Polityka prywatności

1. Administrator danych

Administratorem danych osobowych użytkowników serwisu sygnalista24.com (dalej: „Serwis") jest paragraf.biz Robert Yamprashek, NIP PL9720046070, z siedzibą w Polsce (dalej: „Administrator", „my").

Kontakt w sprawach ochrony danych: privacy@sygnalista24.com.

2. Zakres i cele przetwarzania

Przetwarzamy następujące kategorie danych w zależności od relacji z Tobą:

• Klient (Administrator firmy w Sygnalista24) — adres email, imię i nazwisko, NIP firmy, dane kontaktowe, historia płatności. Cel: świadczenie usługi SaaS, rozliczenia, kontakt techniczny.
• Sygnalista (osoba zgłaszająca naruszenie) — wyłącznie zaszyfrowana treść zgłoszenia (E2E encryption — Sygnalista24 nie ma technicznej możliwości odszyfrowania). Pseudonimizowany hash IP i User-Agent (rotowany dziennie) — wyłącznie do wykrywania nadużyć (RODO art. 32 ust. 1 lit. a). Dane dobrowolne (jeśli sygnalista podał email/imię) trafiają wyłącznie do zaszyfrowanego blob'a.
• Odwiedzający stronę — pliki cookies niezbędne do działania (sesja), opcjonalnie analityczne (po zgodzie). Szczegóły: Polityka cookies.

3. Podstawy prawne (RODO art. 6)

• art. 6 ust. 1 lit. b RODO — wykonanie umowy (świadczenie usługi).
• art. 6 ust. 1 lit. c RODO — obowiązek prawny (faktury, archiwizacja księgowa, rejestr zgłoszeń wg ustawy 2024/928).
• art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes (bezpieczeństwo Serwisu, dochodzenie roszczeń).
• art. 6 ust. 1 lit. a RODO — zgoda (cookies analityczne, marketing — opcjonalne).

4. Odbiorcy danych

• Supabase (hosting bazy danych, eu-central-1 Frankfurt) — procesor.
• Vercel (hosting aplikacji, region eu-fra1 Frankfurt) — procesor.
• Resend (transactional email) — procesor.
• Biuro księgowe Administratora — procesor (faktury).
• Organy państwowe na żądanie zgodne z prawem (UODO, sąd, prokuratura).

Brak transferu danych poza UE/EOG. Wszystkie infrastruktury procesorów zostały skonfigurowane w regionach europejskich — RODO art. 44–49 (transfery do państw trzecich) nie ma zastosowania.

5. Okres przechowywania

• Dane klienta (konto): przez okres trwania umowy + 6 lat po jej rozwiązaniu (obowiązki podatkowo-księgowe, art. 70 Ordynacji podatkowej).
• Zgłoszenia sygnalistów: 3 lata po zakończeniu działań następczych lub zakończeniu postępowań (art. 8 ust. 8 oraz art. 29 ust. 5 ustawy z 14.06.2024 o ochronie sygnalistów). Po tym terminie automatyczna nieodwracalna purge (cron 03:00 UTC dziennie).
• Pseudonimizowany hash IP/UA: usuwany razem ze zgłoszeniem (cascade delete).
• Cookies analityczne: max 13 miesięcy (Plausible/GA4 standard).

6. Twoje prawa (RODO art. 15–22)

• Prawo dostępu do swoich danych (art. 15).
• Prawo do sprostowania (art. 16).
• Prawo do usunięcia („prawo do bycia zapomnianym", art. 17) — z zastrzeżeniem obowiązków prawnych.
• Prawo do ograniczenia przetwarzania (art. 18).
• Prawo do przenoszenia danych (art. 20) — eksport JSON/CSV.
• Prawo do sprzeciwu (art. 21) — wobec przetwarzania opartego na art. 6 ust. 1 lit. f.
• Prawo do cofnięcia zgody (art. 7 ust. 3) — w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
• Prawo do skargi do UODO (Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa) — art. 77.

Realizacja praw: wyślij wniosek na privacy@sygnalista24.com. Odpowiadamy w ciągu 30 dni (art. 12 ust. 3).

7. Bezpieczeństwo (RODO art. 32)

• End-to-end encryption zgłoszeń (RSA-OAEP-2048 + AES-256-GCM).
• Transmisja TLS 1.3.
• Pseudonimizacja IP (rotowany salted hash, RODO art. 32 ust. 1 lit. a).
• Niezmienialny audit log (DB-level UPDATE block trigger).
• Hosting w UE (Frankfurt), pełny compliance RODO.
• Retencja zgodna z art. 8 ust. 8 ustawy 2024/928 — automatyczna purge.

8. Profilowanie i decyzje zautomatyzowane

Sygnalista24 nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu wywołujących skutki prawne wobec użytkowników (RODO art. 22).

9. Zmiany polityki

Zastrzegamy prawo do aktualizacji niniejszej polityki. Każda istotna zmiana zostanie ogłoszona w Serwisie i przesłana do zarejestrowanych klientów emailem z 14-dniowym wyprzedzeniem.