Polityka prywatności

Niniejsza polityka wyjaśnia, jakie dane osobowe przetwarza KRONENWERK, w jakim celu, jak długo, z kim są udostępniane oraz jakie prawa Państwu przysługują. Została napisana tak, aby opisywać, co oprogramowanie faktycznie robi. Tam, gdzie czegoś się nie wykonuje, niniejsza polityka tego nie twierdzi.

1. Kto jest odpowiedzialny

KRONENWERK jest prowadzony przez dostawcę wskazanego w Nocie prawnej, który jest administratorem danych osobowych opisanych w niniejszym dokumencie. KRONENWERK jest prowadzony z Québecu w Kanadzie. Aplikacja i jej baza danych są hostowane we Frankfurcie, w Niemczech.

W przypadku jakichkolwiek pytań lub żądań dotyczących danych osobowych należy skorzystać z adresu e-mail kontaktowego podanego w Nocie prawnej. Zgodnie z wymogami quebeckiej ustawy o ochronie danych osobowych w sektorze prywatnym (Act respecting the protection of personal information in the private sector), Nota prawna zawiera stanowisko oraz dane kontaktowe osoby odpowiedzialnej za ochronę danych osobowych; na żądania odpowiada się za pośrednictwem adresu kontaktowego KRONENWERK, a nie kanałów osobistych.

KRONENWERK nie wyznaczył przedstawiciela w Unii Europejskiej na podstawie art. 27 RODO. Kwestia, czy przepis ten wymaga takiego przedstawiciela w odniesieniu do działalności KRONENWERK, jest przedmiotem analizy prawnej; niniejsza polityka zostanie zaktualizowana, jeżeli przedstawiciel zostanie wyznaczony.

2. Dwa rodzaje danych, dwie role

KRONENWERK to oprogramowanie księgowe i fakturujące używane przez przedsiębiorstwa. Powoduje to dwie odrębne sytuacje, a Państwa prawa różnią się między nimi.

Dane dotyczące Państwa jako użytkownika. Państwa konto, dane logowania, ustawienia firmy oraz subskrypcja. W odniesieniu do tych danych KRONENWERK decyduje o celach i sposobach przetwarzania i jest administratorem.

Dane wprowadzane przez przedsiębiorstwo o innych osobach. Gdy przedsiębiorstwo korzystające z KRONENWERK rejestruje swoich klientów, dostawców, kontakty, faktury i paragony, dane te należą do tego przedsiębiorstwa i są przetwarzane na jego polecenie. W odniesieniu do tych danych przedsiębiorstwo jest administratorem, a KRONENWERK jego podmiotem przetwarzającym. Jeżeli są Państwo klientem lub dostawcą przedsiębiorstwa korzystającego z KRONENWERK i mają Państwo pytanie dotyczące sposobu, w jaki to przedsiębiorstwo obchodzi się z Państwa danymi, właściwym adresatem jest to przedsiębiorstwo; KRONENWERK nie ujawni danych przedsiębiorstwa osobom trzecim na żądanie.

3. Jakie dane są przetwarzane

3.1 Konto i logowanie

• Państwa imię i nazwisko, adres e-mail oraz język interfejsu.
• W przypadku rejestracji z hasłem: jednokierunkowy hasz tego hasła (Argon2id). Samo hasło nie jest przechowywane i nie można go odtworzyć z hasza.
• W przypadku logowania przez Google: stały identyfikator Państwa konta Google (roszczenie sub), adres e-mail zgłoszony przez Google jako zweryfikowany oraz Państwa nazwa wyświetlana. KRONENWERK żąda wyłącznie zakresów openid, email i profile i nie otrzymuje ani nie przechowuje tokenów dostępu lub odświeżania Google, ani nie ma dostępu do Państwa Gmaila, Dysku, Kalendarza, Kontaktów ani żadnej innej usługi Google.
• Kody weryfikacji e-mail i logowania, przechowywane wyłącznie jako haszy jednokierunkowe, ważne przez piętnaście minut i jednorazowego użytku.
• Tokeny zaufanych urządzeń, gdy wybiorą Państwo opcję „zaufaj temu urządzeniu”, przechowywane wyłącznie jako hasz jednokierunkowy. Są to losowe tokeny wydawane przez KRONENWERK; KRONENWERK nie tworzy odcisku palca (fingerprint) Państwa przeglądarki ani urządzenia.
• Tokeny resetu hasła, przechowywane wyłącznie jako haszy jednokierunkowe, ważne przez godzinę i jednorazowego użytku.
• Czas utworzenia konta oraz, dla rejestrów bezpieczeństwa, czas zdarzeń logowania.

