Polityka prywatności

1. Administratorem Twoich danych osobowych jest Gurgul Investment sp. z o.o., z siedzibą przy ul. Polna 3, 44-285 Kobyla, NIP: 6392018818, REGON: 384767161, KRS: 0000812023, wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy w Gliwicach, Wydział Gospodarczy KRS.
2. Kontakt z Administratorem w sprawach dotyczących ochrony danych osobowych:
   • poczta elektroniczna (RODO/realizacja praw): rodo@excellentpro.app
   • poczta elektroniczna (kontakt ogólny): kontakt@excellentpro.app
   • adres korespondencyjny: ul. Polna 3, 44-285 Kobyla
3. Administrator nie wyznaczył Inspektora Ochrony Danych (IOD), ponieważ przetwarzanie nie wymaga jego powołania zgodnie z art. 37 RODO. Wszystkie zapytania kierowane do Administratora są obsługiwane bezpośrednio.
4. Administrator dba o bezpieczeństwo danych osobowych i przetwarza je zgodnie z obowiązującymi przepisami prawa, stosując odpowiednie środki techniczne i organizacyjne.

1. Realizacja umowy sprzedaży zawartej za pośrednictwem Platformy oraz obsługa zamówień (przyjmowanie, realizacja, dostawa).
2. Założenie i obsługa Konta Klienta na Platformie, w tym weryfikacja statusu przedsiębiorcy.
3. Wystawianie faktur i prowadzenie dokumentacji księgowej zgodnie z przepisami o rachunkowości i podatkach.
4. Obsługa reklamacji i zwrotów.
5. Komunikacja z Klientami: powiadomienia transakcyjne (potwierdzenia zamówień, statusy, aktywacja konta), odpowiedzi na zapytania z formularza kontaktowego.
6. Wysyłka powiadomienia o dostępności produktu na życzenie Klienta, po potwierdzeniu adresu e-mail (podstawa: art. 6 ust. 1 lit. b RODO - działanie na żądanie osoby przed zawarciem umowy).
7. Wypełnienie obowiązków prawnych ciążących na Administratorze (np. wynikających z przepisów podatkowych, AML, DSA).
8. Zapewnienie bezpieczeństwa Platformy: wykrywanie nadużyć, ochrona przed atakami (rate limiting po adresach IP, monitoring logów).
9. Dochodzenie roszczeń lub obrona przed roszczeniami (prawnie uzasadniony interes Administratora).
10. Obsługa handlowa Klientów: przypisywanie grup cenowych, ocena przebiegu współpracy i kontakt z Klientami na podstawie zestawień aktywności zakupowej (częstotliwość i wartość zamówień) - szczegóły w § X.
11. Utrzymanie i rozwój Platformy: statystyka odwiedzin (za zgodą) oraz pomiar ruchu bez zapisu w urządzeniu Użytkownika.

1. Art. 6 ust. 1 lit. b RODO - wykonanie umowy lub podjęcie działań przed zawarciem umowy (rejestracja, zamówienia, dostawa, reklamacje).
2. Art. 6 ust. 1 lit. c RODO - wypełnienie obowiązku prawnego (wystawianie faktur, ewidencja księgowa, raportowanie podatkowe, obowiązki AML, obowiązki wynikające z DSA).
3. Art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes Administratora:
   • zapewnienie bezpieczeństwa Platformy (wykrywanie i blokowanie nadużyć)
   • dochodzenie roszczeń lub obrona przed roszczeniami
   • prowadzenie wewnętrznej statystyki technicznej, w tym pomiaru ruchu bez zapisu w urządzeniu Użytkownika (Cloudflare Web Analytics) - bez profilowania
   • obsługa handlowa Klientów: zestawienia aktywności zakupowej firm (częstotliwość i wartość zamówień) oceniane przez pracowników Administratora (§ X ust. 5)
4. Art. 6 ust. 1 lit. a RODO - zgoda osoby, której dane dotyczą - wyłącznie w zakresie cookies analitycznych (statystyka odwiedzin). Zgoda jest dobrowolna, wyrażana w bannerze i możesz ją wycofać w każdej chwili linkiem „Ustawienia cookies" w stopce. Administrator nie prowadzi działań marketingowych wobec Użytkowników ani profilowania w rozumieniu art. 22 RODO.

