Polityka prywatności

Wersja 3.1 · obowiązuje od 2026-10-22

1. Administrator danych osobowych

Administratorem danych osobowych Użytkowników jest:

THE POARMA GROUP Sp. z o.o.
NIP: 6312682372
Adres siedziby: ul. Zawiszy Czarnego 5C, 44-100 Gliwice
Kontakt: kontakt@botax.pl

W zakresie danych osobowych, które Użytkownik wprowadza do BOTAX w związku ze swoją działalnością — danych kontrahentów (z faktur, także pobranych z KSeF), pracowników i zleceniobiorców (z list płac), osób wskazanych w wyciągach bankowych, osób rozliczających gotówkę w kasie firmy (z raportu kasowego), małżonka (przy wspólnym rozliczeniu rocznym) oraz osób zapraszanych do zespołu firmy — administratorem jest Użytkownik, a Administrator przetwarza je w jego imieniu jako podmiot przetwarzający w rozumieniu art. 28 RODO, na zasadach Umowy powierzenia (Załącznik nr 1 do Regulaminu). Osoby, których te dane dotyczą, mogą kierować swoje żądania do Użytkownika; żądanie, które trafi do Administratora, zostanie przekazane Użytkownikowi.

Niniejsza Polityka opisuje przede wszystkim dane, których Administrator jest administratorem (dane Konta, dane Użytkownika i jego firmy, dane rozliczeniowe i techniczne). Punkty 3–6 informują także, jak technicznie przetwarzane są dane powierzone.

2. Cele i podstawy prawne przetwarzania

Dane powierzone przez Użytkownika (pkt 1 akapit drugi) przetwarzamy wyłącznie w celu świadczenia Usługi i na jego polecenie; podstawę prawną ich przetwarzania zapewnia Użytkownik jako administrator.

3. Kategorie przetwarzanych danych

W ramach Usługi BOTAX przetwarzamy następujące kategorie danych:

