BOTAX podatki są proste

Regulamin świadczenia usług

Wersja 3.1 · obowiązuje od 2026-10-22

§1. Definicje

Na potrzeby niniejszego Regulaminu poniższe pojęcia oznaczają:

§2. Postanowienia ogólne

  1. Regulamin określa zasady świadczenia Usługi przez Usługodawcę oraz prawa i obowiązki Użytkowników.
  2. Usługa jest świadczona drogą elektroniczną w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną.
  3. Korzystanie z Usługi wymaga: dostępu do internetu, przeglądarki internetowej obsługującej standard HTML5, JavaScript i pliki cookies oraz aktywnego adresu e-mail.
  4. BOTAX nie jest oprogramowaniem księgowym w rozumieniu przepisów rachunkowych. Usługa wspiera Użytkownika w prowadzeniu uproszczonej ewidencji i przygotowaniu pliku JPK; nie zastępuje konsultacji z księgowym ani doradcą podatkowym.

§3. Zasady świadczenia Usługi

  1. Usługodawca świadczy Usługę 24 godziny na dobę, 7 dni w tygodniu, z zastrzeżeniem przerw technicznych niezbędnych do konserwacji systemu lub w przypadku awarii leżących po stronie dostawców infrastruktury.
  2. Usługodawca dokłada starań, by Usługa działała poprawnie, jednak nie gwarantuje nieprzerwanej dostępności ani braku błędów.
  3. Nowy Użytkownik otrzymuje bezpłatny Okres próbny (30 dni od założenia Konta) z pełną funkcjonalnością Usługi. Po jego upływie dalsze korzystanie wymaga opłacenia Abonamentu zgodnie z §6.

§4. Rejestracja Konta

  1. Założenie Konta wymaga podania adresu e-mail i ustawienia hasła o długości co najmniej 8 znaków oraz akceptacji Regulaminu i Polityki prywatności. Akceptacja Regulaminu oznacza także zawarcie Umowy powierzenia (Załącznik nr 1).
  2. Podając dane przy rejestracji, Użytkownik oświadcza, że są one prawdziwe i aktualne.
  3. Zabronione jest zakładanie Konta w cudzym imieniu bez upoważnienia oraz udostępnianie danych logowania osobom trzecim.
  4. Po założeniu Konta Użytkownik wskazuje firmę (NIP), w imieniu której prowadzi ewidencję. Dane firmy pobierane są z Wykazu Podatników VAT (Biała Lista MF).

§5. Korzystanie z Usługi

  1. Użytkownik samodzielnie wprowadza do Usługi dane faktur sprzedaży i kosztów (ręcznie albo przez automatyczne wyciąganie danych z plików PDF).
  2. Wynik kalkulacji VAT, zaliczki na PIT i eksportu JPK opiera się na danych wprowadzonych przez Użytkownika. Odpowiedzialność za poprawność danych źródłowych spoczywa na Użytkowniku.
  3. Plik JPK_V7M wygenerowany przez BOTAX podlega walidacji w narzędziu Klient JPK_WEB Ministerstwa Finansów. Złożenie deklaracji do urzędu skarbowego jest osobnym działaniem Użytkownika i wymaga podpisu kwalifikowanego, Profilu Zaufanego lub innej formy autoryzacji wymaganej przez Ministerstwo Finansów.
  4. Zabronione jest dostarczanie przez Użytkownika treści o charakterze bezprawnym, naruszających prawa osób trzecich, lub korzystanie z Usługi w sposób mogący zakłócić jej działanie.
  5. Automatyczny odczyt dokumentów (faktury i paragony w PDF lub jako zdjęcie, wydruki list płac w PDF) korzysta z modelu sztucznej inteligencji dostawcy zewnętrznego — Anthropic (szczegóły w Polityce prywatności i w Załączniku nr 1). Wynik odczytu jest podpowiedzią: Użytkownik sprawdza go i sam zatwierdza przed zapisaniem. Z odczytu automatycznego można nie korzystać — fakturę można wprowadzić ręcznie, a listę płac wczytać z pliku XLS, XLSX lub CSV, który BOTAX odczytuje na własnym serwerze, bez udziału dostawcy AI.

§5a. Powierzenie przetwarzania danych osobowych

  1. W zakresie danych osobowych, które Użytkownik wprowadza do Usługi w związku ze swoją działalnością — w szczególności danych kontrahentów, pracowników i zleceniobiorców, osób wskazanych w wyciągach bankowych, małżonka (przy wspólnym rozliczeniu rocznym) oraz osób zapraszanych do zespołu firmy — administratorem danych jest Użytkownik, a Usługodawca przetwarza je w imieniu Użytkownika jako podmiot przetwarzający.
  2. Zasady tego przetwarzania określa Umowa powierzenia (Załącznik nr 1). Umowa powierzenia jest zawierana w postaci elektronicznej z chwilą akceptacji Regulaminu i obowiązuje przez czas korzystania z Usługi oraz do usunięcia danych zgodnie z jej postanowieniami.
  3. W sprawach dotyczących przetwarzania danych osobowych w imieniu Użytkownika postanowienia Umowy powierzenia mają pierwszeństwo przed pozostałymi postanowieniami Regulaminu.
  4. Zasady przetwarzania danych, których administratorem jest Usługodawca (m.in. dane Konta, dane rozliczeniowe Abonamentu, dane techniczne), określa Polityka prywatności.

§6. Płatności i odstąpienie od umowy

  1. Usługa jest dostępna w ramach płatnego Abonamentu. Każdy nowy Użytkownik otrzymuje bezpłatny Okres próbny 30 dni od założenia Konta.
  2. Po Okresie próbnym dalsze korzystanie wymaga opłacenia Abonamentu. Opłata wynosi 35 zł netto (43,05 zł brutto, z 23% VAT) za jeden Okres rozliczeniowy (miesiąc).
  3. Płatność jest jednorazowa za dany Okres rozliczeniowy — bez automatycznego odnawiania. Użytkownik opłaca każdy kolejny miesiąc samodzielnie. (Płatność cykliczna kartą może zostać wprowadzona w przyszłości wyłącznie za uprzednią, wyraźną zgodą Użytkownika.)
  4. Płatności online obsługuje Operator Płatności — PayPro S.A. (Przelewy24). Usługodawca nie otrzymuje ani nie przechowuje danych karty płatniczej — obsługuje je wyłącznie Operator Płatności.
  5. Przed płatnością Użytkownik otrzymuje fakturę proforma; po zaksięgowaniu płatności — fakturę VAT z adnotacją o zapłacie. Faktury wystawia Usługodawca (THE POARMA GROUP Sp. z o.o.).
  6. Opłacenie Abonamentu aktywuje pełny dostęp na jeden Okres rozliczeniowy, liczony od daty aktywacji.
  7. Brak opłacenia Abonamentu (po Okresie próbnym lub po wygaśnięciu opłaconego okresu) skutkuje przejściem Konta w tryb ograniczony: Użytkownik zachowuje dostęp do odczytu i eksportu swoich danych, lecz nie może dodawać nowych dokumentów do czasu opłacenia Abonamentu. Dane nie są usuwane przez 12 miesięcy od końca ostatniego opłaconego Okresu rozliczeniowego (albo Okresu próbnego); jeżeli w tym czasie Abonament nie zostanie opłacony, Konto i dane firmy są usuwane tak jak przy usunięciu Konta przez Użytkownika (§9 ust. 1), o czym Usługodawca uprzedza Użytkownika e-mailem 30 dni wcześniej.
  8. Opłata za rozpoczęty, opłacony Okres rozliczeniowy nie podlega zwrotowi; Usługa działa do końca tego okresu.
  9. Usługa kierowana jest do przedsiębiorców w związku z prowadzoną działalnością gospodarczą.
  10. Konsumentowi oraz osobie fizycznej zawierającej umowę bezpośrednio związaną z jej działalnością gospodarczą, gdy nie ma ona dla niej charakteru zawodowego, przysługuje prawo odstąpienia od umowy w terminie 14 dni. Bezpłatny Okres próbny (30 dni) umożliwia rezygnację bez jakichkolwiek kosztów przed pierwszą płatnością.
  11. Usługa jest usługą cyfrową świadczoną od razu. Dokonując płatności i żądając natychmiastowego dostępu, Użytkownik wyraża zgodę na rozpoczęcie świadczenia przed upływem terminu odstąpienia i przyjmuje do wiadomości, że w zakresie Usługi już wykonanej traci prawo odstąpienia.
  12. Usługodawca odpowiada za zgodność Usługi cyfrowej z umową na zasadach określonych w ustawie o prawach konsumenta.

§7. Odpowiedzialność

  1. Usługodawca nie ponosi odpowiedzialności za:
    • nieprawidłowe wyniki kalkulacji wynikające z błędnych lub niekompletnych danych wprowadzonych przez Użytkownika;
    • skutki podjęcia przez Użytkownika decyzji podatkowej wyłącznie w oparciu o wyniki BOTAX bez konsultacji z księgowym lub doradcą podatkowym;
    • przerwy w działaniu Usługi spowodowane awariami po stronie dostawców infrastruktury (hosting, łącza internetowe).
  2. Niniejsze ograniczenia nie wyłączają ani nie ograniczają odpowiedzialności w zakresie, w jakim takie wyłączenie byłoby niezgodne z bezwzględnie obowiązującymi przepisami prawa, w szczególności wobec konsumentów.

§8. Reklamacje

  1. Reklamacje dotyczące Usługi można zgłaszać na adres e-mail kontakt@botax.pl.
  2. Zgłoszenie powinno zawierać: adres e-mail Konta, opis problemu i datę jego wystąpienia.
  3. Usługodawca rozpatruje reklamacje w terminie 14 dni od dnia otrzymania kompletnego zgłoszenia.

§9. Rozwiązanie umowy

  1. Użytkownik może w każdej chwili usunąć swoje Konto samodzielnie z poziomu aplikacji (sekcja „Twoje konto" → „Usuń konto") lub kontaktując się z Usługodawcą pod adresem kontakt@botax.pl. Usunięcie Konta skutkuje rozwiązaniem umowy ze skutkiem natychmiastowym.
  2. Usługodawca może rozwiązać umowę z Użytkownikiem za 14-dniowym wypowiedzeniem w przypadku rażącego naruszenia Regulaminu.
  3. Po rozwiązaniu umowy dane Użytkownika są usuwane zgodnie z zasadami określonymi w Polityce prywatności i w Umowie powierzenia (§8 Załącznika nr 1), z zastrzeżeniem obowiązków archiwizacyjnych wynikających z przepisów. Przed usunięciem Konta Użytkownik może pobrać archiwum swojej ewidencji (przycisk „Pobierz moje dane (ZIP)”). Obowiązek przechowywania własnych dokumentów księgowych i podatkowych przez okres wymagany przepisami spoczywa na Użytkowniku.
  4. Rezygnacja z Abonamentu następuje przez niedokonanie płatności za kolejny Okres rozliczeniowy; Usługa działa do końca opłaconego okresu, po czym Konto przechodzi w tryb ograniczony (§6 ust. 7). Faktury wystawione przez Usługodawcę są przechowywane przez okres wymagany przepisami podatkowymi niezależnie od usunięcia Konta.

§10. Postanowienia końcowe

  1. Usługodawca zastrzega sobie prawo do zmiany Regulaminu z ważnych przyczyn, w szczególności zmiany przepisów prawa lub funkcji Usługi. O zmianach Użytkownik zostanie poinformowany e-mailem oraz przy pierwszym logowaniu po wejściu zmian w życie. Zmiany wchodzą w życie w terminie wskazanym w wiadomości e-mail, nie krótszym niż 14 dni od jej wysłania. Użytkownik, który nie akceptuje zmian, może przed tym terminem usunąć Konto; dalsze korzystanie z Usługi po wejściu zmian w życie oznacza ich akceptację.
  2. W sprawach nieuregulowanych Regulaminem zastosowanie mają przepisy prawa polskiego, w szczególności Kodeksu cywilnego i ustawy o świadczeniu usług drogą elektroniczną.
  3. Spory wynikające z umowy będą rozstrzygane przez sąd właściwy dla siedziby Usługodawcy, z zastrzeżeniem przepisów dotyczących właściwości sądów dla konsumentów.

Załącznik nr 1 — Umowa powierzenia przetwarzania danych osobowych

Umowa zawarta pomiędzy Użytkownikiem — przedsiębiorcą, którego firma jest prowadzona w Usłudze — jako administratorem danych (dalej: Klient) a THE POARMA GROUP Sp. z o.o. z siedzibą w Gliwicach, ul. Zawiszy Czarnego 5C, 44-100 Gliwice, NIP 6312682372, KRS 0000754354, jako podmiotem przetwarzającym (dalej: POARMA), na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: RODO). Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

Zał. 1 · §1. Przedmiot, charakter i cel przetwarzania

  1. Klient powierza POARMIE przetwarzanie danych osobowych w zakresie i w celu niezbędnym do świadczenia Usługi zgodnie z Regulaminem: prowadzenia ewidencji podatkowej i dokumentacji firmy Klienta, wystawiania i odbierania faktur (w tym w Krajowym Systemie e-Faktur, dalej: KSeF), obliczania podatków i składek, przygotowywania plików JPK i deklaracji, uzgadniania płatności z wyciągami bankowymi oraz obsługi zespołu firmy w Usłudze.
  2. Przetwarzanie obejmuje: przechowywanie, porządkowanie, przeglądanie, odczyt danych z dokumentów (także automatyczny, z udziałem dostawcy sztucznej inteligencji — §6 ust. 1 pkt 2), obliczenia, zestawianie danych w raportach i plikach, przesyłanie danych na polecenie Klienta (do KSeF albo e-mailem do wskazanego przez niego odbiorcy) oraz usuwanie.
  3. Przetwarzanie odbywa się w sposób ciągły, przez czas korzystania z Usługi przez Klienta, a następnie do usunięcia danych zgodnie z §8.

Zał. 1 · §2. Kategorie osób i rodzaje danych

  1. Powierzenie obejmuje dane następujących kategorii osób, w zakresie, w jakim Klient lub osoby, którym nadał dostęp do firmy, wprowadzą je do Usługi:
    • kontrahenci Klienta (nabywcy i dostawcy, w tym osoby fizyczne prowadzące działalność gospodarczą i konsumenci) oraz ich osoby kontaktowe — imię i nazwisko lub nazwa, NIP lub numer VAT UE, kraj, adres, adres e-mail do wysyłki faktury, dane transakcji z faktur (pozycje, kwoty, daty, numery, numer KSeF), pełna treść faktur pobranych z KSeF, wynik weryfikacji w rejestrze VIES;
    • pracownicy i zleceniobiorcy Klienta — dane z wydruków list płac przekazanych do odczytu (ust. 2);
    • osoby wskazane w wyciągach bankowych — nazwa lub imię i nazwisko, numer rachunku, tytuł przelewu, kwota i data operacji;
    • osoby rozliczające gotówkę w kasie Klienta (np. pracownicy otrzymujący zaliczki) — imię i nazwisko oraz dane z dowodów kasowych KP i KW: kwota, data, rodzaj i opis operacji, saldo zaliczek; Usługa nie zbiera numeru PESEL, adresu ani wysokości wynagrodzenia tych osób; dostęp do tych danych mają osoby z rolą właściciela lub księgowego w zespole firmy;
    • małżonek Klienta (wyłącznie przy wspólnym rozliczeniu rocznym, gdy Klient wprowadzi te dane) — imię, nazwisko, PESEL albo NIP, data urodzenia, informacje o małżeństwie i wspólności majątkowej, przychody, koszty, dochody, składki i zaliczki; Usługa nie zbiera adresu ani danych kontaktowych małżonka; dostęp do tych danych mają osoby z rolą właściciela lub księgowego w zespole firmy, a nie ma go rola fakturzysty;
    • osoby zapraszane przez Klienta do zespołu firmy — adres e-mail i przydzielona rola; po przyjęciu zaproszenia dane Konta zaproszonej osoby przetwarza POARMA jako administrator (Polityka prywatności);
    • inne osoby, których dane znajdują się w treści dokumentów lub uwag wprowadzonych przez Klienta — w zakresie tam zawartym.
  2. Wydruk listy płac w formacie PDF jest w całości — wraz z danymi poszczególnych osób — przekazywany do automatycznego odczytu (§6 ust. 1 pkt 2). W Usłudze zapisywane są wyłącznie sumy listy (wynagrodzenie brutto, składki, zaliczka na podatek, kwota do wypłaty) i liczba pozycji; plik nie jest przechowywany po zakończeniu odczytu. Plik listy płac w formacie XLS, XLSX lub CSV jest odczytywany na serwerze POARMY, bez udziału dostawcy sztucznej inteligencji.
  3. Usługa nie służy do przetwarzania danych szczególnych kategorii ani danych dotyczących wyroków skazujących (art. 9 i 10 RODO) i nie wymaga ich podawania. Klient nie przekazuje do automatycznego odczytu wydruków list płac w PDF, które zawierają takie dane (np. potrącenie składki związkowej lub zasiłek chorobowy) — takie listy wczytuje z pliku XLS, XLSX lub CSV. Jeżeli takie dane mimo to znajdą się w przekazanym dokumencie, są przetwarzane wyłącznie w ramach jego odczytu.

Zał. 1 · §3. Polecenia Klienta

  1. POARMA przetwarza powierzone dane wyłącznie na udokumentowane polecenie Klienta, także w zakresie przekazywania danych do państwa trzeciego (§7). Udokumentowanym poleceniem jest Regulamin wraz z niniejszą Umową oraz każda czynność wykonana w Usłudze przez Klienta lub osobę, której nadał on dostęp do firmy (np. wgranie dokumentu, uruchomienie automatycznego odczytu, wysłanie faktury do KSeF lub e-mailem, zaproszenie osoby do zespołu).
  2. Jeżeli obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego, POARMA przed rozpoczęciem przetwarzania informuje o tym Klienta, chyba że prawo to zabrania udzielania takiej informacji.
  3. Jeżeli polecenie Klienta — zdaniem POARMY — stanowi naruszenie RODO lub innych przepisów o ochronie danych, POARMA niezwłocznie informuje o tym Klienta.

Zał. 1 · §4. Obowiązki POARMY

  1. Do przetwarzania powierzonych danych POARMA dopuszcza wyłącznie osoby, które mają jej pisemne upoważnienie i zobowiązały się na piśmie do zachowania tych danych w tajemnicy, także po ustaniu współpracy.
  2. POARMA stosuje środki bezpieczeństwa, o których mowa w art. 32 RODO, opisane w §5.
  3. POARMA pomaga Klientowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO), w szczególności udostępniając w Usłudze narzędzia do przeglądania, poprawiania i usuwania danych oraz eksportu ewidencji. Żądanie skierowane bezpośrednio do POARMY — także przez osobę, która nie ma Konta (np. małżonka Klienta) — POARMA przekazuje Klientowi bez zbędnej zwłoki, nie później niż w ciągu 7 dni, i pomaga mu je wykonać; sama nie usuwa danych ani nie wydaje ich osobie, której dotyczą, bez polecenia Klienta.
  4. POARMA, uwzględniając charakter przetwarzania i dostępne jej informacje, pomaga Klientowi wywiązać się z obowiązków określonych w art. 32–36 RODO.
  5. Po stwierdzeniu naruszenia ochrony powierzonych danych POARMA zawiadamia o nim Klienta bez zbędnej zwłoki, nie później niż w ciągu 36 godzin, e-mailem na adres Konta. Zawiadomienie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie znanym w chwili zawiadomienia; pozostałe POARMA przekazuje niezwłocznie po ich ustaleniu.
  6. POARMA udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzanie audytów, w tym inspekcji, przez Klienta lub upoważnionego przez niego audytora zobowiązanego do zachowania poufności. Audyt odbywa się w pierwszej kolejności w formie pisemnych pytań; inspekcję Klient zgłasza z wyprzedzeniem co najmniej 14 dni, nie częściej niż raz w roku (poza przypadkiem naruszenia ochrony danych lub żądania organu nadzorczego), na własny koszt i bez dostępu do danych innych Użytkowników.
  7. POARMA prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Klienta (art. 30 ust. 2 RODO).

Zał. 1 · §5. Środki bezpieczeństwa

POARMA stosuje w szczególności następujące środki techniczne i organizacyjne:

  1. połączenia z Usługą wyłącznie szyfrowane (HTTPS, z nagłówkiem HSTS wymuszającym szyfrowanie w przeglądarce);
  2. hasła przechowywane wyłącznie jako skrót bcrypt; jednorazowe linki do weryfikacji adresu e-mail i resetu hasła przechowywane jako skrót SHA-256 i ważne odpowiednio 7 dni i 1 godzinę;
  3. ochrona logowania: limit 10 prób w ciągu 15 minut dla pary adres IP i konto oraz 60 prób z jednego adresu IP; czasowa blokada konta po 5 nieudanych próbach (od 15 minut, wydłużana do 24 godzin); automatyczne wylogowanie po 60 minutach bezczynności; wylogowanie pozostałych urządzeń po zmianie lub resecie hasła; cookie sesyjne z flagami HttpOnly, Secure i SameSite=Lax; ponowne podanie hasła przed usunięciem Konta, odłączeniem firmy i zmianą hasła;
  4. rozdzielenie danych firm: każde żądanie jest sprawdzane po stronie serwera pod kątem zalogowanego użytkownika i jego uprawnień do danej firmy; role w zespole firmy (właściciel, księgowy, fakturzysta) mają różny zakres dostępu, a fakturzysta nie ma dostępu do zeznania rocznego ani danych małżonka;
  5. tokeny KSeF, klucze prywatne certyfikatów KSeF oraz tokeny dostępowe KSeF przechowywane w postaci zaszyfrowanej algorytmem AES-256-GCM, kluczem przechowywanym poza bazą danych i poza katalogiem publicznym serwera; numer PESEL widoczny w certyfikacie jest w Usłudze maskowany;
  6. minimalizacja danych: z list płac zapisywane są wyłącznie sumy; pliki wgrywane do automatycznego odczytu nie są przechowywane po jego zakończeniu; numer PESEL zwracany przez Wykaz podatników VAT nie jest zapisywany; dane małżonka nie trafiają do dziennika zdarzeń ani do eksportów;
  7. automatyczne usuwanie: wpisów dziennika zdarzeń bezpieczeństwa (m.in. logowania i zmiany ustawień, z adresem IP i identyfikatorem przeglądarki) starszych niż 24 miesiące, wpisów dziennika błędów starszych niż 90 dni oraz wyników sprawdzenia kontrahentów w VIES starszych niż 30 dni;
  8. limity chroniące przed nadużyciami: m.in. 60 żądań na minutę z jednego adresu IP dla operacji na dokumentach i 20 e-maili z fakturami na 10 minut dla jednego użytkownika; konto w Okresie próbnym może wysyłać faktury e-mailem dopiero po potwierdzeniu firmy w KSeF i w dziennym limicie;
  9. kopie zapasowe bazy danych: tworzone codziennie i przechowywane na serwerze poza katalogiem publicznym (30 ostatnich kopii); codziennie pobierane na komputer POARMY w Polsce i przechowywane tam wyłącznie w postaci zaszyfrowanej (GPG, klucz publiczny; klucz prywatny chroniony hasłem) przez 90 dni; udokumentowana procedura odtworzenia bazy z kopii;
  10. regularny, kwartalny przegląd wersji i znanych luk bezpieczeństwa w bibliotekach oprogramowania używanych przez Usługę.

Zał. 1 · §6. Dalsze powierzenie (podprzetwarzający)

  1. Klient udziela POARMIE ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających (art. 28 ust. 2 RODO). Na dzień zawarcia Umowy są to:
    1. Hostinger International Ltd, 61 Lordou Vironos, 6023 Larnaka, Cypr — hosting serwera Usługi, bazy danych, kopii zapasowych na serwerze i poczty e-mail; centrum danych we Frankfurcie (Niemcy);
    2. Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, Irlandia — automatyczny odczyt dokumentów (faktury i paragony; wydruki list płac w PDF) przez model sztucznej inteligencji Claude; przetwarzanie w USA (Anthropic, PBC i jej dostawcy infrastruktury chmurowej); Anthropic nie może trenować modeli na tych danych i usuwa je w ciągu 30 dni od otrzymania, z wyjątkami przewidzianymi w jego warunkach (naruszenie zasad korzystania — do 2 lat; obowiązek prawny);
    3. Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA — wysyłka wiadomości e-mail (faktury do kontrahentów wraz z plikiem PDF, zaproszenia do zespołu firmy, powiadomienia i przypomnienia); wysyłka z centrum danych w Irlandii, przechowywanie danych konta, metadanych i dzienników wiadomości w USA przez 30 dni.
  2. O zamiarze dodania lub zastąpienia podprzetwarzającego POARMA informuje Klienta e-mailem co najmniej 10 dni wcześniej. Klient może w tym terminie zgłosić sprzeciw; jeżeli strony nie dojdą do porozumienia, Klient może przed wejściem zmiany w życie rozwiązać umowę, usuwając Konto — POARMA zwraca mu wtedy część opłaty za Abonament proporcjonalną do niewykorzystanej części opłaconego Okresu rozliczeniowego.
  3. POARMA korzysta z podprzetwarzających na podstawie umów powierzenia (DPA) zawartych na standardowych warunkach tych dostawców, które nakładają na nich obowiązki ochrony danych wymagane przez art. 28 ust. 3 RODO, i odpowiada wobec Klienta za wykonanie ich obowiązków (art. 28 ust. 4 RODO).
  4. Podprzetwarzającymi nie są podmioty, do których dane trafiają w innej roli: Ministerstwo Finansów (KSeF — wysyłka i odbiór faktur na polecenie Klienta w wykonaniu jego obowiązku prawnego; Wykaz podatników VAT — sprawdzenie numeru NIP), Komisja Europejska (system VIES — sprawdzenie numeru VAT UE kontrahenta), Narodowy Bank Polski (kursy walut — bez danych osobowych) oraz PayPro S.A. (Przelewy24), która obsługuje płatność Klienta za Abonament jako odrębny administrator.

