dostępna w Serwisie wraz z datą jej wejścia w życie. O istotnych zmianach Administrator może poinformować dodatkowo pocztą elektroniczną lub w panelu konta.

Wiążąca jest polska wersja dokumentu.