Polityka prywatności
1. Administrator danych
ALIEN AFFAIRS sp. z o.o.
Powstańców Wielkopolskich 16/1711, 61-895 Poznań, Poland
NIP 781-196-66-16
E-mail w sprawach ochrony danych: client@accomat.com · Telefon: +48 61 224 88 19
Jesteśmy biurem rachunkowym i kadrowo-płacowym. Portal i aplikacja są narzędziami, przez które nasi klienci (firmy) wymieniają z nami dokumenty i informacje. Nie wyznaczyliśmy Inspektora Ochrony Danych — we wszystkich sprawach dotyczących danych prosimy pisać na powyższy adres e-mail.
2. Kogo dotyczy ta polityka
- Użytkowników klienta — osób logujących się do portalu lub aplikacji w imieniu firmy klienta (właścicieli, członków zarządu, upoważnionych pracowników).
- Osób, których dane wprowadza klient — przede wszystkim pracowników i zleceniobiorców klienta (płace, umowy, wnioski urlopowe, zezwolenia na pracę). Administratorem tych danych jest firma klienta, a my działamy jako podmiot przetwarzający na podstawie umowy o świadczenie usług księgowych (art. 28 RODO). Ta polityka wyjaśnia, jak obchodzimy się z tymi danymi w imieniu klienta.
- Odwiedzających publiczne strony qarmas.com.
3. Jakie dane przetwarzamy i po co
| Dane | Cel | Podstawa prawna |
|---|---|---|
| NIP firmy, kontaktowy adres e-mail firmy, jednorazowe kody i linki logowania, identyfikatory sesji, data i godzina logowania, adres IP, typ urządzenia/przeglądarki | Logowanie bez hasła, utrzymanie sesji, zapobieganie nadużyciom (limity prób, blokowanie ataków) | art. 6 ust. 1 lit. b — wykonanie umowy o świadczenie usług; art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes w bezpieczeństwie usługi |
| Token urządzenia do powiadomień push (Firebase Cloud Messaging), powiązany z firmą | Wysyłanie powiadomień z aplikacji (np. dokument gotowy, zbliża się termin). Powiadomienia można wyłączyć w ustawieniach telefonu; token jest usuwany po wylogowaniu lub odinstalowaniu aplikacji | art. 6 ust. 1 lit. b; art. 6 ust. 1 lit. f |
| Ustawienie blokady biometrycznej (wł./wył.) | Blokowanie aplikacji odciskiem palca lub twarzą. Sama weryfikacja biometryczna odbywa się wyłącznie na telefonie (system Android / iOS); nigdy nie otrzymujemy danych biometrycznych — jedynie informację, czy blokada jest włączona | art. 6 ust. 1 lit. b |
| Przesyłane dokumenty: wyciągi bankowe (PDF, MT940, zdjęcia), faktury, umowy, dokumenty pracownicze, inne pliki udostępniane nam | Prowadzenie księgowości, płac i kadr zgodnie ze zleceniem. Wyciągi bankowe i niektóre dokumenty są odczytywane automatycznie (zob. pkt 5 „Odczyt wspomagany AI”), aby rozpoznać miesiąc i rachunek oraz przyspieszyć segregowanie | art. 6 ust. 1 lit. b; art. 6 ust. 1 lit. c — obowiązki z ustawy o rachunkowości, prawa podatkowego i ubezpieczeń społecznych |
| Dane pracowników i zleceniobiorców wprowadzane przez klienta: imiona i nazwiska, PESEL / dane paszportowe, adresy, dane kontaktowe, warunki umów, wynagrodzenia, czas pracy, urlopy, dane dotyczące zezwoleń na pracę i pobytu | Płace, umowy o pracę, zgłoszenia do ZUS i urzędu skarbowego, pisma urlopowe, pisma w sprawach zezwoleń na pracę i legalizacji pobytu — na polecenie klienta | Przetwarzanie w imieniu klienta (art. 28 RODO). Podstawą po stronie klienta jest zwykle art. 6 ust. 1 lit. b i c, a dla danych szczególnych — art. 9 ust. 2 lit. b |
| Wiadomości i notatki przesyłane przez portal, wymieniane e-maile | Odpowiadanie na pytania, realizacja zleceń, dokumentowanie dyspozycji | art. 6 ust. 1 lit. b; art. 6 ust. 1 lit. f |
| Logi techniczne (dostęp do stron wrażliwych, błędy, zdarzenia bezpieczeństwa) | Utrzymanie działania i bezpieczeństwa usługi, wyjaśnianie incydentów | art. 6 ust. 1 lit. f |
Podanie danych niezbędnych do logowania i do świadczenia usług jest warunkiem korzystania z portalu i aplikacji; bez nich nie możemy Państwa zalogować ani wykonać usługi. Przekazanie tokenu urządzenia jest dobrowolne (można odmówić zgody na powiadomienia w telefonie).
