Polityka Prywatności

1. Administrator Danych Osobowych

Administratorem Twoich danych osobowych jest:

2. Zakres Zbieranych Danych Osobowych

W ramach świadczenia usług platformy Kiero OMS przetwarzamy następujące kategorie danych osobowych:

• Dane identyfikacyjne i rejestracyjne: imię, nazwisko, adres e-mail, zaszyfrowane hasło (bcrypt), identyfikator użytkownika
• Dane firmowe: nazwa organizacji, NIP, REGON, KRS, adres siedziby, forma prawna działalności
• Dane kontaktowe: numer telefonu, adres korespondencyjny, osoby kontaktowe
• Dane techniczne: adres IP, informacje o przeglądarce i systemie operacyjnym, User Agent, znaczniki czasu sesji, pliki cookies i lokalne dane przeglądarki
• Dane transakcyjne i operacyjne: historia zamówień, dane klientów, produkty, stany magazynowe, dokumenty (faktury, WZ), etykiety wysyłkowe – wprowadzone przez Użytkownika w ramach korzystania z platformy
• Dane płatnicze: historia transakcji, plan subskrypcyjny, historia faktur – dane kart płatniczych są przetwarzane wyłącznie przez PayU S.A. i nie są przechowywane przez Kiero OMS

3. Cel i Podstawa Prawna Przetwarzania

Dane osobowe przetwarzamy na następujących podstawach prawnych i w następujących celach:

4. Okres Przechowywania Danych

• Dane konta i profilu użytkownika: przez cały okres trwania umowy oraz 30 dni po usunięciu konta (okres retencji umożliwiający ewentualne przywrócenie); następnie trwale usuwane
• Dokumenty księgowe (faktury VAT, korekty): 5 lat od końca roku podatkowego, zgodnie z ustawą o rachunkowości i ordynacją podatkową
• Dane marketingowe (zgody, subskrypcje newslettera): do momentu wycofania zgody przez Użytkownika lub usunięcia konta
• Logi systemowe, dzienniki zdarzeń i zapisy bezpieczeństwa: 90 dni, po czym automatycznie usuwane
• Kopie zapasowe bazy danych: automatycznie tworzone co 24 godziny, przechowywane przez 30 dni, następnie trwale usuwane

Po usunięciu konta wszystkie dane operacyjne (zamówienia, produkty, klienci) są trwale i nieodwracalnie usuwane z serwerów Kiero OMS w ciągu 30 dni, z wyjątkiem danych, których przechowywanie jest wymagane przez przepisy prawa.

5. Udostępnianie i Powierzanie Danych Osobowych

Dane osobowe mogą być udostępniane lub powierzane wyłącznie następującym kategoriom odbiorców, na podstawie stosownych umów powierzenia przetwarzania danych:

• Infrastruktura i hosting: Supabase Inc. (baza danych PostgreSQL, przechowywanie plików – serwery w regionie UE), Cloudflare Inc. (CDN, ochrona DDoS, zarządzanie DNS) – dane przetwarzane zgodnie ze Standardowymi Klauzulami Umownymi KE
• Operator płatności: PayU S.A. z siedzibą w Poznaniu (KRS 0000274399) – wyłącznie dane transakcyjne niezbędne do realizacji płatności; dane kart płatniczych przetwarzane są bezpośrednio przez PayU w środowisku certyfikowanym PCI-DSS
• Usługi analityczne i monitoringowe: narzędzia do monitorowania wydajności systemu i bezpieczeństwa (dane zanonimizowane lub pseudonimizowane); dostawcy usług e-mail dla komunikacji transakcyjnej
• Organy publiczne i sądowe: Urząd Skarbowy, ZUS, organy ścigania – wyłącznie na podstawie obowiązującego prawa, na pisemne żądanie uprawnionego organu

Wszyscy podwykonawcy i podmioty przetwarzające są zobowiązani umową powierzenia przetwarzania danych do stosowania odpowiednich środków technicznych i organizacyjnych zapewniających ochronę danych zgodnie z RODO. Nie sprzedajemy danych osobowych żadnym podmiotom trzecim w celach komercyjnych.

6. Transfer Danych poza Europejski Obszar Gospodarczy (EOG)

Niektórzy nasi dostawcy infrastruktury (Cloudflare) mogą przetwarzać dane w krajach spoza Europejskiego Obszaru Gospodarczego. W każdym takim przypadku stosujemy odpowiednie zabezpieczenia gwarantujące odpowiedni poziom ochrony danych, w szczególności: Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską (decyzja 2021/914/UE), decyzje o adekwatności ochrony wydane przez Komisję Europejską. Supabase – provider bazy danych – przetwarza dane w regionie UE (Frankfurt, eu-central-1).

