Polityka prywatności
Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych i poufności informacji w związku z korzystaniem ze strony internetowej polybanking.app (dalej: „Strona”) oraz z aplikacji internetowej polybanking dostępnej pod adresem prod.polybanking.app (dalej: „Aplikacja”).
1. Zakres zastosowania
Polityka dotyczy:
- osób odwiedzających Stronę,
- osób, które wysyłają formularz kontaktowy,
- osób reprezentujących klientów przy zawieraniu i wykonywaniu umowy,
- użytkowników Aplikacji, czyli osób, którym klient lub Administrator założył konto,
- osób, których dane znajdują się w danych bankowych przetwarzanych w Aplikacji (np. kontrahentów klienta w opisach przelewów) – w zakresie opisanym w pkt 3.
2. Administrator danych osobowych
Administratorem danych osobowych jest Polava Michał Wajdziak, ul. Młyńska 22/1, 55-003 Nadolice Wielkie, NIP: PL9910339059, REGON: 160202490, adres e-mail: contact@polybanking.app (dalej: „Administrator”). We wszystkich sprawach dotyczących danych osobowych można kontaktować się z Administratorem mailowo lub listownie na powyższy adres.
3. Administrator i podmiot przetwarzający
- Administrator jest administratorem danych osób odwiedzających Stronę, osób wysyłających formularz kontaktowy, osób reprezentujących klientów oraz danych użytkowników Aplikacji w zakresie prowadzenia konta, logowania i bezpieczeństwa.
- Dane z rachunków bankowych klienta (salda, historie transakcji – w tym nazwy i numery rachunków kontrahentów oraz tytuły płatności – limity kredytowe, wyciągi bankowe) Administrator przetwarza w imieniu klienta, jako podmiot przetwarzający, na podstawie umowy powierzenia przetwarzania danych zawieranej z klientem (art. 28 RODO). Administratorem tych danych jest klient, który decyduje, które rachunki podłącza do Aplikacji.
4. Cele i podstawy prawne przetwarzania
- odpowiedź na zapytanie z formularza kontaktowego i przygotowanie oferty – art. 6 ust. 1 lit. b RODO (działania na żądanie osoby przed zawarciem umowy), a gdy zapytanie wysyła osoba w imieniu firmy – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: kontakt z potencjalnym klientem);
- zawarcie i wykonanie umowy, świadczenie usługi dostępu do Aplikacji i prowadzenie kont użytkowników – art. 6 ust. 1 lit. b RODO, a w przypadku osób działających w imieniu klienta – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: wykonanie umowy z klientem);
- integracja z rachunkami bankowymi – na podstawie umowy z klientem oraz zgody na dostęp do informacji o rachunku, którą posiadacz rachunku udziela w swoim banku (w rozumieniu przepisów o usługach płatniczych); zgodę można w każdej chwili odwołać w bankowości elektronicznej albo przez usunięcie połączenia z bankiem w Aplikacji;
- realizacja obowiązków prawnych, w szczególności księgowych i podatkowych – art. 6 ust. 1 lit. c RODO;
- zapewnienie bezpieczeństwa Strony i Aplikacji, zapobieganie nadużyciom, prowadzenie dziennika zdarzeń oraz ustalenie, dochodzenie lub obrona roszczeń – art. 6 ust. 1 lit. f RODO.
5. Rodzaje przetwarzanych danych
- formularz kontaktowy: imię i nazwisko, służbowy adres e-mail, nazwa firmy, a dobrowolnie także numer telefonu, liczba podmiotów i rachunków, informacja o bankach oraz treść wiadomości;
- konto użytkownika Aplikacji: imię, nazwisko, adres e-mail, rola i zakres dostępu, ustawienia (język, waluta), hasło (przechowywane wyłącznie w postaci skrótu kryptograficznego), jednorazowe kody logowania (również w postaci skrótu), historia logowań i operacji w dzienniku zdarzeń;
- dane bankowe (przetwarzane w imieniu klienta): numery rachunków, salda, historia transakcji – w tym nazwy i numery rachunków kontrahentów oraz tytuły płatności – limity kredytowe i wyciągi bankowe w formacie ISO 20022;
- dane techniczne: adres IP, data i godzina żądania oraz informacje o przeglądarce – w dziennikach serwera;
- inne dane wprowadzone dobrowolnie przez użytkownika.
