Polityka prywatności

wersja 2026-09-23 · dotyczy serwisu kosztomat.com.pl

§1. Kto przetwarza Państwa dane

Administratorem danych osobowych jest Robert Spyra IT (Robert Spyra), ul. Wojciecha Sapety 40, 41-407 Imielin, NIP 6462795706, REGON 360068000. Kontakt we wszystkich sprawach dotyczących danych — w tym dostępu, poprawienia i usunięcia: kontakt@kosztomat.com.pl, tel. +48 609 194 726.

§2. Jakie dane i po co

1. Dane konta (adres e-mail, hasło przechowywane wyłącznie w postaci skrótu, NIP i nazwa firmy): żeby założyć i prowadzić konto oraz umożliwić logowanie. Podstawa: wykonanie umowy — art. 6 ust. 1 lit. b RODO; wobec osoby działającej za Klienta (pracownika, pełnomocnika) — prawnie uzasadniony interes polegający na zawarciu i wykonaniu umowy z reprezentowaną firmą (art. 6 ust. 1 lit. f).
2. Dane z faktur zakupowych Państwa firmy (pobierane z KSeF albo wgrywane przez Państwa): żeby wykonać usługę opisaną w regulaminie — analizę kosztów. Faktury mogą zawierać dane osobowe — w szczególności osób prowadzących jednoosobową działalność oraz pracowników i pełnomocników kontrahentów. Te dane przetwarzamy wyłącznie na Państwa zlecenie jako podmiot przetwarzający (art. 28 RODO — szczegóły powierzenia opisuje §7 regulaminu); podstawę prawną ich przetwarzania ustalają Państwo jako administrator.
3. Dane rozliczeniowe (kwoty, daty i numery płatności, dane do faktury): obsługa płatności — wykonanie umowy (art. 6 ust. 1 lit. b); wystawienie faktury i rozliczenie podatków — obowiązek prawny (lit. c); ustalenie i obrona roszczeń — prawnie uzasadniony interes (lit. f).
4. Dane działania usługi (zaszyfrowane poświadczenie KSeF — token albo certyfikat wraz z hasłem do pliku — konfiguracja Państwa skrzynki pocztowej, treść i adresaci zapytań ofertowych, zgłoszenia i korespondencja z nami): żeby wykonywać funkcje Serwisu, które Państwo uruchamiają, i obsługiwać zgłoszenia. Podstawa: wykonanie umowy; dane kontrahentów w tych materiałach — powierzenie jak w pkt 2. Przechowywanie: przez czas trwania umowy (korespondencja — do przedawnienia roszczeń).
5. Uzgodnienia cen z dostawcami (regulamin §2a): nazwy, NIP-y i adresy obu firm, adres e-mail, na który poszło zaproszenie, oraz adresy e-mail osób, które złożyły, zatwierdziły albo odrzuciły propozycję, z datą — żeby prowadzić uzgodnienie i dać obu stronom ten sam dokument. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b); wobec osób działających w imieniu firm i udostępnienia ich adresu drugiej stronie — prawnie uzasadniony interes obu firm w udokumentowaniu, kto uzgodnił ceny (lit. f). Adres zaproszenia podaje kupujący; do czasu przyjęcia zaproszenia przetwarzamy go w jego imieniu (powierzenie, §7 regulaminu).
6. Dzienniki techniczne (adres IP, czas, adres strony, rodzaj przeglądarki): bezpieczeństwo usługi i diagnostyka awarii. Podstawa: prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO.
7. Rejestr akceptacji regulaminu (e-mail, data, wersja, adres IP): dowód zawarcia umowy — na wypadek ustalania, dochodzenia lub obrony roszczeń. Podstawa: prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO.

Podanie danych konta jest warunkiem zawarcia umowy, a danych do faktury — jej rozliczenia; bez nich nie założymy konta albo nie wystawimy faktury. Pozostałe dane (np. wgrywane pliki) podają Państwo w takim zakresie, w jakim chcą korzystać z funkcji Serwisu.

