Polityka Prywatności serwisu MONODAT

1. Administrator danych osobowych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z serwisu MONODAT (https://monodat.com) jest:

Moises Lopez Otero Studio Programistyczne ul. Osiedle Willowe 5, 31-901 Kraków, Polska NIP: 6793218612 | REGON: 389287603 Adres ogólny: info@monodat.com

zwany dalej „Administratorem”.

We wszystkich sprawach dotyczących danych osobowych, prywatności i realizacji Twoich praw prosimy o kontakt pod adresem: help@monodat.com. Jest to adres obsługiwany operacyjnie i to na nim rejestrujemy bieg terminów ustawowych.

2. Inspektor Ochrony Danych

Z uwagi na skalę i charakter działalności Administrator nie wyznaczył Inspektora Ochrony Danych (IOD), gdyż nie zachodzą przesłanki obligatoryjnego powołania IOD określone w art. 37 ust. 1 RODO. We wszystkich sprawach dotyczących ochrony danych osobowych można kontaktować się bezpośrednio z Administratorem pod adresem help@monodat.com.

3. Kategorie przetwarzanych danych

3.1. Dane Użytkowników Serwisu

W związku z rejestracją, świadczeniem Usług i obsługą subskrypcji przetwarzamy:

Czy musisz podać dane (art. 13 ust. 2 lit. e RODO)? Podanie danych jest dobrowolne, ale adres e-mail i dane logowania są niezbędne do założenia Konta i zawarcia Umowy, a NIP i adres do faktury — do wystawienia faktury w zakresie wymaganym przepisami podatkowymi. Bez tych danych nie możemy zawrzeć ani wykonać Umowy albo wystawić faktury. Pozostałe dane (np. zdjęcie profilowe, preferencje, treść zgłoszeń, pytania do asystenta) podajesz według własnego uznania, a dane techniczne (np. adres IP, identyfikator sesji) są zbierane automatycznie podczas korzystania z Serwisu. Nie przetwarzamy Twojego hasła — uwierzytelnianie w całości realizuje Google (Firebase Authentication), a Administrator nigdy nie otrzymuje ani nie przechowuje haseł.

Nie przetwarzamy szczególnych kategorii danych (art. 9 RODO) Użytkowników — nie zbieramy danych o zdrowiu, poglądach, przynależności ani orientacji.

3.2. Dane osób trzecich widocznych w Serwisie (Art. 14 RODO)

Serwis prezentuje dane pochodzące z publicznych rejestrów polskich. Dane mogą obejmować imiona i nazwiska, adresy, funkcje pełnione w spółkach, numer PESEL (w zakresie ujawnionym przez rejestr źródłowy) oraz inne dane identyfikacyjne osób fizycznych, w szczególności:

• członków zarządu, rady nadzorczej, prokurentów, likwidatorów (KRS),
• wspólników i akcjonariuszy (KRS),
• beneficjentów rzeczywistych (CRBR),
• osób zajmujących eksponowane stanowiska polityczne (PEP) oraz osób figurujących na listach sankcyjnych,
• świadczeniodawców, którzy zawarli umowy z Narodowym Funduszem Zdrowia (nazwa świadczeniodawcy może być imieniem i nazwiskiem osoby fizycznej), - przedsiębiorców figurujących na Białej Liście Podatników VAT,
• beneficjentów pomocy publicznej (SUDOP),
• stron orzeczeń sądowych publikowanych w Portalu Orzeczeń Sądów Powszechnych (SAOS) — patrz uwaga o orzeczeniach karnych poniżej.

Źródła danych: KRS, CRBR, CEIDG (sekcja 3.3), Biała Lista Podatników VAT, SUDOP, BZP, KRZ, MSiG, e-sprawozdania MF (w tym dane osób podpisujących sprawozdania finansowe), SAOS, rejestry KNF, EBA, ESMA, MSWiA, informacja o umowach NFZ (API „Informator o umowach”) oraz inne polskie i unijne rejestry publiczne. Listy PEP: API Sejmu RP (bieżąca i poprzednia kadencja), strony Senatu RP, serwis gov.pl (skład Rady Ministrów i kierownictwo ministerstw i urzędów, licencja CC BY 3.0 PL) oraz otwarte dane Parlamentu Europejskiego (© Unia Europejska – źródło: Parlament Europejski); daty urodzenia osób z list PEP pochodzą z Wikidata (CC0). Ponadto: giełda wierzytelności dlugi.info (oferty sprzedaży wierzytelności — sekcja 3.3) oraz baza GeoNames (współrzędne kodów pocztowych do map — sekcje 3.3 i 6).

Podstawa prawna:

• Art. 6(1)(e) RODO – wykonanie zadania w interesie publicznym (przejrzystość obrotu gospodarczego),
• Art. 6(1)(f) RODO – uzasadniony interes Administratora i jego klientów (weryfikacja kontrahentów, compliance, due diligence).

Dane orzeczeń sądowych (SAOS) a art. 10 RODO: sądy powszechne, których orzeczenia publikowane są w SAOS, rozstrzygają zarówno sprawy cywilne/gospodarcze, jak i karne. W zakresie, w jakim orzeczenie pobrane do Serwisu dotyczy skazania za przestępstwo lub czynu zabronionego, stanowi ono dane osobowe w rozumieniu art. 10 RODO, które Administrator przetwarza wyłącznie w zakresie zgodnym z art. 10 w związku z przepisami polskimi (w szczególności w zakresie, w jakim prawo polskie już nakazuje udostępnianie takich orzeczeń publicznie w formie zanonimizowanej lub pseudonimizowanej — w takim samym zakresie i formie, w jakiej czyni to źródłowa publikacja SAOS). Serwis nie dodaje do takich orzeczeń żadnego własnego wnioskowania, etykiety ani wyniku scoringowego — odtwarza wyłącznie to, co ujawnia już publikacja źródłowa.

