Polityka prywatności aplikacji Energia Optima

1. Administrator i kontakt

Administratorem danych jest Michał Krokosz, prowadzący działalność gospodarczą pod firmą Kancelaria Księgowo-Prawna Michał Krokosz, ul. Hugona Kołłątaja 8b/10, 41-400 Mysłowice, NIP 1132613183 (dalej: kancelaria). Energia Optima jest marką, pod którą kancelaria prowadzi tę aplikację.

W sprawach ochrony danych prosimy pisać na adres mkrokosz@twojeksiegi.pro albo pisemnie na adres podany wyżej.

Administrator nie wyznaczył inspektora ochrony danych, ponieważ nie zachodzą przesłanki z art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: rozporządzenie 2016/679).

2. Czym jest aplikacja i czyje dane przetwarza

Energia Optima służy do współpracy kancelarii z agentami, którzy pośredniczą w sprzedaży energii. Konta nie da się założyć samodzielnie: zakłada je kancelaria, a na podany adres poczty elektronicznej wysyła zaproszenie. Aplikacja przetwarza dane osób korzystających z kont agentów (rola Agent) i osób, które w imieniu kancelarii prowadzą współpracę z agentami (rola Biuro), a w narzędziu sprzedaży także dane przedstawicieli klientów i klientów będących osobami fizycznymi (sekcja 10).

Konta w tej aplikacji nie mają związku z kontami w portalu klienta prowadzonym przez tę samą kancelarię: obie aplikacje mają osobne bazy danych i osobne konta.

3. Konto i logowanie

Przy koncie przechowujemy: adres poczty elektronicznej, imię i nazwisko, rolę konta (Biuro albo Agent), stan konta (czynne albo wyłączone), datę założenia konta i datę ostatniego zaproszenia, skrót hasła — samego hasła aplikacja nie zapisuje — klucz aplikacji uwierzytelniającej i kody zapasowe drugiego składnika logowania, a także liczbę nieudanych prób logowania i czas blokady konta po ich przekroczeniu.

Celem jest prowadzenie konta, sprawdzanie przy każdym logowaniu, że z kontem pracuje osoba do tego uprawniona, i umożliwienie współpracy z kancelarią. Gdy agentem jest osoba fizyczna, z którą kancelaria zawarła umowę agencyjną, podstawą przetwarzania jest art. 6 ust. 1 lit. b rozporządzenia 2016/679 — konto służy wykonaniu tej umowy. W pozostałych przypadkach, czyli gdy z kontem pracuje osoba działająca w imieniu agenta albo w imieniu kancelarii, podstawą jest art. 6 ust. 1 lit. f rozporządzenia 2016/679, a prawnie uzasadnionym interesem kancelarii jest prowadzenie współpracy z agentem i zapewnienie, że z kontem pracuje wyłącznie osoba do tego uprawniona.

Zaproszenie z jednorazowym odnośnikiem do ustawienia hasła, ważnym 24 godziny, wysyłamy pocztą elektroniczną na adres konta. Tą samą drogą idzie nowe zaproszenie po przywróceniu dostępu do konta. Wiadomość nie zawiera hasła, kodu z aplikacji uwierzytelniającej ani kodów zapasowych.

4. Bezpieczeństwo logowania i zapisy o korzystaniu z aplikacji

Aplikacja odnotowuje zdarzenia dotyczące kont: założenie konta, wysłanie i przyjęcie zaproszenia, włączenie drugiego składnika, udane i odrzucone logowanie, użycie kodu zapasowego, wyłączenie i ponowne włączenie konta oraz przywrócenie dostępu — razem z adresem internetowym urządzenia. Dziś wpisy te trafiają do dziennika technicznego aplikacji, w którym adres poczty elektronicznej i adres internetowy są częściowo zasłonięte. Osobno powstaje dziennik pośrednika sieciowego, przez którego przechodzi ruch; zapisuje on adres internetowy odwiedzającego i adres otwieranej strony. Aplikacja ogranicza też liczbę żądań logowania z jednego adresu, żeby nie dało się zgadywać haseł.

Po zmianie hasła, wydaniu nowych kodów zapasowych i ustawieniu nowego klucza aplikacji uwierzytelniającej aplikacja wysyła na adres konta wiadomość o tej czynności, z jej datą i godziną — żeby osoba korzystająca z konta dowiedziała się o zmianie zabezpieczeń także wtedy, gdy nie ona jej dokonała. Wiadomość nie zawiera hasła, klucza ani kodów.

Podstawą jest art. 6 ust. 1 lit. f rozporządzenia 2016/679 w związku z art. 32 tego rozporządzenia: bezpieczeństwo aplikacji i kont oraz możliwość ustalenia, kto i kiedy wykonał czynność na koncie.

5. Dane zapisywane w przeglądarce

Aplikacja zakłada w przeglądarce cztery pliki cookie, wszystkie niezbędne do jej działania i wszystkie niedostępne dla skryptów strony. Wykaz poniżej podaje każdą nazwę używaną przez aplikację, także dwie nazwy zarezerwowane, pod którymi niczego nie zapisuje.

