Polityka prywatności aplikacji Toldo
Obowiązuje od: Do uzupełnienia: [Data wejścia w życie]. Ostatnia zmiana: Do uzupełnienia: [Data aktualizacji].
Ta polityka prywatności dotyczy modułu KSeF w Toldo (Polska). Polityka prywatności Toldo dla wszystkich modułów: Privacy policy.
Some details in this document are still pending. They're marked like this: .
In this document
Toldo to aplikacja dla sklepów Shopify. Wystawia faktury VAT na podstawie zamówień i wysyła je do Krajowego Systemu e-Faktur (KSeF) prowadzonego przez Ministerstwo Finansów. Ta polityka wyjaśnia:
- jakie dane osobowe przetwarza aplikacja i po co,
- komu je przekazujemy i jak długo je przechowujemy,
- jakie prawa przysługują osobom, których dane dotyczą.
1. Kim jesteśmy
Aplikację Toldo udostępnia Do uzupełnienia: [Nazwa firmy] z siedzibą w Do uzupełnienia: [Adres siedziby], Do uzupełnienia: [Numer rejestrowy i NIP] („my”).
- Kontakt w sprawach prywatności: Do uzupełnienia: [Adres e-mail ds. prywatności]
- Inspektor ochrony danych: Do uzupełnienia: [Kontakt do inspektora ochrony danych]
2. Nasza rola
- Dane nabywców (klientów sklepu): o celach i sposobach wystawiania faktur decyduje sprzedawca, czyli sklep, który zainstalował Toldo. Sprzedawca jest administratorem danych swoich nabywców, a my przetwarzamy je w jego imieniu jako podmiot przetwarzający (art. 28 RODO). Umowa powierzenia przetwarzania danych jest dostępna pod adresem https://toldo.io/legal/dpa-pl.
- Dane potrzebne do prowadzenia konta sprzedawcy, rozliczeń i pomocy technicznej: tu jesteśmy administratorem.
3. Jakie dane przetwarzamy
| Kategoria | Dane | Skąd pochodzą |
|---|---|---|
| Sklep i konto | Domena sklepu; sesja dostępu do sklepu w Shopify (token dostępu, token odświeżania, nadane uprawnienia); ustawienia aplikacji; plan i liczba faktur w miesiącu | Z Shopify, przy instalacji |
| Dane sprzedawcy | Nazwa firmy, NIP, adres. Opcjonalnie: numery KRS, REGON i BDO, rachunek bankowy (IBAN), miejsce wystawienia, tekst w stopce faktury. W jednoosobowej działalności gospodarczej są to dane osobowe. | Wstępnie ze sklepu, uzupełniane przez Ciebie |
| Połączenie z KSeF | Środowisko (testowe lub produkcyjne); NIP, w którego imieniu działa połączenie; token KSeF (zaszyfrowany, później pokazujemy tylko jego 4 ostatnie znaki); krótkotrwałe tokeny dostępu KSeF (zaszyfrowane); stan połączenia i ostatni błąd | Od Ciebie i z KSeF |
| Dane nabywcy | Imię i nazwisko lub nazwa firmy, adres rozliczeniowy, NIP i nazwa firmy wpisane w koszyku | Z zamówienia w Shopify i z bloku w koszyku (zapisywane w zamówieniu jako atrybuty koszyka) |
| Dane zamówienia potrzebne do faktury | Numer i data zamówienia; pozycje (nazwa, SKU, ilość, cena, rabat, stawka VAT); koszt dostawy; waluta; forma i data płatności; zwroty | Z zamówienia w Shopify |
| Dokumenty | Plik XML faktury (FA(3)), UPO (Urzędowe Poświadczenie Odbioru), PDF, numer KSeF, link weryfikacyjny z kodu QR, historia faktury, losowy klucz linku do dokumentów zapisany w zamówieniu | Tworzone przez aplikację i KSeF |
| Pomoc techniczna | Imię i nazwisko, adres e-mail i treść wiadomości, jeśli do nas napiszesz | Od Ciebie |
| Logi techniczne | Adres IP, czas, domena sklepu i szczegóły błędów w zapytaniach do naszych serwerów | Automatycznie |
Nie pobieramy ani nie przechowujemy adresów e-mail i numerów telefonów nabywców. Nie stosujemy plików cookie reklamowych ani analitycznych, ani w panelu aplikacji, ani w sklepie. Blok w koszyku zapisuje NIP i nazwę firmy w koszyku Shopify, nie w naszych plikach cookie.