4. Uprawnienia, o które prosi aplikacja
- Powiadomienia — do dostarczania wiadomości push (opcjonalnie).
- Pliki / zdjęcia / aparat — tylko gdy wybierają Państwo plik lub robią zdjęcie dokumentu, aby go przesłać. Aplikacja nie przegląda galerii.
- Biometria — wyłącznie do lokalnego odblokowania aplikacji (opcjonalnie).
Aplikacja nie korzysta z lokalizacji, kontaktów, mikrofonu ani rejestru połączeń, nie zawiera reklam ani żadnych zewnętrznych narzędzi analitycznych i śledzących.
5. Odbiorcy danych i podmioty przetwarzające
Dane przekazujemy wyłącznie dostawcom, którzy pomagają nam świadczyć usługę, na podstawie umów powierzenia i tylko w niezbędnym zakresie:
- Dostawca hostingu — serwery, na których działa qarmas.com i baza danych, oraz nasze serwery poczty.
- Cloudflare, Inc. — DNS/CDN, ochrona przed botami na stronie logowania („Turnstile”) oraz zaszyfrowane kopie zapasowe poza serwerem (Cloudflare R2). Kopie zapasowe to zaszyfrowane kopie całego systemu na wypadek awarii.
- Google LLC — Firebase Cloud Messaging do powiadomień push w aplikacji oraz Google Workspace do wysyłki naszej poczty.
- Odczyt wspomagany AI — aby rozpoznać miesiąc i rachunek bankowy przesłanego wyciągu lub odczytać pola z przesłanego dokumentu, treść pliku może zostać przekazana dostawcy dużego modelu językowego (obecnie przez OpenRouter, Inc., z użyciem modeli Google i innych dostawców). Wynik służy wyłącznie do zaksięgowania danego dokumentu. Nie wykorzystujemy danych do trenowania modeli; wybieramy dostawców, którzy nie trenują na danych z API.
- Organy publiczne — urzędy skarbowe, ZUS, urzędy pracy i urzędy ds. cudzoziemców, sądy — gdy zlecone usługi wymagają zgłoszeń lub gdy zobowiązuje nas do tego prawo.
- Księgowi, pracownicy kadr i płac ALIEN AFFAIRS sp. z o.o. oraz, w razie potrzeby, nasi doradcy (biegli rewidenci, prawnicy) związani tajemnicą zawodową.
Nie sprzedajemy danych osobowych i nie udostępniamy ich do celów reklamowych.
6. Przekazywanie danych poza Europejski Obszar Gospodarczy
Nasze serwery i baza danych znajdują się w Unii Europejskiej. Cloudflare, Google i dostawcy AI mogą przetwarzać dane w Stanach Zjednoczonych lub innych krajach. Podstawą takiego przekazania jest decyzja Komisji Europejskiej o adekwatności (EU–US Data Privacy Framework), gdy dostawca posiada certyfikację, a w pozostałych przypadkach standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) wraz z dodatkowymi zabezpieczeniami, takimi jak szyfrowanie transmisji i przechowywania. Kopię stosowanych zabezpieczeń można uzyskać pisząc na client@accomat.com.
