Polityka Prywatności

Systemu OtoFaktura

§ 1. Informacje ogólne

1. Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych w związku z korzystaniem z Systemu OtoFaktura, dostępnego pod adresem https://otofaktura.pl.

2. Administratorem danych osobowych Użytkowników Systemu jest:

3. W sprawach związanych z przetwarzaniem danych osobowych oraz korzystaniem z praw wynikających z RODO można kontaktować się z Administratorem pod adresem poczty elektronicznej: info@otofaktura.pl.

4. Administrator stosuje odpowiednie środki techniczne i organizacyjne służące ochronie przetwarzanych danych osobowych, z uwzględnieniem charakteru, zakresu i celu przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych.

5. Polityka Prywatności ma zastosowanie w szczególności do:

1) osób zakładających Konto w Systemie;

2) Użytkowników korzystających z Systemu;

3) osób reprezentujących Użytkowników będących przedsiębiorcami lub innymi podmiotami;

4) pracowników i współpracowników Użytkowników upoważnionych do korzystania z Systemu;

5) osób kontaktujących się z Administratorem lub zgłaszających błędy, uwagi i propozycje dotyczące Systemu;

6) osób odwiedzających stronę internetową Systemu.

§ 2. Definicje

1. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie świadczenia usług drogą elektroniczną Systemu OtoFaktura, chyba że niniejsza Polityka Prywatności wyraźnie stanowi inaczej.

2. Przez RODO należy rozumieć rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

§ 3. Role stron w zakresie danych osobowych

1. Administrator jest administratorem danych osobowych przetwarzanych we własnych celach w związku z:

1) rejestracją i prowadzeniem Konta;

2) zawarciem i wykonywaniem Umowy;

3) logowaniem i korzystaniem z Systemu;

4) obsługą płatności abonamentowych;

5) wystawianiem dokumentów rozliczeniowych przez Administratora;

6) obsługą zgłoszeń, reklamacji i kontaktu z Administratorem;

7) zapewnieniem bezpieczeństwa Systemu, zapobieganiem nadużyciom oraz ustalaniem, dochodzeniem i obroną przed roszczeniami;

8) wykonywaniem obowiązków wynikających z przepisów prawa.

2. W zakresie danych osobowych wprowadzanych do Systemu przez Użytkownika, w szczególności danych jego klientów, kontrahentów, nabywców, odbiorców faktur, pracowników, współpracowników oraz osób reprezentujących te podmioty, administratorem danych pozostaje Użytkownik.

3. W zakresie wskazanym w ust. 2 Administrator działa jako podmiot przetwarzający dane osobowe na polecenie Użytkownika, na podstawie Umowy Powierzenia Przetwarzania Danych Osobowych zawartej pomiędzy Użytkownikiem a Administratorem.

4. Użytkownik odpowiada za zgodność z prawem danych wprowadzanych do Systemu, posiadanie odpowiedniej podstawy ich przetwarzania oraz wykonanie obowiązków informacyjnych wobec osób, których dane dotyczą.

5. Administrator nie wykorzystuje danych powierzonych przez Użytkownika do własnych celów marketingowych ani handlowych.

§ 4. Zakres przetwarzanych danych osobowych

1. Administrator może przetwarzać następujące dane Użytkowników oraz osób działających w ich imieniu:

1) imię i nazwisko;

2) nazwę firmy lub innego reprezentowanego podmiotu;

3) numer NIP;

4) adres poczty elektronicznej;

5) numer telefonu;

6) adres prowadzenia działalności, siedziby lub adres korespondencyjny;

7) stanowisko, funkcję albo zakres uprawnień w Systemie;

8) dane niezbędne do zawarcia i wykonywania Umowy oraz wystawienia dokumentów rozliczeniowych;

9) dane dotyczące wybranego Planu, okresu rozliczeniowego i statusu płatności;

10) dane zawarte w korespondencji, zgłoszeniach i reklamacjach kierowanych do Administratora.

