FinManager by TAX-24
Wersja 1.0. Dla nowych kont obowiązuje od dnia publikacji.
Dokument wyjaśnia zasady przetwarzania danych związanych ze stroną finmanager.pl, portalem app.finmanager.pl, kontami użytkowników oraz udostępnianiem i opłacaniem faktur TAX-24. Określenie „my” oznacza TAX-24. Polityka jest informacją, a nie zgodą na wszystkie opisane czynności.
1 Administrator i kontakt
Administratorem danych w opisanym poniżej zakresie jest Paweł Lipiński prowadzący działalność gospodarczą pod firmą Biuro Rachunkowe TAX-24 Paweł Lipiński, ul. Podgórna 46, 70-205 Szczecin, NIP 8512801279, REGON 320235801. Kontakt: biuro@tax-24.pl, +48 91 300 07 30 lub na podany adres pocztowy.
Jako administrator odpowiadamy m.in. za dane kont użytkowników, kontakty z klientami, własne rozliczenia i bezpieczeństwo portalu. Jeżeli przetwarzamy dokumenty pracowników lub kontrahentów klienta wyłącznie w celu świadczenia usług na jego zlecenie, możemy działać jako podmiot przetwarzający na podstawie odrębnej umowy powierzenia. Administratorem w tym zakresie jest klient, który określa cel przetwarzania. Własne obowiązki ustawowe TAX-24 mogą uzasadniać odrębną rolę administratora.
Niniejsza polityka nie zastępuje umowy powierzenia ani informacji przekazywanej przez pracodawcę lub innego administratora dokumentów. Wniosek dotyczący takich dokumentów pomożemy skierować do właściwego podmiotu. Kontakt podany wyżej służy również sprawom ochrony danych; jeśli zostanie wyznaczony inspektor ochrony danych, jego dane kontaktowe zostaną tu dodane.
2 Jakie dane otrzymujemy i skąd
Od użytkownika, klienta lub osoby zarządzającej dostępem otrzymujemy dane identyfikacyjne i kontaktowe, np. imię i nazwisko, firmę, NIP, adres, e-mail, telefon oraz informację o uprawnieniach do firmy. Dane firmy mogą być uzupełniane z publicznych rejestrów, w szczególności GUS, CEIDG lub KRS, jeżeli korzystamy z odpowiedniej funkcji.
Przetwarzamy dokumenty i wiadomości przekazane do portalu, dane faktur, kwoty i statusy rozliczeń oraz identyfikatory płatności. Zakres zależy od używanych funkcji. Dokumenty KSeF przetwarzamy w ramach skonfigurowanego i uprawnionego dostępu. Nie należy przesyłać danych niezwiązanych z celem obsługi.
Przy korzystaniu z serwisu powstają również dane techniczne: adres IP, czas i wynik żądania, informacje o przeglądarce lub urządzeniu, sesji i zdarzeniach bezpieczeństwa. Od dostawców poczty, SMS i płatności otrzymujemy odpowiednio statusy obsługi, błędy oraz potwierdzenia transakcji. Dane reprezentanta firmy mogą pochodzić od tej firmy, a nie bezpośrednio od niego.
3 Cele i podstawy przetwarzania
1. Konto i obsługa portalu. Dane potrzebne do świadczenia usługi osobie będącej stroną umowy przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO. Dane pracownika lub reprezentanta klienta obsługujemy na podstawie art. 6 ust. 1 lit. f RODO: naszym interesem jest prawidłowa realizacja współpracy z klientem oraz nadawanie i kontrola dostępu.
2. Faktury i płatności. Dane służą wystawieniu i udostępnieniu faktury, rozliczeniu należności, potwierdzeniu zapłaty i obsłudze zwrotu. Podstawą jest wykonanie umowy z osobą fizyczną (art. 6 ust. 1 lit. b), obowiązki podatkowe i rachunkowe (lit. c) oraz, w odniesieniu do reprezentantów i weryfikacji rozliczeń, prawnie uzasadniony interes (lit. f).
3. Kontakt, pomoc i reklamacje. Odpowiadamy na pytania, wyjaśniamy zgłoszenia i dokumentujemy ustalenia. Podstawą jest art. 6 ust. 1 lit. b w sprawach umownych, lit. c w zakresie obowiązków ustawowych oraz lit. f w pozostałym zakresie sprawnej komunikacji i wyjaśniania sporów.
