RODO / GDPR - Twoje dane są bezpieczne

Czym jest RODO?

RODO (Rozporządzenie o Ochronie Danych Osobowych) to unijne prawo chroniące dane osobowe obywateli UE. Obowiązuje od 25 maja 2018 roku. W wersji angielskiej znane jako GDPR (General Data Protection Regulation).

Poniżej opisujemy, jak chronimy dane i jak działamy jako podmiot przetwarzający dane Twoich klientów i pracowników.

BakePilot jako Procesor danych

Gdy korzystasz z BakePilot do zarządzania swoją cukiernią, wprowadzasz dane swoich klientów (imiona, telefony, adresy, zamówienia). W rozumieniu RODO:

• Ty (Organizacja) jesteś Administratorem danych swoich klientów
• BakePilot jest Procesorem (podmiotem przetwarzającym) tych danych

Oznacza to, że przetwarzamy dane Twoich klientów wyłącznie w celu świadczenia usługi BakePilot, zgodnie z Twoimi instrukcjami.

Umowa Powierzenia Przetwarzania (DPA)

Zgodnie z art. 28 RODO, z każdą Organizacją korzystającą z BakePilot zawieramy Umowę Powierzenia Przetwarzania Danych (Data Processing Agreement). Jej pełna treść to Załącznik nr 1 do Regulaminu; umowa jest zawierana razem z Regulaminem przy rejestracji.

Kluczowe zapisy DPA:

• Przetwarzamy dane wyłącznie na Twoje polecenie i w celu świadczenia usługi
• Stosujemy odpowiednie środki techniczne i organizacyjne (szyfrowanie transmisji, RLS, role i uprawnienia, kopie zapasowe)
• Korzystamy tylko z podwykonawców wymienionych niżej; o planowanym dodaniu lub zmianie podwykonawcy informujemy e-mailem 14 dni wcześniej - możesz zgłosić sprzeciw, a przy braku porozumienia wypowiedzieć umowę bez kosztów
• Naruszenie ochrony danych zgłaszamy Ci bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia
• Zwrot danych to pełny eksport, który właściciel konta zamawia w Ustawieniach; usunięcie konta kasuje dane od razu (kopie zapasowe nadpisują się w ciągu 7 dni); od 2 listopada 2026 r. konto, które przez 6 miesięcy pozostaje w trybie ograniczonym po zakończeniu okresu próbnego lub subskrypcji, usuwamy z uprzedzeniem e-mailem 30 i 7 dni wcześniej
• Zgodność wykazujemy dokumentacją i odpowiedziami na pytania; inspekcja jest możliwa, gdy dokumentacja nie wystarcza, po naruszeniu albo na żądanie organu nadzorczego

Jak chronimy dane

• Izolacja danych - każda Organizacja widzi wyłącznie swoje dane (Row Level Security)
• Szyfrowanie - TLS w transmisji, AES-256 w spoczynku
• Autoryzacja - role standardowe i własne z uprawnieniami nadawanymi przez organizację, jeden właściciel konta
• Logi dostępu - rejestracja zdarzeń bezpieczeństwa
• Kopie zapasowe - automatyczne, szyfrowane
• Infrastruktura EU - baza danych w Unii Europejskiej (Irlandia), funkcje aplikacji w regionie Dublin

Twoje prawa jako Użytkownika

Masz prawo do:

• Dostępu do swoich danych (pełny eksport zamawiany przez właściciela konta w Ustawieniach: archiwum ZIP przygotowywane w nocy, z plikiem CSV dla każdego rodzaju danych, zbiorczym skoroszytem XLSX i fakturami KSeF w XML, link ważny 24 godziny; zamówienia od ręki do CSV; eksport list w modułach - CSV/XLSX)
• Sprostowania nieprawidłowych danych
• Usunięcia konta i danych
• Ograniczenia przetwarzania
• Przeniesienia danych do innego systemu
• Sprzeciwu wobec przetwarzania
• Cofnięcia zgody w dowolnym momencie

Kontakt: kontakt@bakepilot.pl

Prawa klientów Twojej cukierni

Jako Administrator danych swoich klientów, to Ty odpowiadasz za realizację ich praw wynikających z RODO. BakePilot dostarcza narzędzia, które Ci w tym pomagają:

• Eksport danych klienta - możesz wyeksportować profil klienta z zamówieniami
• Usunięcie danych klienta - możesz usunąć profil klienta i powiązane dane
• Edycja danych - możesz poprawić dane klienta w każdej chwili

Podwykonawcy (Sub-procesors)

Dane, które Twoja organizacja wprowadza do BakePilot (klienci, pracownicy, kontrahenci), mogą przetwarzać w naszym imieniu wyłącznie następujący podwykonawcy:

• Supabase Inc. (serwery w UE - Irlandia) - baza danych, logowanie i przechowywanie plików
• Vercel Inc. (funkcje aplikacji w regionie Dublin, Irlandia) - hosting aplikacji - SCC
• Resend Inc. (USA) - wysyłka e-maili z aplikacji, w tym do Twoich klientów (np. oferty) - SCC
• Anthropic PBC (USA) - odczyt dokumentów wgranych do skanera cen faktur - SCC
• Google Ireland Ltd. / Google LLC (Irlandia/USA) - powiadomienia push w aplikacji mobilnej (Firebase Cloud Messaging, treść powiadomienia) - SCC
• OpenStreetMap Foundation (Wielka Brytania) - zamiana adresu dostawy na współrzędne (Nominatim); przesyłany jest wyłącznie adres, bez nazwiska i danych kontaktowych odbiorcy
• Functional Software Inc. (Sentry) (USA) - diagnostyka błędów aplikacji - SCC

SCC = Standardowe Klauzule Umowne zatwierdzone przez Komisję Europejską, zapewniające odpowiedni poziom ochrony danych przy transferze poza EOG. Faktury wysyłane do KSeF i pobierane z KSeF odbiera Ministerstwo Finansów jako organ, na Twoje polecenie - nie jest ono naszym podwykonawcą.

Pozostali dostawcy, z których korzystamy (np. Stripe i Fakturownia przy płatnościach za abonament, Meta i Google przy reklamach, Telegram i CallMeBot przy powiadomieniach dla nas), przetwarzają dane, których administratorem jesteśmy my, a nie dane Twoich klientów. Ich pełną listę podaje Polityka prywatności.

Kontakt i skargi

W sprawach RODO: kontakt@bakepilot.pl

Organ nadzorczy: Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl