Ostatnia aktualizacja: 15 września 2026
1. Administrator danych
Administratorem danych osobowych przetwarzanych w związku z korzystaniem z aplikacji BleskFaktura (bleskfaktura.pl) jest BleskSoft Marta Szczepłek z siedzibą w Warszawie, ul. Mielczarskiego 1/14, NIP: 9512192906 (dalej: „Administrator”).
Kontakt w sprawach ochrony danych możliwy jest za pomocą formularza kontaktowego dostępnego na stronie Serwisu lub pisemnie na adres siedziby Administratora wskazany powyżej.
2. Jakie dane przetwarzamy i w jakim celu
| Kategoria danych | Cel przetwarzania | Podstawa prawna (RODO) |
|---|---|---|
| Dane konta (e-mail, hasło w formie zahaszowanej, dane firmy) | Założenie i obsługa Konta, świadczenie Usług | art. 6 ust. 1 lit. b (umowa) |
| Dane faktur i kontrahentów wprowadzane przez Użytkownika | Wystawianie i wysyłka faktur do KSeF, prowadzenie ewidencji | art. 6 ust. 1 lit. b (umowa) oraz lit. c (obowiązek prawny — przepisy podatkowe) |
| Dane transakcji bankowych (w zakresie objętym zgodą na integrację płatności) | Automatyczne dopasowywanie wpłat do faktur | art. 6 ust. 1 lit. a (zgoda) oraz lit. b (umowa) |
| Dane rozliczeniowe (do płatności za subskrypcję) | Obsługa płatności za Plan płatny | art. 6 ust. 1 lit. b (umowa) oraz lit. c (obowiązki podatkowo-księgowe Administratora) |
| Dane techniczne (adres IP, logi, pliki cookies) | Bezpieczeństwo, diagnostyka, statystyki korzystania z Serwisu | art. 6 ust. 1 lit. f (prawnie uzasadniony interes) |
| Korespondencja (zgłoszenia reklamacyjne, kontakt) | Obsługa zgłoszeń Użytkowników | art. 6 ust. 1 lit. b i f |
Uwaga: w zakresie danych kontrahentów wprowadzanych na fakturach przez Użytkownika, Administrator działa co do zasady jako podmiot przetwarzający dane w imieniu Użytkownika (który jest wówczas administratorem tych danych), z wyjątkiem sytuacji, w których przepisy prawa (np. podatkowe) nakładają obowiązki bezpośrednio na Administratora.
3. Integracja bankowa (GoCardless) — dane szczególnie wrażliwe operacyjnie
- Funkcja automatycznego sprawdzania płatności korzysta z usług GoCardless (dawniej Nordigen) — licencjonowanego dostawcy usługi dostępu do informacji o rachunku (AISP) działającego zgodnie z unijną dyrektywą PSD2.
- Aby włączyć tę funkcję, Użytkownik loguje się do swojego banku i wyraża odrębną zgodę na udostępnienie GoCardless historii transakcji na swoim koncie. Administrator nie ma dostępu do loginu ani hasła Użytkownika do bankowości internetowej — cała autoryzacja odbywa się bezpośrednio między Użytkownikiem, jego bankiem a GoCardless.
- Zgoda na dostęp do danych bankowych jest ważna maksymalnie 90 dni — zgodnie z wymogami PSD2 — i wymaga odnowienia przez Użytkownika po tym czasie. Po wygaśnięciu zgody GoCardless przestaje przekazywać dane do Serwisu, a automatyczne sprawdzanie płatności zostaje wstrzymane do czasu odnowienia.
- GoCardless działa jako odrębny administrator w rozumieniu RODO w zakresie danych bankowych. Zgodnie z obowiązującymi warunkami usługi GoCardless Bank Account Data (stan na 25 lutego 2025), usługę dla użytkowników z UE świadczy GoCardless SAS, z siedzibą pod adresem 7 rue de Madrid, 75008 Paryż, Francja — czyli podmiot zarejestrowany i nadzorowany w Unii Europejskiej, działający na podstawie zezwolenia francuskiego regulatora rynku finansowego (Autorité de Contrôle Prudentiel et de Résolution, ACPR). Szczegóły przetwarzania danych przez GoCardless opisuje jego Privacy Notice dostępna pod adresem: gocardless.com/privacy/account-holders.
