# Polityka prywatności Dativio

Wersja: 2026-10-26.1.

## 1. Administrator i kontakt

Administratorem danych osób odwiedzających dativio.pl, osób zakładających konta, użytkowników aplikacji i osób kontaktujących się z nami jest Szymon Jędrzejczak prowadzący działalność gospodarczą pod firmą NewNetwork.pl Szymon Jędrzejczak, ul. Cicha 10/1, 72-100 Goleniów, NIP 9552016771, dalej „Dativio” lub „my”.

Kontakt w sprawach danych osobowych i realizacji praw: biuro@dativio.pl lub pisemnie na powyższy adres.
Nie wyznaczyliśmy inspektora ochrony danych. Sprawy ochrony danych obsługuje bezpośrednio administrator pod powyższym adresem.

## 2. Dane firmy klienta i dane konta to różne zakresy

W odniesieniu do danych konta, obsługi umowy, rozliczeń, bezpieczeństwa i własnej korespondencji działamy jako administrator.

W odniesieniu do danych odczytywanych z Subiekta GT, podłączonej poczty, przesyłanych plików, rozmów oraz ich wyników przetwarzanych na zlecenie klienta działamy jako podmiot przetwarzający. Administratorem tych danych jest klient albo podmiot, w imieniu którego działa klient. Zasady tego przetwarzania określa umowa powierzenia Dativio. Nie uzyskujemy przez to prawa do używania treści firmy do własnego marketingu lub trenowania modeli.

Jeżeli Twoje dane znajdują się np. na fakturze klienta Dativio, żądanie dotyczące tych danych kieruj przede wszystkim do tej firmy. Otrzymane przez nas żądanie przekażemy właściwemu klientowi, jeżeli możemy go zidentyfikować, i pomożemy mu je obsłużyć.

## 3. Jakie dane otrzymujemy i skąd

Przy rejestracji otrzymujemy nazwę firmy, adres e-mail i hasło, które przechowujemy w postaci skrótu, a nie jawnego tekstu. Zapisujemy identyfikator konta i firmy oraz dowód zawarcia umowy: wersję zaakceptowanych dokumentów, ich sumę kontrolną, datę i identyfikator akceptującego.

Użytkowników zaproszonych do firmy może dodać jej właściciel lub upoważniony administrator. Otrzymujemy wtedy od tej osoby dane służbowe użytkownika, w szczególności imię, nazwisko lub nazwę konta, adres e-mail i przypisanie do firmy. Pozostałe dane otrzymujemy bezpośrednio od użytkownika podczas korzystania z usługi. Ta polityka stanowi informację także dla takich użytkowników; udostępniamy ją przy zaproszeniu lub pierwszym kontakcie, z zachowaniem terminów art. 14 RODO.

Przy rozliczeniach otrzymujemy dane firmy, adres, NIP i informacje o płatnościach. Przy korespondencji przetwarzamy dane kontaktowe, treść wiadomości i przekazane załączniki. W związku z bezpieczeństwem przetwarzamy m.in. adres IP, daty i identyfikatory zdarzeń, informacje o sesji i błędach oraz podstawowe dane przeglądarki przekazane w żądaniach sieciowych.

## 4. Cele i podstawy prawne

| Cel | Podstawa prawna |
| --- | --- |
| Założenie konta przez klienta będącego osobą fizyczną, zawarcie i wykonanie umowy | art. 6 ust. 1 lit. b RODO |
| Obsługa użytkowników, pracowników i przedstawicieli klienta, kontakt w sprawie umowy | art. 6 ust. 1 lit. f RODO — interes polegający na zapewnieniu obsługi klienta i dostępu jego upoważnionych osób |
| Prowadzenie rozliczeń, dokumentacji księgowej i podatkowej | art. 6 ust. 1 lit. c RODO — obowiązki wynikające z właściwych przepisów podatkowych i rachunkowych |
| Bezpieczeństwo kont, zapobieganie nadużyciom, diagnostyka i zapewnienie ciągłości | art. 6 ust. 1 lit. f RODO — ochrona usługi, użytkowników i danych |
| Rozpatrywanie reklamacji i żądań dotyczących danych | odpowiednio art. 6 ust. 1 lit. b lub c RODO, a w pozostałym zakresie lit. f — obsługa zgłoszeń |
| Ustalenie, dochodzenie i obrona roszczeń oraz wykazanie zawarcia umowy | art. 6 ust. 1 lit. f RODO — ochrona praw i wykazanie rozliczalności |
| Odpowiedź na zapytanie osoby zainteresowanej usługą | art. 6 ust. 1 lit. b RODO, gdy dotyczy działań przed zawarciem umowy na jej żądanie; w innych przypadkach lit. f — prowadzenie korespondencji |

Nie uzależniamy dostępu do usługi od zgody na marketing. Jeśli uruchomimy newsletter, reklamowe wiadomości lub opcjonalną analitykę, przed rozpoczęciem takiego przetwarzania udostępnimy informacje o jego zakresie i odpowiedni mechanizm zgody, jeżeli jest wymagana. Zgoda na komunikację marketingową jest oddzielna od zawarcia umowy. Obecnie nie stosujemy zewnętrznej analityki, pikseli reklamowych ani zewnętrznego CDN.