Powyższe wyliczenie jest zupełne: poza tymi pozycjami aplikacja nie zapisuje w przeglądarce niczego — nie używa pamięci lokalnej przeglądarki, nie prowadzi statystyk odwiedzin i nie stosuje śledzenia ani reklamy. Na żadną z tych pozycji nie zbieramy zgody, ponieważ każda z nich jest konieczna do dostarczenia usługi, o którą prosi użytkownik — służą działaniu i bezpieczeństwu samej aplikacji (art. 399 ust. 3 pkt 2 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej). Otwarcie strony aplikacji nie łączy przeglądarki z żadnym serwerem poza serwerem aplikacji — arkusze stylów i skrypty pochodzą z tego samego serwera, a krój pisma jest krojem systemowym urządzenia.

6. Odbiorcy danych i przekazywanie poza Europejski Obszar Gospodarczy

Dane przetwarzane w aplikacji otrzymują następujący odbiorcy:

Smarthost sp. z o.o., ul. Partyzantów 1, 42-217 Częstochowa — dostawca serwera, na którym pracuje aplikacja wraz ze swoją bazą danych i nocnymi kopiami zapasowymi, z własną serwerownią w Polsce, któremu kancelaria powierzyła przetwarzanie na podstawie umowy zawartej zgodnie z art. 28 rozporządzenia 2016/679.

Google — dostawca poczty elektronicznej kancelarii (usługa Google Workspace). Aplikacja nie ma własnego serwera poczty: zaproszenia i wiadomości o zmianach zabezpieczeń konta nadaje przez skrzynkę kancelarii u tego dostawcy. Dostawca otrzymuje więc adres odbiorcy, temat i treść wiadomości i zachowuje jej kopię w skrzynce nadawczej kancelarii. Przetwarzanie odbywa się na warunkach przetwarzania danych przyjętych przez kancelarię przy zakładaniu konta organizacji, odpowiadających art. 28 rozporządzenia 2016/679.

Google — usługa przechowywania plików w chmurze (Dysk Google), czyli ten sam dostawca co przy poczcie, ale inna jego usługa. Co noc powstaje kopia bazy danych aplikacji; kopia ta jest szyfrowana, pobierana na stanowisko kancelarii, a następnie przechowywana także w tej usłudze chmurowej oraz na nośniku zewnętrznym kancelarii. Dostawca przechowuje wyłącznie zaszyfrowane archiwum i nie może go otworzyć — kluczem do niego dysponuje wyłącznie kancelaria.

Przekazywanie poza Europejski Obszar Gospodarczy. W bieżącej pracy aplikacji dane kont i zapisy o korzystaniu z aplikacji są przetwarzane na serwerze w Polsce. Poza Europejski Obszar Gospodarczy — w tym do Stanów Zjednoczonych — trafiają dwie rzeczy: dane zawarte w poczcie elektronicznej, ponieważ dostawca poczty przetwarza ją także w swoich ośrodkach poza Europą, oraz zaszyfrowane kopie zapasowe przechowywane w usłudze chmurowej tego samego dostawcy, których treści dostawca nie poznaje. Podstawą przekazania jest w obu wypadkach decyzja wykonawcza Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. w sprawie odpowiedniego stopnia ochrony danych osobowych zapewnianego przez Ramy ochrony danych UE–USA (Dz. Urz. UE L 231 z 20.09.2023, s. 118), a w zakresie nieobjętym tą decyzją — standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. (Dz. Urz. UE L 199 z 7.06.2021, s. 31). Kopię tych klauzul wydamy na żądanie przesłane na adres podany w sekcji 1.

Kancelaria nie sprzedaje danych i nie udostępnia ich w celach marketingowych podmiotom trzecim. W razie zgłoszenia szkody albo sporu dane niezbędne do rozpoznania sprawy może ponadto otrzymać ubezpieczyciel odpowiedzialności cywilnej kancelarii oraz pełnomocnik prowadzący w jej imieniu tę sprawę, w zakresie koniecznym do zgłoszenia i likwidacji szkody albo do ustalenia, dochodzenia lub obrony roszczeń. Poza wymienionymi odbiorcami oraz tymi dwoma przypadkami dane otrzymują wyłącznie organy uprawnione na podstawie przepisów prawa, na ich żądanie.

7. Jak długo przechowujemy dane

Wpisy o logowaniach — udanych i odrzuconych logowaniach oraz użyciu kodu zapasowego, razem z adresem internetowym — przechowujemy nie dłużej niż dwanaście miesięcy od zdarzenia.

