Polityka prywatności

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest Interio Sp. z o.o. z siedzibą przy ul. Strzelców 34/19, 81-586 Gdynia, NIP: 586 229 76 21.

W sprawach dotyczących ochrony danych osobowych możesz skontaktować się z nami pod adresem e-mail: rodo@goksef.pl

2. Jakie dane przetwarzamy i w jakim celu

2.1 Formularz zapisu — early access do płatnego batch i powiadomienia PRO

Jeśli wypełniasz formularz zgłoszenia do early access płatnego trybu zbiorczego albo zapisu na powiadomienie o starcie planu PRO, zbieramy dane podane przez Ciebie dobrowolnie w formularzu, przede wszystkim adres e-mail. Dane przetwarzamy w następujących celach:

Podanie danych jest dobrowolne. Sam formularz nie tworzy płatnej subskrypcji ani obowiązku zapłaty. Brak zgody oznacza brak możliwości zapisania się na listę early access lub powiadomień.

2.2 Korzystanie z walidatora XML

Serwis GoKSeF przetwarza treść wgrywanych plików XML wyłącznie w trakcie sesji walidacji. Pliki ani ich zawartość nie są trwale zapisywane na serwerze po zakończeniu sesji. Pliki XML faktur mogą zawierać dane osobowe, w tym dane kontrahentów, osób prowadzących działalność gospodarczą lub osób kontaktowych. Przetwarzamy takie dane wyłącznie po to, aby wykonać walidację i pokazać wynik żądany przez użytkownika.

Lokalna walidacja w przeglądarce beta pod adresem /local-validator/ działa inaczej: wybrany plik XML jest odczytywany w przeglądarce, a rdzeń walidacji działa jako WebAssembly. Pełna treść XML nie jest wysyłana do serwerowego walidatora GoKSeF. Beta pobiera aplikację i statyczne pliki XSD, ale nie obejmuje MF/VIES, raportów PDF, trybu batch ani historii walidacji.

Raport PDF pojedynczej walidacji jest generowany po stronie serwera wyłącznie po to, aby przeglądarka mogła go pobrać. W obecnej wersji publicznej GoKSeF nie wysyła raportów e-mailem i nie tworzy trwałej historii walidacji przypisanej do konta. Tymczasowa historia widoczna w interfejsie jest stanem sesji, a nie archiwum faktur.

Dla celów ochrony przed nadużyciami (rate limiting) przetwarzamy adres IP użytkownika albo pseudonimowy klucz techniczny wyliczony na jego podstawie. W produkcji stan limitu może być przechowywany w Redis jako krótkotrwały licznik techniczny. Surowe adresy IP nie są zapisywane w logach aplikacyjnych.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — podjęcie działań w celu wykonania usługi żądanej przez użytkownika; art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes polegający na zabezpieczeniu serwisu, przeciwdziałaniu nadużyciom i utrzymaniu niezawodności technicznej.

2.3 Konto użytkownika i logowanie

Jeżeli logujesz się do GoKSeF, uwierzytelnianie obsługuje Auth0. Do obsługi konta przetwarzamy identyfikator konta przekazany przez Auth0 oraz, jeżeli są dostępne, adres e-mail i nazwę wyświetlaną. Dane te służą do utrzymania sesji zalogowanego użytkownika, ochrony serwisu przed nadużyciami oraz stosowania limitów lub zasad dostępu przypisanych do użytkownika.

Logowanie nie zmienia modelu przetwarzania XML: przesłane pliki XML nie są trwale zapisywane przez GoKSeF i w obecnej wersji serwisu nie są dodawane do historii konta.

GoKSeF używa szyfrowanego cookie uwierzytelniającego do utrzymania sesji. Serwis nie zapisuje tokenów dostępowych Auth0. Konto zalogowane otrzymuje wyższy dzienny limit pojedynczych walidacji XML, ale samo logowanie nie odblokowuje płatnego trybu batch.

Podstawa prawna: art. 6 ust. 1 lit. b RODO w zakresie obsługi konta i funkcji dostępnych po zalogowaniu; art. 6 ust. 1 lit. f RODO w zakresie bezpieczeństwa, przeciwdziałania nadużyciom i ochrony integralności serwisu.

2.4 Uprawnienie early access do płatnego batch

Produkcyjna walidacja zbiorcza jest przewidziana dla kont płatnych. W okresie early access GoKSeF może ręcznie nadawać dostęp po stronie serwera wybranym kontom uwierzytelnionym. W tym celu przetwarzamy hash SHA-256 identyfikatora konta Auth0 (sub) i porównujemy go z serwerową konfiguracją uprawnień.

Sprawdzenie uprawnienia służy wyłącznie do ustalenia, czy konto ma capability batch:validate. Nie umieszczamy surowych identyfikatorów Auth0, hashy uprawnień, treści XML, NIP-ów, pełnych numerów VAT-UE ani pełnych odpowiedzi MF/VIES w repozytorium lub logach aplikacyjnych.

Podstawa prawna: art. 6 ust. 1 lit. b RODO w zakresie udostępnienia funkcji płatnej dla konta; art. 6 ust. 1 lit. f RODO w zakresie przeciwdziałania nadużyciom, kontroli dostępu i bezpieczeństwa serwisu.

