Polityka prywatności

1. Administrator

Administratorem danych osobowych jest Tymoteusz Mróz prowadzący działalność gospodarczą pod firmą Montinea Tymoteusz Mróz, ul. Krupówki 30, 34-500 Zakopane, NIP 7361581631, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) („my”). Kontakt w sprawach danych: hello@papelot.com lub pisemnie na powyższy adres.

2. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie

• Zgłoszenie dostępu i konto: imię i nazwisko, adres e-mail, nazwa organizacji, treść notatki ze zgłoszenia — aby założyć konto i świadczyć usługę (art. 6 ust. 1 lit. b RODO: działania przed zawarciem umowy i wykonanie umowy).
• Rozliczenia: dane do faktury, historia płatności i faktur — aby wystawiać faktury i prowadzić rozliczenia podatkowe (art. 6 ust. 1 lit. c RODO: obowiązek prawny).
• Korzystanie z usługi: przynależność do zespołu, rola, informacja o tym, kto i kiedy wprowadził zmianę w makiecie, data ostatniego logowania — aby usługa działała, a zespół widział historię pracy (art. 6 ust. 1 lit. b RODO).
• Wiadomości o usłudze: przypomnienia o odnowieniu subskrypcji, zawiadomienia o zmianach regulaminu i planów, ostrzeżenie przed usunięciem nieaktywnego konta — aby informować o sprawach związanych z umową (art. 6 ust. 1 lit. b RODO).
• Dane techniczne: adres IP, rodzaj przeglądarki, logi serwera i zdarzenia bezpieczeństwa — aby utrzymać bezpieczeństwo usługi i wykrywać nadużycia (art. 6 ust. 1 lit. f RODO: nasz prawnie uzasadniony interes).
• Korespondencja: wiadomości wysłane na hello@papelot.com — aby odpowiedzieć i obsłużyć sprawę (art. 6 ust. 1 lit. f RODO).
• Roszczenia: dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO).

Podanie danych jest dobrowolne, ale bez adresu e-mail nie da się założyć konta, a bez danych do faktury — wykupić planu płatnego. Nie profilujemy użytkowników i nie podejmujemy wobec nich decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu.

3. Dane w makietach wprowadzane przez zespoły

Makiety mogą zawierać dane innych osób, np. autorów, osób kontaktowych klientów czy treść notatek. Dla tych danych administratorem jest klient korzystający z Papelota (zespół), a my przetwarzamy je w jego imieniu jako podmiot przetwarzający, na zasadach umowy powierzenia zawartej w punkcie 8 Regulaminu. W sprawie takich danych najlepiej kontaktować się z zespołem, który je wprowadził.

4. Strona papelot.com i pliki cookie

Strona informacyjna nie używa plików cookie do śledzenia ani profilowania. Statystyki odwiedzin zbieramy narzędziem Vercel Web Analytics, które nie zapisuje cookies i nie identyfikuje osób. W przeglądarce zapisujemy wyłącznie ustawienia strony (np. wybraną walutę i okres rozliczenia w cenniku) w pamięci lokalnej — te dane nie są do nas wysyłane.

Aplikacja app.papelot.com używa plików cookie i pamięci przeglądarki wyłącznie do utrzymania sesji logowania i ustawień interfejsu. Są one niezbędne do świadczenia usługi, dlatego nie wymagają zgody.

5. Odbiorcy danych i lokalizacja

Korzystamy z następujących dostawców (dalszych podmiotów przetwarzających):

• Supabase — baza danych i uwierzytelnianie; dane przechowywane w centrum danych we Frankfurcie nad Menem (Niemcy, region AWS eu-central-1).
• Vercel — hosting strony i aplikacji oraz generowanie PDF.
• Resend — wysyłka wiadomości systemowych (logowanie, zaproszenia, powiadomienia).
• Stripe — obsługa płatności; dane kart są przetwarzane wyłącznie przez Stripe.
• wFirma — wystawianie faktur i obsługa Krajowego Systemu e-Faktur (KSeF); dane w Polsce.

Vercel, Resend i Stripe mogą przetwarzać dane w Stanach Zjednoczonych. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) w odniesieniu do podmiotów nim objętych, a w pozostałym zakresie — standardowych klauzul umownych zatwierdzonych przez Komisję. Kopię stosowanych zabezpieczeń udostępnimy na prośbę. Dane mogą też otrzymać organy publiczne, gdy wymagają tego przepisy.

6. Jak długo przechowujemy dane

• Dane konta i treści makiet — przez czas korzystania z usługi. Po usunięciu konta dane są trwale usuwane w ciągu 30 dni.
• Zespoły w planie Free, w których nikt nie zalogował się przez 12 miesięcy — usuwamy po wcześniejszym ostrzeżeniu e-mailem, wysłanym co najmniej 30 dni przed usunięciem.
• Kopie zapasowe — do 30 dni; usunięte dane znikają z kopii najpóźniej po tym czasie.
• Zgłoszenia dostępu, które nie zakończyły się założeniem konta — do 12 miesięcy.
• Dane rozliczeniowe i faktury — przez okres wymagany przepisami podatkowymi (co do zasady 5 lat od końca roku, w którym powstał obowiązek podatkowy).
• Korespondencja — do 2 lat od zakończenia sprawy.
• Logi techniczne — do 90 dni.
• Dane potrzebne do dochodzenia lub obrony roszczeń — do upływu okresu ich przedawnienia.

7. Bezpieczeństwo

Połączenia z Papelotem są szyfrowane, dostęp do danych ma tylko zespół, do którego należą, a dane każdego zespołu są odseparowane od pozostałych. Wykonujemy kopie zapasowe i rejestrujemy zdarzenia bezpieczeństwa.

8. Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia oraz prawo sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 15–21 RODO). Eksport danych zespołu i usunięcie konta są dostępne w ustawieniach aplikacji; w pozostałych sprawach napisz na hello@papelot.com. Przysługuje Ci także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych albo do organu ochrony danych w państwie, w którym mieszkasz lub pracujesz.

9. Zmiany

O istotnych zmianach tej polityki poinformujemy e-mailem i na tej stronie. Data ostatniej aktualizacji jest podana u góry.