# Polityka prywatności InvoiceIQ

Wersja pakietu: `PL-COMMERCIAL-2026-11-02.2`

Ta informacja dotyczy strony, kont, płatnych planów i funkcji udostępnionych
Klientowi na warunkach tej wersji. Nie jest zgodą marketingową ani umową
powierzenia.

## 1. Administrator i kontakt

Administratorem danych własnych Usługi jest **TALITHA Piotr Szczerbowski**,
ul. Kościelecka 12, 32-600 Oświęcim, NIP 5492104876, REGON 121187430.
Kontakt w sprawach prywatności: [biuro@talitha.pl](mailto:biuro@talitha.pl)
lub adres siedziby. Operator nie wyznaczył inspektora ochrony danych.

## 2. Rozdzielenie ról

Operator jest administratorem danych konta, własnej Umowy, płatności,
faktur abonamentowych TALITHA, bezpieczeństwa i korespondencji. Klient
określa natomiast cele przetwarzania swoich kartotek, faktur, skanów,
wyników OCR i artefaktów. W tym zakresie Operator jest procesorem według
DPA. Przekazanie skanu do OCR jest instrukcją Klienta przez uprawnionego
Użytkownika, a nie zgodą zastępującą podstawę przetwarzania danych osoby
wymienionej na fakturze. Klient odpowiada za własne obowiązki informacyjne.

MF/KAS/KSeF jest odbiorcą ustawowym, nie podprocesorem wybranym przez
Operatora. Odbiorcy integracji wybrani przez Klienta podlegają jego decyzji.

## 3. Dane, źródła, cele i podstawy

| Dane i cel | Źródło | Podstawa dla własnych celów Operatora |
|---|---|---|
| dane konta, kontaktu, firmy, NIP, adres i umocowanie; zawarcie i wykonanie Umowy | osoba, Klient, uprawniony członek firmy, właściwe rejestry przedsiębiorców | art. 6 ust. 1 lit. b RODO; dla reprezentanta także lit. f - kontakt i obsługa reprezentowanego Klienta |
| hashe haseł, metadane MFA/passkeys, sesje, role, metadane nadawania i odbierania dostępu, IP i informacje urządzenia; uwierzytelnienie i przeciwdziałanie nadużyciom | osoba, urządzenie i serwer | art. 6 ust. 1 lit. f - bezpieczeństwo Usługi i osób; lit. c, gdy wynika z konkretnego obowiązku |
| wersje i SHA-256 dokumentów, podgląd i zgoda, aktor i czas, zamówienia; wykazanie zawarcia i wykonania Umowy | uprawniony reprezentant i serwer | art. 6 ust. 1 lit. b i f |
| plan, cykl, dane nabywcy, kwoty/VAT, identyfikatory i statusy płatności, zwrotu lub sporu; rozliczenia | Klient, serwer i Stripe | art. 6 ust. 1 lit. b i c; lit. f dla zapobiegania oszustwom i roszczeń |
| pytania, reklamacje, zgłoszenia bezpieczeństwa i praw | osoba i korespondencja | art. 6 ust. 1 lit. b, c lub f zależnie od sprawy |
| komunikaty operacyjne i bezpieczeństwa | informacje konta i zdarzenia Usługi | art. 6 ust. 1 lit. b i f |

Dane wymagane służą wykonaniu wybranej funkcji lub obowiązku; bez nich
nie można utworzyć konta, zabezpieczyć operacji lub rozliczyć zakupu.
Pola opcjonalne są dobrowolne. Nie zbieramy jawnych haseł w logach ani
pełnego numeru karty/CVC w formularzach InvoiceIQ. Odnośniki dostępu i sekrety
mają odrębny bezpieczny cykl życia; nie należy przesyłać ich w zgłoszeniu.