1. Dane podawane podczas rejestracji konta:
   • nazwa firmy, NIP (REGON - opcjonalnie, uzupełniany później w ustawieniach Konta)
   • adres prowadzenia działalności (ulica, kod pocztowy, miasto)
   • adres e-mail (służbowy)
   • numer telefonu kontaktowego
   • imię i nazwisko osoby reprezentującej Klienta
   • preferowany język komunikacji i waluta prezentacji cen (rozliczenia prowadzone są w PLN)
2. Dane techniczne zbierane automatycznie:
   • adres IP urządzenia
   • data i godzina połączenia
   • identyfikator sesji (cookie)
   • typ przeglądarki i system operacyjny (User-Agent)
   • strony odwiedzone na Platformie (logi serwera)
3. Dane związane z zamówieniami:
   • numer i data zamówienia
   • lista zamówionych produktów (kody SKU, ilości, ceny)
   • wartość zamówienia (netto, brutto, VAT)
   • adres dostawy (jeśli inny niż siedziba)
   • uwagi do zamówienia
4. Dane do faktury (poza danymi rejestracyjnymi): metoda płatności, status płatności, numery dokumentów księgowych.
5. Dane związane z korzystaniem z Konta: bieżąca zawartość koszyka, zapisane zestawy zakupowe (zapisane koszyki) z nadaną przez Ciebie nazwą, historia statusów zamówień, data ostatniego logowania i licznik logowań (do celów bezpieczeństwa i obsługi Konta), informacja o włączonym 2FA.
6. Dane osób zapisanych na powiadomienie o dostępności produktu (bez konta): adres e-mail, kod produktu, język, daty potwierdzenia i wysyłki.
7. Administrator nie zbiera tzw. szczególnych kategorii danych osobowych (art. 9 RODO): dane o stanie zdrowia, pochodzeniu etnicznym, orientacji seksualnej, poglądach politycznych, przekonaniach religijnych itp.

1. Dane osobowe mogą być udostępniane następującym kategoriom odbiorców (na podstawie umów powierzenia przetwarzania zgodnie z art. 28 RODO):
   • Studio Kozubek Łukasz Kozubek - dostawca i operator systemu informatycznego Platformy: utrzymanie, rozwój, wsparcie techniczne i administracja bazą danych (Polska). Operator jest podmiotem przetwarzającym w rozumieniu art. 28 RODO i korzysta z wymienionych niżej dostawców infrastruktury jako dalszych podmiotów przetwarzających, za zgodą Administratora.
   • Cloudflare, Inc. - dostawca infrastruktury hostingowej i CDN (USA, decyzja KE w sprawie adekwatności + Standardowe Klauzule Umowne)
   • Supabase Inc. - dostawca bazy danych i autentykacji (USA, decyzja KE w sprawie adekwatności + SCC)
   • Resend, Inc. - dostawca usługi wysyłki e-maili transakcyjnych (USA, SCC)
   • Zoho Corporation - dostawca skrzynek e-mail (Indie, SCC)
   • Anthropic PBC - dostawca modelu AI dla asystenta Excellent PRO AI, dla odczytu zdjęć listy zamówienia (funkcja importu zamówienia ze zdjęcia) oraz dla tłumaczenia treści produktowych w panelu Administratora (do tłumaczeń trafiają wyłącznie opisy produktów, bez danych Klientów) (USA, SCC). Zakres danych przekazywanych w ramach czatu opisuje § X. Treść rozmów i przesłane zdjęcia nie są wykorzystywane do treningu modeli AI; dostawca może przechowywać je przez ograniczony czas wyłącznie w celu wykrywania nadużyć i bezpieczeństwa usługi, zgodnie ze swoimi warunkami komercyjnymi.
   • Google Ireland Ltd. - dostawca Google Analytics 4 (statystyka odwiedzin), uruchamiany wyłącznie po wyrażeniu zgody w bannerze cookies (Irlandia; dane mogą być przekazywane do Google LLC w USA na podstawie decyzji KE w sprawie adekwatności - DPF)
   • GitHub, Inc. - hosting kodu źródłowego Platformy i uruchamianie automatycznej przebudowy strony (USA, DPF). Przekazywane są wyłącznie dane osób obsługujących panel Administratora (adres e-mail operatora uruchamiającego przebudowę i opis przebudowy); dane Klientów nie są przekazywane.
2. Dane mogą być również przekazywane:
   • biuru rachunkowemu obsługującemu Administratora (na podstawie umowy powierzenia)
   • kurierom realizującym dostawę zamówień (w zakresie niezbędnym do dostawy)
   • organom państwowym w zakresie wymaganym przepisami prawa (np. urząd skarbowy, prokuratura, sąd, na podstawie wezwania)
3. Dane zamówień (dane firmy, NIP, adres, e-mail, telefon, uwagi, pozycje) są przekazywane do systemu handlowo-księgowego Administratora (Subiekt), prowadzonego na infrastrukturze Administratora, w celu wystawienia dokumentów sprzedaży i obsługi magazynowej; statusy dokumentów i stany magazynowe wracają z tego systemu do Platformy.
4. Administrator nie sprzedaje danych osobowych podmiotom trzecim w celach marketingowych ani innych komercyjnych.

