Polityka prywatności OpenExpert
Wersja: 2026-08-27
Data wejścia w życie: [DATA_WEJSCIA]
Dokument: privacy
Polityka opisuje, jak [FIRMA] przetwarza dane osobowe jako administrator. Nie dotyczy danych klientów końcowych gromadzonych w aplikacji przez naszych Klientów — te przetwarzamy wyłącznie jako podmiot przetwarzający, na ich polecenie; wyjaśniamy to w części 9.
1. Administrator i kontakt
Administratorem jest [FIRMA] z siedzibą w [ADRES], KRS [KRS], NIP [NIP], REGON [REGON].
- sprawy dotyczące danych osobowych: [EMAIL_DANE]
- kontakt ogólny: hello@openexpert.app
- zgłoszenia incydentów bezpieczeństwa: security@openexpert.app
- korespondencja pisemna: adres siedziby wskazany powyżej
Nie powołaliśmy inspektora ochrony danych. Za ochronę danych odpowiada wyznaczona osoba w spółce, z którą kontakt zapewnia adres [EMAIL_DANE]. Jeżeli powołanie inspektora stanie się obowiązkowe albo zdecydujemy o nim dobrowolnie, opublikujemy jego dane kontaktowe w tej Polityce.
2. Czyje dane przetwarzamy
| Kategoria osób | Skąd mamy dane |
|---|---|
| Użytkownicy kont w aplikacji: nasi Klienci, ich personel, współpracownicy i agenci | od samej osoby przy rejestracji albo od Klienta, który zaprosił ją do swojej organizacji |
| Osoby reprezentujące i kontaktowe naszych Klientów oraz kontrahentów | od samej osoby, od Klienta lub kontrahenta, z rejestrów publicznych (KRS, CEIDG, rejestr KNF) |
| Osoby zapisane na listę oczekujących | od samej osoby |
| Osoby, które w przewodniku edukacyjnym „Zrozum ratę" poprosiły o kontakt | od samej osoby |
| Osoby korzystające z naszych stron publicznych | z urządzenia i przeglądarki tej osoby |
| Osoby kontaktujące się z nami w dowolnej sprawie, w tym zgłaszające podatności | od samej osoby |
| Kandydaci do pracy i współpracy | od samej osoby lub z portalu, przez który złożyli zgłoszenie |
Jeżeli dane otrzymaliśmy nie od samej osoby, a od Klienta albo z rejestru publicznego, informacja z tej Polityki stanowi wykonanie obowiązku z art. 14 RODO. Zakres jest wtedy ograniczony do danych niezbędnych do utworzenia dostępu i kontaktu służbowego: imię i nazwisko, służbowy adres poczty elektronicznej, rola w organizacji, opcjonalnie numer telefonu służbowego.
3. Cele, podstawy prawne i okresy przechowywania
| Cel | Podstawa prawna | Okres |
|---|---|---|
| Zawarcie i wykonanie umowy o świadczenie usługi, prowadzenie konta i organizacji, wsparcie | art. 6 ust. 1 lit. b RODO — wykonanie umowy; wobec personelu Klienta art. 6 ust. 1 lit. f — prawnie uzasadniony interes w umożliwieniu wykonania umowy z Klientem | przez czas obowiązywania umowy, następnie do przedawnienia roszczeń |
| Uwierzytelnianie, bezpieczeństwo dostępu, wykrywanie nadużyć, prowadzenie dzienników zdarzeń | art. 6 ust. 1 lit. f — ochrona usługi i danych naszych Klientów; art. 6 ust. 1 lit. c w zakresie obowiązków dotyczących bezpieczeństwa | dzienniki zdarzeń 12 miesięcy, dłużej wyłącznie w razie postępowania dotyczącego incydentu |
| Rozliczenia, płatności, faktury | art. 6 ust. 1 lit. c — obowiązki podatkowe i rachunkowe | 5 lat od końca roku, w którym powstał obowiązek podatkowy |
| Wiadomości serwisowe: potwierdzenia, powiadomienia, informacje o zmianach dokumentów i awariach | art. 6 ust. 1 lit. b oraz art. 6 ust. 1 lit. f | przez czas obowiązywania umowy |
| Lista oczekujących: powiadomienie o uruchomieniu i ankieta o potrzebach | zgoda — art. 6 ust. 1 lit. a RODO oraz art. 398 ustawy Prawo komunikacji elektronicznej | do wycofania zgody, nie dłużej niż 24 miesiące od zapisu albo od ostatniej aktywności |
