Polityka prywatności i cookies portalu kelRin

Wersja: 2026-07-26 · SZKIC — dokument roboczy do weryfikacji prawnej przed publikacją

⚠️ [NOTA REDAKCYJNA — USUŃ PRZED PUBLIKACJĄ] Szkielet obowiązku informacyjnego (art. 13 RODO) dopasowany do faktycznych funkcji portalu. Pozycje w nawiasach kwadratowych wymagają uzupełnienia lub potwierdzenia.

1. Administrator danych

Administratorem danych osobowych jest Szymon Kłoda, NIP 6392019350, adres: ul. Trakt Węgierski 16, 38-450 Dukla. Kontakt w sprawach danych osobowych: [email protected].

2. Jakie dane przetwarzamy

Konto: imię i nazwisko (nazwa), adres e-mail, hasło (wyłącznie w postaci skrótu), opcjonalnie numer telefonu (kody SMS), klucze passkey, ustawienia 2FA, dane logowania przez Google (identyfikator konta Google, e-mail, nazwa).
Zakupy: historia zamówień, wybrany poziom licencji, kwoty, dane do faktury (imię i nazwisko / nazwa firmy, NIP, adres), identyfikatory płatności Stripe (portal nie przechowuje numerów kart), numery faktur (inFakt/KSeF).
Licencje i urządzenia: klucze licencji, identyfikatory aktywowanych urządzeń (odcisk maszyny — skrót cech sprzętu, bez samych cech), nazwa komputera i system operacyjny zgłoszone przez aplikację przy aktywacji, daty aktywacji.
Licencje testowe: rejestr wydanych licencji testowych — adres e-mail (także w postaci ujednoliconej, służącej wyłącznie do rozpoznania tej samej skrzynki), odcisk komputera, na którym licencję testową aktywowano, adres IP i data wydania. [DO WERYFIKACJI PRAWNEJ: zakres i okres rejestru licencji testowych — patrz tabela w pkt 3.]
Zgłoszenia: treść zgłoszeń/reklamacji i korespondencji.
Dane techniczne: logi serwera (adres IP, czas żądania), wpisy dziennika zdarzeń (audyt bezpieczeństwa), rejestr wyrażonych zgód (data, wersja dokumentu).
Dane aplikacji (cloud-save): dane zapisywane przez aplikacje powiązane z kontem, w zakresie opisanym w danej aplikacji.
Przekaźnik bezpiecznego transferu (aplikacja Kelrin): gdy nadawca wysyła przez serwer transferowy zdeidentyfikowane badanie, portal wysyła odbiorcy e-mail z linkiem odbioru. Przetwarzamy wtedy: adres e-mail odbiorcy (przekazywany do wysyłki; w rejestrze wysyłek wyłącznie w postaci zamaskowanej, np. „a***@example.com", oraz jako skrót kryptograficzny), identyfikator przesyłki oraz — jeśli nadawca go podał — adres e-mail nadawcy do odpowiedzi. Adres nadawcy jest przekazywany odbiorcy w wiadomości (nagłówek „Reply-To" i wiersz w treści) bez zapisu w rejestrach portalu; gdy odbiorca ma w portalu Konto z aktywną aplikacją, trafia dodatkowo — w postaci zaszyfrowanej, razem z linkiem odbioru — do skrzynki powiadomień aplikacji i jest usuwany do 30 dni po wygaśnięciu przesyłki. Portal nie weryfikuje, czy adres nadawcy należy do nadawcy (podaje go nadawca). Portal nie otrzymuje hasła do archiwum, zawartości przesyłki ani danych pacjenta. [DO WERYFIKACJI PRAWNEJ: rola administratora/podmiotu przetwarzającego dla danych przekaźnika oraz obowiązek informacyjny wobec odbiorcy i nadawcy.]

3. Cele i podstawy prawne przetwarzania

Cel	Podstawa prawna	Okres przechowywania
Prowadzenie Konta i świadczenie usług portalu	art. 6 ust. 1 lit. b RODO (umowa)	do usunięcia Konta
Realizacja zamówień, dostarczenie licencji, obsługa subskrypcji	art. 6 ust. 1 lit. b RODO	okres ważności licencji / subskrypcji
Wystawianie i przechowywanie faktur (inFakt, KSeF)	art. 6 ust. 1 lit. c RODO (obowiązek podatkowy)	5 lat od końca roku podatkowego
Obsługa reklamacji i zgłoszeń	art. 6 ust. 1 lit. b i f RODO	do zakończenia sprawy + okres przedawnienia roszczeń
Bezpieczeństwo (logi, audyt, 2FA, wykrywanie nadużyć)	art. 6 ust. 1 lit. f RODO (uzasadniony interes)	12 miesięcy (zdarzenia techniczne — sprawdzenia aktualizacji, pobrania — 90 dni; adresy IP anonimizowane po 6 miesiącach)
Zapobieganie wielokrotnemu pobieraniu bezpłatnej licencji testowej (rejestr wydanych licencji testowych)	art. 6 ust. 1 lit. f RODO (uzasadniony interes)	24 miesiące od wydania licencji testowej — także po usunięciu Konta [DO WERYFIKACJI PRAWNEJ]
Informacja o zakończeniu okresu testowego wraz z propozycją zakupu licencji (na adres, na który wydano licencję testową; można ją wyłączyć w ustawieniach Konta — „przypomnienia o odnowieniu")	art. 6 ust. 1 lit. f RODO (uzasadniony interes — komunikacja związana z wykonaną usługą)	do zakończenia okresu testowego + 14 dni [DO WERYFIKACJI PRAWNEJ]
Rejestr zgód i akceptacji regulaminu	art. 6 ust. 1 lit. c i f RODO (rozliczalność)	okres przedawnienia roszczeń
Kontakt e-mail / odpowiedzi na pytania	art. 6 ust. 1 lit. f RODO	do zakończenia korespondencji
Powiadomienie odbiorcy o przesyłce w bezpiecznym transferze (e-mail z linkiem, skrzynka w aplikacji)	art. 6 ust. 1 lit. b i f RODO	rejestr wysyłek (adres odbiorcy zamaskowany + skrót) — 90 dni; powiadomienie w aplikacji (link i adres nadawcy zaszyfrowane) — 30 dni po wygaśnięciu przesyłki; dziennik zdarzeń — adres odbiorcy zamaskowany, adres nadawcy wyłącznie jako informacja „podano / nie podano" — 12 miesięcy [DO WERYFIKACJI PRAWNEJ]

