SecureJPK
Zaloguj się

Dokumenty

POLITYKA PRYWATNOŚCI I PLIKÓW COOKIES APLIKACJI SECUREJPK

Obowiązuje od dnia 18.10.2026 r.

§ 1. Postanowienia ogólne i Administrator Danych

  1. Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych Użytkowników oraz Usługobiorców korzystających z aplikacji internetowej SecureJPK dostępnej pod adresem https://securejpk.pl, a także zasady wykorzystywania plików cookies.
  2. Administratorem danych osobowych przetwarzanych w związku z obsługą Konta, realizacją płatności, fakturowaniem oraz zapewnieniem bezpieczeństwa Aplikacji jest Wojciech Małecki, prowadzący jednoosobową działalność gospodarczą pod firmą Wojciech Małecki Software, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej Rzeczypospolitej Polskiej, NIP: 5252163709, REGON: 140981854, adres stałego miejsca wykonywania działalności gospodarczej: ul. Poetów 8J, 03-147 Warszawa, zwany dalej „Administratorem” lub „Usługodawcą”.
  3. W sprawach związanych z ochroną danych osobowych z Administratorem można skontaktować się za pośrednictwem poczty elektronicznej pod adresem: serwis@securejpk.pl.
  4. Dane osobowe przetwarzane są zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – dalej „RODO”).

§ 2. Architektura Strict Zero-Knowledge a dane zawarte w Plikach JPK

  1. Aplikacja SecureJPK została zaprojektowana i działa w architekturze Strict Zero-Knowledge (pełnej poufności po stronie klienta).
  2. W ścieżce wysyłki odczyt strumienia bajtów, wyliczenie sum kontrolnych transmisji, kompresja (ZIP) oraz szyfrowanie kryptograficzne (AES-256-CBC) odbywają się wyłącznie lokalnie w przeglądarce Użytkownika przed rozpoczęciem transmisji sieciowej. Plik jest przy tym traktowany jako surowy strumień bajtów, bez parsowania XML. Funkcje zakładki „Przygotuj plik” (walidacja, klejenie i podmiana numeru NIP) również wykonują się w całości lokalnie w przeglądarce Użytkownika (Web Worker oraz prywatna pamięć OPFS) i nie wysyłają jawnego pliku na serwer Administratora.
  3. Zaszyfrowane paczki danych przesyłane są bezpośrednio z przeglądarki Użytkownika na infrastrukturę chmurową wskazaną przez system teleinformatyczny Ministerstwa Finansów / Krajowej Administracji Skarbowej (System MF/KAS).
  4. Administrator:
    1. nie posiada kluczy prywatnych pozwalających na odszyfrowanie Plików JPK zaszyfrowanych kluczem publicznym Ministerstwa Finansów;
    2. nie przesyła na własny serwer jawnych (niezaszyfrowanych) Plików JPK;
    3. nie otrzymuje jawnego pliku XML, nie dekoduje go i nie parsuje go po stronie serwera; lokalny odczyt w zakładce „Przygotuj plik” pozostaje na urządzeniu Użytkownika;
    4. nie przechowuje ani nie archiwizuje przesyłanych Plików JPK ani pobieranych dokumentów UPO.
  5. Ze względu na brak technicznego dostępu Administratora do niezaszyfrowanej treści Plików JPK, korzystanie z Aplikacji nie stanowi powierzenia przetwarzania danych osobowych zawartych wewnątrz samych Plików JPK w rozumieniu art. 28 RODO i nie wymaga zawarcia odrębnej umowy powierzenia przetwarzania danych osobowych.

