Polityka prywatności Tvarka
To polskie tłumaczenie udostępniamy dla wygody. W razie rozbieżności pierwszeństwo ma tekst litewski. Lietuviškas tekstas
Polityka prywatności Tvarka
Ta polityka prywatności wyjaśnia, jak Tvarka przetwarza dane osobowe.
Ostatnia aktualizacja: 2026-08-08
1. Administratorzy danych
1.1. Administratorami danych osobowych, każdy w zakresie swoich zadań w Tvarka.pro, są Advokato M. Kiškio kontora INVENT (dostawca usług prawnych) oraz Socialiniai algoritmai, UAB (operator platformy). Ich role i dane kontaktowe podano w sekcji Kontakt.
1.2. Przetwarzając dane osobowe, przestrzegamy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO) oraz obowiązujących przepisów Republiki Litewskiej.
2. Kogo dotyczy ta polityka prywatności
2.1. Polityka prywatności dotyczy odwiedzających i użytkowników platformy Tvarka oraz przedstawicieli klientów, partnerów i usługodawców, gdy kontaktują się z nami lub korzystają z Tvarka.
2.2. Usługi Tvarka są świadczone wyłącznie firmom. Tvarka nie jest przeznaczona dla osób niepełnoletnich. Jeśli nie masz 18 lat, nie korzystaj z platformy.
2.3. Jeśli podczas korzystania z Tvarka podajesz dane osobowe innych osób, odpowiadasz za poinformowanie ich o tym przetwarzaniu i zapoznanie z tą polityką prywatności.
3. Jakie dane osobowe przetwarzamy
Tvarka przetwarza dane osobowe w zakresie potrzebnym do świadczenia i obsługi platformy. Zakres danych zależy od używanych funkcji.
3.1. Dane uwierzytelniania (logowania)
Tożsamość wszystkich użytkowników jest potwierdzana przez rozwiązania Mitsoft TSP lub państwowego Registrų centras przy użyciu litewskich środków identyfikacji elektronicznej (np. Smart-ID, Mobile-ID, karty eID).
Od dostawców weryfikacji tożsamości możemy otrzymywać i przetwarzać: kod osobowy (asmens kodas), imię, nazwisko, kod kraju oraz dane certyfikatu potrzebne do ścieżki audytu.
3.2. Dane konta i ról
Tvarka przechowuje dane konta i ról użytkowników powiązanych z daną osobą prawną: nadane role i uprawnienia, datę nadania, osobę nadającą oraz zapisy zmian ról.
3.3. Dane osoby prawnej i aktywności
Tvarka przetwarza dane osoby prawnej obsługiwanej na platformie i działania użytkownika, np. kod osoby prawnej (kod firmy), nazwę, formę (np. UAB, MB), ustawienia zgodności, wpisy rejestru wspólników, wydarzenia w kalendarzu, zadania i metadane dokumentów.
Jeśli platforma udostępnia taką funkcję, Tvarka może korzystać z publicznych lub urzędowych źródeł (np. danych rejestrowych lub podatkowych), aby sprawdzić lub wstępnie uzupełnić dane osoby prawnej.
3.4. Dokumenty i dane podpisu kwalifikowanego
Jeśli przechowujesz, tworzysz lub podpisujesz dokumenty, Tvarka przetwarza przesłane dokumenty, utworzone pliki i dane techniczne powstające przy podpisywaniu (np. czas podpisu, informacje o certyfikacie i dziennik podpisywania). Podpis kwalifikowany jest składany z użyciem infrastruktury Mitsoft TSP lub państwowego Registrų centras.
3.5. Dane płatności i faktur
Płatności za doładowania salda, faktury i inne płatne działania obsługuje wybrany dostawca płatności. Tvarka może otrzymać dane o stanie płatności, saldzie, fakturze i dacie płatności, potrzebne do nadania dostępu i księgowości. Tvarka nie przechowuje pełnych danych karty płatniczej ani rachunku bankowego.
3.6. Dane techniczne i pliki cookie
Tvarka używa niezbędnych plików cookie i podobnych technologii (np. cookie sesyjnych i ochrony CSRF), aby platforma działała bezpiecznie. Jeśli używane są analityczne lub marketingowe pliki cookie, wymagana jest Twoja zgoda.
