Polityka prywatności
Niniejsza polityka wyjaśnia, w jaki sposób SynQflows, s.r.o., nr identyfikacyjny (IČO) 23685450, z siedzibą Příčná 1892/4, Nové Město, 110 00 Praha 1 (dalej „my” lub „Operator”), przetwarza dane osobowe w związku z platformą Negotiq (dalej „Platforma”) zgodnie z rozporządzeniem (UE) 2016/679 (dalej „RODO”) oraz czeską ustawą nr 110/2019 Sb. o przetwarzaniu danych osobowych. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.
1. Administrator i kontakt
Administratorem danych osobowych jest Operator. W sprawach ochrony danych osobowych prosimy o kontakt pod adresem inquiry@negotiq.synqflows.com lub pisemnie na adres siedziby. Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie ciąży na nas taki obowiązek.
Platforma służy firmom. Większość danych dotyczy firm (nazwa, numer identyfikacyjny, ceny, oferty) i nie stanowi danych osobowych. Danymi osobowymi są przede wszystkim dane osób, które działają na Platformie w imieniu firm, dane osób fizycznych prowadzących działalność gospodarczą (np. ich rachunek bankowy) oraz dane kontaktowe osób w firmach, do których się zwracamy.
2. Kiedy jesteśmy administratorem, a kiedy podmiotem przetwarzającym
- Jako administrator przetwarzamy dane osób, które korzystają z Platformy w imieniu Organizacji, dane niezbędne do świadczenia usług Platformy, do Rozliczenia i udowodnienia Transakcji, do fakturowania i zapewnienia bezpieczeństwa, a także dane potencjalnych dostawców (punkt 3).
- Jako podmiot przetwarzający na rzecz Organizacji, która jest administratorem, przetwarzamy dane osobowe zawarte w Treściach Użytkownika (np. osoba kontaktowa w specyfikacji lub załączniku), w wiadomościach wysłanych na Adres odbiorczy, w danych dostępowych do podłączonych systemów (ERP) i w danych z nich pobranych oraz w danych, które na polecenie Organizacji przesyłamy do jej Webhooków. Kwestie te reguluje Umowa powierzenia przetwarzania danych osobowych; z wnioskami dotyczącymi tych danych prosimy zwracać się do właściwej Organizacji.
3. Jakie dane, w jakim celu, na jakiej podstawie i jak długo
| Cel | Dane | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Rejestracja i prowadzenie konta, logowanie, role i uprawnienia | imię i nazwisko, służbowy adres e-mail, Organizacja i rola, skróty (hash) hasła i kodu odzyskiwania, sesje logowania (wyłącznie skrót tokenu i termin ważności), liczba nieudanych prób logowania | umowa (art. 6 ust. 1 lit. b RODO), zob. uwaga pod tabelą | przez okres istnienia konta; sesje 30 dni; po usunięciu konta dane są usuwane lub anonimizowane |
| Ewidencja akceptacji Regulaminu i innych dokumentów | dokument, wersja, czas akceptacji, skrót (hash) adresu IP, identyfikacja przeglądarki | prawnie uzasadniony interes polegający na wykazaniu zawarcia i treści Umowy (art. 6 ust. 1 lit. f) | przez okres obowiązywania Umowy i 4 lata po jej zakończeniu |
| Świadczenie usług Platformy: Zapytania, negocjacje Agentów, Transakcje, Potwierdzenia, powiadomienia, Integracje | tożsamość osoby, która utworzyła Zapytanie, zatwierdziła Ofertę lub skonfigurowała Integrację; dane kontaktowe udostępnione drugiej stronie po zawarciu Transakcji | umowa; prawnie uzasadniony interes polegający na możliwości wykazania transakcji (art. 6 ust. 1 lit. f) | przez okres istnienia konta; po jego usunięciu dane są usuwane lub anonimizowane, z wyjątkiem zapisów wskazanych w wierszu „Łańcuch audytowy” |
| Rozliczenie Transakcji | Dane płatnicze Dostawcy (w przypadku osób fizycznych prowadzących działalność gospodarczą stanowią dane osobowe), dane faktury (numer, kwota, termin płatności, symbol zmienny), kto i kiedy oznaczył zafakturowanie, płatność, otrzymanie płatności lub spór, uwagi dotyczące sporu, Zapisy AP2 | umowa; prawnie uzasadniony interes polegający na możliwości wykazania transakcji i ochronie przed oszustwami (art. 6 ust. 1 lit. f) | 10 lat od zawarcia Transakcji; po usunięciu konta imiona i nazwiska oraz dane kontaktowe osób zastępowane są wewnętrznym identyfikatorem |
| Łańcuch audytowy i bezpieczeństwo (ochrona przed nadużyciami, wyjaśnianie incydentów, udowodnienie Transakcji) | kto i kiedy dokonał czynności, treść czynności, zapisy techniczne, adres IP w logach operacyjnych | prawnie uzasadniony interes polegający na bezpieczeństwie, integralności i możliwości wykazania czynności (art. 6 ust. 1 lit. f) | wpisy w Łańcuchu audytowym, Potwierdzenia i Zapisy AP2 10 lat od ich powstania; po usunięciu konta w postaci spseudonimizowanej (zamiast imienia i nazwiska oraz adresu e-mail wyłącznie wewnętrzny identyfikator), ponieważ Łańcucha audytowego nie można zmieniać; logi operacyjne najwyżej 90 dni |
| Fakturowanie i rachunkowość (funkcje płatne) | dane identyfikacyjne i dane do faktury, osoba kontaktowa | obowiązek prawny (art. 6 ust. 1 lit. c) | 10 lat (czeska ustawa nr 235/2004 Sb. o podatku od wartości dodanej i czeska ustawa nr 563/1991 Sb. o rachunkowości) |
| Płatności i wezwania do zapłaty (dopasowywanie płatności, płatność kartą, płatność automatyczna) | dane płatności i rachunku płatnika, marka i ostatnie 4 cyfry karty, wysłane wiadomości e-mail | wykonanie umowy (art. 6 ust. 1 lit. b) i obowiązek prawny (art. 6 ust. 1 lit. c) | 10 lat w przypadku zapisów księgowych; zapisana karta do czasu jej usunięcia |
| Zgłoszenia nielegalnych treści i skargi na podstawie DSA | imię i nazwisko oraz adres e-mail zgłaszającego lub skarżącego, treść zgłoszenia, decyzja i jej uzasadnienie | obowiązek prawny wynikający z art. 16 i 17 rozporządzenia (UE) 2022/2065 (art. 6 ust. 1 lit. c); w przypadku skarg prawnie uzasadniony interes polegający na ich rozpatrzeniu (art. 6 ust. 1 lit. f) | 3 lata od rozpatrzenia |
| Baza danych potencjalnych dostawców i kontakt z nimi (B2B) | dane firm z publicznych rejestrów; ogólne firmowe dane kontaktowe z ich stron internetowych (np. info@, telefon do recepcji); imię i nazwisko oraz służbowe dane kontaktowe osoby wskazanej nam przez samą firmę; zapis rozmowy i wyniku kontaktu | prawnie uzasadniony interes polegający na oferowaniu firmom współpracy (art. 6 ust. 1 lit. f); kontaktujemy się z firmami telefonicznie, a zaproszenie e-mailem wysyłamy wyłącznie za ich zgodą (§ 7 czeskiej ustawy nr 480/2004 Sb.) | do wniesienia sprzeciwu lub do upływu 3 lat od ostatniego kontaktu; w razie sprzeciwu zachowujemy wyłącznie informację, że firma nie życzy sobie kontaktu |
| Komunikacja z Państwem (wsparcie, zapytania) | imię i nazwisko, adres e-mail, treść komunikacji | umowa lub prawnie uzasadniony interes | 3 lata od rozpatrzenia |
| Informacje handlowe dla obecnych klientów dotyczące podobnych usług | służbowy adres e-mail | § 7 ust. 3 czeskiej ustawy nr 480/2004 Sb.; prawnie uzasadniony interes; każda wiadomość zawiera możliwość rezygnacji z subskrypcji | do czasu rezygnacji z subskrypcji |
Uwaga dotycząca podstawy prawnej: Tam, gdzie wskazujemy „umowa”, chodzi o art. 6 ust. 1 lit. b RODO, jeżeli sami są Państwo stroną umowy (osoba fizyczna prowadząca działalność gospodarczą). Jeżeli działają Państwo w imieniu Organizacji jako pracownik lub inna osoba, podstawą prawną jest nasz prawnie uzasadniony interes polegający na wykonaniu umowy z Organizacją (art. 6 ust. 1 lit. f).
Dane, które przetwarzamy jako podmiot przetwarzający (punkt 2), przechowujemy zgodnie z poleceniami Organizacji i Umową powierzenia przetwarzania danych osobowych; wiadomości wysłane na Adres odbiorczy (nadawca, temat, czas odbioru, załączniki) usuwamy po 90 dniach, przy czym zaimportowane oferty pozostają.
4. Źródła danych
- Państwo — podczas rejestracji i korzystania z Platformy — lub Administrator Państwa Organizacji (zaproszenie współpracownika);
- Organizacja i jej Integracje (wiadomości na Adres odbiorczy, podłączone systemy);
- druga strona Transakcji (Dane płatnicze Dostawcy, dane faktury i statusy Rozliczenia);
- źródła publiczne: Rejestr podmiotów gospodarczych (czeski Urząd Statystyczny), ARES, rejestr handlowy i publiczne strony internetowe firm — wyłącznie ogólne firmowe dane kontaktowe;
- firma, z którą się kontaktujemy, jeżeli sama wskaże nam osobę kontaktową.
5. Odbiorcy danych
- Druga strona Transakcji — po zawarciu Transakcji udostępniamy Kupującemu i Dostawcy nazwę firmy, kontaktowy adres e-mail i numer telefonu drugiej strony, aby mogli wykonać Transakcję; Kupujący widzi ponadto Dane płatnicze i dane faktury Dostawcy, a obie strony widzą statusy Rozliczenia i uwagi dotyczące sporu. Przed zawarciem Transakcji druga strona nie zna Państwa tożsamości.
- Administrator Państwa Organizacji — widzi w zapisach audytowych Organizacji, kto i kiedy dokonał danej czynności.
- Podmioty przetwarzające, które zapewniają dla nas działanie usługi (zobowiązane umownie zgodnie z art. 28 RODO):
Aktualny wykaz podmiotów przetwarzających prowadzimy w Umowie powierzenia przetwarzania danych osobowych.Podmiot przetwarzający Cel Lokalizacja / zabezpieczenia Railway Corporation hosting aplikacji i bazy danych, kopie zapasowe USA / UE; standardowe klauzule umowne UE lub EU-U.S. Data Privacy Framework Anthropic, PBC konwersja nieustrukturyzowanych cenników (PDF, tekst) do postaci tabeli — tylko jeżeli korzystają Państwo z tej funkcji USA; standardowe klauzule umowne; dane nie są wykorzystywane do trenowania modeli dostawca usługi odbioru poczty e-mail (konkretny dostawca zostanie dopisany do wykazu przed uruchomieniem funkcji) odbiór wiadomości wysyłanych na Adresy odbiorcze i przekazywanie ich do Platformy zostanie wskazane wraz z dostawcą; przekazywanie poza EOG wyłącznie z zabezpieczeniami zgodnie z rozdziałem V RODO dostawca usługi poczty elektronicznej (SMTP) doręczanie faktur, wezwań do zapłaty i wiadomości serwisowych (adres odbiorcy i treść wiadomości) UE - Usługi płatnicze jako odrębni administratorzy, jeżeli korzystają Państwo z nich do płatności: Stripe Payments Europe, Ltd. (Irlandia) obsługuje płatności kartą i przechowuje kartę na potrzeby płatności automatycznych — numer karty wprowadzają Państwo bezpośrednio w Stripe, my go nie widzimy ani nie przechowujemy (znamy wyłącznie markę, ostatnie 4 cyfry i termin ważności); Raiffeisenbank a.s. prowadzi nasz rachunek i przekazuje nam dane o płatnościach przychodzących (kwota, symbol zmienny, nazwa i numer rachunku płatnika, tytuł płatności), które dopasowujemy do faktur.
