Informacja dla kontrahentów — Ksefly
Wersja 1.0 · obowiązuje od 1 października 2026 r.
Kto to ogłasza: developNET Maciej Matysiewski (marka: develop.NET), ul. Nowowiejska 6/6, 00-649 Warszawa, Polska. NIP 1182238190, REGON 521446646 — twórca aplikacji Ksefly. Kontakt w sprawach danych osobowych: privacy@ksefly.app
Wersja polska jest wersją rozstrzygającą; angielskie tłumaczenie (ksefly.app/en/counterparties) ma charakter informacyjny.
Czytasz to, bo firma, z którą handlujesz, korzysta z Ksefly
Ksefly to aplikacja dla polskich przedsiębiorców do wystawiania i odbierania faktur w Krajowym Systemie e-Faktur (KSeF). Nie jesteśmy urzędem i nie jesteśmy powiązani z Ministerstwem Finansów.
Jeżeli wystawiłeś komuś fakturę albo ktoś wystawił fakturę Tobie, a ta druga strona używa Ksefly, to Twoje dane z tej faktury — nazwa, adres, NIP — trafiły do naszego systemu. Nigdy nam ich nie podałeś i najprawdopodobniej nigdy o nas nie słyszałeś. Dlatego publikujemy tę informację: wymaga jej art. 14 RODO.
Nie zakładaliśmy Ci żadnego konta. Nie wysyłamy Ci reklam. Nie sprzedajemy Twoich danych.
Co możesz zrobić — od razu
| Twoja sprawa | Do kogo pisać |
|---|---|
| Chcesz poprawić lub usunąć dane, sprzeciwić się przetwarzaniu, dowiedzieć się, co dokładnie o Tobie zapisano na fakturze | Do firmy, z którą handlowałeś. To ona decyduje o tych danych — my tylko prowadzimy dla niej narzędzie. Szczegóły w §3. |
| Chcesz wiedzieć, co robimy z tymi danymi my sami — opis faktury pisany przez AI, zapis płatności, dzienniki techniczne | privacy@ksefly.app. Tu administratorem jesteśmy my (§3 i §4). |
| Nie wiesz, do kogo z tym pójść | Napisz do nas. Wskażemy właściwą drogę, a jeśli sprawa dotyczy Twojego kontrahenta — przekażemy mu ją. |
Żeby cokolwiek u siebie odnaleźć, potrzebujemy Twojego NIP-u — po nim umiemy wyszukać dokładne dopasowanie. Po imieniu i nazwisku ani po adresie nie szukamy.
1. Skąd mamy Twoje dane
Nie od Ciebie. Dane trafiły do nas trzema drogami:
- Z samej faktury. Albo Twój kontrahent wystawił Ci fakturę w Ksefly i wpisał (lub wkleił z własnej kartoteki) Twoje dane, albo pobraliśmy fakturę z KSeF — z systemu Ministerstwa Finansów — bo tam wylądował dokument, który Ty mu wystawiłeś. W drugim przypadku dane pochodzą dokładnie z tego, co sam wpisałeś na fakturze.
- Z publicznych rejestrów. Kiedy Twój kontrahent sprawdza Cię w aplikacji, wysyłamy Twój NIP do GUS (baza REGON), na białą listę podatników VAT albo do VIES. W odpowiedzi przychodzą Twoje dane rejestrowe — nazwa, adres, REGON, forma prawna, status VAT, numery rachunków z białej listy, a czasem adres e-mail, który GUS o Tobie ma. To są źródła publicznie dostępne (art. 14 ust. 2 lit. f RODO).
- Od Stripe — tylko jeśli zapłaciłeś fakturę przez Ksefly (kartą w terminalu telefonu kontrahenta albo linkiem do płatności). Wtedy operator płatności przekazuje nam potwierdzenie rozliczenia.
2. Co dokładnie o Tobie mamy
2.1. Dane z faktury
Nazwa (firmy lub Twoje imię i nazwisko, jeśli prowadzisz jednoosobową działalność), adres, NIP, numer faktury, daty (wystawienia i terminu płatności), kwoty netto, VAT i brutto, waluta, numer KSeF dokumentu, a przy korekcie także numer i data korygowanej faktury oraz przyczyna korekty.
Do tego dwie rzeczy, które nie pochodzą z dokumentu:
- notatka Twojego kontrahenta — pole, w którym może własnymi słowami opisać, dlaczego zaakceptował lub odrzucił Twoją fakturę;
- jednozdaniowy opis faktury napisany przez AI („po co jest ta faktura”) — tylko jeżeli Twój kontrahent włączył tę funkcję; opisujemy ją w §5.