| Kontakt telefoniczny po prośbie zgłoszonej w przewodniku „Zrozum ratę" | zgoda — art. 6 ust. 1 lit. a RODO oraz art. 398 ustawy Prawo komunikacji elektronicznej | 30 dni od zgłoszenia, gdy numer nie został potwierdzony kodem; 12 miesięcy od potwierdzenia numeru — dla wykazania zgody zgodnie z art. 7 ust. 1 RODO. Termin ustawiany automatycznie w bazie |
| Marketing bezpośredni naszej usługi wobec przedsiębiorców | art. 6 ust. 1 lit. f — prawnie uzasadniony interes; dla kanału elektronicznego dodatkowo zgoda z art. 398 ustawy Prawo komunikacji elektronicznej | do wniesienia sprzeciwu albo wycofania zgody |
| Obsługa reklamacji, skarg i zapytań | art. 6 ust. 1 lit. b, lit. c oraz lit. f | 3 lata od zakończenia sprawy |
| Wykazanie zawarcia i treści Umowy: dowód akceptacji dokumentów, dosłowna treść złożonych oświadczeń oraz dowód doręczenia Klientowi egzemplarza | art. 6 ust. 1 lit. b RODO — dowód zawarcia i treści umowy; zakres i okres wyznacza rozliczalność z art. 5 ust. 2 RODO oraz art. 384 § 4 KC, zgodnie z którym wzorzec w postaci elektronicznej wiąże tylko wtedy, gdy druga strona mogła go przechowywać i odtwarzać | 6 lat od końca roku kalendarzowego, w którym Umowa wygasła |
| Ustalenie, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f | do przedawnienia roszczeń |
| Rekrutacja | art. 6 ust. 1 lit. b i lit. c; dane wykraczające poza wymagane — zgoda | 6 miesięcy od zakończenia rekrutacji, przy zgodzie na przyszłe rekrutacje — 12 miesięcy |
| Statystyka i rozwój usługi na danych zagregowanych | art. 6 ust. 1 lit. f | dane zagregowane bez powiązania z osobą — bezterminowo |
Zgodę można wycofać w każdej chwili, pisząc na [EMAIL_DANE] albo korzystając z odnośnika w otrzymanej wiadomości. Wycofanie działa na przyszłość i nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej.
4. Zakres danych
- konto i organizacja: imię i nazwisko, adres poczty elektronicznej, hasło w postaci skrótu kryptograficznego, dane uwierzytelniania dwuskładnikowego i kluczy dostępu, rola i uprawnienia, przypisanie do organizacji i zespołów, ustawienia, znaczniki czasu aktywności;
- dane Klienta jako przedsiębiorcy: firma, adres, NIP, REGON, KRS, numer wpisu do rejestru pośredników kredytowych, dane osób kontaktowych, dane do faktury;
- rozliczenia: identyfikator klienta u operatora płatności, historia subskrypcji, faktury, status płatności. Nie przechowujemy pełnego numeru karty płatniczej — dane instrumentu płatniczego podajesz bezpośrednio operatorowi płatności;
- dzienniki techniczne: adres IP, znacznik czasu, identyfikator żądania, typ przeglądarki i systemu, wykonana operacja, kod odpowiedzi;
- lista oczekujących: adres poczty elektronicznej oraz — jeżeli ankieta zostanie wypełniona — obszar działalności, planowane zastosowania, priorytet, gotowość do współpracy i uwagi własne;
- prośba o kontakt w przewodniku „Zrozum ratę": numer telefonu w formacie międzynarodowym, dane scenariusza obliczenia, znacznik zgody kontaktowej i marketingowej, wersja informacji o prywatności i wersja treści zgody, identyfikator wiadomości u dostawcy SMS oraz dowód weryfikacji numeru. Kod jednorazowy przechowujemy wyłącznie jako skrót kryptograficzny i usuwamy po weryfikacji; liczba prób jest ograniczona do pięciu;
