Polityka prywatności

1. Administrator danych

Administratorem danych dla platformy Compabase jest Content Writer Sp. z o.o. z siedzibą przy ul. Strzeleckiej 29A/39, 61-846 Poznań, Polska.

KRS: 0001088645

NIP: 7792567297

Kontakt w sprawach ochrony danych: [email protected]

Administrator nie powołał inspektora ochrony danych. W sprawach RODO prosimy o kontakt na powyższy adres.

Usługi Compabase są świadczone pod marką Compabase (compabase.com). Powiadomienia informacyjne z art. 14 RODO mogą być wysyłane z domeny compabase-legal.com — obie domeny są obsługiwane przez tego samego administratora (Content Writer Sp. z o.o.).

2. Zakres niniejszej polityki

Niniejsza Polityka prywatności opisuje:

• w jaki sposób przetwarzamy dane użytkowników korzystających z konta w portalu Compabase,
• w jaki sposób przetwarzamy dane użytkowników nabywających zestawy danych,
• w jaki sposób przetwarzamy i publikujemy dane z publicznych rejestrów gospodarczych (KRS, CEIDG),
• w jaki sposób realizujemy obowiązek informacyjny wynikający z art. 14 RODO,
• w jaki sposób umożliwiamy samodzielną aktualizację i korektę danych na profilu podmiotu (również bez zakładania konta) — zob. § 14,
• w jaki sposób działa asystent oparty na sztucznej inteligencji (AI) udostępniany na platformie — zob. § 15,
• w jaki sposób chronimy dane techniczne i transakcyjne związane z korzystaniem z platformy.

Compabase jest platformą typu B2B służącą do analizy danych gospodarczych i jest przeznaczona wyłącznie do użytku profesjonalnego. Dostęp do profili firm w serwisie oraz eksport zestawów danych podlega niniejszej polityce.

3. Kategorie przetwarzanych danych

3.1. Dane konta użytkownika portalu

W przypadku rejestracji i korzystania z konta w portalu Compabase możemy przetwarzać:

• adres e-mail powiązany z kontem,
• identyfikator użytkownika w systemie uwierzytelniania,
• dane podane w onboardingu (np. reprezentowana firma, osoba kontaktowa, ustawienia konta),
• treść zapytań do asystenta na platformie (jeśli z tej funkcji korzystasz),
• listę obserwowanych podmiotów (watchlista).

3.2. Dane transakcyjne i rozliczeniowe

Zbieramy wyłącznie dane niezbędne do realizacji umów i dostarczenia zamówionych usług (w tym eksportu informacji z platformy) oraz wystawienia faktur, w tym:

• adres e-mail,
• nazwę firmy,
• numer identyfikacji podatkowej (NIP/VAT),
• dane do faktury.

3.3. Dane dotyczące płatności

Płatności są przetwarzane przez zewnętrznych dostawców usług płatniczych (np. Stripe). Nie przechowujemy numerów kart płatniczych ani danych dostępowych do rachunków bankowych.

3.4. Dane techniczne

Podstawowe logi techniczne mogą obejmować:

• adres IP,
• metadane zapytań,
• znaczniki czasu.

Dane te są wykorzystywane wyłącznie w celu zapewnienia bezpieczeństwa, stabilności systemu, zapobiegania nadużyciom i oszustwom.

3.5. Publiczne dane z rejestrów gospodarczych

Compabase przetwarza i strukturyzuje dane pochodzące z publicznie dostępnych, oficjalnych rejestrów i dokumentów, w szczególności:

• Krajowego Rejestru Sądowego (KRS) oraz sprawozdań finansowych składanych do publicznych repozytoriów,
• Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG),
• Centralnego Rejestru Beneficjentów Rzeczywistych (CRBR),
• Repozytorium Akt Rejestrowych (RAR) — listy wspólników i wybrane postanowienia umów spółek,
• Krajowego Rejestru Zadłużonych (KRZ) oraz Monitora Sądowego i Gospodarczego (MSiG),
• Wykazu podatników VAT (tzw. białej listy) prowadzonego przez Ministra Finansów — status VAT oraz firmowe rachunki bankowe,
• rejestrów zamówień i umów publicznych: Biuletynu Zamówień Publicznych (BZP), unijnego TED, Centralnego Rejestru Umów Ministerstwa Finansów oraz umów Narodowego Funduszu Zdrowia,
• innych rejestrów urzędowych: znaków towarowych Urzędu Patentowego RP, pomocy publicznej (SUDOP), koncesji Urzędu Regulacji Energetyki, BDO, rejestrów i listy ostrzeżeń publicznych KNF oraz notowań GPW,
• list sankcyjnych (m.in. MSWiA, Unii Europejskiej, Wielkiej Brytanii, OFAC SDN, BIS Entity List i Banku Światowego).

Ponadto pobieramy publicznie dostępne informacje ze stron internetowych podmiotów: opis działalności, adres strony, adres e-mail, numer telefonu i profile podmiotu w mediach społecznościowych. Stronę przypisujemy do podmiotu wyłącznie wtedy, gdy znajdujemy na niej jego NIP, numer KRS, REGON lub adres siedziby. Adresy e-mail weryfikujemy technicznie na serwerze pocztowym; adresy nieistniejące i tymczasowe nie są udostępniane w eksportach ani przez MCP.

Platforma obejmuje zarejestrowane spółki i inne podmioty z KRS oraz jednoosobowe działalności gospodarcze (CEIDG). W profilach mogą być prezentowane m.in.: nazwa podmiotu, KRS, NIP, REGON, forma prawna, adres, status, daty rejestracji, dane finansowe i wskaźniki wyliczone algorytmicznie (w tym szacunkowa wycena), opisy działalności, status VAT i firmowe rachunki bankowe, postępowania restrukturyzacyjne i upadłościowe, ogłoszenia, zamówienia, umowy i pomoc publiczna, znaki towarowe, koncesje i wpisy w rejestrach, informacja o wpisie na listę sankcyjną, dane kontaktowe, powiązania między podmiotami oraz — w zakresie opisanym w § 3.6 — dane osób fizycznych.

Listy sankcyjne łączymy z podmiotami wyłącznie po jednoznacznym identyfikatorze (KRS, NIP lub REGON) podanym we wpisie na liście; nie przypisujemy wpisów osobom na podstawie samego imienia i nazwiska. W przypadku jednoosobowych działalności gospodarczych dane z powyższych źródeł prezentujemy wyłącznie na zasadach opisanych w § 3.6.

3.6. Publikacja danych osobowych z rejestrów

Zasady publikacji i udostępniania danych osobowych osób fizycznych pozyskanych z publicznych rejestrów różnią się w zależności od rejestru źródłowego:

Podmioty wpisane do KRS (spółki handlowe, stowarzyszenia, fundacje i inne podmioty):

• dane osobowe członków organów reprezentacji i nadzoru, prokurentów, likwidatorów, wspólników i akcjonariuszy publikujemy na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — weryfikacja kontrahentów i jawność obrotu gospodarczego); obowiązek informacyjny realizujemy w sposób opisany w § 6;
• prezentujemy imię i nazwisko, funkcję, okres jej pełnienia, liczbę i wartość udziałów lub akcji oraz przybliżony wiek;
• gdy lista wspólników złożona do Repozytorium Akt Rejestrowych obejmuje cały kapitał spółki, uzupełniamy nią strukturę własności — także o wspólników, których nie wykazuje odpis z KRS (np. z udziałem poniżej 10% kapitału); prezentujemy wyłącznie imię, nazwisko i udziały, a pliki akt nie są udostępniane;
• dane osób prezentujemy w modułach reprezentacji, struktury własności i powiązań, wyłącznie na profilach podmiotów — nie prowadzimy odrębnych stron poświęconych osobom fizycznym.

