Polityka prywatności serwisu Elevari

Administratorem danych osobowych przetwarzanych w związku z prowadzeniem konta i świadczeniem usług Serwisu Elevari (elevari.pl, app.elevari.pl) jest Akcelio sp. z o.o. (Akcelio Spółka z ograniczoną odpowiedzialnością) z siedzibą w Jaworznie (ul. Skotnica 28, 43-600 Jaworzno), wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy Katowice-Wschód w Katowicach, VIII Wydział Gospodarczy KRS, pod numerem KRS 0000640647, NIP 5783122146, REGON 365570364, kapitał zakładowy 5 000,00 zł, reprezentowana przez Wojciecha Bańkowskiego, Prezesa Zarządu (dalej: „Administrator", „my").

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). We wszystkich sprawach dotyczących ochrony danych osobowych właściwy jest adres kontaktowy: rodo@elevari.pl.

Jako administrator, w odniesieniu do danych konta i danych rozliczeniowych Użytkownika (np. imię i nazwisko, adres e-mail, dane logowania, dane organizacji, dane subskrypcji). Te dane przetwarzamy we własnych celach opisanych w pkt 4.

Jako podmiot przetwarzający (powierzenie), w odniesieniu do danych osobowych zawartych w dokumentach finansowych, które Użytkownik wprowadza lub udostępnia w Serwisie (np. dane kontrahentów na fakturach z KSeF i z plików PDF, dane z rachunku bankowego, a w przypadku biur rachunkowych dane ich klientów). W tym zakresie administratorem pozostaje Użytkownik (lub jego klient), a my przetwarzamy te dane wyłącznie na jego polecenie, na zasadach umowy powierzenia (DPA) udostępnianej na żądanie.

Dane konta i Użytkownika: imię i nazwisko lub nazwa, adres e-mail, hasło (przechowywane w postaci zaszyfrowanej / haszowanej), rola w organizacji.

Dane techniczne i logi: adres IP, dane sesji, daty logowania, informacje o urządzeniu i przeglądarce, zdarzenia bezpieczeństwa.

Dane organizacji: nazwa firmy, NIP, dane rejestrowe.

Dane finansowe i dokumenty: faktury sprzedażowe i zakupowe (z KSeF oraz wczytane z plików PDF), pozycje faktur, dane kontrahentów (nazwa, NIP, REGON, KRS, adres, e-mail, telefon, w zakresie, w jakim występują na dokumentach), kategorie kosztów, dane o płatnościach i transakcjach bankowych (po podłączeniu rachunku). Część tych danych może stanowić dane osobowe (np. dane jednoosobowych działalności gospodarczych).

Dane rozliczeniowe (subskrypcja): identyfikatory klienta i subskrypcji u operatora płatności, status i historia subskrypcji. Nie przechowujemy danych karty płatniczej. Obsługuje je operator płatności.

Dane z komunikacji: treść wiadomości i komentarzy wymienianych w Serwisie (np. między firmą a biurem rachunkowym), zgłoszenia, opinie.

Źródła danych: dane podane przez Użytkownika; dane pobrane z KSeF na podstawie tokena Użytkownika; dane z publicznego rejestru REGON (GUS); dane z rachunku bankowego (po zgodzie Użytkownika); dane techniczne zbierane automatycznie.

Dane o wejściach z reklam, krokach rejestracji i odpowiedziach w ankiecie opisujemy w pkt 10.6, 10.7 i 10.8.

Niektórzy dostawcy (Anthropic, Stripe, Resend) przetwarzają dane częściowo poza EOG, w tym w Stanach Zjednoczonych.

Takie przekazanie odbywa się na podstawie odpowiednich zabezpieczeń, w szczególności standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską i/lub uczestnictwa dostawcy w programie EU-US Data Privacy Framework. Na żądanie udostępniamy informację o stosowanych zabezpieczeniach.

Serwery aplikacji oraz kopie zapasowe znajdują się w Europejskim Obszarze Gospodarczym, a kopie zapasowe są dodatkowo szyfrowane po naszej stronie przed przekazaniem do przechowywania.

Dane konta i danych z nim związanych przechowujemy przez czas obowiązywania umowy, a po jej zakończeniu przez okres niezbędny do rozliczeń, dochodzenia lub obrony roszczeń oraz wykonania obowiązków prawnych (np. przepisy podatkowe i o rachunkowości).

Dane powierzone (dokumenty finansowe) przechowujemy zgodnie z poleceniem Użytkownika oraz przez czas świadczenia usługi; po zakończeniu umowy są usuwane lub zwracane na zasadach umowy powierzenia.

Kopie zapasowe są przechowywane w sposób zaszyfrowany przez okres do 30 dni i podlegają nadpisaniu w cyklu rotacji.

