Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych w związku z korzystaniem z serwisu Replaco — aplikacji SaaS do automatycznego uzupełniania szablonów DOCX.
1. Administrator danych
Administratorem danych osobowych Użytkowników konta Replaco (w zakresie opisanym poniżej jako „Administrator”) jest:
- Firma: Make IT Real KAMIL KASPEREK
- Przedsiębiorca: KAMIL KASPEREK
- Adres: ul. Gospodarcza 22a/16, 41-214 Sosnowiec
- NIP: 6443559732
- REGON: 388733124
- Kontakt w sprawach ochrony danych: kasperek.dev@gmail.com
Inspektor Ochrony Danych: nie został powołany. W sprawach prywatności prosimy o kontakt na adres kasperek.dev@gmail.com.
2. Zakres stosowania
Polityka dotyczy:
- korzystania ze strony internetowej i aplikacji Replaco,
- rejestracji konta, logowania (w tym OAuth), subskrypcji i płatności,
- przechowywania szablonów DOCX, fraz, danych firmy i kontrahentów,
- kontaktu z nami (e-mail),
- plików cookies i podobnych technologii opisanych w § 10.
Polityka nie zastępuje obowiązków informacyjnych Użytkownika wobec osób trzecich, których dane wprowadza do Replaco (np. kontrahentów) — patrz § 12.
3. Cele, podstawy prawne i kategorie danych
| Cel przetwarzania | Przykładowe dane | Podstawa prawna |
|---|---|---|
| Utworzenie i prowadzenie konta, logowanie, świadczenie usługi SaaS | e-mail, hasło (po stronie dostawcy auth), imię, nazwisko, identyfikator konta, dane OAuth | art. 6 ust. 1 lit. b RODO (umowa) |
| Profil firmy Użytkownika | nazwa, NIP, adres, kod, miasto, kraj | art. 6 ust. 1 lit. b RODO |
| Baza kontrahentów | imię, nazwisko, firma, e-mail, NIP, adres | art. 6 ust. 1 lit. b RODO (umowa); Użytkownik jest administratorem tych danych — patrz § 12 |
| Szablony DOCX i frazy | pliki, metadane, wartości pól | art. 6 ust. 1 lit. b RODO; powierzenie art. 28 RODO |
| Płatności i subskrypcja | identyfikatory sesji Stripe, status płatności, plan | art. 6 ust. 1 lit. b i f RODO |
| Faktury i obowiązki księgowe | dane nabywcy, numery faktur, link do PDF | art. 6 ust. 1 lit. b i c RODO |
| Kontakt i reklamacje | e-mail, treść korespondencji | art. 6 ust. 1 lit. b lub f RODO |
| Bezpieczeństwo, logi techniczne | IP, user-agent, zdarzenia błędów | art. 6 ust. 1 lit. f RODO |
| Cookies niezbędne (sesja) | tokeny sesji | art. 6 ust. 1 lit. b lub f RODO + niezbędność techniczna |
| Zapytania NIP / GUS BIR | NIP, dane rejestrowe z rejestru publicznego | art. 6 ust. 1 lit. b / f RODO |
Marketing i newsletter: według obecnej konfiguracji produktu nie prowadzimy odrębnego marketingu wymagającego zgody. Po wdrożeniu takich funkcji zaktualizujemy Politykę i — jeśli wymagane — poprosimy o zgodę.
4. Źródła danych
Dane pochodzą:
- bezpośrednio od Użytkownika — rejestracja, formularze, upload plików;
- od dostawców logowania (Google, Facebook) — e-mail i podstawowe dane profilu;
- od Stripe — status i identyfikatory płatności (nie przechowujemy pełnych danych karty);
- z rejestru GUS BIR — po podaniu NIP przez Użytkownika;
- automatycznie — cookies sesji, logi serwera.
5. Odbiorcy danych i podmioty przetwarzające
Dane mogą być przekazywane podmiotom świadczącym usługi na nasze zlecenie lub jako niezależni administratorzy w zakresie ich usług:
| Podmiot | Cel | Uwagi |
|---|---|---|
| Supabase | uwierzytelnianie, baza danych, przechowywanie plików | umowa powierzenia (DPA) — [DO_UZUPEŁNIENIA: status i region] |
| Stripe | płatności online | DPA Stripe; dane karty po stronie Stripe |
| Fakturownia | wystawianie faktur | DPA — [DO_UZUPEŁNIENIA: status] |
| Hosting / VPS | działanie API i aplikacji | [DO_UZUPEŁNIENIA: dostawca, region] |
| Google / Meta | logowanie OAuth | zgodnie z regulaminem dostawcy |
| Google Fonts (CDN) | wyświetlanie czcionek | możliwe przekazanie adresu IP — rozważamy self-hosting |
| GUS BIR | dane publiczne po NIP | źródło rejestrowe, nie klasyczny procesor |
| Organy państwa | na żądanie prawne | gdy wynika to z przepisów |
Nie sprzedajemy danych osobowych. Nie udostępniamy ich podmiotom trzecim w celach marketingowych.
6. Przekazywanie danych poza Europejski Obszar Gospodarczy
Część dostawców (w szczególności Supabase, Stripe, Google) może przetwarzać dane poza EOG, w tym w USA. W takich przypadkach stosujemy mechanizmy przewidziane w RODO, w szczególności:
- decyzje Komisji Europejskiej o adekwatności (jeśli mają zastosowanie),
- Standardowe Klauzule Umowne (SCC),
- dodatkowe środki bezpieczeństwa tam, gdzie wymagane.
Szczegóły transferów potwierdzamy w umowach z dostawcami. Aktualny status: [DO_UZUPEŁNIENIA: region Supabase, potwierdzenie SCC/TIA].
7. Okres przechowywania
| Kategoria | Okres |
|---|---|
| Dane konta i treści usługi (szablony, frazy, kontrahenci) | przez czas prowadzenia konta; po usunięciu konta — usunięcie z systemów aktywnych w terminie do 30 dni, kopie zapasowe do 90 dni (rotacja backupów) |
| Dane rozliczeniowe i faktury | przez okres wymagany przepisami podatkowymi i rachunkowymi — co do zasady 5 lat od końca roku podatkowego |
| Logi bezpieczeństwa | do 12 miesięcy, dłużej jeśli trwa postępowanie lub incydent |
| Korespondencja | czas obsługi sprawy + okres przedawnienia roszczeń |
| Identyfikatory płatności Stripe | zgodnie z polityką Stripe i naszymi potrzebami rozliczeniowymi |
Po upływie okresu dane są usuwane lub anonimizowane, o ile przepisy nie wymagają dłuższego przechowywania.
8. Prawa osób, których dane dotyczą
Przysługują Ci:
- prawo dostępu do danych,
- prawo sprostowania,
- prawo usunięcia („prawo do bycia zapomnianym”),
- prawo ograniczenia przetwarzania,
- prawo przenoszenia danych,
- prawo sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO,
- prawo cofnięcia zgody — jeśli przetwarzanie opiera się na zgodzie (obecnie głównie nie dotyczy),
- prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
Jak skorzystać z praw: wyślij żądanie na kasperek.dev@gmail.com. Odpowiadamy zasadniczo w ciągu miesiąca; w sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące z informacją o przyczynach.
Część danych możesz zaktualizować samodzielnie w aplikacji (profil, firma, kontrahenci). Usunięcie konta: wyślij żądanie z adresu e-mail przypisanego do Konta na kasperek.dev@gmail.com.
9. Obowiązek podania danych
Podanie danych wymaganych przy rejestracji i rozliczeniach jest konieczne do zawarcia i wykonania umowy. Brak tych danych uniemożliwia korzystanie z Replaco.
Dane opcjonalne (np. e-mail kontrahenta) są oznaczone jako opcjonalne — ich brak nie blokuje podstawowych funkcji.
10. Cookies i podobne technologie
10.1. Cookies niezbędne
Używamy cookies niezbędnych do działania serwisu:
| Nazwa | Cel | Czas |
|---|---|---|
access_token |
sesja API | ok. 15 minut |
refresh_token |
odświeżanie sesji | ok. 7 dni |
Cookies są httpOnly, SameSite=Strict (produkcja: Secure). Bez nich logowanie nie działa.
10.2. localStorage
Przy logowaniu OAuth (Google/Facebook) Supabase może zapisać w localStorage przeglądarki stan sesji PKCE — wyłącznie do zakończenia procesu logowania.
10.3. Brak cookies marketingowych i analitycznych
Według obecnej konfiguracji nie używamy cookies marketingowych ani analitycznych (np. Google Analytics). Po ich ewentualnym wdrożeniu zaktualizujemy Politykę i — jeśli wymagane — wdrożymy mechanizm zgody.
10.4. Zarządzanie cookies
Cookies niezbędnych nie można wyłączyć bez utraty funkcji logowania. Możesz usunąć je w ustawieniach przeglądarki — spowoduje to wylogowanie.
11. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, m.in.:
- szyfrowanie transmisji (HTTPS),
- uwierzytelnianie przez Supabase (hasło, OAuth),
- krótkotrwałe tokeny sesji i cookies httpOnly,
- izolację danych per konto (
ownerId/userId), - przechowywanie plików w Supabase Storage,
- procedurę reagowania na incydenty (naruszenia ochrony danych).
Wypełnianie dokumentów DOCX odbywa się w przeglądarce Użytkownika — pobrany szablon jest przetwarzany lokalnie przed zapisaniem wyniku.
12. Dane kontrahentów i treści wprowadzane przez Użytkownika
Wprowadzając do Replaco dane kontrahentów, klientów, pracowników lub innych osób oraz wgrywając szablony DOCX:
- Ty jesteś zwykle administratorem tych danych,
- Replaco przetwarza je jako podmiot przetwarzający na Twoje polecenie, w celu świadczenia usługi (art. 28 RODO).
Odpowiadasz za:
- posiadanie podstawy prawnej do przetwarzania,
- spełnienie obowiązku informacyjnego wobec tych osób,
- niewprowadzanie danych zabronionych lub nadmiernych (np. danych medycznych, danych dzieci, danych biometrycznych bez podstawy).
Zakaz: nie wolno wgrywać do Replaco treści zawierających dane, których przetwarzanie w tej usłudze jest niedozwolone lub wymaga odrębnych zabezpieczeń bez ich zapewnienia.
13. Zautomatyzowane podejmowanie decyzji
Nie podejmujemy wobec Ciebie decyzji wyłącznie zautomatyzowanej, w tym profilowania, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.
14. Zmiany Polityki
Możemy aktualizować Politykę z ważnych przyczyn (zmiana prawa, funkcji, dostawców). O istotnych zmianach poinformujemy z odpowiednim wyprzedzeniem (np. e-mail lub komunikat w serwisie). Data obowiązywania bieżącej wersji: 21 maja 2026 r.
Dokument opracowany na podstawie pakietu dokumentacji RODO Replaco. Przed publikacją produkcyjną potwierdź regiony dostawców (DPA).