4. Bezpieczeństwo. Kontrolujemy logowania, uprawnienia i nadużycia, rejestrujemy zdarzenia oraz wykonujemy kopie bezpieczeństwa. Podstawą jest art. 6 ust. 1 lit. f RODO: ochrona danych, ciągłości usług i praw użytkowników, a w zakresie wykonania obowiązków ustawowych także lit. c. Dostęp do rejestrów ograniczamy do osób, które go potrzebują.
5. Roszczenia i obowiązki prawne. Niezbędne dane zachowujemy, aby ustalić, dochodzić lub bronić roszczeń (art. 6 ust. 1 lit. f) oraz realizować obowiązki wynikające z przepisów, np. podatkowych i, gdy mają zastosowanie, przeciwdziałania praniu pieniędzy (lit. c). Nie oznacza to zachowywania całej zawartości konta bez ograniczenia czasu.
6. Marketing. Wiadomości promocyjne wysyłamy tylko po uzyskaniu wymaganej zgody na dany kanał. Jeśli podstawą przetwarzania danych jest zgoda, stosujemy art. 6 ust. 1 lit. a RODO. Ewentualny marketing oparty na uzasadnionym interesie podlega bezwarunkowemu sprzeciwowi wobec marketingu bezpośredniego. Informacja o takim konkretnym wykorzystaniu danych jest przekazywana przed jego rozpoczęciem.
Zaproszenia do konta, faktury, informacje o płatnościach i wiadomości dotyczące obsługi nie wymagają zgody marketingowej. Nie wolno uzależniać od niej dostępu do faktury lub konta. Zgody dotyczące usług partnerów muszą osobno określać cel, nadawcę i kanał; sama akceptacja regulaminu nie jest taką zgodą ani zgodą na przekazanie bazy kontaktów partnerom.
4 Czy trzeba podawać dane
Podanie danych do konta i kontaktu jest dobrowolne, lecz brak danych koniecznych do obsługi może uniemożliwić aktywację, weryfikację uprawnienia lub odpowiedź. Dane wymagane do faktury i wykonania obowiązków ustawowych mają charakter obowiązkowy w zakresie wynikającym z przepisów. Odmowa marketingu lub wycofanie zgody nie wpływają na realizację umowy ani otrzymanie dokumentów.
5 Odbiorcy danych i płatności Paynow
Dostęp do danych mają upoważnione osoby w TAX-24 i użytkownicy danej firmy, zgodnie z nadanymi uprawnieniami. Dane mogą być powierzane dostawcom hostingu, obsługi technicznej, poczty i SMS, w zakresie potrzebnym do ich usług i na właściwej podstawie. Organy publiczne i inni uprawnieni odbiorcy otrzymują dane, gdy wynika to z prawa. Nie sprzedajemy danych klientów.
W aktualnym modelu korzystamy z infrastruktury OVHcloud, wysyłki wiadomości Resend (Plus Five Five, Inc.), usług SMSAPI dla wiadomości SMS oraz Google Workspace dla korespondencji biura. Dostawca wiadomości może przetwarzać adres lub numer odbiorcy, treść, załączniki i metadane doręczenia. Każdemu przekazujemy dane w zakresie odpowiadającym faktycznie używanej funkcji.
Płatności obsługuje mElements S.A., ul. Prosta 18, 00-850 Warszawa, KRS 0000590484, NIP 5223047892 (Paynow). W związku z płatnością przekazujemy e-mail płacącego, kwotę, walutę, opis z numerem faktury, identyfikator transakcji oraz adres powrotu do strony konkretnej faktury. Otrzymujemy identyfikator i status płatności oraz dane niezbędne do rozliczenia. Nie przekazujemy operatorowi całej dokumentacji księgowej klienta.
mElements działa jako odrębny administrator danych w zakresie wykonywania własnych zadań operatora płatniczego. Dalsze dane wymagane przez bank lub daną metodę płatności użytkownik podaje w ich środowisku. TAX-24 nie otrzymuje hasła do bankowości ani pełnych danych autoryzacyjnych karty. Szczegóły dotyczące praw i przetwarzania przez operatora zawiera jego polityka prywatności.