Logi i dane techniczne przechowujemy przez okres niezbędny do zapewnienia bezpieczeństwa, co do zasady do 12 miesięcy.

Rejestr wejść z reklam i kroków rejestracji oraz odpowiedzi w ankiecie (pkt 10.6, 10.7 i 10.8) przechowujemy przez 12 miesięcy od ich zapisania.

Przysługuje Ci prawo do: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, a także cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania przed cofnięciem).

Wnioski można kierować na rodo@elevari.pl. Funkcję eksportu danych udostępniamy także w Serwisie.

Przysługuje Ci prawo wniesienia skargi do organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.

Jeżeli dane przetwarzamy jako podmiot przetwarzający (dane powierzone), realizację praw kieruj do administratora, którym jest Użytkownik (np. Twój dostawca / biuro rachunkowe); przekażemy żądanie zgodnie z umową powierzenia.

Elevari nie podejmuje wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne w rozumieniu art. 22 RODO. Sygnały ryzyka, kategoryzacja i komentarz AI mają charakter wyłącznie wspierający; decyzje podejmuje człowiek (Użytkownik).

Funkcje oparte o sztuczną inteligencję (komentarz, odczyt faktur z plików PDF) są włączane świadomą zgodą Użytkownika i mogą zostać w każdej chwili wyłączone. Po włączeniu treść odpowiednich dokumentów jest przekazywana dostawcy AI (Anthropic) wyłącznie w celu wykonania danej funkcji. Dane przekazywane dostawcy AI nie są wykorzystywane do trenowania modeli.

Serwis wykorzystuje pliki cookies oraz podobne technologie niezbędne do działania (np. utrzymanie sesji zalogowanego Użytkownika, bezpieczeństwo). Nie stosujemy plików cookies służących profilowaniu reklamowemu.

W celach statystycznych korzystamy z samodzielnie hostowanego narzędzia Umami, działającego na naszej infrastrukturze w Europejskim Obszarze Gospodarczym. Umami działa bez plików cookies i bez profilowania osób odwiedzających, na podstawie naszego uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Dane ograniczają się do zagregowanych statystyk (np. liczba odsłon, źródła wejścia, typ urządzenia, kraj) i nie służą identyfikacji konkretnych osób; nie przekazujemy ich podmiotom trzecim.

Ustawienia plików cookies można zmienić w przeglądarce. Wyłączenie cookies niezbędnych może uniemożliwić korzystanie z części Serwisu.

Prowadzimy program poleceń, w ramach którego współpracujący z nami partnerzy rozpowszechniają linki polecające w postaci elevari.pl/r/kod. Wejście z takiego linku przekierowuje na naszą stronę główną, a kod polecenia przekazywany jest wyłącznie jako parametr adresu (ref). Nie zapisujemy w tym celu żadnych plików cookies ani innych danych na urządzeniu Użytkownika. Kod służy jedynie odnotowaniu, który partner polecił usługę, jeżeli odwiedzający założy konto w trakcie tej samej wizyty.

Rejestrujemy fakt wejścia w link polecający: moment wejścia, adres strony, z której nastąpiło przejście, oraz skrót techniczny (wynik funkcji skrótu z tajnym kluczem) w miejsce adresu IP i informacji o przeglądarce. Nie przechowujemy tych danych w postaci pozwalającej odtworzyć adres IP. Dane te nie służą profilowaniu ani reklamie i nie są przekazywane podmiotom trzecim. Podstawą przetwarzania jest nasz uzasadniony interes polegający na rozliczeniu programu poleceń (art. 6 ust. 1 lit. f RODO). Rejestr wejść przechowujemy przez 12 miesięcy, po czym jest usuwany.

Rejestrujemy wejścia na naszą stronę z reklam. Jeżeli adres strony zawiera parametry kampanii, zapisujemy moment wejścia oraz te parametry: źródło, medium, kampanię, wariant reklamy i słowo kluczowe, na które wyświetliła się reklama (utm_source, utm_medium, utm_campaign, utm_content, utm_term), a także numer grupy reklam. Parametr zapisujemy tylko wtedy, gdy składa się z liter, cyfr, spacji i znaków „.", „_", „-" i ma najwyżej 80 znaków (numer grupy reklam: same cyfry). Inną wartość, np. zawierającą adres e-mail, pomijamy. Nie zapisujemy adresu IP, informacji o przeglądarce i urządzeniu, adresu strony, z której nastąpiło przejście, identyfikatora kliknięcia Google (gclid, gbraid, wbraid) ani adresu e-mail. Informację o przeglądarce odczytujemy wyłącznie w chwili wejścia, aby pominąć roboty i wstępne ładowanie strony przez przeglądarkę. Identyfikator kliknięcia Google traktujemy wyłącznie jako sygnał, że wejście pochodzi z reklamy, i po wejściu usuwamy go z paska adresu. Wizycie nadajemy losowy identyfikator, który nie jest wyliczany z adresu IP ani z danych przeglądarki. Identyfikator jest przekazywany wyłącznie jako parametr adresu strony (sid) na drodze od strony głównej do założenia konta. Nie zapisujemy w tym celu żadnych plików cookies ani innych danych na urządzeniu Użytkownika. Jeżeli w trakcie tej wizyty zostanie założone konto firmy, wpis wejścia zostaje powiązany z tym kontem.

