POLITYKA PRYWATNOŚCI PULPITU KLIENTA JUSTICE
Wersja 1.0 · obowiązuje od 21 września 2026 r.
1. Kto jest administratorem danych
Administratorem danych osobowych przetwarzanych w Pulpicie klienta (justice24.pl) jest JUSTICE Sp. z o.o. z siedzibą w Krakowie, ul. Długa 74/6, 31-146 Kraków, KRS 0000840190, NIP 6751728745 (dalej: „JUSTICE” lub „my”).
Kontakt w sprawach danych osobowych: e-mail rodo@justice.pl, listownie na adres siedziby, albo przez zgłoszenie w Pulpicie. JUSTICE nie wyznaczyło inspektora ochrony danych; sprawy z zakresu ochrony danych prowadzi zarząd spółki pod wskazanym adresem.
2. Kogo dotyczy ta Polityka
Polityka dotyczy osób fizycznych, których dane przetwarzamy w związku z Pulpitem:
- Użytkowników Pulpitu — Właścicieli Kont Klientów i pracowników Klientów, którzy logują się do Pulpitu;
- osób, których dane znajdują się w dokumentach i danych księgowych Klienta (np. kontrahenci będący osobami fizycznymi, pracownicy Klienta wymienieni w dokumentach) — w tym zakresie JUSTICE przetwarza dane jako podmiot przetwarzający na zlecenie Klienta albo jako administrator w zakresie wynikającym z przepisów o rachunkowości i podatkach, zgodnie z umową o świadczenie usług.
3. Jakie dane przetwarzamy i skąd je mamy
Dane Użytkownika (konto): imię i nazwisko, adres e-mail, hasło (wyłącznie w postaci skrótu kryptograficznego — nie znamy hasła), ustawienia konta (powiadomienia, motyw), informacja o włączeniu logowania dwuskładnikowego (bez tajnego klucza w postaci jawnej), rola i uprawnienia w firmie, powiązanie z Kontami Klientów, do których Użytkownik ma dostęp. Źródło: Klient (Właściciel Konta Klienta lub umowa z JUSTICE) albo sam Użytkownik przy aktywacji konta.
Dane techniczne i dziennik zdarzeń: adres IP, data i godzina logowania i wylogowania, identyfikator sesji, rodzaj przeglądarki, zdarzenia w Pulpicie (np. wgranie dokumentu, wystawienie faktury, decyzja o fakturze, zmiana ustawień, nadanie uprawnień, płatność) wraz z czasem i kontem, które je wykonało. Źródło: automatycznie podczas korzystania z Pulpitu.
Dane w treści zgłoszeń, dokumentów i faktur: wszystko, co Użytkownik wpisze lub wgra (treść zgłoszeń, załączniki, skany dokumentów, dane faktur, dane kontrahentów, potwierdzenia płatności). Źródło: Użytkownik, Klient, systemy zewnętrzne (Krajowy System e-Faktur, operator płatności, banki — w zakresie wyciągów przekazanych przez Klienta).
Dane o płatnościach online: kwota, numery opłacanych faktur, identyfikator i status transakcji, metoda płatności, data. Źródło: Użytkownik i operator płatności Przelewy24. Nie otrzymujemy i nie przechowujemy numerów kart ani danych logowania do banku.