4. Cele przetwarzania danych, podstawy prawne i okresy przechowywania
Główne cele przetwarzania podajemy poniżej. Konkretne okresy mogą się zmieniać zgodnie z prawem i rzeczywistym charakterem świadczonych usług.
| Cel | Kategorie danych | Podstawa prawna (RODO) | Przechowywanie |
|---|---|---|---|
| Założenie konta i uwierzytelnianie | Dane eID (kod osobowy, imię, nazwisko), role | Umowa (art. 6 ust. 1 lit. b RODO) / prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) | Do usunięcia konta; zapisy audytu – zgodnie z uzasadnionym interesem i potrzebami bezpieczeństwa. |
| Świadczenie usług (rejestr, kalendarz, dokumenty) | Dane osoby prawnej, zapisy działań, dokumenty | Umowa (art. 6 ust. 1 lit. b) | Przez okres świadczenia usług i przez potrzebny, rozsądny czas po jego zakończeniu; dokumenty księgowe – 10 lat. |
| Podpisywanie kwalifikowane | Dziennik podpisywania, dane certyfikatu | Umowa (art. 6 ust. 1 lit. b) | Zgodnie z okresami przechowywania dokumentów i potrzebami audytu. |
| Obsługa płatności | Stan płatności, saldo i dane faktury | Umowa (art. 6 ust. 1 lit. b RODO) / obowiązek prawny (art. 6 ust. 1 lit. c RODO) | Dokumenty księgowe – 10 lat. |
| Bezpieczeństwo, zapobieganie nadużyciom i obsługa incydentów | Dzienniki techniczne, IP, dane urządzenia i sesji | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) | Zwykle do 12 miesięcy, chyba że incydent lub spór wymaga dłuższego okresu. |
| Kontakt i pomoc | E-mail, treść zapytania | Umowa (art. 6 ust. 1 lit. b RODO) / prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) | Zwykle do 2 lat od ostatniego kontaktu, chyba że spór wymaga dłuższego okresu. |
5. Odbiorcy danych (podmioty przetwarzające lub administratorzy)
Tvarka może przekazać dane osobowe innym podmiotom tylko w zakresie potrzebnym do świadczenia usług, zapewnienia bezpieczeństwa lub wykonania obowiązków prawnych.
Główne kategorie odbiorców:
- dostawcy usług IT i hostingu (np. infrastruktury chmurowej);
- Mitsoft TSP lub państwowy Registrų centras – dostawcy usług uwierzytelniania i podpisu kwalifikowanego;
- dostawcy usług płatniczych (np. Stripe lub inny dostawca wskazany na platformie);
- doradcy zawodowi (np. prawnicy, audytorzy), gdy jest to potrzebne do ochrony uzasadnionych interesów lub wynika z prawa;
- organy państwowe i sądy – gdy wymaga tego prawo lub rozstrzyganie sporów.
Z podmiotami przetwarzającymi zawieramy umowy zapewniające zgodność z RODO.
6. Pliki cookie i inne technologie
6.1. Niezbędne pliki cookie. Tvarka nie używa dodatkowych cookie analitycznych ani marketingowych. Do działania i bezpieczeństwa platformy mogą służyć tylko niezbędne cookie ustawiane przez dostawców infrastruktury lub usług tożsamości (np. ochrona przed botami, kierowanie ruchem, utrzymanie sesji podczas weryfikacji tożsamości). Ich podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
6.2. Opcjonalne pliki cookie. Tvarka nie używa cookie analitycznych ani marketingowych i nie prosi o zgodę na takie cookie.
