Polityka prywatności

1. Administrator i podmiot przetwarzający

Krahasso jest aplikacją typu software-as-a-service dla klientów biznesowych. W odniesieniu do danych konta i rejestracji, danych kontaktowych i logowania osób korzystających z aplikacji oraz technicznych danych dziennika administratorem w rozumieniu art. 4 pkt 7 RODO jest:

Email: privacy@krahasso.com

W odniesieniu do danych projektów, protokołów suszenia, sprzętu, formularzy oceny szkód, podpisów, dokumentów handlowych, przesłanych paragonów i faktur zakupu, nagrań głosowych i klientów końcowych, które nasi klienci biznesowi wprowadzają do aplikacji, to ci klienci biznesowi określają cele i sposoby przetwarzania. Są oni zatem administratorami, a Krahasso działa wyłącznie jako podmiot przetwarzający (art. 28 RODO) na ich udokumentowane polecenie na podstawie umowy powierzenia przetwarzania danych. Jeśli jesteś klientem końcowym jednego z naszych klientów biznesowych, prosimy o kierowanie żądań dotyczących tych danych do odpowiedzialnego za nie klienta biznesowego.

Inspektor ochrony danych nie jest wymagany na podstawie § 38 niemieckiej federalnej ustawy o ochronie danych (BDSG), ponieważ Krahasso jest prowadzone jako jednoosobowa działalność gospodarcza, która nie osiąga ustawowego progu. We wszystkich sprawach dotyczących ochrony danych można kontaktować się z nami pod adresem privacy@krahasso.com.

2. Jakie dane gromadzimy

Gromadzimy następujące kategorie danych osobowych w celu świadczenia naszych usług:

• Informacje o koncie imię i nazwisko, adres e-mail oraz bezpiecznie zahaszowane hasło
• Dane projektowe adresy projektów, status, daty zakończenia, notatki oraz imię, nazwisko i adres e-mail zapisanego mieszkańca obiektu lub innej osoby kontaktowej na miejscu
• Użytkowanie sprzętu rejestry przydziałów, daty zwrotów i szczegóły sprzętu
• Dane protokołu suszenia odczyty pomiarów, poziomy wilgotności, rejestry wizyt oraz zdjęcia wykonane podczas inspekcji terenowych
• Dane oceny szkód: odpowiedzi udzielone w formularzach oceny na miejscu, w tym tekst swobodny i zdjęcia, a także rzuty pomieszczeń z wymiarami i notatkami
• Dane podpisu: podpis złożony na urządzeniu, imię, nazwisko i rola osoby podpisującej oraz, jeżeli zostały podane, jej adres e-mail i numer telefonu, czas złożenia podpisu, wersja wyświetlonej treści zgody, sumy kontrolne podpisanej treści oraz adres IP i identyfikacja przeglądarki lub urządzenia użytego w chwili podpisania
• Dane dokumentów handlowych: oferty, zlecenia, faktury, noty kredytowe i wezwania do zapłaty wraz z pozycjami, cenami, warunkami płatności i statusem płatności, zarejestrowane płatności, dane podstawowe klientów i dostawców naszego klienta biznesowego oraz dane wysyłki, takie jak adresy odbiorców, temat i treść wiadomości
• Paragony i faktury zakupu przesłane jako pliki graficzne lub PDF wraz z wartościami odczytanymi z nich w sposób zautomatyzowany. Takie pliki regularnie zawierają dane osobowe osób trzecich, w szczególności nazwę, adres, dane bankowe i numery podatkowe wystawcy; wybór tego, co zostaje przesłane, należy do klienta biznesowego
• Dane akceptacji umowy: w przypadku akceptacji umowy powierzenia przetwarzania w imieniu klienta biznesowego zapisywane są imię i nazwisko oraz funkcja osoby podpisującej, potwierdzenie jej umocowania, czas akceptacji, wersja i suma kontrolna wyświetlonego dokumentu oraz adres IP i identyfikacja przeglądarki użytego urządzenia
• Opinie o Centrum Pomocy: ocena wystawiona artykułowi pomocy i ewentualny komentarz w formie swobodnego tekstu wraz z artykułem, jego wersją i osobą przesyłającą
• Zgłoszenia rejestracyjne i zaproszenia: imię i nazwisko, adres e-mail, numer telefonu komórkowego, nazwa firmy, kraj i numer rejestru handlowego potencjalnego klienta oraz decyzja podjęta w sprawie zgłoszenia wraz z ewentualnym uzasadnieniem odmowy
• Identyfikatory powiadomień push: token powiadomień przydzielony przez system operacyjny każdemu zarejestrowanemu urządzeniu oraz odpowiadająca mu platforma, wykorzystywane wyłącznie do dostarczania powiadomień na to urządzenie
• Konwersacje z asystentem: tytuł konwersacji, wiadomości wymieniane z asystentem w aplikacji oraz treści rekordów, które asystent odczytał lub zapisał podczas udzielania odpowiedzi. Nagrania głosowe wykonane za pośrednictwem asystenta opisano oddzielnie poniżej
• Dane głosowe nagrania audio dokonywane za pośrednictwem asystenta głosowego w aplikacji. Nagrania są transkrybowane; plik audio jest automatycznie usuwany z systemu aktywnego najpóźniej w ciągu 30 dni od utworzenia, podczas gdy uzyskana transkrypcja pozostaje częścią historii rozmowy. Kopie utrzymywane w ramach naszego standardowego procesu kopii zapasowych są usuwane zgodnie z zasadami przechowywania i cyklu życia ujawnionymi w sekcji 5.
• Dane organizacji nazwa firmy, logo, adres, dane kontaktowe oraz dane podatkowe i bankowe wykorzystywane do rozliczeń
• Dane techniczne dane dziennika (takie jak adres IP i informacje o urządzeniu/aplikacji) niezbędne do bezpieczeństwa i rozwiązywania problemów, a także ściśle niezbędne pliki cookie, w tym trwały plik cookie logowania utrzymujący zalogowanie oraz opcjonalny plik cookie zaufanego urządzenia ważny przez trzydzieści dni od ostatniego użycia. Nie używamy plików cookie analitycznych, śledzących ani reklamowych podmiotów trzecich.

