Polityka prywatności

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób w serwisie Szacownia (dalej „Serwis”) przetwarzane są dane osobowe oraz jakie prawa przysługują osobom, których dane dotyczą. Przetwarzanie odbywa się zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej „RODO”) oraz powszechnie obowiązującymi przepisami prawa polskiego. Dokument stanowi realizację obowiązku informacyjnego z art. 13 i 14 RODO.

1. Administrator danych

Administratorem danych osobowych jest Tomasz Jasiński, prowadzący jednoosobową działalność gospodarczą, adres do doręczeń: ul. Słoneczna 7, 55-120 Siemianice, NIP 9151721067 (dalej „Administrator”).

We wszystkich sprawach związanych z ochroną danych osobowych można kontaktować się z Administratorem pod adresem e-mail: kontakt@szacownia.pl. Administrator nie wyznaczył inspektora ochrony danych.

2. Role: administrator i podmiot przetwarzający

W zależności od kategorii danych Administrator występuje w różnych rolach:

• Jako administrator — w zakresie danych Użytkowników Serwisu (dane konta, dane profilu rzeczoznawcy, dane rozliczeniowe, dane techniczne).
• Jako podmiot przetwarzający — w zakresie danych osób trzecich, które Użytkownik samodzielnie wprowadza do treści operatów lub danych powiązanych (np. zleceniodawcy, strony transakcji). W tym zakresie to Użytkownik jest administratorem, a Administrator przetwarza dane wyłącznie na jego udokumentowane polecenie i w celu świadczenia usługi. Zasady tego powierzenia (art. 28 ust. 3 RODO) określa Regulamin oraz — na żądanie Użytkownika — odrębna umowa powierzenia przetwarzania danych.

3. Kategorie przetwarzanych danych

• Dane konta — imię i nazwisko oraz adres e-mail podawane przy rejestracji i logowaniu.
• Dane profilu rzeczoznawcy — m.in. numer uprawnień zawodowych oraz dane wykorzystywane do oznaczania sporządzanych operatów.
• Treści operatów — dokumenty, sekcje, bloki oraz inne materiały tworzone i edytowane przez Użytkownika w Serwisie.
• Dane osób trzecich wprowadzane przez Użytkownika — dane osób i podmiotów, które Użytkownik samodzielnie wprowadza w treści operatów lub danych powiązanych. W tym zakresie Administrator pełni rolę podmiotu przetwarzającego (patrz pkt 2).
• Dane z rejestrów publicznych — dane o nieruchomościach pobierane z zasobów publicznych (m.in. GUGiK/ULDK, RCN) jako materiał pomocniczy; mogą być buforowane na czas niezbędny do działania funkcji (patrz pkt 7).
• Dane techniczne i logi — adres IP, informacje o przeglądarce i urządzeniu, daty i godziny dostępu oraz inne dane generowane automatycznie, niezbędne do bezpiecznego działania Serwisu.
• Dane rozliczeniowe — przetwarzane przez operatora płatności Stripe. Administrator nie przechowuje pełnych danych kart płatniczych; otrzymuje wyłącznie informacje niezbędne do realizacji zamówienia, wystawienia faktury i rozliczeń.

4. Cele i podstawy prawne przetwarzania

• Świadczenie usługi (prowadzenie konta, udostępnianie funkcji Serwisu) — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Obsługa płatności i rozliczeń — art. 6 ust. 1 lit. b oraz art. 6 ust. 1 lit. c RODO (obowiązki prawne, w tym podatkowe i rachunkowe).
• Obsługa funkcji asystenta AI — art. 6 ust. 1 lit. b RODO (wykonanie umowy); fragmenty treści operatu przekazywane są dostawcy modelu językowego wyłącznie w celu wygenerowania odpowiedzi.
• Analityka produktowa (PostHog, wyłącznie za zgodą) — art. 6 ust. 1 lit. a RODO (zgoda); szczegóły w Polityce cookies.
• Bezpieczeństwo, zapobieganie nadużyciom i obsługa zgłoszeń — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
• Ustalenie, dochodzenie i obrona roszczeń — art. 6 ust. 1 lit. f RODO.

5. Odbiorcy danych i podmioty przetwarzające

W celu świadczenia usługi korzystamy z zaufanych dostawców, którzy przetwarzają dane na nasze zlecenie na podstawie umów powierzenia przetwarzania danych (art. 28 RODO):