Dla każdej firmy, która samodzielnie zakłada konto w Serwisie, niezależnie od tego, czy wejście pochodziło z reklamy, odnotowujemy jednorazowo moment pierwszego wystąpienia kolejnych kroków: założenia konta, podłączenia KSeF, pierwszego wyświetlenia przez właściciela kokpitu z danymi firmy, pierwszego otwarcia przez właściciela faktury z sygnałem ryzyka, pierwszej opłaconej faktury za subskrypcję oraz pierwszego zamknięcia okresu. Przy każdym kroku zapisujemy źródło wizyty (reklama, link polecający partnera albo inne wejście). Wpisy z pkt 10.6 i 10.7 nie zawierają imienia, nazwiska, adresu e-mail ani identyfikatora użytkownika. Są jednak powiązane z kontem firmy, więc w przypadku jednoosobowej działalności gospodarczej mogą dotyczyć konkretnej osoby. Po usunięciu konta firmy wpisy tracą powiązanie z nim. Dane te służą wyłącznie ocenie skuteczności naszych reklam i ścieżki rejestracji, nie służą profilowaniu i nie są przekazywane podmiotom trzecim. Podstawą przetwarzania jest nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO). Okres przechowywania określa pkt 7.5.

Jeżeli właściciel konta firmy objętej pkt 10.7 przerywa konfigurację konta przed podłączeniem KSeF (przechodzi do innej części Serwisu, wylogowuje się albo, na komputerze, przesuwa kursor poza górną krawędź okna), możemy wyświetlić mu ankietę. Ankieta zawiera jedno pytanie („Co zatrzymało Cię przed podłączeniem KSeF?") i cztery odpowiedzi do wyboru („Nie mam tokenu pod ręką", „Nie chcę podawać danych obcej firmie", „Za drogo", „Tylko oglądam"), bez pola tekstowego. Odpowiedź jest dobrowolna, a ankietę można zamknąć bez odpowiedzi. Dla danego konta firmy ankietę wyświetlamy najwyżej raz. Inni użytkownicy konta firmy ani biuro rachunkowe jej nie widzą. Zapisujemy moment wyświetlenia ankiety, wybraną odpowiedź i moment jej udzielenia, powiązane z kontem firmy. Celem jest poznanie przyczyn przerwania konfiguracji i poprawa Serwisu. Podstawą przetwarzania jest nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO). Okres przechowywania określa pkt 7.5.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym: szyfrowanie danych w trakcie przesyłania i w spoczynku, szyfrowanie wrażliwych danych (m.in. tokenów KSeF) algorytmem AES-256-GCM, kontrolę dostępu, rozdzielenie dostępu (biuro rachunkowe widzi wyłącznie swoich klientów), oraz regularne, zaszyfrowane kopie zapasowe przechowywane poza główną lokalizacją w granicach EOG.

Dane przechowujemy na serwerach zlokalizowanych na terenie Europejskiego Obszaru Gospodarczego (EOG).

KSeF. Łączymy się z KSeF wyłącznie w trybie odczytu, na podstawie tokena udostępnionego przez Użytkownika. Nie wystawiamy, nie wysyłamy ani nie zmieniamy faktur. Token jest przechowywany w postaci zaszyfrowanej.

Rachunek bankowy (AIS). Dane o transakcjach pobieramy wyłącznie do odczytu, po wyrażeniu przez Ciebie zgody w Twoim banku, za pośrednictwem licencjonowanego dostawcy AIS. Nie inicjujemy płatności. Zgodę możesz w każdej chwili cofnąć.

REGON (GUS). Korzystamy z publicznego rejestru REGON w celu uzupełnienia danych kontrahentów.

Politykę możemy aktualizować w związku ze zmianą przepisów, zakresu usług lub dostawców. O istotnych zmianach poinformujemy w Serwisie lub pocztą elektroniczną. Aktualna wersja jest zawsze dostępna pod adresem elevari.pl/polityka-prywatnosci.