Polityka Prywatności

Niniejsza Polityka Prywatności wyjaśnia zasady przetwarzania danych osobowych w związku z korzystaniem z serwisu DPP Compliance, na który składają się:

• Portal — strona informacyjna w domenie dppcompliance.pl (artykuły, narzędzia do wstępnej oceny, formularze kontaktowe i newsletter),
• Aplikacja — panel SaaS w domenie app.dppcompliance.pl, dostępny po założeniu konta.

1. Administrator danych

Administratorem Twoich danych osobowych jest Przemysław Kowalczyk, prowadzący jednoosobową działalność gospodarczą pod firmą CodeAir Przemysław Kowalczyk, ul. Herbu Oksza 6/45, 02-495 Warszawa, NIP: 7231621906, REGON: 369440990 (dalej: „Administrator"). W sprawach związanych z danymi osobowymi prosimy o kontakt pod adresem kontakt@dppcompliance.pl.

Administrator nie wyznaczył inspektora ochrony danych.

2. Administrator a podmiot przetwarzający

Polityka dotyczy danych, o których celach decyduje Administrator: danych z formularzy Portalu, danych kont, rozliczeń i danych technicznych. Dane osobowe, które Klient umieszcza w Aplikacji jako treść (na przykład dane osób kontaktowych w danych produktowych lub dokumentach), Administrator przetwarza jako podmiot przetwarzający na zlecenie Klienta, zgodnie z umową powierzenia zawartą w pkt 4 ust. 4 Regulaminu. Administratorem tych danych jest Klient.

3. Jakie dane przetwarzamy?

Portal

1. Dane z formularzy: adres e-mail, nazwa firmy (jeśli ją podasz) oraz treść formularza — wiadomość kontaktowa, zapis na newsletter albo odpowiedzi udzielone w narzędziu do oceny gotowości, jeśli prosisz o przesłanie wyniku.
2. Dane analityczne: informacje o sposobie korzystania z Portalu (odwiedzone strony, kliknięcia, przybliżona lokalizacja na podstawie adresu IP, typ urządzenia i przeglądarki), zbierane przez Google Analytics 4 i Microsoft Clarity, oraz zamaskowane nagrania sesji w Sentry (bez treści tekstów i obrazów) — wyłącznie po wyrażeniu zgody.
3. Dane o błędach: gdy w przeglądarce wystąpi błąd Portalu, do Sentry trafia jego opis wraz z adresem strony, typem przeglądarki i adresem IP.

Aplikacja

1. Dane konta: imię i nazwisko, adres e-mail, hasło (przechowywane wyłącznie jako jednokierunkowy skrót algorytmem scrypt), status weryfikacji adresu e-mail, przynależność do organizacji i pełnione w nich role.
2. Dane logowania przez Google: jeśli logujesz się kontem Google, otrzymujemy od Google identyfikator konta, adres e-mail, imię i nazwisko oraz zdjęcie profilowe.
3. Dane sesji i bezpieczeństwa: adres IP i identyfikator przeglądarki (User-Agent) zapisywane przy sesji logowania, a także dziennik zdarzeń (kto i kiedy wykonał istotną operację w organizacji, np. publikację paszportu lub zmianę uprawnień).
4. Dane rozliczeniowe: przy zakupie planu płatnego dane karty, adres i NIP podajesz bezpośrednio operatorowi płatności Stripe. Administrator nie otrzymuje numerów kart; przechowuje jedynie identyfikatory klienta i subskrypcji w systemie Stripe, status subskrypcji oraz dane faktur.

Aplikacja nie korzysta z narzędzi analitycznych.

Korespondencja

Treść wiadomości wysłanych do nas e-mailem.

4. Cele i podstawy prawne przetwarzania

Cel	Podstawa prawna (RODO)
Wysyłka newslettera	art. 6 ust. 1 lit. a — zgoda
Odpowiedź na formularz kontaktowy i przesłanie wyniku oceny gotowości	art. 6 ust. 1 lit. f — prawnie uzasadniony interes (odpowiedź na zapytanie)
Analityka Portalu (Google Analytics 4, Microsoft Clarity, nagrania sesji Sentry)	art. 6 ust. 1 lit. a — zgoda
Wykrywanie i naprawa błędów Portalu (Sentry)	art. 6 ust. 1 lit. f — prawnie uzasadniony interes
Założenie i prowadzenie konta, logowanie, świadczenie Usługi	art. 6 ust. 1 lit. b — wykonanie umowy
Wiadomości systemowe Aplikacji: weryfikacja adresu, reset hasła, powiadomienia o subskrypcji i o powiązaniu logowania Google	art. 6 ust. 1 lit. b — wykonanie umowy
Obsługa płatności, wystawianie faktur, obowiązki księgowo-podatkowe	art. 6 ust. 1 lit. b i c — wykonanie umowy i obowiązek prawny
Bezpieczeństwo, zapobieganie nadużyciom, dziennik zdarzeń	art. 6 ust. 1 lit. f — prawnie uzasadniony interes
Obsługa reklamacji i korespondencji, dochodzenie roszczeń	art. 6 ust. 1 lit. f — prawnie uzasadniony interes

Zgodę możesz wycofać w każdej chwili — na newsletter linkiem w wiadomości lub e-mailem, na analitykę linkiem „Ustawienia cookies” w stopce Portalu. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed jej wycofania.

Podanie danych jest dobrowolne, ale niezbędne do skorzystania z danej funkcji (bez adresu e-mail nie odpowiemy na zapytanie ani nie założymy konta). Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne.