Osoby zajmujące eksponowane stanowiska polityczne (PEP): przetwarzamy imię i nazwisko, pełnioną funkcję, instytucję, okres pełnienia funkcji i — jeżeli jest dostępna w źródle — datę urodzenia osób z list wskazanych wyżej. Osoba, która przestała pełnić funkcję, jest oznaczana jako PEP przez 12 miesięcy od jej zakończenia, a następnie oznaczenie wygasa. Data urodzenia służy wyłącznie do odróżniania osób o tym samym imieniu i nazwisku przy dopasowaniu i nigdy nie jest prezentowana w Serwisie, w API ani w raportach. Podstawa prawna: art. 6 ust. 1 lit. f RODO (wsparcie procesów AML i compliance Użytkowników; sekcja 4.2). Ograniczenia, które stosujemy dobrowolnie:

• Numer PESEL nigdy nie jest prezentowany w całości — w Serwisie wyświetlamy wyłącznie postać zamaskowaną.
• Dane osób fizycznych nie są dostępne publicznie — wyszukiwanie osób wymaga uwierzytelnionego konta w planie płatnym. Publiczne, indeksowane przez wyszukiwarki profile firm zawierają wyłącznie dane podmiotów gospodarczych. Jedynym wyjątkiem jest wąski zakres danych rejestrowych przedsiębiorców CEIDG, który można odnaleźć bez logowania wyłącznie po pełnym numerze NIP, na stronach wyłączonych z indeksowania przez wyszukiwarki (sekcja 3.3, „Strony publiczne”).
• Dane kontaktowe (e-mail, telefon) prezentowane publicznie są maskowane — pełna postać wymaga konta.
• Nie przekazujemy danych osób fizycznych do modeli AI w postaci umożliwiającej identyfikację numerem PESEL — patrz sekcja 5.

Informacja dla osób, których dane przetwarzamy (Art. 14 RODO):

Jeżeli Twoje dane osobowe pojawiają się w Serwisie MONODAT jako dane osoby pełniącej funkcję w spółce, informujemy że:

• Dane zostały pozyskane wyłącznie ze źródeł publicznie dostępnych z mocy prawa polskiego.
• Dane przetwarzane są w celach profesjonalnych: weryfikacja kontrahentów, compliance, due diligence, analiza rynku.
• Przysługują Ci prawa opisane w sekcji 11 niniejszej Polityki.
• Aby skorzystać z praw, skontaktuj się z Administratorem: help@monodat.com.
• Administrator może odmówić usunięcia danych, jeżeli przetwarzanie jest niezbędne do realizacji zadania w interesie publicznym lub wynika z obowiązku prawnego ciążącego na rejestrach źródłowych. W takim przypadku poinformujemy Cię o przyczynie odmowy i o prawie wniesienia skargi do Prezesa UODO.
• Stosowanie wyjątku z art. 14 ust. 5 lit. b RODO – przekazanie informacji wszystkim osobom, których dane pojawiają się w Serwisie, indywidualnie byłoby niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku ze względu na skalę przetwarzania (setki tysięcy podmiotów). Z tego względu informacje udostępniane są publicznie w niniejszej Polityce.
• Jeżeli Serwis wyliczył wobec Ciebie Wskaźnik Ryzyka Osobowego (sekcja 4.2), przysługują Ci szczególne, wzmocnione uprawnienia opisane w tej sekcji, w tym prawo żądania wskazania danych źródłowych oraz sprostowania lub zablokowania wskaźnika, jeżeli opiera się on na nieprawidłowych danych.

3.3. Dane przedsiębiorców wpisanych do CEIDG (jednoosobowa działalność gospodarcza)

Od wersji 1.3.0 Serwis prezentuje dane osób fizycznych prowadzących działalność gospodarczą, wpisanych do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG). Dane pochodzą z codziennego raportu urzędowego „Zarejestrowane działalności” udostępnianego przez ministra właściwego do spraw gospodarki w Hurtowni Danych CEIDG (dane.biznes.gov.pl) oraz z interfejsu API CEIDG, na podstawie jawności danych CEIDG (art. 45 ust. 1 ustawy z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy) i przepisów o ponownym wykorzystywaniu informacji sektora publicznego, z zachowaniem warunków Regulaminu Hurtowni Danych CEIDG.

Zakres prezentowanych danych (celowo węższy niż w urzędowej wyszukiwarce CEIDG): firma przedsiębiorcy (zawierająca imię i nazwisko), NIP, REGON, status działalności i daty (rozpoczęcia, zawieszenia, wznowienia, zakończenia, wykreślenia), kody PKD, adres stałego miejsca wykonywania działalności w zakresie publikowanym przez CEIDG (ulica, numer budynku i lokalu, kod pocztowy, miejscowość, gmina, powiat, województwo — lub informacja o braku stałego miejsca wykonywania działalności; ulicę i numer prezentujemy od dnia wejścia w życie wersji 1.3.1), informacja o udziale w spółkach cywilnych, daty ustanowienia i wygaśnięcia zarządu sukcesyjnego, rodzaj, organ i ważność uprawnień, licencji, koncesji i zezwoleń, wiek przedsiębiorcy w pełnych latach oraz historia zmian tych danych od dnia objęcia wpisu monitoringiem.

Czego nie prezentujemy ani nie udostępniamy (ograniczenia stosowane dobrowolnie):

• danych kontaktowych (telefon, e-mail, strona WWW, adres do doręczeń elektronicznych, adres korespondencyjny) — nawet jeśli CEIDG je ujawnia,
• daty urodzenia (prezentujemy wyłącznie wiek w pełnych latach), obywatelstwa, informacji o małżeńskiej wspólności majątkowej, dacie zgonu, tożsamości zarządcy sukcesyjnego, upadłości ujawnionej we wpisie CEIDG, zakazach, ograniczeniach zdolności do czynności prawnych i kurateli oraz podstaw prawnych wykreślenia,
• numeru PESEL — Serwis nie przechowuje go w postaci jawnej i nie umożliwia wyszukiwania po numerze PESEL; ciąg cyfr o długości numeru PESEL wpisany w wyszukiwarce jest odrzucany bez wykonania wyszukiwania,
• danych przedsiębiorców CEIDG w funkcjach sztucznej inteligencji (sekcja 5) — czat FIRMAIA nie ma dostępu do tych danych,
• adresu zamieszkania przedsiębiorcy — CEIDG go nie ujawnia i Serwis go nie przetwarza; prezentowany adres to adres miejsca wykonywania działalności podany przez przedsiębiorcę w CEIDG.