Na urządzeniu Twojego kontrahenta leży pełniejsza kopia: dodatkowo pozycje faktury, numer rachunku bankowego i pozostałe szczegóły dokumentu.
Co jest zaszyfrowane, a co nie. Twój NIP przechowujemy zaszyfrowany. Twoja nazwa i Twój adres leżą w bazie zwykłym tekstem — nie chcemy sugerować ochrony większej niż faktyczna.
2.2. Kartoteka kontrahentów
Jeśli Twój kontrahent zapisał Cię w swojej kartotece, trzymamy jej kopię zapasową: nazwa, NIP, kraj, adres, REGON, forma prawna, status VAT, własna nazwa, jaką Ci nadał, numery rachunków bankowych z białej listy i adresy e-mail. Ta kartoteka jest u nas zaszyfrowana.
2.3. Zapis płatności — jeśli zapłaciłeś przez Ksefly
Kwota, waluta, metoda płatności, rodzaj portfela (np. Apple Pay), marka karty i cztery ostatnie cyfry, link do potwierdzenia Stripe, moment rozliczenia oraz nasze identyfikatory techniczne. Ten zapis nie jest zaszyfrowany; przechowujemy go do usunięcia konta albo firmy przez Twojego kontrahenta (§6).
Nie mamy numeru Twojej karty, daty ważności ani kodu CVC. Dane karty odczytuje na urządzeniu biblioteka Stripe i wysyła je prosto do Stripe; nigdy nie przechodzą przez nasze serwery.
2.4. Czego nie mamy
Nie mamy Twojego hasła, nie mamy Twojej lokalizacji, nie mamy Twojego profilu w żadnym sensie marketingowym. Nie prowadzimy reklam, nie śledzimy Cię w innych aplikacjach ani serwisach — w aplikacji nie ma żadnego zewnętrznego SDK analitycznego ani identyfikatora reklamowego.
3. Kto tu za co odpowiada — i dlaczego to dla Ciebie ważne
To jest najważniejszy akapit w całym dokumencie, bo od niego zależy, do kogo masz się zwrócić.
Za większość tych danych odpowiada Twój kontrahent, nie my. To on zdecydował, że wystawi lub odbierze fakturę i że do jej obsługi użyje Ksefly. My przechowujemy te dane i wykonujemy na nich operacje na jego polecenie — jesteśmy jego podmiotem przetwarzającym w rozumieniu RODO. W tym zakresie administratorem Twoich danych jest on, a wnioski (dostęp, sprostowanie, usunięcie, sprzeciw) rozpatruje on. Dotyczy to: przechowywania faktury i jej danych, kartoteki kontrahentów, wysyłki dokumentu do KSeF, sprawdzeń w rejestrach publicznych i powiadomień w jego telefonie.
Są jednak rzeczy, o których decydujemy my sami — nie wynikają z polecenia Twojego kontrahenta i on nie może ich wyłączyć. W tym zakresie administratorem jesteśmy my:
- zapis płatności z §2.3 — trzymamy go dla rozliczenia prowizji i udokumentowania transakcji;
- dzienniki techniczne serwera, potrzebne do utrzymania usługi i wykrywania nadużyć.
Jeżeli któraś z tych trzech rzeczy Cię niepokoi — pisz bezpośrednio do nas.
Podział ról nie jest deklaracją na słowo: opisuje go umowa powierzenia, którą Twój kontrahent zawiera z nami — ten sam dokument wymienia podprocesorów i mówi, co wolno nam z tymi danymi zrobić.
4. Po co i na jakiej podstawie prawnej
Odwołania dotyczą art. 6 ust. 1 RODO.
| Co robimy | Kto jest administratorem | Podstawa |
|---|---|---|
| Przechowujemy fakturę i jej dane, żeby kontrahent mógł ją wystawić, odebrać, przeczytać i rozliczyć | Twój kontrahent | Wskazuje ją on. Z natury rzeczy jest to zwykle obowiązek prawny (lit. c) — ustawa o VAT wymaga, by faktura Cię wymieniała — oraz wykonanie umowy między Wami (lit. b). |
| Wysyłamy dokument do KSeF | Twój kontrahent | Jak wyżej — obowiązek ustawowy korzystania z KSeF. |
| Sprawdzamy Twój NIP w GUS, na białej liście i w VIES | Twój kontrahent | Jego obowiązki podatkowe (lit. c) i należyta staranność (lit. f). |
| Trzymamy zapis płatności i pobieramy naszą prowizję | My | lit. f — nasz prawnie uzasadniony interes: udokumentowanie i rozliczenie płatności przyjętej przez naszą platformę oraz ustalenie i obrona ewentualnych roszczeń. |
| Prowadzimy dzienniki techniczne, wykrywamy awarie i nadużycia | My | lit. f — utrzymanie usługi w działaniu i zapobieganie nadużyciom (motyw 49 RODO). |
| Każemy modelowi AI napisać jednozdaniowy opis faktury | Twój kontrahent | działamy na jego udokumentowane polecenie jako podmiot przetwarzający: funkcję włącza przełącznik „Ksefly Intelligence” w aplikacji (domyślnie wyłączony), a jego wyłączenie kasuje zapisane opisy. |
Nasz test równowagi, w jednym zdaniu: przetwarzamy dane rejestrowe firmy, które i tak muszą znaleźć się na fakturze, wyłącznie po to, żeby ta faktura zadziałała i żeby usługa się nie psuła — nie budujemy z nich profilu, nie używamy ich do marketingu i nikomu ich nie sprzedajemy.
