Polityka prywatności

Obowiązuje od 20 października 2026 r.

Ten dokument wyjaśnia, jakie dane osobowe przetwarzamy w serwisie WyślijBezpiecznie (wyslijbezpiecznie.pl), w jakim celu, jak długo i jakie prawa Ci przysługują. Najważniejsze: pliki w przesyłkach są szyfrowane na urządzeniu nadawcy, a my przechowujemy je tylko w postaci zaszyfrowanej, bez klucza do ich odczytu. Jak to działa i czego szyfrowanie nie obejmuje, opisujemy na stronie Jak działa szyfrowanie.

1. Administrator danych

Administratorem danych opisanych w tej polityce jest SOFTART Krzysztof Michałowski, ul. Pomorska 16D/11, 80-333 Gdańsk, NIP 5841182350 („my”, „Usługodawca”). Kontakt w sprawach danych osobowych: kontakt@wyslijbezpiecznie.pl, telefon +48 601 654 072, albo pisemnie na adres powyżej. Incydenty bezpieczeństwa i podatności zgłaszaj na bezpieczenstwo@wyslijbezpiecznie.pl.

2. Kiedy jesteśmy administratorem, a kiedy przetwarzamy dane na zlecenie

Jesteśmy administratorem danych osób, które zakładają konto (nadawców), danych firm zweryfikowanych w serwisie, osób zgłaszających się do testów lub piszących do nas oraz danych technicznych potrzebnych do bezpieczeństwa serwisu.
Przetwarzamy dane na zlecenie firmy, która wysyła przesyłkę albo prosi o przesłanie plików: dane odbiorców i osób proszonych o pliki (imię i nazwisko, adres e-mail, numer telefonu) oraz dane zawarte w plikach. Administratorem tych danych jest ta firma, a zasady określa umowa powierzenia przetwarzania (wzór). Jeśli otrzymałeś przesyłkę albo prośbę o pliki i masz pytania o swoje dane, skontaktuj się z tą firmą; pomożemy jej odpowiedzieć.

3. Jakie dane, w jakim celu i na jakiej podstawie

Konto nadawcy i świadczenie usługi

Adres e-mail, imię i nazwisko, hasło (przechowujemy tylko jego skrót), numer telefonu potwierdzony kodem SMS, ustawienia weryfikacji dwuetapowej (sekret zaszyfrowany), firma i rola w zespole, historia wysyłek (odbiorca, liczba i rozmiar plików, statusy, bez treści i nazw plików), szablony próśb o pliki (nazwy dokumentów i wiadomość, zapisane bez szyfrowania), rozliczenia (plan, opłacone okresy, zamówienia, liczba wysłanych SMS-ów z kodami bez numerów i treści). Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO).

Weryfikacja nadawcy i firmy

NIP oraz dane firmy pobrane z publicznych rejestrów (wykaz podatników VAT, KRS, CEIDG), domena firmowa, wynik sprawdzenia przelewu weryfikacyjnego (rachunek zapisujemy w postaci zamaskowanej), dane z certyfikatu podpisu lub pieczęci kwalifikowanej (bez numeru PESEL; podpisanego pliku nie przechowujemy) oraz podstawa i notatka z weryfikacji przez nasz zespół (bez kopii dokumentów). Poziom weryfikacji pokazujemy odbiorcom przesyłek. Podstawa: wykonanie umowy oraz nasz prawnie uzasadniony interes w ochronie odbiorców przed podszywaniem się pod firmy (art. 6 ust. 1 lit. b i f RODO).

Zapis przesyłki

Dla każdej przesyłki zapisujemy skróty SHA-256 plików, nazwę firmy i osoby wysyłającej, poziom weryfikacji, dane odbiorcy oraz czas zdarzeń (wysłanie, otwarcie, pobranie). Służy to pokazywaniu statusów nadawcy, sprawdzaniu plików na stronie „Sprawdź plik” oraz obsłudze nadużyć i reklamacji. Podstawa: wykonanie umowy oraz prawnie uzasadniony interes w zapewnieniu integralności plików i obronie przed roszczeniami (art. 6 ust. 1 lit. b i f RODO).

Bezpieczeństwo i zapobieganie nadużyciom

Informacje o sesjach i zgłoszeniach z adresem IP zapisanym tylko w postaci skrótu, liczniki prób logowania i wpisywania kodów (z adresem IP, wygasają po kilkunastu minutach do godziny), dzienniki serwera (adres IP, czas i adres żądania, bez treści), dziennik zdarzeń przesyłek i działań naszej obsługi oraz zgłoszenia nadużyć od odbiorców. Podstawa: prawnie uzasadniony interes w zapewnieniu bezpieczeństwa serwisu i przeciwdziałaniu nadużyciom (art. 6 ust. 1 lit. f RODO).

Zgłoszenia do testów i kontakt

Imię i nazwisko, e-mail, opcjonalnie firma, telefon, branża, szacowana liczba przesyłek i wiadomość z formularza „Wypróbuj bezpłatnie”. Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą możesz wycofać w każdej chwili, pisząc na kontakt@wyslijbezpiecznie.pl; wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania. Korespondencję mailową przetwarzamy w celu odpowiedzi (art. 6 ust. 1 lit. f RODO).