Mapa miejsca działalności: na profilu przedsiębiorcy prezentujemy mapę z przybliżoną lokalizacją miejsca działalności. Pinezka wskazuje środek obszaru kodu pocztowego (a gdy kod nie jest znany — gminy lub powiatu), nie dokładny adres; współrzędne pochodzą z bazy GeoNames (licencja CC BY 4.0) przechowywanej na serwerach Administratora i żadne dane przedsiębiorcy nie są przekazywane do GeoNames. Podkład mapy pochodzi z OpenStreetMap (sekcja 6). Ten sam punkt (nigdy ulica i numer) prezentujemy na publicznym profilu działalności. W panelu, na życzenie Użytkownika, mapa może pokazać także inne działalności z tej samej branży w tej samej miejscowości (dane rejestrowe CEIDG w tym samym zakresie).

Oferty sprzedaży wierzytelności (dlugi.info): Serwis prezentuje oferty sprzedaży wierzytelności opublikowane przez wierzycieli w serwisie dlugi.info (giełda wierzytelności) — zarówno wobec spółek, jak i przedsiębiorców wpisanych do CEIDG. W przypadku spółek powiązanie potwierdzamy wyszukiwaniem po NIP. Serwis dlugi.info nie publikuje NIP osób fizycznych, dlatego w przypadku przedsiębiorców CEIDG powiązanie jest dopasowaniem prawdopodobnym: wynika wyłącznie ze zgodności imienia, nazwiska, miejscowości i ulicy z wpisem CEIDG przy jednym możliwym przedsiębiorcy, jest tak oznaczone na profilu, nie stanowi ustalenia faktycznego i może dotyczyć innej osoby. Prezentujemy wyłącznie dane oferty (kwota, forma, data odnotowania, odnośnik do oferty w źródle); informacja pochodzi od sprzedającego wierzytelność i nie była przez nas weryfikowana, a brak ofert nie oznacza braku zadłużenia. Oferta znika z Serwisu po jej wycofaniu w źródle (sprawdzamy co najmniej raz w tygodniu), po skutecznym sprzeciwie (art. 21 RODO) lub po zgłoszeniu błędnego dopasowania na adres help@monodat.com — błędne powiązanie usuwamy niezwłocznie. Podstawa prawna: art. 6 ust. 1 lit. f RODO (weryfikacja kontrahentów); źródło danych w rozumieniu art. 14 RODO: dlugi.info.

Dostęp po zalogowaniu: wyszukiwanie przedsiębiorców CEIDG po firmie (w tym po imieniu i nazwisku), NIP lub REGON oraz przeglądanie profilu przedsiębiorcy w zakresie opisanym powyżej wymaga uwierzytelnionego Konta (również bezpłatnego, w Planie Free), z zastrzeżeniem limitów przeglądania właściwych dla planu. Historia zmian wpisu i oś czasu są dostępne wyłącznie w planach płatnych. Także po zalogowaniu wyszukiwarka przedsiębiorców CEIDG nie przyjmuje numeru PESEL.

Strony publiczne (bez logowania): każdy odwiedzający Serwis, także bez zakładania Konta, może w ograniczonym zakresie:

• wyszukać działalność wyłącznie po pełnym, prawidłowym numerze NIP — publiczna wyszukiwarka nie przyjmuje imienia, nazwiska, firmy przedsiębiorcy, numeru REGON, miejscowości ani numeru PESEL;
• otworzyć publiczny profil działalności obejmujący wyłącznie: firmę przedsiębiorcy, NIP, REGON, status i daty działalności, główny kod PKD, miejscowość, kod pocztowy, gminę, powiat i województwo (lub informację o braku stałego miejsca wykonywania działalności) oraz mapę z przybliżoną lokalizacją na poziomie kodu pocztowego lub gminy; publiczny profil nigdy nie zawiera ulicy i numeru budynku lub lokalu, wieku przedsiębiorcy, sygnałów z innych rejestrów, ofert sprzedaży wierzytelności ani historii zmian;
• zobaczyć listę do 10 działalności ostatnio wpisanych do CEIDG lub ostatnio zmienionych, w zakresie nie szerszym niż publiczny profil (firma, NIP, miejscowość, województwo, status, data i rodzaj zdarzenia).

Strony publiczne dotyczące przedsiębiorców CEIDG są wyłączone z indeksowania przez wyszukiwarki internetowe (noindex), prezentują wyłącznie wpisy figurujące w bieżącym raporcie CEIDG i nieobjęte sprzeciwem, są dostępne wyłącznie pod adresem zawierającym NIP lub losowy identyfikator wpisu w CEIDG (nigdy kolejny numer wewnętrzny, który pozwalałby przeglądać bazę po kolei), a dostęp do nich chronią limity liczby zapytań z jednego adresu IP oraz weryfikacja antybotowa (sekcja 8). Ich celem jest umożliwienie sprawdzenia kontrahenta, którego NIP jest już znany — a nie przeglądanie zbioru, wyszukiwanie osób po imieniu i nazwisku ani ich profilowanie. Dane kontaktowe i pozostałe dane wymienione powyżej jako nieprezentowane nie są dostępne ani na stronach publicznych, ani w panelu.

Sygnały i powiązania: Serwis zestawia wpis CEIDG z innymi rejestrami publicznymi (Biała Lista VAT, KRZ, listy sankcyjne i PEP, SUDOP, fundusze UE, BZP, rejestry i lista ostrzeżeń publicznych KNF, RPWDL, umowy z NFZ (informator o umowach NFZ) , Rejestr Aptek, RHF, RPT, RDWW, KOWR, decyzje i ostrzeżenia UOKiK, KREPTD, MSiG, KIO, KRAZ) na podstawie dopasowania NIP lub REGON; wyjątkiem są pozwolenia na budowę (GUNB), dopasowywane po nazwie i adresie inwestora i oznaczone na profilu wskaźnikiem pewności. Dopasowania wyłącznie po nazwie lub nazwisku nie są prezentowane jako fakt. Powiązanie oznaczone jako „prawdopodobne” jest wynikiem dopasowania danych rejestrowych, prezentowanym bez ujawniania jego podstawy, i nie stanowi ustalenia faktycznego. Serwis nie wylicza dla przedsiębiorców CEIDG Monodat Score ani wskaźnika liczby pełnionych funkcji — sygnały odwzorowują wpisy w rejestrach źródłowych bez własnej oceny Administratora.