2.5 Weryfikacja kontrahenta — Wykaz podatników VAT MF

Jeżeli funkcja weryfikacji kontrahenta jest włączona, numery NIP zawarte w walidowanym dokumencie XML mogą zostać przekazane do Wykazu podatników VAT prowadzonego przez Ministerstwo Finansów (wl-api.mf.gov.pl) w celu sprawdzenia statusu VAT kontrahenta.

Do Wykazu MF przekazywany jest wyłącznie sam numer NIP oraz data zapytania. Wynik jest informacyjny — nie wpływa na techniczny rezultat walidacji XML. W logach aplikacji nie zapisujemy przekazanych numerów NIP ani pełnych odpowiedzi Wykazu.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — wykonanie weryfikacji żądanej w ramach usługi; art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes polegający na zabezpieczeniu serwisu, ograniczaniu powtarzania zapytań zewnętrznych i przeciwdziałaniu nadużyciom.

2.6 Weryfikacja numeru VAT-UE — VIES

Jeżeli weryfikacja VAT-UE jest włączona, identyfikatory VAT-UE zawarte w dokumencie XML (KodUE oraz NrVatUE) mogą zostać przekazane do usługi VIES Komisji Europejskiej w celu sprawdzenia, czy numer VAT widnieje jako aktywny dla transakcji wewnątrzunijnych.

VIES jest prowadzony przez Komisję Europejską i pobiera dane z krajowych baz VAT państw członkowskich Unii Europejskiej. Przekazujemy wyłącznie kod kraju i numer VAT niezbędne do wykonania sprawdzenia. Wynik ma charakter informacyjny, może zależeć od dostępności i aktualności krajowych baz danych i nie wpływa na techniczny rezultat walidacji XML. VIES w obecnej wersji jest sprawdzeniem best-effort dla sprzedawcy i nabywcy, a nie dla dodatkowych podmiotów FA(3). W logach aplikacji nie zapisujemy pełnych numerów VAT-UE ani pełnych odpowiedzi VIES.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — wykonanie weryfikacji żądanej w ramach usługi; art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes polegający na zabezpieczeniu serwisu, ograniczaniu powtarzania zapytań zewnętrznych i przeciwdziałaniu nadużyciom.

GoKSeF nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały w rozumieniu art. 22 RODO.

3. Jak długo przechowujemy dane

4. Odbiorcy danych

Twoje dane mogą być przekazywane następującym podmiotom:

Nie sprzedajemy Twoich danych osobowych żadnym podmiotom trzecim.

5. Transfer danych poza EOG

Niektórzy dostawcy infrastruktury, uwierzytelniania lub formularzy mogą przetwarzać dane osobowe poza Europejskim Obszarem Gospodarczym. W takim przypadku GoKSeF powinien opierać transfer na właściwej decyzji stwierdzającej odpowiedni stopień ochrony, uczestnictwie w EU-US Data Privacy Framework, Standardowych Klauzulach Umownych albo innym mechanizmie dopuszczonym przez RODO.

Dokładne zabezpieczenia transferów i umowy powierzenia z Auth0/Okta, Fly.io, dostawcami infrastruktury Redis oraz Google powinny zostać potwierdzone w legal review przed skalowaniem usług płatnych.

6. Twoje prawa

Przysługują Ci następujące prawa w związku z przetwarzaniem danych osobowych:

• Prawo dostępu — możesz zażądać informacji o tym, jakie dane przetwarzamy
• Prawo do sprostowania — możesz poprosić o poprawienie błędnych danych
• Prawo do usunięcia — możesz zażądać usunięcia swoich danych („prawo do bycia zapomnianym")
• Prawo do ograniczenia przetwarzania — możesz zażądać ograniczenia przetwarzania danych
• Prawo do sprzeciwu — możesz sprzeciwić się przetwarzaniu opartemu na naszym prawnie uzasadnionym interesie
• Prawo do przenoszenia danych — możesz otrzymać swoje dane w ustrukturyzowanym formacie
• Prawo do cofnięcia zgody — możesz w dowolnym momencie cofnąć zgodę; cofnięcie nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem
• Prawo do wniesienia skargi — możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl)

Aby skorzystać z powyższych praw, skontaktuj się z nami: rodo@goksef.pl

7. Cookies i pamięć przeglądarki

Serwis GoKSeF nie używa plików cookies do śledzenia ani profilowania użytkowników. Publiczna strona korzysta z Google Analytics 4 w ograniczonej konfiguracji do pomiaru ruchu, z wyłączonymi funkcjami reklamowymi i bez włączania klientowskiego storage po stronie GA. Jeżeli logujesz się do serwisu, GoKSeF używa niezbędnych technicznie cookies sesyjnych do utrzymania zalogowania i ochrony sesji. GoKSeF używa też localStorage przeglądarki, aby zapamiętać wybrany język interfejsu. Mechanizmy te służą do dostarczenia usługi żądanej przez użytkownika.

8. Zmiany polityki prywatności

Zastrzegamy sobie prawo do aktualizacji niniejszej polityki. O istotnych zmianach poinformujemy przez zamieszczenie nowej wersji na tej stronie z zaktualizowaną datą.