3. Podstawa prawna przetwarzania (art. 6 RODO)

Przetwarzamy Twoje dane osobowe na następujących podstawach prawnych:

• Wykonanie umowy (art. 6 ust. 1 lit. b RODO) przetwarzanie jest niezbędne do świadczenia usług, które subskrybujesz
• Prawnie uzasadnione interesy (art. 6 ust. 1 lit. f RODO) w celu zapewnienia bezpieczeństwa, zapobiegania nadużyciom oraz ulepszania Usługi, w oparciu o dane, dla których Krahasso jest administratorem (dane konta, dane logowania i kontaktowe, techniczne dane dziennika). Niniejsza podstawa nie obejmuje danych projektowych, danych protokołów osuszania, danych sprzętowych, danych formularzy oceny szkód, danych podpisów, danych dokumentów handlowych, danych przesłanych paragonów i faktur zakupu, danych nagrań głosowych ani danych klientów końcowych przetwarzanych w imieniu klientów biznesowych; dane te są przetwarzane wyłącznie na udokumentowane polecenie administratora zgodnie z art. 28 RODO (zob. Sekcja 1).
• Zgoda (art. 6 ust. 1 lit. a RODO) w przypadku wyrażenia wyraźnej zgody (np. na opcjonalną komunikację)
• Obowiązek prawny (art. 6 ust. 1 lit. c RODO) gdy przetwarzanie jest wymagane przez prawo

W zakresie, w jakim Krahasso działa jako podmiot przetwarzający (zob. sekcja 1), podstawę prawną przetwarzania odpowiednich danych określa dany klient biznesowy jako administrator, a nie Krahasso.

