StockTrack

Polityka prywatności

Obowiązuje od: 1 sierpnia 2026 r.

Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych Użytkowników platformy StockTrack, dostępnej pod adresem https://www.stocktrack.pl („Platforma"). Dokument powstał w oparciu o Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych („RODO") oraz ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych.

1. Administrator danych osobowych

Administratorem danych osobowych Użytkowników Platformy jest:

Przedsiębiorstwo Produkcyjno-Handlowo-Usługowe Bartłomiej Popiel
(skrót: PPUH Bartłomiej Popiel)
Adres: ul. Kasztanowa 20, 76-251 Kobylnica
NIP: 8393255792
REGON: 541849618
E-mail: admin@stocktrack.pl

W dalszej części dokumentu zwany jest „Operatorem". Kontakt w sprawach ochrony danych osobowych: admin@stocktrack.pl.

W odniesieniu do danych kontrahentów (klientów i dostawców) każdego Użytkownika będącego przedsiębiorcą, firma Użytkownika jest odrębnym administratorem danych swoich kontrahentów. Operator pełni wówczas rolę podmiotu przetwarzającego w rozumieniu art. 28 RODO.

2. Zakres przetwarzanych danych

W związku z korzystaniem z Platformy przetwarzamy następujące kategorie danych:

  • dane konta: imię, nazwisko, adres e-mail, hasło (w formie hashowanej — bcrypt; Operator nie zna haseł Użytkowników), numer telefonu, stanowisko, dział;
  • dane firmy: nazwa, skrócona nazwa, NIP, REGON, adres siedziby i oddziałów, branże, dane kontaktowe;
  • dane transakcyjne: złożone zapytania, zamówienia, oferty, historia wiadomości między firmami;
  • dane rozliczeniowe: kwoty zamówień, abonament, faktury, status płatności;
  • dane techniczne: adres IP, identyfikator sesji, informacje o przeglądarce i urządzeniu, logi aktywności (audit log);
  • dane z plików cookies i podobnych technologii (patrz pkt 8).

Ponadto, w zakresie w jakim Użytkownik korzysta z odpowiednich funkcji Platformy, przetwarzamy — jako podmiot przetwarzający na zlecenie Użytkownika (pkt 1) — następujące kategorie danych jego kontrahentów i pracowników:

  • dane kontrahentów w CRM: nazwa i imię i nazwisko osoby kontaktowej, adresy e-mail, numery telefonów, NIP, REGON, KRS, adres działalności i adres korespondencyjny, numer rachunku bankowego, strona internetowa, notatki i opisy — w bazie przechowywane w postaci zaszyfrowanej;
  • dane o lokalizacji kontrahentów: współrzędne geograficzne wyliczone z adresu, wykorzystywane do prezentacji na mapie klientów;
  • treść korespondencji e-mail prowadzonej przez Platformę oraz — jeżeli Użytkownik podłączy własną skrzynkę — wiadomości pobierane z niej przez protokół IMAP, wraz z załącznikami;
  • dane o wiarygodności płatniczej kontrahenta pozyskane z rejestru dłużników, jeżeli Użytkownik korzysta z tej integracji;
  • identyfikatory kampanii reklamowych powiązane z pozyskaniem kontaktu (np. Google Ads) oraz źródło pozyskania leada;
  • dane pracowników Użytkownika związane z organizacją pracy handlowej: przypisane szanse sprzedaży, zadania, wpisy kalendarza, dane wyjazdów służbowych (w tym współrzędne początku trasy, jeżeli Użytkownik korzysta z tej funkcji), wskaźniki aktywności wykorzystywane w analizie ryzyka (pkt 10);
  • wektory (embeddingi) wyliczone z powyższych treści na potrzeby wyszukiwania po znaczeniu oraz historia rozmów z asystentem AI (pkt 10);
  • subskrypcje powiadomień push (identyfikator urządzenia nadany przez przeglądarkę).

Dane pozyskiwane nie od osoby, której dotyczą (art. 14 RODO). Na żądanie Użytkownika Platforma uzupełnia dane kontrahenta o informacje z publicznych rejestrów: Wykazu podatników VAT (Ministerstwo Finansów), CEIDG oraz REGON (GUS) — w tym o imię i nazwisko przedsiębiorcy, NIP, REGON, adres działalności i adres korespondencyjny. Dane te pochodzą z rejestrów jawnych, a ich odbiorcą jest Użytkownik, który występuje jako administrator danych swoich kontrahentów. Leady przekazywane Użytkownikowi przez producenta lub jego system (np. Kubota / PowerChord) zawierają dane kontaktowe osoby zainteresowanej wraz z treścią zgody złożonej u źródła.

