Polityka prywatności

1. Kto jest kim — trzy role

SerwisAPP to narzędzie, z którego korzystają firmy serwisowe (przeglądy klimatyzacji, kotłów, pomp ciepła) oraz ich klienci. Dlatego w aplikacji przetwarzane są dane w dwóch różnych rolach — i to jest najważniejsza rzecz w tym dokumencie:

Operator aplikacji: Damian Krężel, kontakt: biuro@noviqai.pl. Operator nie wyznaczył Inspektora Ochrony Danych; we wszystkich sprawach dotyczących danych osobowych pisz na powyższy adres.

Firma serwisowa wprowadza dane swoich klientów do aplikacji sama i sama decyduje, po co to robi. To ona jest administratorem tych danych w rozumieniu RODO, a Operator przetwarza je wyłącznie na jej udokumentowane polecenie — na podstawie umowy powierzenia przetwarzania danych, którą firma zawiera z Operatorem przy zakładaniu konta.

2. Jesteś klientem firmy serwisowej? Przeczytaj to

Jeżeli Twoje dane trafiły do SerwisAPP, bo firma, która serwisuje Twoje urządzenie, prowadzi w aplikacji swoją kartotekę — administratorem Twoich danych jest ta firma. To ona odpowiada za to, by poinformować Cię o przetwarzaniu, zebrać zgodę na przypomnienia i zrealizować Twoje prawa. Operator pomaga jej w tym technicznie, ale nie podejmuje decyzji o Twoich danych.

• Chcesz sprostować lub usunąć dane, wycofać zgodę na przypomnienia e-mail lub SMS? Zwróć się do firmy serwisowej — jej dane kontaktowe są w każdym przypomnieniu i protokole. Możesz też napisać do Operatora na biuro@noviqai.pl: przekażemy żądanie administratorowi i pomożemy je zrealizować.
• Przypomnienia o przeglądzie (e-mail, SMS) wysyłane są tylko wtedy, gdy firma odnotowała Twoją zgodę. Każde przypomnienie zawiera informację, kto jest administratorem Twoich danych i link do tej polityki.
• Nie musisz mieć konta ani aplikacji. Jeżeli założysz konto użytkownika (rola „Użytkownik”), dojdzie do tego konto w aplikacji — jego administratorem jest Operator (pkt 3). Konto łączy się z kartotekami firm po adresie e-mail, żebyś widział(a) swoje urządzenia, terminy i protokoły.

Wzór informacji, którą firma serwisowa powinna Ci przekazać, znajdziesz tu: klauzula informacyjna dla klientów.

3. Dane kont — Operator jako administrator

Jakie dane:

• konto firmy serwisowej: adres e-mail, hasło (zapisane wyłącznie jako skrót bcrypt), nazwa firmy, imię i nazwisko właściciela, NIP i telefon (jeśli podano), logo (jeśli wgrano), nazwa nadawcy i zaszyfrowany token dostawcy SMS (jeśli firma podłączyła własne konto SMS), token powiadomień push,
• konto pracownika firmy: adres e-mail, hasło, imię i nazwisko, telefon (jeśli podano), token powiadomień push, przypisanie do firmy,
• konto użytkownika (klienta końcowego): adres e-mail, hasło, imię i nazwisko, telefon (jeśli podano), token powiadomień push,
• dla każdego konta: rejestr akceptacji dokumentów (który dokument, która wersja, kiedy, z jakiej platformy) oraz zgłoszenia i uwagi wysłane z aplikacji,
• abonament firmy (gdy moduł płatności jest włączony): wybrany pakiet, okres opłacenia, historia płatności — bez danych kart; płatności obsługuje zewnętrzny operator płatności.

Po co i na jakiej podstawie:

• prowadzenie konta i świadczenie usługi — art. 6 ust. 1 lit. b RODO (umowa: regulamin),
• rozliczenia i obowiązki podatkowe przy płatnych pakietach — art. 6 ust. 1 lit. c RODO,
• rejestr akceptacji dokumentów, obsługa reklamacji, obrona przed roszczeniami — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: rozliczalność),
• powiadomienia push o rezerwacjach, zgłoszeniach i terminach — art. 6 ust. 1 lit. f RODO (obsługa umówionych usług); push wyłączysz w ustawieniach systemu lub przeglądarki,
• diagnostyka błędów (Sentry) — art. 6 ust. 1 lit. f RODO (bezpieczeństwo i stabilność usługi).

Jak długo: do usunięcia konta. Konto usuniesz sam(a) w aplikacji (Ustawienia → Usuń konto) albo przez stronę usunięcia konta. Logi błędów przechowywane są do 90 dni. Dane rozliczeniowe płatnych pakietów — przez okres wymagany przepisami podatkowymi (5 lat od końca roku).

4. Kartoteki firm — Operator jako podmiot przetwarzający

Jakie dane (wprowadza je firma serwisowa): imię i nazwisko, telefon, adres i e-mail klienta firmy; producent, model i numer seryjny urządzenia; daty i zakres przeglądów, uwagi serwisanta, zdjęcia; protokoły serwisowe PDF z podpisem klienta; rezerwacje terminów i zgłoszenia awarii; zgody na przypomnienia e-mail i SMS wraz z datą ostatniej zmiany.