1. Niektórzy z dostawców usług wymienionych w § VI mają siedzibę poza Europejskim Obszarem Gospodarczym (EOG), w szczególności w Stanach Zjednoczonych.
2. Przekazywanie danych do USA odbywa się na podstawie:
   • Decyzji wykonawczej Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej adekwatny poziom ochrony danych (Data Privacy Framework) - dla dostawców certyfikowanych w ramach DPF
   • Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską decyzją wykonawczą 2021/914 z 4 czerwca 2021 r. - dla pozostałych przypadków
   • dodatkowych środków technicznych i organizacyjnych zapewniających poziom ochrony równoważny z RODO (szyfrowanie, pseudonimizacja, audyty bezpieczeństwa)
3. Lista dostawców i ich aktualnych certyfikacji DPF jest dostępna na żądanie kontaktując się z Administratorem.

1. Dane przetwarzane w celu realizacji umowy (zamówienia, korespondencja transakcyjna): przez czas trwania umowy oraz 6 lat po jej zakończeniu - okres przedawnienia roszczeń.
2. Dane przetwarzane w celu wystawiania faktur i ewidencji księgowej: 5 lat licząc od początku roku następującego po roku obrotowym, w którym wystawiono fakturę (art. 70 § 1 Ordynacji podatkowej).
3. Dane Konta Klienta: do momentu zamknięcia Konta na żądanie Klienta (§ V Regulaminu) albo przez Administratora po 24 miesiącach nieaktywności (po wcześniejszym poinformowaniu Klienta). Koszyk i zapisane koszyki: do ich usunięcia przez Klienta lub do zamknięcia Konta.
4. Logi techniczne (dane techniczne): nie dłużej niż 12 miesięcy. Logi żądań HTTP przechowuje dostawca infrastruktury (Cloudflare) przez krótki okres wynikający z jego ustawień; Administrator nie prowadzi własnego archiwum logów.
5. Powiadomienia o dostępności produktu: zapis niepotwierdzony w ciągu 24 godzin traci ważność; wpisy niepotwierdzone i wysłane są usuwane w ramach okresowego przeglądu, nie później niż po 12 miesiącach od zapisu.
6. Dane przetwarzane na podstawie prawnie uzasadnionego interesu (bezpieczeństwo, dochodzenie roszczeń): przez czas niezbędny do realizacji tego interesu, nie dłużej niż 3 lata od zaistnienia zdarzenia.
7. Administrator przeprowadza okresowy przegląd retencji (co najmniej raz w roku). Dane, których okres przechowywania upłynął, są usuwane lub anonimizowane w systemach Administratora i jego podmiotów przetwarzających.

