Ostatnia aktualizacja: 6 sierpnia 2026 r.
w serwisie DoxHub dostepnym pod adresem portal.doxhub.pl (dalej: "Serwis").
Sendormeco Holding Sp. z o.o.
ul. Zlota 75A lok. 7, 00-819 Warszawa
NIP: 5252866457, REGON: 389194801, KRS: 0000906110
(dalej: "Administrator" lub "Dostawca")
na podstawie art. 37 RODO. Kontakt w sprawach dotyczacych ochrony danych osobowych jest
mozliwy pod adresem e-mail: kontakt@doxhub.pl.
dotycza, a w szczegolnosci zapewnia, ze zbierane przez niego dane sa przetwarzane zgodnie
z prawem, zbierane dla oznaczonych, zgodnych z prawem celow i niepoddawane dalszemu
przetwarzaniu niezgodnemu z tymi celami.
z Dostawca, w szczegolnosci osoba fizyczna prowadzaca jednoosobowa dzialalnosc
gospodarcza.
w zwiazku z obsluga kadrowo-placowa, i ktora moze posiadac wlasny dostep do panelu
pracownika.
Dostawca jest Administratorem danych osobowych w zakresie:
Dostawca dziala jako Podmiot przetwarzajacy w rozumieniu art. 28 RODO w zakresie danych
zawartych w dokumentach wprowadzonych do Serwisu przez Uzytkownika albo pobranych na jego
zlecenie z KSeF. Podstawa jest umowa powierzenia zawarta z Uzytkownikiem, stanowiaca
zalacznik do Regulaminu.
Uzytkownik jest Administratorem danych osobowych zawartych w swoich fakturach — zarowno
sprzedazowych, jak i kosztowych — oraz w danych kontrahentow i, jesli zatrudnia,
pracownikow. Powierza ich przetwarzanie Dostawcy na podstawie umowy powierzenia.
Dostawca nie decyduje o celach ani sposobach przetwarzania tych danych i nie wykorzystuje
ich do wlasnych celow.
| Cel przetwarzania | Podstawa prawna | Okres przechowywania |
|---|---|---|
| Rejestracja i obsluga konta | Art. 6 ust. 1 lit. b RODO (wykonanie umowy) | Czas trwania umowy + 6 miesiecy |
| Uwierzytelnianie i bezpieczenstwo | Art. 6 ust. 1 lit. f RODO (uzasadniony interes) | Czas trwania sesji + 30 dni |
| Rozliczenia i fakturowanie | Art. 6 ust. 1 lit. c RODO (obowiazek prawny) | 5 lat od konca roku podatkowego |
| Dziennik audytu i logi | Art. 6 ust. 1 lit. f RODO (uzasadniony interes) | Czas trwania umowy + 6 miesiecy |
| Historia logowan | Art. 6 ust. 1 lit. f RODO (uzasadniony interes) | 12 miesiecy |
| Kontakt i obsluga | Art. 6 ust. 1 lit. b RODO (wykonanie umowy) | Czas trwania umowy + 6 miesiecy |
| Kategoria danych | Zrodlo | Cel | Podstawa |
|---|---|---|---|
| Dane z faktur (NIP, nazwa, adres sprzedawcy/nabywcy) | Import plikow / KSeF | Obieg i weryfikacja faktur | Umowa powierzenia (art. 28 RODO) |
| Kwoty, daty, numery faktur | Import plikow / KSeF | Raportowanie i eksport | Umowa powierzenia (art. 28 RODO) |
| Komentarze weryfikacyjne | Klient | Dokumentacja decyzji | Umowa powierzenia (art. 28 RODO) |
| Certyfikaty i tokeny KSeF | Klient | Integracja z KSeF | Umowa powierzenia (art. 28 RODO) |
a) Krajowy System e-Faktur (KSeF) — Ministerstwo Finansow RP — w zakresie niezbednym
do wysylania i pobierania e-faktur, na podstawie upowaznienia Uzytkownika.
b) Glowny Urzad Statystyczny (API BIR1) — w zakresie weryfikacji danych rejestrowych
firm (NIP, REGON, adres). Dane publiczne.
c) Ministerstwo Finansow — wykaz podatnikow VAT (biala lista) — w zakresie weryfikacji
numeru rachunku bankowego kontrahenta. Dane publiczne.
d) Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Niemcy) — hosting
i infrastruktura serwerowa wraz z kopiami zapasowymi. Serwery i kopie znajduja sie
w centrum danych w Falkenstein w Niemczech, na terytorium Unii Europejskiej.
