Polityka prywatności

1. Administrator danych

Administratorem danych dla platformy Compabase jest Content Writer Sp. z o.o. z siedzibą przy ul. Strzeleckiej 29A/39, 61-846 Poznań, Polska.

KRS: 0001088645

NIP: 7792567297

Kontakt w sprawach ochrony danych: [email protected]

Administrator nie powołał inspektora ochrony danych. W sprawach RODO prosimy o kontakt na powyższy adres.

Usługi Compabase są świadczone pod marką Compabase (compabase.com). Powiadomienia informacyjne z art. 14 RODO mogą być wysyłane z domeny compabase-legal.com — obie domeny są obsługiwane przez tego samego administratora (Content Writer Sp. z o.o.).

2. Zakres niniejszej polityki

Niniejsza Polityka prywatności opisuje:

• w jaki sposób przetwarzamy dane użytkowników korzystających z konta w portalu Compabase,
• w jaki sposób przetwarzamy dane użytkowników nabywających zestawy danych,
• w jaki sposób przetwarzamy i publikujemy dane z publicznych rejestrów gospodarczych (KRS, CEIDG),
• w jaki sposób realizujemy obowiązek informacyjny wynikający z art. 14 RODO,
• w jaki sposób umożliwiamy samodzielną aktualizację i korektę danych na profilu podmiotu (również bez zakładania konta) — zob. § 14,
• w jaki sposób działa asystent oparty na sztucznej inteligencji (AI) udostępniany na platformie — zob. § 15,
• w jaki sposób chronimy dane techniczne i transakcyjne związane z korzystaniem z platformy.

Compabase jest platformą typu B2B służącą do analizy danych gospodarczych i jest przeznaczona wyłącznie do użytku profesjonalnego. Dostęp do profili firm w serwisie oraz eksport zestawów danych podlega niniejszej polityce.

3. Kategorie przetwarzanych danych

3.1. Dane konta użytkownika portalu

W przypadku rejestracji i korzystania z konta w portalu Compabase możemy przetwarzać:

• adres e-mail powiązany z kontem,
• identyfikator użytkownika w systemie uwierzytelniania,
• dane podane w onboardingu (np. reprezentowana firma, osoba kontaktowa, ustawienia konta),
• treść zapytań do asystenta na platformie (jeśli z tej funkcji korzystasz),
• listę obserwowanych podmiotów (watchlista).

3.2. Dane transakcyjne i rozliczeniowe

Zbieramy wyłącznie dane niezbędne do realizacji umów i dostarczenia zamówionych usług (w tym eksportu informacji z platformy) oraz wystawienia faktur, w tym:

• adres e-mail,
• nazwę firmy,
• numer identyfikacji podatkowej (NIP/VAT),
• dane do faktury.

3.3. Dane dotyczące płatności

Płatności są przetwarzane przez zewnętrznych dostawców usług płatniczych (np. Stripe). Nie przechowujemy numerów kart płatniczych ani danych dostępowych do rachunków bankowych.

3.4. Dane techniczne

Podstawowe logi techniczne mogą obejmować:

• adres IP,
• metadane zapytań,
• znaczniki czasu.

Dane te są wykorzystywane wyłącznie w celu zapewnienia bezpieczeństwa, stabilności systemu, zapobiegania nadużyciom i oszustwom.

3.5. Publiczne dane z rejestrów gospodarczych

Compabase przetwarza i strukturyzuje dane pochodzące przede wszystkim z publicznie dostępnych oficjalnych rejestrów i dokumentów rejestrowych, w tym:

• Krajowego Rejestru Sądowego (KRS),
• Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG),
• sprawozdań finansowych składanych do publicznych repozytoriów,
• Wykazu podatników VAT (tzw. białej listy) prowadzonego przez Ministra Finansów (status VAT oraz firmowe rachunki bankowe zgłoszone do wykazu).