Beneficjenci rzeczywiści (CRBR). Imię i nazwisko, przybliżony wiek, obywatelstwo, kraj zamieszkania i charakter uprawnień beneficjenta rzeczywistego udostępniamy wyłącznie zalogowanym użytkownikom platformy oraz klientom API i MCP korzystającym z klucza dostępu. Dla użytkowników niezalogowanych i wyszukiwarek internetowych dane te są niedostępne. Każde wyświetlenie lub pobranie tych danych jest rejestrowane (użytkownik lub klucz API, kanał, podmiot, czas, adres IP), co pozwala ustalić, komu dane zostały udostępnione. Na podstawie danych z CRBR nie budujemy powiązań między osobami.

Podmioty wpisane do CEIDG (jednoosobowe działalności gospodarcze):

• z uwagi na obecność adresu wykonywania działalności w CEIDG profil jednoosobowej działalności — wraz z imieniem i nazwiskiem właściciela — publikujemy dopiero po wysłaniu powiadomienia z art. 14 RODO na aktywny adres e-mail ujawniony w rejestrze;
• jeżeli w rejestrze nie ma adresu e-mail lub adres jest nieaktywny, profil nie jest publikowany ani prezentowany na platformie (w tym w wyszukiwarce, API, MCP, eksporcie i asystencie AI);
• po uwzględnieniu sprzeciwu właściciela profil jest ukrywany, a jego dane usuwane z platformy; zachowujemy wyłącznie numer NIP wraz z adnotacją o sprzeciwie, aby dane nie zostały ponownie pobrane z rejestru.

Powiązania jednoosobowych działalności z osobami z KRS. Ponieważ CEIDG nie ujawnia numeru PESEL, powiązanie właściciela jednoosobowej działalności z osobą występującą w KRS ustalamy na podstawie zgodności imienia i nazwiska, ich częstości w Polsce (dane GUS), lokalizacji oraz wspólnych danych kontaktowych (e-mail, telefon, domena, rachunek z białej listy, adres). Prezentujemy wyłącznie powiązania o wysokim prawdopodobieństwie, z oznaczeniem poziomu pewności („Prawdopodobnie ta sama osoba” albo „Ta sama osoba (wysoka pewność)”), i wyłącznie dla działalności, wobec których zrealizowaliśmy obowiązek z art. 14 RODO. Błędne powiązanie można zgłosić na adres [email protected] — po weryfikacji trwale je wyłączamy.

Oznaczenie struktury rodzinnej. Jeżeli wspólnicy będący osobami fizycznymi noszą to samo nazwisko, na karcie struktury własności informujemy, że struktura udziałów wskazuje na kontrolę rodzinną. Oznaczenie dotyczy podmiotu, opiera się wyłącznie na nazwiskach widocznych na profilu i ma charakter wskazówki, a nie stwierdzenia faktu. Błędne oznaczenie można zgłosić na adres [email protected].

Postępowania, ogłoszenia i sankcje. Informacje z KRZ odzwierciedlają aktualny stan rejestru — wpis usunięty z KRZ znika z profilu przy kolejnym odświeżeniu danych. Ogłoszenia z MSiG prezentujemy w brzmieniu z urzędowego publikatora. Informacja o wpisie na listę sankcyjną jest aktualizowana wraz z listą źródłową.

Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO). Aby ograniczyć zakres prezentowanych danych osobowych do niezbędnego minimum, w odniesieniu do osób fizycznych:

• nie prezentujemy numeru PESEL ani pełnej daty urodzenia; w celu odróżnienia osób o identycznym imieniu i nazwisku prezentujemy wyłącznie przybliżony wiek wyliczony na podstawie roku urodzenia z KRS lub daty urodzenia z CRBR (np. „47 l.”). Pełna data urodzenia oraz PESEL nie są udostępniane w interfejsie platformy, przez API, MCP, w eksporcie danych ani w asystencie AI;
• zakres danych osobowych ograniczamy do informacji wynikających z roli pełnionej w podmiocie; nie pozyskujemy adresów zamieszkania, prywatnych numerów telefonów ani danych z prywatnych profili osób fizycznych w mediach społecznościowych;
• na uzasadniony sprzeciw możemy ukryć przybliżony wiek lub wpis z CRBR konkretnej osoby, a także wycofać z profilu adres e-mail lub numer telefonu.