Podstawa: umowa powierzenia przetwarzania.
e) Operator platnosci — Stripe Payments Europe, Ltd. (Irlandia) — w zakresie obslugi
platnosci abonamentowych. Dostawca nie przechowuje i nie przetwarza pelnych danych kart
platniczych. Do czasu uruchomienia platnosci zadne dane nie sa temu podmiotowi
przekazywane.
f) Operator poczty elektronicznej — w zakresie adresow e-mail odbiorcow wiadomosci
systemowych. Usluga nie zostala jeszcze uruchomiona; Serwis nie wysyla obecnie wiadomosci
e-mail. Podmiot zostanie wskazany w tej Polityce przed uruchomieniem wysylki.
Dostawca nie korzysta z odrebnego podmiotu swiadczacego uslugi monitoringu — narzedzia
monitorujace dzialaja na tej samej infrastrukturze.
Dane osobowe zawarte w dokumentach ksiegowych Uzytkownika nie sa przekazywane poza
Europejski Obszar Gospodarczy. Serwery i kopie zapasowe znajduja sie w Niemczech, na
terytorium Unii Europejskiej.
Wyjatek dotyczy wylacznie obslugi platnosci abonamentowych. Operator platnosci moze
przetwarzac dane rozliczeniowe (imie i nazwisko, adres, dane platnicze) poza EOG na
zasadach przez siebie okreslonych, w oparciu o standardowe klauzule umowne zatwierdzone
przez Komisje Europejska. Nie dotyczy to danych z dokumentow ksiegowych — te nie opuszczaja
infrastruktury Dostawcy.
Dane sa przechowywane przez caly okres obowiazywania umowy subskrypcyjnej.
| Kategoria danych | Okres przechowywania | Forma |
|---|---|---|
| Dane z faktur (produkcja) | Usuwane natychmiast po zakonczeniu umowy | Usuniete z serwera produkcyjnego |
| Dane z faktur (backup) | 6 miesiecy od zakonczenia umowy | Kopia zapasowa (szyfrowana) |
| Dane rejestracyjne | 6 miesiecy od zakonczenia umowy | Kopia zapasowa |
| Dane rozliczeniowe | 5 lat od konca roku podatkowego | Archiwum (obowiazek podatkowy) |
| Logi i dziennik audytu | 6 miesiecy od zakonczenia umowy | Kopia zapasowa |
Po zakonczeniu umowy:
Kazda osoba, ktorej dane dotycza, ma prawo do:
Prawo uzyskania potwierdzenia, czy dane osobowe sa przetwarzane, a jezeli ma to miejsce -
uzyskania dostepu do danych oraz informacji o przetwarzaniu.
Prawo zadania niezwlocznego sprostowania nieprawidlowych danych lub uzupelnienia
niekompletnych danych.
Prawo zadania usuniecia danych osobowych, jezeli:
Ograniczenie: Prawo do usuniecia nie ma zastosowania, gdy przetwarzanie jest niezbedne
do wypelnienia obowiazku prawnego (np. przepisy podatkowe - 5 lat).
Prawo zadania ograniczenia przetwarzania, gdy:
Prawo otrzymania danych w ustrukturyzowanym, powszechnie uzywanym formacie nadajacym
sie do odczytu maszynowego (Excel, CSV, XML/JPK).
Prawo wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie
Administratora.
Prawo wniesienia skargi do organu nadzorczego:
Prezes Urzedu Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa
www.uodo.gov.pl
Wnioski dotyczace realizacji praw nalezy kierowac na adres: kontakt@doxhub.pl
Wniosek zostanie rozpatrzony w ciagu 30 dni od otrzymania. W przypadku skomplikowanych
wnioskow termin moze zostac przedluzony o kolejne 60 dni (z powiadomieniem).
| Element | Metoda szyfrowania |
|---|---|
| Komunikacja sieciowa | TLS 1.2+ (HTTPS) z wymuszeniem HSTS |
| Tokeny KSeF w bazie danych | AES-256-GCM z kluczem per-instalacja |
| Certyfikaty kwalifikowane | AES-256-GCM z kluczem per-instalacja |
| Hasla uzytkownikow | bcrypt z cost factor 12 (jednokierunkowy hash) |
| Kopie zapasowe | Szyfrowanie na poziomie infrastruktury |
| Nazwa cookie | Cel | Typ | Czas zycia |
|---|---|---|---|
| PHPSESSID | Identyfikator sesji uzytkownika | Niezbedne | Do zamkniecia przegladarki lub 30 min nieaktywnosci |
Zapis decyzji dotyczacej cookies trzymamy w pamieci lokalnej przegladarki
(localStorage), a nie w cookie — decyzja o cookies zapisana w cookie, na ktore
nikt sie nie zgodzil, przeczylaby sama sobie.