Polityka prywatności mElements dla Paynow (nowa karta)
6 Przekazywanie danych poza Europejski Obszar Gospodarczy
Resend przechowuje treść wiadomości i rejestry ich obsługi w Stanach Zjednoczonych. Wybrany region wysyłki w Irlandii nie oznacza przechowywania tych danych wyłącznie w EOG. Korzystanie z usług i podwykonawców Google również może wiązać się z przetwarzaniem poza EOG.
Transfer wymaga podstawy przewidzianej w rozdziale V RODO. Warunki powierzenia Resend obejmują standardowe klauzule umowne Komisji Europejskiej. Dla pozostałych odbiorców podstawą jest odpowiedni mechanizm przewidziany w ich warunkach przetwarzania: obowiązująca decyzja o odpowiednim stopniu ochrony albo standardowe klauzule umowne, z oceną transferu i potrzebnymi środkami dodatkowymi.
Informację o zabezpieczeniach właściwych dla konkretnego transferu i kopię odpowiednich postanowień można uzyskać, pisząc na biuro@tax-24.pl, z ochroną danych innych osób oraz prawnie chronionych informacji. Nie opieramy technicznej obsługi faktury na ogólnej, wymuszonej zgodzie na transfer poza EOG.
7 Jak długo przechowujemy dane
1. Dane konta i współpracy: przez okres potrzebny do obsługi dostępu i umowy. Po jej zakończeniu pozostaje tylko zakres potrzebny do obowiązków ustawowych lub roszczeń, przez okres odpowiedni do rodzaju obowiązku i terminu przedawnienia. Samo zamknięcie konta nie usuwa legalnie przechowywanych dokumentów.
2. Własne faktury TAX-24 i rozliczenia podatkowe: co do zasady do upływu przedawnienia zobowiązania podatkowego, zwykle 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Okres może być dłuższy w przypadkach określonych prawem, np. zawieszenia lub przerwania biegu przedawnienia. Nie jest to uniwersalne 5 lat od daty dokumentu.
3. Dokumenty powierzone do obsługi: według umowy powierzenia, poleceń administratora i właściwych obowiązków ustawowych. Różne kategorie, np. dokumentacja kadrowa i podatkowa, mogą wymagać różnych okresów. Sam fakt dostępności faktury w KSeF nie zastępuje analizy obowiązku zachowania pozostałych dokumentów.
4. Reklamacje, spory i potwierdzenia istotnych czynności: do zakończenia sprawy, a następnie przez niezbędny okres ochrony roszczeń lub wykonania konkretnego obowiązku. Po ustaniu podstawy dane usuwa się lub anonimizuje.
5. Marketing: do wycofania zgody, skutecznego sprzeciwu albo zakończenia danego celu. Ograniczone potwierdzenie zgody, jej cofnięcia lub sprzeciwu może być zachowane dla rozliczalności i respektowania rezygnacji, przez uzasadniony okres.
6. Logi techniczne, zdarzenia bezpieczeństwa i kopie zapasowe: czas przechowywania ustala się z uwzględnieniem potrzeby utrzymania i odtworzenia systemu, wykrycia oraz wyjaśnienia incydentów, a także ochrony roszczeń. Obecnie nie stosujemy jednolitego automatycznego terminu usuwania tych danych. Kopie mają ograniczony dostęp i nie służą bieżącej obsłudze klienta. Dokumenty księgowe i dowody istotnych czynności podlegają odrębnym zasadom wskazanym powyżej. Informacje dotyczące konkretnych danych można uzyskać pod adresem biuro@tax-24.pl.
8 Prawa osoby i sposób ich realizacji
Możesz żądać dostępu do danych i kopii, sprostowania, usunięcia lub ograniczenia przetwarzania, a w przypadkach przewidzianych prawem także przeniesienia danych przetwarzanych automatycznie na podstawie zgody lub umowy. Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją. Sprzeciw wobec marketingu bezpośredniego nie wymaga uzasadnienia.
Zgodę możesz wycofać w każdym czasie; nie wpływa to na zgodność wcześniejszego przetwarzania z prawem. Usunięcie danych nie zawsze jest możliwe od razu, np. gdy obowiązuje ustawowa archiwizacja. W takim przypadku wyjaśnimy podstawę i zakres dalszego przetwarzania.
