Polityka prywatności

Dostawcą serwisu internetowego i aplikacji FIRMSET jest Dash Stack sp. z o.o., i to ta spółka jest administratorem Twoich danych osobowych w rozumieniu art. 4 pkt 7 RODO, czyli decyduje o celach i sposobach ich przetwarzania — w zakresie opisanym w rozdziale 2.

• FIRMSET jest produktem Dash Stack sp. z o.o.
• Adres siedziby: ul. Generała Henryka Dąbrowskiego 18, 64-600 Oborniki, Polska
• Firma (pełne brzmienie): DASH STACK SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
• NIP: 6060122069
• REGON: 543650418
• KRS: 0001215484
• Sąd rejestrowy: Sąd Rejonowy Poznań – Nowe Miasto i Wilda w Poznaniu, IX Wydział Gospodarczy Krajowego Rejestru Sądowego
• Kapitał zakładowy: 5 000,00 PLN

Sprawami ochrony danych zajmuje się osoba wyznaczona do tego przez zarząd spółki. Wiadomość wysłana na adres biuro@dashstack.pl trafia bezpośrednio do niej.

Nie mamy obowiązku powołania inspektora ochrony danych i go nie powołaliśmy. Nie zmienia to niczego w Twoich prawach: wszystkie żądania opisane w rozdziale 9 obsługujemy kanałami kontaktu z rozdziału 14.

Twoje dane mogą trafić do nas na trzy sposoby, a w każdym z nich nasza rola jest inna. To rozróżnienie decyduje o tym, do kogo kierujesz żądanie.

• Odwiedzasz firmset.pl. Przetwarzamy wtedy wyłącznie dane techniczne potrzebne do wyświetlenia strony i utrzymania sesji. Administratorem jesteśmy my.
• Masz konto w aplikacji FIRMSET jako właściciel firmy albo jako pracownik dodany do konta przez właściciela. Przetwarzamy dane konta, dane rozliczeniowe i logi. Administratorem jesteśmy my.
• Twoje dane znalazły się w FIRMSET, bo wprowadził je tam nasz klient albo pobrała je integracja z platformą sprzedażową. Jesteś wtedy jego kontrahentem, kupującym albo pracownikiem. Administratorem jest ten klient, a my jesteśmy podmiotem przetwarzającym i działamy na jego udokumentowane polecenie (art. 28 RODO).

W trzeciej sytuacji żądanie kieruj przede wszystkim do firmy, która wprowadziła dane do FIRMSET. Jeżeli trafi do nas, przekażemy je tej firmie i poinformujemy Cię, do kogo trafiło. Sami nie zmieniamy ani nie usuwamy danych naszych klientów bez ich polecenia, chyba że wymaga tego prawo.

Zbieramy tylko to, co jest potrzebne do prowadzenia konta, rozliczenia usługi i działania integracji, które sam włączysz.

Dane konta:

• imię i nazwisko albo nazwa użytkownika oraz adres e-mail;
• hasło, przechowywane wyłącznie jako nieodwracalny skrót kryptograficzny, nigdy w postaci jawnej;
• rola i uprawnienia w koncie firmy oraz informacja, czy konto jest aktywne;
• dane uwierzytelniania dwuskładnikowego, jeżeli je włączysz, oraz token logowania kodem QR, jeżeli z niego korzystasz;
• data potwierdzenia adresu e-mail.

Dane rozliczeniowe:

• dane firmy do faktury: nazwa, NIP, adres;
• lista aktywnych modułów wraz z historią ich włączania i wyłączania oraz datami rozliczeń;
• dowód zgody na aktywację płatnego modułu: data, treść zgody i adres IP, z którego została udzielona.

Dane napływające z usług, które sam podłączysz:

• Allegro, EmpikPlace, Erli.pl, WooCommerce i Dashshop: dane zamówień i kupujących w zakresie, jaki udostępnia dana platforma, w tym dane do faktury i do wysyłki;
• TikTok Shop: zakres opisany osobno w rozdziale 5, bo jest znacznie węższy niż w pozostałych integracjach;
• InPost: dane potrzebne do nadania przesyłki, w tym adres i telefon odbiorcy;
• Krajowy System e-Faktur (KSeF): faktury, które przez niego wysyłasz lub z niego pobierasz;
• CEIDG (dane.biznes.gov.pl) oraz dataport.pl: dane firm pobierane po numerze NIP przy uzupełnianiu kontrahenta;
• moduły magazynu, sprzedaży, CRM i kadr: dane, które sam do nich wprowadzisz.

