Polityka Prywatności
Data wejścia w życie: 2026-04-29 · Ostatnia aktualizacja: 2026-11-05
1. Administrator danych
Administratorem Państwa danych osobowych jest Iruka Digital Sp. z o.o., z siedzibą ul. Anieli Krzywoń 2/155, 01-391 Warszawa, Polska, wpisana do Rejestru Przedsiębiorców KRS pod numerem 0000980870, NIP 5223230254, REGON 522516722. Kontakt w sprawach ochrony danych: contact@irukadigital.com.
2. Zakres i podstawa prawna przetwarzania (art. 6 RODO)
| Kategoria danych | Podstawa prawna | Okres retencji |
|---|---|---|
| Konto: imię, e-mail, hash hasła | Wykonanie umowy – art. 6 ust. 1 lit. b RODO | Do usunięcia konta + 3 miesiące (kopie zapasowe) |
| Płatności: numer/referencja transakcji, e-mail podany przy płatności, plan, kwota, status subskrypcji | Obowiązek prawny – art. 6 ust. 1 lit. c RODO (ustawa o rachunkowości) | 5 lat od końca roku obrotowego |
| Dane do faktury podane przy płatności: nazwa firmy i NIP albo imię i nazwisko osoby prywatnej; adres | Obowiązek prawny – art. 6 ust. 1 lit. c RODO, wystawienie i przechowywanie faktury (art. 106b, 106e i 112 ustawy o VAT) | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku; faktury przesłane do KSeF przechowuje tam również Ministerstwo Finansów – 10 lat od końca roku ich wystawienia |
| Wgrane faktury i wyciągi bankowe | Wykonanie umowy – art. 6 ust. 1 lit. b RODO; wobec osób w nich wymienionych działamy jako Państwa podmiot przetwarzający na podstawie umowy powierzenia | Usuwane z naszych serwerów zaraz po przetworzeniu (najpóźniej po 30 minutach, jeśli przetwarzanie zostanie przerwane) |
| Pliki użytkowników planu Demo i uczestników programu testowego, którzy przy rejestracji zgodzili się na ich zachowanie | Zgoda – art. 6 ust. 1 lit. a RODO, wyłącznie do diagnozowania i ulepszania odczytu plików | Do cofnięcia zgody lub usunięcia konta |
| Analityka (Google Analytics 4): odwiedzone strony, użyte funkcje, losowy identyfikator konta | Zgoda – art. 6 ust. 1 lit. a RODO, wyrażona w banerze cookies | Do cofnięcia zgody; Google przechowuje dane zdarzeń maksymalnie 14 miesięcy |
| Anonimowe statystyki przetwarzania | Prawnie uzasadniony interes – art. 6 ust. 1 lit. f RODO | Do usunięcia konta |
| Tokeny KSeF (zaszyfrowane AES-256-GCM) | Wykonanie umowy – art. 6 ust. 1 lit. b RODO | Do rozłączenia KSeF lub usunięcia konta |
| Logi audytowe (operacje uprzywilejowane, żądania RODO) | Obowiązek rozliczalności – art. 5 ust. 2 RODO | 5 lat |
3. Podmioty przetwarzające (sub-processors)
- Cloudflare (Sieć brzegowa, w tym lokalizacje w UE; spółka z siedzibą w USA) – Hosting aplikacji (Workers), CDN, DNS i ochrona przed atakami; tymczasowy magazyn wgranych plików (R2, usuwanych zaraz po przetworzeniu); wysyłka e-maili konta (kod rejestracji, reset hasła); Cloudflare Workers AI jako zapasowy model do odczytu danych z tekstu dokumentu.
- Neon (Frankfurt, Niemcy (AWS eu-central-1, UE); spółka z siedzibą w USA) – Baza danych PostgreSQL: konto i dane logowania (hasła wyłącznie jako skróty), firmy, faktury z KSeF, salda kredytów i dziennik zdarzeń.
- Supabase (Sztokholm, Szwecja (AWS eu-north-1, UE); spółka z siedzibą w USA) – Poprzedni dostawca bazy danych i plików. Aplikacja już z niego nie korzysta; przechowuje wyłącznie poprzednią kopię danych do czasu usunięcia projektu.
- Mistral AI (Francja / UE) – Rozpoznawanie tekstu (OCR) faktur i wyciągów w PDF lub skanach oraz odczyt pól (numer, kwota, kontrahent) z tekstu dokumentu.
- Amazon Web Services (Amazon Bedrock) (Sztokholm, Szwecja (AWS eu-north-1, UE); spółka z grupy z siedzibą w USA) – Odczyt pól faktur i wyciągów (numer, kwota, kontrahent, daty) z tekstu dokumentu po OCR, modelami językowymi uruchamianymi w Amazon Bedrock. Główny model odczytu faktur od 24 października 2026 r.
- MySecureCloudHost (Frankfurt, Niemcy (UE); dostawca z Wielkiej Brytanii (decyzja stwierdzająca odpowiedni stopień ochrony)) – Skrzynka kontaktowa (odbiór i odpowiedzi na wiadomości od klientów).