3.2 Dane firmy i działalności gospodarczej

• Nazwa prawna Państwa firmy, dane handlowe, adres, kraj oraz, w stosownych przypadkach, prowincja lub region.
• Identyfikatory gospodarcze i podatkowe wprowadzane dla Państwa firmy (na przykład numer identyfikacji VAT, numer podatkowy lub kanadyjskie numery rejestracyjne GST/HST i QST). Są to identyfikatory Państwa firmy; nigdy nie są traktowane jako własne rejestracje KRONENWERK.
• Dane rachunku bankowego wprowadzane w celu wydrukowania ich na fakturach (IBAN, BIC, posiadacz rachunku). KRONENWERK nie wykorzystuje ich do przekazywania środków pieniężnych.
• Członkowie zespołu, których Państwo zapraszają: ich adres e-mail i rola.

3.3 Dane tworzone w oprogramowaniu

• Klienci, dostawcy i kontakty, w tym wszelkie dane osobowe wprowadzane na ich temat.
• Oferty, faktury, noty korygujące, rachunki, wydatki, płatności i zapisy księgowe.
• Dokumenty i paragony przesyłane przez Państwa.
• Wystawione faktury są zachowywane dokładnie w takiej postaci, w jakiej zostały wystawione, wraz z migawką danych dostawcy i nabywcy w chwili wystawienia oraz wyrenderowanym plikiem PDF i, w stosownych przypadkach, ustrukturyzowanym plikiem e-faktury. Jest to celowe: wystawiony dokument prawny nie może zmienić się, gdy ustawienia zmienią się później.

3.4 Subskrypcja i płatność

• Państwa plan, okres rozliczeniowy, waluta, status subskrypcji i koniec okresu.
• Dane karty płatniczej są wprowadzane bezpośrednio u Stripe i nigdy nie są przekazywane do KRONENWERK ani przez niego przechowywane.
• Dla każdej płatnej faktury subskrypcyjnej KRONENWERK rejestruje dane zgłoszone przez Stripe: kwoty, walutę, kraj i region użyte do celów podatkowych, wszelki identyfikator podatkowy podany przy realizacji zamówienia oraz podział podatkowy. Jest to własna ewidencja podatkowa KRONENWERK i jest przechowywana, ponieważ prawo podatkowe wymaga, aby dostawca był w stanie rozliczyć się z pobranego podatku.

3.5 Funkcje deweloperskie i integracyjne

• Klucze API, przechowywane wyłącznie jako haszy jednokierunkowe; sam klucz jest wyświetlany jednorazowo w chwili utworzenia.
• Adresy punktów końcowych webhooków konfigurowane przez Państwa oraz rejestry doręczeń wiadomości do nich wysyłanych.
• Dane uwierzytelniające dla podłączanych integracji zewnętrznych (na przykład usług bankowych lub automatyzacyjnych), przechowywane w formie zaszyfrowanej. KRONENWERK nigdy nie przechowuje Państwa hasła do bankowości internetowej; połączenia bankowe wykorzystują odniesienie dostawcy, a nie Państwa dane uwierzytelniające.

3.6 Dane techniczne i bezpieczeństwa

• Dzienniki serwera zawierające adres IP, ścieżkę żądania, znacznik czasu i ciąg identyfikacyjny przeglądarki. Są one wykorzystywane do obsługi i zabezpieczania usługi oraz do badania nadużyć i błędów.
• Ścieżka audytu działań istotnych dla bezpieczeństwa na Państwa koncie oraz, dla operatora, działań uprzywilejowanych podejmowanych w konsoli operatora.
• Liczniki ograniczania częstotliwości żądań dla logowania, rejestracji i resetu hasła, przypisane do konta i pochodzenia żądania, przechowywane krótko w pamięci.

4. Pliki cookie i podobne technologie

KRONENWERK nie używa reklamowych plików cookie, analityki podmiotów trzecich ani skryptów śledzących. Pliki cookie, które ustawia, to:

Ponieważ żaden z tych plików cookie nie jest wykorzystywany do celów reklamowych, analitycznych ani śledzenia między stronami, nie wyświetlamy banera dotyczącego plików cookie. Jeżeli to się zmieni, niniejsza polityka zmieni się jako pierwsza.

5. Dlaczego dane są przetwarzane i na jakiej podstawie

KRONENWERK nie wykorzystuje Państwa danych do celów reklamowych, nie sprzedaje ich i nie tworzy Państwa profili.