Listy sankcyjne i PEP a przedsiębiorca CEIDG: Serwis sprawdza, czy przedsiębiorca jako osoba fizyczna figuruje na listach sankcyjnych lub na listach PEP (sekcja 3.2) — po NIP lub identyfikatorze osoby, a w przypadku list sankcyjnych także po imieniu i nazwisku, jeżeli w CEIDG występuje tylko jeden przedsiębiorca o takim imieniu i nazwisku. Wynik jest prezentowany jako sygnał na profilu przedsiębiorcy wszystkim zalogowanym Użytkownikom, także w Planie Free (nigdy na stronach publicznych), a także w Raporcie z datą pewną, w którym dopasowanie następuje po imieniu i nazwisku (sekcja 3.5). Jest to dopasowanie do list sankcyjnych i PEP w rozumieniu sekcji 4.2 — stosuje się do niego opisane tam zasady, w tym prawo sprzeciwu i sprostowania. Podstawa prawna: art. 6 ust. 1 lit. f RODO — uzasadniony interes Administratora i jego klientów (weryfikacja kontrahentów, przeciwdziałanie nadużyciom, compliance i due diligence w obrocie gospodarczym) w odniesieniu do danych jawnych z mocy ustawy; art. 6 ust. 1 lit. e RODO w zakresie przejrzystości obrotu gospodarczego.

Prawo sprzeciwu (art. 21 RODO): przedsiębiorca wpisany do CEIDG może w każdej chwili wnieść sprzeciw wobec prezentowania jego wpisu w Serwisie na adres help@monodat.com. Sprzeciw rozpatrujemy w terminie 72 godzin roboczych; w razie jego uwzględnienia wpis jest blokowany w Serwisie (w tym na stronach publicznych), w API i w eksportach (nie pojawia się w wynikach wyszukiwania, na publicznym profilu, na listach ostatnio wpisanych lub zmienionych działalności, na profilach powiązanych spółek ani w powiadomieniach), a Administrator nie przywraca go przy kolejnych synchronizacjach z CEIDG. Blokada w Serwisie nie zmienia danych w samej CEIDG — do tego służy wniosek do CEIDG. Administrator może odmówić uwzględnienia sprzeciwu wyłącznie w przypadkach, o których mowa w art. 21 ust. 1 RODO, informując o przyczynie i o prawie skargi do Prezesa UODO.

Informacja dla przedsiębiorców CEIDG (art. 14 RODO): postanowienia sekcji 3.2 („Informacja dla osób, których dane przetwarzamy”) stosuje się odpowiednio, z tym że dane zostały pozyskane z CEIDG (Hurtownia Danych CEIDG i API CEIDG) w dniu wskazanym na profilu jako „dane z dnia”. Odbiorcami danych mogą być Użytkownicy Serwisu i klienci API (sekcja 8), którzy — w zakresie danych pobranych poza Serwis — są niezależnymi administratorami, a w ograniczonym zakresie opisanym w akapicie „Strony publiczne” — każdy odwiedzający Serwis; Regulamin zakazuje Użytkownikom i klientom API wykorzystywania tych danych do marketingu bezpośredniego oraz do ustalania adresu zamieszkania, numeru PESEL, daty urodzenia lub danych kontaktowych przedsiębiorcy (re-identyfikacji).

3.4. Imiona i nazwiska odtworzone z zapisu zamaskowanego w KRS

Rejestr KRS publikuje część imion i nazwisk członków organów, wspólników i prokurentów w postaci zamaskowanej (np. „J**** K*******”). Serwis może prezentować w takim przypadku imię i nazwisko w postaci pełnej, odtworzone przez Administratora z innych jawnych źródeł dotyczących tego samego podmiotu:

• beneficjentów rzeczywistych i osób zgłaszających z CRBR,
• osób podpisujących sprawozdania finansowe złożone do Repozytorium Dokumentów Finansowych KRS (podpisy elektroniczne w dokumentach),
• treści wpisów KRS, w których imię i nazwisko ujawniono w pełnej postaci,
• pełnego numeru PESEL ujawnionego w KRS dla tej samej osoby.

Zasady: pełna postać jest przypisywana tylko wtedy, gdy wszystkie części zapisu zamaskowanego (pierwsza litera i długość każdego członu) odpowiadają dokładnie jednej osobie ze źródeł dotyczących tego samego podmiotu; przy niejednoznaczności imię i nazwisko pozostaje zamaskowane. Odtworzonej postaci towarzyszy zapis z KRS i oznaczenie źródła. Odtworzone imiona i nazwiska służą wyłącznie do prezentacji — nie są wykorzystywane do łączenia osób między różnymi podmiotami ani do wyszukiwania, a w zestawieniu przechowywanym przez Administratora nie zapisuje się numeru PESEL. Administrator może wyłączyć każde ze źródeł oddzielnie albo całe odtwarzanie.

Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora i Użytkowników polegający na rzetelnej identyfikacji osób pełniących funkcje w podmiocie, którego dotyczy weryfikacja kontrahenta, due diligence lub procedura AML (dane i tak jawne w źródłach wskazanych wyżej; Serwis nie ujawnia danych spoza tych źródeł). Odtworzone dane są widoczne wyłącznie dla zalogowanych Użytkowników — na profilu podmiotu, w drzewie powiązań właścicielskich, w eksporcie PDF profilu oraz w powiadomieniach i podsumowaniach e-mail (wysyłanych przez Brevo, sekcja 8) — a ponadto mogą pojawić się w Raportach z datą pewną (sekcja 3.5) i w odpowiedziach API; nigdy na publicznych, indeksowanych stronach.

