Dokument prawny · ostatnia aktualizacja: 25 października 2026

Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Zordon Intelligence Sp. z o.o. z siedzibą w Łodzi. Kontakt w sprawach prywatności: hi@zordonintelligence.pl, wsparcie produktu: hi@zordonintelligence.pl.

Serwis przetwarza dane firm pochodzące z CEIDG — rejestru publicznego. Dane te nie są danymi osobowymi w rozumieniu RODO w zakresie, w jakim dotyczą one wyłącznie działalności gospodarczej przedsiębiorcy; przetwarzamy je w celu realizacji Usługi, nie w celu ich dalszej dystrybucji.

2. Jakie dane zbieramy

• Konto: adres e-mail, hasło (wyłącznie hash), data utworzenia konta, plan i historia płatności.
• Token CEIDG: token wydany przez Biznes.gov.pl, w postaci zaszyfrowanej oraz dane, które z niego odczytujemy: imię, nazwisko, numer PESEL, identyfikator klienta i daty ważności.
• Dane rozliczeniowe: dane do faktury (nazwa, NIP, adres), historia transakcji. Dane karty przetwarza wyłącznie operator płatności.
• Treści w Serwisie: zapisane listy firm, ustawienia filtrów, alerty, historia eksportów.
• Dane techniczne: adres IP, dziennik zdarzeń (log), informacje o przeglądarce, identyfikatory sesji — w zakresie niezbędnym do bezpieczeństwa i diagnostyki.

3. Token CEIDG zawiera PESEL — czytaj to świadomie

Token API CEIDG to podpisany JWT, którego ładunek zawiera imię, nazwisko i numer PESEL właściciela tokenu. Podłączenie tokenu oznacza więc powierzenie nam danych, które prawo kwalifikuje jako szczególnie chronione (numer PESEL jest wyczerpująco uregulowany ustawowo). Dlatego:

• token szyfrujemy algorytmem AES-GCM kluczem trzymanym poza bazą danych,
• w interfejsie pokazujemy go wyłącznie zamaskowanego — nigdy w całości,
• nie logujemy nagłówków autoryzacyjnych ani ładunku tokenu,
• PESEL nie jest wykorzystywany do żadnego innego celu niż wykonanie zapytań do API CEIDG na Twoje żądanie,
• token usuwa się razem z kontem lub wcześniej — z poziomu panelu, jednym kliknięciem.

4. Podstawy prawne i cele

• Art. 6 ust. 1 lit. b RODO — świadczenie usługi: konto, przeglądarka, eksporty, alerty.
• Art. 6 ust. 1 lit. f RODO — uzasadniony interes: bezpieczeństwo serwisu, zapobieganie nadużyciom, dochodzenie roszczeń.
• Art. 6 ust. 1 lit. c RODO — obowiązki księgowe i podatkowe przy subskrypcjach.
• Art. 6 ust. 1 lit. a RODO — zgoda, wyłącznie dla analityki i marketingu (możesz ją wycofać w każdej chwili).

5. Odbiorcy danych

• Tpay — obsługa płatności i subskrypcji.
• Dostawca hostingu (infrastruktura chmurowa w UE) — utrzymanie serwisu.
• Dostawca poczty transakcyjnej — maile z linkami do eksportów i alertami.
• Ministerstwo Rozwoju i Technologii (API CEIDG) — wyłącznie zapytania autoryzowane Twoim tokenem.
• Dostawca monitoringu błędów — dane techniczne bez treści merytorycznych.

Dane nie są przekazywane poza EOG. Jeżeli w przyszłości któryś z podmiotów przetwarzających będzie poza EOG, przekazanie nastąpi na podstawie standardowych klauzul umownych, o czym poinformujemy w tym dokumencie.

6. Okresy przechowywania

• Dane konta — do usunięcia konta, potem maksymalnie 30 dni na usunięcie z kopii zapasowych.
• Token CEIDG — do jego usunięcia lub usunięcia konta.
• Historia eksportów — 12 miesięcy (sam plik) i 24 miesiące (metadane).
• Dane rozliczeniowe — 5 lat od zakończenia roku podatkowego (obowiązek księgowy).
• Logi zdarzeń — 90 dni.

7. Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu oraz wycofania zgody. Żądania realizujemy w ciągu miesiąca — zgłoś je mailem na hi@zordonintelligence.pl. Masz też prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Eksport i usunięcie danych konta są dostępne samoobsługowo w panelu (Konto → Usuń konto), bez konieczności kontaktu z nami.

8. Bezpieczeństwo

Stosujemy szyfrowanie transmisji (TLS 1.3), szyfrowanie tokenów w spoczynku (AES-GCM), hasła w postaci hashy z solą, zasadę minimalnych uprawnień i separację baz danych między produktami. Dostęp do infrastruktury wymaga drugiego czynnika. W razie naruszenia ochrony danych zawiadamiamy UODO w ciągu 72 godzin, a Użytkowników, których naruszenie może dotyczyć — bez zbędnej zwłoki.

9. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie decyzji wyłącznie w sposób zautomatyzowany i nie profilujemy Cię w rozumieniu art. 22 RODO. Alerty o nowych firmach są filtrowaniem danych, a nie oceną osoby.

Masz pytanie do tego dokumentu? Napisz na hi@zordonintelligence.pl. Odpowiadamy w ciągu 2 dni roboczych.