Dane reprezentanta od Klienta to zwykle służbowy kontakt, rola i firma.
Wymaganą informację z art. 14 RODO przekazujemy w terminie przewidzianym
prawem, chyba że zachodzi ustawowy wyjątek. Nie wymagamy zgody marketingowej.

## 4. Stripe - płatności za InvoiceIQ

Stripe otrzymuje potrzebne dane nabywcy (firma, NIP, adres), plan, kwotę
i walutę oraz dane wprowadzane bezpośrednio na jego stronie. Otrzymujemy
referencje i statusy potrzebne do abonamentu, uzgadniania, zwrotów i sporów.
Nie wysyłamy do Stripe skanów OCR, faktur kontrahentów ani poświadczeń KSeF.

Dla europejskiego konta umownym podmiotem DPA jest Stripe Payments Europe,
Limited; usługi regulowane i własne cele mogą angażować także Stripe
Technology Europe, Limited oraz Stripe Technology Company, Limited.
Stripe jest procesorem przy wykonaniu polecenia płatniczego, a dla części
własnych obowiązków i ochrony przed oszustwami - odrębnym administratorem.
Dane mogą być przetwarzane globalnie z zabezpieczeniami transferów.
Szczegóły: [Polityka Stripe](https://stripe.com/privacy),
[role i podmioty Stripe](https://stripe.com/ie/legal/privacy-center),
[DPA Stripe](https://stripe.com/legal/dpa).

Płatność następuje przez przekierowanie na stronę dostawcy. Nie wymaga
ładowania Stripe.js na stronie głównej ani przesyłania do Stripe samego
przeglądania oferty. Dodatkowe usługi wybrane u Stripe mają jego warunki.

## 5. OpenAI - opcjonalny odczyt i przygotowanie faktury

Dostawcą API dla Operatora z siedzibą w Polsce jest **OpenAI Ireland Ltd.**,
zgodnie z [warunkami usług](https://openai.com/policies/services-agreement/)
i [DPA](https://openai.com/policies/data-processing-addendum/).

Po jawnym uruchomieniu OCR w uprawnionej firmie OpenAI przetwarza treść
wybranego dokumentu potrzebną do odczytu pól; może ona obejmować nazwy,
NIP, adresy, pozycje, kwoty i informacje płatnicze obecne na fakturze.
Nie przekazujemy poświadczeń KSeF ani dostępu do innych dokumentów firmy.
Kontrola pliku poprzedza wysłanie; wynik wymaga sprawdzenia przez człowieka.

OCR korzysta z API OpenAI z `store=false`, bez narzędzi i osobnego magazynu Files.
Nie udostępniamy treści do treningu modeli. `store=false` nie oznacza zerowej
retencji: logi ochrony przed nadużyciami mogą zawierać treść i standardowo
trwać do 30 dni, dłużej w przypadkach przewidzianych przez dostawcę, m.in.
prawo lub ochronę przed szkodą. Mogą występować przejściowe cache oraz
szczególne zasady bezpieczeństwa obrazów. Nie deklarujemy ZDR ani rezydencji
EU: standardowa usługa może przetwarzać dane poza EOG.
[Oficjalne zasady danych API OpenAI](https://developers.openai.com/api/docs/guides/your-data).

Podstawa i zabezpieczenia powierzenia/transferu wynikają z DPA oraz rejestru
dostawców. Niewybranie OCR nie powoduje wysłania treści do OpenAI i nie
odbiera ręcznych funkcji dostępnych w planie. Zwiększenie limitu wydatków
konta Operatora nie jest nowym celem przetwarzania ani zgodą Klienta.

### Polecenia głosowe i tekstowe w planie PRO

Na polecenie uprawnionego Użytkownika przygotowujemy edytowalny szkic.
Tekst jest minimalizowany na serwerze: rozpoznane słowa poleceń, liczby,
daty i losowe odwołania trafiają do OpenAI; pozostałe fragmenty są zastępowane
odwołaniami rozwiązywanymi lokalnie. Model otrzymuje także informację, czy
wybrano kontrahenta, i liczbę pozycji. Nie otrzymuje kartotek, pełnych faktur,
mapowania odwołań ani nagrania. Minimalizacja nie jest gwarancją anonimowości.
Nie należy podawać sekretów ani zbędnych danych osób w poleceniu.