4. Cele i podstawy przetwarzania
| Cel | Dane | Podstawa prawna (RODO) |
|---|---|---|
| Wystawianie faktur, wysyłka do KSeF, przechowywanie dokumentów i korekty na polecenie sprzedawcy | Dane nabywcy, dane zamówienia, dokumenty, dane sprzedawcy, połączenie z KSeF | Jako podmiot przetwarzający działamy na udokumentowane polecenie administratora (art. 28). Sprzedawca wystawia faktury dla firm, wykonując obowiązek z ustawy o VAT (art. 6 ust. 1 lit. c). |
| Działanie aplikacji i konta sprzedawcy, limity planów | Dane sklepu i konta, dane sprzedawcy | Wykonanie umowy (art. 6 ust. 1 lit. b) |
| Pomoc techniczna | Dane z korespondencji i niezbędne minimum danych faktury | Wykonanie umowy (art. 6 ust. 1 lit. b) |
| Bezpieczeństwo, zapobieganie nadużyciom, usuwanie błędów | Logi techniczne | Prawnie uzasadniony interes, czyli bezpieczna i działająca usługa (art. 6 ust. 1 lit. f) |
| Nasza księgowość i obowiązki prawne | Dane rozliczeniowe | Obowiązek prawny (art. 6 ust. 1 lit. c) |
Danych nabywców używamy wyłącznie do wystawiania faktur sprzedawcy i do obsługi tych faktur. Nie sprzedajemy danych osobowych. Nie wykorzystujemy ich do reklamy ani profilowania, ani do trenowania modeli sztucznej inteligencji.
5. Odbiorcy danych
- Ministerstwo Finansów (KSeF).
- Aplikacja wysyła każdą fakturę do KSeF w imieniu sprzedawcy, przy użyciu jego własnego tokena KSeF. Faktura zawiera nazwę, adres i NIP nabywcy.
- Faktury wysłane do środowiska produkcyjnego KSeF stają się dokumentami podatkowymi przechowywanymi przez administrację skarbową zgodnie z polskim prawem. Nie można ich usunąć; błędy poprawia się fakturą korygującą.
- Ministerstwo przetwarza te dane jako odrębny administrator na podstawie przepisów, a nie w naszym imieniu.
- W trybie testowym (piaskownica) aplikacja korzysta wyłącznie ze środowiska testowego KSeF, do którego wolno wysyłać tylko dane fikcyjne. Przed wysyłką aplikacja zastępuje dane sprzedawcy i nabywcy fikcyjnymi i wysyła tam tylko zamówienia testowe Shopify.
- Dostawca hostingu, który przetwarza dane w naszym imieniu jako dalszy podmiot przetwarzający: Do uzupełnienia: [Dostawca hostingu i lokalizacja].
- Narodowy Bank Polski (NBP). Przy zamówieniach w obcej walucie aplikacja pobiera kurs średni NBP z publicznego API NBP. Zapytanie zawiera tylko kod waluty i datę. NBP nie otrzymuje żadnych danych osobowych.
- Shopify. Dane zamówień pochodzą ze sklepu sprzedawcy w Shopify. Aplikacja zapisuje w zamówieniu, w należącym do niej polu (metapolu), numer KSeF i podpisany link do dokumentów.
- Narzędzia do obsługi zgłoszeń i poczty, tylko gdy do nas piszesz: Do uzupełnienia: [Narzędzia wsparcia].
- Monitorowanie błędów, skonfigurowane tak, by nie otrzymywało danych nabywców: Do uzupełnienia: [Monitorowanie błędów].
- Organy publiczne, gdy wymagają tego przepisy.
6. Gdzie przechowujemy dane
- Dane są przechowywane w Europejskim Obszarze Gospodarczym: Do uzupełnienia: [Region przechowywania danych].
- Jeśli któryś z wymienionych dostawców przetwarza dane poza EOG, stosujemy standardowe klauzule umowne Komisji Europejskiej albo inny ważny mechanizm przekazania: Do uzupełnienia: [Dostawcy spoza EOG i zabezpieczenia].