• Dane konta: adres e-mail, hasło zapisane w postaci skrótu (bcrypt), data założenia konta, data akceptacji regulaminu, data potwierdzenia adresu e-mail, rodzaj i okres planu (okres próbny, Abonament), ustawienia powiadomień, licznik nieudanych logowań i czas blokady konta, rola w zespole firmy (właściciel, księgowy, fakturzysta).
• Dane firmy Użytkownika: nazwa, NIP, REGON, KRS, adres siedziby, województwo (pobierane z Wykazu Podatników VAT — Biała Lista MF), forma opodatkowania i ustawienia podatkowe, dane kontaktowe do faktur (osoba kontaktowa, telefon, e-mail, strona internetowa), numer rachunku bankowego i nazwa banku, logo, tokeny i certyfikaty KSeF (tokeny i klucze prywatne certyfikatów przechowywane w postaci zaszyfrowanej). Numeru PESEL, który Biała Lista podaje dla osób fizycznych, nie zapisujemy.
• Dane właściciela jednoosobowej działalności (gdy Użytkownik korzysta z danej funkcji): imię, nazwisko i data urodzenia (do plików JPK i deklaracji), adres zamieszkania i urząd skarbowy (do zeznania rocznego), przychody, dochody i straty z lat ubiegłych, dochody spoza firmy (np. kwoty z PIT-11), daty rozpoczęcia i zakończenia działalności.
• Dane kontrahentów z faktur (dane powierzone): imię i nazwisko lub nazwa, NIP / numer VAT UE, kod kraju, adres, adres e-mail do wysyłki faktury, pozycje faktury, kwoty, daty, numer dokumentu i numer KSeF, pełna treść faktur pobranych z KSeF, wynik weryfikacji w rejestrze VIES.
• Dane z wyciągów bankowych (dane powierzone): nazwa lub imię i nazwisko drugiej strony operacji, numer jej rachunku, tytuł przelewu, kwota i data — mogą dotyczyć osób fizycznych (np. wypłata wynagrodzenia).
• Dane z raportu kasowego (dane powierzone; gdy Użytkownik prowadzi w BOTAX kasę firmy): imię i nazwisko osoby, która przyjmuje lub wydaje gotówkę w imieniu firmy (np. pracownika, który dostał zaliczkę na zakupy albo na poczet wynagrodzenia), oraz dowody KP i KW — kwota, data, rodzaj i opis operacji, kontrahent — a także saldo zaliczek tej osoby i miesięczne raporty kasowe. Numeru PESEL, adresu ani wysokości wynagrodzenia tej osoby nie zapisujemy. Dostęp do kasy mają osoby z rolą właściciela lub księgowego w zespole firmy, a nie ma go rola fakturzysty.
• Dane z list płac (dane powierzone): w Usłudze zapisujemy wyłącznie sumy listy (wynagrodzenie brutto, składki, zaliczka na podatek, kwota do wypłaty) i liczbę pozycji — bez imion, nazwisk i kwot poszczególnych osób. Przy odczycie wydruku PDF cały plik, wraz z danymi poszczególnych pracowników i zleceniobiorców, jest przekazywany do automatycznego odczytu przez model AI (pkt 4 i 5); po odczycie pliku nie przechowujemy.
• Dane małżonka (dane powierzone; tylko przy wspólnym rozliczeniu rocznym, jeśli Użytkownik je wpisze): imię, nazwisko, PESEL albo NIP, data urodzenia, informacje o małżeństwie i wspólności majątkowej, przychody, koszty, dochody, składki i zaliczki, a także ślad oświadczenia Użytkownika (data, kto je złożył, odcisk treści). Adresu ani danych kontaktowych małżonka nie zbieramy. Dane małżonka nie są przekazywane dostawcom zewnętrznym (poza dostawcą hostingu, na którego serwerze działa Usługa) — trafiają wyłącznie do pliku zeznania, który Użytkownik pobiera.
• Dane osób zapraszanych do zespołu firmy (dane powierzone): adres e-mail i rola; niewykorzystane zaproszenie wygasa po 7 dniach. Po przyjęciu zaproszenia osoba zakłada własne Konto, którego dane przetwarzamy jako administrator.
• Dane techniczne: identyfikator sesji (cookie BOTAXSESS); adres IP i identyfikator przeglądarki (user agent) w dzienniku zdarzeń bezpieczeństwa; adres IP w licznikach prób logowania (przez 15 minut) i w dzienniku błędów; znaczniki czasowe.
• Dane rozliczeniowe: status płatności, identyfikatory transakcji u Operatora Płatności (Przelewy24), adres e-mail przekazywany Operatorowi Płatności, dane na fakturze abonamentowej (nazwa, NIP, adres) i jej numer w KSeF. Danych karty płatniczej nie przetwarzamy ani nie przechowujemy — obsługuje je Operator Płatności.

Usługa nie wymaga podawania danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO) i nie zbiera ich celowo. Wydruków list płac w PDF, które zawierają takie dane (np. potrącenie składki związkowej lub zasiłek chorobowy), Użytkownik nie przekazuje do automatycznego odczytu — wczytuje je z pliku XLS, XLSX lub CSV, który BOTAX odczytuje bez udziału AI (Załącznik nr 1 do Regulaminu, §2 ust. 3). Jeżeli takie dane mimo to znajdą się w przekazanym dokumencie, są przetwarzane wyłącznie w ramach jego odczytu.

4. Odbiorcy danych

Dane mogą być przekazywane następującym odbiorcom:

• Dostawca hostingu (podmiot przetwarzający) — Hostinger International Ltd, 61 Lordou Vironos, 6023 Larnaka, Cypr — serwer Usługi, baza danych, kopie zapasowe na serwerze oraz skrzynka pocztowa kontakt@botax.pl. Centrum danych we Frankfurcie (Niemcy).
• Dostawca automatycznego odczytu dokumentów (AI) (podmiot przetwarzający) — Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, Irlandia — model Claude, używany przez komercyjne API. Gdy Użytkownik korzysta z automatycznego odczytu, przekazujemy: fakturę lub paragon (plik PDF, zdjęcie albo sama warstwa tekstowa PDF), a przy odczycie listy płac z pliku PDF — cały wydruk listy, wraz z imionami, nazwiskami i kwotami poszczególnych pracowników i zleceniobiorców. Zgodnie z warunkami komercyjnymi Anthropic nie może trenować modeli na tych danych. Anthropic usuwa dane wejściowe i wyniki w ciągu 30 dni od ich otrzymania lub wytworzenia, chyba że zostaną oznaczone jako naruszenie zasad korzystania z usługi (wtedy do 2 lat) albo dłuższego przechowywania wymaga prawo. Dane są przetwarzane w USA (pkt 5). Z funkcji można nie korzystać: fakturę można wprowadzić ręcznie, a listę płac wczytać z pliku XLS, XLSX lub CSV, który BOTAX odczytuje bez udziału AI.
• Dostawca wysyłki e-maili (podmiot przetwarzający) — Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) — wiadomości systemowe (weryfikacja adresu e-mail, reset hasła, powiadomienia, przypomnienia, zaproszenia do zespołu firmy) oraz faktury, które Użytkownik wysyła kontrahentom (plik PDF w załączniku). Przekazujemy adres odbiorcy, treść wiadomości i załączniki. Wiadomości są wysyłane z centrum danych w Irlandii, ale dane konta, metadane i dzienniki wiadomości Resend przechowuje w USA (pkt 5), przez 30 dni.
• Operator Płatności — PayPro S.A. (Przelewy24), ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935 — obsługa płatności online za Abonament; przekazujemy adres e-mail Użytkownika, kwotę i opis płatności. PayPro S.A. jest odrębnym administratorem danych przetwarzanych w celu realizacji płatności (krajowa instytucja płatnicza pod nadzorem KNF); szczegóły na stronie przelewy24.pl. Danych karty płatniczej nie otrzymujemy.
• Ministerstwo Finansów — Wykaz podatników VAT (Biała Lista: zapytanie o NIP firmy i kontrahenta) oraz Krajowy System e-Faktur (KSeF: faktury wysyłane i odbierane na polecenie Użytkownika, w wykonaniu jego obowiązku prawnego, a także faktury za Abonament).
• Komisja Europejska — system VIES: sprawdzenie numeru VAT UE kontrahenta z innego państwa Unii (w odpowiedzi system zwraca nazwę i adres kontrahenta; wynik przechowujemy przez 30 dni).
• Narodowy Bank Polski — tabele kursów walut; zapytanie zawiera wyłącznie kod waluty i datę, bez danych osobowych.
• Osoby upoważnione przez Użytkownika — członkowie zespołu firmy (np. księgowy), w zakresie nadanej im roli.
• Organy publiczne — wyłącznie na podstawie obowiązujących przepisów prawa.

Dane nie są profilowane ani sprzedawane podmiotom trzecim w celach marketingowych.

5. Przekazywanie danych poza EOG

Dane Usługi przechowywane są na serwerach naszego dostawcy hostingu (Hostinger International Ltd, z siedzibą na Cyprze) zlokalizowanych w Unii Europejskiej — w tym zakresie nie następuje przekazanie do państwa trzeciego (poza EOG).

Przy korzystaniu z automatycznego odczytu dokumentów dane trafiają do USA: umowę zawieramy z Anthropic Ireland, Limited, ale przetwarzanie odbywa się na serwerach w USA (Anthropic, PBC i jej dostawców infrastruktury chmurowej); Anthropic nie oferuje przetwarzania danych API wyłącznie w Unii Europejskiej. Anthropic nie uczestniczy w programie EU-US Data Privacy Framework (stan na 18.10.2026), dlatego przekazanie odbywa się na podstawie standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914 (moduły 2 i 3), włączonych do umowy powierzenia (DPA) Anthropic (art. 46 ust. 2 lit. c RODO). Treść umowy: anthropic.com/legal/data-processing-addendum. Skutki tego przekazania oceniliśmy (ocena skutków transferu), uwzględniając rodzaj przekazywanych dokumentów, przechowywanie ich przez Anthropic najwyżej przez 30 dni, zakaz trenowania modeli na tych danych oraz szyfrowanie połączenia.