7. Twoje Prawa w Zakresie Ochrony Danych Osobowych

Zgodnie z RODO przysługują Ci następujące prawa, które możesz realizować kontaktując się z nami pod adresem legal@ehub.studio:

• Prawo dostępu (art. 15 RODO): prawo do uzyskania potwierdzenia, czy przetwarzamy Twoje dane osobowe, oraz do otrzymania kopii tych danych wraz z informacjami o celach i podstawach przetwarzania
• Prawo do sprostowania (art. 16 RODO): prawo do żądania niezwłocznego sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych osobowych
• Prawo do usunięcia / 'prawo do bycia zapomnianym' (art. 17 RODO): prawo do żądania usunięcia danych osobowych w przypadkach wskazanych w RODO; żądanie nie obejmuje danych, których przechowywanie jest wymagane przepisami prawa
• Prawo do ograniczenia przetwarzania (art. 18 RODO): prawo do żądania ograniczenia przetwarzania w przypadku kwestionowania prawidłowości danych, braku podstawy prawnej lub wniesienia sprzeciwu wobec przetwarzania
• Prawo do przenoszenia danych (art. 20 RODO): prawo do otrzymania swoich danych w ustrukturyzowanym, powszechnie używanym formacie (JSON/CSV) oraz przesłania ich innemu administratorowi; eksport dostępny bezpośrednio z panelu konta
• Prawo do sprzeciwu (art. 21 RODO): prawo do wniesienia sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO), w szczególności wobec przetwarzania na potrzeby marketingu bezpośredniego
• Prawo do wycofania zgody: prawo do wycofania zgody marketingowej w każdym czasie bez wpływu na zgodność z prawem przetwarzania, które miało miejsce przed jej wycofaniem
• Prawo do wniesienia skargi: prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) lub innego właściwego organu nadzorczego w państwie członkowskim UE

W celu realizacji powyższych praw prosimy o kontakt: legal@ehub.studio

8. Bezpieczeństwo Danych – Środki Techniczne i Organizacyjne

Stosujemy wielowarstwowe środki bezpieczeństwa zgodne z art. 32 RODO oraz standardami branżowymi:

• Szyfrowanie transmisji: protokół TLS 1.2/1.3 (HTTPS) dla wszystkich połączeń między przeglądarką a serwerem; certyfikaty SSL/TLS odnawiane automatycznie
• Szyfrowanie danych w spoczynku: baza danych PostgreSQL (Supabase) z szyfrowaniem AES-256 na poziomie dysku; wrażliwe pola (tokeny API, klucze integracji) szyfrowane dodatkowo na poziomie aplikacji
• Kontrola dostępu: mechanizm Row Level Security (RLS) w bazie danych zapewniający izolację danych między organizacjami; kontrola dostępu oparta na rolach (RBAC); uwierzytelnianie dwuskładnikowe (2FA) dostępne dla konta użytkownika
• Kopie zapasowe i ciągłość działania: automatyczne kopie zapasowe bazy danych co 24 godziny; replikacja danych; przechowywanie kopii przez 30 dni; plan odtwarzania po awarii (Recovery Time Objective < 4 h)
• Monitoring i wykrywanie zagrożeń: rejestrowanie logów zdarzeń bezpieczeństwa; monitoring anomalii i prób nieautoryzowanego dostępu; alerty bezpieczeństwa w czasie rzeczywistym; regularne przeglądy bezpieczeństwa
• Zasady organizacyjne: zasada najmniejszych uprawnień (Principle of Least Privilege) przy dostępie do danych produkcyjnych; polityka aktualizacji i zarządzania podatnościami; procedura zgłaszania naruszeń ochrony danych (notyfikacja UODO w ciągu 72 h od wykrycia)

9. Pliki Cookies i Technologie Śledzące

Platforma Kiero OMS używa plików cookies i podobnych technologii lokalnego przechowywania danych. Cookies niezbędne (sesja użytkownika, uwierzytelnianie, preferencje językowe i motywu) są wymagane do prawidłowego działania serwisu – nie wymagają zgody. Cookies analityczne (anonimowe dane o sposobie korzystania z platformy, wydajność) mogą być ustawiane wyłącznie po wyrażeniu zgody przez Użytkownika. Możesz zarządzać preferencjami cookies w ustawieniach konta lub poprzez ustawienia przeglądarki. Szczegółowe informacje o stosowanych plikach cookies, ich czasie przechowywania i podmiotach trzecich mających do nich dostęp znajdują się w Polityce Plików Cookies dostępnej w panelu ustawień.

10. Zmiany w Polityce Prywatności

Niniejsza Polityka Prywatności może być aktualizowana w związku ze zmianami przepisów prawa, wytycznych organów nadzorczych lub rozwojem usług Kiero OMS. O każdej istotnej zmianie Użytkownik zostanie poinformowany drogą e-mail na adres przypisany do konta z co najmniej 14-dniowym wyprzedzeniem przed wejściem zmian w życie. Aktualna wersja Polityki Prywatności jest zawsze dostępna pod adresem kiero-oms.pl/pl/privacy. Datę ostatniej aktualizacji znajdziesz na górze niniejszego dokumentu.

11. Kontakt w Sprawach Ochrony Danych