- dowód zawarcia Umowy: kod, wersja i suma kontrolna SHA-256 każdego zaakceptowanego dokumentu; wariant oświadczenia o roli (A, B albo C); grupa zgody i adres, pod którym dokument był wtedy dostępny; dosłowna treść złożonego oświadczenia wraz z jej sumą kontrolną, wersją i sumą kontrolną całego zestawu oświadczeń; dane identyfikacyjne wchodzące w treść oświadczenia — przy wariancie B firma pośrednika, jego numer wpisu do rejestru KNF i adres do spraw ochrony danych; chwila złożenia oświadczenia i chwila utrwalenia dowodu. Do wykazania doręczenia egzemplarza dodatkowo: adres odbiorcy, nazwa pliku, liczba dokumentów, suma kontrolna zestawu wersji, status wysyłki i identyfikator wiadomości u dostawcy poczty. Nie zapisujemy adresu IP ani identyfikatora przeglądarki — test równowagi wypadł negatywnie i kolumny usunięto;
- zrzut tożsamości przy dowodzie zawarcia Umowy: adres poczty elektronicznej i imię i nazwisko osoby, która złożyła oświadczenie, oraz nazwa organizacji — utrwalone na chwilę złożenia. Zrzut pozostaje także po usunięciu konta; wyjaśniamy to w części 7;
- korespondencja: treść wiadomości i dane kontaktowe nadawcy.
5. Odbiorcy danych
Dane powierzamy dostawcom, którzy przetwarzają je wyłącznie na nasze polecenie, na podstawie umów powierzenia. Aktualną, szczegółową listę wraz z rolą, lokalizacją i podstawą przekazania zawiera załącznik z listą podprocesorów do umowy powierzenia, publikowany pod adresem openexpert.app/dpa. Kategorie odbiorców:
| Kategoria | Zakres |
|---|---|
| dostawca hostingu i sieci dostarczania treści | uruchomienie aplikacji, dzienniki, magazyn plików |
| dostawca bazy danych | przechowywanie danych aplikacji |
| dostawca poczty transakcyjnej | wysyłka wiadomości |
| dostawca bramy SMS — SMSAPI, przetwarzanie w Polsce | kody jednorazowe i weryfikacja numeru |
| dostawca uruchamiania zadań w tle | operacje asynchroniczne |
| dostawca usługi spotkań | transmisja spotkań |
| operator płatności | subskrypcje, płatności, faktury |
| dostawca modeli AI, przez bramę dostawcy hostingu | funkcje AI opisane w dokumencie o AI |
| doradcy, biuro rachunkowe, kancelaria, audytor | obsługa księgowa i prawna |
Dane udostępniamy także organom uprawnionym na podstawie przepisów prawa, gdy zwrócą się o to w prawidłowo uzasadnionym żądaniu.
Prośby o kontakt zgłoszone w przewodniku „Zrozum ratę" przekazujemy ekspertowi, który ma się skontaktować — wtedy ekspert staje się odrębnym administratorem tych danych w zakresie własnej działalności. Informujemy o tym przy zbieraniu zgody.
6. Przekazywanie danych poza Europejski Obszar Gospodarczy
Część dostawców ma siedzibę albo zaplecze poza EOG, w szczególności w Stanach Zjednoczonych. Przekazanie odbywa się wyłącznie na podstawie mechanizmu przewidzianego w rozdziale V RODO: decyzji o odpowiednim stopniu ochrony, w tym uczestnictwa dostawcy w programie ochrony danych uznanym decyzją Komisji Europejskiej, albo standardowych klauzul umownych wraz z dodatkowymi środkami ochrony. Dla każdego przekazania prowadzimy ocenę skutków przekazania. Wykaz dostawców, lokalizacji i podstaw znajduje się w załącznikach do umowy powierzenia; kopię mechanizmu udostępniamy na wniosek złożony na adres [EMAIL_DANE].
7. Twoje prawa
Przysługuje Ci prawo do: dostępu do danych i uzyskania ich kopii; sprostowania; usunięcia; ograniczenia przetwarzania; przenoszenia danych przetwarzanych na podstawie zgody albo umowy; sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie — a wobec marketingu bezpośredniego sprzeciw jest bezwarunkowy i uwzględniamy go zawsze; wycofania zgody w każdej chwili.