Do wysyłki e-maili korzystamy z Resend (Plus Five Five, Inc., spółka z siedzibą w USA). Wiadomości są wysyłane z centrum danych w Irlandii (region eu-west-1), jednak dane konta, metadane i dzienniki wiadomości są przechowywane w USA. Plus Five Five, Inc. uczestniczy w programie EU-US Data Privacy Framework (stan na 18.10.2026: certyfikacja aktywna, w trakcie odnowienia), więc przekazanie odbywa się na podstawie decyzji Komisji stwierdzającej odpowiedni stopień ochrony (art. 45 RODO), a dodatkowo — standardowych klauzul umownych włączonych do umowy powierzenia Resend (resend.com/legal/dpa).

Płatności online obsługuje PayPro S.A. (Przelewy24) z siedzibą w Polsce (EOG) — realizacja płatności nie wiąże się z przekazaniem danych poza EOG.

6. Okresy przechowywania i usunięcie Konta

Dane przechowujemy przez okresy wskazane w pkt 2. Po usunięciu Konta:

• dane Konta oraz dane firmy — dokumenty, wyciągi bankowe, sumy list płac, dane małżonka, zeznania roczne i ustawienia — usuwamy z bazy danych od razu, jeżeli z firmą nie jest powiązany żaden inny użytkownik;
• jeżeli z firmą są powiązani inni użytkownicy (np. zaproszony księgowy), usunięcie Konta jednej osoby nie usuwa firmy: jej dane pozostają w Usłudze dla pozostałych użytkowników, a usuwamy je, gdy Konto usunie ostatni z nich;
• faktury za Abonament i dane płatności przechowujemy przez okres wymagany przepisami podatkowymi (co do zasady 5 lat);
• wpisy dziennika zdarzeń bezpieczeństwa tracą powiązanie z Kontem i są usuwane po 24 miesiącach od ich powstania;
• usunięte dane pozostają w kopiach zapasowych do ich rotacji — nie dłużej niż 30 dni na serwerze i 90 dni w kopiach zaszyfrowanych — i w tym czasie mogą zostać użyte wyłącznie do odtworzenia Usługi po awarii; jeżeli Usługa zostanie odtworzona z kopii, Konta usunięte po dacie tej kopii usuwamy ponownie;
• wpisy dziennika błędów usuwamy po 90 dniach, a wyniki sprawdzenia kontrahentów w VIES — po 30 dniach, niezależnie od usunięcia Konta.

Brak opłacenia Abonamentu przenosi Konto w tryb ograniczony (§6 ust. 7 Regulaminu). Jeżeli przez 12 miesięcy od końca ostatniego opłaconego okresu (albo okresu próbnego) nie wpłynie opłata, usuwamy Konto i dane firmy tak samo jak po kliknięciu „Usuń konto”; 30 dni wcześniej wysyłamy e-mail z uprzedzeniem i przypomnieniem o możliwości pobrania archiwum (ZIP).

7. Prawa Użytkownika

Każdej osobie, której dane przetwarzamy, przysługują następujące prawa wynikające z RODO:

• prawo dostępu do danych (art. 15 RODO);
• prawo do sprostowania nieprawidłowych danych (art. 16);
• prawo do usunięcia („prawo do bycia zapomnianym", art. 17) — z zastrzeżeniem obowiązków archiwizacyjnych;
• prawo do ograniczenia przetwarzania (art. 18);
• prawo do przenoszenia danych (art. 20) — w zakresie danych przetwarzanych na podstawie zgody lub umowy;
• prawo do sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu (art. 21);
• prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

W celu skorzystania z powyższych praw należy skontaktować się z Administratorem pod adresem kontakt@botax.pl.

Część praw Użytkownik realizuje sam, w aplikacji: dane firmy i dokumentów może poprawiać i usuwać na bieżąco, archiwum swojej ewidencji pobiera przyciskiem „Pobierz moje dane (ZIP)”, a Konto usuwa w sekcji „Twoje konto” → „Usuń konto”.

Osoby, których dane Użytkownik powierzył nam w ramach Usługi (np. jego kontrahenci, pracownicy, małżonek), realizują swoje prawa przede wszystkim wobec Użytkownika jako administratora tych danych; żądanie skierowane do nas przekażemy Użytkownikowi i pomożemy mu je wykonać.