Dane techniczne i logi:

• adres IP, informacja o przeglądarce oraz identyfikator sesji, zapisywane przy logowaniu i utrzymywaniu sesji;
• dziennik zdarzeń w aplikacji: kto, kiedy i jakiej zmiany dokonał w danych firmy;
• log wywołań API integracji: metoda, adres, kod odpowiedzi, czas trwania i identyfikator żądania nadany przez platformę, bez tokenów dostępu i bez podpisów żądań;
• treść zgłoszeń i korespondencji, którą do nas kierujesz.

Nie zbieramy na własne potrzeby szczególnych kategorii danych, takich jak dane o zdrowiu, poglądach czy przynależności związkowej, i nie prosimy o nie w żadnym formularzu serwisu.

Przy każdym celu podajemy podstawę prawną z art. 6 ust. 1 RODO, bo od niej zależy, z jakich praw możesz skorzystać.

• Założenie i prowadzenie konta, udostępnianie zamówionych modułów, wsparcie techniczne: wykonanie umowy, art. 6 ust. 1 lit. b RODO. Wobec pracowników dodanych do konta przez klienta podstawą jest prawnie uzasadniony interes polegający na umożliwieniu im pracy w usłudze zamówionej przez pracodawcę, art. 6 ust. 1 lit. f RODO.
• Rozliczenie abonamentu, wystawianie i przechowywanie faktur, prowadzenie ksiąg: obowiązek prawny, art. 6 ust. 1 lit. c RODO w związku z przepisami o rachunkowości i prawa podatkowego.
• Odpowiadanie na pytania i zgłoszenia przesłane e-mailem lub innym kanałem kontaktu wskazanym na stronie: wykonanie umowy albo prawnie uzasadniony interes w obsłudze korespondencji, art. 6 ust. 1 lit. b lub lit. f RODO.
• Bezpieczeństwo usługi: rejestrowanie zdarzeń, wykrywanie nadużyć i nieuprawnionego dostępu, diagnostyka błędów: prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.
• Ustalenie, dochodzenie i obrona roszczeń: prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.
• Wykonanie obowiązków wynikających z RODO i innych przepisów, w tym obsługa żądań oraz zgłaszanie naruszeń ochrony danych: obowiązek prawny, art. 6 ust. 1 lit. c RODO.

Nie wysyłamy newslettera ani informacji handlowych osobom, które o nie nie poprosiły. Gdybyśmy kiedykolwiek zaczęli je wysyłać, poprosimy wcześniej o zgodę, na podstawie art. 6 ust. 1 lit. a RODO oraz art. 398 Prawa komunikacji elektronicznej, a wycofanie zgody będzie równie łatwe jak jej udzielenie.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały, i nie profilujemy użytkowników serwisu. Funkcje oparte o sztuczną inteligencję w aplikacji, takie jak podpowiedź opisu oferty, są narzędziem w rękach użytkownika i nie rozstrzygają o niczyich prawach.

Podanie danych konta i danych do faktury jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy. Bez nich nie założymy konta ani nie wystawimy faktury.

Integracje włączasz sam i sam decydujesz, które konto podłączasz. Dane, które przez nie napływają, należą do Twojej firmy: wobec nich administratorem jesteś Ty, a my jesteśmy podmiotem przetwarzającym i działamy na Twoje polecenie, zgodnie z art. 28 RODO. Dotyczy to także danych pobieranych z API TikTok Shop.

Po połączeniu sklepu TikTok Shop aplikacja pobiera i przechowuje wyłącznie:

• token dostępu i token odświeżający wydane przez TikTok Shop dla Twojego konta, zapisywane w bazie w postaci zaszyfrowanej, pomijane w logach i nigdy niepokazywane w interfejsie;
• listę autoryzowanych przez Ciebie sklepów: identyfikator sklepu, nazwę, region oraz kod sklepu wymagany przy wywołaniach API;
• słownik kategorii TikTok Shop wraz z atrybutami i wymaganiami kategorii, czyli dane katalogowe platformy, w których nie ma danych osobowych;
• log wywołań API: metodę, adres, kod odpowiedzi oraz identyfikator żądania, którym posługuje się wsparcie platformy przy zgłoszeniach.

