Polityka prywatności
Obowiązuje od 9 października 2026 r.
Ta polityka opisuje, jakie dane osobowe przetwarzamy w związku z korzystaniem z SAV — aplikacji do prowadzenia dokumentów księgowych firmy — w jakim celu to robimy, komu je przekazujemy i jakie prawa przysługują osobom, których dane dotyczą. Dotyczy aplikacji mobilnej SAV (Android, iOS), aplikacji w przeglądarce oraz aplikacji dla biur rachunkowych.
1. Administrator danych i kontakt
Administratorem danych osobowych użytkowników SAV jest SynAppsTech sp. z o.o., NIP 716 282 78 51, REGON 384818830 (dalej „my").
W sprawach dotyczących danych osobowych napisz na adres support@synappstech.com.
Dane w dokumentach Twojej firmy
Faktury, listy płac i inne dokumenty, które Twoja firma przechowuje w SAV, zawierają dane innych osób — kontrahentów i pracowników. Administratorem tych danych jest Twoja firma, a my przetwarzamy je wyłącznie na jej zlecenie, po to, żeby aplikacja działała (jako podmiot przetwarzający w rozumieniu art. 28 RODO).
2. Jakie dane przetwarzamy
Dane konta
- adres e-mail (jest loginem) i numer telefonu podany przy rejestracji,
- hasło — przechowujemy wyłącznie jego skrót kryptograficzny, nie samo hasło,
- imię i nazwisko oraz zdjęcie profilowe, jeśli je podasz,
- wybrany pakiet i termin jego ważności,
- przy logowaniu kontem Google, Facebook lub Apple — identyfikator konta u tego dostawcy oraz adres e-mail i imię, które dostawca nam przekaże.
Dane firmy
- nazwa, adres, NIP, REGON, numer KRS i kody PKD — podane przez Ciebie albo pobrane z rejestru REGON na podstawie NIP-u,
- forma opodatkowania i ustawienia potrzebne do wyliczeń,
- lista osób podłączonych do firmy i ich role,
- token lub certyfikat dostępu do Krajowego Systemu e-Faktur (KSeF), jeśli połączysz firmę z KSeF.
Dane finansowe i dokumenty
- faktury sprzedaży i zakupu pobierane z KSeF oraz faktury wystawiane w aplikacji,
- dokumenty spoza KSeF, które prześlesz e-mailem lub w rozmowie z SAV — faktury zagraniczne, potwierdzenia zamówień, listy płac — razem z plikiem źródłowym,
- dane kontrahentów (nazwa, adres, NIP) wynikające z tych dokumentów,
- dekretacja dokumentów, oznaczenia płatności, wyliczenia podatków i symulacje, które wprowadzisz.
Rozmowy
- wiadomości i załączniki wymieniane z biurem rachunkowym oraz z asystentem SAV.
Dane techniczne
- identyfikator sesji i czas jej ważności,
- identyfikator urządzenia do powiadomień (token powiadomień push), jeśli włączysz powiadomienia,
- klucz publiczny urządzenia i jego nazwa — potrzebne do szyfrowania danych firmy,
- adres IP i podstawowe informacje o żądaniach w dziennikach serwera, prowadzonych dla bezpieczeństwa i diagnozowania awarii.
Nie zbieramy danych do celów reklamowych, nie profilujemy użytkowników i nie sprzedajemy danych. Aplikacja nie zawiera narzędzi analitycznych ani reklamowych podmiotów trzecich.