Dane kontaktowe podmiotów. Adres e-mail i numer telefonu podmiotu — pochodzące z rejestru lub ze strony internetowej podmiotu — nie są widoczne dla użytkowników niezalogowanych ani dla wyszukiwarek; udostępniamy je wyłącznie zalogowanym użytkownikom, przez API i w eksporcie. To dodatkowy środek bezpieczeństwa (art. 32 RODO), ograniczający automatyczne pozyskiwanie adresów i nadużycia. Dane kontaktowe udostępniamy w celu nawiązywania kontaktów B2B z podmiotami, w tym weryfikacji kontrahentów i pozyskiwania klientów. Compabase nie wysyła korespondencji w imieniu użytkowników. Użytkownik, który wykorzystuje te dane do kontaktu, działa jako odrębny administrator i samodzielnie odpowiada za podstawę prawną kontaktu, w tym za uzyskanie zgody na przesyłanie informacji handlowej środkami komunikacji elektronicznej oraz na marketing telefoniczny, jeżeli wymagają jej przepisy ustawy Prawo komunikacji elektronicznej. Na żądanie wycofujemy adres e-mail lub numer telefonu z profilu, w szczególności adres zawierający imię i nazwisko osoby fizycznej.

4. Źródła danych

Dane z rejestrów, sprawozdań, wykazów i list wymienionych w § 3.5 pochodzą z publicznie dostępnych źródeł urzędowych i nie są pozyskiwane bezpośrednio od osób fizycznych. Opisy działalności, dane kontaktowe i profile w mediach społecznościowych podmiotów pochodzą z publicznie dostępnych stron internetowych tych podmiotów.

Dane konta użytkownika portalu oraz dane transakcyjne pochodzą bezpośrednio od użytkownika lub powstają w związku z korzystaniem z usług.

Dodatkowo dane prezentowane na profilu podmiotu mogą pochodzić bezpośrednio od osoby uprawnionej do reprezentowania danego podmiotu lub powiązanej z nim, która skorzystała z funkcji samodzielnej aktualizacji i korekty danych profilu (zob. § 14). Dane przekazane w ten sposób są przechowywane jako odrębna warstwa informacji uzupełniających i nie modyfikują treści oficjalnych rejestrów publicznych.

5. Cele i podstawy prawne przetwarzania

Przetwarzamy dane na następujących podstawach prawnych:

5.1. Wykonanie umowy (art. 6 ust. 1 lit. b RODO)
W celu:

• prowadzenia konta w portalu i świadczenia usług platformy,
• realizacji umów i dostarczenia zamówionych usług (w tym eksportu informacji z platformy),
• potwierdzania płatności.

5.2. Obowiązek prawny (art. 6 ust. 1 lit. c RODO)
W celu:

• wystawiania faktur VAT,
• prowadzenia dokumentacji księgowej.

5.3. Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO)
W celu:

• zapewnienia ustrukturyzowanego dostępu do jawnych informacji gospodarczych z rejestrów publicznych, służącego weryfikacji kontrahentów i bezpieczeństwu obrotu (m.in. due diligence, procedury KYC/AML, ocena ryzyka kredytowego, analiza rynku),
• umożliwienia nawiązywania kontaktów B2B z podmiotami przy wykorzystaniu ich danych kontaktowych (w granicach § 3.6),
• budowy i prezentacji powiązań między podmiotami i osobami oraz oznaczeń dotyczących struktury własności (w granicach § 3.6),
• ewidencji dostępu do danych o beneficjentach rzeczywistych (rozliczalność, art. 5 ust. 2 RODO),
• zapewnienia bezpieczeństwa platformy i zapobiegania nadużyciom,
• dochodzenia lub obrony roszczeń,
• utrzymania technicznej integralności systemów przetwarzania danych.

Dane nieosobowe z rejestrów (dane podmiotu, finanse, adresy, PKD itd.) przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO w celu ustrukturyzowanego dostępu do jawnych informacji gospodarczych.