4. Cel przetwarzania danych

Twoje dane są wykorzystywane wyłącznie do następujących celów:

• Zarządzanie projektami budowlanymi i suszenia
• Śledzenie przydziałów i zwrotów sprzętu
• Rejestrowanie i raportowanie pomiarów protokołu suszenia
• Generowanie raportów projektowych
• Rejestrowanie oceny szkód na miejscu, w tym formularzy, rzutów pomieszczeń i podpisu składanego przy przekazaniu
• Przygotowywanie, wystawianie, wysyłka i monitorowanie płatności dokumentów handlowych, takich jak oferty, zlecenia, faktury i wezwania do zapłaty
• Sporządzanie zestawień na potrzeby sprawozdawczości podatkowej oraz eksportów dokumentów i zapisów księgowych do przekazania biuru rachunkowemu
• Zapewnienie funkcji asystenta głosowego opartego na AI (transkrypcja i polecenia w języku naturalnym) oraz zautomatyzowanego odczytu przesłanych paragonów i faktur
• Uwierzytelnianie Twojej tożsamości i zabezpieczanie Twojego konta

Zautomatyzowany odczyt przesłanego dokumentu jedynie wstępnie wypełnia pola formularza. Wynik jest propozycją, którą użytkownik musi sprawdzić i zatwierdzić, zanim zostanie ona zapisana. Nie podejmujemy zautomatyzowanych decyzji w indywidualnych przypadkach, w tym profilowania, w rozumieniu art. 22 RODO.

5. Przechowywanie danych

Przechowujemy dane osobowe tylko tak długo, jak jest to konieczne do realizacji celów opisanych powyżej.

W zakresie, w jakim Krahasso jest administratorem (dane konta, dane logowania i kontaktowe, dzienniki techniczne), dane te są trwale usuwane w ciągu 30 dni od anulowania konta, chyba że ustawowe obowiązki przechowywania stanowią inaczej.

W zakresie, w jakim Krahasso działa jako podmiot przetwarzający, dane projektów, protokołów suszenia, sprzętu, formularzy oceny szkód, podpisów, dokumentów handlowych, przesłanych paragonów i faktur zakupu, nagrań głosowych i klientów końcowych są przetwarzane zgodnie z poleceniami klienta biznesowego jako administratora. Okres przechowywania jest określany przez klienta biznesowego; jeżeli klient biznesowy podlega ustawowym obowiązkom przechowywania (na przykład § 257 niemieckiego kodeksu handlowego HGB dla dokumentów handlowych lub § 147 niemieckiej Ordynacji podatkowej AO dla dokumentów istotnych podatkowo), zastosowanie tych obowiązków do żądania usunięcia należy do klienta biznesowego. Krahasso usuwa lub zwraca dane na jego polecenie. W ciągu 30 dni od zakończenia umowy powierzenia przetwarzania udostępniamy na żądanie klienta biznesowego pełny eksport danych w treści i formacie określonych w punkcie 8.5 Opisu Usługi (zob. § 13 umowy powierzenia); po upływie tego okresu dane są usuwane z aktywnego systemu zgodnie z umową powierzenia. Kopie zapasowe utrzymywane w ramach naszego standardowego procesu kopii zapasowych są ostatecznie usuwane przez zautomatyzowane reguły cyklu życia najpóźniej po 38 dniach.

Nieosobowe, zagregowane statystyki (na przykład łączna liczba projektów) mogą być przechowywane do celów raportowania wewnętrznego. Statystyki te nie zawierają informacji umożliwiających identyfikację osób.

6. Udostępnianie danych i przekazywanie

Twoje dane są dostępne tylko dla upoważnionych użytkowników na koncie Twojej organizacji.

Nie sprzedajemy ani nie wynajmujemy danych osobowych.

W celu obsługi Usługi korzystamy z zaufanych podmiotów przetwarzających dane zgodnie z art. 28 RODO:

• Hetzner Online GmbH (Niemcy/UE) infrastruktura hostingowa i usługi przechowywania
• Amazon Web Services (AWS, region eu-central-1) dostarczanie wiadomości e-mail wysyłanych z aplikacji. Poza powiadomieniami dla użytkowników obejmuje to wysyłkę dokumentów handlowych do odbiorców wskazanych przez naszego klienta biznesowego, w tym adresu odbiorcy, tematu i treści wiadomości oraz załączonych plików dokumentów.
• OpenAI Ireland Ltd (Irlandia/UE) transkrypcja głosowa, przetwarzanie języka naturalnego oraz zautomatyzowany odczyt przesłanych paragonów, faktur zakupu i dokumentów, oparte na AI. Do OpenAI przesyłane są nagrania audio oraz obrazy stron wygenerowane z przesłanego pliku. Gdy asystent odpowiada na pytanie dotyczące rekordów przechowywanych na Twoim koncie, przesyłane są również rekordy odczytane w celu udzielenia odpowiedzi, w szczególności dane projektu wraz z adresem obiektu i imieniem oraz nazwiskiem zapisanego mieszkańca, dane sprzętu i protokołów suszenia, a także imię, nazwisko i rola pytającego użytkownika oraz nazwa konta. Treść przesłanych plików może zawierać dane osobowe osób trzecich. Przesyłane dane nie są wykorzystywane przez OpenAI do szkolenia ich modeli. OpenAI Ireland może korzystać z OpenAI, L.L.C. (USA) jako podpodmiotu przetwarzającego; to dalsze przekazanie jest zabezpieczone standardowymi klauzulami umownymi UE. Obowiązuje polityka wykorzystania danych OpenAI (patrz openai.com/policies/usage-policies).
• Google Ireland Limited (Irlandia/UE) nasza aplikacja mobilna wykorzystuje SDK Google Maps do wyświetlania lokalizacji projektów na mapie oraz Firebase Cloud Messaging do dostarczania powiadomień push. W przypadku mapy Google może gromadzić dane techniczne, takie jak adres IP, informacje o urządzeniu i dane interakcji z mapą. W przypadku powiadomień push przekazywane są identyfikator urządzenia oraz tytuł i treść powiadomienia; w zależności od sytuacji zawierają one treści z rekordów przechowywanych w aplikacji, w szczególności adresy projektów i imiona oraz nazwiska zaangażowanych użytkowników. Powiadomienia dla urządzeń iOS Google przekazuje dalej do usługi Apple Push Notification Service. Nie gromadzimy ani nie przesyłamy lokalizacji Twojego urządzenia; wyświetlane są wyłącznie adresy projektów zapisane w naszym systemie. Google Ireland może korzystać z Google LLC (USA) jako podpodmiotu przetwarzającego; Google LLC posiada certyfikat zgodności z ramami ochrony danych UE-USA (Data Privacy Framework). Więcej informacji można znaleźć w polityce prywatności Google (policies.google.com/privacy).
• MapTiler AG (Szwajcaria) dostarcza kafelki mapy bazowej (basemap tiles) wyświetlane w aplikacji webowej. Podczas wyświetlania widoku mapy Twój adres IP oraz współrzędne widoku mapy są przekazywane do MapTiler. Przetwarzanie odbywa się w Szwajcarii; Komisja Europejska wydała w odniesieniu do Szwajcarii decyzję stwierdzającą odpowiedni stopień ochrony zgodnie z art. 45 RODO.
• Apple Distribution International Ltd (Irlandia/UE) dostarcza powiadomienia push na urządzenia iOS za pośrednictwem usługi Apple Push Notification Service (APNs). Do Apple przekazywane są dane niezbędne do dostarczenia powiadomienia (np. tytuł i treść powiadomienia oraz identyfikator urządzenia). Ewentualne dalsze przetwarzanie przez Apple Inc. (USA) jest zabezpieczone w ramach ochrony danych UE-USA (Data Privacy Framework).
• Cloudflare, Inc. (USA) sieć dostarczania treści i nadrzędny odwrotny serwer proxy dla wszystkich naszych domen, a także mechanizm ochrony przed botami „Turnstile" w naszych publicznych formularzach. Cały ruch między Twoim urządzeniem a naszym środowiskiem produkcyjnym jest kierowany przez sieć Cloudflare i tam terminowany dla TLS; przetwarzane są przy tym Twój adres IP, dane połączenia i żądania oraz przesyłane treści. Turnstile działa bez plików cookie i nie śledzi Cię między witrynami. Cloudflare, Inc. posiada certyfikat zgodności z ramami ochrony danych UE-USA (Data Privacy Framework).
• New Relic, Inc. (USA) monitorowanie działania aplikacji (application performance monitoring) na potrzeby diagnostyki i utrzymania Usługi. Przekazywane są dane telemetryczne o wydajności i błędach, ścieżki i parametry żądań oraz przekazywane dzienniki aplikacji; mogą one zawierać dane osobowe z rekordów przechowywanych w aplikacji. Dane uwierzytelniające i parametry oznaczone jako poufne są filtrowane po stronie serwera przed przekazaniem. Przekazanie do New Relic, Inc. w Stanach Zjednoczonych jest zabezpieczone standardowymi klauzulami umownymi UE.