3. Do czego używamy danych i na jakiej podstawie
| Cel | Dane | Podstawa prawna |
|---|---|---|
| Założenie i obsługa konta, logowanie | dane konta, dane techniczne | wykonanie umowy o świadczenie usługi (art. 6 ust. 1 lit. b RODO) |
| Pobieranie i wystawianie faktur w KSeF, przechowywanie dokumentów, wyliczenia przychodów, kosztów i podatków, dekretacja | dane firmy, dane finansowe i dokumenty | wykonanie umowy (art. 6 ust. 1 lit. b RODO); w zakresie danych osób trzecich — umowa powierzenia z Twoją firmą |
| Rozmowa z biurem rachunkowym i z asystentem SAV | rozmowy, dokumenty wskazane w rozmowie | wykonanie umowy (art. 6 ust. 1 lit. b RODO) |
| Udostępnienie danych firmy biuru rachunkowemu — tylko po połączeniu firmy z biurem kodem, który sam wpisujesz | dane firmy, dokumenty, rozmowy | wykonanie umowy, na Twoje polecenie (art. 6 ust. 1 lit. b RODO) |
| Powiadomienia o nowych dokumentach i terminach płatności | token powiadomień, podstawowe dane dokumentu | zgoda wyrażona w ustawieniach urządzenia (art. 6 ust. 1 lit. a RODO) |
| Obsługa płatności za pakiet | adres e-mail, wybrany pakiet, identyfikator i status transakcji | wykonanie umowy (art. 6 ust. 1 lit. b RODO) oraz obowiązki podatkowe i rachunkowe (art. 6 ust. 1 lit. c RODO) |
| Wiadomości związane z kontem: potwierdzenie adresu, odzyskiwanie hasła, odpowiedzi na zgłoszenia | adres e-mail, treść zgłoszenia | wykonanie umowy (art. 6 ust. 1 lit. b RODO) |
| Bezpieczeństwo usługi, wykrywanie nadużyć, diagnozowanie awarii, dochodzenie i obrona roszczeń | dane techniczne, dane konta | nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) |
Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie da się założyć konta, a bez danych firmy i dostępu do KSeF — korzystać z funkcji, które ich wymagają.
4. Szyfrowanie danych finansowych
Dane finansowe Twojej firmy chronimy szyfrowaniem, w którym klucz należy do firmy, a nie do nas. Włącza się je w aplikacji, na ekranie „Szyfrowanie danych".
- Co jest zaszyfrowane. Treść faktur i innych dokumentów (strony, kwoty, pozycje, pliki źródłowe), baza kontrahentów oraz wiadomości i załączniki w rozmowach z biurem rachunkowym i z SAV.
- Jak. Każda firma ma własny, losowy klucz. Dane szyfrujemy algorytmem AES-256-GCM, a klucz firmy przekazujemy uprawnionym urządzeniom z użyciem kryptografii krzywych eliptycznych (ECDH P-256).
- Gdzie jest klucz. Klucz firmy nie jest zapisany w naszej bazie w postaci jawnej ani w konfiguracji serwera. W bazie leżą wyłącznie jego kopie zaszyfrowane dla konkretnych odbiorców: Twoich urządzeń, kodu odzyskiwania i — jeśli dasz mu dostęp — biura rachunkowego. Klucz prywatny urządzenia nie opuszcza telefonu ani przeglądarki (bezpieczny magazyn systemu Android i iOS, nieeksportowalny klucz w przeglądarce).
- Kiedy serwer widzi dane. Serwer otrzymuje klucz firmy tylko na czas, gdy ktoś uprawniony ma otwartą, odblokowaną sesję, i trzyma go wyłącznie w pamięci — po wylogowaniu, wygaśnięciu sesji lub dwóch godzinach bezczynności klucz jest usuwany. Dzięki temu wyliczenia, wyszukiwanie i dekretacja działają, a poza sesją dane pozostają nieczytelne.
- Faktury pobierane, gdy nikt nie jest zalogowany, są od razu szyfrowane kluczem publicznym firmy. Odczytać je można dopiero po odblokowaniu danych przez uprawnioną osobę.
- Kod odzyskiwania. Przy włączaniu szyfrowania pokazujemy jednorazowo kod odzyskiwania. Nie przechowujemy go. Jeśli stracisz wszystkie urządzenia i kod, nie będziemy w stanie odszyfrować danych firmy.