• Supabase — hosting bazy danych i obsługa uwierzytelniania; dane przechowywane w regionie UE (Frankfurt).
• Vercel — hosting i serwowanie aplikacji; funkcje wykonywane w regionie UE (Frankfurt).
• Amazon Web Services (AWS) — przechowywanie plików i eksportów w regionie eu-central-1 (Frankfurt).
• Stripe (Stripe Payments Europe, Ltd., Irlandia) — operator płatności; w zakresie realizacji transakcji na polecenie Administratora działa jako podmiot przetwarzający, a w zakresie własnych obowiązków regulacyjnych (przeciwdziałanie oszustwom, AML) — jako odrębny administrator; polityka: stripe.com/privacy.
• Stripto (pośrednik integracyjny) oraz Fakturownia — wystawianie i archiwizacja faktur VAT oraz przekazywanie ich do Krajowego Systemu e-Faktur (KSeF); przetwarzają dane nabywcy niezbędne do faktury (nazwa, adres, NIP, e-mail).
• Resend — wysyłka wiadomości e-mail (powiadomienia i wiadomości transakcyjne).
• Sentry — monitorowanie błędów aplikacji (instancja UE); dane wrażliwe są filtrowane przed wysłaniem.
• PostHog — analityka produktowa (region UE), uruchamiana wyłącznie za zgodą; bez nagrywania sesji.
• Anthropic, PBC (USA) — dostawca modelu językowego (AI) wykorzystywanego w funkcji asystenta; fragmenty treści przekazywane są wyłącznie w zakresie niezbędnym do wygenerowania odpowiedzi; transfer do USA na podstawie standardowych klauzul umownych (SCC) wraz ze środkami uzupełniającymi.

Dane mogą być nadto udostępniane podmiotom uprawnionym na podstawie przepisów prawa. Administrator nie sprzedaje danych osobowych.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Co do zasady dane przetwarzane są na serwerach zlokalizowanych w Europejskim Obszarze Gospodarczym (EOG). Niektórzy z dostawców należą jednak do grup kapitałowych lub mają siedzibę w państwach trzecich (w szczególności w Stanach Zjednoczonych), co może wiązać się z przekazaniem danych poza EOG. W takim przypadku przekazanie odbywa się na podstawie odpowiednich zabezpieczeń przewidzianych w RODO, w szczególności:

• decyzji Komisji Europejskiej o odpowiednim stopniu ochrony, w tym ram ochrony danych UE–USA (EU–U.S. Data Privacy Framework), gdy dostawca posiada odpowiednią certyfikację, oraz
• standardowych klauzul umownych zatwierdzonych przez Komisję Europejską wraz z dodatkowymi środkami bezpieczeństwa, gdy ma to zastosowanie.

Dane mogą być przekazywane do USA m.in. dostawcom: Vercel, Resend, Sentry, Anthropic — na podstawie decyzji o adekwatności (EU–U.S. Data Privacy Framework) w zakresie dostawców objętych certyfikacją, a w pozostałym zakresie na podstawie standardowych klauzul umownych (SCC) wraz ze środkami uzupełniającymi.

Na żądanie kierowane na adres kontaktowy udostępniamy informację o zastosowanych zabezpieczeniach.

7. Okresy przechowywania danych

• Dane konta i treści Użytkownika — do momentu usunięcia konta przez Użytkownika lub na jego żądanie, a po tym czasie przez okres niezbędny do ustalenia, dochodzenia lub obrony roszczeń.
• Dane buforowane z rejestrów publicznych — przechowywane przez maksymalnie 7 dni, po czym są automatycznie usuwane lub odświeżane.
• Pliki eksportów — przechowywane przez czas trwania Konta; usuwane wraz z usunięciem Konta.
• Dane rozliczeniowe — przez okres wymagany przepisami podatkowymi i o rachunkowości.
• Dane przetwarzane na podstawie zgody — do czasu wycofania zgody.

8. Prawa osób, których dane dotyczą

W związku z przetwarzaniem danych przysługują Państwu prawa do:

• dostępu do danych oraz uzyskania ich kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Eksport oraz usunięcie danych konta są dostępne bezpośrednio w Serwisie w sekcji Ustawienia → Profil. W pozostałym zakresie wnioski można kierować na adres kontakt@szacownia.pl. Żądania dotyczące danych osób trzecich wprowadzonych przez Użytkownika realizujemy za pośrednictwem i na polecenie tego Użytkownika (administratora tych danych).

9. Dobrowolność podania danych

Podanie danych konta jest dobrowolne, lecz niezbędne do założenia konta i korzystania z Serwisu — ich niepodanie uniemożliwia zawarcie i wykonanie umowy. Podanie danych analitycznych jest w pełni dobrowolne i zależy od wyrażenia zgody.

10. Brak automatycznego podejmowania decyzji

Administrator nie podejmuje wobec osób, których dane dotyczą, decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływałyby na te osoby.

11. Bezpieczeństwo

Administrator stosuje adekwatne środki techniczne i organizacyjne służące ochronie danych, w tym szyfrowanie połączeń, kontrolę dostępu oraz ograniczanie zakresu danych przekazywanych do narzędzi pomocniczych (np. filtrowanie danych wrażliwych przed wysłaniem do narzędzia monitorowania błędów).

12. Prawo do wniesienia skargi

Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.

13. Pliki cookie

Serwis korzysta z plików cookie i podobnych technologii. Szczegółowe informacje o ich rodzajach i sposobie zarządzania nimi znajdują się w Polityce cookies.

14. Zmiany Polityki prywatności

Administrator może aktualizować niniejszą Politykę prywatności. O istotnych zmianach Użytkownicy zostaną poinformowani w Serwisie lub drogą e-mail. Aktualna wersja jest zawsze dostępna pod niniejszym adresem.