8. Pliki cookies i pamięć przeglądarki

Aplikacja BOTAX wykorzystuje wyłącznie niezbędne pliki cookies, służące do utrzymania sesji zalogowanego Użytkownika:

• BOTAXSESS — identyfikator sesji PHP (HttpOnly, Secure, SameSite=Lax). Czas życia: do zamknięcia przeglądarki lub wylogowania; po 60 minutach bezczynności sesja wygasa po stronie serwera.

Aplikacja zapisuje też w pamięci przeglądarki Użytkownika (localStorage) ustawienia interfejsu — m.in. motyw, wybrany okres, ukryte podpowiedzi — oraz ostatnio wpisane w formularzu JPK dane kontaktowe i urząd skarbowy, żeby nie trzeba ich było wpisywać ponownie. Te informacje pozostają na urządzeniu Użytkownika do czasu wyczyszczenia danych przeglądarki. Zapisywanie ich nie wymaga zgody, bo służy wyłącznie funkcjom, z których Użytkownik sam korzysta (art. 399 ustawy — Prawo komunikacji elektronicznej).

BOTAX nie korzysta z plików cookies analitycznych, marketingowych ani trackingowych. Nie używamy zewnętrznych narzędzi typu Google Analytics, Facebook Pixel ani podobnych. Strony BOTAX korzystają z krojów pisma zapisanych na naszym serwerze, a wiadomości e-mail z BOTAX nie pobierają krojów pisma z zewnętrznych serwerów.

Wyłączenie obsługi cookies w przeglądarce uniemożliwi zalogowanie się do Usługi.

9. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania danych, w szczególności:

• komunikacja z aplikacją wyłącznie przez HTTPS (z nagłówkiem HSTS);
• hasła Użytkowników przechowywane w postaci skrótu bcrypt (nie w postaci jawnej); jednorazowe linki do weryfikacji e-maila i resetu hasła przechowywane jako skrót i ważne ograniczony czas;
• ochrona logowania: limit prób z jednego adresu IP i dla jednego konta, czasowa blokada konta po kilku nieudanych próbach, automatyczne wylogowanie po 60 minutach bezczynności, wylogowanie pozostałych urządzeń po zmianie lub resecie hasła;
• cookies sesyjne oznaczone flagami HttpOnly, Secure i SameSite=Lax;
• kontrola dostępu po stronie serwera: każdy Użytkownik widzi wyłącznie dane firm, do których ma dostęp, w zakresie swojej roli;
• tokeny KSeF i klucze prywatne certyfikatów KSeF szyfrowane algorytmem AES-256-GCM, kluczem przechowywanym poza bazą danych;
• codzienne kopie zapasowe bazy danych; kopie przechowywane poza serwerem są zaszyfrowane;
• automatyczne usuwanie wpisów dziennika zdarzeń starszych niż 24 miesiące i dziennika błędów starszych niż 90 dni;
• regularny, kwartalny przegląd wersji i znanych luk bezpieczeństwa w bibliotekach oprogramowania używanych przez Usługę.

Pełny opis środków stosowanych wobec danych powierzonych zawiera §5 Umowy powierzenia (Załącznik nr 1 do Regulaminu).

10. Profilowanie i automatyczne podejmowanie decyzji

Administrator nie podejmuje wobec Użytkownika decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na Użytkownika.

Automatyczny odczyt dokumentów przez model AI nie jest taką decyzją: jego wynik jest podpowiedzią, którą Użytkownik sprawdza i sam zatwierdza przed zapisaniem.

11. Zmiany Polityki prywatności

Administrator zastrzega sobie prawo do zmiany niniejszej Polityki prywatności w celu dostosowania jej do zmieniających się przepisów lub funkcji Usługi. O istotnych zmianach Użytkownicy zostaną poinformowani e-mailem lub przy pierwszym logowaniu po wejściu zmian w życie.

12. Kontakt

W sprawach związanych z ochroną danych osobowych prosimy o kontakt:

• e-mail: kontakt@botax.pl
• adres korespondencyjny: THE POARMA GROUP Sp. z o.o., ul. Zawiszy Czarnego 5C, 44-100 Gliwice