Polityka prywatności

1. Administrator danych

Administratorem danych osobowych przetwarzanych w związku z działaniem strony hvacdesk.pl i aplikacji HVACDesk jest:

Dabexo Rafał Dąbal
NIP: 8652584623
ul. Ogrodowa 3, 37-433 Przyszów
e-mail: kontakt@hvacdesk.pl

(dalej: „Usługodawca", „my")

2. Czym jest HVACDesk

HVACDesk to aplikacja (SaaS) dla firm serwisujących urządzenia klimatyzacyjne, wentylacyjne i pompy ciepła. Umożliwia prowadzenie terminarza, protokołów serwisowych z podpisem elektronicznym, ewidencji czynników chłodniczych zgodnej z F-Gaz/CRO, magazynu części i ofert. Z aplikacji korzystają firmy serwisowe („Klienci") oraz ich pracownicy („Użytkownicy").

3. Jakie dane przetwarzamy

a) Dane Użytkowników — kont pracowników firm-Klientów: adres e-mail, imię i nazwisko, numer certyfikatu F-Gaz (jeśli podany), historia logowań.

b) Dane firmy-Klienta: nazwa, NIP, adres, dane kontaktowe, logo, ustawienia rozliczeniowe.

c) Dane wprowadzane przez Klienta w ramach korzystania z usługi: baza jego klientów końcowych (osoby/firmy zlecające serwis), dane urządzeń, protokoły serwisowe wraz z podpisem elektronicznym, zdjęcia i dokumenty z realizacji, stan magazynowy.

W zakresie danych z punktu (c) Usługodawca pełni rolę podmiotu przetwarzającego w rozumieniu RODO — administratorem tych danych pozostaje dana firma-Klient, która decyduje, czyje dane wprowadza do aplikacji i w jakim celu.

4. Cele i podstawy prawne przetwarzania

• świadczenie usługi zgodnie z zawartą umową — art. 6 ust. 1 lit. b RODO;
• obsługa płatności i wystawianie faktur — art. 6 ust. 1 lit. c RODO (obowiązki podatkowo-księgowe);
• kontakt i obsługa zgłoszeń — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes);
• zapewnienie bezpieczeństwa usługi i zapobieganie nadużyciom — art. 6 ust. 1 lit. f RODO.

5. Dane z konta Google (logowanie i Kalendarz)

5.1. Logowanie

Aplikacja umożliwia logowanie kontem Google (OAuth 2.0). Przy logowaniu otrzymujemy adres e-mail oraz imię i nazwisko — dane niezbędne do założenia i obsługi konta. Nie mamy dostępu do hasła do konta Google. Proces logowania obsługuje Supabase Auth.

5.2. Integracja z Kalendarzem Google

Osobną, całkowicie opcjonalną funkcją jest dwukierunkowa synchronizacja terminarza z Kalendarzem Google. Uruchamia się ją samodzielnie w ustawieniach; bez tego kroku aplikacja nie ma żadnego dostępu do kalendarza.

Po jej włączeniu prosimy o następujące uprawnienia:

Co robimy z tymi danymi: tytuł, data, godzina i identyfikator wydarzenia zapisywane są w naszej bazie wyłącznie po to, żeby powiązać wydarzenie w Kalendarzu Google ze zleceniem w HVACDesk i utrzymać synchronizację w obie strony. Token dostępu przechowujemy w zaszyfrowanej formie, aby synchronizacja mogła działać w tle.

Czego nie robimy: danych z Kalendarza Google nie wykorzystujemy do reklam, nie sprzedajemy ich, nie udostępniamy osobom trzecim ani nie używamy do trenowania modeli sztucznej inteligencji. Nie odczytujemy wydarzeń w celu innym niż opisane wyżej.

Jak to odłączyć: w każdej chwili w aplikacji (Terminarz → integracja z Kalendarzem Google → Odłącz) albo z poziomu ustawień konta Google. Po odłączeniu usuwamy token dostępu i przestajemy pobierać jakiekolwiek dane. Wydarzenia utworzone wcześniej w Twoim Kalendarzu Google pozostają — należą do Ciebie.

5.3. Ograniczone wykorzystanie danych (Limited Use)

Sposób wykorzystania i przekazywania przez HVACDesk informacji otrzymanych z interfejsów Google API jest zgodny z Zasadami dotyczącymi danych użytkownika w usługach Google API, w tym z wymogami ograniczonego wykorzystania (Limited Use).

HVACDesk's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6. Komu powierzamy przetwarzanie danych

Korzystamy z usług sprawdzonych dostawców, którzy przetwarzają dane w naszym imieniu wyłącznie w zakresie niezbędnym do świadczenia usługi:

• Supabase Inc. — baza danych, przechowywanie plików (zdjęcia, dokumenty), logowanie i autoryzacja. Dane przechowywane są na serwerach w Unii Europejskiej (region eu-west-1, Irlandia);
• Google Ireland Ltd. / Google LLC — logowanie przez konto Google, hosting strony (Firebase Hosting), powiadomienia push (Firebase Cloud Messaging) oraz rozpoznawanie danych z tabliczek znamionowych (Gemini API — patrz punkt 7);
• Stripe Payments Europe Ltd. — obsługa płatności subskrypcyjnych; nie przechowujemy danych kart płatniczych;
• inFakt sp. z o.o. — wystawianie faktur.