1. Prawo dostępu do danych (art. 15 RODO) - możesz uzyskać informację, jakie Twoje dane Administrator przetwarza oraz otrzymać ich kopię.
2. Prawo do sprostowania danych (art. 16 RODO) - możesz żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych. Większość danych możesz edytować samodzielnie w panelu Konta Klienta.
3. Prawo do usunięcia danych (art. 17 RODO, „prawo do bycia zapomnianym") - możesz żądać usunięcia danych, gdy nie są już potrzebne do celów, dla których zostały zebrane. Prawo to nie obejmuje danych, które Administrator musi przechowywać na podstawie obowiązków prawnych (np. dane na fakturach przez 5 lat).
4. Prawo do ograniczenia przetwarzania (art. 18 RODO) - możesz żądać czasowego wstrzymania przetwarzania (np. w okresie weryfikacji prawidłowości danych).
5. Prawo do przenoszenia danych (art. 20 RODO) - możesz otrzymać swoje dane w ustrukturyzowanym formacie maszynowo czytelnym (CSV/JSON) lub żądać ich przekazania innemu administratorowi.
6. Prawo wniesienia sprzeciwu (art. 21 RODO) - możesz sprzeciwić się przetwarzaniu danych opartemu na prawnie uzasadnionym interesie Administratora.
7. Prawo do cofnięcia zgody (art. 7 ust. 3 RODO) - w zakresie, w jakim przetwarzanie odbywa się na podstawie zgody (obecnie dotyczy to wyłącznie cookies analitycznych Google Analytics 4).
8. Prawo wniesienia skargi do organu nadzorczego - Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.
9. Aby skorzystać z któregokolwiek z praw, skontaktuj się z Administratorem na adres rodo@excellentpro.app. Administrator odpowie w terminie do 30 dni od otrzymania żądania (z możliwością przedłużenia do 60 dni w skomplikowanych przypadkach).

1. Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, które wywołują wobec Klienta skutki prawne lub w podobny sposób istotnie na niego wpływają (art. 22 RODO).
2. Asystent AI Excellent PRO AI dostępny na Platformie:
   • nie buduje profilu użytkownika ani nie zapisuje historii zapytań poza pojedynczą sesją czatu
   • nie wykorzystuje danych użytkownika do treningu modeli AI; dostawca modelu (Anthropic PBC) nie trenuje modeli na danych przesyłanych przez API, a treść rozmów może przechowywać przez ograniczony czas wyłącznie w celach bezpieczeństwa
   • w przypadku zalogowanego Klienta do każdego zapytania dołączany jest krótki kontekst Konta: nazwa firmy, grupa cenowa, status aktywacji oraz liczba pozycji i sztuk w koszyku - po to, aby asystent podawał ceny i minima zakupowe właściwe dla Twojej grupy oraz mógł obsłużyć koszyk; kontekst ten jest przekazywany dostawcy modelu razem z pytaniem
   • na Twoją prośbę asystent może dodatkowo odczytać historię zamówień i pełną zawartość koszyka; dane te są wówczas przekazywane dostawcy modelu w zakresie niezbędnym do udzielenia odpowiedzi
   • odpowiedzi są generowane na podstawie pytania, bazy wiedzy Administratora i powyższego kontekstu Konta; asystent nie tworzy profilu behawioralnego i nie zapamiętuje rozmów między sesjami
3. Import zamówienia ze zdjęcia (OCR): jeżeli Klient skorzysta z funkcji wczytania listy zamówienia ze zdjęcia, przesłany plik graficzny jest przekazywany do Anthropic PBC (USA, SCC) wyłącznie w celu odczytania z niego kodów, nazw produktów i ilości. Zdjęcie nie jest zapisywane na serwerach Administratora ani wykorzystywane do treningu modeli AI. Klient nie powinien przesyłać zdjęć zawierających dane osobowe lub inne informacje niezwiązane z zamawianym towarem; korzystanie z tej funkcji jest w pełni dobrowolne, a listę zamówienia można wprowadzić także ręcznie, wklejając ją z pliku CSV albo skanując kody EAN.
4. Klient w każdej chwili może zaprzestać korzystania z asystenta AI bez wpływu na pozostałe funkcje Platformy.
5. Zestawienia aktywności zakupowej: w panelu Administratora dostępne są zestawienia aktywności zakupowej Klientów (firm): częstotliwość i wartość zamówień, dokumenty sprzedaży z systemu handlowego oraz wynikająca z nich klasyfikacja współpracy (np. nowa, aktywna, rzadsze zamówienia, brak zamówień). Zestawienia dotyczą przedsiębiorcy, a nie osoby fizycznej, służą obsłudze handlowej (przypisanie grupy cenowej, kontakt z Klientem, planowanie zapasów) i są oceniane przez pracowników Administratora. Nie prowadzą do decyzji podejmowanych automatycznie, nie służą reklamie i nie są udostępniane podmiotom trzecim. Podstawa: art. 6 ust. 1 lit. f RODO; możesz wnieść sprzeciw (§ IX ust. 6).