4. Odbiorcy danych
Dane mogą być przekazywane następującym kategoriom odbiorców, wyłącznie w zakresie niezbędnym do realizacji celów opisanych w pkt 2:
- dostawca hostingu / serwerów, na których działa Serwis — OVH Sp. z o.o., serwery zlokalizowane na terenie Unii Europejskiej,
- Krajowy System e-Faktur (Ministerstwo Finansów) — w zakresie danych faktur wysyłanych zgodnie z obowiązkiem prawnym,
- GoCardless — w zakresie opisanym w pkt 3 (wyłącznie dla Użytkowników, którzy aktywnie włączyli tę funkcję),
- operator płatności obsługujący subskrypcje — Przelewy24,
- Amazon Web Services (region Frankfurt, UE) — w zakresie wysyłki wiadomości e-mail (m.in. powiadomień systemowych, potwierdzeń, wiadomości transakcyjnych) w imieniu Administratora,
- podmioty świadczące usługi księgowe, prawne i informatyczne na rzecz Administratora, związane obowiązkiem zachowania poufności.
Administrator nie sprzedaje danych osobowych Użytkowników podmiotom trzecim w celach marketingowych.
5. Przekazywanie danych poza Europejski Obszar Gospodarczy
Co do zasady dane Użytkowników przechowywane są na serwerach zlokalizowanych w Unii Europejskiej:
- hosting Serwisu (OVH) oraz usługa wysyłki e-maili (Amazon Web Services) działają wyłącznie w regionie Frankfurt (UE),
- operator płatności Przelewy24 (PayPro S.A.) ma siedzibę w Poznaniu i przetwarza dane na terenie Polski,
- GoCardless świadczy usługę dostępu do informacji o rachunku poprzez podmiot GoCardless SAS z siedzibą w Paryżu (Francja), nadzorowany przez francuskiego regulatora ACPR (patrz pkt 3.4).
Na podstawie powyższego żaden z wykorzystywanych przez Administratora podwykonawców nie przekazuje danych poza Europejski Obszar Gospodarczy.
6. Okres przechowywania danych
- Dane Konta — przez czas trwania umowy (posiadania Konta) oraz przez okres niezbędny do dochodzenia roszczeń (standardowo do 6 lat od zakończenia współpracy, zgodnie z terminami przedawnienia roszczeń).
- Dane faktur i dokumentów księgowych — przez okres wymagany przepisami prawa podatkowego, co do zasady 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku związanego z danym dokumentem (zgodnie z Ordynacją podatkową).
- Dane z integracji bankowej — wyłącznie w zakresie i przez czas niezbędny do dopasowania wpłat do faktur; po wygaśnięciu zgody na integrację (patrz pkt 3) Administrator zaprzestaje pobierania nowych danych transakcyjnych.
- Dane z formularzy kontaktowych / reklamacji — przez okres niezbędny do obsługi zgłoszenia i 3 lata na potrzeby ewentualnych roszczeń.
7. Prawa osób, których dane dotyczą
Każdej osobie, której dane przetwarzamy, przysługuje prawo do:
- dostępu do swoich danych oraz uzyskania ich kopii,
- sprostowania (poprawienia) danych,
- usunięcia danych („prawo do bycia zapomnianym”), z zastrzeżeniem przypadków, w których przechowywanie wynika z obowiązku prawnego (np. dokumenty księgowe),
- ograniczenia przetwarzania,
- przenoszenia danych,
- wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
- cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem) — dotyczy w szczególności zgody na integrację bankową,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.
W celu skorzystania z powyższych praw należy skontaktować się z Administratorem na adres wskazany w pkt 1.
8. Pliki cookies i podobne technologie
- Serwis wykorzystuje pliki cookies niezbędne do jego prawidłowego działania (np. utrzymanie sesji zalogowanego Użytkownika).
- Użytkownik może w każdej chwili zarządzać plikami cookies w ustawieniach swojej przeglądarki, w tym je zablokować — może to jednak wpłynąć na działanie niektórych funkcji Serwisu.
9. Bezpieczeństwo danych
Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed nieuprawnionym dostępem, utratą lub zniszczeniem, w tym m.in. szyfrowane połączenie (HTTPS), ograniczony dostęp do danych na zasadzie „need to know” oraz kopie zapasowe, a także opcjonalne logowanie dwuskładnikowe.
10. Zmiany Polityki Prywatności
Administrator zastrzega sobie prawo do zmiany niniejszej Polityki, w szczególności w związku ze zmianą przepisów prawa lub zakresu Usług. Aktualna wersja jest zawsze dostępna na stronie Serwisu. O istotnych zmianach Użytkownicy zostaną poinformowani drogą elektroniczną.
11. Kontakt
Pytania dotyczące niniejszej Polityki oraz przetwarzania danych osobowych można kierować za pomocą formularza kontaktowego dostępnego na stronie Serwisu lub pisemnie na adres siedziby Administratora wskazany w pkt 1.