7. Okres przechowywania danych
- Dokumenty księgowe i podatkowe (wyciągi, faktury, księgi, deklaracje) — 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zgodnie z ustawą o rachunkowości i Ordynacją podatkową; dłużej, jeśli wymaga tego prawo lub toczące się postępowanie.
- Dokumentacja płacowa i pracownicza — w okresach określonych w Kodeksie pracy i przepisach o ubezpieczeniach społecznych (10 lat od końca zatrudnienia dla dokumentacji od 2019 r.; do 50 lat dla starszej) — tak długo, jak przechowujemy ją w imieniu klienta.
- Dane konta i sesji — przez czas trwania umowy; kody logowania wygasają w ciągu minut, sesje po wylogowaniu lub bezczynności.
- Tokeny push — do wylogowania, odinstalowania aplikacji lub utraty ważności tokenu.
- Logi bezpieczeństwa i dostępu — do 12 miesięcy, chyba że są potrzebne do wyjaśnienia incydentu.
- Kopie zapasowe — zaszyfrowane kopie są rotowane automatycznie, a stare usuwane po kilku dniach.
- Korespondencja — przez czas trwania umowy i okres przedawnienia roszczeń (co do zasady do 6 lat).
8. Państwa prawa
Na podstawie RODO mają Państwo prawo do: dostępu do danych i otrzymania ich kopii; sprostowania; usunięcia (gdy prawo nie nakazuje nam ich przechowywać); ograniczenia przetwarzania; przenoszenia danych; sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie; a gdy przetwarzanie opiera się na zgodzie — do jej wycofania w dowolnym momencie, bez wpływu na wcześniejsze przetwarzanie.
Aby skorzystać z prawa, prosimy napisać na client@accomat.com lub na adres pocztowy powyżej. Odpowiadamy w ciągu miesiąca. Jeśli dane wprowadziła firma klienta (np. są Państwo jej pracownikiem), przekażemy wniosek tej firmie i pomożemy jej odpowiedzieć.
Przysługuje Państwu również prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
9. Usunięcie konta i danych aplikacji
Aby zamknąć dostęp do portalu i aplikacji, można skorzystać z formularza online https://qarmas.com/data-delete (bez logowania; dla obecnych i byłych klientów), napisać na client@accomat.com (z zarejestrowanego adresu e-mail firmy) lub rozwiązać umowę o świadczenie usług. Wówczas wyłączamy logowanie, usuwamy tokeny push i sesje oraz kasujemy dane, których nie musimy przechowywać z mocy prawa. Dokumentacja księgowa i płacowa musi być przechowywana przez ustawowe okresy z pkt 7 i jest usuwana po ich upływie. Odinstalowanie aplikacji usuwa wszystkie jej dane z telefonu, ale samo w sobie nie zamyka konta.
10. Bezpieczeństwo
Połączenia są szyfrowane (HTTPS). Logowanie odbywa się jednorazowymi kodami wysyłanymi na zarejestrowany adres e-mail firmy, z limitami prób i blokadami przed zgadywaniem. Dokumenty są przechowywane poza publicznym katalogiem WWW i dostępne wyłącznie dla zalogowanych, upoważnionych użytkowników oraz naszych pracowników. Dostęp pracowników jest oparty na rolach i rejestrowany. Kopie zapasowe są szyfrowane.
11. Pliki cookie
Portal używa wyłącznie plików cookie niezbędnych do działania: cookie sesji, tokenu ochrony CSRF oraz cookie zapamiętującego język i motyw. Strona logowania ładuje Cloudflare Turnstile, który może ustawić cookie odróżniające ludzi od botów. Nie używamy cookie reklamowych ani analitycznych, dlatego nie wyświetlamy banera zgody.
12. Dzieci
Portal i aplikacja są narzędziami biznesowymi dla firm będących naszymi klientami i nie są przeznaczone dla osób poniżej 18 lat.
13. Zmiany polityki
Możemy aktualizować tę politykę, gdy zmienia się usługa lub prawo. Aktualna wersja jest zawsze dostępna pod adresem https://qarmas.com/privacy-policy?lang=pl z datą „ostatnia aktualizacja” poniżej. O istotnych zmianach poinformujemy w portalu.