3. Cele i podstawy prawne przetwarzania

  • Świadczenie usługi drogą elektroniczną i realizacja umowy (prowadzenie konta, udostępnianie funkcji Platformy, komunikacja między firmami, obsługa zamówień) — art. 6 ust. 1 lit. b RODO.
  • Rozliczenia z tytułu abonamentu — Operator nie pobiera prowizji od transakcji; wynagrodzeniem Operatora jest abonament opisany w pkt 7 Regulaminu (obowiązek zapłaty powstaje od 1 lipca 2027 r.). Przetwarzanie danych rozliczeniowych odbywa się na podstawie art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. c RODO w związku z obowiązkami podatkowymi i rachunkowymi.
  • Wypełnienie obowiązków prawnych (ustawa o rachunkowości, przepisy podatkowe, przeciwdziałanie nadużyciom) — art. 6 ust. 1 lit. c RODO.
  • Zapewnienie bezpieczeństwa i integralności Platformy, wykrywanie nadużyć, prowadzenie audit log — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
  • Obsługa reklamacji i dochodzenie roszczeń — art. 6 ust. 1 lit. b i f RODO.
  • Marketing bezpośredni własnych produktów i usług (powiadomienia o nowościach, wiadomości o charakterze informacyjnym) — art. 6 ust. 1 lit. f RODO; w zakresie wymagającym dodatkowej zgody (np. e-mail marketing komercyjny) — art. 6 ust. 1 lit. a RODO oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną. Wiadomości marketingowe wysyłane przez Operatora mogą zawierać tokeny śledzące (unikalne identyfikatory osadzone w linkach oraz pikselu odsłony), które umożliwiają pomiar otwarć i kliknięć w celu oceny skuteczności komunikacji. Ponieważ pomiar otwarcia wiadomości wiąże się z dostępem do informacji na urządzeniu końcowym odbiorcy, odbywa się on wyłącznie na podstawie zgody udzielonej przy zapisie na wysyłkę — art. 6 ust. 1 lit. a RODO w związku z art. 399 ustawy Prawo komunikacji elektronicznej. Wiadomości marketingowe wysyłamy wyłącznie do odbiorców, którzy wyrazili zgodę; wiadomości obsługowe niezbędne do wykonania umowy (np. przypomnienie o płatności, komunikat serwisowy) nie zawierają pomiaru otwarć. Zgodę można wycofać w każdej chwili, klikając link „rezygnuję" w stopce wiadomości lub zmieniając preferencje w ustawieniach profilu — co jest równoznaczne z zaprzestaniem dalszego przetwarzania w tym celu.
  • Analityka i rozwój Platformy (zagregowane statystyki, udoskonalanie produktu) — art. 6 ust. 1 lit. f RODO.

4. Okres przechowywania danych

  • dane konta — przez okres obowiązywania umowy, a po jej zakończeniu do czasu przedawnienia ewentualnych roszczeń;
  • dane rozliczeniowe i faktury — przez okres wymagany przepisami prawa (co do zasady 5 lat od końca roku podatkowego);
  • logi techniczne i audit log — do 24 miesięcy, chyba że dłuższe przechowywanie jest niezbędne ze względu na bezpieczeństwo lub obowiązek prawny;
  • zdarzenia bezpieczeństwa oraz logi zadań cyklicznych — do 24 miesięcy;
  • zdarzenia kampanii e-mail (wysyłka, otwarcia, kliknięcia) — do 24 miesięcy;
  • historia rozmów z asystentem AI — do 12 miesięcy;
  • dane przetwarzane na podstawie zgody — do jej wycofania.

5. Odbiorcy danych i podmioty przetwarzające

Dane Użytkowników mogą być powierzane zaufanym podmiotom, z którymi Operator zawarł umowy powierzenia przetwarzania danych, w tym:

  • dostawca infrastruktury bazodanowej i autoryzacji — Supabase (Supabase, Inc., USA; transfer zabezpieczony m.in. standardowymi klauzulami umownymi);
  • dostawca hostingu aplikacji — Vercel Inc. (USA);
  • dostawcy usług kurierskich, wykorzystywani przy realizacji zamówień — InPost S.A., DPD Polska sp. z o.o., DHL (DHL Parcel Polska sp. z o.o. / DHL Express) oraz FedEx (FedEx Express Polska sp. z o.o.) — w zakresie niezbędnym do nadania i doręczenia przesyłki (dane nadawcy/odbiorcy, adres, telefon, numer listu przewozowego);
  • operatorzy płatności obsługujący faktury Operatora — PayU S.A. oraz PayPro S.A. (Przelewy24) — w zakresie danych niezbędnych do realizacji i rozliczenia płatności;
  • dostawcy integracji wybranych przez firmę Użytkownika i włączonych przez nią w panelu — BaseLinker, PrestaShop, Otomoto, OLX, eksport danych w formacie CSV (feed produktów), Google Calendar (synchronizacja kalendarza zdarzeń CRM) oraz Google Drive (archiwizacja dokumentów i załączników CRM na dysku firmy Użytkownika) — wyłącznie w zakresie danych przekazywanych do wybranej integracji;
  • dostawca obsługi poczty przychodzącej CRM — Postmark (Wildbit LLC / ActiveCampaign, USA) — w zakresie wiadomości kierowanych na adresy Platformy wraz z załącznikami;
  • dostawcy serwisów społecznościowych i reklamowych, gdy firma Użytkownika połączy swoje konta w panelu marketingu — Meta Platforms Ireland Ltd. (Facebook, Instagram), LinkedIn Ireland Unlimited Company, X Corp. oraz TikTok Technology Limited — w zakresie publikowanych treści, danych konta reklamowego i pobieranych statystyk;
  • dostawcy usług mapowych i geokodowania adresów kontrahentów — OpenStreetMap Foundation (usługa Nominatim) oraz Google LLC (Google Maps) — w zakresie adresu przekazywanego do wyznaczenia współrzędnych i wyświetlenia mapy;
  • rejestry publiczne i podmioty weryfikujące dane rejestrowe — Ministerstwo Finansów (Wykaz podatników VAT), Główny Urząd Statystyczny (REGON), CEIDG, a w razie włączenia integracji także rejestr dłużników — w zakresie zapytania o NIP/REGON oraz zwracanych danych rejestrowych;
  • producenci i ich systemy przekazujące zapytania klientów do dealerów — m.in. Kubota / PowerChord — w zakresie danych kontaktowych osoby składającej zapytanie;
  • dostawcy narzędzi wspierających działanie Platformy — Cloudflare, Inc. (ochrona formularzy przed botami), dostawca usługi powiadomień push przeglądarki, a w przypadku migracji danych z zewnętrznego CRM także dostawca tego systemu — w zakresie niezbędnym do danej funkcji;
  • serwery poczty wychodzącej i przychodzącej wskazane przez samego Użytkownika, jeżeli podłączy on własną skrzynkę (SMTP/IMAP) — w zakresie wysyłanych i pobieranych wiadomości;
  • dostawca modeli językowych dla funkcji „ST AI" (asystent AI) oraz dla wyszukiwania semantycznego — Google LLC (modele Gemini, w ramach Gemini API / Google AI). Do Google przekazywane są: treść zapytań kierowanych do asystenta, dane kontekstowe pobierane przez asystenta na potrzeby odpowiedzi (m.in. nazwa i dane kontaktowe klienta CRM, dane oferty, fragmenty korespondencji e-mail przy generowaniu odpowiedzi na wiadomość) oraz teksty, z których wyliczane są wektory (embeddingi) dla wyszukiwania. Operator korzysta z odpłatnego planu Gemini API, w którym Google — zgodnie z warunkami świadczenia usługi dla planu płatnego — nie wykorzystuje przekazywanych danych do trenowania swoich modeli. Administrator firmy może wyłączyć funkcje AI dla swojej firmy — wówczas żadne dane tej firmy nie są przekazywane do Google w tym celu (zob. pkt 10);
  • dostawca poczty transakcyjnej — Resend, Inc. (USA) — wysyłka wiadomości systemowych (potwierdzenia, powiadomienia, marketing własny);
  • biura rachunkowe i podmioty świadczące usługi prawne — w zakresie niezbędnym do rozliczeń i obsługi prawnej Operatora.

W zakresie, w jakim zakres danych lub przepisy prawa tego wymagają, dane mogą zostać udostępnione organom publicznym uprawnionym na podstawie przepisów prawa.

6. Przekazywanie danych poza EOG

Część odbiorców wskazanych w pkt 5 ma siedzibę poza Europejskim Obszarem Gospodarczym — w szczególności Supabase, Inc., Vercel Inc., Google LLC (Gemini, Google Maps, Google Drive, Google Calendar), Resend, Inc., Postmark, Cloudflare, Inc., X Corp. oraz — w zakresie wybranych operacji — Meta, LinkedIn i TikTok.

Transfer odbywa się na podstawie decyzji wykonawczej Komisji Europejskiej o odpowiednim stopniu ochrony (EU–US Data Privacy Framework) w odniesieniu do dostawców, którzy przystąpili do tego programu, a w pozostałych przypadkach na podstawie standardowych klauzul umownych (SCC) zgodnie z art. 46 RODO — wraz z dodatkowymi zabezpieczeniami technicznymi (szyfrowanie w spoczynku i w trakcie przesyłania, kontrola dostępu, szyfrowanie danych osobowych kontrahentów po stronie aplikacji). Informację o podstawie transferu dla konkretnego dostawcy Operator udostępnia na żądanie skierowane na adres wskazany w pkt 1.