Większość danych osobowych jest przetwarzana na terenie Unii Europejskiej. Cały ruch do aplikacji przechodzi przez Cloudflare, Inc. w Stanach Zjednoczonych jako sieć dostarczania treści i odwrotny serwer proxy; Cloudflare, Inc. posiada certyfikat zgodności z ramami ochrony danych UE-USA (Data Privacy Framework). W przypadku przetwarzania głosu przez AI, zautomatyzowanego odczytu przesłanych paragonów i dokumentów oraz kalkulatora osuszania na naszej witrynie odpowiednie dane mogą być ostatecznie przetwarzane przez OpenAI, L.L.C. w Stanach Zjednoczonych za pośrednictwem OpenAI Ireland Ltd; to dalsze przekazanie jest zabezpieczone standardowymi klauzulami umownymi UE. Dane monitorowania działania aplikacji, w tym parametry żądań i przekazywane dzienniki aplikacji, są przekazywane do New Relic, Inc. w Stanach Zjednoczonych na podstawie standardowych klauzul umownych UE. W przypadku funkcji mapy i powiadomień push opisane powyżej dane mogą być ostatecznie przetwarzane przez Google LLC w Stanach Zjednoczonych za pośrednictwem Google Ireland Limited; Google LLC posiada certyfikat zgodności z ramami ochrony danych UE-USA (Data Privacy Framework). W przypadku powiadomień push na iOS dane dostawcze są przekazywane do Apple Distribution International Ltd w Irlandii i mogą następnie być dalej przetwarzane przez Apple Inc. w Stanach Zjednoczonych; Apple Inc. posiada certyfikat zgodności z ramami ochrony danych UE-USA (Data Privacy Framework). W przypadku kafelków mapy bazowej w aplikacji webowej Twój adres IP i współrzędne widoku mapy są przekazywane do MapTiler AG w Szwajcarii; Komisja Europejska wydała w odniesieniu do Szwajcarii decyzję stwierdzającą odpowiedni stopień ochrony zgodnie z art. 45 RODO. Żadne inne dane osobowe nie są przekazywane poza UE/EOG ani do krajów bez decyzji stwierdzającej odpowiedni stopień ochrony.

7. Twoje prawa (art. 15-21 RODO)

Zgodnie z RODO przysługują Ci następujące prawa dotyczące Twoich danych osobowych:

• Prawo dostępu (art. 15) uzyskanie kopii swoich danych osobowych
• Prawo do sprostowania (art. 16) poprawienie nieprawidłowych lub niekompletnych danych
• Prawo do usunięcia (art. 17) żądanie usunięcia danych
• Prawo do ograniczenia przetwarzania (art. 18) ograniczenie przetwarzania w określonych warunkach
• Prawo do przenoszenia danych (art. 20) otrzymanie danych w przenośnym formacie
• Prawo do sprzeciwu (art. 21) sprzeciw wobec przetwarzania opartego na prawnie uzasadnionych interesach
• Prawo do wycofania zgody w przypadku przetwarzania opartego na zgodzie można ją wycofać w dowolnym momencie

Masz również prawo do złożenia skargi do organu nadzorczego ds. ochrony danych, jeśli uważasz, że Twoje dane są przetwarzane niezgodnie z prawem. W zakresie, w jakim Krahasso działa jako podmiot przetwarzający, żądania dotyczące wykonania Twoich praw w odniesieniu do odpowiednich danych należy kierować do właściwego klienta biznesowego jako administratora.