Informacja (art. 14 RODO): postanowienia sekcji 3.2 („Informacja dla osób, których dane przetwarzamy”) stosuje się odpowiednio; kategorie źródeł danych wskazano powyżej, a konkretne źródło jest podane przy imieniu i nazwisku.

Prawa: każda osoba może wnieść sprzeciw (art. 21 RODO) wobec odtwarzania jej imienia i nazwiska albo żądać sprostowania (art. 16 RODO), jeżeli przypisanie jest błędne. Jak to zrobić:

• napisz na adres help@monodat.com (tytuł: „RODO – sprzeciw: imię i nazwisko z KRS”), wskazując numer KRS podmiotu oraz imię i nazwisko w postaci prezentowanej w Serwisie albo zapis z KRS;
• jeżeli sprzeciw ma objąć wszystkie podmioty, w których pełnisz funkcje, możesz podać numer PESEL — wykorzystamy go wyłącznie do odnalezienia tych podmiotów i nie zapiszemy go;
• sprzeciw rejestrujemy odrębnie dla każdej osoby w danym podmiocie (numer KRS i zapis z KRS). Po jego uwzględnieniu lub stwierdzeniu błędu Serwis — na profilu, w drzewie powiązań, w eksportach, w powiadomieniach i w API — prezentuje dane tej osoby w tym podmiocie wyłącznie w postaci z KRS, a odtworzone imię i nazwisko usuwamy z zestawienia;
• sprzeciw nie obejmuje automatycznie podmiotów, w których funkcję obejmiesz później — w takim przypadku wystarczy ponowne zgłoszenie.

Okres przechowywania: zestawienie odtworzonych imion i nazwisk jest aktualizowane przy każdej aktualizacji danych źródłowych i usuwane wraz z ustaniem podstawy (zmiana wpisu, sprzeciw, wyłączenie źródła).

3.5. Raport z datą pewną

W związku z zamówieniem Raportu z datą pewną Administrator:

• pobiera w chwili realizacji zamówienia dane z rejestrów publicznych dotyczące wskazanego podmiotu (w tym dane osób pełniących w nim funkcje, beneficjentów rzeczywistych i — w przypadku przedsiębiorców CEIDG — przedsiębiorcy), w zakresie opisanym w sekcjach 3.2–3.4; raport nie zawiera numerów PESEL, dat urodzenia, informacji o skazaniach ani prywatnych danych kontaktowych;
• wykorzystuje pobrane dane także do aktualizacji profilu podmiotu w Serwisie, jeżeli są nowsze niż dane w bazie;
• przechowuje archiwum dowodowe raportu: odpowiedzi rejestrów w postaci, w jakiej zostały pobrane, dane z bazy Serwisu użyte w raporcie, wykaz pobrań (źródło, godzina, sumy kontrolne), podpisany znacznikiem plik PDF i metadane znacznika czasu — w celu wykazania prawidłowego wykonania usługi oraz ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO). Archiwum powstaje także przy nieudanej próbie wygenerowania raportu. Odpowiedzi rejestrów zawierają dane, których raport nie prezentuje, w szczególności odpowiedzi CRBR i KRZ mogą zawierać numery PESEL i daty urodzenia osób fizycznych. Dlatego archiwum jest zaszyfrowane (AES-256), dostęp do niego ma wyłącznie Administrator, a niezaszyfrowana robocza kopia odpowiedzi jest usuwana z bazy Serwisu po przetworzeniu, najpóźniej po 24 godzinach. Zaszyfrowaną kopię zapasową archiwum przechowujemy w usłudze Google Drive (sekcja 8); klucz szyfrujący posiada wyłącznie Administrator i nie jest on przekazywany Google; - przesyła kwalifikowanemu dostawcy usług zaufania (znacznik czasu, RFC 3161) wyłącznie skrót kryptograficzny (SHA-256) pliku, a nie jego treść;
• wysyła raport e-mailem (przez Brevo) z plikiem PDF w załączniku albo — jeżeli plik przekracza dopuszczalny rozmiar załącznika — z odnośnikiem do pobrania raportu w Serwisie: na zlecenie Użytkownika Planu Avance — na adres Konta, a przy zamówieniu przez API — na adres odbiorcy wskazany przez klienta API, z kopią na adres Konta. O odbiorcy decyduje klient API, który w zakresie tego przekazania jest niezależnym administratorem i odpowiada za posiadanie podstawy prawnej. Odbiorca poznaje adres e-mail Konta zamawiającego: raport podaje go w polu „Zamawiający”, a przy wysyłce kopii na adres Konta jest on widoczny także w wiadomości;
• przechowuje adres e-mail odbiorcy w postaci jawnej, bo jest potrzebny do doręczenia, do czasu usunięcia pliku raportu (sekcja 10); następnie zachowuje wyłącznie jego skrót kryptograficzny (SHA-256). Skrót służy także do egzekwowania dziennego limitu odbiorców i blokady adresów, z których wiadomości są zwracane. Okresy przechowywania wskazano w sekcji 10.

4. Profilowanie i decyzje zautomatyzowane (Art. 22 RODO)

4.1. Modele Analityczne oceniające podmioty gospodarcze

1. Serwis udostępnia statystyczne Modele Analityczne (m.in. Monodat Score, Altman Z-Score, Beneish M-Score, modele Prusaka, Hołdy i Mączyńskiej, Health Score oraz wskaźnik koncentracji HHI), które stanowią profilowanie w rozumieniu art. 4 pkt 4 RODO. Modele te oceniają podmioty gospodarcze na podstawie publicznych danych dotyczących tych podmiotów (przede wszystkim finansowych) — nie przyjmują jako danych wejściowych cech osobowych konkretnej osoby fizycznej i nie generują wyniku przypisanego do imiennie wskazanej osoby.
2. Logika profilowania:
   • Modele oparte są na publicznych danych finansowych zgłoszonych przez podmioty do KRS i e-sprawozdań MF.
   • Wykorzystywane są klasyczne metody statystyczne (regresja, analiza dyskryminacyjna, klasyfikacja).
   • Wyniki mają charakter wyłącznie informacyjny i statystyczny.