Dane konta agenta i pozostałe wpisy o czynnościach na koncie przechowujemy do końca roku kalendarzowego, w którym upływają trzy lata od późniejszej z dwóch dat: dnia, w którym upływa rok od rozwiązania umowy agencyjnej, albo dnia ostatecznego rozliczenia prowizji z agentem. Trzy lata to termin przedawnienia roszczeń związanych z prowadzeniem działalności gospodarczej, którego koniec przypada na ostatni dzień roku kalendarzowego (art. 118 Kodeksu cywilnego), a rok od rozwiązania umowy to czas, w którym agent może zawiadomić o dochodzeniu świadczenia wyrównawczego (art. 764³ Kodeksu cywilnego). Po zakończeniu współpracy podstawą przechowywania jest art. 6 ust. 1 lit. f rozporządzenia 2016/679, a prawnie uzasadnionym interesem kancelarii — ustalenie, dochodzenie i obrona roszczeń z umowy agencyjnej. Dane konta osoby działającej w imieniu kancelarii przechowujemy przez czas jej pracy z aplikacją, a wpisy o czynnościach wykonanych tym kontem — tak długo jak wpisy dotyczące agenta, w którego sprawie je wykonano.

Materiału objętego sporem nie usuwamy do jego zakończenia, a jeżeli obowiązek przechowywania wynika z przepisu prawa — przechowujemy go przez okres wskazany w tym przepisie. Aplikacja nie usuwa tych danych sama: po upływie wskazanych okresów usuwa je kancelaria.

Dziennik techniczny aplikacji obejmuje czternaście ostatnich dni jej pracy, a dziennik pośrednika sieciowego jest nadpisywany po zapełnieniu przydzielonego mu miejsca. Kopia zapasowa bazy danych leżąca na serwerze jest usuwana po czternastu dniach, a kopie przeniesione poza serwer kancelaria przechowuje w rotacji i usuwa, gdy zastąpią je nowsze: na stanowisku kancelarii po sporządzeniu siedmiu kolejnych kopii, na nośniku zewnętrznym i w usłudze chmurowej — po sporządzeniu dwóch kolejnych; plik usunięty z usługi chmurowej jej dostawca przechowuje jeszcze w koszu nie dłużej niż trzydzieści dni.

8. Prawa osoby, której dane dotyczą

Przysługuje Państwu prawo dostępu do danych, ich sprostowania, usunięcia i ograniczenia przetwarzania, prawo do przenoszenia danych przetwarzanych na podstawie umowy w sposób zautomatyzowany, a wobec przetwarzania opartego na prawnie uzasadnionym interesie — prawo sprzeciwu na podstawie art. 21 rozporządzenia 2016/679.

Żądania załatwiamy po sprawdzeniu tożsamości osoby żądającej, w terminie wynikającym z art. 12 rozporządzenia 2016/679. Prosimy kierować je na adres podany w sekcji 1.

Przysługuje Państwu również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Podanie adresu poczty elektronicznej, imienia i nazwiska jest warunkiem założenia konta, a ustawienie aplikacji uwierzytelniającej — warunkiem korzystania z niego; bez tych danych kancelaria nie może udostępnić aplikacji.

9. Bezpieczeństwo i decyzje automatyczne

Aplikacja działa wyłącznie przez połączenie szyfrowane, przy każdym logowaniu wymaga hasła i kodu z aplikacji uwierzytelniającej, blokuje konto na piętnaście minut po pięciu nieudanych próbach logowania i ogranicza liczbę żądań logowania z jednego adresu. Kopie zapasowe wykonywane są co noc.

Aplikacja nie podejmuje wobec nikogo decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym nie profiluje.

10. Dane przedstawicieli klientów i klientów będących osobami fizycznymi

W narzędziu sprzedaży aplikacja przetwarza także dane osób spoza kancelarii: pracowników i przedstawicieli firm i instytucji, z którymi agenci kancelarii rozmawiają w sprawie ofert energii elektrycznej i gazu, osób polecających oraz klientów będących przedsiębiorcami jednoosobowymi. Kontakt handlowy z tymi osobami telefonem, SMS-em, pocztą elektroniczną i komunikatorem odbywa się wyłącznie na podstawie ich zgody, a pozostałe przetwarzanie — prowadzenie kartoteki firmy, przygotowanie oferty, zgłoszenie numeru NIP firmy u sprzedawcy energii i obrona przed roszczeniami — na podstawie prawnie uzasadnionego interesu kancelarii.

Pełną informację dla tych osób — cele i podstawy przetwarzania, źródło danych, odbiorców, okres przechowywania i prawa, w tym prawo sprzeciwu — podaje odrębna strona Informacja o przetwarzaniu danych osobowych, dostępna bez logowania. Odbiorcy i przekazywanie poza Europejski Obszar Gospodarczy z sekcji 6 oraz zabezpieczenia z sekcji 9 dotyczą tych danych tak samo.

11. Zmiany tego dokumentu

Dokument zmienia się wtedy, gdy zmienia się to, co aplikacja robi z danymi. O zmianie istotnej zawiadamiamy użytkowników posiadających konto pocztą elektroniczną. Zasady korzystania z aplikacji opisuje odrębny dokument: Zasady korzystania.