Nie podejmujemy wobec Ciebie żadnych zautomatyzowanych decyzji wywołujących skutki prawne i nie profilujemy Cię w rozumieniu art. 22 RODO. AI pisze jedynie etykietę opisującą towar lub usługę; o niczym nie rozstrzyga.
5. Komu przekazujemy Twoje dane i dokąd one wyjeżdżają
Musimy powiedzieć rzecz nieprzyjemną i mówimy ją wprost.
Nazwa Twojej firmy trafia do modelu AI w Stanach Zjednoczonych. Żeby napisać ten jednozdaniowy opis faktury, wysyłamy do Anthropic (przetwarzanie w USA): nazwę sprzedawcy, nazwę nabywcy, kwotę brutto, walutę i nazwy pozycji z faktury — czyli to, co faktycznie zostało kupione lub sprzedane. Dzieje się to wyłącznie wtedy, gdy Twój kontrahent włączył przełącznik „Ksefly Intelligence” (domyślnie wyłączony); jego wyłączenie kasuje zapisane opisy. Jeżeli faktura ma NIP nabywcy, dołączamy do niej do ośmiu wcześniejszych opisów wystawionych dla tej samej pary firm, żeby nazewnictwo było spójne. Nie wysyłamy tam NIP-ów ani adresów. Umowa jest zawarta z Anthropic Ireland, Limited (podmiot dla klientów z EOG) i obejmuje przez referencję umowę powierzenia, w której Anthropic działa jako podmiot przetwarzający naszego kontrahenta; transfer do USA odbywa się na standardowych klauzulach umownych (moduł 2 i 3) wbudowanych w tę umowę. Anthropic usuwa wejścia i wyjścia API automatycznie w ciągu 30 dni i nie wolno mu trenować modeli na tych treściach.
Pozostali odbiorcy:
| Kto | Co do niego trafia | Gdzie | Podstawa transferu poza EOG |
|---|---|---|---|
| Microsoft Azure — hosting i baza danych | wszystko, co opisuje §2 | Poland Central (Polska) — produkcja i test tak samo | transfer poza EOG nie występuje ograniczony dostęp serwisowy spoza UE odbywa się na zasadach Microsoft DPA (standardowe klauzule umowne) |
| Anthropic (umowa: Anthropic Ireland, Limited) — model językowy | jak wyżej | USA | standardowe klauzule umowne (moduł 2 i 3) wbudowane w DPA Anthropic; retencja 30 dni, zakaz treningu |
| Apple (APNs) — powiadomienia push | Twoja nazwa i kwota faktury w treści powiadomienia, które dostaje Twój kontrahent, gdy wystawisz mu fakturę (gdy naraz przychodzi kilka faktur — tylko ich liczba i suma). Jego urządzenie może to wyłączyć, ale domyślnie jest włączone | USA | standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) — Apple deklaruje w swojej polityce prywatności, że przekazywanie poza EOG danych zebranych w EOG odbywa się na podstawie standardowych klauzul umownych; podmiotem Apple dla EOG jest Apple Distribution International Limited (Irlandia); Apple nie uczestniczy w EU-US Data Privacy Framework |
| Stripe — płatności | tylko jeśli zapłaciłeś fakturę przez Ksefly: kwota, waluta, metoda, numer faktury jako nazwa pozycji, dane karty odczytane na urządzeniu | Irlandia — Stripe Payments Europe, Limited | na tym styku transferu poza EOG nie ma (podmiot z EOG); przekazania do USA wykonuje Stripe wewnątrz swojej grupy, jako odrębny administrator (standardowe klauzule umowne, Stripe, LLC z certyfikacją EU-US Data Privacy Framework) |
| KSeF / Ministerstwo Finansów | kompletny dokument faktury; MF jest samodzielnym administratorem z mocy ustawy | Polska | — |
| GUS BIR, biała lista VAT (MF), VIES (Komisja Europejska) | Twój NIP (a przy sprawdzeniu rachunku: NIP + numer rachunku) | Polska / UE | — |
6. Jak długo to trzymamy
- Dane faktury i kartoteka — tak długo, jak Twój kontrahent korzysta z Ksefly. Gdy usunie swoje konto albo swoją firmę z aplikacji, kasujemy jego faktury, zaplanowane wysyłki i cały jego sejf danych, a więc także dane o Tobie, które tam były.