Wynik OpenAI jest propozycją pól. Lokalna aplikacja pyta o niejednoznaczne
wybory; Użytkownik poprawia dane i zatwierdza pełny podgląd. Model nie może
sam nadać numeru ani wysłać dokumentu do KSeF. API używa `store=false`,
bez historii rozmowy i narzędzi mających dostęp do danych firmy.
Zasady retencji, transferu i braku treningu opisane powyżej dotyczą także
tej funkcji. Polecenie i jego lokalne mapowanie nie są utrwalane przez
InvoiceIQ; zamknięcie formularza usuwa niezapisany tekst. Zapisany szkic
podlega zwykłej retencji dokumentów.

Rozpoznawanie mowy wykonuje usługa systemu lub przeglądarki. Preferujemy
przetwarzanie na urządzeniu tam, gdzie jest dostępne dla języka polskiego.
Przetwarzanie sieciowe może przekazać dźwięk dostawcy tej usługi; przed
uruchomieniem aplikacja pokazuje informację i wymaga wyboru Użytkownika.
Na iOS jest to Apple; na Androidzie i WWW dostawca zależy od urządzenia,
usługi rozpoznawania oraz przeglądarki. Jego warunki dotyczą dźwięku.
InvoiceIQ nie zapisuje nagrania. Można zawsze wpisać tekst ręcznie lub
pracować w zwykłym formularzu w granicach planu.

## 6. Pozostali odbiorcy i transfery

W niezbędnym zakresie dane mogą otrzymywać upoważnione osoby związane
poufnością, dostawcy infrastruktury, poczty i kopii, uprawnieni członkowie
Organizacji, odbiorcy integracji, doradcy oraz właściwe organy i sądy.
Podstawową infrastrukturę dostarcza **OVH sp. z o.o. (OVHcloud)**; serwery
aplikacji, danych i kopii InvoiceIQ znajdują się w Warszawie (WAW2).
Pocztę obsługuje **dhosting.pl Sp. z o.o.** na infrastrukturze w Polsce.
Role, zakres danych oraz zasady dalszego powierzenia i transferów wskazuje
rejestr Dostawcy i podprocesorzy powiązany z DPA.

Hosting w EOG nie oznacza, że Cloudflare, Stripe, OpenAI lub dostęp wsparcia pozostają
wyłącznie w EOG. Transfer wymaga właściwej podstawy rozdziału V RODO,
np. decyzji o odpowiednim poziomie ochrony lub standardowych klauzul
umownych wraz z wymaganą oceną i środkami uzupełniającymi. Informacje
o stosowanych zabezpieczeniach można uzyskać przez kontakt z Operatorem.

### Cloudflare - ochrona połączeń

Korzystamy z **Cloudflare, Inc.** dla DNS, dostarczania publicznych zasobów
i ochrony przed atakami DDoS oraz niepożądanymi żądaniami. Ruch WWW, API
i aplikacji mobilnych przechodzi przez jego proxy. Cloudflare przetwarza
IP i metadane połączenia oraz treść przesyłanych żądań i odpowiedzi,
która może obejmować dane konta, uwierzytelnienia i faktur. Połączenia
użytkownik-Cloudflare i Cloudflare-InvoiceIQ są szyfrowane; pośrednik
odszyfrowuje HTTPS w celu obsługi i ochrony ruchu. Prywatne odpowiedzi
aplikacji nie są przechowywane w cache CDN. Nie oznacza to zerowej
retencji metadanych bezpieczeństwa. Ochrona jest częścią działania Usługi.

