Polityka prywatności KSeF CRM

Obowiązuje od: 17 października 2026 r.

Niniejsza Polityka wyjaśnia, jak przetwarzane są dane osobowe podczas korzystania z KSeF CRM — aplikacji chmurowej dla Bitrix24, która wysyła faktury z Bitrix24 do Krajowego Systemu e-Faktur (KSeF), odbiera ich status, numer KSeF i urzędowe poświadczenie odbioru (UPO), pobiera z KSeF faktury zakupowe, sprawdza dostawców na Białej liście VAT i importuje faktury zakupowe do CRM („Aplikacja”). Aplikacja jest dostępna pod adresem https://ksef.ai-automation-agency.biz i dystrybuowana przez Bitrix24 Market.

Polityka jest zgodna z rozporządzeniem (UE) 2016/679 („RODO”) i ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.

1. Kim jesteśmy

ARTISMEDIA Sp. z o.o., ul. Nowogrodzka 64/43, 02-014 Warszawa; KRS 0000868723; NIP PL7011004442; REGON 387549826 („my”). Kontakt w sprawach prywatności: artismediaeu@gmail.com, +48 693 124 346.

2. Nasza rola: podmiot przetwarzający i administrator

2.1. Dane faktur i CRM. Twoja organizacja („Klient”) przechowuje faktury, klientów i dostawców na koncie Bitrix24 i w KSeF. Dla tych danych administratorem jest Klient, a my jesteśmy podmiotem przetwarzającym (art. 28 RODO) i przetwarzamy je wyłącznie w celu świadczenia funkcji Aplikacji na udokumentowane polecenie Klienta. Postanowienia o powierzeniu z pkt 11 stanowią część Umowy licencyjnej KSeF CRM.

2.2. Dane konta, rozliczeń i dane techniczne. Dla danych instalacji (adres konta Bitrix24, identyfikator instalacji), danych rozliczeniowych Planu Pro i danych technicznych (adres IP, logi) jesteśmy samodzielnym administratorem.

3. Jakie dane przetwarza Aplikacja

3.1. Odczytywane z konta Bitrix24, gdy użytkownik pracuje z Aplikacją:

• otwarta faktura: numer, tytuł, daty, kwota, waluta, kwota podatku, powiązana firma lub kontakt i „moja firma”;
• jej pozycje: nazwa, ilość, jednostka, cena, rabat, stawka VAT;
• rekwizyty nabywcy i „mojej firmy”: nazwa, NIP / numer VAT UE, REGON, KRS, adres siedziby; dane bankowe „mojej firmy” (numer rachunku, bank, SWIFT); dla nabywcy bez firmy — imię i nazwisko kontaktu (faktura dla konsumenta);
• przy imporcie faktury zakupowej: firmy, których rekwizyty zawierają NIP dostawcy (tylko ID); lejki i procesy inteligentne (ID i nazwy) do ustawień;
• czy użytkownik jest administratorem Bitrix24 oraz ID użytkownika (by zapisać, kto wysłał fakturę);
• dane instalacji: adres konta Bitrix24, identyfikator instalacji (member_id), tokeny dostępu wydane przez Bitrix24.

3.2. Wymieniane z KSeF: faktura ustrukturyzowana (XML FA(3)) zbudowana z danych z pkt 3.1 — zawiera dane sprzedawcy i nabywcy, w tym mogą to być osoby fizyczne (JDG lub konsumenci); status, numer KSeF i UPO; dla faktur zakupowych — metadane i pełny XML faktur wystawionych na NIP Klienta, zawierające dane dostawców (w tym JDG) i ich rachunków bankowych.

3.3. Dane dostępowe KSeF: NIP Klienta i Token KSeF wpisany przez administratora Bitrix24 oraz krótkotrwałe tokeny dostępu wydawane przez KSeF.

3.4. Biała lista i NBP: do sprawdzenia na Białej liście wysyłamy NIP dostawcy i numer jego rachunku do usługi Ministerstwa Finansów i zapisujemy odpowiedź (status VAT, czy rachunek jest na liście, identyfikator zapytania, data). Dla faktur w walucie obcej pobieramy kurs NBP (bez danych osobowych).

3.5. Ustawienia wprowadzone przez administratora: środowisko KSeF, NIP, stawki dla pozycji 0% i bez podatku, podstawa zwolnienia, stopka faktury, kto może wysyłać faktury, sposób importu faktur zakupowych (lejek, proces, odpowiedzialny, zadanie), język interfejsu.

3.6. Dane rozliczeniowe (Plan Pro). Płatności odbywają się na stronie Stripe Checkout. Nie otrzymujemy ani nie przechowujemy danych kart płatniczych. Przechowujemy identyfikator instalacji i adres konta, identyfikatory klienta i subskrypcji Stripe, plan, jego status i daty, historię zdarzeń rozliczeniowych oraz miesięczne liczniki faktur wysłanych i odebranych.