4.2. Wskaźniki Ryzyka Osobowego

1. Niezależnie od Modeli ocenianych na poziomie spółki, Serwis wylicza niewielką liczbę wskaźników przypisanych bezpośrednio do zidentyfikowanej osoby fizycznej, obliczanych na podstawie danych z rejestrów publicznych, obecnie ograniczonych do:

   • wzorca liczby pełnionych funkcji (wskaźnik „seryjnego dyrektora”): flaga podnoszona, gdy dana osoba pełni funkcje członka zarządu lub równoważne w nietypowo dużej liczbie spółek, wraz z liczbą spośród tych spółek, które są objęte sankcjami lub oznaczone przez Serwis jako wysokiego ryzyka;
   • dopasowania do list sankcyjnych i PEP: czy imię i nazwisko danej osoby odpowiada wpisowi na liście sankcyjnej lub oznaczeniu jako osoba zajmująca eksponowane stanowisko polityczne, na podstawie rejestrów publicznych wskazanych w sekcji 3.2.

2. Powyższe stanowi profilowanie osoby fizycznej w rozumieniu art. 4 pkt 4 RODO. Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora oraz Użytkowników polegający na wsparciu procesów przeciwdziałania praniu pieniędzy, zgodności sankcyjnej i oceny ryzyka kontrahenta) oraz, w stosownych przypadkach, art. 6 ust. 1 lit. e RODO (przejrzystość obrotu gospodarczego w interesie publicznym — w zakresie, w jakim dane te pochodzą z rejestru publicznego). Wskaźniki te nie opierają się na szczególnych kategoriach danych (art. 9 RODO): oznaczenie PEP odzwierciedla pełnioną funkcję publiczną, a nie pogląd polityczny, i nie jest traktowane przez Administratora jako dana z art. 9.

3. Wskaźniki te są widoczne wyłącznie dla Użytkowników posiadających uwierzytelnione Konto w planie płatnym, wyłącznie w ramach narzędzi due diligence i compliance Serwisu — nigdy na publicznych, indeksowanych przez wyszukiwarki stronach. Wyjątkiem jest dopasowanie do list sankcyjnych i PEP: (a) wobec przedsiębiorcy CEIDG — prezentowane jako sygnał na jego profilu wszystkim zalogowanym Użytkownikom, także w Planie Free (sekcja 3.3), oraz (b) zawarte w Raporcie z datą pewną, który może zamówić także Użytkownik Planu Free (sekcja 3.5).

4. Administrator nie podejmuje wobec osób fizycznych decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym tym profilowaniu), które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na te osoby (art. 22 ust. 1 RODO). Wskaźnik Ryzyka Osobowego jest prezentowany Użytkownikowi jako jedna z wielu przesłanek; o tym, co – jeśli cokolwiek – z nią zrobić, decyduje człowiek po stronie Użytkownika. Regulamin zakazuje Użytkownikom wykorzystywania Wskaźnika Ryzyka Osobowego jako wyłącznej lub decydującej podstawy decyzji o kredycie, zatrudnieniu, ubezpieczeniu, najmie lub podobnej decyzji dotyczącej danej osoby, a także zakazuje jego publikacji poza organizacją Użytkownika (§11 lit. n-o oraz §12a ust. 6 Regulaminu).

5. Ponieważ Wskaźnik Ryzyka Osobowego jest wnioskowaniem obliczanym przez Administratora, a nie faktem odtwarzanym dosłownie z rejestru źródłowego, stosujemy podwyższoną staranność co do jego dokładności (art. 5 ust. 1 lit. d RODO):

   • odzwierciedla on wyłącznie wzorzec statystyczny i nie stanowi, i nie może być odczytywany jako, ustalenie, że dana osoba dopuściła się czegokolwiek niezgodnego z prawem;
   • jeżeli uważasz, że wyliczony wobec Ciebie wskaźnik opiera się na nieprawidłowych danych źródłowych, możesz zażądać sprostowania (art. 16 RODO); po skorygowaniu danych u źródła ponownie przeliczymy wskaźnik lub w międzyczasie go zablokujemy;
   • możesz w każdej chwili wnieść sprzeciw wobec tego przetwarzania (art. 21 RODO); z uwagi na podstawę uzasadnionego interesu, zablokujemy wskaźnik, chyba że wykażemy istnienie ważnych, prawnie uzasadnionych podstaw nadrzędnych wobec Twoich interesów.

6. Z uwagi na skalę przetwarzania oraz fakt, że obejmuje ono ocenę/scoring osób fizycznych, funkcjonalność ta mieści się w kategoriach przetwarzania, dla których art. 35 RODO wymaga od administratora oceny potrzeby przeprowadzenia oceny skutków dla ochrony danych (DPIA); Administrator na bieżąco weryfikuje tę potrzebę w miarę rozwoju funkcjonalności.

7. Osoby, których dane podlegają którejkolwiek z form profilowania opisanych w niniejszej sekcji, mają prawo do uzyskania informacji o zastosowanej logice, sprzeciwu oraz przeglądu przez człowieka. Wnioski: help@monodat.com.

5. Funkcje sztucznej inteligencji (czat FIRMAIA)

Serwis udostępnia czat analityczny oparty na modelu generatywnej AI. Ujawniamy dokładnie, jak działa:

1. Dostawcą modelu jest Anthropic Ireland, Limited / Anthropic, PBC (Claude API).

2. Co przekazujemy do Anthropic: treść Twojego pytania, historię bieżącej rozmowy, opis struktury naszej bazy danych oraz wiersze wyników zapytania SQL wygenerowanego w odpowiedzi na Twoje pytanie (maksymalnie 20 wierszy na zapytanie). Jeżeli zapytanie dotyczy Wskaźników Ryzyka Osobowego (sekcja 4.2), same wartości wskaźnika traktowane są tak samo jak każde inne pole bazy danych na potrzeby niniejszej sekcji — w tym w zakresie usuwania numerów PESEL opisanego poniżej.