6. Kto otrzymuje dane

KRONENWERK korzysta z niewielkiej liczby dostawców usług w celu prowadzenia działalności. Każdy z nich przetwarza dane wyłącznie w celu świadczenia swojej usługi na rzecz KRONENWERK.

Jeżeli kraj przedsiębiorstwa prowadzi krajowy system fakturowania obsługiwany przez jego administrację podatkową (na przykład polski KSeF), a przedsiębiorstwo podłącza się do niego w Ustawienia → Doręczenie, KRONENWERK przesyła faktury tego przedsiębiorstwa do systemu i odbiera z niego faktury na polecenie przedsiębiorstwa, korzystając z jego własnych danych uwierzytelniających. Administracja podatkowa jest niezależnym administratorem działającym na podstawie własnego prawa, a nie dostawcą usług KRONENWERK.

KRONENWERK zapytuje usługę VIES Komisji Europejskiej, czy numer identyfikacji VAT klienta jest ważny, gdy faktura opiera się na nim (odwrotne obciążenie, wewnątrzwspólnotowa dostawa towarów). Przesyłany jest wyłącznie numer; odpowiedź oraz jej godzina są rejestrowane wraz z fakturą.

Jeżeli podłączą Państwo integrację bankową lub inną z poziomu oprogramowania, dane są wymieniane z tym dostawcą na Państwa polecenie; ekran integracji wskazuje nazwę dostawcy przed podłączeniem. Powyżsi dostawcy usług bankowych są zaangażowani dopiero po podłączeniu przez Państwa rachunku; do tego czasu żadne dane do nich nie docierają.

KRONENWERK nie udostępnia danych reklamodawcom, brokerom danych ani innym podmiotom trzecim na ich własne potrzeby. Dane mogą zostać ujawnione, jeżeli wymaga tego prawo.

7. Gdzie przetwarzane są dane i transfery międzynarodowe

Aplikacja i baza danych działają we Frankfurcie, w Niemczech. Operator znajduje się w Québecu, w Kanadzie, i może uzyskiwać stamtąd dostęp do usługi w celu jej obsługi i wsparcia. Kilku spośród wymienionych powyżej dostawców ma siedzibę w Stanach Zjednoczonych. Dane mogą zatem zostać przekazane poza kraj, w którym Państwo się znajdują, w tym poza Europejski Obszar Gospodarczy i poza Kanadę.

Tam, gdzie ma zastosowanie RODO, transfery do tych dostawców opierają się na mechanizmach transferu, jakie oferują ci dostawcy, takich jak standardowe klauzule umowne Komisji Europejskiej. KRONENWERK nie rości sobie żadnej własnej certyfikacji ani statusu adekwatności.

8. Jak długo dane są przechowywane

• Dane konta i firmy: tak długo, jak istnieje konto.
• Dane utworzone w oprogramowaniu: tak długo, jak przedsiębiorstwo utrzymuje konto. Przedsiębiorstwa podlegają własnym ustawowym okresom przechowywania dokumentacji księgowej, których muszą przestrzegać; KRONENWERK nie usuwa zapisów księgowych z własnej inicjatywy.
• Wystawione faktury: zachowywane w postaci wystawionej przez cały okres istnienia konta. Korekta następuje w drodze noty korygującej, a nie zmiany treści.
• Ewidencje podatkowe dotyczące subskrypcji: przechowywane przez okres wymagany przez prawo podatkowe, aby dostawca je zachował.
• Kody logowania i weryfikacji, tokeny resetu: wygasają w ciągu piętnastu minut do godziny; wygasłe rekordy nie są następnie wykorzystywane.
• Tokeny zaufanych urządzeń: 60 dni.
• Dzienniki serwera: przechowywane przez dostawcę hostingu przez ograniczony okres operacyjny.

9. Usunięcie danych i co musi zostać zachowane

Po zakończeniu subskrypcji zachowują Państwo dostęp do logowania przez okres odzyskiwania danych wynoszący co najmniej 30 dni, aby wyeksportować swoje dane (Ustawienia → Eksport danych tworzą kompletne archiwum danych Państwa firmy w dowolnym momencie). Po tym okresie dane, których KRONENWERK już nie potrzebuje i nie jest zobowiązany przechowywać, mogą zostać usunięte lub zanonimizowane. KRONENWERK nie gwarantuje usunięcia danych z każdej kopii zapasowej w konkretnym dniu; kopie zapasowe wygasają zgodnie z własnym harmonogramem, a usunięte dane nie są w międzyczasie wykorzystywane.