Platforma obejmuje zarejestrowane spółki (KRS) oraz jednoosobowe działalności gospodarcze (CEIDG). W profilach mogą być prezentowane m.in.: nazwa podmiotu, KRS, NIP, REGON, forma prawna, adres, status, daty rejestracji, dane finansowe i wskaźniki wyliczone algorytmicznie, opisy działalności, status rejestracji jako podatnika VAT oraz firmowe rachunki bankowe z wykazu podatników VAT, powiązania między podmiotami (graf powiązań) oraz — w zakresie opisanym w § 3.6 — dane osób fizycznych.

Dane dotyczące statusu VAT oraz firmowych rachunków bankowych odnoszą się do podmiotu gospodarczego (a nie do osoby fizycznej) i pochodzą z jawnego, urzędowego wykazu prowadzonego na podstawie przepisów podatkowych. W przypadku jednoosobowych działalności gospodarczych dane te prezentujemy z poszanowaniem zasad opisanych w § 3.6.

3.6. Publikacja danych osobowych z rejestrów

Zasady publikacji i udostępniania danych osobowych osób fizycznych pozyskanych z publicznych rejestrów różnią się w zależności od rejestru źródłowego:

Podmioty wpisane do KRS (spółki handlowe, stowarzyszenia i inne podmioty korporacyjne):

• dane osobowe osób fizycznych (członków organów reprezentacji, nadzorczych, prokurentów, wspólników oraz beneficjentów rzeczywistych CRBR) publikujemy na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — jawność obrotu gospodarczego) w zw. z art. 14 ust. 5 lit. b RODO;
• z uwagi na fakt, że rejestr KRS nie zawiera danych kontaktowych osób fizycznych (adresów e-mail, prywatnych adresów zamieszkania), ich indywidualne ustalanie wymagałoby niewspółmiernie dużego wysiłku. Obowiązek informacyjny z art. 14 RODO realizowany jest zastępczo poprzez udostępnienie niniejszej Polityki prywatności na stronie internetowej serwisu;
• dane osób fizycznych prezentowane są w module reprezentacji, udziałów, beneficjentów rzeczywistych (CRBR) oraz w module powiązań.

Podmioty wpisane do CEIDG (jednoosobowe działalności gospodarcze):

• z uwagi na obecność adresu rejestrowego w CEIDG, publikacja danych osobowych właściciela (imię, nazwisko, funkcja) następuje po spełnieniu obowiązku informacyjnego z art. 14 RODO, polegającego na wysłaniu powiadomienia e-mail na adres ujawniony w rejestrze;
• w przypadku braku adresu e-mail profil podmiotu z CEIDG nie jest w ogóle publikowany ani prezentowany na platformie.

Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO). Aby ograniczyć zakres prezentowanych danych osobowych do niezbędnego minimum, w odniesieniu do osób fizycznych:

• nie prezentujemy numeru PESEL ani pełnej daty urodzenia; w sytuacjach, w których pomocne jest odróżnienie osób o identycznym imieniu i nazwisku, prezentujemy wyłącznie przybliżony wiek wyliczony na podstawie roku urodzenia (np. „47 l.”). Pełna data urodzenia oraz PESEL nie są udostępniane w interfejsie platformy, przez interfejs programistyczny (API) ani w eksporcie danych;
• zakres danych osobowych ograniczamy do informacji wynikających z funkcji pełnionej w podmiocie (imię, nazwisko, funkcja, udziały osoby fizycznej, przybliżony wiek).

Ochrona publicznego adresu e-mail przed nieuprawnionym wykorzystaniem. Publiczny adres e-mail podmiotu ujawniony w rejestrze nie jest widoczny dla użytkowników niezalogowanych i pozostaje ukryty (zamaskowany) w widoku publicznym. Udostępniamy go wyłącznie zalogowanym użytkownikom platformy. Rozwiązanie to — będące dodatkowym środkiem bezpieczeństwa danych (art. 32 RODO) — ma na celu ograniczenie automatycznego pozyskiwania (scrapingu) adresów oraz przeciwdziałanie nadużyciom, w szczególności niezamówionej komunikacji marketingowej. Compabase wyłącznie udostępnia dane z rejestru; każdy użytkownik, który zamierza nawiązać kontakt z wykorzystaniem takiego adresu, ponosi samodzielną odpowiedzialność za posiadanie odpowiedniej podstawy prawnej i wymaganych zgód (m.in. w zakresie marketingu bezpośredniego i komunikacji elektronicznej).