Żądanie złóż na [EMAIL_DANE]. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w sprawach złożonych możemy wydłużyć termin o dwa miesiące, informując o tym wcześniej.
Dowód zawarcia Umowy jest wyłączony spod usunięcia i zmiany. Trzy zbiory — dowód akceptacji dokumentów, dosłowna treść złożonych oświadczeń i dowód doręczenia egzemplarza — prowadzimy wyłącznie przez dopisywanie: baza odrzuca usunięcie wiersza i zmianę jego treści. Usunięcie konta Użytkownika zeruje powiązanie z kontem, ale zrzut tożsamości pozostaje, bo bez niego nie wykazalibyśmy, kto i kiedy zawarł Umowę. Podstawą ograniczenia prawa do usunięcia jest art. 17 ust. 3 lit. e RODO — ustalenie, dochodzenie i obrona roszczeń. Z tego samego powodu sprostowanie wpisu w tych zbiorach nie polega na zmianie utrwalonego wiersza; nieprawidłowość odnotowujemy osobno i informujemy o niej przy każdym wydaniu dowodu. Ograniczenie nie dotyczy pozostałych danych — te sprostujemy i usuniemy na zasadach ogólnych.
Jeżeli uważasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
Jeżeli Twoje dane znajdują się w aplikacji dlatego, że wprowadził je nasz Klient — skieruj żądanie do tego Klienta jako administratora. Jeżeli nie wiesz, kto nim jest, napisz na [EMAIL_DANE]; przekażemy żądanie właściwemu administratorowi i poinformujemy Cię o tym.
8. Zautomatyzowane decyzje i profilowanie
Wobec osób, których dane przetwarzamy jako administrator, nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, wywołujących skutki prawne albo w podobny sposób istotnie wpływających na te osoby, i nie profilujemy ich w takim celu. Funkcje AI w aplikacji działają na danych naszych Klientów i podlegają nadzorowi człowieka; opisuje je dokument dostępny pod adresem openexpert.app/ai.
9. Dane klientów końcowych — jesteśmy podmiotem przetwarzającym
Dane, które nasi Klienci wprowadzają do aplikacji — dane ich klientów końcowych, dokumenty, korespondencja — przetwarzamy wyłącznie na ich polecenie, jako podmiot przetwarzający albo dalszy podmiot przetwarzający, na podstawie umowy powierzenia. Nie decydujemy o celach ani sposobach tego przetwarzania i nie wykorzystujemy tych danych do własnych celów.
Administratorem jest wtedy Klient albo — gdy Klient jest agentem działającym w imieniu pośrednika — sam pośrednik. Jeżeli jesteś klientem końcowym i chcesz skorzystać ze swoich praw, skieruj żądanie do administratora wskazanego w informacji, którą otrzymałeś od swojego eksperta lub pośrednika.
10. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: rozdzielenie danych każdej organizacji na poziomie bazy danych z kontrolą wymuszaną przez silnik bazy i testem izolacji uruchamianym automatycznie, krótkotrwałe tokeny dostępu do danych, szyfrowanie transmisji, szyfrowanie danych w spoczynku, rozdzielone magazyny plików publicznych i prywatnych, dostęp do plików prywatnych wyłącznie przez odnośniki podpisane i ograniczone czasowo, uwierzytelnianie dwuskładnikowe i klucze dostępu, kontrolę uprawnień, dzienniki zdarzeń, kopie zapasowe oraz rozdzielenie środowisk. Pełny wykaz znajduje się w załączniku o środkach technicznych i organizacyjnych do umowy powierzenia.
11. Pliki cookie
Zasady korzystania z plików cookie i pamięci przeglądarki opisuje odrębna Polityka cookie dostępna pod adresem openexpert.app/polityka-cookies.
12. Zmiany Polityki
Politykę aktualizujemy, gdy zmienia się zakres przetwarzania, lista dostawców, przepisy albo ich wykładnia. O istotnych zmianach informujemy Klientów na adres poczty elektronicznej wskazany w organizacji oraz komunikatem w aplikacji, co najmniej 15 dni przed wejściem zmiany w życie. Każda wersja ma numer i datę wejścia w życie wskazane w nagłówku; wersje poprzednie udostępniamy na wniosek.