Obowiązki prawne i roszczenia

Dane potrzebne do rozliczeń (po wprowadzeniu płatności) przetwarzamy w celu wypełnienia obowiązków podatkowych i rachunkowych (art. 6 ust. 1 lit. c RODO), a dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń w oparciu o prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

4. Komu przekazujemy dane

Korzystamy z dostawców, którzy przetwarzają dane na nasze zlecenie, na podstawie umów powierzenia:

OVHcloud: serwer aplikacji (VPS), magazyn zaszyfrowanych plików (Object Storage), kopie zapasowe (Warszawa (serwer i pliki), Frankfurt nad Menem (kopie zapasowe); UE); dane: wszystkie dane serwisu; pliki wyłącznie zaszyfrowane, bez kluczy do odczytu.
MyDevil (mydevil.net): serwer poczty wychodzącej (SMTP) (Polska; UE); dane: adresy e-mail odbiorców i nadawców, treść powiadomień z linkami; bez plików.
SMSAPI (smsapi.pl): bramka SMS (Polska; UE); dane: numer telefonu i treść SMS z kodem dostępu albo kodem potwierdzającym.

Dane firmy pobieramy z publicznych rejestrów, którym przekazujemy jedynie NIP, numer KRS albo numer rachunku do sprawdzenia. Odbiorca przesyłki widzi dane nadawcy: nazwę firmy, NIP, imię i nazwisko osoby wysyłającej i poziom weryfikacji, a w mailu z linkiem także jej adres e-mail jako adres odpowiedzi. Dane możemy też udostępnić organom uprawnionym na podstawie przepisów prawa.

Nie przekazujemy danych poza Europejski Obszar Gospodarczy.

5. Jak długo przechowujemy dane

Pliki w przesyłkach (zaszyfrowane): do wygaśnięcia przesyłki (najdłużej 30 dni), wykorzystania limitu pobrań albo cofnięcia przez nadawcę; potem są trwale usuwane razem z kluczami.
Historia przesyłki: 6 lat od usunięcia plików, na potrzeby rozpatrywania reklamacji i roszczeń oraz rozliczalności, potem usuwamy całą historię przesyłki.
Konto: do jego usunięcia, a następnie przez okres przedawnienia roszczeń.
Sesje logowania: do wylogowania, najdłużej 14 dni.
Kopie zapasowe: kopie bazy danych 14 dni; kopia zaszyfrowanych plików jest aktualizowana codziennie, a plik usunięty z serwisu znika z niej najpóźniej po 24 godzinach.
Dzienniki serwera: przez krótki czas potrzebny do diagnozy i ochrony przed atakami.
Zgłoszenia do testów: do wycofania zgody, najdłużej 12 miesięcy.
Zgłoszenia nadużyć i dziennik działań obsługi: przez czas potrzebny do wyjaśnienia sprawy i ochrony przed roszczeniami.

6. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Jeśli przetwarzamy dane na podstawie zgody, możesz ją wycofać w każdej chwili. Aby skorzystać z praw, napisz na kontakt@wyslijbezpiecznie.pl. Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Podanie danych przy zakładaniu konta jest dobrowolne, ale niezbędne do korzystania z serwisu. Podanie danych w formularzu testów jest dobrowolne.

7. Zautomatyzowane decyzje

Poziom weryfikacji nadawcy ustalamy automatycznie na podstawie potwierdzonego e-maila i telefonu oraz danych z publicznych rejestrów. Wpływa on na to, co widzą odbiorcy, i na dzienny limit przesyłek, ale nie wywołuje skutków prawnych. Zawieszenie konta zawsze wymaga decyzji naszej obsługi. Możesz poprosić o ponowne sprawdzenie lub wyjaśnienie, pisząc na kontakt@wyslijbezpiecznie.pl.

8. Pliki cookie

Używamy wyłącznie niezbędnych ciasteczek:

__Host-wb_session: utrzymuje zalogowanie; usuwane po wylogowaniu lub wygaśnięciu sesji;
__Host-wb_trusted: tylko gdy przy logowaniu z weryfikacją dwuetapową zaznaczysz „Nie pytaj o kod w tej przeglądarce”. Zawiera losowy identyfikator, dzięki któremu przez 30 dni logowanie w tej przeglądarce wymaga tylko hasła. Przestaje działać po 30 dniach, po zmianie hasła albo gdy zapomnisz przeglądarkę w Ustawieniach. Po naszej stronie zapisujemy skrót identyfikatora, opis przeglądarki (nagłówek User-Agent) i daty użycia.

Nie używamy ciasteczek analitycznych ani reklamowych i nie wczytujemy skryptów firm trzecich.

9. Bezpieczeństwo

Pliki i ich nazwy są szyfrowane na urządzeniu nadawcy (AES-256-GCM), a klucz każdego odbiorcy składa się z części przekazanej w linku i części wydawanej przez serwer dopiero po poprawnym kodzie. Część z linku przetwarzamy tylko w pamięci, na czas wysłania maila z linkiem, i jej nie zapisujemy; gdy nadawca wysyła link ze swojej poczty, w ogóle do nas nie trafia. Pliki przesyłane w odpowiedzi na prośbę o pliki szyfruje przeglądarka osoby, która je przesyła; otworzyć je może tylko osoba, która o nie poprosiła, linkiem z maila i po zalogowaniu na swoje konto. Widzimy natomiast dane potrzebne do działania usługi: kto, do kogo i kiedy wysyła, rozmiar przesyłki oraz adresy i numery potrzebne do wysłania linku i kodu. Połączenia są szyfrowane (HTTPS), konta mogą korzystać z weryfikacji dwuetapowej, a do logów nie trafiają treści plików, kody dostępu ani hasła. Szczegóły: Jak działa szyfrowanie.

10. Zmiany polityki

O istotnych zmianach poinformujemy użytkowników mailowo lub w serwisie. Aktualna wersja jest zawsze dostępna pod adresem wyslijbezpiecznie.pl/polityka-prywatnosci.