6. Odbiorcy danych
Dane mogą być przekazywane:
- upoważnionym osobom współpracującym z Administratorem,
- dostawcy infrastruktury serwerowej i poczty elektronicznej (serwery w Unii Europejskiej) – jako podmiotowi przetwarzającemu,
- licencjonowanemu dostawcy usługi dostępu do informacji o rachunku (TPP), za którego pośrednictwem Aplikacja łączy się z bankami,
- użytkownikom Aplikacji wyznaczonym przez klienta – w zakresie nadanych im uprawnień,
- organom publicznym – gdy obowiązek wynika z przepisów prawa.
Administrator nie sprzedaje danych osobowych i nie udostępnia ich w celach marketingowych.
7. Przekazywanie danych poza Europejski Obszar Gospodarczy
Dane przechowujemy na serwerach w Unii Europejskiej. Jeżeli którykolwiek z odbiorców przetwarza dane poza Europejskim Obszarem Gospodarczym, odbywa się to wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych.
8. Okres przechowywania danych
- formularz kontaktowy: 6 miesięcy od wysłania formularza; jeżeli dojdzie do zawarcia umowy – przez okres jej obowiązywania i przedawnienia roszczeń;
- dane umowy i rozliczeń: przez okres wymagany przepisami prawa, w szczególności podatkowymi;
- konta użytkowników: przez czas korzystania z Aplikacji; konto dezaktywowane jest usuwane po 12 miesiącach;
- dane bankowe: transakcje i salda dzienne – bieżący rok i 5 pełnych lat wstecz (chyba że umowa z klientem stanowi inaczej); surowe dane otrzymane z banków – 24 miesiące; salda w ciągu dnia – 90 dni; archiwum plików wyciągów bankowych – 13 miesięcy; pliki eksportu danych – 7 dni;
- po zakończeniu umowy: dane klienta są usuwane po 30 dniach (wcześniej klient może otrzymać eksport swoich danych);
- dziennik zdarzeń bezpieczeństwa: 5 lat w Aplikacji, następnie przez rok w zaszyfrowanym archiwum;
- dzienniki serwera: 30 dni;
- kopie zapasowe: 30 dni – po tym czasie dane usunięte z Aplikacji znikają także z kopii.
9. Prawa osób, których dane dotyczą
Każdej osobie przysługuje prawo:
- dostępu do swoich danych i otrzymania ich kopii,
- sprostowania (poprawienia) danych,
- usunięcia danych,
- ograniczenia przetwarzania,
- przenoszenia danych,
- wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
- cofnięcia zgody w dowolnym momencie, jeśli przetwarzanie odbywa się na podstawie zgody – bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
W przypadku danych przetwarzanych w imieniu klienta (pkt 3) wnioski rozpatruje klient jako administrator; Administrator pomaga mu je zrealizować.
10. Dobrowolność podania danych
Podanie danych jest dobrowolne. Bez danych oznaczonych w formularzu jako wymagane nie możemy odpowiedzieć na zapytanie, a bez danych konta – założyć dostępu do Aplikacji.
11. Zautomatyzowane podejmowanie decyzji
Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołują wobec kogokolwiek skutki prawne. Automatyczna kategoryzacja transakcji w Aplikacji służy wyłącznie analizie finansowej klienta.
12. Bezpieczeństwo danych
- szyfrowane połączenia (HTTPS),
- szyfrowanie danych wrażliwych w bazie danych (AES-256),
- rozdział danych klientów w warstwie bazy danych (Row-Level Security),
- logowanie dwuskładnikowe i dziennik zdarzeń zabezpieczony przed zmianami,
- codzienne, szyfrowane kopie zapasowe,
- dostęp do rachunków wyłącznie do odczytu (usługa AIS) – Aplikacja nie może zlecać płatności, a dane logowania do bankowości nie trafiają do Administratora.
13. Pliki cookies i pamięć przeglądarki
Strona nie używa plików cookies ani narzędzi analitycznych czy śledzących. W pamięci przeglądarki zapisujemy wyłącznie wybrany język. Aplikacja przechowuje w pamięci przeglądarki token sesji logowania i ustawienia interfejsu – są one niezbędne do działania usługi.
14. Zmiany Polityki prywatności
Administrator może zmieniać niniejszą Politykę, np. w związku ze zmianą przepisów lub funkcji Aplikacji. Aktualna wersja jest zawsze dostępna na tej stronie wraz z datą, od której obowiązuje.