§ 3. Zakres, cele i podstawy prawne przetwarzania danych

Administrator przetwarza wyłącznie dane osobowe niezbędne do udostępniania Aplikacji, obsługi Konta oraz rozliczeń B2B w następujących celach:

  1. Założenie i utrzymanie Konta Użytkownika oraz świadczenie usług drogą elektroniczną:
    • Zakres danych: adres poczty elektronicznej, zaszyfrowane dane uwierzytelniające, identyfikator użytkownika w bazie danych, przypisane numery NIP podmiotów, limity wielkości plików oraz daty ważności opłaconych Pakietów.
    • Podstawa prawna: art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy o świadczenie usług drogą elektroniczną lub do podjęcia działań przed jej zawarciem).
  2. Realizacja płatności oraz wykonanie obowiązków księgowych i podatkowych:
    • Zakres danych: imię i nazwisko, nazwa firmy, adres siedziby/prowadzenia działalności, numer NIP, adres e-mail, identyfikator klienta i sesji płatniczej w systemie Stripe, historia zakupionych Pakietów oraz dane widniejące na fakturach.
    • Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. c RODO (wypełnienie obowiązku prawnego ciążącego na Administratorze na podstawie przepisów o podatku od towarów i usług oraz przepisów o rachunkowości).
  3. Obsługa zapytań, reklamacji oraz dochodzenie lub obrona przed roszczeniami:
    • Zakres danych: dane kontaktowe (adres e-mail, imię i nazwisko, dane firmy), opis zgłoszenia, metadane dotyczące czasu i statusu operacji.
    • Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na komunikacji z Użytkownikami, rozpatrywaniu reklamacji oraz ochronie prawnej przed roszczeniami).
  4. Zapewnienie bezpieczeństwa Aplikacji i weryfikacja uprawnień (logi techniczne):
    • Zakres danych: adres IP, data i czas zapytania, nagłówki techniczne zapytań przekazywanych przez serwer pośredniczący (proxy API), informacje o wybranym środowisku (TEST/PROD), sprawdzanym numerze NIP oraz kodzie formularza.
    • Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na zapewnieniu bezpieczeństwa sieci i informacji, autoryzacji dostępu do modułów produkcyjnych oraz zapobieganiu nadużyciom).

§ 4. Odbiorcy danych i przekazywanie danych poza EOG

  1. W związku z funkcjonowaniem Aplikacji dane osobowe Użytkowników i Usługobiorców mogą być przekazywane następującym kategoriom podmiotów współpracujących z Administratorem:
    1. operatorowi płatności elektronicznych: Stripe Payments Europe, Limited (oraz podmiotom powiązanym z grupy Stripe) – w celu realizacji płatności za Pakiety;
    2. dostawcom infrastruktury chmurowej, serwerowej, bazodanowej oraz repozytoriów kodu (w szczególności Vercel Inc., Supabase Inc., GitHub Inc.) – w zakresie niezbędnym do hostingu Aplikacji, utrzymania bazy danych subskrypcji, uwierzytelniania Użytkowników oraz tworzenia automatycznych kopii zapasowych bazy danych;
    3. dostawcom usług poczty elektronicznej, systemów fakturowania oraz podmiotom świadczącym na rzecz Administratora usługi księgowe, prawne lub doradcze;
    4. organom publicznym – wyłącznie w przypadkach, gdy obowiązek udostępnienia danych wynika z bezwzględnie obowiązujących przepisów prawa.
  2. Niektórzy z dostawców infrastruktury IT lub usług płatniczych (np. Vercel, Supabase, Stripe, GitHub) mogą mieć siedzibę lub przetwarzać dane na serwerach zlokalizowanych poza Europejskim Obszarem Gospodarczym (w szczególności w Stanach Zjednoczonych). Przekazywanie danych do państw trzecich odbywa się wyłącznie przy zastosowaniu mechanizmów zapewniających odpowiedni stopień ochrony zgodnie z rozdziałem V RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (program EU-US Data Privacy Framework) lub na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską.