6.3. Lista używanych plików cookie
| Cookie | Dostawca | Cel | Czas trwania |
|---|---|---|---|
| __cf_bm | Cloudflare | Zarządzanie botami i ochrona przed nadużyciami (Cloudflare Bot Management / Bot Fight Mode). | Do około 30 min po zakończeniu aktywności |
| _cfuvid | Cloudflare | Ograniczanie liczby żądań i reguły zapory aplikacji (WAF): pomagają odróżnić odwiedzających, gdy kilka osób używa tego samego adresu IP (NAT). | Według konfiguracji Cloudflare (zwykle sesja) |
| cf_clearance | Cloudflare | Potwierdzenie pomyślnego przejścia kontroli bezpieczeństwa Cloudflare. | Według konfiguracji Cloudflare |
| __cflb | Cloudflare (jeśli dotyczy) | Przypisanie sesji do tego samego serwera źródłowego (utrzymanie sesji w Cloudflare Load Balancer). | Od kilku sekund do 24 godz. (zależnie od ustawień) |
| X-Oracle-BMC-LBS-Route | OCI (Oracle Cloud Infrastructure) (jeśli dotyczy) | Przypisanie sesji przez OCI Load Balancer do serwera zaplecza. | Według konfiguracji OCI |
| HCLBSTICKY | Hetzner (jeśli dotyczy) | Przypisanie sesji przez Hetzner Cloud Load Balancer do serwera zaplecza. | Według konfiguracji Hetzner |
| sessionid | Mitsoft TSP (tsp.mitsoft.lt) (jeśli dotyczy) | Cookie sesyjne potrzebne do utrzymania zalogowania w środowisku eID (podpisywanie lub weryfikacja tożsamości). | Do zamknięcia przeglądarki (sesja) |
| cookieyes-consent | LT ID (ltid.lt) (jeśli dotyczy) | Zapamiętuje wybór użytkownika dotyczący cookie na stronie LT ID. | 1 rok |
| _GRECAPTCHA | LT ID (ltid.lt) (jeśli dotyczy) | Ochrona przed botami i nadużyciami na stronie LT ID. | 6 miesięcy |
Uwaga: „jeśli dotyczy” oznacza, że cookie jest ustawiane tylko wtedy, gdy w danym środowisku używana jest odpowiednia infrastruktura lub usługa tożsamości, z uwzględnieniem ustawień użytkownika.
7. Przekazywanie danych do państw trzecich
7.1. Tvarka może korzystać z dostawców przetwarzających dane osobowe poza Europejskim Obszarem Gospodarczym. Wtedy zapewniamy odpowiednie zabezpieczenia, np. standardowe klauzule umowne Komisji Europejskiej, decyzje stwierdzające odpowiedni stopień ochrony lub inne środki przewidziane w RODO.
8. Bezpieczeństwo danych osobowych
8.1. Stosujemy środki techniczne i organizacyjne chroniące dane osobowe przed nieuprawnionym dostępem, utratą i ujawnieniem.
8.2. W Tvarka kod osobowy jest przetwarzany bezpiecznie: do indeksowania służy identyfikator skrótu HMAC-SHA256, a zaszyfrowane dane są przechowywane oddzielnie, z osobnym zarządzaniem kluczami. Ogranicza to ryzyko.
8.3. Mimo rozsądnych starań żadna metoda przesyłania ani przechowywania danych nie jest w 100% bezpieczna.
9. Twoje prawa
Masz prawa przewidziane w RODO: dostęp do danych, ich poprawienie lub usunięcie, ograniczenie przetwarzania, sprzeciw wobec przetwarzania, przenoszenie danych (gdy ma zastosowanie) oraz złożenie skargi do organu nadzorczego.
Aby skorzystać z tych praw, napisz na adres e-mail wskazany w sekcji 12. Odpowiemy najpóźniej w ciągu 1 miesiąca, chyba że RODO pozwala wydłużyć ten okres.
Organem nadzorczym na Litwie jest Państwowa Inspekcja Ochrony Danych (Valstybinė duomenų apsaugos inspekcija, VDAI), L. Sapiegos g. 17, 10312 Vilnius, e-mail [email protected].
10. Zmiany polityki prywatności
10.1. Możemy aktualizować tę politykę prywatności. Zmiany publikujemy na platformie. O ważnych zmianach możemy poinformować Cię także osobno.
11. Odpowiedzialność i bezpieczeństwo konta
11.1. Użytkownicy Tvarka odpowiadają za bezpieczeństwo swoich urządzeń, środków identyfikacji elektronicznej i działań na platformie. Zalecamy aktualne oprogramowanie i odpowiednie środki cyberbezpieczeństwa.
12. Administratorzy danych i kontakt
Projekt Tvarka.pro prowadzą Advokato M. Kiškio kontora INVENT i Socialiniai algoritmai, UAB. Ich role, kody osób prawnych, numery VAT i adresy znajdziesz na stronie O nas.
Ogólne dane kontaktowe Tvarka.pro i sposób zadawania pytań znajdziesz na stronie Kontakt.