Przed czym to chroni. Przed odczytaniem dokumentów przez kogokolwiek, kto wszedłby w posiadanie bazy danych lub jej kopii zapasowej, przez osoby z dostępem do samej bazy oraz przez obsługę SAV z poziomu panelu administracyjnego.
Czego nie obejmuje. Dane rejestrowe firmy (nazwa, NIP, adres, REGON, PKD) są jawne w publicznych rejestrach i nie są szyfrowane kluczem firmy. Token lub certyfikat KSeF jest przechowywany na serwerze w postaci zaszyfrowanej kluczem serwera — inaczej faktury nie mogłyby pobierać się w tle. Szyfrowanie nie chroni przed kimś, kto przejąłby kontrolę nad działającym serwerem w czasie Twojej odblokowanej sesji.
Niezależnie od tego cała komunikacja między aplikacją a serwerem jest szyfrowana (HTTPS/TLS), a hasła przechowujemy wyłącznie jako skróty kryptograficzne.
5. Automatyczne przetwarzanie dokumentów
SAV używa modelu językowego do odczytywania danych z przesłanych dokumentów, proponowania kategorii księgowych (dekretacji), wyszukiwania w rozmowach i odpowiadania w rozmowie z SAV.
- Model działa na naszej własnej infrastrukturze. Treść dokumentów i rozmów nie jest wysyłana do zewnętrznych dostawców usług sztucznej inteligencji i nie służy do trenowania modeli.
- Wyniki są propozycją: kategorię każdej pozycji możesz zmienić, a dane odczytane z dokumentu — sprawdzić z oryginałem, który zostaje w aplikacji.
- Nie podejmujemy na tej podstawie decyzji wywołujących wobec Ciebie skutki prawne w rozumieniu art. 22 RODO.
6. Komu przekazujemy dane
Dane przekazujemy tylko wtedy, gdy wymaga tego działanie usługi albo przepis prawa:
- Krajowy System e-Faktur (Ministerstwo Finansów) — pobieranie i wystawianie faktur w imieniu Twojej firmy, z użyciem poświadczeń, które sam podajesz.
- Biuro rachunkowe — wyłącznie to, z którym połączysz firmę. Widzi dokumenty i podsumowania firmy, może prowadzić z Tobą rozmowę i poprawiać dekretację. Połączenie możesz w każdej chwili zakończyć w aplikacji.
- Operator płatności tpay (Krajowy Integrator Płatności S.A.) — obsługa płatności za pakiet. Płatność odbywa się na stronie operatora; nie otrzymujemy i nie przechowujemy danych karty.
- Google (Firebase Cloud Messaging) i Apple (Apple Push Notification service) — doręczanie powiadomień push na urządzenie.
- Google, Meta (Facebook) i Apple — tylko jeśli logujesz się kontem u tego dostawcy; dostawca potwierdza wtedy Twoją tożsamość.
- Rejestr REGON (Główny Urząd Statystyczny) — pobranie danych firmy na podstawie NIP-u. Narodowy Bank Polski — pobranie kursów walut; nie przekazujemy przy tym danych osobowych.
- OpenStreetMap — mapa z położeniem biura rachunkowego w aplikacji w przeglądarce jest pobierana z serwerów OpenStreetMap, które widzą przy tym adres IP przeglądarki.
- Dostawcy infrastruktury i poczty elektronicznej, z których korzystamy do utrzymania usługi i wysyłki wiadomości — na podstawie umów powierzenia.
- Organy publiczne — gdy zobowiązuje nas do tego przepis prawa.
Korzystanie z usług Google, Apple i Meta może wiązać się z przekazaniem danych poza Europejski Obszar Gospodarczy, w szczególności do Stanów Zjednoczonych. Podstawą takiego przekazania są decyzja Komisji Europejskiej o odpowiednim stopniu ochrony (Ramy ochrony danych UE–USA) albo standardowe klauzule umowne stosowane przez tych dostawców.
