Polityka prywatności serwisu Bizraport.pl

I. Administrator danych

  1. Administratorem danych osobowych jest Bizraport Prosta Spółka Akcyjna z siedzibą przy ul. Nowogrodzkiej 31, 00-511 Warszawa (KRS: 0001081310, NIP: 7011184065, REGON: 527462712).
  2. Kontakt z Administratorem we wszelkich sprawach dotyczących ochrony danych osobowych: kontakt@bizraport.pl.
  3. Administrator nie powołał Inspektora Ochrony Danych, ponieważ nie zachodzą przesłanki z art. 37 ust. 1 RODO. Wszystkie sprawy z zakresu ochrony danych obsługiwane są bezpośrednio przez Administratora pod adresem wskazanym w pkt 2.

II. Definicje

  • Administrator - podmiot wskazany w pkt I.1.
  • Serwis - strona internetowa https://www.bizraport.pl.
  • Użytkownik - osoba odwiedzająca Serwis.
  • Osoba, której dane są prezentowane - osoba fizyczna, której dane figurują w Krajowym Rejestrze Sądowym i są prezentowane w ramach raportów spółek dostępnych w Serwisie.
  • RODO - Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
  • KRS - Krajowy Rejestr Sądowy prowadzony przez sądy rejestrowe zgodnie z ustawą z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym.

III. Zakres zastosowania

Niniejsza polityka określa zasady przetwarzania danych osobowych w dwóch kategoriach przetwarzania:

(A) Dane Użytkowników Serwisu - osób, które odwiedzają Serwis, korzystają z formularzy, zakładają konto lub kontaktują się z Administratorem (sekcja IV-VII).

(B) Dane osób prezentowanych w ramach raportów spółek - osób, których dane figurują w KRS i są publikowane w Serwisie jako element raportów spółek (sekcja VIII-XIV).

Polityka ta jednocześnie stanowi realizację obowiązku informacyjnego wynikającego z art. 14 RODO w zakresie kategorii (B), w sytuacji gdy Administrator korzysta z wyjątku z art. 14 ust. 5 lit. b RODO (niewspółmierny wysiłek przy indywidualnym informowaniu - szczegóły w pkt IX).

IV. Dane Użytkowników - cele i podstawy prawne

Dane Użytkowników Serwisu są przetwarzane w celu:

  1. świadczenia usług drogą elektroniczną, w tym prowadzenia konta użytkownika i obsługi formularzy - podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy);
  2. odpowiedzi na zapytania kierowane do Administratora - podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora w postaci obsługi korespondencji);
  3. wypełnienia obowiązków prawnych ciążących na Administratorze, w szczególności obowiązków podatkowych i rachunkowych - podstawa: art. 6 ust. 1 lit. c RODO;
  4. ustalenia, dochodzenia lub obrony roszczeń - podstawa: art. 6 ust. 1 lit. f RODO.

V. Dane Użytkowników - okres przechowywania

Dane Użytkowników przechowywane są przez okres:

  1. prowadzenia konta użytkownika - do czasu jego usunięcia przez Użytkownika lub usunięcia z powodu nieaktywności;
  2. wymagany przepisami prawa (np. dokumenty księgowe - 5 lat licząc od końca roku, w którym powstał obowiązek podatkowy);
  3. niezbędny do ustalenia, dochodzenia lub obrony roszczeń - co do zasady do upływu okresu przedawnienia roszczeń wynikających z umowy, nie dłużej jednak niż 6 lat (art. 118 k.c.).

VI. Cookies i technologie podobne

Serwis wykorzystuje pliki cookies techniczne, konieczne do prawidłowego działania Serwisu, w szczególności służące utrzymaniu sesji zalogowanego Użytkownika oraz zapewnieniu bezpieczeństwa. Zgodnie z art. 173 ust. 3 ustawy Prawo telekomunikacyjne cookies niezbędne do świadczenia usługi nie wymagają odrębnej zgody Użytkownika.

Użytkownik może w każdej chwili zmienić ustawienia dotyczące cookies w swojej przeglądarce, w tym je zablokować lub usunąć; może to jednak wpłynąć na prawidłowe działanie niektórych funkcji Serwisu (np. logowania).