3.7. Dane techniczne: adres IP, znaczniki czasu, ścieżki zapytań, adres konta Bitrix24.

3.8. Nie pobieramy: adresów e-mail i telefonów kontaktów, dealów, aktywności, korespondencji, połączeń ani danych pracowników poza ID użytkownika i informacją o uprawnieniach administratora. Aplikacja wymaga uprawnień (scope) „CRM”, „Osadzanie w interfejsie” (placement), „Pola użytkownika” (userfieldconfig), „Zadania” i „Użytkownicy”.

4. Cele i podstawy prawne

Nie używamy danych do marketingu, profilowania, sprzedaży osobom trzecim ani trenowania modeli uczenia maszynowego.

5. Jak dane są przetwarzane i przechowywane

5.1. Faktury są w KSeF i w Bitrix24. Prawnie wiążący egzemplarz każdej faktury przechowuje KSeF. Numery KSeF, statusy, linki weryfikacyjne i pliki UPO są zapisywane na koncie Bitrix24 Klienta i pozostają tam po odinstalowaniu.

5.2. Na naszych serwerach przechowujemy (w plikach dostępnych wyłącznie dla konta usługi Aplikacji, uprawnienia 0600):

• Token KSeF, zaszyfrowany algorytmem AES-256-GCM kluczem nieprzechowywanym razem z danymi; nie jest ponownie wyświetlany w interfejsie, nie trafia do przeglądarki ani do logów; tokeny dostępu KSeF są trzymane wyłącznie w pamięci;
• kopie faktur wysłanych (XML), ich UPO oraz faktur zakupowych (XML), zaszyfrowane AES-256-GCM — aby użytkownicy mogli je pobrać, a korekty mogły odwoływać się do faktury pierwotnej;
• listę faktur wysłanych (ID faktury Bitrix24, numer, numer KSeF, status, daty, kwoty, pozycje potrzebne do korekt) i listę faktur zakupowych (metadane, podsumowanie, wynik Białej listy, wynik importu);
• dziennik działań: kto i kiedy wysłał, skorygował lub zaimportował fakturę (ID użytkownika, numer faktury, numer KSeF) — bez treści faktur;
• ustawienia (pkt 3.5) i znacznik synchronizacji;
• tokeny OAuth konta Bitrix24 i token aplikacji do weryfikacji powiadomień o odinstalowaniu — zaszyfrowane;
• sesje użytkowników: losowy identyfikator z adresem konta i tokenem dostępu Bitrix24 użytkownika, do jednej godziny.

5.3. Lokalizacja. Aplikacja działa na serwerach Hetzner Online GmbH w Niemczech (UE).

5.4. Okres przechowywania:

• Token KSeF, ustawienia, listy faktur, kopie plików XML i UPO, dziennik działań i tokeny OAuth — przez czas instalacji Aplikacji, kopie plików faktur nie dłużej niż 24 miesiące; wszystko jest usuwane niezwłocznie po otrzymaniu z Bitrix24 powiadomienia o odinstalowaniu;
• sesje — do jednej godziny; tokeny dostępu KSeF — tylko w pamięci, do wygaśnięcia (refresh token najwyżej 7 dni);
• logi techniczne — do 12 miesięcy;
• dane rozliczeniowe i faktury — 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku; nie są usuwane przy odinstalowaniu;
• informacja o wykorzystaniu okresu próbnego i liczniki miesięczne — przez czas oferowania Aplikacji, aby okres próbny i limit darmowy przysługiwały raz na konto.

5.5. Zabezpieczenia: TLS dla całego ruchu, także do KSeF; wymagane przez KSeF szyfrowanie faktur AES-256 kluczem sesji zaszyfrowanym kluczem publicznym RSA Ministerstwa; szyfrowanie w spoczynku Tokena KSeF, tokenów OAuth i plików faktur; tokeny nigdy nie trafiają do przeglądarki; każde zapytanie ze stron Aplikacji wymaga ważnej sesji utworzonej z zapytania Bitrix24; ustawienia KSeF i subskrypcję może zmieniać wyłącznie administrator Bitrix24 potwierdzony przez Bitrix24; Klient może ograniczyć wysyłkę faktur do administratorów; powiadomienia o odinstalowaniu przyjmujemy tylko z tokenem aplikacji konta; rejestrowanie dostępu i działań.

5.6. Zawartość logów: adres konta Bitrix24, rodzaj operacji, ID faktury Bitrix24, środowisko KSeF, kody statusów i komunikaty błędów zwrócone przez KSeF lub Bitrix24, czas trwania. Treści faktur, NIP-ów nabywców, numerów rachunków i wartości tokenów nie zapisujemy w logach technicznych.