2. W związku z korzystaniem z Systemu Administrator może przetwarzać dane techniczne i eksploatacyjne, w szczególności:

1) adres IP;

2) identyfikator sesji;

3) datę i godzinę logowania, wylogowania oraz ostatniej aktywności;

4) informacje o urządzeniu, przeglądarce i systemie operacyjnym;

5) informacje o aktywności w Systemie;

6) ustawienia Konta i interfejsu;

7) informacje o próbach uwierzytelnienia, aktywnych sesjach i zdarzeniach związanych z bezpieczeństwem;

8) dane niezbędne do diagnozowania błędów i zapewnienia prawidłowego działania Systemu.

3. Jeżeli Użytkownik korzysta z integracji z KSeF, w Systemie mogą być przetwarzane również:

1) dane identyfikacyjne podatnika i osób uprawnionych do działania w jego imieniu;

2) dane zawarte w fakturach i innych dokumentach obsługiwanych przez System;

3) numery KSeF, urzędowe poświadczenia odbioru, statusy wysyłki i inne informacje zwracane przez KSeF;

4) dane uwierzytelniające, certyfikaty, klucze lub inne poświadczenia udostępnione przez Użytkownika w celu korzystania z KSeF;

5) informacje techniczne związane z komunikacją Systemu z KSeF.

4. Zakres danych powierzanych przez Użytkownika zależy od sposobu korzystania z Systemu i może obejmować w szczególności dane znajdujące się na fakturach, dokumentach księgowych, dokumentach magazynowych, kartotekach kontrahentów i towarów oraz w innych dokumentach tworzonych lub przechowywanych w Systemie.

5. Użytkownik powinien wprowadzać do Systemu wyłącznie dane niezbędne do korzystania z jego funkcjonalności i realizacji zgodnych z prawem celów Użytkownika.

§ 5. Cele i podstawy prawne przetwarzania danych

1. Dane osobowe, w odniesieniu do których Administrator samodzielnie określa cele i sposoby przetwarzania, są przetwarzane w następujących celach i na następujących podstawach prawnych:

1) podjęcie działań przed zawarciem Umowy, utworzenie i prowadzenie Konta, świadczenie Usług oraz wykonywanie Umowy – na podstawie art. 6 ust. 1 lit. b RODO;

2) prowadzenie rozliczeń, wystawianie i przechowywanie dokumentów księgowych oraz wykonywanie obowiązków podatkowych i innych obowiązków prawnych – na podstawie art. 6 ust. 1 lit. c RODO;

3) obsługa zapytań, zgłoszeń i reklamacji – na podstawie art. 6 ust. 1 lit. b RODO, jeżeli dotyczą zawarcia lub wykonywania Umowy, albo art. 6 ust. 1 lit. f RODO w pozostałych przypadkach;

4) zapewnienie bezpieczeństwa Systemu i Kont, wykrywanie nadużyć, zapobieganie naruszeniom oraz diagnozowanie błędów – na podstawie art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadnionego interesu Administratora;

5) ustalanie, dochodzenie i obrona przed roszczeniami – na podstawie art. 6 ust. 1 lit. f RODO;

6) prowadzenie bieżącej komunikacji z Użytkownikami dotyczącej funkcjonowania Systemu, zmian organizacyjnych, technicznych lub prawnych oraz wykonywania Umowy – na podstawie art. 6 ust. 1 lit. b lub lit. f RODO, zależnie od charakteru komunikatu.

2. Dane osób reprezentujących Użytkownika oraz jego pracowników i współpracowników mogą być przetwarzane na podstawie art. 6 ust. 1 lit. f RODO, w prawnie uzasadnionym interesie Administratora i Użytkownika polegającym na zawarciu i wykonywaniu Umowy, weryfikacji umocowania, zapewnieniu kontaktu oraz zarządzaniu dostępem do Systemu.

3. Dane powierzone przez Użytkownika są przetwarzane przez Administratora wyłącznie w celu świadczenia Usług i wykonywania udokumentowanych poleceń Użytkownika, zgodnie z Umową Powierzenia Przetwarzania Danych Osobowych.

4. Podanie danych jest dobrowolne, jednak podanie danych oznaczonych jako wymagane jest niezbędne do utworzenia Konta, zawarcia lub wykonywania Umowy albo realizacji obowiązku prawnego. Niepodanie takich danych może uniemożliwić korzystanie z całości lub części Usług.