Zał. 1 · §7. Przekazywanie danych poza Europejski Obszar Gospodarczy

  1. Powierzone dane są przekazywane do państwa trzeciego (USA) wyłącznie w związku z korzystaniem z podprzetwarzających wskazanych w §6 ust. 1 pkt 2 i 3, na co Klient wyraża zgodę:
    • Anthropic — na podstawie standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914 (moduły 2 i 3), włączonych do umowy powierzenia Anthropic (art. 46 ust. 2 lit. c RODO); Anthropic nie uczestniczy w programie EU-US Data Privacy Framework (stan na 18.10.2026), dlatego POARMA przeprowadziła i udokumentowała ocenę skutków tego przekazania;
    • Resend — na podstawie decyzji Komisji stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (art. 45 RODO), w którym uczestniczy Plus Five Five, Inc., oraz standardowych klauzul umownych włączonych do umowy powierzenia Resend.
  2. POARMA poinformuje Klienta o zmianie podstawy przekazania, w szczególności o utracie certyfikacji przez podprzetwarzającego, w trybie §6 ust. 2.

Zał. 1 · §8. Usunięcie danych po zakończeniu Umowy

  1. Przed usunięciem Konta Klient może pobrać archiwum ewidencji (przycisk „Pobierz moje dane (ZIP)”: ewidencja dokumentów w plikach CSV i XLSX oraz potwierdzenia odbioru UPO z KSeF) oraz skorzystać z innych eksportów dostępnych w Usłudze. Pozostałe powierzone dane POARMA przekaże na żądanie Klienta zgłoszone przed usunięciem Konta, w ciągu 30 dni, w powszechnie używanym formacie elektronicznym (np. CSV).
  2. Z chwilą usunięcia Konta POARMA usuwa z bazy danych Usługi powierzone dane firmy, z którą nie jest powiązany żaden inny użytkownik. Usunięcie Konta jednej osoby nie usuwa firmy, z którą są powiązani inni użytkownicy (np. zaproszony księgowy): Umowa trwa wtedy dalej, a dane firmy są usuwane, gdy Konto usunie ostatni z tych użytkowników.
  3. Tak samo usuwane są Konto i dane firmy po 12 miesiącach bez opłacenia Abonamentu (§6 ust. 7 Regulaminu).
  4. Dane usunięte z bazy pozostają w kopiach zapasowych do ich rotacji — nie dłużej niż 30 dni na serwerze i 90 dni w kopiach zaszyfrowanych — i w tym czasie są wykorzystywane wyłącznie do odtworzenia Usługi po awarii. Po odtworzeniu Usługi z kopii POARMA ponownie usuwa dane Kont i firm usuniętych po dacie tej kopii.
  5. Dane przekazane podprzetwarzającym są usuwane zgodnie z ich warunkami — przez Anthropic i Resend w ciągu 30 dni od przekazania (Anthropic — z wyjątkami wskazanymi w §6 ust. 1 pkt 2).
  6. Umowa nie obejmuje danych, których administratorem jest POARMA (w szczególności danych Konta i rozliczeń Abonamentu) — ich los określa Polityka prywatności.

Zał. 1 · §9. Odpowiedzialność

POARMA odpowiada za szkody spowodowane przetwarzaniem na zasadach określonych w art. 82 RODO. Odpowiedzialność POARMY wobec Klienta z tytułu niniejszej Umowy jest ograniczona do sumy opłat za Abonament zapłaconych przez Klienta w ciągu 12 miesięcy przed zdarzeniem, które wyrządziło szkodę. Ograniczenie nie dotyczy szkody wyrządzonej umyślnie, roszczeń osób, których dane dotyczą (art. 82 RODO), ani Klienta będącego konsumentem lub osobą fizyczną, której przysługują uprawnienia konsumenta (§6 ust. 10 Regulaminu).

Zał. 1 · §10. Postanowienia końcowe

  1. Umowa obowiązuje przez czas korzystania z Usługi i wygasa z chwilą usunięcia danych zgodnie z §8.
  2. Zmiany Umowy następują w trybie przewidzianym dla zmian Regulaminu (§10 ust. 1 Regulaminu).
  3. W sprawach nieuregulowanych stosuje się RODO, Regulamin i przepisy prawa polskiego.