Dane osobowe (imię, nazwisko, funkcja, udziały osoby fizycznej, przybliżony wiek, status beneficjenta rzeczywistego, właściciel JDG) przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO na zasadach i w zakresie opisanym w § 3.6.

Administrator przeprowadził i regularnie aktualizuje ocenę prawnie uzasadnionego interesu (Legitimate Interest Assessment) — ostatnio w październiku 2026 r. Wynik oceny przedstawiamy na żądanie osoby, której dane dotyczą.

6. Obowiązek informacyjny (art. 14 RODO)

Gdy dane osobowe nie są pozyskiwane bezpośrednio od osób fizycznych, realizujemy obowiązek z art. 14 RODO na następujących zasadach:

• Podmioty wpisane do KRS: z uwagi na brak danych kontaktowych osób fizycznych w rejestrze źródłowym oraz niewspółmiernie duży wysiłek wymagany do ich indywidualnego pozyskiwania (art. 14 ust. 5 lit. b RODO), obowiązek informacyjny realizowany jest poprzez publiczne udostępnienie niniejszej Polityki prywatności na stronie internetowej serwisu. Dodatkowo, jeżeli w rejestrze ujawniony jest adres e-mail podmiotu, wysyłamy na niego powiadomienie informacyjne (z domeny compabase-legal.com);
• Podmioty wpisane do CEIDG: przed publikacją profilu wysyłamy powiadomienie informacyjne na aktywny adres e-mail ujawniony w rejestrze (z domeny compabase-legal.com), z odesłaniem do niniejszej Polityki; bez takiego powiadomienia profil nie jest publikowany;
• w przypadku osób fizycznych kontaktujących się z nami bezpośrednio — przetwarzamy dane zawarte w korespondencji, realizując obowiązek informacyjny poprzez udostępnienie niniejszej Polityki.

Korespondencja informacyjna z art. 14 nie stanowi komunikacji marketingowej i służy wyłącznie realizacji obowiązków prawnych.

7. Zautomatyzowane przetwarzanie i transformacja danych

Compabase dokonuje zautomatyzowanego pozyskiwania, normalizacji i analizy publicznie dostępnych danych.

Wskaźniki finansowe (np. EBITDA, wskaźniki wzrostu, wskaźniki stabilności) oraz szacunkowa wycena mogą być wyprowadzane, obliczane, szacowane lub interpretowane algorytmicznie i stanowią analityczną reprezentację publicznych danych finansowych podmiotu.

Platforma może generować opisy działalności podmiotów na podstawie publicznie dostępnych informacji, budować graf powiązań między podmiotami a osobami oraz wyznaczać oznaczenia dotyczące struktury własności (w granicach § 3.6). Powiązania jednoosobowych działalności z osobami z KRS są wyznaczane probabilistycznie i oznaczane poziomem pewności.

Platforma może podejmować działania mające na celu zapewnienie aktualności i jakości danych, w tym ich technicznej weryfikacji.

Compabase nie stosuje zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO i nie wywołuje skutków prawnych wobec osób fizycznych.

8. Udostępnianie danych i odbiorcy

Nie sprzedajemy danych osobowych jako odrębnych produktów. Narzędzia analityczne i reklamowe (Google Analytics, Meta Pixel) stosujemy wyłącznie po uzyskaniu zgody użytkownika. Platforma udostępnia użytkownikom dostęp do publicznie dostępnych danych firm (przeglądanie profili w serwisie, API, serwer MCP, eksport plików i asystent AI), w tym danych osobowych ujawnionych w rejestrach publicznych (zgodnie z zasadami w § 3.6). Dane o beneficjentach rzeczywistych udostępniamy wyłącznie identyfikowalnym odbiorcom (zalogowanym użytkownikom oraz klientom API i MCP), a każdy taki dostęp jest rejestrowany.

Dane osobowe reprezentantów ujawnione w rejestrach (m.in. imię, nazwisko, funkcja) stanowią składową danych rejestrowych podmiotu i są dostępne dla użytkowników w ramach przeglądania profilu, interfejsu programistycznego (API) oraz eksportu danych jako element tych danych rejestrowych (zgodnie z § 3.6). Dane osobowe nie są jednak odrębnym produktem komercyjnym — nie są sprzedawane ani udostępniane jako wyodrębniona baza danych osobowych.