§ 6. Płatności i dokumenty rozliczeniowe

1. W przypadku korzystania z płatności elektronicznych dane niezbędne do zrealizowania płatności są przekazywane wybranemu operatorowi płatności.

2. Operatorem płatności udostępnianym w Systemie może być PayPro S.A., świadcząca usługi pod marką Przelewy24. Operator płatności przetwarza dane zgodnie z własnymi zasadami ochrony prywatności i w zakresie, w którym samodzielnie określa cele i sposoby przetwarzania, jest odrębnym administratorem danych osobowych.

3. Administrator nie przechowuje pełnych danych kart płatniczych. Jeżeli płatność cykliczna wymaga zapamiętania metody płatności, odpowiednie dane lub identyfikatory płatnicze są obsługiwane przez operatora płatności zgodnie z zasadami świadczenia jego usług.

4. Dane dotyczące płatności, Planu, okresu rozliczeniowego i statusu transakcji mogą być przechowywane przez Administratora w zakresie niezbędnym do realizacji Umowy, prowadzenia rozliczeń i obsługi reklamacji.

§ 7. Integracja z KSeF

1. Integracja z KSeF umożliwia, zależnie od zakresu funkcjonalności Systemu, w szczególności przygotowywanie, wysyłanie, odbieranie, pobieranie i przechowywanie faktur ustrukturyzowanych oraz sprawdzanie statusu ich przetwarzania.

2. Dane są przekazywane do KSeF na polecenie Użytkownika albo w wyniku działania funkcji skonfigurowanej przez Użytkownika, zgodnie z nadanymi uprawnieniami i obowiązującymi przepisami prawa.

3. Użytkownik odpowiada za posiadanie uprawnień wymaganych do korzystania z KSeF oraz za prawidłowość i legalność danych przekazywanych za pośrednictwem Systemu.

4. KSeF jest systemem teleinformatycznym administracji publicznej, niezależnym od Administratora. Zasady przetwarzania danych w KSeF określają właściwe przepisy prawa i informacje publikowane przez organy administracji publicznej odpowiedzialne za funkcjonowanie KSeF.

5. Administrator nie ma wpływu na dostępność KSeF ani na okres przechowywania danych w tym systemie.

§ 8. Odbiorcy danych osobowych

1. Dane osobowe mogą być przekazywane podmiotom współpracującym z Administratorem wyłącznie w zakresie niezbędnym do świadczenia Usług, wykonywania Umowy, realizacji obowiązków prawnych lub zapewnienia prawidłowego i bezpiecznego działania Systemu.

2. Odbiorcami danych mogą być w szczególności:

1) dostawcy usług hostingowych, infrastruktury serwerowej, kopii zapasowych i poczty elektronicznej;

2) operatorzy płatności elektronicznych;

3) dostawcy usług informatycznych, serwisowych, bezpieczeństwa i wsparcia technicznego;

4) podmioty świadczące na rzecz Administratora usługi księgowe, prawne, audytowe lub doradcze;

5) organy administracji publicznej, w tym organy odpowiedzialne za KSeF, oraz inne podmioty uprawnione do otrzymania danych na podstawie przepisów prawa.

3. Podmioty przetwarzające dane na zlecenie Administratora są zobowiązane do ich ochrony na podstawie zawartych umów oraz obowiązujących przepisów prawa.

§ 9. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Co do zasady Administrator korzysta z rozwiązań umożliwiających przetwarzanie danych na terytorium Europejskiego Obszaru Gospodarczego.

2. Jeżeli korzystanie z określonej usługi lub technologii będzie wiązało się z przekazaniem danych poza Europejski Obszar Gospodarczy, Administrator zapewni podstawę prawną oraz odpowiednie zabezpieczenia wymagane przez RODO.

3. Przekazanie danych może odbywać się w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych zatwierdzonych przez Komisję Europejską albo innego mechanizmu przewidzianego przez przepisy prawa.

4. Informację o zastosowanych zabezpieczeniach lub możliwość uzyskania ich kopii można otrzymać, kontaktując się z Administratorem na adres wskazany w § 1 ust. 3.

§ 10. Okres przechowywania danych

1. Dane związane z Kontem i wykonywaniem Umowy są przechowywane przez okres obowiązywania Umowy, a po jej zakończeniu przez okres niezbędny do wykonania obowiązków prawnych oraz do upływu terminów przedawnienia roszczeń.