Ten zakres jest celowo wąski i odpowiada temu, co moduł faktycznie robi: uwierzytelnia sklep, utrzymuje ważną autoryzację i pobiera słownik kategorii potrzebny do przygotowania oferty. Nie pobieramy z TikTok Shop zamówień ani danych kupujących.

Danych pobranych z platformy nie łączymy z danymi innych sprzedawców, nie wykorzystujemy ich do własnych celów, nie udostępniamy ich podmiotom trzecim bez Twojej zgody i nie sprzedajemy.

Autoryzację możesz cofnąć w dowolnym momencie, bez podawania przyczyny:

1. w panelu FIRMSET, w sekcji integracji TikTok Shop, przyciskiem „Rozłącz” przy koncie: usuwa to zapisane tokeny i zatrzymuje wywołania API dla tego sklepu, zachowując Twoje ustawienia;
2. w tym samym miejscu przyciskiem „Usuń” przy koncie: usuwa całe konto integracji razem z zapisanymi danymi podłączonych sklepów;
3. po stronie TikTok Shop, w panelu sprzedawcy, na liście zainstalowanych aplikacji: cofnięcie autoryzacji tam również pozbawia aplikację dostępu do Twojego sklepu.

Jeżeli po odłączeniu chcesz, żebyśmy usunęli pozostałe dane związane z tą integracją, napisz na adres z rozdziału 14. Usuniemy je albo pozbawimy możliwości przypisania do Ciebie, z zastrzeżeniem tego, co musimy zachować, aby wypełnić obowiązki podatkowe i księgowe.

Kolejne kroki opisuje strona Usuwanie danych pod adresem firmset.pl/usuwanie-danych: co dokładnie znika po rozłączeniu, jak usunąć całe konto FIRMSET i czego nie usuniemy mimo żądania.

Pozostałe integracje działają tak samo: każdą można odłączyć w panelu, a dane pobrane z platformy pozostają danymi Twojej firmy. Różnica polega wyłącznie na zakresie, bo w przypadku Allegro, EmpikPlace, Erli.pl, WooCommerce, InPost i Dashshop obejmuje on także dane zamówień i kupujących.

Nie sprzedajemy danych i nie udostępniamy ich do celów marketingowych podmiotów trzecich. Dane trafiają wyłącznie tam, gdzie jest to potrzebne, żeby usługa działała:

• dostawca infrastruktury i hostingu, na której działa aplikacja oraz kopie zapasowe;
• dostawca poczty wychodzącej, którą wysyłamy wiadomości systemowe; zależnie od konfiguracji instalacji jest to własny serwer poczty albo usługa Postmark, Resend lub Amazon SES;
• platformy i usługi, z którymi łączysz konto: Allegro, TikTok Shop, WooCommerce, EmpikPlace, Erli.pl, InPost, Dashshop, w zakresie, w jakim sam zlecisz wysłanie do nich danych;
• Krajowy System e-Faktur prowadzony przez Ministerstwo Finansów, gdy wysyłasz do niego faktury;
• rejestry i serwisy weryfikacji danych firm: CEIDG (dane.biznes.gov.pl) oraz dataport.pl, do których wysyłamy numer NIP lub nazwę firmy, żeby pobrać dane kontrahenta;
• dostawca modeli językowych, OpenAI albo Azure OpenAI zależnie od konfiguracji instalacji, gdy korzystasz z funkcji sztucznej inteligencji; przekazujemy wtedy treść, którą sam kierujesz do przetworzenia;
• podmioty świadczące nam obsługę księgową i prawną, w zakresie niezbędnym do rozliczeń oraz dochodzenia i obrony roszczeń;
• organy publiczne i sądy, gdy obowiązek przekazania danych wynika z przepisów prawa.

Z podmiotami, które przetwarzają dane na nasze zlecenie, zawieramy umowy powierzenia przetwarzania zgodne z art. 28 RODO. Aktualną listę takich podwykonawców przekazujemy klientom na żądanie.

Staramy się przetwarzać dane na infrastrukturze w Europejskim Obszarze Gospodarczym i tam, gdzie sami wybieramy region, wybieramy region europejski.