VII. Zewnętrzne usługi logowania

Dla wygody Użytkownika logowanie do Serwisu może odbywać się przy użyciu zewnętrznych dostawców tożsamości (oAuth - np. Google). Przetwarzanie danych przez tych dostawców odbywa się zgodnie z ich odrębnymi politykami prywatności.

VIII. Dane osób prezentowanych - źródło i zakres

  1. Źródło danych. Dane osób prezentowanych w ramach raportów spółek pochodzą z Krajowego Rejestru Sądowego - rejestru jawnego z mocy art. 8 ust. 1 ustawy o KRS - oraz ze sprawozdań finansowych złożonych do Repozytorium Dokumentów Finansowych (art. 40 pkt 2 ustawy o KRS, art. 69 ustawy o rachunkowości).
  2. Zakres przetwarzanych danych. Administrator przetwarza wyłącznie dane, które są jawne w KRS. Należą do nich, w zależności od funkcji pełnionej przez osobę:
    • imię i nazwisko,
    • rok urodzenia (prezentowany w Serwisie w celu odróżnienia osób o identycznych imionach i nazwiskach),
    • funkcja pełniona w spółce (członek zarządu, prokurent, wspólnik, likwidator i in.) oraz daty pełnienia funkcji,
    • liczba i wartość posiadanych udziałów lub akcji (jeżeli ujawnione w KRS),
    • numer PESEL (ujawniony w KRS) - wykorzystywany wyłącznie jako wewnętrzny identyfikator umożliwiający jednoznaczne przypisanie informacji do właściwej osoby; numer PESEL nie jest prezentowany w Serwisie.

IX. Dane osób prezentowanych - podstawa prawna i obowiązek informacyjny

  1. Podstawy prawne przetwarzania:
    • art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora i odbiorców) - w zakresie celu transparentności obrotu gospodarczego, ułatwienia weryfikacji kontrahentów, przeciwdziałania nadużyciom. Cel ten jest zgodny z celem ustawowym KRS oraz z motywami 47 i 50 RODO;
    • art. 6 ust. 1 lit. c RODO - w zakresie, w jakim przetwarzanie odpowiada obowiązkom prawnym dotyczącym danych ujawnionych w KRS jako jawnych.
  2. Realizacja obowiązku informacyjnego z art. 14 RODO. Z uwagi na masowy charakter przetwarzania (dane setek tysięcy osób ujawnionych w KRS), indywidualne kierowanie obowiązku informacyjnego do każdej osoby wymagałoby wysiłku niewspółmiernego do celu przetwarzania. Administrator korzysta zatem z wyjątku z art. 14 ust. 5 lit. b RODO i realizuje obowiązek informacyjny poprzez publiczne udostępnienie niniejszej polityki prywatności.
  3. Test równowagi interesów. Administrator przeprowadził i dokumentuje test równowagi interesów (LIA) zgodnie z art. 6 ust. 1 lit. f RODO. Kluczowe ustalenia testu: interes Administratora i odbiorców (pewność obrotu gospodarczego) jest nadrzędny wobec interesów osób, których dane dotyczą, z uwagi na ograniczenie zakresu danych do informacji już jawnych z mocy prawa oraz wagę celu uznanego przez ustawodawcę za uzasadniający powszechną jawność KRS.

X. Dane osób prezentowanych - okres przechowywania

Dane osób prezentowanych przetwarzane są przez okres:

  1. figurowania danych w KRS jako jawnych - bez ograniczenia czasowego, z uwagi na ustawowy cel jawności rejestru;
  2. po wykreśleniu spółki z KRS lub po ustaniu funkcji osoby - przez okres 10 lat w celach archiwalnych i dla potrzeb ustalenia, dochodzenia lub obrony roszczeń (kotwica: ogólne terminy przedawnienia z art. 118 k.c. oraz przepisy szczególne dotyczące odpowiedzialności członków organów spółek).

Po upływie okresu wskazanego w lit. b dane mogą być przetwarzane wyłącznie do celów statystycznych w zanonimizowanej formie albo usuwane.

