← Wróć do aplikacji

Polityka prywatności

Wersja z dnia 2026-10-26

Polityka opisuje, jakie dane osobowe przetwarzamy w związku z Serwisem Operis, w jakim celu, na jakiej podstawie, komu je przekazujemy i jakie prawa przysługują osobom, których dane dotyczą.

1. Kto jest administratorem danych

W zakresie opisanym w punktach 3–4 administratorem danych jest BlackLab Maksymilian Grzenkowicz, ul. Słupska 2, 83-340 Sierakowice, NIP 5892061840, REGON 387431326 (dalej: „BlackLab"). Kontakt w sprawach danych osobowych: it@blacklab.me, tel. 58 685 03 39.

Dane wprowadzane do Serwisu przez Klienta (firmę korzystającą z Serwisu), w szczególności dane pracowników, kontrahentów i dane zawarte w fakturach, przetwarza BlackLab jako podmiot przetwarzający na podstawie Umowy powierzenia przetwarzania danych osobowych. Administratorem tych danych jest Klient; z żądaniami dotyczącymi tych danych należy zwracać się w pierwszej kolejności do Klienta.

2. Jakie dane przetwarzamy

  • dane konta: imię i nazwisko (nazwa wyświetlana), adres e-mail, numer telefonu (jeśli podany), przynależność do firmy, role i uprawnienia, zakłady;
  • dane uwierzytelniające: skrót hasła (nigdy samo hasło), dane drugiego składnika (sekret TOTP w postaci zabezpieczonej), skróty kodów awaryjnych, skrót PIN, klucze publiczne passkey, identyfikatory sesji;
  • dane o korzystaniu: dziennik audytu (kto, kiedy i co zmienił w danych), adres IP i znaczniki czasu logowań oraz prób logowania, informacje o przeglądarce (User-Agent), zapisy akceptacji dokumentów (wersja, data, adres IP);
  • dane komunikacji: treść zgłoszeń do wsparcia oraz korespondencja e-mail;
  • subskrypcje powiadomień push (adres punktu końcowego przeglądarki i klucze) oraz numery telefonów do powiadomień SMS – tylko po ich włączeniu przez Użytkownika;
  • dane Klienta powierzone do przetwarzania (faktury, kontrahenci, pojazdy, zapisy magazynowe i paliwowe) – zgodnie z Umową powierzenia.

3. Cele i podstawy prawne (BlackLab jako administrator)

  • założenie i obsługa Konta, uwierzytelnianie i zapewnienie bezpieczeństwa dostępu – art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz lit. f (prawnie uzasadniony interes: ochrona systemu i danych);
  • dziennik audytu, wykrywanie nadużyć, ograniczanie prób logowania, kopie zapasowe, diagnostyka błędów – art. 6 ust. 1 lit. f RODO;
  • obsługa zgłoszeń i kontakt z Klientem – art. 6 ust. 1 lit. b i f RODO;
  • udokumentowanie akceptacji Regulaminu, Polityki i Umowy powierzenia, dochodzenie roszczeń i obrona przed nimi – art. 6 ust. 1 lit. f RODO;
  • wypełnianie obowiązków wynikających z przepisów (np. podatkowych i rachunkowych) – art. 6 ust. 1 lit. c RODO;
  • powiadomienia push i SMS – art. 6 ust. 1 lit. a RODO (zgoda), którą można cofnąć w ustawieniach konta w dowolnym momencie.

4. Okres przechowywania

  • dane konta – przez okres korzystania z Serwisu, a po jego zakończeniu do czasu przedawnienia ewentualnych roszczeń, nie dłużej niż 6 lat;
  • dziennik audytu – domyślnie 5 lat (Klient może ustawić dłuższy okres; minimum 1 rok);
  • zapisy prób logowania i adresy IP – do 12 miesięcy;
  • kopie zapasowe – 30 dni;
  • zapisy akceptacji dokumentów – przez okres obowiązywania umowy i do przedawnienia roszczeń;
  • subskrypcje push i numery SMS – do cofnięcia zgody lub usunięcia Konta;
  • dane powierzone – na zasadach określonych w Umowie powierzenia (usunięcie po zakończeniu umowy).

5. Odbiorcy danych

Dane mogą być powierzone lub udostępnione wyłącznie podmiotom niezbędnym do świadczenia usługi:

  • dostawca infrastruktury serwerowej (hosting VPS: home.pl / IONOS, centrum danych w Niemczech);
  • dostawca poczty wychodzącej wykorzystywanej do wysyłki zaproszeń i powiadomień e-mail;
  • operator usługi SMS (JustSend) – numer telefonu i treść wiadomości, jeśli SMS są włączone;
  • dostawcy usług powiadomień push przeglądarek i systemów (Apple, Google, Mozilla, Microsoft) – tylko dla subskrypcji push;
  • Ministerstwo Finansów (KSeF) – w zakresie dokumentów pobieranych i wysyłanych na polecenie Klienta;
  • podmioty uprawnione na podstawie przepisów prawa oraz doradcy BlackLab (np. prawni, informatyczni) związani obowiązkiem poufności.

6. Przekazywanie danych poza EOG

Infrastruktura serwerowa znajduje się w Unii Europejskiej. Dane subskrypcji push (adres punktu końcowego i klucze) trafiają do usług powiadomień producentów przeglądarek i systemów, które mogą działać poza EOG (np. w USA); podstawą jest decyzja Komisji Europejskiej o odpowiednim stopniu ochrony (EU–US Data Privacy Framework) lub standardowe klauzule umowne. Powiadomienia push nie zawierają danych finansowych w pełnej treści – wiadomość ma charakter informacji o nowym zdarzeniu.

7. Prawa osób, których dane dotyczą

Każdemu przysługuje prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (gdy przetwarzanie opiera się na umowie lub zgodzie i odbywa się w sposób zautomatyzowany) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Zgodę można cofnąć w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.

Aby skorzystać z praw, napisz na adres it@blacklab.me. Przysługuje także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Serwis używa wyłącznie plików cookie niezbędnych do działania, które nie wymagają zgody: ciasteczek sesji logowania (przechowują zaszyfrowany token sesji, ustawiane jako HttpOnly i Secure) oraz ciasteczka stanu blokady PIN (zaszyfrowane). Nie używamy ciasteczek reklamowych ani analitycznych podmiotów trzecich. Przeglądarka może przechowywać lokalnie pamięć podręczną aplikacji (service worker) w celu szybszego ładowania.

9. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, w szczególności: szyfrowanie połączeń (HTTPS), uwierzytelnianie dwuskładnikowe, haszowanie haseł i PIN, szyfrowanie wrażliwych sekretów (np. certyfikatów KSeF) w bazie, izolację danych między firmami na poziomie bazy danych, dziennik audytu, ograniczanie prób logowania, szyfrowane kopie zapasowe oraz regularne przeglądy bezpieczeństwa.

10. Zautomatyzowane podejmowanie decyzji

Nie podejmujemy wobec osób decyzji wyłącznie na podstawie zautomatyzowanego przetwarzania, w tym profilowania, wywołujących skutki prawne lub podobnie istotnie wpływających na osobę.

11. Zmiany Polityki

Politykę możemy aktualizować, np. po zmianie przepisów lub zakresu usług. Aktualna wersja jest zawsze dostępna w Serwisie (stopka), a po istotnej zmianie poprosimy o ponowną akceptację.