4. W jakim celu i na jakiej podstawie
| Cel | Podstawa prawna (RODO) | Zakres danych |
|---|---|---|
| Prowadzenie konta, logowanie, świadczenie usług przez Pulpit | art. 6 ust. 1 lit. b (wykonanie umowy z Klientem; w stosunku do pracowników Klienta — lit. f, prawnie uzasadniony interes JUSTICE i Klienta polegający na obsłudze umowy) | dane konta, dane techniczne |
| Wystawianie faktur w KSeF, przekazywanie dokumentów do ksiąg, wyliczanie podatków | art. 6 ust. 1 lit. b i c (obowiązki z ustawy o VAT, ustawy o rachunkowości, Ordynacji podatkowej) | dane faktur, dokumentów, kontrahentów |
| Bezpieczeństwo Pulpitu: dziennik zdarzeń, ochrona przed nieuprawnionym dostępem, wykrywanie nadużyć | art. 6 ust. 1 lit. f (prawnie uzasadniony interes — bezpieczeństwo systemu i danych Klientów) | dane techniczne, dziennik zdarzeń |
| Obsługa płatności online | art. 6 ust. 1 lit. b oraz lit. c (przepisy o rachunkowości) | dane o płatnościach |
| Komunikacja: zgłoszenia, powiadomienia e-mail | art. 6 ust. 1 lit. b i f | dane konta, treść zgłoszeń |
| Rozpatrywanie reklamacji, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f | wszystkie kategorie w niezbędnym zakresie |
| Wypełnianie obowiązków prawnych (przechowywanie ksiąg i dowodów księgowych oraz obowiązki JUSTICE jako biura rachunkowego wynikające z ustawy o przeciwdziałaniu praniu pieniędzy) | art. 6 ust. 1 lit. c | dane dokumentów i faktur |
Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne wobec Użytkownika. Automatyczne czynności w Pulpicie (np. sprawdzenie rachunku do przelewu z numerem NIP, wysłanie faktury do KSeF) są narzędziem wykonania usługi i są zawsze inicjowane przez Użytkownika lub biuro.
5. Komu przekazujemy dane
Dane mogą być przekazywane wyłącznie w zakresie niezbędnym do celów opisanych wyżej:
- dostawcy hostingu i infrastruktury Pulpitu — OVH Sp. z o.o. z siedzibą we Wrocławiu (grupa OVHcloud), na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO); dane przechowywane w centrach danych OVHcloud na terenie Unii Europejskiej;
- dostawcy poczty elektronicznej do wysyłki powiadomień — OVH Sp. z o.o. (usługa poczty OVHcloud, serwery w Unii Europejskiej);
- operatorowi płatności Przelewy24 — PayPro S.A. z siedzibą w Poznaniu, ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935, NIP 7792369887, krajowa instytucja płatnicza nadzorowana przez KNF — jako odrębnemu administratorowi w zakresie realizacji transakcji; zasady przetwarzania przez operatora: https://www.przelewy24.pl/polityka-prywatnosci;
- Ministerstwu Finansów (Krajowy System e-Faktur) — w zakresie faktur ustrukturyzowanych, na podstawie przepisów;
- organom publicznym (urzędy skarbowe, ZUS, sądy) — gdy wymagają tego przepisy;
- podmiotom świadczącym na rzecz JUSTICE usługi IT, prawne i audytowe — na podstawie umów powierzenia i zobowiązania do poufności.
Nie sprzedajemy danych i nie udostępniamy ich do celów marketingowych osób trzecich. W Pulpicie nie ma reklam ani skryptów śledzących.
Przekazywanie poza EOG: dane Pulpitu są przechowywane i przetwarzane wyłącznie na terenie Europejskiego Obszaru Gospodarczego (infrastruktura OVHcloud w UE). Nie przekazujemy danych do państw trzecich. Operator płatności Przelewy24 przetwarza dane transakcji na terenie Polski.
6. Jak długo przechowujemy dane
- Dane konta — przez czas obowiązywania umowy z Klientem, a po jej zakończeniu do 30 dni na pobranie dokumentów przez Klienta; następnie konto jest blokowane, a dane konta usuwane lub anonimizowane, z wyjątkiem danych, które musimy zachować z przyczyn prawnych.
- Dziennik zdarzeń (audyt) — 24 miesiące od zdarzenia; dłużej wyłącznie w zakresie niezbędnym do obrony roszczeń lub na żądanie uprawnionego organu.
- Dokumenty, faktury i dane księgowe — przez okres wymagany przepisami o rachunkowości i podatkach (co do zasady 5 lat od końca roku, w którym powstał obowiązek podatkowy), niezależnie od trwania konta w Pulpicie.
- Dane o płatnościach — 5 lat od końca roku obrotowego (dowody księgowe).
- Zgłoszenia i korespondencja — przez czas obowiązywania umowy i okres przedawnienia roszczeń.
- Kopie zapasowe — do 30 dni; dane usunięte z systemu znikają z kopii w tym terminie.