Dane mogą być powierzane lub udostępniane następującym kategoriom odbiorców (podmiotom przetwarzającym na nasze zlecenie lub współpracującym):

• dostawcom usług płatniczych (np. Stripe),
• dostawcy hostingu — Hetzner Online GmbH (serwery w Niemczech i Finlandii), na którego infrastrukturze utrzymujemy aplikację i bazę danych,
• dostawcom narzędzi do wysyłki powiadomień informacyjnych z art. 14 RODO,
• dostawcom modeli i usług sztucznej inteligencji obsługujących asystenta AI (m.in. OpenAI Ireland Ltd; zob. § 15), działającym jako podmioty przetwarzające na nasze zlecenie i bez prawa wykorzystywania przekazanych treści do trenowania modeli,
• dostawcom narzędzi analitycznych i reklamowych (Google Analytics, Meta Pixel) — wyłącznie po uzyskaniu zgody użytkownika,
• podmiotom świadczącym usługi księgowe i podatkowe,
• podmiotom wspierającym bezpieczeństwo, utrzymanie i rozwój platformy.

Wszystkie podmioty przetwarzające dane działają na podstawie umów powierzenia przetwarzania danych (art. 28 RODO), jeżeli jest to wymagane.

9. Przekazywanie danych poza EOG

Ze względu na globalny charakter niektórych dostawców infrastruktury (np. płatności) dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym.

W takich przypadkach stosowane są odpowiednie zabezpieczenia, w tym standardowe klauzule umowne Komisji Europejskiej lub równoważne mechanizmy prawne, jeżeli są wymagane. Główna infrastruktura platformy i bazy danych jest utrzymywana w Unii Europejskiej.

10. Okres przechowywania danych

Dokumentacja księgowa i rozliczeniowa: przez okres wymagany przepisami prawa podatkowego.

Dane konta użytkownika portalu: przez czas posiadania aktywnego konta, a po jego usunięciu – przez okres do upływu ogólnych terminów przedawnienia ewentualnych roszczeń cywilnoprawnych (standardowo 3 lub 6 lat, zgodnie z przepisami Kodeksu cywilnego).

Adres e-mail związany z transakcją: wyłącznie tak długo, jak jest to niezbędne do dostawy i rozwiązania problemów technicznych.

Logi techniczne: przez ograniczony okres niezbędny do bezpieczeństwa i integralności systemu.

Rejestr dostępu do danych o beneficjentach rzeczywistych: 3 lata od dnia dostępu.

Publiczne dane z rejestrów (nieosobowe): tak długo, jak pozostają w oficjalnych rejestrach publicznych lub są niezbędne do ciągłości informacji gospodarczej.

Dane osobowe z rejestrów: przez czas ich ujawnienia we właściwym rejestrze publicznym, chyba że wcześniej zaistnieją przesłanki do zaprzestania publikacji (np. uwzględnienie sprzeciwu osoby, której dane dotyczą). Funkcje zakończone prezentujemy jako historyczne, tak jak w rejestrze. Dane z CRBR, KRZ i list sankcyjnych odzwierciedlają aktualny stan źródła i są usuwane z platformy wraz z ich usunięciem w źródle. Po usunięciu z platformy dane mogą być archiwizowane wyłącznie przez czas trwania terminów przedawnienia roszczeń.

Dane kontaktowe podmiotów: dopóki są aktywne i przypisane do podmiotu; dane wycofane na żądanie nie są ponownie publikowane.

Powiązania i oznaczenia wyznaczane przez platformę: są przeliczane na bieżąco i znikają wraz z danymi, na podstawie których je wyznaczono.

Adnotacja o uwzględnionym sprzeciwie (identyfikator podmiotu lub osoby i data): bez ograniczenia czasowego, ponieważ jest niezbędna, aby dane nie zostały ponownie pobrane i opublikowane.

11. Prawa osób, których dane dotyczą

Wszystkim osobom, których dane osobowe przetwarzamy (zarówno użytkownikom platformy, jak i osobom ujawnionym w profilach gospodarczych), przysługują następujące prawa:

• dostępu do swoich danych (art. 15 RODO),
• żądania sprostowania (art. 16 RODO),
• żądania usunięcia danych (art. 17 RODO) — w granicach przewidzianych prawem, w szczególności gdy dane nadal występują w rejestrze publicznym,
• żądania ograniczenia przetwarzania (art. 18 RODO),
• prawa do przenoszenia danych (art. 20 RODO) — w odniesieniu do danych przetwarzanych w sposób zautomatyzowany na podstawie umowy,
• wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO (art. 21 RODO).

Każdy wniosek i sprzeciw są rozpatrywane indywidualnie. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie jednego miesiąca od otrzymania wniosku (art. 12 ust. 3 RODO), z zastrzeżeniem przypadków przewidzianych w RODO. Jeżeli sprzeciw lub wniosek okaże się zasadny, przetwarzanie może zostać ograniczone, zmodyfikowane lub — w zakresie technicznie możliwym — dane osobowe mogą zostać usunięte z prezentacji na platformie (przy pozostawieniu danych nieosobowych podmiotu wynikających z rejestru).

W szczególności: po uwzględnieniu sprzeciwu właściciela jednoosobowej działalności ukrywamy jej profil i usuwamy dane; wobec osób ujawnionych w KRS możemy — po wskazaniu szczególnej sytuacji — ukryć przybliżony wiek lub wpis z CRBR; na żądanie wycofujemy adres e-mail lub numer telefonu z profilu i wyłączamy błędne powiązanie. W odpowiedzi na wniosek z art. 15 RODO wskazujemy również odbiorców, którym udostępniono dane osoby z CRBR (na podstawie rejestru dostępu).

Wnioski można składać na adres: [email protected] (temat: „RODO”).

Przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.

12. Pliki cookies

Compabase stosuje pliki cookies w dwóch kategoriach:

• Niezbędne (zawsze aktywne): sesja, logowanie, płatności, język, waluta i prawidłowe działanie serwisu.
• Analityczne i marketingowe (tylko za zgodą): Google Analytics (pomiar ruchu) oraz Meta Pixel (pomiar skuteczności i dopasowanie komunikacji). Skrypty i cookies tych narzędzi ładujemy dopiero po akceptacji w banerze cookies.

Bez zgody pozostają wyłącznie cookies niezbędne do obsługi strony. Zgodę można w każdej chwili zmienić w stopce serwisu („Ustawienia cookies”).

13. Środki bezpieczeństwa

Stosujemy odpowiednie środki organizacyjne i techniczne w celu ochrony danych, w tym bezpieczną infrastrukturę, mechanizmy kontroli dostępu, szyfrowanie transmisji danych oraz monitorowanie w celu zapobiegania nieautoryzowanemu dostępowi i nadużyciom.

W ramach minimalizacji ryzyka stosujemy m.in. ukrycie adresów e-mail i numerów telefonów przed użytkownikami niezalogowanymi (zob. § 3.6), udostępnianie danych z CRBR wyłącznie identyfikowalnym odbiorcom wraz z rejestrem dostępu, ograniczanie zakresu prezentowanych danych osobowych (m.in. brak PESEL i pełnej daty urodzenia, prezentacja jedynie przybliżonego wieku) oraz techniczne ograniczenia dostępu do danych przez API, serwer MCP, eksport i asystenta AI.

14. Samoobsługowa aktualizacja i korekta danych profilu

Udostępniamy funkcję umożliwiającą osobom uprawnionym do reprezentowania podmiotu lub z nim powiązanym samodzielne uzupełnianie, aktualizowanie i poprawianie danych prezentowanych na profilu podmiotu (np. opisu działalności, logo, danych kontaktowych). Funkcja ta służy zapewnieniu prawidłowości i aktualności danych (art. 5 ust. 1 lit. d RODO) oraz ułatwia realizację prawa do sprostowania (art. 16 RODO).