- Nie kasujemy niczego „po X latach”. W systemie nie ma żadnego mechanizmu retencji opartego na czasie — i jest to decyzja, nie przeoczenie: wszystko, co o Tobie mamy, w tym zapis płatności z §2.3 i dokumenty UPO, przechowujemy do usunięcia konta albo firmy przez Twojego kontrahenta — wtedy kasujemy to razem z resztą jego danych.
- Faktury w KSeF to inna sprawa. Dokumentu, który już trafił do KSeF, nie usuniemy ani my, ani Twój kontrahent — o tym systemie decyduje Ministerstwo Finansów na zasadach ustawowych.
7. Twoje prawa
Masz prawo do: dostępu do swoich danych, sprostowania ich, usunięcia, ograniczenia przetwarzania, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO) oraz — w zakresie, w jakim przetwarzanie opiera się na umowie lub zgodzie i odbywa się w sposób zautomatyzowany — przenoszenia danych.
Gdzie z tym pójść:
- Dane z faktury i z kartoteki — do Twojego kontrahenta. On jest administratorem (§3) i to on ma obowiązek Ci odpowiedzieć. Jeśli napiszesz do nas, przekażemy mu sprawę i pomożemy ją wykonać technicznie, ale sami nie zmienimy ani nie usuniemy jego danych bez jego polecenia — tak działa rola podmiotu przetwarzającego.
- Opis pisany przez AI, zapis płatności, dzienniki techniczne — do nas, na privacy@ksefly.app. Tu odpowiadamy sami.
Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Podaj swój NIP — bez niego nie odnajdziemy Twoich danych. Możemy poprosić o informacje potwierdzające, że piszesz we własnej sprawie.
Czego nie umiemy zrobić, i mówimy to od razu: nie usuniemy faktury z KSeF, nie sprawimy, by przestała istnieć u Twojego kontrahenta, jeśli prawo każe mu ją przechowywać, i nie usuniemy danych, które są konieczne do rozliczenia dokonanej już płatności.
Skarga. Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Inspektor ochrony danych: nie wyznaczyliśmy go — art. 37 ust. 1 RODO nie wymaga tego przy tej działalności i skali. W sprawach danych osobowych pisz na privacy@ksefly.app.
8. Dlaczego to ogłoszenie, a nie list do Ciebie
RODO każe poinformować Cię, gdy dane pozyskano nie od Ciebie (art. 14). Wysłanie każdej takiej osobie osobnej wiadomości wymagałoby niewspółmiernie dużego wysiłku w rozumieniu art. 14 ust. 5 lit. b RODO — i, co ważniejsze, oznaczałoby przetwarzanie o Tobie większej ilości danych niż dziś mamy:
- z faktury nie wynika, czy druga strona jest osobą fizyczną (której RODO dotyczy), czy spółką (której nie dotyczy);
- w większości przypadków nie mamy do Ciebie żadnej drogi kontaktu, a jeśli w kartotece kontrahenta przypadkiem jest Twój e-mail, to jest to jego kartoteka i jego dane — użycie tego adresu do naszej własnej wysyłki byłoby nowym, nieoczekiwanym przetwarzaniem;
- takich rekordów jest bardzo dużo i przybywa ich z każdą fakturą.
Dlatego, zgodnie z art. 14 ust. 5 lit. b, podajemy tę informację publicznie — pod stałym adresem, bezterminowo, z linkiem z polityki prywatności. Niezależnie od tego Twój kontrahent ma własny obowiązek informacyjny wobec Ciebie.
9. Uwaga o zakresie
RODO chroni osoby fizyczne. Ta informacja dotyczy Cię, jeśli prowadzisz jednoosobową działalność gospodarczą, jesteś wspólnikiem spółki cywilnej albo osobą prywatną, która dostała fakturę. Dane spółki z osobowością prawną nie są danymi osobowymi — choć dane osób ją reprezentujących mogą nimi być.
10. Zmiany
Będziemy tę informację aktualizować wraz z rozwojem aplikacji. Każda wersja ma numer i datę.
Historia zmian
- Wersja 1.0 — 1 października 2026 r. Pierwsza wersja.