Na stronach dostepnych bez logowania (rejestracja, logowanie, odzyskiwanie hasla,
pomoc, dokumenty) Serwis moze wykorzystywac Google Analytics 4 do zbiorczej
statystyki odwiedzin. Zapisuje on cookies _ga i _gid o zywotnosci do 24 miesiecy.
Odbiorca danych jest Google Ireland Limited; Google moze przekazywac je do Stanow
Zjednoczonych na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony
(EU-US Data Privacy Framework).
Cookies analityczne zapisujemy dopiero po wyrazeniu zgody na banerze pojawiajacym
sie przy pierwszej wizycie. Do czasu zgody narzedzie dziala w trybie bez zapisu na
urzadzeniu (Google Consent Mode), a przy odmowie usuwamy cookies, ktore zdazyly powstac.
Zgode mozna wycofac w kazdej chwili; wycofanie jest tak samo latwe jak jej udzielenie
i nie wplywa na zgodnosc z prawem przetwarzania sprzed wycofania.
Wewnatrz zalogowanego panelu analityka NIE dziala. Jest to decyzja swiadoma:
adresy stron w panelu nios identyfikatory kontrahentow, numery faktur i nazwy klientow
biura, wiec ich wysylanie do zewnetrznego dostawcy byloby przekazaniem cudzych danych
bez podstawy prawnej.
Cookies niezbedne do dzialania Serwisu sa stosowane na podstawie art. 6 ust. 1 lit. f RODO
(uzasadniony interes Administratora - zapewnienie bezpieczenstwa i prawidlowego dzialania
Serwisu) i nie wymagaja zgody uzytkownika.
Cookies analityczne opisane w pkt 11.2 sa stosowane wylacznie na podstawie zgody -
art. 6 ust. 1 lit. a RODO oraz art. 398 ustawy Prawo komunikacji elektronicznej.
Dostawca przetwarza dane osobowe zawarte w fakturach na podstawie umowy powierzenia
przetwarzania danych (art. 28 RODO), zawartej:
z Uzytkownikiem - w zakresie danych zawartych w dokumentach wprowadzonych do Serwisu
przez Uzytkownika albo pobranych na jego zlecenie z KSeF, a takze danych kontrahentow
i pracownikow Uzytkownika.
Dostawca przetwarza powierzone dane wylacznie w celu:
Dostawca zobowiazuje sie do:
a) przetwarzania danych wylacznie zgodnie z udokumentowanymi instrukcjami Administratora danych,
b) zapewnienia, ze osoby upowazinone do przetwarzania zobowiazaly sie do zachowania tajemnicy,
c) wdrozenia odpowiednich srodkow technicznych i organizacyjnych (opisanych w rozdziale X),
d) przestrzegania warunkow korzystania z uslug innego podmiotu przetwarzajacego (podprocesorow),
e) pomagania Administratorowi w wywiazywaniu sie z obowiazku odpowiadania na zadania osob,
f) usuwania lub zwracania danych po zakonczeniu swiadczenia uslug (zgodnie z rozdzialem VIII),
g) udostepniania Administratorowi informacji niezbednych do wykazania zgodnosci z art. 28 RODO.
Dostawca korzysta z nastepujacych podprocesorow:
| Podprocesor | Zakres | Lokalizacja |
|---|---|---|
| Hetzner Online GmbH | Hosting, przechowywanie danych i kopie zapasowe | Niemcy / UE |
| Stripe Payments Europe, Ltd. | Obsluga platnosci abonamentowych | Irlandia / UE |
Odbiorcami danych sa ponadto organy i rejestry publiczne, ktorym dane sa przekazywane
na zlecenie Uzytkownika albo na podstawie przepisow:
| Odbiorca | Zakres | Lokalizacja |
|---|---|---|
| Ministerstwo Finansow RP (KSeF) | Wysylanie i pobieranie e-faktur | Polska |
| Glowny Urzad Statystyczny (BIR1) | Weryfikacja danych rejestrowych | Polska |
| Ministerstwo Finansow RP (biala lista) | Weryfikacja rachunku bankowego | Polska |
O kazdej zmianie podprocesorow Administrator danych zostanie poinformowany z 14-dniowym
wyprzedzeniem.
W przypadku stwierdzenia naruszenia ochrony danych osobowych Dostawca:
(jezeli naruszenie moze powodowac ryzyko naruszenia praw osob fizycznych).
Zgloszenia incydentow bezpieczenstwa: kontakt@doxhub.pl
osobowych z dnia 10 maja 2018 r. oraz inne obowiazujace przepisy prawa polskiego.