Podanie danych jest dobrowolne, ale niezbędne do założenia Konta lub zakupu licencji.

4. Odbiorcy danych (podmioty przetwarzające i niezależni administratorzy)

Dane powierzamy lub udostępniamy wyłącznie w zakresie niezbędnym do działania portalu:

Stripe (Stripe, Inc. / Stripe Technology Europe Ltd) — obsługa płatności online; Stripe jest odrębnym administratorem w zakresie danych płatniczych. Możliwy transfer danych poza EOG na podstawie standardowych klauzul umownych (SCC) / decyzji DPF.
inFakt Sp. z o.o. — wystawianie faktur i wysyłka do KSeF (dane nabywcy z faktur).
Zoho Corporation (Zoho Mail) — dostawca poczty e-mail, przez którego wysyłane są wiadomości transakcyjne portalu (potwierdzenia, linki aktywacyjne, kody 2FA). [DO WERYFIKACJI: region serwerów Zoho — przy rejestracji konta w Zoho wybrać centrum danych UE; w razie transferu poza EOG — SCC/DPF.]
Google LLC — logowanie „Kontynuuj z Google" (tylko jeśli Klient z niego korzysta).
[DO UZUPEŁNIENIA: dostawca hostingu/serwera — np. AWS (Lightsail), region UE] — infrastruktura serwerowa portalu i bazy danych.
Twilio Inc. — wysyłka kodów SMS (tylko jeśli Klient poda numer telefonu); możliwy transfer poza EOG (SCC/DPF).
Organy publiczne (np. KAS w ramach KSeF) — gdy wymagają tego przepisy.

5. Prawa osób, których dane dotyczą

Przysługuje Ci prawo: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu (wobec przetwarzania na podstawie uzasadnionego interesu) oraz skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Konto można usunąć samodzielnie w panelu (operacja potwierdzana e-mailem). Uwaga: usunięcie Konta nie obejmuje danych, które mamy obowiązek przechowywać na podstawie przepisów (np. faktury — 5 lat) ani danych niezbędnych do obrony przed roszczeniami; te dane są ograniczane do niezbędnego minimum.

Wnioski dotyczące danych: [email protected] (odpowiadamy w ciągu miesiąca).

6. Cookies i podobne technologie

Portal używa wyłącznie niezbędnych plików cookies — do utrzymania sesji logowania i bezpieczeństwa. Nie używamy cookies analitycznych, reklamowych ani śledzących, dlatego portal nie wyświetla banera zgody na cookies.

Cookie	Cel	Czas życia
better-auth.session_token (i pokrewne)	sesja zalogowanego użytkownika	do wylogowania / wygaśnięcia sesji
portal_session	sesja panelu administracyjnego	do wylogowania / limit bezczynności
[DO WERYFIKACJI: pełna lista po audycie przeglądarki]

Jeśli w przyszłości dodamy narzędzia analityczne, polityka zostanie zaktualizowana, a portal wyświetli mechanizm zgody.

7. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne. Nie profilujemy użytkowników w celach marketingowych. Jedyne zróżnicowanie treści wiadomości wynika ze stanu Twojej licencji (np. po zakończeniu okresu testowego otrzymasz informację o jego końcu z propozycją zakupu) — nie analizujemy w tym celu zachowania ani danych innych niż stan licencji. [DO WERYFIKACJI PRAWNEJ]

8. Bezpieczeństwo

Stosujemy m.in.: szyfrowanie transmisji (TLS), przechowywanie haseł wyłącznie w postaci skrótów (bcrypt), szyfrowanie sekretów konfiguracyjnych (AES-256-GCM), dwuskładnikowe uwierzytelnianie (TOTP/passkey), rejestrowanie zdarzeń bezpieczeństwa i limity prób logowania.

9. Zmiany polityki

O istotnych zmianach poinformujemy w portalu, a użytkowników Konta — e-mailem. Data ostatniej aktualizacji: 2026-07-26.