Przekazanie poza EOG może nastąpić w dwóch sytuacjach. Pierwsza to korzystanie z funkcji opartych o dostawcę modeli językowych spoza EOG. Druga to podłączenie platformy sprzedażowej, której infrastruktura znajduje się poza EOG: dane wędrują tam na Twoje polecenie, a platforma przetwarza je na własnych zasadach, opisanych w jej własnych dokumentach.

Każde takie przekazanie odbywa się na podstawie mechanizmu z rozdziału V RODO: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych. Informację o mechanizmie zastosowanym wobec konkretnego dostawcy oraz kopię zabezpieczeń albo wskazanie miejsca ich udostępnienia przekazujemy na żądanie, pod adresem z rozdziału 14.

• Dane konta i dane firmy: przez czas trwania umowy, a po jej zakończeniu do upływu terminów przedawnienia roszczeń z nią związanych.
• Faktury i dokumenty księgowe: przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Tego okresu nie możemy skrócić na żądanie, bo wynika on wprost z przepisów.
• Dowody zgody na aktywację płatnych modułów: przez czas trwania subskrypcji oraz okres przedawnienia roszczeń.
• Dane pobrane z podłączonych platform: dopóki integracja jest aktywna i dopóki sam ich nie usuniesz. Tokeny dostępu usuwamy w chwili rozłączenia konta.
• Logi wywołań API oraz dziennik zdarzeń: przez okres potrzebny do diagnostyki, wykazania rozliczalności i obsługi zgłoszeń u operatora platformy, a następnie je usuwamy.
• Korespondencja: przez czas obsługi sprawy oraz okres przedawnienia ewentualnych roszczeń.

Usunięcie danych z systemu produkcyjnego nie zawsze jest natychmiast widoczne w kopiach zapasowych. Kopie są nadpisywane w cyklu, a do czasu nadpisania pozostają zabezpieczone i nie służą do żadnych innych celów niż odtworzenie systemu po awarii.

W zakresie, w jakim jesteśmy administratorem Twoich danych, przysługuje Ci prawo:

• dostępu do danych i uzyskania ich kopii;
• sprostowania danych nieprawidłowych oraz uzupełnienia niekompletnych;
• usunięcia danych, jeżeli nie mamy podstawy, żeby je dalej przetwarzać;
• ograniczenia przetwarzania, na przykład na czas sprawdzenia, czy dane są prawidłowe;
• przenoszenia danych, które przetwarzamy na podstawie umowy albo zgody, w formacie nadającym się do odczytu maszynowego;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją;
• wycofania zgody w dowolnym momencie, jeżeli przetwarzanie opiera się na zgodzie; wycofanie nie wpływa na zgodność z prawem tego, co zrobiliśmy wcześniej.

Praktyczną instrukcję usunięcia danych, krok po kroku, znajdziesz na stronie firmset.pl/usuwanie-danych.

Żeby skorzystać z któregokolwiek z tych praw, wystarczy wiadomość na adres z rozdziału 14. Nie ma żadnego obowiązkowego formularza. Możemy poprosić o informacje pozwalające potwierdzić Twoją tożsamość, ale tylko w zakresie niezbędnym i bez zbierania przy tej okazji dodatkowych danych.

Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Jeżeli sprawa jest skomplikowana, możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o tym i podając przyczynę, zgodnie z art. 12 ust. 3 RODO. Realizacja żądania jest bezpłatna.

Jeżeli żądanie dotyczy danych, których administratorem jest nasz klient, a nie my, przekażemy je temu klientowi i poinformujemy Cię, do kogo trafiło. Zasadę tę opisuje rozdział 2.

Jeżeli uważasz, że przetwarzamy dane niezgodnie z prawem, możesz wnieść skargę do organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa. Informacje o sposobie złożenia skargi znajdziesz na stronie uodo.gov.pl.

Skarga do organu nie wyklucza kontaktu z nami i niczego nie zamyka. Jeżeli dasz nam znać wcześniej, spróbujemy rozwiązać sprawę od razu.

Serwis firmset.pl i aplikacja FIRMSET używają wyłącznie plików cookies niezbędnych do działania usługi. Nie korzystamy z zewnętrznej analityki, pikseli reklamowych ani cookies śledzących i z tego powodu nie wyświetlamy okna zgody na cookies.