§ 5. Okres przechowywania danych

  1. Dane związane z Kontem Użytkownika i aktywnymi subskrypcjami przechowywane są przez czas posiadania Konta w Aplikacji oraz trwania Okresu Dostępu, a po jego zakończeniu – przez okres niezbędny do wygaśnięcia ewentualnych roszczeń wynikających z Umowy (co do zasady 3 lata w relacjach między przedsiębiorcami).
  2. Dane zawarte na dokumentach księgowych (fakturach) oraz dokumentacji podatkowej przechowywane są przez okres 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zgodnie z obowiązującymi przepisami podatkowymi.
  3. Automatyczne kopie zapasowe bazy danych (obejmujące wyłącznie dane kont i subskrypcji, bez jakichkolwiek Plików JPK) przechowywane są w zabezpieczonym środowisku przez okres rotacyjny wynoszący do 14 dni, po czym ulegają automatycznemu usunięciu.
  4. Dane przetwarzane na podstawie prawnie uzasadnionego interesu Administratora przechowywane są do czasu realizacji tego interesu lub do momentu wniesienia skutecznego sprzeciwu przez osobę, której dane dotyczą.

§ 6. Prawa osób, których dane dotyczą

  1. Osobie, której dane osobowe są przetwarzane przez Administratora, przysługują następujące prawa wynikające z RODO:
    1. prawo dostępu do swoich danych oraz otrzymania ich kopii (art. 15 RODO);
    2. prawo do sprostowania (poprawiania) swoich danych (art. 16 RODO);
    3. prawo do usunięcia danych (art. 17 RODO), w zakresie, w jakim dalsze przetwarzanie nie jest wymagane przez przepisy prawa lub niezbędne do obrony przed roszczeniami;
    4. prawo do ograniczenia przetwarzania danych (art. 18 RODO);
    5. prawo do przenoszenia danych (art. 20 RODO);
    6. prawo do wniesienia sprzeciwu wobec przetwarzania danych odbywającego się na podstawie art. 6 ust. 1 lit. f RODO (art. 21 RODO).
  2. W celu realizacji powyższych praw należy skontaktować się z Administratorem pod adresem poczty elektronicznej: serwis@securejpk.pl.
  3. Osobie, której dane dotyczą, przysługuje również prawo wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
  4. Podanie danych osobowych jest dobrowolne, jednak niezbędne do założenia Konta, zakupu Pakietu, wystawienia faktury oraz korzystania z produkcyjnych funkcjonalności Aplikacji.

§ 7. Pliki Cookies i pamięć lokalna przeglądarki

  1. Aplikacja SecureJPK wykorzystuje wyłącznie niezbędne (techniczne) pliki cookies oraz mechanizmy pamięci lokalnej przeglądarki (LocalStorage / SessionStorage), które są konieczne do prawidłowego funkcjonowania Aplikacji i świadczenia usługi drogą elektroniczną.
  2. Pliki cookies wykorzystywane są w szczególności w celu:
    1. utrzymania i odświeżania bezpiecznej sesji zalogowanego Użytkownika (ciasteczka uwierzytelniające Supabase);
    2. bezpiecznego przeprowadzenia procesu płatności za pośrednictwem zewnętrznej bramki płatniczej Stripe Checkout;
    3. zapewnienia bezpieczeństwa Aplikacji i ochrony przed nieautoryzowanym dostępem.
  3. Aplikacja nie wykorzystuje reklamowych ani profilujących plików cookies podmiotów trzecich.
  4. Użytkownik może w każdej chwili zmienić ustawienia dotyczące plików cookies w swojej przeglądarce internetowej (w tym całkowicie je zablokować lub usunąć), jednak wyłączenie niezbędnych technicznych plików cookies uniemożliwi zalogowanie się do Konta oraz korzystanie z produkcyjnej wysyłki Plików JPK.

§ 8. Postanowienia końcowe

  1. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, w tym szyfrowanie połączeń protokołem TLS (HTTPS) oraz kontrolę dostępu do bazy danych.
  2. Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności w przypadku zmiany przepisów prawa, rozwoju funkcjonalności Aplikacji lub zmian w wykorzystywanej infrastrukturze technicznej.
  3. Aktualna wersja Polityki Prywatności jest publikowana pod adresem: https://securejpk.pl/polityka-prywatnosci.
  4. Polityka Prywatności obowiązuje od dnia 18.10.2026 r.