7. Jak długo przechowujemy dane
| Dane | Okres |
|---|---|
| Dane sprzedawcy, ustawienia, dokumenty i lokalne kopie faktur | Dopóki aplikacja jest zainstalowana. Przed odinstalowaniem możesz pobrać wszystkie faktury w plikach ZIP za poszczególne miesiące (XML, UPO, PDF). Po odinstalowaniu usuwamy dane tak, jak opisuje punkt 8. |
| Token KSeF i tokeny dostępu KSeF | Do rozłączenia albo odinstalowania; wtedy usuwamy je od razu |
| Faktury w KSeF | Przechowuje je KSeF, a nie my, przez 10 lat od końca roku, w którym je wystawiono. Możesz je pobrać w każdej chwili w Aplikacji Podatnika KSeF. |
| Kopie zapasowe | Zaszyfrowane, nadpisywane na bieżąco w ciągu Do uzupełnienia: [Okres przechowywania kopii] |
| Logi techniczne | Do uzupełnienia: [Okres przechowywania logów] |
| Korespondencja z pomocą techniczną | Do uzupełnienia: [Okres przechowywania zgłoszeń] |
| Nasze dokumenty rozliczeniowe | Tak długo, jak wymagają tego przepisy o rachunkowości |
8. Żądania prywatności przekazywane przez Shopify
Shopify wysyła aplikacjom trzy obowiązkowe żądania (webhooki). Każde realizujemy w ciągu 30 dni.
- Żądanie dostępu do danych klienta (
customers/data_request): gdy nabywca prosi sklep o swoje dane, przygotowujemy zestawienie faktur i dokumentów, które przechowujemy dla jego zamówień, i przekazujemy je właścicielowi sklepu: powiadomienie w aplikacji z możliwością pobrania faktur, których dotyczy żądanie (plik ZIP). - Żądanie usunięcia danych klienta (
customers/redact):- Usuwamy dane osobowe nabywcy z naszych lokalnych kopii, chyba że przepisy wymagają ich przechowywania.
- Faktury przyjęte już przez KSeF pozostają w KSeF. Wymaga tego prawo i nie da się ich usunąć.
- Zapisujemy, co usunęliśmy, a co zostało i dlaczego, i informujemy o tym właściciela sklepu.
- Żądanie usunięcia danych sklepu (
shop/redact, Shopify wysyła je 48 godzin po odinstalowaniu aplikacji): usuwamy wszystkie dane tego sklepu, w tym połączenie z KSeF, dane sprzedawcy i lokalne kopie faktur. Kopie zapasowe wygasają w terminie z punktu 7.
9. Bezpieczeństwo
- Przesyłanie danych: cały ruch do aplikacji i z niej jest szyfrowany (TLS).
- Przechowywanie danych: baza danych i kopie zapasowe są zaszyfrowane.
- Token KSeF: szyfrujemy go algorytmem AES-256-GCM kluczem przechowywanym poza bazą danych. Po zapisaniu nigdy go już nie pokazujemy; widać tylko 4 ostatnie znaki.
- Dostęp do danych: mają go tylko Do uzupełnienia: [Kto ma dostęp do produkcji], którzy go potrzebują. Używają silnych haseł i uwierzytelniania dwuskładnikowego, a dostęp do danych klientów jest rejestrowany.
- Dane testowe: dane testowe i produkcyjne są rozdzielone. Tryb testowy działa tylko na danych fikcyjnych.
- Naruszenia: jeśli dojdzie do naruszenia ochrony danych osobowych dotyczącego danych sprzedawcy, zawiadomimy go bez zbędnej zwłoki, w ciągu Do uzupełnienia: [Termin powiadomienia] od jego wykrycia, tak aby mógł dotrzymać własnych terminów z RODO.
10. Twoje prawa
- Każda osoba: masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia, a także prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Napisz na Do uzupełnienia: [Adres e-mail ds. prywatności]. Odpowiemy w ciągu miesiąca.
- Nabywcy: w pierwszej kolejności skontaktuj się ze sklepem, w którym robisz zakupy. To on jest administratorem danych, a my mu pomagamy. Przepisy podatkowe ograniczają niektóre prawa: na przykład faktury, którą firma musi przechowywać, nie można usunąć.
- Skarga: możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) albo do organu nadzorczego w państwie UE, w którym mieszkasz lub pracujesz.
11. Zmiany
O istotnych zmianach poinformujemy w aplikacji i e-mailem co najmniej Do uzupełnienia: [Liczba dni] dni przed ich wejściem w życie.
12. Kontakt
Do uzupełnienia: [Nazwa firmy], Do uzupełnienia: [Adres do korespondencji], Do uzupełnienia: [Adres e-mail ds. prywatności].