Co jest zachowywane niezależnie od tego. Własna ewidencja podatkowa i rozliczeniowa KRONENWERK dotycząca Państwa subskrypcji, przez okres wymagany przez prawo podatkowe, aby dostawca ją zachował; rejestry bezpieczeństwa i audytu, które mają charakter „tylko dopisywanie”; oraz wszystko, co przechowują nasi dostawcy usług na podstawie własnych warunków. Stripe przechowuje własne rejestry przetworzonych przez siebie płatności.

Konta, które nigdy nie były używane. Konto bez wystawionych dokumentów, płatności ani dodatkowych członków może zostać całkowicie usunięte, wraz z jego firmą i członkostwem, na żądanie.

Konta z historią księgową. Wystawione faktury i zapisy księgowe są dokumentami, które przedsiębiorstwo jest prawnie zobowiązane przechowywać i których KRONENWERK nie może zmienić ani zniszczyć na żądanie. Jeżeli prawo przyznaje Państwu prawo do usunięcia danych, KRONENWERK usuwa odniesienia osobowe, o ile jest to możliwe — na przykład powiązanie między Państwem jako osobą a wewnętrznymi zdarzeniami bezpieczeństwa i analitycznymi KRONENWERK, które następnie pozostają jako zdarzenia anonimowe — przy zachowaniu samych zapisów księgowych.

10. Państwa prawa

W zależności od miejsca, w którym się Państwo znajdują, mogą Państwo mieć prawo do: dostępu do danych osobowych przechowywanych przez KRONENWERK na Państwa temat; ich sprostowania; ich usunięcia; ograniczenia lub sprzeciwu wobec ich przetwarzania; otrzymania ich w formacie umożliwiającym przenoszenie; oraz wycofania zgody, jeżeli przetwarzanie opiera się na zgodzie. Tam, gdzie ma zastosowanie RODO, przysługuje Państwu również prawo wniesienia skargi do organu nadzorczego. Tam, gdzie ma zastosowanie quebecka ustawa o ochronie danych osobowych w sektorze prywatnym, mogą Państwo skierować skargę do Commission d'accès à l'information du Québec.

Aby skorzystać z tych praw, należy skontaktować się z dostawcą, korzystając z danych podanych w Nocie prawnej. Żądania dotyczące danych wprowadzonych przez przedsiębiorstwo na Państwa temat jako jego klienta lub dostawcy należy kierować do tego przedsiębiorstwa.

11. Bezpieczeństwo

Opisane w sposób faktograficzny i bez gwarancji: hasła są haszowane algorytmem Argon2id; kody logowania, tokeny resetu, tokeny urządzeń i klucze API są przechowywane wyłącznie jako haszy jednokierunkowe; dane uwierzytelniające do integracji są przechowywane w formie zaszyfrowanej; cały ruch jest obsługiwany za pośrednictwem TLS z HTTP Strict Transport Security oraz z zasadą bezpieczeństwa treści (Content Security Policy), która nie ładuje niczego z serwerów podmiotów trzecich; kod przesłany na Państwa adres e-mail jest wymagany, gdy logują się Państwo hasłem z urządzenia, które nie zostało wcześniej potwierdzone, a potwierdzone urządzenie jest zapamiętywane przez 60 dni, chyba że hasło zostanie zmienione; zmiana hasła kończy wszystkie inne sesje; wystawione dokumenty, ewidencje podatkowe dotyczące subskrypcji, rejestry akceptacji dokumentów prawnych oraz rejestry bezpieczeństwa i audytu operatora mają charakter „tylko dopisywanie”, egzekwowany przez bazę danych. Żaden system nie jest odporny na naruszenie, a KRONENWERK nie twierdzi inaczej. KRONENWERK nie posiada żadnego certyfikatu bezpieczeństwa i niniejsza polityka nie rości sobie zgodności z żadnym systemem certyfikacji.

12. Dzieci

KRONENWERK jest oprogramowaniem biznesowym i nie jest skierowany do dzieci. Świadomie nie gromadzi danych od nikogo poniżej wieku, w którym dana osoba może zgodnie z prawem zawrzeć umowę handlową w swojej jurysdykcji.

13. Zmiany w niniejszej polityce

Każda wersja niniejszej polityki zawiera oznaczenie wersji oraz datę wejścia w życie u góry strony. Istotnie zmieniona wersja zostanie opublikowana tutaj przed jej wejściem w życie. Tekst angielski jest wersją rozstrzygającą; tłumaczenia, jeżeli są udostępniane, mają charakter wyłącznie informacyjny.