4. Źródła danych

Dane z rejestrów gospodarczych, sprawozdań oraz wykazu podatników VAT pochodzą z publicznie dostępnych źródeł urzędowych i nie są pozyskiwane bezpośrednio od osób fizycznych.

Dane konta użytkownika portalu oraz dane transakcyjne pochodzą bezpośrednio od użytkownika lub powstają w związku z korzystaniem z usług.

Dodatkowo dane prezentowane na profilu podmiotu mogą pochodzić bezpośrednio od osoby uprawnionej do reprezentowania danego podmiotu lub powiązanej z nim, która skorzystała z funkcji samodzielnej aktualizacji i korekty danych profilu (zob. § 14). Dane przekazane w ten sposób są przechowywane jako odrębna warstwa informacji uzupełniających i nie modyfikują treści oficjalnych rejestrów publicznych.

Publiczne adresy e-mail z dokumentów rejestrowych publikujemy wyłącznie w ramach profilu podmiotu i po spełnieniu art. 14 RODO. Na żądanie osoby, której dane dotyczą, lub w związku z realizacją praw z RODO możemy zaprzestać publikacji adresu e-mail na profilu podmiotu, nawet jeśli nadal występuje w publicznym rejestrze.

5. Cele i podstawy prawne przetwarzania

Przetwarzamy dane na następujących podstawach prawnych:

5.1. Wykonanie umowy (art. 6 ust. 1 lit. b RODO)
W celu:

• prowadzenia konta w portalu i świadczenia usług platformy,
• realizacji umów i dostarczenia zamówionych usług (w tym eksportu informacji z platformy),
• potwierdzania płatności.

5.2. Obowiązek prawny (art. 6 ust. 1 lit. c RODO)
W celu:

• wystawiania faktur VAT,
• prowadzenia dokumentacji księgowej.

5.3. Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO)
W celu:

• zapewnienia ustrukturyzowanego dostępu do publicznie dostępnych informacji gospodarczych z KRS, CEIDG i sprawozdań,
• utrzymania przejrzystości informacji ekonomicznych i weryfikacji kontrahentów,
• budowy i prezentacji powiązań między podmiotami i osobami (w granicach § 3.6),
• zapewnienia bezpieczeństwa platformy i zapobiegania nadużyciom,
• dochodzenia lub obrony roszczeń,
• utrzymania technicznej integralności systemów przetwarzania danych.

Dane nieosobowe z rejestrów (dane podmiotu, finanse, adresy, PKD itd.) przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO w celu ustrukturyzowanego dostępu do jawnych informacji gospodarczych.

Dane osobowe (imię, nazwisko, funkcja, udziały osoby fizycznej, właściciel JDG) przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO na zasadach i w zakresie opisanym w § 3.6.

Administrator przeprowadził analizę prawnie uzasadnionego interesu (Legitimate Interest Assessment) w celu zapewnienia proporcjonalności i wyważenia interesów.

6. Obowiązek informacyjny (art. 14 RODO)

Gdy dane osobowe nie są pozyskiwane bezpośrednio od osób fizycznych, realizujemy obowiązek z art. 14 RODO na następujących zasadach:

• Podmioty wpisane do KRS: z uwagi na brak danych kontaktowych osób fizycznych w rejestrze źródłowym oraz niewspółmiernie duży wysiłek wymagany do ich indywidualnego pozyskiwania (art. 14 ust. 5 lit. b RODO), obowiązek informacyjny realizowany jest poprzez publiczne udostępnienie niniejszej Polityki prywatności na stronie internetowej serwisu;
• Podmioty wpisane do CEIDG: w przypadku dostępności adresu e-mail w rejestrze, wysyłamy powiadomienie informacyjne drogą elektroniczną (z domeny compabase-legal.com) z odesłaniem do niniejszej Polityki;
• w przypadku osób fizycznych kontaktujących się z nami bezpośrednio — przetwarzamy dane zawarte w korespondencji, realizując obowiązek informacyjny poprzez udostępnienie niniejszej Polityki.