1. Platforma wykorzystuje pliki cookies i pamięć przeglądarki niezbędne do funkcjonowania serwisu (sesja logowania, koszyk, język, waluta prezentacji cen, preferencje techniczne) oraz - wyłącznie po wyrażeniu przez Ciebie zgody - cookies analityczne (Google Analytics 4). Nie używamy cookies marketingowych ani profilujących. Dodatkowo mierzymy ruch narzędziem Cloudflare Web Analytics, które nie zapisuje żadnych plików w Twoim urządzeniu i nie identyfikuje Użytkowników.
2. Szczegółowy wykaz cookies, ich cele i czas przechowywania - zobacz Polityka cookies.
3. Cookies niezbędne nie wymagają zgody zgodnie z art. 399 ust. 3 pkt 2 ustawy Prawo komunikacji elektronicznej - są one bezpośrednio związane z świadczeniem usługi żądanej przez użytkownika. Cookies analityczne uruchamiamy dopiero po Twojej zgodzie (art. 399 ust. 1 Prawa komunikacji elektronicznej, art. 6 ust. 1 lit. a RODO).
4. Możesz zarządzać cookies w ustawieniach przeglądarki, a swoją zgodę zmienić lub cofnąć w każdej chwili linkiem „Ustawienia cookies" w stopce. Wyłączenie cookies sesji uniemożliwi zalogowanie i złożenie zamówienia.

1. Administrator stosuje środki techniczne i organizacyjne zapewniające ochronę danych adekwatną do ryzyka:
   • szyfrowanie połączeń protokołem HTTPS (TLS 1.3) z wymuszeniem (HSTS)
   • hashowanie haseł algorytmem bcrypt z indywidualną solą
   • wieloskładnikowa autentykacja dla kont administracyjnych
   • regularne kopie zapasowe baz danych z szyfrowaniem AES-256
   • kontrola dostępu na poziomie wiersza (Row Level Security) w bazie danych
   • monitoring logów i automatyczna detekcja anomalii (rate limiting per IP)
   • regularne audyty bezpieczeństwa kodu źródłowego
   • aktualizacja bibliotek i zależności w odpowiedzi na nowo wykrywane podatności (CVE)
2. W przypadku naruszenia ochrony danych osobowych Administrator zgłasza incydent organowi nadzorczemu (Prezesowi UODO) w ciągu 72 godzin od jego stwierdzenia, zgodnie z art. 33 RODO. W razie wysokiego ryzyka dla praw i wolności osób, których dane dotyczą, Administrator informuje je bezpośrednio (art. 34 RODO).
3. Dostęp do danych osobowych mają wyłącznie upoważnieni pracownicy i współpracownicy Administratora oraz personel operatora systemu (podmiotu przetwarzającego), zobowiązani do zachowania poufności.

1. Administrator zastrzega sobie prawo do zmiany niniejszej Polityki prywatności w przypadku:
   • zmian w przepisach prawa
   • zmian w sposobie świadczenia usług na Platformie
   • zmian w stosowanych technologiach
   • zmiany podmiotów przetwarzających dane
2. O każdej istotnej zmianie Polityki Administrator poinformuje Klientów posiadających aktywne konto za pomocą wiadomości e-mail z wyprzedzeniem co najmniej 14 dni przed wejściem zmian w życie.
3. Aktualna wersja Polityki jest zawsze dostępna pod adresem excellentpro.app/polityka-prywatnosci z informacją o numerze wersji i dacie wejścia w życie.

W sprawach związanych z przetwarzaniem danych osobowych, realizacją Twoich praw lub w razie wątpliwości dotyczących niniejszej Polityki - skontaktuj się z Administratorem:

• e-mail (RODO): rodo@excellentpro.app
• e-mail (ogólny): kontakt@excellentpro.app
• poczta: Gurgul Investment sp. z o.o., ul. Polna 3, 44-285 Kobyla

Administrator dołoży starań, aby odpowiedzieć na Twoje zapytanie w terminie do 30 dni od jego otrzymania. W szczególnie skomplikowanych przypadkach termin ten może zostać przedłużony do 60 dni - w takiej sytuacji zostaniesz o tym poinformowany.