2. Dane zawarte w dokumentacji księgowej, podatkowej i rozliczeniowej są przechowywane przez okres wymagany przez obowiązujące przepisy prawa.

3. Dane przetwarzane w celu obsługi zapytań, zgłoszeń i reklamacji są przechowywane przez okres niezbędny do zakończenia sprawy, a następnie do upływu terminu przedawnienia związanych z nią roszczeń, chyba że przepisy prawa wymagają dłuższego okresu.

4. Dane przetwarzane w celu zapewnienia bezpieczeństwa Systemu, zawarte w logach i rejestrach zdarzeń, są przechowywane przez okres niezbędny do wykrywania nadużyć, wyjaśniania incydentów, zapewnienia rozliczalności i ochrony przed roszczeniami, odpowiedni do rodzaju i znaczenia danego zdarzenia.

5. Dane przetwarzane przez Administratora jako podmiot przetwarzający są przechowywane zgodnie z Regulaminem, Umową oraz Umową Powierzenia Przetwarzania Danych Osobowych, a po zakończeniu świadczenia Usług są usuwane albo zwracane na zasadach określonych w tych dokumentach, z uwzględnieniem istniejących Kopii Zapasowych i obowiązków wynikających z prawa.

6. Usunięcie danych z Kopii Zapasowych następuje w toku ich planowej rotacji, chyba że przepisy prawa wymagają ich dalszego przechowywania.

§ 11. Prawa osób, których dane dotyczą

1. Osobie, której dane dotyczą, przysługują – w przypadkach i na zasadach określonych w RODO – następujące prawa:

1) prawo dostępu do danych i otrzymania ich kopii;

2) prawo do sprostowania danych;

3) prawo do usunięcia danych;

4) prawo do ograniczenia przetwarzania;

5) prawo do przenoszenia danych;

6) prawo wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO, z przyczyn związanych ze szczególną sytuacją tej osoby;

7) prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

2. Żądania dotyczące wykonywania praw można kierować na adres: info@otofaktura.pl.

3. Przed realizacją żądania Administrator może zwrócić się o dodatkowe informacje niezbędne do potwierdzenia tożsamości osoby składającej żądanie.

4. Zakres poszczególnych praw oraz możliwość ich realizacji mogą zależeć od podstawy prawnej i celu przetwarzania. Administrator może odmówić realizacji żądania wyłącznie w przypadkach przewidzianych przez prawo.

5. Jeżeli żądanie dotyczy danych powierzonych Administratorowi przez Użytkownika, osoba, której dane dotyczą, powinna skierować żądanie bezpośrednio do tego Użytkownika jako administratora danych. Administrator wspiera Użytkownika w realizacji takiego żądania na zasadach określonych w Umowie Powierzenia Przetwarzania Danych Osobowych.

§ 12. Pliki cookies i mechanizmy sesyjne

1. System wykorzystuje pliki cookies oraz podobne mechanizmy techniczne niezbędne do prawidłowego i bezpiecznego świadczenia Usług.

2. Pliki cookies i mechanizmy sesyjne mogą być wykorzystywane w szczególności w celu:

1) utrzymania sesji po zalogowaniu;

2) uwierzytelnienia Użytkownika i ochrony Konta;

3) zapobiegania nadużyciom i zapewnienia bezpieczeństwa Systemu;

4) zapamiętywania ustawień wybranych przez Użytkownika;

5) zapewnienia prawidłowego działania poszczególnych funkcji Systemu.

3. Cookies niezbędne są stosowane w celu świadczenia Usługi żądanej przez Użytkownika i nie wymagają zgody.

4. Strona publiczna OtoFaktura może wykorzystywać Google Analytics 4 wyłącznie po uzyskaniu zgody Użytkownika na cookies analityczne. Domyślnie zgoda analityczna jest wyłączona.

5. Administrator nie wykorzystuje plików cookies do prowadzenia reklamy behawioralnej ani remarketingu na stronie publicznej.

6. Użytkownik może zmienić ustawienia cookies w panelu zgód dostępnym na stronie albo w ustawieniach swojej przeglądarki. Szczegółowe informacje zawiera Polityka cookies.

§ 13. Logi systemowe i bezpieczeństwo Konta

1. W celu zapewnienia bezpieczeństwa Systemu, ochrony danych oraz prawidłowego świadczenia Usług Administrator prowadzi logi systemowe i rejestry zdarzeń.

2. Logi mogą obejmować w szczególności:

1) adres IP;

2) identyfikator sesji;

3) datę i godzinę logowania, wylogowania oraz aktywności;

4) informacje o udanych i nieudanych próbach uwierzytelnienia;

5) informacje o aktywnych sesjach, urządzeniu i przeglądarce;

6) informacje o operacjach wykonanych w Systemie, w zakresie niezbędnym do zapewnienia bezpieczeństwa i rozliczalności;

7) informacje o błędach oraz zdarzeniach związanych z działaniem i bezpieczeństwem Systemu;

8) informacje techniczne dotyczące komunikacji z KSeF i innymi usługami zintegrowanymi z Systemem.

3. Logi są wykorzystywane w celu zapewnienia bezpieczeństwa, wykrywania nadużyć, diagnozowania błędów, ochrony Kont przed nieuprawnionym dostępem, wyjaśniania incydentów oraz ustalania, dochodzenia i obrony przed roszczeniami.

4. Użytkownik jest zobowiązany do zachowania poufności danych umożliwiających dostęp do Konta i poświadczeń KSeF oraz do nieudostępniania ich osobom nieuprawnionym.

5. W przypadku podejrzenia nieuprawnionego dostępu do Konta lub ujawnienia poświadczeń Użytkownik powinien niezwłocznie zmienić dane dostępowe, odwołać zagrożone poświadczenia, jeżeli jest to możliwe, oraz poinformować Administratora.

6. Administrator może czasowo ograniczyć dostęp do Konta, zakończyć aktywne sesje lub zastosować inne odpowiednie środki, jeżeli jest to uzasadnione ochroną Systemu, danych lub interesów Użytkowników.

§ 14. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne służące ochronie danych osobowych przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, zmianą, nieuprawnionym ujawnieniem albo nieuprawnionym dostępem.

2. Stosowane środki mogą obejmować w szczególności:

1) szyfrowanie transmisji danych;

2) kontrolę dostępu oraz system ról i uprawnień;

3) ochronę poświadczeń i mechanizmy uwierzytelniania;

4) rejestrowanie zdarzeń istotnych dla bezpieczeństwa;

5) wykonywanie Kopii Zapasowych;

6) zabezpieczenia infrastruktury serwerowej;

7) aktualizowanie oprogramowania i ograniczanie podatności;

8) procedury reagowania na incydenty i odtwarzania dostępności danych.

3. Szczegółowy zakres środków bezpieczeństwa jest dostosowywany do ryzyka, rozwoju technologii oraz zmian w sposobie działania Systemu. Ze względów bezpieczeństwa szczegółowa konfiguracja zabezpieczeń nie jest publikowana.

§ 15. Zautomatyzowane podejmowanie decyzji

1. Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały.

§ 16. Zmiany Polityki Prywatności

1. Polityka Prywatności może być zmieniana w szczególności w związku ze zmianą przepisów prawa, funkcjonalności Systemu, wykorzystywanych usług, technologii lub sposobu przetwarzania danych.

2. Aktualna wersja Polityki Prywatności jest publikowana w Systemie wraz z datą rozpoczęcia jej obowiązywania.

3. O istotnych zmianach dotyczących przetwarzania danych osobowych Administrator poinformuje Użytkowników w odpowiedni sposób, w szczególności za pośrednictwem Systemu lub wiadomości przesłanej na adres poczty elektronicznej przypisany do Konta.

4. Zmiana Polityki Prywatności nie ogranicza praw przysługujących osobom, których dane dotyczą, na podstawie obowiązujących przepisów prawa.

§ 17. Postanowienia końcowe

1. Polityka Prywatności obowiązuje od dnia 18 lipca 2026 r.

2. W sprawach nieuregulowanych w Polityce Prywatności stosuje się RODO oraz inne obowiązujące przepisy prawa polskiego i prawa Unii Europejskiej.

3. Polityka Prywatności ma charakter informacyjny i nie ogranicza praw osób, których dane dotyczą.