## 5. Odbiorcy danych

Dane mogą otrzymywać upoważnione osoby obsługujące Dativio, dostawcy hostingu i infrastruktury, kopii zapasowych, poczty transakcyjnej, usług AI oraz podmioty uczestniczące w rozliczeniach. Księgowość i obsługę poczty prowadzimy samodzielnie. Skrzynki pocztowe i wysyłka wiadomości systemowych działają na tym samym serwerze OVH w Warszawie co aplikacja. Udostępniamy im tylko dane niezbędne do określonego zadania. Organy publiczne otrzymują dane, gdy wymagają tego przepisy.

Dostawcy realizujący nasze polecenia są związani umowami powierzenia. Podmioty samodzielnie określające cele przetwarzania, np. banki lub niektórzy doradcy, mogą działać jako odrębni administratorzy w granicach właściwych przepisów.

Pośrednikiem dostępu do modeli AI jest OpenRouter, Inc. (USA). Odbiorcą treści może być również dostawca endpointu wykonującego zapytanie. Nazwa modelu nie zawsze oznacza nazwę podmiotu wykonującego inferencję. Informacje o potwierdzonych usługodawcach i lokalizacjach publikujemy w wykazie [Podwykonawcy Dativio](/podwykonawcy). Wykaz wymaga uzupełnienia o operatorów endpointów modeli AI i szczegółowe zabezpieczenia transferów.

Infrastruktura aplikacji znajduje się na serwerze wynajmowanym w OVH w Warszawie. Kopie zapasowe przechowujemy na własnym serwerze w Szczecinie. Nie korzystamy z zewnętrznej księgowości ani zewnętrznej analityki lub CDN. Płatności przyjmujemy przelewem bankowym. Planowane płatności Stripe zostaną opisane z identyfikacją właściwego podmiotu i zasad przetwarzania przed ich uruchomieniem; obecnie nie przekazujemy danych do Stripe w ramach tej integracji.

## 6. AI, ZDR i transfer poza EOG

Dativio zobowiązuje się korzystać wyłącznie z dostawców modeli językowych z USA i Europy zapewniających Zero Data Retention dla używanej usługi. Treści klientów nie są zachowywane przez dostawców modeli po przetworzeniu ani wykorzystywane do trenowania modeli. Zasada obejmuje również połączenia awaryjne. Gdy nie ma zgodnej ścieżki przetwarzania, zapytanie nie może zostać przekierowane do dostawcy niespełniającego tych wymagań.

ZDR nie oznacza usuwania historii, plików i lokalnych wyników przechowywanych w Dativio. Dane te podlegają odrębnym zasadom retencji. Techniczne metadane rozliczeniowe i bezpieczeństwa należy odróżnić od treści zapytań i odpowiedzi; ich zakres i okres przechowywania wskazujemy w wykazie dostawców.

Korzystanie z dostawców poza Europejskim Obszarem Gospodarczym może obejmować przekazanie danych do USA lub dostęp z takiego państwa. ZDR nie zastępuje podstawy transferu. Przekazanie może nastąpić na podstawie obowiązującej decyzji stwierdzającej odpowiedni stopień ochrony — w przypadku EU–US Data Privacy Framework wyłącznie wobec podmiotu z aktywnym certyfikatem obejmującym daną usługę — albo właściwych standardowych klauzul umownych Komisji Europejskiej wraz z oceną transferu i potrzebnymi środkami uzupełniającymi.

Kopię stosowanych zabezpieczeń transferu lub informację, gdzie jest dostępna, można otrzymać pod biuro@dativio.pl; dopuszczalne zaciemnienia służą wyłącznie ochronie sekretów i praw innych osób.

## 7. Jak długo przechowujemy dane

Dane konta przechowujemy przez czas korzystania z usługi i niezbędnej obsługi jej zakończenia. Następnie usuwamy dane zbędne, pozostawiając tylko zakres wymagany prawem lub konieczny do rozliczenia umowy i ochrony roszczeń przez właściwy okres przedawnienia. Prowadzenie konkretnego postępowania może uzasadniać przechowanie potrzebnych mu danych do jego prawomocnego zakończenia.