XI. Odbiorcy danych

Dane osobowe (zarówno Użytkowników, jak i osób prezentowanych w ramach raportów) mogą być udostępniane następującym kategoriom odbiorców:

  1. użytkownicy Serwisu - w zakresie danych osób prezentowanych w raportach spółek (jest to istota działalności Serwisu);
  2. podmioty przetwarzające dane na zlecenie Administratora:
    • dostawca hostingu i infrastruktury aplikacyjnej, przez którą przechodzi każde żądanie kierowane do Serwisu,
    • dostawca bazy danych Serwisu oraz usługi uwierzytelniania użytkowników (supabase.com),
    • dostawca bazy, w której przechowywane są sesje logowania, uprawnienia Premium, zamówienia oraz liczniki limitów zapytań,
    • operator płatności - Stripe Payments Europe, Limited z siedzibą w Dublinie (Irlandia) - w zakresie adresu e-mail, danych do faktury (nazwa, adres, numer NIP) oraz danych płatności. Dane karty płatniczej Użytkownik podaje bezpośrednio operatorowi i nie trafiają one na serwery Administratora,
    • dostawca systemu księgowo-fakturowego (wFirma) - w zakresie danych nabywcy umieszczanych na fakturze: nazwy, adresu, numeru NIP i adresu e-mail,
    • dostawca serwera poczty wychodzącej - w zakresie adresu e-mail i treści wiadomości wysyłanych przez Serwis (link do logowania, faktura, link do pobrania pliku),
    • dostawca poczty firmowej i narzędzi biurowych (Google Workspace) - w zakresie korespondencji prowadzonej z Użytkownikiem,
    • dostawca narzędzia analityki internetowej oraz zabezpieczenia formularza komentarzy przed automatami (Google) - szczegóły w pkt XII,
    • dostawca platformy blogowej, na której publikowane są komentarze Użytkowników,
    • dostawca serwera kafelków mapy (OpenStreetMap) - wyłącznie na podstronie z mapą firm i wyłącznie w zakresie adresu IP przeglądarki,
    • dostawcy usług IT i wsparcia technicznego,
    • dostawcy usług prawnych;
  3. organy państwowe i sądy - w przypadkach przewidzianych przepisami prawa (np. na żądanie sądu, prokuratury, organów podatkowych), a także Krajowy System e-Faktur (KSeF) prowadzony przez Ministerstwo Finansów, do którego przekazywane są wystawione faktury.

Gdy Użytkownik korzysta z automatycznego uzupełniania danych do faktury po numerze NIP, Administrator odpytuje tym numerem publiczne rejestry: wykaz podatników VAT Ministerstwa Finansów, CEIDG, rejestr REGON prowadzony przez Główny Urząd Statystyczny oraz system VIES Komisji Europejskiej. Zapytania wysyłane są z serwera Administratora i nie zawierają żadnych innych danych Użytkownika poza wpisanym numerem NIP.

Administrator zawiera z podmiotami przetwarzającymi umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO.

XII. Miejsce przetwarzania danych

Dane osobowe przetwarzane są co do zasady na terytorium Europejskiego Obszaru Gospodarczego. Poniżej opisane są przypadki, w których dane trafiają poza ten obszar.

Obsługa płatności. Administrator korzysta z usług Stripe Payments Europe, Limited z siedzibą w Dublinie (Irlandia). Zgodnie z umową powierzenia przetwarzania danych zawartą z tym podmiotem (Data Processing Agreement, stripe.com/legal/dpa) dane związane z płatnościami przekazywane są do Stripe, LLC w Stanach Zjednoczonych, a Stripe i podmioty z jego grupy mogą przekazywać je dalej do swoich podmiotów powiązanych i podprocesorów w innych państwach trzecich; aktualny wykaz Stripe publikuje pod adresem stripe.com/legal/service-providers. Przekazanie do Stanów Zjednoczonych odbywa się na podstawie Data Transfers Addendum (stripe.com/legal/dta), który przewiduje w pierwszej kolejności EU-U.S. Data Privacy Framework, a w dalszej standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914.

Rola operatora płatności. W zakresie obsługi platformy płatniczej Stripe działa jako podmiot przetwarzający na zlecenie Administratora. W zakresie własnych celów - między innymi przeciwdziałania oszustwom, ograniczania strat, obowiązków wynikających z przepisów o przeciwdziałaniu praniu pieniędzy i identyfikacji klienta, rozliczeń oraz rozwoju własnych usług - Stripe samodzielnie określa cele i sposoby przetwarzania danych.

