Charakter serwisu. norlo to oprogramowanie do windykacji należności B2B. W trybie demo działa na danych przykładowych. Dane kontrahentów i dłużników widoczne w demo są fikcyjne (przykładowe). norlo nie pośredniczy w płatnościach. Niniejsza polityka opisuje, jak dane byłyby przetwarzane w działającym produkcie oraz jak przetwarzamy dane osób, które realnie korzystają z serwisu (np. zakładają konto). Pełne dane rejestrowe administratora oraz weryfikacja prawna dokumentu zostaną uzupełnione przed komercyjnym uruchomieniem.
1. Administrator danych
Administratorem danych osobowych użytkowników serwisu (osób zakładających i korzystających z konta) jest Norlo, z siedzibą przy ul. marsz. Józefa Piłsudskiego 91/1, 50-019 Wrocław, NIP 6263027353. Kontakt w sprawach ochrony danych: kontakt@norlo.pl.
2. Dwie role: administrator i podmiot przetwarzający
Rola norlo zależy od tego, czyich danych dotyczy przetwarzanie:
- Dane użytkowników serwisu (konta firm: imię, nazwisko, e-mail, dane logowania) — norlo jest ich administratorem.
- Dane kontrahentów i dłużników, które klient wprowadza do systemu, aby prowadzić windykację — administratorem jest klient (wierzyciel), a norlo działa jako podmiot przetwarzający na jego polecenie (na podstawie umowy powierzenia). W trybie demo dane te są fikcyjne.
3. Jakie dane przetwarzamy
Użytkownicy serwisu
- dane identyfikacyjne i kontaktowe: imię, nazwisko, adres e-mail, nazwa firmy/organizacji, rola w organizacji,
- dane uwierzytelniające: hasło przechowywane wyłącznie w postaci skrótu (bcrypt) — nie przechowujemy haseł jawnie,
- dane techniczne niezbędne do działania serwisu (np. token sesji w pamięci przeglądarki).
Dane przetwarzane na zlecenie klienta (windykacja)
- dane kontrahentów/dłużników: nazwa, NIP, dane kontaktowe osób, informacje o fakturach, kwotach, terminach i opóźnieniach.
4. Cele i podstawy prawne
| Cel | Podstawa prawna (RODO) |
|---|---|
| Założenie i prowadzenie konta, świadczenie usługi | art. 6 ust. 1 lit. b (wykonanie umowy) |
| Kontakt, obsługa zapytań, bezpieczeństwo serwisu | art. 6 ust. 1 lit. f (prawnie uzasadniony interes) |
| Obowiązki prawne (np. rozliczenia, jeśli wystąpią) | art. 6 ust. 1 lit. c (obowiązek prawny) |
| Windykacja należności (po stronie klienta-administratora) | art. 6 ust. 1 lit. f — prawnie uzasadniony interes wierzyciela (dochodzenie roszczeń) |
| Marketing i pomiar skuteczności reklam (Meta Pixel, Google Ads) — wyłącznie po wyrażeniu zgody | art. 6 ust. 1 lit. a (dobrowolna zgoda) |
5. Pliki cookies i pamięć przeglądarki
5.1. Cookies i pamięć niezbędna (bez zgody)
Serwis używa niezbędnych mechanizmów pamięci przeglądarki (localStorage): token sesji utrzymujący zalogowanie oraz drobne preferencje interfejsu (np. ukrycie baneru demo, zapis Twojej decyzji o cookies). Te mechanizmy nie wymagają zgody — są konieczne do działania serwisu. Do analityki używamy Plausible(samodzielnie hostowanego, bez cookies i bez danych osobowych), który również nie wymaga zgody.
5.2. Cookies marketingowe (wyłącznie za Twoją zgodą)
Dopiero po wyrażeniu przez Ciebie dobrowolnej zgody (art. 6 ust. 1 lit. a RODO) uruchamiamy narzędzia marketingowe: Meta Pixel (Meta Platforms Ireland Limited) oraz Google Ads(Google Ireland Limited). Służą one do pomiaru skuteczności reklam, remarketingu i optymalizacji kampanii. Do czasu wyrażenia zgody narzędzia te nie są wczytywane i nie nawiązują połączenia z serwerami dostawców.
Transfer poza EOG: narzędzia te mogą przekazywać dane (m.in. adres IP, identyfikatory cookies) do USA — na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską. Odrzucając cookies marketingowe, unikasz tego transferu.
Wycofanie zgody jest równie łatwe jak jej udzielenie — w każdej chwili kliknij „Ustawienia cookies" w stopce serwisu. Twój wybór zapamiętujemy przez ok. 6 miesięcy, po czym zapytamy ponownie.
6. Odbiorcy danych i podmioty przetwarzające
- Hostingodawca — infrastruktura serwerowa zlokalizowana w Unii Europejskiej.
- Czcionki serwowane są z własnego serwera (self-hosting) — nie dochodzi do przekazywania adresów IP użytkowników do dostawców zewnętrznych (np. Google Fonts).
- Płatności: norlo nie pośredniczy w płatnościach — nie korzystamy z operatora płatności i nie przekazujemy mu danych; dłużnik płaci bezpośrednio wierzycielowi.
- Meta Platforms Ireland Limited, Google Ireland Limited — wyłącznie przy aktywnej zgodzie na cookies marketingowe (możliwy transfer do USA na podstawie SCC, patrz pkt 5.2 i 7).
7. Przekazywanie poza Europejski Obszar Gospodarczy
Dane przechowywane i przetwarzane są w Polsce / Unii Europejskiej. Wyjątek: po wyrażeniu zgody na cookies marketingowe (Meta Pixel, Google Ads) część danych (adres IP, identyfikatory) może być przekazywana do USA na podstawie standardowych klauzul umownych (SCC). Odmowa zgody na cookies marketingowe oznacza brak takiego transferu.
8. Okres przechowywania
- dane konta — przez czas posiadania konta, a po jego usunięciu do czasu przedawnienia ewentualnych roszczeń,
- dane przetwarzane na zlecenie klienta — zgodnie z umową powierzenia i instrukcją administratora-klienta,
- dane demonstracyjne są fikcyjne i mogą być w każdej chwili nadpisane (re-seed).
9. Twoje prawa
Przysługuje Ci prawo do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu, przenoszenia danych oraz cofnięcia zgody (jeśli była podstawą). Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).
Aby skorzystać z praw, napisz na kontakt@norlo.pl — odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.
10. Bezpieczeństwo
- połączenia szyfrowane (HTTPS),
- hasła przechowywane jako skróty (bcrypt),
- izolacja danych każdej organizacji na poziomie bazy danych (PostgreSQL Row-Level Security) — dane jednego klienta nie są dostępne dla innego,
- ograniczony, oparty na rolach dostęp do danych.
11. Zmiany polityki
Politykę możemy aktualizować wraz z rozwojem produktu. Istotne zmiany zakomunikujemy w serwisie.
12. Kontakt
W sprawach prywatności i ochrony danych: kontakt@norlo.pl.