Polityka prywatności

1. Kto przetwarza dane

Operatorem usługi Czworokąt jest Draftway Spółka z ograniczoną odpowiedzialnością, ul. Wyrzykowskiego 3/50, 03-142 Warszawa, KRS 0000335412, NIP 1132775939, REGON 142003310 („my”, „Operator”). W sprawach danych osobowych napisz na [email protected].

W Czworokącie występują trzy grupy osób, dla których nasza rola jest różna:

Kto	Nasza rola	Przykładowe dane
Osoby odwiedzające stronę czworokat.pl i piszące do nas	Administrator	adres IP, treść wiadomości, adres e-mail
Użytkownicy aplikacji (właściciele i pracownicy biur)	Administrator w zakresie konta i rozliczeń; podmiot przetwarzający w zakresie treści pracy w aplikacji	imię, nazwisko, e-mail, telefon, rola, logowania, dziennik zdarzeń
Klienci biur (właściciele nieruchomości, kupujący, najemcy, osoby zadające zapytania)	Podmiot przetwarzający na zlecenie biura, które jest administratorem	dane kontaktowe, dane nieruchomości, dokumenty, korespondencja, dane do weryfikacji AML

2. Strona czworokat.pl

• Logi serwera: adres IP, czas, adres strony, przeglądarka. Cel: bezpieczeństwo i diagnostyka (art. 6 ust. 1 lit. f RODO, nasz uzasadniony interes). Przechowujemy do 90 dni.
• Kontakt e-mail: dane podane w wiadomości. Cel: odpowiedź i ewentualne przygotowanie oferty (art. 6 ust. 1 lit. b i f RODO). Przechowujemy przez czas korespondencji, a przy zawarciu umowy przez czas jej trwania.
• Pliki cookie: strona czworokat.pl nie używa plików cookie ani narzędzi analitycznych. Aplikacja zapisuje w przeglądarce wyłącznie dane techniczne niezbędne do utrzymania zalogowania i ustawień interfejsu; nie służą one do śledzenia i nie są przekazywane innym podmiotom.

3. Konto biura i użytkownicy aplikacji

• Dane: nazwa biura, NIP, adres, dane do faktur, imię i nazwisko, e-mail, telefon, rola i oddział użytkownika, hasło w postaci skrótu, ustawienia 2FA, adres IP i czas logowań, dziennik zdarzeń w aplikacji.
• Cel i podstawa: świadczenie usługi i rozliczenia (art. 6 ust. 1 lit. b RODO), obowiązki księgowe (lit. c), bezpieczeństwo, dochodzenie roszczeń i rozwój usługi (lit. f).
• Okres: przez czas trwania umowy i 30 dni po jej rozwiązaniu (okres na eksport danych), faktury przez okres wymagany przepisami podatkowymi, dane do obrony roszczeń do upływu przedawnienia.
• Powiadomienia: wysyłamy e-maile związane z pracą w aplikacji (zaproszenia, powiadomienia o zapytaniach i zadaniach, zmiany regulaminu). Zakres powiadomień użytkownik ustawia w aplikacji. Nie wysyłamy reklam bez odrębnej zgody.

4. Dane klientów biur: powierzenie przetwarzania

Biuro wprowadza do Czworokąta dane swoich klientów i odpowiada za ich legalność jako administrator. My przetwarzamy je wyłącznie na polecenie biura, w celu świadczenia usługi, na warunkach art. 28 RODO. Poniższe postanowienia stanowią umowę powierzenia przetwarzania między biurem a Operatorem, zawieraną wraz z akceptacją regulaminu.