Co z nimi robimy: wyłącznie to, czego wymaga działanie aplikacji — przechowujemy je, pokazujemy firmie i (po połączeniu konta) klientowi, wysyłamy w imieniu firmy przypomnienia do klientów ze zgodą, generujemy protokoły PDF i wysyłamy je do klienta, obsługujemy formularz rezerwacji. Nie wykorzystujemy tych danych do własnych celów, nie analizujemy ich, nie łączymy między firmami i nie udostępniamy nikomu poza podwykonawcami z pkt 5.

Jak długo: dopóki firma ich nie usunie (usunięte wpisy są oznaczane jako nieaktywne i po tym nie są dalej wykorzystywane) albo dopóki nie usunie konta — wtedy cała kartoteka, łącznie z plikami protokołów, jest kasowana. Szczegóły: umowa powierzenia.

5. Odbiorcy danych i podwykonawcy

Operator korzysta z następujących dostawców (w rozumieniu RODO: dalszych podmiotów przetwarzających). Każdy z nich przetwarza dane wyłącznie na nasze polecenie i wyłącznie w zakresie swojej usługi:

Przypomnienia SMS wysyłane są z własnego konta firmy serwisowej u dostawcy SMS (obecnie SMSAPI). Umowę z tym dostawcą zawiera firma i to ona jest wobec niego administratorem — Operator przechowuje jedynie zaszyfrowany token dostępu i przekazuje treść wiadomości.

Poza powyższymi dane mogą zostać udostępnione wyłącznie podmiotom uprawnionym na podstawie przepisów prawa (np. organom państwowym). Operator nie sprzedaje danych, nie wyświetla reklam i nie przekazuje danych do celów marketingowych.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dane kartotek i kont przechowywane są w Unii Europejskiej (Frankfurt). Dostawcy powiadomień push (Google, Expo) i diagnostyki błędów (Sentry) mają siedziby w USA — przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej w sprawie ram ochrony danych UE–USA (Data Privacy Framework) lub standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Zakres tych danych jest minimalny: token powiadomień, treść powiadomienia, identyfikator konta i dane techniczne urządzenia.

7. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, a także wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania przed wycofaniem).

• w sprawie konta w aplikacji — pisz do Operatora: biuro@noviqai.pl; odpowiadamy najpóźniej w ciągu miesiąca,
• w sprawie danych w kartotece firmy serwisowej — do tej firmy (administratora); możesz też napisać do Operatora, a my przekażemy żądanie.

Przysługuje Ci skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

8. Bezpieczeństwo

• transmisja szyfrowana (TLS), hasła przechowywane wyłącznie jako skrót bcrypt,
• izolacja danych na poziomie bazy (Row Level Security): każda firma widzi wyłącznie swoją kartotekę, pracownik — kartotekę swojej firmy, klient — wyłącznie własne urządzenia, terminy i protokoły; pilnuje tego baza danych, nie kod aplikacji,
• pliki protokołów i logo w prywatnym magazynie; dostęp wyłącznie przez podpisane, czasowe adresy,
• funkcje serwerowe dostępne tylko dla zalogowanych lub tylko dla zadań wewnętrznych (regularny audyt uprawnień),
• kopie zapasowe bazy wykonywane przez dostawcę bazy i nadpisywane cyklicznie,
• tokeny SMS i sekrety przechowywane w osobnym, niedostępnym z aplikacji schemacie bazy.

9. Uprawnienia aplikacji

W zależności od używanych funkcji aplikacja może poprosić o dostęp do: aparatu (skanowanie kodów urządzeń, zdjęcia do protokołu), galerii zdjęć (zdjęcia do protokołu), pamięci urządzenia (zapis i otwieranie protokołów PDF), Internetu (synchronizacja) oraz powiadomień. Aplikacja nie uzyskuje dostępu do kontaktów, wiadomości SMS, historii połączeń ani lokalizacji.

10. Pliki cookies i pamięć przeglądarki

Strony SerwisAPP nie używają cookies reklamowych ani analitycznych i nie zawierają narzędzi śledzących. Wersja web aplikacji (/app/) zapisuje w pamięci przeglądarki (localStorage, IndexedDB, Cache Storage) wyłącznie to, co jest niezbędne do działania: sesję logowania, podręczną kopię danych do pracy bez sieci oraz pliki aplikacji (service worker). Dane te są usuwane po wylogowaniu lub wyczyszczeniu danych witryny w przeglądarce.

11. Dane dzieci, profilowanie

Aplikacja nie jest przeznaczona dla osób poniżej 16 roku życia i Operator świadomie nie gromadzi danych dzieci. Dane nie są wykorzystywane do zautomatyzowanego podejmowania decyzji ani profilowania (art. 22 RODO).

12. Zmiany polityki

Każda wersja polityki ma numer (datę) widoczny na górze strony. O istotnej zmianie poinformujemy w aplikacji: po zalogowaniu pojawi się ekran z nową wersją i prośbą o jej akceptację — bez niej nie da się korzystać z aplikacji, ale zawsze można się wylogować lub usunąć konto. Historia Twoich akceptacji jest dostępna w aplikacji: Ustawienia → Dokumenty i zgody.