7. Uprawnienia aplikacji mobilnej
- Aparat — zdjęcie dokumentu do przesłania oraz skanowanie kodu QR przy łączeniu przeglądarki z telefonem.
- Zdjęcia i pliki — wybranie dokumentu do przesłania oraz zapisanie pobranego pliku (np. PDF faktury, plik eksportu).
- Powiadomienia — informacje o nowych dokumentach i terminach płatności.
- Bezpieczny magazyn systemu (Keystore / Keychain) — przechowywanie sesji i klucza urządzenia do szyfrowania.
Każde z tych uprawnień możesz cofnąć w ustawieniach telefonu. Aplikacja nie korzysta z lokalizacji, kontaktów ani mikrofonu.
8. Pamięć przeglądarki i pliki cookie
Aplikacja w przeglądarce nie używa plików cookie do śledzenia ani reklam. W pamięci przeglądarki zapisuje wyłącznie to, co jest niezbędne do działania: identyfikator sesji po zalogowaniu, klucz urządzenia do szyfrowania danych firmy oraz Twoje ustawienia widoku. Dane te znikają po wylogowaniu lub wyczyszczeniu danych witryny w przeglądarce.
9. Jak długo przechowujemy dane
- Dane konta — przez czas korzystania z usługi, do usunięcia konta.
- Dokumenty, kontrahenci i rozmowy firmy — do usunięcia firmy lub konta. To Twoja firma decyduje, jak długo je przechowuje; pamiętaj o własnych obowiązkach przechowywania dokumentacji księgowej i podatkowej.
- Wiadomości przesłane e-mailem z dokumentami — po odczytaniu załączników wiadomość jest usuwana ze skrzynki; dokument zostaje w aplikacji.
- Dane o płatnościach — przez okres wymagany przepisami podatkowymi i rachunkowymi (co do zasady 5 lat od końca roku, w którym powstał obowiązek podatkowy).
- Dzienniki serwera — przez czas potrzebny do zapewnienia bezpieczeństwa i diagnozowania awarii.
- Konta, których adres e-mail nie został potwierdzony — są usuwane automatycznie.
- Po usunięciu danych mogą one pozostawać w kopiach zapasowych do czasu ich rotacji; dane zaszyfrowane kluczem firmy pozostają w nich nieczytelne.
10. Twoje prawa
W związku z przetwarzaniem danych masz prawo do:
- dostępu do swoich danych i otrzymania ich kopii,
- sprostowania danych,
- usunięcia danych,
- ograniczenia przetwarzania,
- przenoszenia danych,
- sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie,
- cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.
Żeby skorzystać z tych praw, napisz na support@synappstech.com. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca.
Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Jeśli Twoje dane znalazły się w dokumentach firmy korzystającej z SAV (np. jesteś jej kontrahentem lub pracownikiem), w sprawie tych danych zwróć się do tej firmy — to ona jest ich administratorem.
11. Usunięcie konta i danych
- Firmę razem z jej dokumentami, kontrahentami, poświadczeniami KSeF i listą użytkowników właściciel może usunąć samodzielnie w aplikacji.
- Konto usuwamy na żądanie wysłane z adresu e-mail przypisanego do konta na support@synappstech.com — kroki i terminy opisuje strona Usunięcie konta i danych. Razem z kontem usuwamy dane profilu, sesje, tokeny powiadomień i klucze urządzeń, a jeśli jesteś jedynym właścicielem firmy — także jej dane.
- Możemy zachować dane, których przechowywania wymagają przepisy (np. o płatnościach), przez okres wskazany w punkcie 9.
12. Postanowienia końcowe
Usługa nie jest kierowana do dzieci i nie zbieramy świadomie danych osób poniżej 16. roku życia.
Politykę możemy aktualizować, gdy zmieni się sposób działania aplikacji albo przepisy. Aktualna wersja jest zawsze dostępna pod tym adresem, a o istotnych zmianach poinformujemy w aplikacji lub e-mailem.