Stawkę abonamentu wylicza automatycznie algorytm opisany w §4 regulaminu — z sumy Państwa zakupów towarowych. Kwotę i dane, z których ją policzyliśmy, zawsze pokazujemy przed płatnością; błąd klasyfikacji pozycji lub wyniku można zgłosić na kontakt@kosztomat.com.pl — zweryfikuje go człowiek. Innego profilowania ani zautomatyzowanego podejmowania decyzji nie prowadzimy.

§2a. Zgłoszenia problemów

Przycisk „Zgłoś uwagę" wysyła nam opis problemu wpisany przez Państwa oraz materiał, który pozwala ten problem odtworzyć: zawartość ekranu w chwili zgłoszenia, adres ekranu, błędy zgłoszone przez przeglądarkę, wycinek dziennika technicznego dotyczący tego jednego żądania, ślad ostatnich kroków w aplikacji (przez jakie ekrany Państwo przechodzili i w co klikali, z godzinami) oraz listę ostatnich czynności na koncie. Zawartość ekranu może obejmować Państwa dane z faktur — dlatego mówimy o niej wprost także w samym oknie zgłoszenia, zanim wyślą je Państwo.

Materiał ten wykorzystujemy wyłącznie do naprawy zgłoszonego błędu. Nie używamy go do analiz, statystyk, rozwoju innych funkcji ani do trenowania modeli i nie udostępniamy go nikomu poza podmiotami wymienionymi w §4. Usuwamy go z chwilą zamknięcia zgłoszenia — zostaje sama treść uwagi i nasza odpowiedź, żeby widzieli Państwo, co się z nią stało. Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na usuwaniu wad usługi; zgłoszenie jest dobrowolne.

§3. Jak długo je trzymamy

1. Dane konta i dane z faktur — przez czas trwania umowy. Po jej zakończeniu usuwamy je z systemów aktywnych niezwłocznie, najpóźniej w 7 dni (tak samo mówi §9 regulaminu); izolowane kopie zapasowe, używane wyłącznie do odtworzenia po awarii, nadpisują się najpóźniej po 90 dniach.
2. Dane rozliczeniowe i faktury — co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 70 Ordynacji podatkowej); dłużej, jeżeli wymaga tego toczące się postępowanie albo ustalenie, dochodzenie lub obrona roszczeń.
3. Dzienniki techniczne — do 12 miesięcy.
4. Dokumenty i historia uzgodnień cen — dopóki konto ma którakolwiek ze stron relacji; potem usuwamy je w terminie z pkt 1 (regulamin §2a ust. 6).
5. Materiał dołączony do zgłoszenia problemu (§2a) — do zamknięcia zgłoszenia, nie dłużej niż 90 dni.
6. Dowody zawarcia umowy i akceptacji danej wersji regulaminu — przez okres przedawnienia roszczeń z umowy.

§4. Komu udostępniamy dane (odbiorcy)

1. PayU S.A., ul. Grunwaldzka 186, 60-166 Poznań (KRS 0000274399, krajowa instytucja płatnicza nadzorowana przez KNF) — operator płatności. Przekazujemy dane niezbędne do realizacji płatności (adres e-mail, kwota, identyfikator zamówienia). PayU jest wtedy odrębnym administratorem tych danych.
2. OVH (OVH SAS / OVH Sp. z o.o.) — dostawca serwerów w Unii Europejskiej, na których działa serwis; podpowierzenie w rozumieniu art. 28 RODO.
3. OVHcloud AI Endpoints (usługa OVH SAS) — modele językowe uruchamiane w Unii Europejskiej. Do modelu mogą trafiać całe trudne dokumenty (skany faktur) oraz dane potrzebne do komentarza, w tym nazwy dostawców; zakres ograniczamy do danych niezbędnych dla danej funkcji. Dostawca deklaruje, że nie trenuje modeli na przesyłanych danych; podpowierzenie w rozumieniu art. 28 RODO.
4. Amazon Web Services (SES) — wysyłka poczty systemowej (reset hasła, raport poranny), region UE.
5. Druga strona uzgodnienia cen — firma, z którą uzgadniają Państwo ceny, widzi w dokumencie i historii tej relacji nazwę, NIP i adres Państwa firmy oraz adres e-mail osoby, która w jej imieniu złożyła, zatwierdziła albo odrzuciła propozycję (regulamin §2a).
6. Krajowa Administracja Skarbowa (KSeF) — źródło Państwa faktur zakupowych (łączymy się Państwa tokenem, wyłącznie w trybie odczytu), a w zakresie faktur wystawianych przez nas — system, do którego przekazujemy dane rozliczeniowe, gdy wymagają tego przepisy o VAT.