Narzędzia Google. Korzystanie z analityki internetowej, zabezpieczenia formularza komentarzy przed automatami oraz poczty firmowej wiąże się z przekazaniem danych - identyfikatora zapisanego w pliku cookie, adresu IP, informacji o przeglądarce i odwiedzanych podstronach, a w przypadku poczty także treści korespondencji - do Google, w tym do podmiotów z grupy Google mających siedzibę poza Europejskim Obszarem Gospodarczym. Przekazanie odbywa się na podstawie mechanizmów wskazanych przez Google w warunkach świadczenia tych usług.

XIII. Profilowanie i zautomatyzowane podejmowanie decyzji

  1. Administrator wykorzystuje zautomatyzowane przetwarzanie obejmujące:
    • jednoznaczną identyfikację osób w bazie i ustalanie powiązań osobowych oraz kapitałowych pomiędzy osobami a spółkami,
    • prezentację roku urodzenia osób w celu odróżnienia osób o identycznych imionach i nazwiskach,
    • zestawianie danych osobowych z danymi z innych otwartych źródeł,
    • wyliczanie autorskich wskaźników dotyczących spółek (np. wskaźnik ryzyka, wycena, scoring) na podstawie danych finansowych spółki.
  2. Zautomatyzowane przetwarzanie wskazane w pkt 1 nie skutkuje podejmowaniem wobec osoby, której dane dotyczą, decyzji w rozumieniu art. 22 RODO - wyniki przetwarzania prezentowane są wyłącznie informacyjnie i nie wywołują automatycznie skutków prawnych ani innych podobnie istotnych skutków dla tej osoby.
  3. Autorskie wskaźniki dotyczące spółek (ryzyko, wycena, scoring) stanowią wynik przetwarzania Administratora i nie są danymi osobowymi w rozumieniu art. 4 pkt 1 RODO.

XIV. Prawa osób, których dane dotyczą

Zgodnie z RODO przysługują Państwu następujące prawa:

  1. prawo dostępu do danych (art. 15 RODO);
  2. prawo do sprostowania danych nieprawidłowych lub uzupełnienia niekompletnych (art. 16 RODO);
  3. prawo do usunięcia danych (art. 17 RODO) - z zastrzeżeniem wyłączeń przewidzianych w art. 17 ust. 3 RODO, w szczególności gdy przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego lub w celu wykonania zadania w interesie publicznym (dotyczy danych ujawnionych w KRS);
  4. prawo do ograniczenia przetwarzania (art. 18 RODO) - w sytuacjach wskazanych w tym przepisie;
  5. prawo do przenoszenia danych (art. 20 RODO) - w zakresie danych przetwarzanych na podstawie zgody lub umowy;
  6. prawo do sprzeciwu (art. 21 RODO) - wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO, z prawem Administratora do dalszego przetwarzania po wykazaniu nadrzędnych prawnie uzasadnionych podstaw albo gdy przetwarzanie służy ustaleniu, dochodzeniu lub obronie roszczeń;
  7. prawo do cofnięcia zgody w dowolnym momencie (art. 7 ust. 3 RODO) - w zakresie przetwarzania opartego na zgodzie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem;
  8. prawo do wniesienia skargi do organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl).

Realizacja powyższych praw odbywa się poprzez kontakt pod adresem kontakt@bizraport.pl. Administrator odpowiada na wnioski bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania (z możliwością przedłużenia o kolejne dwa miesiące w przypadkach złożonych - art. 12 ust. 3 RODO).

XV. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne adekwatne do ryzyka, mające na celu ochronę przetwarzanych danych przed nieuprawnionym dostępem, utratą lub zniszczeniem, w szczególności zgodnie z art. 32 RODO.

XVI. Linki do stron zewnętrznych

W Serwisie mogą znajdować się linki do innych stron internetowych, które działają niezależnie od Serwisu i nie są nadzorowane przez Administratora. Strony te mogą mieć własne polityki prywatności, z którymi zalecamy się zapoznać.

XVII. Zmiany polityki prywatności

Administrator zastrzega prawo do zmiany niniejszej polityki w przypadku zmian przepisów prawa, zmian technologicznych lub zmian w sposobie świadczenia usług. O istotnych zmianach Użytkownicy będą informowani w sposób widoczny w Serwisie.

W razie pytań dotyczących niniejszej polityki prosimy o kontakt: kontakt@bizraport.pl.

kontakt@bizraport.pl