Cloudflare działa jako procesor, a dla powierzonych Treści Klienta jako
podprocesor. Używana jest globalna sieć, z możliwym przetwarzaniem w USA
i innych krajach; nie deklarujemy rezydencji wyłącznie w UE. Zastosowanie
mają [warunki usługi](https://www.cloudflare.com/terms/),
[DPA](https://www.cloudflare.com/cloudflare-customer-dpa/) i właściwe
zabezpieczenia transferów wskazane w rejestrze podprocesorów. Kontrola
bezpieczeństwa nie jest funkcją reklamową ani śledzeniem marketingowym.

## 7. Retencja i zakończenie

| Kategoria | Kryterium czasu przechowywania |
|---|---|
| konto i Umowa | czas świadczenia, następnie niezbędny zakres rozliczenia i właściwy termin konkretnych roszczeń |
| zgody, zamówienia i historia rozliczeń | czas Umowy oraz obowiązki rozliczalności, księgowości/podatków i roszczeń; dowody nie są nadpisywane |
| korespondencja i reklamacje | obsługa sprawy i właściwy okres wykazania jej przebiegu |
| sesje i dane uwierzytelnienia | ważność metody/sesji i niezbędny zakres odwołania lub audytu bezpieczeństwa |
| logi techniczne | okres potrzebny do ochrony i diagnozy; przedłużenie tylko dla konkretnego incydentu, obowiązku lub roszczenia |
| powierzone dokumenty i OCR | instrukcja Klienta i DPA, z rozdzieleniem tymczasowego importu od zapisanej faktury i załącznika |

Szczegóły eksportu, usunięcia, ograniczenia i kopii określa Retencja i wyjście.
Anulowanie abonamentu lub zwrot nie kasuje historii podatkowej, nie oznacza
automatycznego usunięcia danych u wszystkich dostawców i nie tworzy
blankietowej podstawy do wieczystego przechowywania. Dane zachowane ze
szczególnej podstawy są ograniczone do tego celu.

## 8. Prawa i bezpieczeństwo

Zależnie od podstawy i okoliczności można żądać dostępu, kopii, sprostowania,
usunięcia, ograniczenia, przeniesienia lub sprzeciwić się przetwarzaniu
opartemu na prawnie uzasadnionym interesie. Zgodę, jeśli jest podstawą
konkretnej opcjonalnej funkcji, można wycofać na przyszłość. Wniosek:
biuro@talitha.pl. Weryfikujemy tożsamość proporcjonalnie i chronimy inne osoby.
Co do zasady odpowiadamy w miesiąc; ustawowe przedłużenie wyjaśniamy w tym
terminie. Przysługuje skarga do [Prezesa UODO](https://uodo.gov.pl/).

Dla danych powierzonych pomagamy właściwemu Klientowi. Eksport całej firmy
nie jest automatyczną odpowiedzią na wniosek pojedynczej osoby. Korekta
faktury nie polega na przepisaniu wystawionej historii.

Stosujemy kontrolę ról, izolację firm, MFA i świeżą autoryzację przy wysokim
ryzyku, szyfrowanie wrażliwych danych, prywatne pliki i minimalizację logów.
Nie obiecujemy braku każdego zagrożenia. Nie podejmujemy wyłącznie
automatycznych decyzji o osobie o skutkach z art. 22 RODO; OCR jest propozycją,
nie decyzją podatkową. Własne zabezpieczenia płatnicze Stripe opisuje Stripe.

## 9. Cookies i zmiany

Informacja o cookies opisuje sesję, zapamiętane logowanie i pamięć interfejsu.
Nie używamy marketingowego śledzenia ani analityki przeglądarkowej. Technologia
płatności na stronie Stripe podlega jego odrębnej informacji.

Zmiany celów, odbiorców, transferów i istotnych warunków przetwarzania są
komunikowane przed ich rozpoczęciem, gdy wymaga tego prawo. Nowa wersja nie
nadpisuje wcześniejszej informacji ani dowodu jej udostępnienia.