Organem nadzorczym właściwym dla administratora jest: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Niemcy.

8. Bezpieczeństwo danych

Wdrażamy odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed nieautoryzowanym dostępem, zmianą, ujawnieniem lub zniszczeniem. Środki te obejmują:

• Szyfrowana transmisja danych (HTTPS/TLS)
• Bezpieczne haszowanie haseł oraz automatyczne sprawdzanie pod kątem znanych wycieków danych. Sprawdzenie odbywa się w serwisie Have I Been Pwned (Cloudflare, Inc.) z zastosowaniem k-anonimowości: przekazywanych jest wyłącznie pierwszych pięć znaków nieodwracalnego skrótu hasła, nigdy samo hasło, Twój adres e-mail ani żaden inny identyfikator. Jeżeli serwis jest niedostępny, sprawdzenie jest pomijane, a pozostałe wymagania dotyczące hasła nadal obowiązują
• Opcjonalne uwierzytelnianie dwuskładnikowe za pomocą jednorazowego kodu e-mail, aktywowane na poziomie użytkownika
• Ochrona na poziomie sieci (zapory sieciowe i ograniczony dostęp do bazy danych)
• Kontrola dostępu w ramach kont klientów

W przypadku naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia Twoich praw i wolności, bez zbędnej zwłoki powiadomimy właściwy organ nadzorczy oraz, w razie potrzeby, osoby, których dane dotyczą, zgodnie z art. 33 i 34 RODO. W zakresie, w jakim Krahasso działa jako podmiot przetwarzający, bez zbędnej zwłoki poinformujemy odpowiedzialnego klienta biznesowego, aby mógł on wypełnić swoje obowiązki w zakresie powiadamiania.

9. Nasza witryna i formularze kontaktowe

W odniesieniu do formularzy na naszej publicznej witrynie administratorem jest Krahasso. Dane te są oddzielone od aplikacji i nigdy nie są dodawane do konta klienta.

• Formularz kontaktowy i prośba o prezentację: podane przez Ciebie imię i nazwisko, adres e-mail, firma oraz ewentualna wiadomość. Wykorzystujemy je wyłącznie w celu udzielenia odpowiedzi na Twoje zapytanie oraz, jeżeli o to poprosisz, umówienia prezentacji. Podstawa prawna: art. 6 ust. 1 lit. b RODO w zakresie działań podejmowanych na Twoje żądanie przed zawarciem umowy, w pozostałym zakresie nasz prawnie uzasadniony interes w odpowiadaniu na zapytania (art. 6 ust. 1 lit. f RODO).
• Kalkulator osuszania: opis szkody wodnej, który wpisujesz w asystencie, jest przekazywany do OpenAI Ireland Ltd w celu przygotowania rekomendacji (zob. sekcja 6). Jeżeli następnie poprosisz o przesłanie wyniku e-mailem, przetwarzamy podane przez Ciebie imię i nazwisko, adres e-mail, firmę i numer telefonu, aby go wysłać (art. 6 ust. 1 lit. b RODO). Wiadomości marketingowe wysyłamy wyłącznie po zaznaczeniu odrębnego pola zgody; adres IP i czas wyrażenia tej zgody zapisujemy jako dowód, a zgodę możesz w każdej chwili wycofać (art. 6 ust. 1 lit. a RODO).

Wszystkie te formularze są chronione mechanizmem ochrony przed botami Cloudflare Turnstile, opisanym w sekcji 6.

Dane przesłane z tych formularzy nie są przechowywane w aplikacji. Docierają do nas jako wiadomość e-mail i są usuwane po załatwieniu sprawy, chyba że ustawowy obowiązek przechowywania stanowi inaczej.

10. Zmiany w niniejszej polityce

Możemy od czasu do czasu aktualizować niniejszą politykę prywatności. Najnowsza wersja będzie zawsze dostępna w aplikacji. Data ostatniej aktualizacji jest widoczna na górze tej strony.