- Systemy wybrane przez Państwa Organizację — na polecenie Organizacji przesyłamy dane do jej Webhooków i logujemy się do jej podłączonych systemów (ERP, feedy produktowe). Odbiorcy ci nie są naszymi podmiotami przetwarzającymi; za przetwarzanie przez nich danych odpowiada Organizacja.
- Organy władzy publicznej, jeżeli wymagają tego przepisy prawa.
Nie sprzedajemy danych osobowych ani nie wykorzystujemy ich do celów reklamowych podmiotów trzecich.
6. Przekazywanie poza EOG
Niektóre podmioty przetwarzające mają siedzibę w USA. W przypadku certyfikowanych odbiorców przekazywanie odbywa się na podstawie decyzji Komisji stwierdzającej odpowiedni stopień ochrony (EU-U.S. Data Privacy Framework), w pozostałych przypadkach na podstawie standardowych klauzul umownych zatwierdzonych decyzją wykonawczą Komisji (UE) 2021/914 wraz ze środkami uzupełniającymi (szyfrowanie podczas przesyłania i przechowywania, minimalizacja danych). Kopię zabezpieczeń udostępnimy Państwu na żądanie.
7. Zautomatyzowane podejmowanie decyzji
Agenci Platformy automatycznie negocjują ceny i warunki między firmami zgodnie z regułami ustalonymi przez te firmy. Decyzje te dotyczą warunków handlowych firm, a nie osób fizycznych, i nie wywołują wobec Państwa skutków prawnych ani w podobny sposób istotnie na Państwa nie wpływają w rozumieniu art. 22 RODO. Nie profilujemy osób fizycznych. Szczegóły zawierają Zasady korzystania ze sztucznej inteligencji.
8. Bezpieczeństwo
Hasła przechowujemy wyłącznie w postaci skrótu (Argon2id), sesje logowania i klucze API wyłącznie w postaci skrótu, logowanie chronimy bezpiecznymi plikami cookie i kontrolą pochodzenia żądań, komunikacja jest szyfrowana (HTTPS), dane dostępowe do podłączonych systemów szyfrujemy (AES-256-GCM), dostęp do danych jest ograniczony według ról i Organizacji, a istotne czynności zapisujemy w niezmiennym Łańcuchu audytowym. Szczegóły zawiera dokument Bezpieczeństwo i zaufanie.
9. Państwa prawa
Przysługuje Państwu prawo dostępu do danych osobowych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia oraz prawo wniesienia sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu — w tym sprzeciwu wobec kontaktowania się z Państwem jako potencjalnym dostawcą oraz wobec informacji handlowych, który zawsze uwzględniamy. Administrator Organizacji może wyeksportować dane Organizacji (JSON) i usunąć konto Użytkownika lub całą Organizację bezpośrednio w aplikacji. Pozostałe żądania prosimy kierować na adres inquiry@negotiq.synqflows.com; rozpatrzymy je bez zbędnej zwłoki, najpóźniej w terminie 1 miesiąca. Nie musimy uwzględnić żądania usunięcia danych w zakresie, w jakim dane są nam potrzebne do wywiązania się z obowiązku prawnego lub do ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 RODO); dlatego wpisy w Łańcuchu audytowym, Potwierdzenia i Zapisy AP2 po usunięciu konta są jedynie pseudonimizowane. Mają Państwo również prawo wnieść skargę do czeskiego Urzędu Ochrony Danych Osobowych (Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praga 7, uoou.gov.cz) lub do organu nadzorczego państwa członkowskiego UE, w którym mają Państwo zwykłe miejsce pobytu lub miejsce pracy.
10. Czy podanie danych jest obowiązkowe?
Podanie danych niezbędnych do założenia konta jest wymogiem umownym, a podanie danych do faktury również wymogiem ustawowym; bez nich korzystanie z Platformy nie jest możliwe. Podanie pozostałych danych jest dobrowolne.
11. Pliki cookie
Używamy wyłącznie niezbędnych plików cookie i pamięci lokalnej przeglądarki. Szczegóły zawiera Polityka plików cookie.
12. Zmiany
Możemy aktualizować niniejszą politykę; o istotnych zmianach poinformujemy Państwa na Platformie lub pocztą e-mail. Aktualna wersja jest zawsze dostępna na tej stronie.