13. Bezpłatny plan osobisty Tvarka Sign
13.1. Ta sekcja dotyczy osoby fizycznej korzystającej z bezpłatnego planu osobistego aplikacji Tvarka Sign bez konta Tvarka. W tym zakresie, w drodze wyjątku od punktu 2.2, usługa służy także celom osobistym (nie firmowym). Administratorem danych opisanych w tej sekcji jest operator platformy, Socialiniai algoritmai, UAB.
13.2. Przetwarzamy następujące dane:
- dane rejestracji urządzenia: losowo wygenerowany identyfikator urządzenia i token dostępu, dzienniki techniczne oraz adres IP (dla bezpieczeństwa, ograniczania liczby żądań i zapobiegania nadużyciom);
- dane podpisywania: dane certyfikatu kwalifikowanego odczytane z karty eID podczas podpisywania (imię, nazwisko, kod osobowy, informacje o certyfikacie) oraz dziennik podpisywania, zgodnie z sekcją 3.4;
- zapis wykorzystania limitu miesięcznego: skrót (HMAC) kodu osobowego z certyfikatu, miesiąc kalendarzowy i liczba podpisów – przy liczeniu limitu nie przechowujemy kodu osobowego w jawnej postaci;
- token powiadomień push, jeśli powiadomienia są włączone na urządzeniu.
13.3. Podpisywany PDF jest przesyłany na platformę wyłącznie w celu złożenia podpisu. Nie używamy go do innych celów. Dokument i jego podpisana wersja są usuwane, gdy aplikacja potwierdzi pobranie podpisanego pliku, a w każdym razie najpóźniej 48 godzin od przesłania.
13.4. Podstawy prawne: świadczenie usługi – umowa (art. 6 ust. 1 lit. b RODO); liczenie limitu, ograniczanie liczby żądań i zapobieganie nadużyciom – prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO); powiadomienia marketingowe w aplikacji – wyłącznie osobna zgoda (art. 6 ust. 1 lit. a RODO), domyślnie wyłączona i możliwa do cofnięcia w ustawieniach aplikacji w każdej chwili.
13.5. Odbiorcy: kwalifikowani dostawcy znaczników czasu w Unii Europejskiej (np. ACCV w Hiszpanii) – żądanie znacznika zawiera tylko kryptograficzny skrót (hash), a nie treść dokumentu; zapytania o ważność certyfikatu (OCSP) trafiają do kwalifikowanego dostawcy usług zaufania, który wydał certyfikat; do dostarczania włączonych powiadomień służą Google Firebase Cloud Messaging na Androidzie i Apple Push Notification service (APNs) na iOS; odbiorcami są też dostawcy IT i hostingu wymienieni w sekcji 5.
13.6. Po usunięciu dokumentu pozostają tylko zapisy techniczne i pozbawione bezpośrednich danych identyfikacyjnych. Gdy korzystasz z praw wynikających z RODO, możemy poprosić o dodatkowe informacje, aby powiązać Cię z zapisami (art. 11 RODO). Skontaktuj się z nami zgodnie z sekcją 12. Rejestrację urządzenia możesz zakończyć w każdej chwili, usuwając aplikację lub składając wniosek.
13.7. Wniosek o usunięcie danych Tvarka Sign
Wybranie w aplikacji „Ustawienia” i „Wyczyść i zacznij od nowa” usuwa z telefonu aktywację, dane powiązanej karty i historię aplikacji. To działanie lokalne nie składa wniosku o usunięcie danych z serwera.
Aby złożyć wniosek o usunięcie danych z serwera, napisz na adres [email protected], w tytule wpisz „Usunięcie danych Tvarka Sign” i napisz, że korzystałeś z bezpłatnego planu osobistego. Jeśli w aplikacji nadal widać identyfikator urządzenia, dołącz go do wniosku. Możemy poprosić o dodatkowe informacje, aby powiązać Twoją tożsamość z odpowiednimi zapisami.
Po otrzymaniu uzasadnionego wniosku usuwamy lub pozbawiamy danych identyfikacyjnych niepotrzebne już informacje powiązane z rejestracją urządzenia. Dokumenty i ich podpisane wersje usuwamy w terminie z punktu 13.3. Techniczne dzienniki bezpieczeństwa przechowujemy zwykle do 12 miesięcy, zapytania do pomocy – do 2 lat. Dane, które musimy zachować ze względu na prawo, bezpieczeństwo, zapobieganie nadużyciom lub spór, pozostają tylko przez odpowiedni okres wskazany w sekcji 4.