7. Prawa osoby, której dane dotyczą

Użytkownikowi przysługują następujące prawa:

  • prawo dostępu do danych (art. 15 RODO);
  • prawo do sprostowania danych (art. 16 RODO);
  • prawo do usunięcia danych (art. 17 RODO), z zastrzeżeniem obowiązków prawnych Operatora;
  • prawo do ograniczenia przetwarzania (art. 18 RODO);
  • prawo do przenoszenia danych (art. 20 RODO);
  • prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO);
  • prawo do cofnięcia zgody w dowolnym momencie — wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem;
  • prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Zgłoszenia w zakresie realizacji praw prosimy kierować na adres: admin@stocktrack.pl.

8. Pliki cookies i lokalne przechowywanie

Platforma wykorzystuje pliki cookies oraz technologię localStorage w celu:

  • utrzymania sesji zalogowanego Użytkownika (cookies sesyjne — niezbędne);
  • zapamiętywania preferencji interfejsu (motyw, język, zawartość koszyka) — niezbędne do działania usługi;
  • wewnętrznej analityki użycia Platformy (prawnie uzasadniony interes).

Użytkownik może ograniczyć lub wyłączyć obsługę cookies w ustawieniach swojej przeglądarki. Wyłączenie niezbędnych cookies może jednak uniemożliwić zalogowanie się i korzystanie z Platformy. Pełen wykaz wykorzystywanych plików cookies i kluczy localStorage wraz z ich nazwami, celami i czasem życia znajduje się w odrębnym dokumencie Polityka cookies (spójność z niniejszą Polityką prywatności).

9. Bezpieczeństwo danych

Operator stosuje środki techniczne i organizacyjne zapewniające ochronę danych osobowych adekwatną do zagrożeń, w szczególności: szyfrowanie transmisji (HTTPS/TLS), szyfrowanie haseł (bcrypt), kontrola dostępu opartego na rolach (RBAC) i mechanizm Row Level Security w bazie danych, regularne kopie zapasowe oraz rejestrowanie zdarzeń systemowych (audit log).

10. Funkcje AI, analizy automatyczne i profilowanie

Operator nie podejmuje wobec Użytkownika decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, które wywoływałyby wobec niego skutki prawne lub w podobny sposób istotnie na niego wpływały (art. 22 RODO). Nie stosujemy automatycznego odmawiania dostępu, automatycznej oceny wiarygodności ani automatycznego rozwiązywania umów.

W Platformie działają natomiast następujące funkcje analityczne i AI, które stanowią profilowanie w rozumieniu art. 4 pkt 4 RODO i o których informujemy zgodnie z art. 13 ust. 2 lit. f RODO:

  • Asystent „ST AI" — na żądanie Użytkownika analizuje dane jego firmy (klienci CRM, zadania, oferty, korespondencja) i proponuje treści oraz działania. Asystent nie zapisuje zmian samodzielnie — każda propozycja wymaga zatwierdzenia przez Użytkownika. Dane przekazywane są do Google LLC (pkt 5).
  • Analiza ryzyka sprzedaży — cyklicznie wyliczane sygnały dotyczące szans sprzedaży przypisanych do danego pracownika (m.in. brak kontaktu, spadek wartości pipeline'u, udział spraw przegranych, czas reakcji) wraz z generowanym przez AI podsumowaniem i rekomendacjami. Wyniki widzi pracownik oraz jego przełożeni i administrator firmy w ramach firmy Użytkownika. Służą one organizacji pracy handlowej, nie stanowią podstawy automatycznych decyzji kadrowych. Pracodawca (Użytkownik) jest administratorem danych swoich pracowników i odpowiada za poinformowanie ich o korzystaniu z tej funkcji.
  • Wyszukiwanie semantyczne — wyliczanie wektorów (embeddingów) z treści danych CRM i produktów w celu wyszukiwania po znaczeniu.

Administrator firmy może w każdej chwili wyłączyć funkcje AI dla całej firmy w ustawieniach firmy. Po wyłączeniu asystent i analiza ryzyka są niedostępne, a dane firmy nie są w tym celu przekazywane do dostawcy modeli.

11. Zmiany Polityki prywatności

Operator zastrzega sobie prawo do zmiany niniejszej Polityki. O istotnych zmianach Użytkownicy zostaną poinformowani z wyprzedzeniem za pośrednictwem wiadomości e-mail lub komunikatu na Platformie. Aktualna wersja Polityki jest zawsze dostępna na stronie /privacy.

12. Kontakt

W sprawach związanych z przetwarzaniem danych osobowych prosimy o kontakt: admin@stocktrack.pl.