Wniosek wyślij na biuro@tax-24.pl. W razie uzasadnionych wątpliwości możemy poprosić o proporcjonalne potwierdzenie tożsamości. Odpowiadamy co do zasady w ciągu miesiąca; przy ustawowym przedłużeniu informujemy o przyczynie i terminie. Możesz również złożyć skargę do Prezesa UODO (uodo.gov.pl). W tym modelu portal nie podejmuje decyzji wywołujących skutki prawne wyłącznie automatycznie, w tym na podstawie profilowania.
9 Cookies i pamięć przeglądarki
Portal wykorzystuje pliki cookies i pamięć przeglądarki do logowania, ochrony żądań oraz funkcji interfejsu. Cookies są odczytywane przy żądaniach do serwisu, localStorage zachowuje ustawienia na urządzeniu, a sessionStorage służy przechowywaniu danych w obrębie karty przeglądarki.
• Sesja i zabezpieczenia logowania: cookie __Secure-authjs.session-token obsługuje logowanie; maksymalny czas sesji wynosi 12 godzin i może zakończyć się wcześniej, np. po wylogowaniu. Cookies __Host-authjs.csrf-token i __Secure-authjs.callback-url chronią żądania i obsługują powrót po logowaniu; są sesyjne, bez stałej daty wygaśnięcia. Przy przywracaniu sesji przeglądarka może je zachować.
• Preferencje: m.in. finmanager-theme i finmanager-density oraz zapisane widoki i układ kolumn w localStorage. Mogą pozostawać do zmiany ustawienia lub usunięcia danych strony. Nie służą same w sobie profilowaniu reklamowemu.
• Robocze formularze faktur: sessionStorage może zachować niezapisane dane kontrahenta i dokumentu w danej karcie. Aplikacja nie odtwarza kopii starszych niż 24 godziny; nie jest to gwarancja fizycznego usunięcia ich dokładnie po tym czasie. Kopie są czyszczone m.in. po zapisie, odrzuceniu lub wylogowaniu. Na współdzielonym urządzeniu należy też usunąć dane strony.
Mechanizmy ściśle niezbędne do transmisji lub wykonania usługi żądanej przez użytkownika nie wymagają zgody przewidzianej dla opcjonalnego przechowywania informacji w urządzeniu. Pozostałe mechanizmy wymagające zgody powinny być uruchamiane dopiero po jej wyrażeniu. Wybranie motywu lub zapisanie widoku należy ocenić jako konkretnie żądaną funkcję, a nie ogólną zgodę na wszystkie technologie.
Strona informacyjna finmanager.pl nie używa reklamowych ani analitycznych narzędzi śledzących; fonty i obrazy są dostarczane lokalnie. Nie zapisuje własnych cookies ani danych w pamięci przeglądarki. Dodanie opcjonalnych narzędzi śledzących wymaga aktualizacji tej informacji oraz, gdy jest to wymagane, mechanizmu zgody z równie łatwą odmową i wycofaniem.
Cookies i dane witryny można usunąć lub blokować w ustawieniach przeglądarki. Wyłączenie elementów niezbędnych może uniemożliwić logowanie lub zapis formularza. Zasady technologii na stronie Paynow lub banku określa właściwy dostawca. Zgoda na stronie TAX-24 nie zastępuje informacji i wyborów wymaganych u tych dostawców.
10 Poufność linków i aktualizacja informacji
Dostęp do konta wymaga logowania. Indywidualny link otrzymany e-mailem lub SMS-em może jednak otwierać konkretną fakturę bez logowania i zawierać możliwość zapłaty. Osoba, która otrzyma taki link, może uzyskać dostęp do dokumentu. Nie udostępniaj go publicznie; ujawnienie zgłoś do TAX-24. Ten model nie oznacza udostępnienia całego konta.
Polityka jest aktualizowana przy zmianie celów, odbiorców lub sposobów przetwarzania. Istotna zmiana zostanie zakomunikowana odpowiednio do jej zakresu. Aktualizacja polityki nie stanowi automatycznej zgody użytkownika na nowy cel przetwarzania.