3. Czego NIE przekazujemy do Anthropic:

   • Numery PESEL są usuwane z wyników przed wysłaniem — mechanizm techniczny bezwarunkowo wycina wszystkie pola zawierające PESEL,
   • Twojej tożsamości — Anthropic nie otrzymuje Twojego imienia, nazwiska, adresu e-mail, identyfikatora konta ani adresu IP,
   • danych Twojej subskrypcji ani danych płatniczych.

4. Co może trafić do Anthropic: wiersze wyników mogą zawierać jawne dane z rejestrów publicznych, w tym imiona, nazwiska i funkcje osób pełniących role w spółkach — w takim zakresie, w jakim są one publicznie ujawnione przez rejestr źródłowy.

5. Historia Twoich rozmów przechowywana jest na naszym serwerze i powiązana z Twoim kontem, abyś mógł do niej wrócić. Możesz zażądać jej usunięcia — patrz sekcja 11.

6. Treści generowane przez AI mogą zawierać błędy i nie stanowią porady prawnej, finansowej ani inwestycyjnej (§14a Regulaminu). Korzystając z czatu wchodzisz w interakcję z systemem AI, a nie z człowiekiem (art. 50 ust. 1 AI Act).

7. Korzystamy z komercyjnej usługi Claude API, w ramach której — zgodnie z warunkami Anthropic — treści zapytań i odpowiedzi nie są wykorzystywane do trenowania modeli. Zasady: https://www.anthropic.com/legal/commercial-terms

6. Mapy i treści podmiotów trzecich

Mapy lokalizacji w Serwisie wykorzystują podkład (kafelki) OpenStreetMap, który Twoja przeglądarka pobiera bezpośrednio z serwerów OpenStreetMap Foundation (Wielka Brytania). Mapa ładuje się automatycznie przy otwarciu:

• publicznego profilu spółki oraz publicznego profilu przedsiębiorcy CEIDG (strony dostępne bez logowania),
• profilu spółki oraz profilu przedsiębiorcy CEIDG w panelu, po zalogowaniu.

Przy pobieraniu kafelków OpenStreetMap Foundation otrzymuje Twój adres IP oraz standardowe informacje, które przeglądarka dołącza do każdego żądania (m.in. identyfikator przeglądarki — user-agent — oraz adres domeny Serwisu), a także informację, jaki obszar mapy jest wyświetlany. OpenStreetMap Foundation przetwarza te dane zgodnie z własną polityką prywatności.

Adres oglądanego podmiotu nie jest przekazywany do OpenStreetMap Foundation ani do żadnej zewnętrznej usługi geokodowania. Współrzędne punktu na mapie wylicza Administrator na własnych serwerach: dla przedsiębiorców CEIDG jest to środek obszaru kodu pocztowego (lub gminy albo powiatu — sekcja 3.3), a dla spółek — w ten sam sposób — środek obszaru kodu pocztowego siedziby (lub gminy albo powiatu), ustalony na podstawie bazy GeoNames przechowywanej na serwerach Administratora. Mapa nie wskazuje dokładnego adresu.

Jeżeli nie chcesz, aby Twój adres IP trafiał do OpenStreetMap Foundation, możesz zablokować w przeglądarce ładowanie treści z domen openstreetmap.org (np. rozszerzeniem blokującym treści) — pozostałe elementy profilu wyświetlą się bez mapy. Pełną listę połączeń do podmiotów trzecich zawiera Polityka Cookies.

7. Cele i podstawy prawne przetwarzania

8. Odbiorcy danych

Poniższa lista jest kompletna i odzwierciedla stan faktyczny na dzień ostatniej aktualizacji:

Administrator zawiera z podmiotami przetwarzającymi umowy powierzenia (art. 28 RODO) i weryfikuje, czy zapewniają odpowiedni poziom ochrony danych.

Czego nie robimy — deklaracje wiążące:

• Administrator nie sprzedaje danych osobowych ani nie udostępnia ich brokerom danych.
• Serwis nie korzysta z narzędzi analitycznych ani śledzących służących do pomiaru lub profilowania zachowania odwiedzających — nie ma Google Analytics, Meta Pixel, Hotjar ani równoważnych. Jedynym wyjątkiem jest wąska, opisana powyżej weryfikacja bezpieczeństwa Cloudflare Turnstile, która nie śledzi Cię między wizytami ani witrynami i nie służy do pomiaru, marketingu ani profilowania Twojego zachowania.
• Nie przekazujemy danych sieciom reklamowym.
• Nie wykorzystujemy Twoich danych ani treści Twoich rozmów do trenowania własnych modeli AI.

O każdej zmianie powyższej listy odbiorców poinformujemy zgodnie z sekcją 16.

9. Przekazywanie danych poza EOG

Większość naszych dostawców przetwarza dane w EOG. Brevo (Sendinblue SAS) jest podmiotem francuskim i dane e-mail nie opuszczają EOG.

Google LLC, Anthropic, PBC, Stripe, Inc. oraz Cloudflare, Inc. mogą przetwarzać dane w USA — dotyczy to także usługi Google Drive, w której przechowujemy zaszyfrowaną kopię archiwum dowodowego Raportów z datą pewną (sekcja 3.5; Google nie ma dostępu do jej treści). Dostawcy serwerów pośredniczących (sekcja 8) mogą mieć siedzibę lub serwery poza EOG; przekazują wyłącznie ruch szyfrowany. W takich przypadkach przekazanie odbywa się na podstawie:

• decyzji wykonawczej Komisji Europejskiej z 10 lipca 2023 r. w sprawie odpowiedniego stopnia ochrony (EU–US Data Privacy Framework) — w zakresie, w jakim dany odbiorca jest certyfikowany w ramach DPF,
• uzupełniająco: standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską,
• oraz innych mechanizmów zgodnych z art. 46 RODO. Szczegóły dostępne na żądanie: help@monodat.com.

10. Okresy przechowywania danych

11. Prawa osób, których dane dotyczą

Każdej osobie przysługują prawa wynikające z RODO:

Prawo dostępu (Art. 15) – informacja o przetwarzanych danych i ich kopia.