6. Odbiorcy i podprzetwarzający

6.1. Ministerstwo Finansów (KSeF, Biała lista). Na polecenie Klienta faktury są wysyłane do KSeF, a faktury zakupowe z niego pobierane; zapytania o Białą listę trafiają do usługi Ministerstwa. Minister Finansów przetwarza te dane jako odrębny administrator na podstawie przepisów podatkowych; Ministerstwo nie jest naszym podprzetwarzającym.

6.2. Narodowy Bank Polski — wysyłamy wyłącznie kod waluty i datę, aby uzyskać kurs.

6.3. Podprzetwarzający: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy — hosting serwerów (UE).

6.4. Stripe (płatności za Plan Pro). Stripe Payments Europe, Limited (Irlandia) otrzymuje dane rozliczeniowe; jest samodzielnym administratorem w zakresie obsługi płatności i naszym podmiotem przetwarzającym w zakresie usług rozliczeniowych. Stripe nie otrzymuje danych faktur ani CRM.

6.5. Poczta wsparcia. Wiadomości na artismediaeu@gmail.com obsługuje Google Ireland Limited. Nigdy nie prosimy o przesłanie Tokena KSeF ani plików faktur e-mailem.

6.6. O planowanej zmianie podprzetwarzających informujemy Klientów z co najmniej 30-dniowym wyprzedzeniem; Klient może wyrazić sprzeciw, odinstalowując Aplikację.

7. Przekazywanie poza EOG

Sami nie przekazujemy danych przetwarzanych przez Aplikację poza Europejski Obszar Gospodarczy. KSeF, Biała lista i NBP działają w Polsce. Stripe i Google mogą przekazywać dane poza EOG na zasadach opisanych w ich politykach (EU-U.S. Data Privacy Framework lub standardowe klauzule umowne).

8. Twoje prawa

Osobom, których dane dotyczą, przysługuje prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu (art. 15–21 RODO) oraz prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl. Żądania dotyczące danych faktur i CRM należy kierować do Klienta jako administratora; pomagamy Klientowi je realizować. Faktur przyjętych przez KSeF nie można z KSeF usunąć. Żądania do nas: artismediaeu@gmail.com; odpowiadamy w ciągu miesiąca.

9. Pliki cookie

Aplikacja nie ustawia plików cookie i nie używa narzędzi analitycznych ani reklamowych.

10. Zmiany

Aktualna wersja: https://ksef.ai-automation-agency.biz/legal/privacy?lang=pl. O istotnych zmianach informujemy Klientów z wyprzedzeniem.

11. Umowa powierzenia przetwarzania danych (art. 28 RODO)

11.1. Przedmiot i czas trwania: świadczenie Aplikacji przez czas jej instalacji na koncie Bitrix24 Klienta.

11.2. Charakter i cel: tworzenie faktur ustrukturyzowanych z danych Bitrix24 i wysyłka do KSeF na polecenie użytkownika; odbiór i przechowywanie statusów, numerów KSeF i UPO; pobieranie, przechowywanie i prezentacja faktur zakupowych; sprawdzanie dostawców na Białej liście; import faktur zakupowych do CRM.

11.3. Osoby, których dane dotyczą: klienci i dostawcy Klienta oraz ich przedstawiciele (w tym JDG i konsumenci wskazani na fakturach) oraz użytkownicy Klienta. Kategorie danych: jak w pkt 3.1–3.5. Bez szczególnych kategorii danych.

11.4. Przetwarzamy dane wyłącznie na udokumentowane polecenie Klienta, którym jest instalacja i używanie Aplikacji, jej ustawienia, wysyłka faktur i import faktur zakupowych.

11.5. Osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności.

11.6. Stosujemy środki techniczne i organizacyjne opisane w pkt 5 (art. 32 RODO).

11.7. Korzystamy z podprzetwarzających wskazanych w pkt 6.3 na podstawie umów zapewniających równoważną ochronę; Klient udziela na to ogólnej zgody.

11.8. Pomagamy Klientowi w realizacji praw osób, których dane dotyczą, oraz obowiązków z art. 32–36 RODO.

11.9. Zawiadamiamy Klienta o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Jeśli podejrzewamy, że Token KSeF mógł zostać ujawniony, poinformujemy Klienta o konieczności jego unieważnienia w KSeF.

11.10. Po odinstalowaniu wszystkie dane przetwarzane w imieniu Klienta i przechowywane na naszych serwerach są usuwane zgodnie z pkt 5.4. Faktury pozostają w KSeF, a dane zapisane w Bitrix24 — na koncie Klienta.

11.11. Udostępniamy informacje niezbędne do wykazania zgodności i umożliwiamy audyty po uprzednim uzgodnieniu terminu, na koszt Klienta, nie częściej niż raz w roku.