Pełny wykaz podprzetwarzających wraz z lokalizacją przetwarzania zawiera Umowa powierzenia przetwarzania danych.

7. Przetwarzanie z użyciem sztucznej inteligencji

Aplikacja ma opcjonalną funkcję rozpoznawania danych urządzenia ze zdjęcia tabliczki znamionowej. Po jej użyciu zdjęcie tabliczki przesyłane jest do usługi Google Gemini API, która odczytuje z niego producenta, model i dane techniczne. Zdjęcia nie są wykorzystywane do trenowania modeli.

Funkcja jest w pełni opcjonalna — dane urządzenia można zawsze wpisać ręcznie. Dostępny jest też wariant rozpoznawania tekstu działający w całości na urządzeniu (offline), który nie wysyła nigdzie żadnych danych.

Poza tą jedną funkcją nie stosujemy przetwarzania z użyciem AI. Nie podejmujemy wobec nikogo zautomatyzowanych decyzji wywołujących skutki prawne ani nie profilujemy użytkowników.

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dane aplikacji przechowywane są w Unii Europejskiej. Część naszych dostawców należy jednak do grup kapitałowych spoza EOG, przez co w ograniczonym zakresie (obsługa techniczna, płatności, analiza zdjęć tabliczek) dane mogą trafiać do Stanów Zjednoczonych.

Podstawą takiego przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (Data Privacy Framework) lub standardowe klauzule umowne zatwierdzone przez Komisję Europejską, uzupełnione o środki dodatkowe stosowane przez tych dostawców. Kopię zastosowanych zabezpieczeń udostępniamy na żądanie.

9. Okres przechowywania danych

Dane konta i firmy przechowujemy przez czas trwania umowy (aktywnej subskrypcji) oraz przez okres wymagany przepisami prawa (np. dokumenty księgowe — przez 5 lat od końca roku podatkowego). Po usunięciu konta dane są usuwane lub anonimizowane w rozsądnym terminie, chyba że dalsze przechowywanie wynika z obowiązujących przepisów.

10. Pliki cookies i przechowywanie lokalne

Nie stosujemy plików cookies do celów marketingowych ani analitycznych. Nie korzystamy z Google Analytics, pikseli reklamowych ani żadnych narzędzi śledzących, dlatego nie pokazujemy baneru zgody na cookies — nie ma czego zgadzać.

Aplikacja zapisuje w pamięci lokalnej urządzenia (localStorage w przeglądarce, odpowiadający mu magazyn w aplikacji mobilnej) token sesji logowania oraz kopię danych roboczych — klientów, urządzeń, terminarza i protokołów. Ta druga rzecz jest niezbędna do pracy bez zasięgu, którego w kotłowniach i piwnicach zwykle nie ma. Przy wylogowaniu kasujemy tę kopię w całości.

Pełny wykaz tego, co i po co zapisujemy na urządzeniu, znajduje się w dokumencie Cookies i pamięć lokalna.

11. Prawa osób, których dane dotyczą

Każdej osobie, której dane przetwarzamy, przysługuje prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania.

W celu realizacji tych praw prosimy o kontakt: kontakt@hvacdesk.pl. Jeśli dane zostały wprowadzone do aplikacji przez firmę-Klienta (np. dane jej klienta końcowego w protokole serwisowym), właściwym administratorem pozostaje ta firma — pomożemy przekierować zgłoszenie do właściwego adresata.

Konto można usunąć samodzielnie w aplikacji (awatar → Prywatność i dokumenty → Usuń konto) albo zgłaszając to mailowo — szczegóły opisuje strona Usunięcie konta i danych. Kopię danych swojego konta w formacie JSON pobierzesz z tego samego miejsca w aplikacji.

Przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

12. Bezpieczeństwo danych

• połączenie z aplikacją szyfrowane jest protokołem HTTPS/TLS;
• dostęp do danych ograniczony jest politykami bezpieczeństwa na poziomie bazy danych (Row Level Security) — każda firma widzi wyłącznie własne dane;
• dostęp administracyjny do systemów jest ograniczony i zabezpieczony uwierzytelnianiem dwuskładnikowym;
• pliki (zdjęcia, dokumenty) leżą w zasobnikach prywatnych, dostępnych wyłącznie przez wygasające odnośniki podpisane.

Szczegółowy opis środków technicznych i organizacyjnych zawiera Karta bezpieczeństwa.

13. Naruszenia ochrony danych

W razie naruszenia ochrony danych osobowych zawiadamiamy Prezesa UODO w ciągu 72 godzin od jego stwierdzenia, o ile naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Gdy ryzyko jest wysokie, zawiadamiamy również osoby, których dane dotyczą.

Jeżeli naruszenie dotyczy danych powierzonych nam przez firmę-Klienta, zawiadamiamy tę firmę w ciągu 24 godzin od stwierdzenia naruszenia — to ona jako administrator ma obowiązek zgłoszenia do UODO i musi mieć na to realny czas.

Podejrzenie naruszenia lub podatności zgłoś na kontakt@hvacdesk.pl.

14. Zmiany polityki

Zastrzegamy sobie prawo do zmiany niniejszej polityki. O istotnych zmianach poinformujemy poprzez publikację nowej wersji na tej stronie wraz z datą aktualizacji.