1. Przedmiot i czas: przetwarzanie danych wprowadzonych do aplikacji przez czas trwania umowy o korzystanie z usługi.
2. Charakter i cel: przechowywanie, porządkowanie, udostępnianie użytkownikom biura, wysyłka do portali i usług wskazanych przez biuro, generowanie dokumentów, wysyłka wiadomości, udostępnianie w portalu klienta, kopie zapasowe.
3. Rodzaj danych i kategorie osób: dane identyfikacyjne i kontaktowe, dane nieruchomości, dane umów i rozliczeń, korespondencja, dane z weryfikacji tożsamości i oceny ryzyka AML (w tym numer dokumentu i PESEL, jeśli biuro je wprowadzi). Osoby: klienci biura, strony transakcji, osoby zadające zapytania, osoby kontaktowe.
4. Obowiązki Operatora: przetwarzanie tylko na udokumentowane polecenie biura (poleceniem są działania użytkowników w aplikacji); zapewnienie poufności po stronie osób dopuszczonych do danych; środki bezpieczeństwa opisane w pkt 6; pomoc biuru w realizacji praw osób i w obowiązkach z art. 32 do 36 RODO; zgłaszanie biuru naruszeń ochrony danych bez zbędnej zwłoki, nie później niż 48 godzin od stwierdzenia; usunięcie lub zwrot danych po zakończeniu umowy zgodnie z regulaminem; udostępnianie informacji niezbędnych do wykazania zgodności i umożliwienie audytu po uzgodnieniu terminu.
5. Podwykonawcy: biuro wyraża ogólną zgodę na korzystanie z podwykonawców wymienionych w pkt 5. O zamiarze dodania lub zmiany podwykonawcy informujemy e-mailem z 14-dniowym wyprzedzeniem; biuro może zgłosić sprzeciw, a w razie braku porozumienia wypowiedzieć umowę.
6. Dostęp techniczny: dane biur są rozdzielone na poziomie bazy danych. Pracownicy Operatora mają dostęp do danych biura wyłącznie w celu usunięcia błędu lub na prośbę biura, a każdy taki dostęp jest rejestrowany.

5. Odbiorcy danych i podwykonawcy

Podmiot	Rola	Lokalizacja
Hetzner Online GmbH	hosting serwerów i kopii zapasowych	Niemcy (UE)
Amazon Web Services EMEA SARL (Amazon SES)	wysyłka e-maili systemowych	region UE (Frankfurt)
Cloudflare, Inc.	DNS, ochrona przed atakami, przekazywanie ruchu do serwera	UE i globalnie; przekazywanie na podstawie standardowych klauzul umownych i Data Privacy Framework
Operator SMS wskazany w ustawieniach biura	wysyłka SMS i kodów podpisu	Polska
Portale ogłoszeniowe i strona WWW biura	odbiorcy ofert, które biuro postanowi opublikować (dane oferty i dane kontaktowe agenta, nie dane właściciela)	zależnie od portalu; biuro decyduje o każdej publikacji
Dostawca skrzynki pocztowej biura	wysyłka i odbiór e-maili z własnej skrzynki biura, jeśli biuro ją podłączy	zależnie od dostawcy biura
Dostawca modelu językowego (asystent AI), jeśli biuro włączy tę funkcję	generowanie opisów ofert na podstawie danych nieruchomości, bez danych osobowych klientów	wskazany w ustawieniach funkcji przed jej włączeniem

Dane mogą być też udostępnione organom publicznym, gdy wymaga tego prawo. Nie sprzedajemy danych i nie przekazujemy ich do celów marketingowych innych podmiotów.

6. Bezpieczeństwo

• Transmisja szyfrowana (HTTPS), hasła przechowywane w postaci skrótu, uwierzytelnianie dwuskładnikowe do wyboru przez użytkownika.
• Hasła do portali, kont FTP i skrzynek pocztowych są szyfrowane i nigdy nie są wyświetlane ani zapisywane w dzienniku.
• Rozdzielenie danych biur na poziomie bazy danych, role i zakresy widoczności w biurze, dziennik zdarzeń.
• Linki do portalu klienta i do podpisu są jednorazowe lub czasowe i można je unieważnić; podpis wymaga kodu wysyłanego SMS-em lub e-mailem.
• Kopie zapasowe przechowywane w UE, nadpisywane w cyklu do 30 dni.

7. Portal klienta i podpis elektroniczny

Jeśli jesteś klientem biura i otrzymałeś link do portalu lub do podpisu dokumentu, administratorem Twoich danych jest biuro, które Ci go wysłało. Portal pokazuje dane, które biuro postanowiło Ci udostępnić. Przy podpisie zapisujemy czas, adres IP, przeglądarkę i sposób weryfikacji kodu, aby podpis miał wartość dowodową; te dane trafiają do certyfikatu podpisu w dokumencie biura. Z prawami z RODO zwróć się do biura; w razie trudności pomożemy w kontakcie.

8. Prawa osób

Każda osoba ma prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz skargi do Prezesa Urzędu Ochrony Danych Osobowych. Wnioski w zakresie, w którym jesteśmy administratorem, kieruj na [email protected]; odpowiadamy w ciągu 30 dni. Wnioski dotyczące danych wprowadzonych przez biuro przekazujemy biuru i wspieramy je w realizacji.

9. Zmiany polityki

O zmianach informujemy w aplikacji i e-mailem właścicieli biur. Data wersji jest na górze strony.