- Google Analytics 4 (Irlandia; USA) – Zbiorcze statystyki odwiedzin i użycia funkcji. Ładowane wyłącznie po wyrażeniu zgody w banerze cookies; nigdy nie otrzymuje treści dokumentów ani adresu e-mail.
- Stripe (Dublin, Irlandia (UE); spółka z grupy Stripe, Inc. w USA) – Operator płatności: przyjmuje płatności za plany i pakiety kredytów na stronie płatności hostowanej przez Stripe (karta, BLIK). Dane niezbędne do płatności (m.in. e-mail i kwota zamówienia) Stripe przetwarza samodzielnie jako administrator, a nie jako nasz podmiot przetwarzający; my otrzymujemy potwierdzenie płatności.
Z każdym podmiotem przetwarzającym mamy umowę powierzenia. Pełny wykaz z rolami i zabezpieczeniami przekazania publikujemy na stronie podmiotów przetwarzających; zmiany ogłaszamy klientom z 30-dniowym wyprzedzeniem.
Stripe – Stripe Payments Europe, Ltd., Dublin (Irlandia), spółka z grupy Stripe, Inc. (USA) – operator płatności. Płatność odbywa się na stronie hostowanej przez Stripe (karta, BLIK); dane karty i kod BLIK wprowadzasz na stronie Stripe. Stripe przetwarza dane niezbędne do płatności jako odrębny administrator; my otrzymujemy potwierdzenie płatności. Zasady opisują polityka prywatności Stripe i warunki prawne Stripe. Przekazania danych do Stripe, Inc. w USA odbywają się na podstawie EU–US Data Privacy Framework lub standardowych klauzul umownych.
Faktury. Za każde zamówienie system Iruka CRM spółki IRUKA DIGITAL (hostowany na Cloudflare oraz Supabase, UE) wystawia jedną fakturę VAT i wysyła ją e-mailem na adres podany w zamówieniu. Faktury na firmę (z NIP) przesyłamy także do Krajowego Systemu e-Faktur (KSeF) prowadzonego przez Szefa Krajowej Administracji Skarbowej, zgodnie z ustawą o VAT; KSeF jest odbiorcą danych z mocy prawa, a nie naszym podmiotem przetwarzającym. Każde zamówienie dokumentujemy fakturą, dlatego podanie danych do faktury jest warunkiem zakupu.
AI. Modele AI odczytują tekst skanów i PDF-ów (OCR: Mistral AI, Francja) oraz pola faktur i wyciągów (Amazon Bedrock w Sztokholmie, zapasowo Mistral AI i Cloudflare Workers AI) i pomagają ocenić trudniejsze dopasowania. Nie księgują, nie wykonują płatności i nie zatwierdzają wyników. Każdy wynik wygenerowany przez AI jest tak oznaczony (art. 50 EU AI Act), a ostateczną decyzję podejmujesz Ty.
4. Przekazywanie poza EOG
Główne przetwarzanie odbywa się w UE/EOG (płatności obsługuje Stripe Payments Europe, Ltd. w Irlandii; Stripe, Inc. w USA może otrzymywać dane płatnicze na zasadach opisanych w punkcie 3). Jeżeli globalna sieć podmiotu (np. Cloudflare) przetwarza ograniczony zakres danych poza UE, odbywa się to na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską. Resend, Inc. (USA), który doręcza e-mail z fakturą, otrzymuje adres e-mail nabywcy i link do faktury na podstawie EU-US Data Privacy Framework lub SCC.
5. Przysługujące Państwu prawa
- Dostępu (art. 15 RODO).
- Przenoszenia (art. 20 RODO) – eksport danych w formacie JSON z poziomu konta.
- Usunięcia / "prawa do bycia zapomnianym" (art. 17 RODO).
- Sprostowania (art. 16 RODO).
- Ograniczenia (art. 18 RODO) oraz sprzeciwu (art. 21 RODO).
- Cofnięcia zgody w dowolnym momencie (zachowywanie plików testerów, analityka – przez „Ustawienia cookies” w stopce). Cofnięcie nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej.
- Złożenia skargi do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Odpowiadamy w terminie 30 dni. Usunięcie danych rozliczeniowych planów płatnych jest ograniczone 5-letnim obowiązkiem przechowywania dokumentów księgowych.
6. Bezpieczeństwo
Stosujemy szyfrowanie w tranzycie (TLS 1.2+), szyfrowanie tokenów KSeF w spoczynku (AES-256-GCM), autoryzację każdego żądania po stronie serwera, weryfikację podpisów webhooków, niezmienne logi audytowe, automatyczne skanowanie zależności oraz ograniczanie liczby zapytań. Szczegóły: Strona Bezpieczeństwo.
7. Dzieci
Usługa jest skierowana do użytkowników biznesowych; świadomie nie zbieramy danych dzieci poniżej 16. roku życia.
8. Zmiany
Istotne zmiany ogłaszamy z 30-dniowym wyprzedzeniem i informujemy aktywnych użytkowników e-mailem.
9. Kontakt
Pytania w sprawach prywatności: contact@irukadigital.com. Adres pocztowy: ul. Anieli Krzywoń 2/155, 01-391 Warszawa, Polska.