Prawo do sprostowania (Art. 16) – poprawienie lub uzupełnienie danych. Dane pochodzące z rejestrów publicznych prostujemy zgodnie ze stanem rejestru źródłowego — jeżeli błąd istnieje w samym rejestrze, konieczne jest jego sprostowanie u źródła, w czym pomożemy wskazując właściwy organ. Jeżeli nieprawidłowość dotyczy Wskaźnika Ryzyka Osobowego wyliczonego przez nas (sekcja 4.2), zastosowanie ma dedykowana procedura opisana w tej sekcji.

Prawo do usunięcia (Art. 17) – „prawo do bycia zapomnianym”. Może być ograniczone gdy przetwarzanie wynika z interesu publicznego lub obowiązku prawnego.

Prawo do ograniczenia przetwarzania (Art. 18).

Prawo do przenoszenia danych (Art. 20) – w ustrukturyzowanym formacie nadającym się do odczytu maszynowego.

Prawo do sprzeciwu (Art. 21) – wobec przetwarzania opartego na uzasadnionym interesie, w tym profilowania. Prawo to ma szczególne znaczenie wobec Wskaźników Ryzyka Osobowego (sekcja 4.2).

Prawo do cofnięcia zgody – w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed cofnięciem.

Prawo do niepodlegania zautomatyzowanej decyzji (Art. 22) – patrz sekcja 4.

Sposób realizacji praw:

• Wnioski: help@monodat.com
• Termin odpowiedzi: 30 dni od otrzymania wniosku
• Dla wniosków złożonych lub licznych: termin może być przedłużony o 60 dni z uprzednim powiadomieniem
• Realizacja praw jest bezpłatna. Opłatę możemy pobrać wyłącznie przy wnioskach ewidentnie nieuzasadnionych lub nadmiernych (art. 12 ust. 5 RODO), informując o tym uprzednio
• Administrator może zweryfikować tożsamość wnioskodawcy przed udzieleniem odpowiedzi — wyłącznie w zakresie niezbędnym i bez żądania nadmiernych dokumentów

Prawo do skargi do organu nadzorczego:

Prezes Urzędu Ochrony Danych Osobowych (UODO) ul. Stawki 2, 00-193 Warszawa www.uodo.gov.pl | kancelaria@uodo.gov.pl Infolinia: 606-950-000

12. Bezpieczeństwo danych

Administrator stosuje odpowiednie środki techniczne i organizacyjne:

• Szyfrowanie transmisji (HTTPS/TLS),
• Uwierzytelnianie powierzone wyspecjalizowanemu dostawcy (Google Firebase Authentication) — Administrator nie przechowuje haseł,
• Automatyczna weryfikacja antybotowa/antynadużyciowa (Cloudflare Turnstile), uruchamiana wyłącznie dla sesji oznaczonych jako potencjalnie zautomatyzowane — patrz sekcja 8,
• Kontrola dostępu i zarządzanie uprawnieniami w oparciu o role,
• Rozdzielenie środowisk i ograniczenie dostępu do bazy produkcyjnej,
• Regularne kopie zapasowe,
• Monitorowanie bezpieczeństwa infrastruktury,
• Procedury reagowania na incydenty,
• Pseudonimizacja i maskowanie danych tam, gdzie to możliwe (m.in. bezwarunkowe maskowanie numerów PESEL w interfejsie oraz ich usuwanie przed przekazaniem do modeli AI),
• Zasada minimalizacji przy integracjach z podmiotami trzecimi,
• Regularny przegląd i aktualizacja zabezpieczeń.

Zalecamy również Tobie: używanie unikalnego, silnego hasła oraz włączenie weryfikacji dwuetapowej na koncie Google, jeżeli logujesz się przez Google.

W razie naruszenia ochrony danych powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych:

• Administrator zgłosi naruszenie do Prezesa UODO w ciągu 72 godzin (art. 33 RODO),
• powiadomi osoby, których dane dotyczą, bez zbędnej zwłoki (art. 34 RODO).

13. Zgłaszanie podatności bezpieczeństwa (responsible disclosure)

Jeżeli zauważyłeś podatność bezpieczeństwa w Serwisie MONODAT, prosimy o jej zgłoszenie pod adresem help@monodat.com z tytułem „Security – Vulnerability Disclosure”.

Prosimy o:

• nieujawnianie podatności publicznie przed jej naprawą,
• niewykorzystywanie podatności do uzyskania nieuprawnionego dostępu do danych,
• niepobieranie, niemodyfikowanie i nieusuwanie danych innych osób,
• przekazanie szczegółów technicznych umożliwiających reprodukcję problemu.

Administrator zobowiązuje się do potwierdzenia otrzymania zgłoszenia w ciągu 5 dni roboczych, informowania o postępach oraz niepodejmowania kroków prawnych wobec zgłaszających działających w dobrej wierze i przestrzegających powyższych zasad (safe harbour). Na życzenie zgłaszającego wskażemy go jako odkrywcę podatności po jej naprawieniu.

14. Pliki cookies

Szczegółowa i kompletna lista danych zapisywanych na Twoim urządzeniu, wraz z opisem wąskiego wyjątku bezpieczeństwa z sekcji 8, znajduje się w Polityce Cookies.

15. Dzieci

Serwis MONODAT przeznaczony jest wyłącznie dla osób pełnoletnich (18 lat i więcej) działających w imieniu podmiotów profesjonalnych. Administrator nie zbiera świadomie danych osobowych dzieci. Jeżeli stwierdzisz, że dziecko przekazało nam dane, skontaktuj się z nami pod adresem help@monodat.com – usuniemy te dane.

16. Zmiany Polityki Prywatności

O istotnych zmianach Administrator informuje Użytkowników z co najmniej 14-dniowym wyprzedzeniem drogą e-mail. Aktualna wersja zawsze dostępna jest pod adresem https://monodat.com/privacy. Wcześniejsze wersje przechowywane są w archiwum dostępnym na żądanie.

Zmianą istotną jest w szczególności: dodanie nowego odbiorcy danych, wprowadzenie technologii analitycznej lub śledzącej, nowa kategoria Wskaźnika Ryzyka Osobowego, zmiana celu przetwarzania oraz wydłużenie okresu przechowywania.

17. Kontakt

Data ostatniej aktualizacji: 2026-10-16