Wymienione wyżej OVH, OVHcloud AI Endpoints i AWS działają wobec danych, których administratorem jesteśmy my, jako nasi podmioty przetwarzające, a wobec danych powierzonych przez Państwa — jako dalsze podmioty przetwarzające (§7 regulaminu).

Nie sprzedajemy danych. Poza odbiorcami wymienionymi wyżej udostępniamy je wyłącznie podmiotom uprawnionym na podstawie przepisów prawa. Nie przekazujemy danych poza Europejski Obszar Gospodarczy i nie używamy ich do trenowania modeli sztucznej inteligencji. O zamiarze zmiany listy podmiotów przetwarzających informujemy zgodnie z §7 regulaminu.

§5. Państwa prawa

Mają Państwo prawo do: dostępu do swoich danych i uzyskania ich kopii, sprostowania (poprawienia), usunięcia, ograniczenia przetwarzania, przeniesienia danych — czyli otrzymania ich w ustrukturyzowanym, maszynowym formacie i przesłania innemu administratorowi, w zakresie z art. 20 RODO — oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Wniosek wystarczy wysłać na kontakt@kosztomat.com.pl — odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; przy żądaniu szczególnie złożonym albo dużej liczbie żądań termin może się wydłużyć o dalsze dwa miesiące, o czym uprzedzimy. Poszczególne prawa realizujemy w granicach RODO — np. danych, które musimy zachować dla rozliczeń podatkowych, nie usuniemy przed upływem wymaganego okresu (§3). Mają Państwo też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

§6. Pliki cookies

Niezbędne: własne cookies sesyjne, które utrzymują zalogowanie i wygasają po 8 godzinach bezczynności, nie później niż po 7 dniach od zalogowania (podstawa: wykonanie umowy — art. 6 ust. 1 lit. b RODO). Te działają zawsze i nie wymagają zgody.

Reklamowe — wyłącznie za zgodą: na stronach publicznych (strona główna, poradnik, rejestracja) korzystamy z tagu Google Ads, aby wiedzieć, czy wejście z reklamy zakończyło się założeniem konta. Tag działa w trybie zgody (Google Consent Mode): dopóki nie klikną Państwo „Zgadzam się” w banerze, nie zapisuje żadnych cookies ani identyfikatorów, a Google otrzymuje jedynie zbiorcze, bezciasteczkowe sygnały. Po zgodzie Google może zapisać cookies reklamowe (do 90 dni) i powiązać kliknięcie reklamy z rejestracją. Decyzję można w każdej chwili zmienić — odnośnik „Ustawienia cookies” w stopce. Dane logowania, faktury i ekrany wewnątrz aplikacji nie są objęte żadnym tagiem zewnętrznym.

Znacznik źródła wejścia z linku (np. „z=fb” albo parametry utm/gclid) zapamiętujemy na czas jednej wizyty w przeglądarce (bez cookie) i zapisujemy przy zakładanym koncie, żeby wiedzieć, skąd trafiają do nas klienci.

§7. Bezpieczeństwo

Połączenie z serwisem jest szyfrowane (HTTPS). Dane każdej firmy trzymamy w osobnym pliku bazy, nie we wspólnej tabeli. Poświadczenie KSeF i hasła do poczty są zaszyfrowane kluczem trzymanym poza bazą; hasła kont przechowujemy wyłącznie jako skróty (PBKDF2). Jeżeli podłączą się Państwo certyfikatem, przechowujemy plik certyfikatu wraz z kluczem prywatnym i hasłem do niego — również zaszyfrowane. Usunięcie konta kasuje je nieodwracalnie. Kopie zapasowe wykonujemy codziennie.

Zobacz też: regulamin serwisu.