Korespondencja informacyjna z art. 14 nie stanowi komunikacji marketingowej i służy wyłącznie realizacji obowiązków prawnych.

7. Zautomatyzowane przetwarzanie i transformacja danych

Compabase dokonuje zautomatyzowanego pozyskiwania, normalizacji i analizy publicznie dostępnych danych.

Wskaźniki finansowe (np. EBITDA, wskaźniki wzrostu, wskaźniki stabilności) mogą być wyprowadzane, obliczane, szacowane lub interpretowane algorytmicznie i stanowią analityczną reprezentację publicznych danych finansowych.

Platforma może generować opisy działalności podmiotów na podstawie publicznie dostępnych informacji oraz budować graf powiązań między podmiotami a osobami (w granicach § 3.6).

Platforma może podejmować działania mające na celu zapewnienie aktualności i jakości danych, w tym ich technicznej weryfikacji.

Compabase nie stosuje zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO i nie wywołuje skutków prawnych wobec osób fizycznych.

8. Udostępnianie danych i odbiorcy

Nie sprzedajemy danych osobowych jako odrębnych produktów. Narzędzia analityczne i reklamowe (Google Analytics, Meta Pixel) stosujemy wyłącznie po uzyskaniu zgody użytkownika. Platforma udostępnia użytkownikom dostęp do publicznie dostępnych danych firm (przeglądanie profili w serwisie, dostęp przez API oraz eksport zestawów), w tym danych osobowych ujawnionych w rejestrach publicznych (zgodnie z zasadami w § 3.6).

Dane osobowe reprezentantów ujawnione w rejestrach (m.in. imię, nazwisko, funkcja) stanowią składową danych rejestrowych podmiotu i są dostępne dla użytkowników w ramach przeglądania profilu, interfejsu programistycznego (API) oraz eksportu danych jako element tych danych rejestrowych (zgodnie z § 3.6). Dane osobowe nie są jednak odrębnym produktem komercyjnym — nie są sprzedawane ani udostępniane jako wyodrębniona baza danych osobowych ani w celach marketingowych.

Dane mogą być powierzane lub udostępniane następującym kategoriom odbiorców (podmiotom przetwarzającym na nasze zlecenie lub współpracującym):

• dostawcom usług płatniczych (np. Stripe),
• dostawcom hostingu i bazy danych w chmurze (np. Supabase — infrastruktura w UE),
• dostawcom narzędzi do wysyłki powiadomień informacyjnych z art. 14 RODO,
• dostawcom modeli i usług sztucznej inteligencji obsługujących asystenta AI (zob. § 15), działającym jako podmioty przetwarzające na nasze zlecenie i bez prawa wykorzystywania przekazanych treści do trenowania modeli,
• dostawcom narzędzi analitycznych i reklamowych (Google Analytics, Meta Pixel) — wyłącznie po uzyskaniu zgody użytkownika,
• podmiotom świadczącym usługi księgowe i podatkowe,
• podmiotom wspierającym bezpieczeństwo, utrzymanie i rozwój platformy.

Wszystkie podmioty przetwarzające dane działają na podstawie umów powierzenia przetwarzania danych (art. 28 RODO), jeżeli jest to wymagane.

9. Przekazywanie danych poza EOG

Ze względu na globalny charakter niektórych dostawców infrastruktury (np. płatności) dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym.

W takich przypadkach stosowane są odpowiednie zabezpieczenia, w tym standardowe klauzule umowne Komisji Europejskiej lub równoważne mechanizmy prawne, jeżeli są wymagane. Główna infrastruktura platformy i bazy danych jest utrzymywana w Unii Europejskiej.

10. Okres przechowywania danych

Dokumentacja księgowa i rozliczeniowa: przez okres wymagany przepisami prawa podatkowego.

Dane konta użytkownika portalu: przez czas posiadania aktywnego konta, a po jego usunięciu – przez okres do upływu ogólnych terminów przedawnienia ewentualnych roszczeń cywilnoprawnych (standardowo 3 lub 6 lat, zgodnie z przepisami Kodeksu cywilnego).

Adres e-mail związany z transakcją: wyłącznie tak długo, jak jest to niezbędne do dostawy i rozwiązania problemów technicznych.

Logi techniczne: przez ograniczony okres niezbędny do bezpieczeństwa i integralności systemu.

Publiczne dane z rejestrów (nieosobowe): tak długo, jak pozostają w oficjalnych rejestrach publicznych lub są niezbędne do ciągłości informacji gospodarczej.

Dane osobowe z rejestrów: do czasu ich usunięcia lub zanonimizowania we właściwym rejestrze publicznym, chyba że wcześniej zaistnieją przesłanki do zaprzestania publikacji (np. uznanie uzasadnionego sprzeciwu osoby, której dane dotyczą). Po usunięciu z platformy dane mogą być archiwizowane wyłącznie przez czas trwania terminów przedawnienia roszczeń.

11. Prawa osób, których dane dotyczą

Wszystkim osobom, których dane osobowe przetwarzamy (zarówno użytkownikom platformy, jak i osobom ujawnionym w profilach gospodarczych), przysługują następujące prawa:

• dostępu do swoich danych (art. 15 RODO),
• żądania sprostowania (art. 16 RODO),
• żądania usunięcia danych (art. 17 RODO) — w granicach przewidzianych prawem, w szczególności gdy dane nadal występują w rejestrze publicznym,
• żądania ograniczenia przetwarzania (art. 18 RODO),
• prawa do przenoszenia danych (art. 20 RODO) — w odniesieniu do danych przetwarzanych w sposób zautomatyzowany na podstawie umowy,
• wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO (art. 21 RODO).

Każdy wniosek i sprzeciw są rozpatrywane indywidualnie. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie jednego miesiąca od otrzymania wniosku (art. 12 ust. 3 RODO), z zastrzeżeniem przypadków przewidzanych w RODO. Jeżeli sprzeciw lub wniosek okaże się zasadny, przetwarzanie może zostać ograniczone, zmodyfikowane lub — w zakresie technicznie możliwym — dane osobowe mogą zostać usunięte z prezentacji na platformie (przy częściowym pozostawieniu danych nieosobowych podmiotu wynikających z rejestru).

Wnioski można składać na adres: [email protected] (temat: „RODO”).

Przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

12. Pliki cookies

Compabase stosuje pliki cookies w dwóch kategoriach:

• Niezbędne (zawsze aktywne): sesja, logowanie, płatności, język, waluta i prawidłowe działanie serwisu.
• Analityczne i marketingowe (tylko za zgodą): Google Analytics (pomiar ruchu) oraz Meta Pixel (pomiar skuteczności i dopasowanie komunikacji). Skrypty i cookies tych narzędzi ładujemy dopiero po akceptacji w banerze cookies.

Bez zgody pozostają wyłącznie cookies niezbędne do obsługi strony. Zgodę można w każdej chwili zmienić w stopce serwisu („Ustawienia cookies”).

13. Środki bezpieczeństwa

Stosujemy odpowiednie środki organizacyjne i techniczne w celu ochrony danych, w tym bezpieczną infrastrukturę, mechanizmy kontroli dostępu, szyfrowanie transmisji danych oraz monitorowanie w celu zapobiegania nieautoryzowanemu dostępowi i nadużyciom.

W ramach minimalizacji ryzyka stosujemy m.in. ukrycie publicznego adresu e-mail przed użytkownikami niezalogowanymi (zob. § 3.6), ograniczanie zakresu prezentowanych danych osobowych (m.in. brak PESEL i pełnej daty urodzenia, prezentacja jedynie przybliżonego wieku) oraz techniczne ograniczenia dostępu do danych przez interfejs programistyczny (API) i asystenta AI.

14. Samoobsługowa aktualizacja i korekta danych profilu

Udostępniamy funkcję umożliwiającą osobom uprawnionym do reprezentowania podmiotu lub z nim powiązanym samodzielne uzupełnianie, aktualizowanie i poprawianie danych prezentowanych na profilu podmiotu (np. opisu działalności, logo, danych kontaktowych). Funkcja ta służy zapewnieniu prawidłowości i aktualności danych (art. 5 ust. 1 lit. d RODO) oraz ułatwia realizację prawa do sprostowania (art. 16 RODO).

Z funkcji można skorzystać na dwa sposoby:

• po zalogowaniu do portalu i potwierdzeniu uprawnień do zarządzania profilem (weryfikacja na podstawie domeny firmowego adresu e-mail zgodnej z danymi rejestrowymi podmiotu),
• bez zakładania konta — w trybie jednorazowej edycji, po potwierdzeniu kontroli nad firmowym adresem e-mail (weryfikacja domenowa za pomocą jednorazowego, ograniczonego czasowo linku przesyłanego na adres w domenie podmiotu).

Weryfikacja domenowa ma na celu zapewnienie, że dane modyfikuje wyłącznie osoba kontrolująca podmiot. Dane przekazane w ramach tej funkcji przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO (zapewnienie aktualności i jakości informacji gospodarczej). Dane wprowadzone tą drogą stanowią warstwę informacji uzupełniających i nie zmieniają treści oficjalnych rejestrów publicznych.

15. Asystent AI (sztuczna inteligencja)

Na platformie udostępniamy asystenta opartego na sztucznej inteligencji (AI), który umożliwia zadawanie pytań w języku naturalnym dotyczących danych gospodarczych dostępnych w serwisie i prezentowanie odpowiedzi oraz wizualizacji na ich podstawie.

• Brak trenowania modeli na danych użytkowników. Nie trenujemy, nie dostrajamy ani nie budujemy własnych modeli AI w oparciu o dane użytkowników, treść zapytań ani dane z platformy. Korzystamy z modeli udostępnianych przez zewnętrznych dostawców, działających jako podmioty przetwarzające na nasze zlecenie; treści przekazywane do modelu nie są wykorzystywane przez dostawcę do trenowania jego modeli.
• Ograniczony, kontrolowany dostęp do danych. Asystent uzyskuje dostęp do danych wyłącznie za pośrednictwem zdefiniowanych przez nas narzędzi (interfejs typu MCP), które stanowią z góry określone, parametryzowane zapytania do bazy danych przeznaczone wyłącznie do odczytu. Narzędzia te operują na ograniczonym zbiorze danych i widoków, które uwzględniają już opisane w niniejszej polityce ograniczenia dotyczące danych osobowych (m.in. bramkę z art. 14 RODO oraz brak dostępu do numeru PESEL i pełnej daty urodzenia).
• Brak zautomatyzowanego podejmowania decyzji. Asystent AI ma charakter wyłącznie informacyjny i pomocniczy. Nie podejmuje wobec osób fizycznych decyzji wywołujących skutki prawne ani podobnie istotnych w rozumieniu art. 22 RODO. Wyniki generowane przez asystenta mogą zawierać nieścisłości i wymagają samodzielnej weryfikacji.
• Treść interakcji. Treść zapytań kierowanych do asystenta, treść odpowiedzi oraz związane z nimi metadane techniczne (historia czatu) są rejestrowane i przechowywane w celu świadczenia usługi, zapewnienia jej bezpieczeństwa, kontroli jakości, audytu, zapobiegania nadużyciom oraz dokumentowania ewentualnych prób obejścia lub manipulacji zabezpieczeniami (art. 6 ust. 1 lit. b i f RODO). Historia czatu nie jest wykorzystywana do trenowania modeli AI; może natomiast stanowić środek dowodowy w postępowaniach dotyczących naruszenia Regulaminu, w tym prób obejścia zabezpieczeń.