7. Jakie prawa ma Użytkownik
W zakresie, w jakim JUSTICE jest administratorem, Użytkownik ma prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia (gdy nie zachodzą podstawy do dalszego przetwarzania), ograniczenia przetwarzania, przenoszenia danych (dane konta), sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Wniosek można złożyć przez zgłoszenie w Pulpicie lub na adres rodo@justice.pl. Odpowiadamy w terminie 30 dni; skargi dotyczące działania Pulpitu przyjmujemy pod adresem reklamacje@justice.pl. Część danych (np. faktury, dowody księgowe) nie może zostać usunięta przed upływem okresów wymaganych przepisami — wskażemy wtedy podstawę i termin.
W zakresie, w jakim dane w dokumentach księgowych przetwarzamy na zlecenie Klienta, wnioski osób, których dane dotyczą, przekazujemy Klientowi jako administratorowi lub realizujemy je zgodnie z jego instrukcją.
8. Podanie danych
Podanie danych konta (imię i nazwisko, e-mail) jest niezbędne do korzystania z Pulpitu — bez nich nie można założyć i aktywować konta. Pozostałe dane Użytkownik podaje w zakresie potrzebnym do danej czynności (np. dane faktury).
Dane Pracownika (imię i nazwisko, adres e-mail, rola) otrzymujemy od Klienta — Właściciela Konta Klienta — a nie od samego Pracownika. Dlatego niezależnie od informacji przekazanej przez Klienta, JUSTICE wykonuje wobec Pracownika własny obowiązek informacyjny (art. 14 RODO): pierwsza wiadomość, jaką Pracownik otrzymuje od Pulpitu (link aktywacyjny), zawiera informację o administratorze, celu i podstawie przetwarzania oraz odnośnik do niniejszej Polityki; ta sama informacja jest widoczna na ekranie aktywacji konta, a przy pierwszym logowaniu każdy Użytkownik — właściciel i pracownik — potwierdza zapoznanie się z Polityką, co jest odnotowywane w dzienniku zdarzeń. Właściciel Konta Klienta pozostaje odpowiedzialny za to, że jest uprawniony do przekazania nam danych Pracownika.
9. Pliki cookie i lokalne ustawienia
Pulpit używa wyłącznie plików niezbędnych do działania:
- plik sesji (HttpOnly, Secure, SameSite) — utrzymuje zalogowanie; usuwany po wylogowaniu, po okresie bezczynności ustawionym przez biuro albo najpóźniej po 24 godzinach;
- znacznik zabezpieczający formularze (ochrona przed CSRF) — wraz z sesją;
- ustawienie motywu (jasny / ciemny) — zapisywane w przeglądarce Użytkownika, nie zawiera danych osobowych.
Nie używamy plików cookie analitycznych, reklamowych ani należących do osób trzecich. Ponieważ stosujemy wyłącznie pliki niezbędne, Pulpit nie wyświetla baneru zgody na cookie. Podgląd faktur PDF jest wyświetlany w ramce z naszego serwera; płatność online odbywa się na stronie operatora Przelewy24, który stosuje własne pliki cookie i własną politykę.
10. Jak chronimy dane
Połączenie z Pulpitem jest szyfrowane (HTTPS). Hasła przechowujemy wyłącznie jako skróty kryptograficzne. Dostęp do danych Klienta (przedsiębiorcy) jest ograniczony do Kont jego Użytkowników i do pracowników JUSTICE obsługujących Klienta, a rozdział danych między firmami jest wymuszony na poziomie bazy danych. Każde istotne zdarzenie jest zapisywane w dzienniku. Klucze do systemów zewnętrznych są przechowywane w postaci zaszyfrowanej. Wykonujemy regularne kopie zapasowe. Zalecamy Użytkownikom włączenie logowania dwuskładnikowego w „Moje konto”.
W razie naruszenia ochrony danych, które może powodować wysokie ryzyko dla praw i wolności osób, poinformujemy je bez zbędnej zwłoki, a organ nadzorczy — w terminie 72 godzin.
11. Zmiany Polityki
Politykę aktualizujemy, gdy zmienia się zakres funkcji Pulpitu, dostawcy lub przepisy. O istotnych zmianach informujemy w Pulpicie (sekcja „Co nowego”) oraz e-mailem na adres Właściciela Konta Klienta. Aktualna wersja jest zawsze dostępna w Pulpicie — link „Polityka prywatności” w stopce każdej strony oraz na ekranie logowania.