Z funkcji można skorzystać na dwa sposoby:

• po zalogowaniu do portalu i potwierdzeniu uprawnień do zarządzania profilem (weryfikacja na podstawie domeny firmowego adresu e-mail zgodnej z danymi rejestrowymi podmiotu),
• bez zakładania konta — w trybie jednorazowej edycji, po potwierdzeniu kontroli nad firmowym adresem e-mail (weryfikacja domenowa za pomocą jednorazowego, ograniczonego czasowo linku przesyłanego na adres w domenie podmiotu).

Weryfikacja domenowa ma na celu zapewnienie, że dane modyfikuje wyłącznie osoba kontrolująca podmiot. Dane przekazane w ramach tej funkcji przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO (zapewnienie aktualności i jakości informacji gospodarczej). Dane wprowadzone tą drogą stanowią warstwę informacji uzupełniających i nie zmieniają treści oficjalnych rejestrów publicznych.

15. Asystent AI (sztuczna inteligencja)

Na platformie udostępniamy asystenta opartego na sztucznej inteligencji (AI), który umożliwia zadawanie pytań w języku naturalnym dotyczących danych gospodarczych dostępnych w serwisie i prezentowanie odpowiedzi, wizualizacji oraz plików na ich podstawie.

• Brak trenowania modeli na danych użytkowników. Nie trenujemy, nie dostrajamy ani nie budujemy własnych modeli AI w oparciu o dane użytkowników, treść zapytań ani dane z platformy. Korzystamy z modeli udostępnianych przez zewnętrznych dostawców (m.in. OpenAI), działających jako podmioty przetwarzające na nasze zlecenie; treści przekazywane do modelu nie są wykorzystywane przez dostawcę do trenowania jego modeli. Jeżeli użytkownik skonfiguruje własny klucz dostawcy AI, zapytania są przekazywane do wybranego przez niego dostawcy na warunkach umowy łączącej użytkownika z tym dostawcą.
• Ograniczony, kontrolowany dostęp do danych. Asystent uzyskuje dostęp do danych wyłącznie za pośrednictwem zdefiniowanych przez nas narzędzi (interfejs typu MCP), które stanowią z góry określone, parametryzowane zapytania do bazy danych przeznaczone wyłącznie do odczytu. Narzędzia te operują na ograniczonym zbiorze danych i widoków, które uwzględniają opisane w niniejszej polityce ograniczenia dotyczące danych osobowych (m.in. bramkę z art. 14 RODO, brak dostępu do numeru PESEL i pełnej daty urodzenia oraz udostępnianie danych z CRBR wyłącznie identyfikowalnym użytkownikom).
• Pliki generowane przez asystenta. Asystent może przygotować plik CSV, Excel lub JSON z danymi dostępnymi na platformie. Plik obejmuje wyłącznie dane, które użytkownik może zobaczyć w serwisie, z tymi samymi ograniczeniami dotyczącymi danych osobowych.
• Brak zautomatyzowanego podejmowania decyzji. Asystent AI ma charakter wyłącznie informacyjny i pomocniczy. Nie podejmuje wobec osób fizycznych decyzji wywołujących skutki prawne ani podobnie istotnych w rozumieniu art. 22 RODO. Wyniki generowane przez asystenta mogą zawierać nieścisłości i wymagają samodzielnej weryfikacji.
• Treść interakcji. Treść zapytań kierowanych do asystenta, treść odpowiedzi oraz związane z nimi metadane techniczne (historia czatu) są rejestrowane i przechowywane w celu świadczenia usługi, zapewnienia jej bezpieczeństwa, kontroli jakości, audytu, zapobiegania nadużyciom oraz dokumentowania ewentualnych prób obejścia lub manipulacji zabezpieczeniami (art. 6 ust. 1 lit. b i f RODO). Historia czatu nie jest wykorzystywana do trenowania modeli AI; może natomiast stanowić środek dowodowy w postępowaniach dotyczących naruszenia Regulaminu, w tym prób obejścia zabezpieczeń.