Dokumentację podatkową przechowujemy przez okres wynikający z prawa, co do zasady do upływu pięciu lat liczonych od końca roku kalendarzowego, w którym upłynął termin płatności podatku, z uwzględnieniem ustawowych przypadków przedłużenia. Dla innych dokumentów rozliczeniowych stosujemy właściwe dla nich terminy ustawowe.

Korespondencję przechowujemy przez czas załatwienia sprawy, a następnie w zakresie potrzebnym do wykazania jej przebiegu lub obrony roszczeń, zgodnie z odpowiednim okresem przedawnienia. Nie uzasadnia to bezterminowego przechowywania całej korespondencji.

Sesja aplikacji wygasa po siedmiu dniach; po wylogowaniu identyfikator sesji jest usuwany. Techniczne rejestry AI mają w aplikacji limit 90 dni.

Dane powierzone przez klienta, w tym rozmowy, pliki i wyniki widoków, usuwamy albo zwracamy zgodnie z jego poleceniem, umową powierzenia i zasadami zakończenia usługi. Dane robocze usuwamy do 30 dni po zakończeniu okresu na ich odzyskanie, a pozostałości w kopiach zapasowych w kolejnych maksymalnie 90 dniach. Przez ten okres kopie nie służą do bieżącej pracy. Obowiązki zachowania określonych danych wynikające z prawa stosujemy wyłącznie w niezbędnym zakresie.

## 8. Twoje prawa

W przypadkach i na warunkach przewidzianych RODO przysługuje Ci dostęp do danych i ich kopii, sprostowanie, usunięcie, ograniczenie przetwarzania oraz przenoszenie danych, gdy podstawą jest umowa lub zgoda, a przetwarzanie odbywa się automatycznie.

Możesz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie ze względu na swoją szczególną sytuację. Sprzeciw wobec marketingu bezpośredniego nie wymaga uzasadnienia. Jeżeli przetwarzanie opiera się na zgodzie, możesz ją wycofać w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Nie musisz wcześniej składać reklamacji w Dativio.

Żądania przyjmujemy pod biuro@dativio.pl. Możemy poprosić o informacje niezbędne do potwierdzenia tożsamości, bez żądania nadmiarowych danych. Odpowiadamy bez zbędnej zwłoki, zasadniczo w ciągu miesiąca; o dopuszczalnym prawem przedłużeniu i jego przyczynach informujemy w tym terminie.

## 9. Dobrowolność podania danych

Podanie danych jest dobrowolne, lecz dane oznaczone jako wymagane są niezbędne do założenia konta, obsługi umowy lub wystawienia prawidłowej faktury. Brak takich danych może uniemożliwić wykonanie konkretnej czynności. Dane wymagane przepisami podajesz w zakresie wynikającym z danego obowiązku.

## 10. Automatyczne decyzje i profilowanie

Nie podejmujemy wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na te osoby, w rozumieniu art. 22 RODO.

Analizy przygotowywane na polecenie klienta, np. zestawienie dłużników lub aktywności zakupowej, mogą zależnie od zastosowania dotyczyć oceny osób. Nie składamy więc ogólnej deklaracji, że aplikacja nigdy nie może służyć profilowaniu. Klient określa zgodny z prawem cel, podstawę i zasady korzystania z takich analiz. Wyniki AI wymagają weryfikacji, a zapisy do Subiekta — przewidzianego w aplikacji zatwierdzenia.

## 11. Cookies i pamięć przeglądarki

Aplikacja korzysta z niezbędnego pliku cookie „sgt_session”, służącego uwierzytelnieniu i utrzymaniu sesji przez maksymalnie siedem dni. Jest to plik HttpOnly, z SameSite=Lax; dla połączenia HTTPS stosowane jest oznaczenie Secure. Wylogowanie usuwa cookie. Zablokowanie go może uniemożliwić logowanie.

Pamięć localStorage może przechowywać ustawienia interfejsu, np. stan panelu, oraz identyfikatory potrzebne do kontynuowania pracy. Możesz usunąć je w ustawieniach przeglądarki; część preferencji zostanie wtedy zresetowana. Nie jest to równoznaczne z usunięciem danych z konta na serwerze.

## 12. Aktualizacje i dokumenty powiązane

Aktualną wersję udostępniamy pod /polityka-prywatnosci, a poprzednie wersje zachowujemy w archiwum. O istotnych zmianach informujemy odpowiednio do ich charakteru, np. wiadomością e-mail i w aplikacji. Zmiana polityki nie zastępuje zgody, gdy jest ona wymagana, ani zmiany umowy powierzenia.

Dokumenty powiązane: [regulamin usługi](/regulamin), [umowa powierzenia](/powierzenie-danych) i [wykaz podwykonawców](/podwykonawcy).