Zapisujemy trzy rodzaje plików:

• cookie sesji: utrzymuje zalogowanie i stan formularzy, wygasa po okresie bezczynności ustawionym w aplikacji, domyślnie po 120 minutach, oraz przy wylogowaniu;
• XSRF-TOKEN: chroni formularze przed atakiem CSRF, czyli przed wysłaniem żądania w Twoim imieniu z obcej strony;
• cookie funkcji „zapamiętaj mnie”: zapisywane tylko wtedy, gdy sam zaznaczysz tę opcję przy logowaniu, i pozwala wrócić do konta bez ponownego wpisywania hasła.

Wszystkie trzy są niezbędne do świadczenia usługi, o którą prosisz, więc ich zapisanie nie wymaga zgody, zgodnie z art. 399 ust. 1 Prawa komunikacji elektronicznej. Możesz je zablokować lub usunąć w ustawieniach przeglądarki, ale bez nich nie da się zalogować do aplikacji.

Gdybyśmy kiedykolwiek dodali cookies analityczne lub marketingowe, poprosimy o zgodę zanim je zapiszemy, odmowa będzie równie łatwa jak zgoda, a wycofanie zgody równie łatwe jak jej udzielenie.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka. Najważniejsze z nich to:

• szyfrowane połączenie HTTPS między przeglądarką a aplikacją;
• hasła przechowywane wyłącznie jako nieodwracalny skrót oraz uwierzytelnianie dwuskładnikowe dostępne dla każdego konta;
• tokeny dostępu do platform sprzedażowych szyfrowane w bazie danych, ukryte w interfejsie i pomijane w logach wywołań API;
• rozdzielenie danych między firmami: dane każdego klienta są filtrowane po jego koncie na poziomie zapytań do bazy, a nie tylko w interfejsie;
• system ról i uprawnień, którym właściciel konta ogranicza pracownikom dostęp do poszczególnych modułów;
• dziennik zdarzeń pozwalający ustalić, kto i kiedy zmienił dane.

Postępowanie na wypadek naruszenia ochrony danych opisuje osobna Procedura zgłaszania naruszeń ochrony danych osobowych, a wewnętrzne zasady i obowiązki personelu, w tym kontrolę dostępu i szyfrowanie, opisuje Polityka ochrony danych. Oba dokumenty są opublikowane na tej stronie; odnośniki znajdziesz w sekcji dokumentów powiązanych i w stopce serwisu.

W tym dokumencie nie deklarujemy zgodności z normami ani certyfikatami bezpieczeństwa. Jeżeli takie uzyskamy, napiszemy o tym wprost i wskażemy zakres certyfikacji.

Politykę aktualizujemy, gdy zmienia się zakres usługi, sposób przetwarzania danych albo przepisy. Nowa wersja pojawia się pod tym samym adresem, z podniesionym numerem wersji i nową datą obowiązywania. Obie wartości widać w metryce na górze strony; obecna wersja to 1.0 i obowiązuje od 1 września 2026.

O zmianach, które istotnie wpływają na Twoje prawa albo na zakres przetwarzania, informujemy z wyprzedzeniem: e-mailem na adres przypisany do konta albo komunikatem w aplikacji. Treść wcześniejszej wersji przesyłamy na żądanie.

W każdej sprawie dotyczącej danych osobowych możesz się z nami skontaktować. Piszemy po polsku i po angielsku.

• E-mail: biuro@dashstack.pl
• Telefon: +48 602 518 615
• Adres do korespondencji: Dash Stack sp. z o.o., ul. Generała Henryka Dąbrowskiego 18, 64-600 Oborniki, Polska

Jeżeli piszesz w sprawie usunięcia danych, zajrzyj najpierw na stronę firmset.pl/usuwanie-danych — opisuje kroki, które możesz wykonać sam, i mówi, czego nie usuniemy mimo żądania, bo wymagają tego przepisy.

Ten dokument czytaj razem z pozostałymi dokumentami serwisu: Regulaminem, który opisuje zasady korzystania z usługi, Procedurą zgłaszania naruszeń ochrony danych osobowych, która opisuje nasze postępowanie na wypadek naruszenia, oraz Polityką ochrony danych, która opisuje wewnętrzne zasady, jakich przestrzegamy. Odnośniki do nich znajdziesz poniżej oraz w stopce każdej strony serwisu.

Wiążąca jest polska wersja tej polityki. Wersja angielska jest tłumaczeniem informacyjnym.