5. Odbiorcy danych

Dane powierzamy wyłącznie podmiotom niezbędnym do działania serwisu:

Podmiot	Rola	Lokalizacja danych
OVH Sp. z o.o. (OVHcloud)	serwer, na którym działają Portal i Aplikacja oraz baza danych Aplikacji z kopiami zapasowymi	Polska (Warszawa)
Supabase, Inc.	baza danych przechowująca zgłoszenia z formularzy Portalu	wybrany region, z możliwym przekazaniem do USA
Sendinblue SAS (Brevo)	wysyłka wiadomości e-mail	UE
Stripe Payments Europe, Ltd.	obsługa płatności i subskrypcji	UE, z możliwym przekazaniem do USA
Google Ireland Ltd.	Google Analytics 4 na Portalu (po zgodzie)	UE, z możliwym przekazaniem do USA
Microsoft Ireland Operations Ltd.	Microsoft Clarity na Portalu (po zgodzie)	UE, z możliwym przekazaniem do USA
Functional Software, Inc. (Sentry)	monitorowanie błędów Portalu i nagrania sesji (po zgodzie)	UE (Niemcy), z możliwym przekazaniem do USA

Jeżeli logujesz się kontem Google, Google przetwarza dane logowania jako odrębny administrator na podstawie własnej polityki prywatności.

Dane mogą zostać udostępnione organom publicznym, gdy obowiązek taki wynika z przepisów prawa.

6. Przekazywanie danych poza EOG

Stripe, Supabase, Google, Microsoft i Sentry mogą przetwarzać dane w Stanach Zjednoczonych. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-U.S. Data Privacy Framework) lub standardowych klauzul umownych.

7. Okres przechowywania danych

• Zgłoszenia z formularzy Portalu — przez czas potrzebny do obsługi zapytania, nie dłużej niż 2 lata od ostatniego kontaktu.
• Adres zapisany na newsletter — do czasu wypisania się.
• Dane analityczne — zgodnie z ustawieniami narzędzi: do 14 miesięcy w Google Analytics 4, do 13 miesięcy w Microsoft Clarity.
• Dane o błędach i nagrania sesji w Sentry — do 90 dni.
• Dane konta — przez okres posiadania konta. Po usunięciu konta usuwamy je w ciągu 30 dni.
• Sesje logowania — wygasają po 7 dniach bezczynności.
• Kopie zapasowe bazy danych Aplikacji — są nadpisywane po 14 dniach, więc usunięte dane znikają z nich najpóźniej po tym czasie.
• Dziennik zdarzeń — przez okres istnienia organizacji, której dotyczy.
• Dane rozliczeniowe i faktury — przez 5 lat od końca roku, w którym upłynął termin płatności podatku, zgodnie z przepisami podatkowymi.
• Dane przetwarzane na podstawie prawnie uzasadnionego interesu — do czasu skutecznego sprzeciwu lub przedawnienia roszczeń.

8. Bezpieczeństwo danych

Połączenie z Portalem i Aplikacją jest szyfrowane (HTTPS), hasła przechowujemy wyłącznie w postaci skrótów, a dane każdej organizacji są od siebie odizolowane na poziomie bazy danych (Row Level Security). Identyfikatory u operatora płatności przechowujemy w postaci zaszyfrowanej. Pamiętaj, że opublikowanie Cyfrowego Paszportu Produktu czyni dane z jego publicznej części powszechnie dostępnymi — o zakresie publikacji decyduje Klient.

9. Twoje prawa

Zgodnie z RODO przysługuje Ci prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania danych nieprawidłowych lub niekompletnych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych przetwarzanych na podstawie umowy lub zgody,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wycofania zgody w dowolnym momencie,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Aby skorzystać z tych praw, napisz na kontakt@dppcompliance.pl, w przypadku konta w Aplikacji — z adresu przypisanego do konta. Odpowiemy w ciągu miesiąca. Jeśli Twoje dane umieścił w Aplikacji Klient, przekażemy żądanie temu Klientowi jako administratorowi.

10. Pliki cookies

Aplikacja (app.dppcompliance.pl)

Aplikacja używa wyłącznie plików cookies niezbędnych do jej działania, które nie wymagają zgody:

Cookie	Cel	Czas życia
dppcompliance.session_token i pokrewne z prefiksem dppcompliance	utrzymanie bezpiecznej sesji logowania	do 7 dni
dpp_active_organization	zapamiętanie organizacji, do której Aplikacja przenosi po zalogowaniu	30 dni

Portal (dppcompliance.pl)

Twoją decyzję w sprawie cookies Portal zapamiętuje w pamięci przeglądarki (localStorage, klucz dpp_cookie_consent); to niezbędne i nie wymaga zgody. Narzędzia analityczne są uruchamiane, a ich cookies zapisywane, dopiero po wyrażeniu zgody:

Cookie	Dostawca	Cel	Czas życia
_ga, _ga_*	Google Analytics 4	statystyki odwiedzin i ruchu	do 2 lat
_clck, _clsk, CLID	Microsoft Clarity	analiza sposobu korzystania ze stron, w tym nagrania sesji i mapy kliknięć	do 1 roku
sentryReplaySession (pamięć sesji przeglądarki)	Sentry	identyfikator nagrania sesji	do zamknięcia karty

Zgodę możesz w każdej chwili zmienić linkiem „Ustawienia cookies” w stopce Portalu. Wszystkie cookies możesz też usunąć w ustawieniach przeglądarki; usunięcie cookies Aplikacji wyloguje Cię z niej.

11. Zmiany Polityki Prywatności

O istotnych zmianach Polityki Prywatności użytkowników Aplikacji poinformujemy e-mailem przed ich wejściem w życie. Aktualna wersja jest zawsze dostępna w Portalu i pod adresem app.dppcompliance.pl/privacy.

---

W razie pytań dotyczących przetwarzania danych osobowych napisz do nas: kontakt@dppcompliance.pl.